如何为应用程序配置应用实例属性锁

应用程序实例锁定是 Microsoft Entra ID 中的一项功能，它允许在另一个租户中预配应用程序后，锁定多租户应用程序对象的敏感属性以进行修改。 如果应用程序不支持需要配置某些属性的方案，则此功能为应用程序开发人员提供了锁定这些属性的功能。

什么是敏感属性？

以下属性使用方案被视为敏感：

• 使用类型为 Sign 的凭据。 这是你的应用程序支持 SAML 流的方案。
• 使用类型为 Verify 的凭据。 在此方案中，应用程序支持 OIDC 客户端凭据流。
• TokenEncryptionKeyId，指定 keyCredentials 集合中公钥的 keyId。 配置后，Microsoft Entra ID 将使用此属性指向的密钥加密它发出的所有令牌。 接收加密令牌的应用程序代码必须使用匹配的私钥对令牌进行解密，然后才能将其用于登录用户。

注意

默认情况下，为使用 Microsoft Entra 管理中心创建的所有新应用程序启用应用实例锁。

配置应用实例锁

提示

本文中的步骤可能因开始使用的门户而略有不同。

若要配置应用实例锁，请执行以下操作：

1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。

2. 如果有权访问多个租户，请使用顶部菜单中的“设置”图标 ，从“目录 + 订阅”菜单切换到包含应用注册的租户。

3. 浏览到“标识”>“应用程序”>“应用注册”。

4. 选择要配置的应用程序。

5. 选择“身份验证”，然后选择“应用实例属性锁定”部分下的“配置”。

   

6. 在“应用实例属性锁”窗格中，输入锁的设置。 图像下面的表格描述每个设置及其参数。

   

   字段	说明
   启用属性锁	指定是否启用属性锁。
   所有属性	锁定所有敏感属性，而无需选择每个属性方案。
   用于验证的凭据	锁定添加或更新用于验证的凭据属性的功能。
   用于签署令牌的凭据	锁定添加或更新用于签名令牌的凭据属性的功能。
   令牌加密 KeyId	锁定更改 tokenEncryptionKeyId 属性的功能。

7. 选择“保存”以保存更改。

使用 Microsoft Graph 配置应用实例锁定

可以通过多租户应用的 application 对象的 servicePrincipalLockConfiguration 属性来管理应用实例锁定功能。 有关详细信息，请参阅锁定服务主体的敏感属性。