Zalecenie firmy Microsoft Entra: Odnawianie wygasających poświadczeń jednostki usługi (wersja zapoznawcza)

Zalecenia firmy Microsoft Entra to funkcja, która zapewnia spersonalizowane szczegółowe informacje i wskazówki umożliwiające podejmowanie działań w celu dostosowania dzierżawy do zalecanych najlepszych rozwiązań.

W tym artykule opisano zalecenie dotyczące odnawiania wygasających poświadczeń jednostki usługi. To zalecenie jest wywoływane servicePrincipalKeyExpiry w interfejsie API zaleceń w programie Microsoft Graph.

Wymagania wstępne

Istnieją różne wymagania dotyczące roli do wyświetlania lub aktualizowania rekomendacji. Użyj roli o najniższych uprawnieniach dla wymaganego typu dostępu. Aby uzyskać pełną listę ról, zobacz Najmniej uprzywilejowane role według zadania.

Rola Microsoft Entra	Typ dostępu
Czytelnik raportów	Tylko do odczytu
Czytelnik zabezpieczeń	Tylko do odczytu
Czytelnik globalny	Tylko do odczytu
Administrator zasad uwierzytelniania	Aktualizowanie i odczytywanie
Administrator programu Exchange	Aktualizowanie i odczytywanie
Administrator zabezpieczeń	Aktualizowanie i odczytywanie
DirectoryRecommendations.Read.All	Tylko do odczytu w programie Microsoft Graph
DirectoryRecommendations.ReadWrite.All	Aktualizowanie i odczytywanie w programie Microsoft Graph

Niektóre zalecenia mogą wymagać licencji P2 lub innej. Aby uzyskać więcej informacji, zobacz Zalecenia dotyczące dostępności i wymagań dotyczących licencji.

opis

Poświadczenia jednostki usługi obejmują certyfikaty i wpisy tajne klienta dodane do jednostki usługi. Poświadczenia są używane do potwierdzenia tożsamości tej jednostki usługi. Jeśli poświadczenia wygasną, jednostka usługi nie może się uwierzytelnić, co może spowodować przestój w scenariuszu biznesowym. To zalecenie jest wyświetlane, jeśli dzierżawa ma jednostki usługi z poświadczeniami, które wkrótce wygasają.

Poświadczenie jednostki usługi wygasa, jeśli:

• Jest on w jednostce usługi i wygasa w ciągu najbliższych 30 dni.

Następujące poświadczenia są wykluczone z tego zalecenia:

• Poświadczenia, które zostały zidentyfikowane jako wygasające, ale od tego czasu zostały usunięte z rejestracji aplikacji.
• Poświadczenia, których data wygaśnięcia wygasła, są wyświetlane jako ukończone na liście zasobów, których dotyczy to.

Wartość

Odnawianie poświadczeń jednostki usługi przed datą wygaśnięcia ma kluczowe znaczenie dla utrzymania nieprzerwanych operacji i zminimalizowania ryzyka przestoju wynikającego z nieaktualnych poświadczeń.

Plan działania

To zalecenie jest dostępne w centrum administracyjnym firmy Microsoft Entra i przy użyciu interfejsu API programu Microsoft Graph.

Centrum administracyjne firmy Microsoft Entra

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator zabezpieczeń.

2. Przejdź do strony Przegląd tożsamości>.

3. Wybierz kartę Zalecenia i wybierz zalecenie Odnawianie wygasających poświadczeń jednostki usługi.

4. Wybierz pozycję Więcej szczegółów w kolumnie Akcje .

5. W wyświetlonym panelu wybierz pozycję Aktualizuj poświadczenia , aby przejść bezpośrednio do obszaru logowanie jednokrotne rejestracji aplikacji.

   1. Alternatywnie przejdź do sekcji Identity>Applications> Rejestracje aplikacji i znajdź aplikację, dla której należy obrócić poświadczenia.

   

   1. Przejdź do sekcji Logowanie jednokrotne rejestracji aplikacji.

6. Edytuj sekcję Certyfikat podpisywania SAML i postępuj zgodnie z monitami, aby dodać nowy certyfikat.

   

7. Po pomyślnym dodaniu certyfikatu lub wpisu tajnego zaktualizuj konfigurację certyfikatu podpisywania SAML, aby nowy certyfikat był aktywny.

8. Sprawdź, czy aplikacja działa zgodnie z oczekiwaniami, a następnie usuń nieaktywny certyfikat SAML z kolekcji certyfikatów SAML.

Uwaga

Jeśli nie masz żadnych poświadczeń SAML skonfigurowanych, ale otrzymano to zalecenie, użyj punktu końcowego ServicePrincipalAPI programu Microsoft Graph, aby sprawdzić keyCredentials właściwości i passwordCredentials obiektu jednostki usługi. Zlokalizuj i obróć poświadczenia.

