Recomendação do Microsoft Entra: Renovar credenciais de aplicativo que expiram (visualização)

As recomendações do Microsoft Entra são um recurso que fornece informações personalizadas e orientações acionáveis para alinhar seu locatário com as práticas recomendadas recomendadas.

Este artigo aborda a recomendação de renovar credenciais de aplicativo que expiram. Essa recomendação é chamada applicationCredentialExpiry na API de recomendações no Microsoft Graph.

Pré-requisitos

Existem diferentes requisitos de função para visualizar ou atualizar uma recomendação. Use a função menos privilegiada para o tipo de acesso necessário. Para obter uma lista completa de funções, consulte Funções menos privilegiadas por tarefa.

Função do Microsoft Entra	Tipo de acesso
Leitor de Relatórios	Só de leitura
Leitor de Segurança	Só de leitura
Leitor Global	Só de leitura
Administrador da Política de Autenticação	Atualizar e ler
Administrador do Exchange	Atualizar e ler
Administrador de Segurança	Atualizar e ler
DirectoryRecommendations.Read.All	Somente leitura no Microsoft Graph
DirectoryRecommendations.ReadWrite.All	Atualizar e ler no Microsoft Graph

Algumas recomendações podem exigir uma licença P2 ou outra. Para obter mais informações, consulte Disponibilidade de recomendação e requisitos de licença.

Description

As credenciais do aplicativo podem incluir certificados e outros tipos de segredos que precisam ser registrados nesse aplicativo. Essas credenciais são usadas para provar a identidade do aplicativo.

Essa recomendação aparece se o locatário tiver credenciais de aplicativo que expirarão em breve.

Uma credencial de aplicativo expirará se:

• Está em um registro de aplicativo E está expirando nos próximos 30 dias.

As seguintes credenciais estão isentas desta recomendação:

• Credenciais que foram identificadas como expirando, mas que foram removidas do registro do aplicativo
• As credenciais cuja data de expiração expirou são exibidas como concluídas na lista de Recursos afetados.

Value

Renovar as credenciais de um aplicativo antes da data de expiração é crucial para manter operações ininterruptas e minimizar o risco de qualquer tempo de inatividade resultante de credenciais desatualizadas.

Plano de ação

Esta recomendação está disponível no centro de administração do Microsoft Entra e usando a API do Microsoft Graph.

Centro de administração do Microsoft Entra

1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Segurança.

2. Navegue até Visão geral da identidade>.

3. Selecione a guia Recomendações e selecione a recomendação Renovar credenciais de aplicativo expirando.

4. Anote os seguintes detalhes da tabela Recursos afetados .

   • A coluna Recurso exibe o nome do aplicativo

   • A coluna ID exibe a ID do aplicativo

     

5. Selecione Mais detalhes na coluna Ações .

6. No painel que se abre, selecione Atualizar Credencial para navegar diretamente até a área Certificados & segredos do registro do aplicativo para renovar a credencial que está expirando.

   1. Como alternativa, navegue até Registros do aplicativo Identity>Applications>e localize o aplicativo para o qual a credencial precisa ser alternada.

   

   1. Navegue até a seção Certificados & Segredos do registro do aplicativo.

7. Escolha o tipo de credencial que deseja girar e navegue até a guia Certificados ou Segredo do Cliente e siga as instruções.

   

8. Depois que o certificado ou segredo for adicionado com êxito, atualize o código de serviço para garantir que ele funcione com a nova credencial e não afete negativamente os clientes.

9. Use os logs de entrada do Microsoft Entra para validar se a ID da chave da credencial corresponde à que foi adicionada recentemente.

10. Depois de validar a nova credencial, navegue de volta para Certificados e Segredos de registros de aplicativo>para o aplicativo e remova a credencial antiga.

Microsoft Graph API

As solicitações a seguir podem ser usadas para recuperar a recomendação e os recursos afetados usando a API do Microsoft Graph. Para usar a API do Microsoft Graph, você precisa das DirectoryRecommendations.Read.All permissões e DirectoryRecommendations.ReadWrite.All . Para obter mais informações, consulte Como usar recomendações de identidade.

1. Inicie sessão no Graph Explorer.
2. Selecione GET como o método HTTP na lista suspensa.

Para recuperar todas as recomendações para o seu inquilino:

GET https://graph.microsoft.com/beta/directory/recommendations

Na resposta, localize o ID da recomendação que corresponde ao seguinte padrão: {tenantId}_Microsoft.Identity.IAM.Insights.ApplicationCredentialExpiry.

Para identificar os recursos afetados:

GET https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights.ApplicationCredentialExpiry

Para filtrar os recursos com base em seu status (por exemplo, recursos ativos ):

GET https://graph.microsoft.com/beta/directory/recommendations/536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights. ApplicationCredentialExpiry’/impactedResources?$filter=status eq Microsoft.Graph.recommendationStatus'active'

Anote o AppId, CredentialIde Origin a credencial que você deseja remover. Para remover a credencial, use as seguintes diretrizes do Microsoft Graph:

• addPassword
• addKey
• removePassword
• removeKey

Resposta da amostra

 {
  "id": "536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.ApplicationCredentialExpiry",
  "recommendationType": "applicationCredentialExpiry",
  "createdDateTime": "2022-06-08T00:08:01Z",
  "impactStartDateTime": "2022-06-08T00:08:01Z",
  "postponeUntilDateTime": null,
  "lastModifiedDateTime": "2024-07-29T12:03:16Z",
  "lastModifiedBy": "System",
  "displayName": "Renew expiring application credentials",
  "featureAreas": [
    "applications"
  ],
  "insights": "Your tenant has applications with credentials that will expire soon.",
  "benefits": "Renewing the app credential(s) before its expiration ensures the application continues to function and reduces the possibility of downtime due to an expired credential.",
  "category": "identityBestPractice",
  "status": "active",
  "priority": "high",
  "requiredLicenses": "microsoftEntraWorkloadId",
  "impactType": "apps",
  "actionSteps": [
    {
      "stepNumber": 1,
      "text": "1. Navigate to the App registration section and locate the application for which the credential needs to be rotated."
    },
    {
      "stepNumber": 2,
      "text": "2. Navigate to the “Certificates & Secrets” blade of the app registration."
    },
    {
      "stepNumber": 3,
      "text": "3. Pick the credential type that you want to rotate and navigate to either “Certificates” or “Client Secret” tab and follow the prompts.",
      "actionUrl": null
    },
    {
      "stepNumber": 4,
      "text": "4. Once the certificate or secret is successfully added, update the service code to ensure it works with the new credential and has no negative customer impact. You should use Microsoft Entra ID’s sign-in logs to validate that the thumbprint of the certificate matches the one that was just uploaded.",
      "actionUrl": null
    },
    {
      "stepNumber": 5,
      "text": "5. After validating the new credential, navigate back to the Certificates and Secrets blade for the app and remove the old credential.",
      "actionUrl": null
    }
  ]
}

Conteúdos relacionados

• Consulte a visão geral das recomendações do Microsoft Entra
• Saiba como usar as recomendações do Microsoft Entra
• Explore as propriedades da API do Microsoft Graph para obter recomendações
• Saiba mais sobre objetos principais de aplicativo e serviço no Microsoft Entra ID