Zdecydowanie zalecamy zmianę usługi tak, aby działała z poświadczeniami zdefiniowanymi w obiekcie aplikacji zapasowej zamiast jednostki usługi.

Interfejs API programu Microsoft Graph

Następujące żądania mogą służyć do pobierania rekomendacji i zasobów, których dotyczy ten wpływ, przy użyciu interfejsu API programu Microsoft Graph. Aby korzystać z interfejsu API programu Microsoft Graph, potrzebne są DirectoryRecommendations.Read.All uprawnienia i DirectoryRecommendations.ReadWrite.All . Aby uzyskać więcej informacji, zobacz How to use Identity Recommendations (Jak używać zaleceń dotyczących tożsamości).

Podczas odnawiania poświadczeń jednostki usługi przy użyciu programu Microsoft Graph należy uruchomić zapytanie, aby uzyskać poświadczenia hasła w jednostce usługi, dodać nowe poświadczenia hasła, a następnie usunąć stare poświadczenia.

1. Zaloguj się do Eksploratora programu Graph.
2. Wybierz pozycję GET jako metodę HTTP z listy rozwijanej.

Aby pobrać wszystkie zalecenia dotyczące dzierżawy:

GET https://graph.microsoft.com/beta/directory/recommendations

W odpowiedzi znajdź identyfikator rekomendacji zgodnej z następującym wzorcem: {tenantId}_Microsoft.Identity.IAM.Insights.servicePrincipalKeyExpiry.

Aby zidentyfikować zasoby, których dotyczy ten wpływ:

GET https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights.servicePrincipalKeyExpiry

Aby filtrować listę zasobów na podstawie ich stanu, na przykład tylko zasoby oznaczone jako active:

https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights. servicePrincipalKeyExpiry/impactedResources?$filter=status eq Microsoft.Graph.recommendationStatus'active'

• Zanotuj AppIdwartości , CredentialIdi źródło poświadczeń, które chcesz usunąć.
• Użyj tych interfejsów API programu Microsoft Graph, aby dodać nowe hasło lub poświadczenia klucza:
  • addPassword
  • addKey
• Użyj tych interfejsów API programu Microsoft Graph, aby usunąć stare poświadczenia:
  • removePassword
  • removeKey

Przykładowa odpowiedź

{
  "id": "536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.ServicePrincipalKeyExpiry",
  "recommendationType": "servicePrincipalKeyExpiry",
  "createdDateTime": "2022-05-29T00:11:17Z",
  "impactStartDateTime": "2022-05-29T00:11:17Z",
  "postponeUntilDateTime": null,
  "lastModifiedDateTime": "2024-07-26T12:31:58Z",
  "lastModifiedBy": "System",
  "displayName": "Renew expiring service principal credentials",
  "featureAreas": [
    "applications"
  ],
  "insights": "Your tenant has service principals with credentials that will expire soon.",
  "benefits": "Renewing the service principal credential(s) before expiration ensures the application continues to function and reduces the possibility of downtime due to an expired credential.",
  "category": "identityBestPractice",
  "status": "completedBySystem",
  "priority": "high",
  "requiredLicenses": "microsoftEntraWorkloadId",
  "impactType": "apps",
  "actionSteps": [
    {
      "stepNumber": 1,
      "text": "1. Navigate to the Enterprise applications section and locate the Enterprise application for which the credential needs to be rotated."
    },
    {
      "stepNumber": 2,
      "text": "2. Navigate to the “Single sign-on” blade."
    },
    {
      "stepNumber": 3,
      "text": "3. Edit the 'SAML signing certificate' section and follow prompts to add a new certificate."
    },
    {
      "stepNumber": 4,
      "text": "4. After adding the certificate, change its properties to make certificate active. This will make the previous certificate inactive."
    },
    {
      "stepNumber": 5,
      "text": "5. Once the certificate is successfully added and activated, validate that your service is working with the new credential, and remove the old credential."
    },
    {
      "stepNumber": 6,
      "text": "6. If the service principal does not show any credentials after navigating to the enterprise apps blade, we recommend checking the 'passwordCredentials' and 'keyCredentials' property of the service principal object using PowerShell or Microsoft Graph service principal API and use the Microsoft Graph API to rotate credentials."
    }
  ]
}

Powiązana zawartość

• Zapoznaj się z omówieniem zaleceń firmy Microsoft Entra
• Dowiedz się, jak używać zaleceń firmy Microsoft Entra
• Eksplorowanie właściwości interfejsu API programu Microsoft Graph pod kątem zaleceń
• Dowiedz się więcej o zabezpieczaniu jednostek usługi