Enforce credential configurations on apps and service principals
Por qué es importante
De forma predeterminada, Microsoft Entra ID permite que las entidades de servicio y las aplicaciones se configuren con credenciales débiles. Los atacantes pueden aprovechar estas credenciales débiles para obtener acceso no autorizado a los recursos de su organización y a datos confidenciales. La aplicación de políticas de credenciales sólidas reduce la superficie de ataque y ayuda a prevenir filtraciones basadas en credenciales.
Qué verifica Aether365
Aether365 verifica que su inquilino tenga una política de administración de aplicaciones predeterminada que imponga restricciones de credenciales para aplicaciones y entidades de servicio. Esta comprobación aparece en el panel de Aether365 bajo las comprobaciones del servicio microsoft-365.
Cómo solucionarlo
- Conéctese a Microsoft Graph PowerShell con los permisos necesarios:
Connect-MgGraph -Scopes "Policy.ReadWrite.ApplicationConfiguration" - Importe el módulo Microsoft.Graph.Identity.SignIns:
Import-Module Microsoft.Graph.Identity.SignIns - Cree o actualice la política de administración de aplicaciones predeterminada mediante el cmdlet
Update-MgPolicyDefaultAppManagementPolicycon los parámetros de ejemplo proporcionados en esta documentación. - Configure las restricciones de contraseñas, incluyendo la adición de contraseñas, la duración de las contraseñas, la adición de claves simétricas, la duración de las claves simétricas y la adición de contraseñas personalizadas, tal como se muestra en la política de ejemplo.
- Configure las restricciones de credenciales de clave con límites de duración de claves asimétricas de no más de 365 días.
- Verifique que la política esté habilitada y aplicada correctamente ejecutando
Get-MgPolicyDefaultAppManagementPolicy.
Cumplimiento
- CIS Microsoft 365 Foundations Benchmark
- EIDSCA (Enterprise Identity Secure Control Assessment)
Recursos relacionados
- Microsoft Learn: Manage app policies in Microsoft Entra ID
- [Microsoft Graph PowerShell: Update-MgPolicyDefaultAppManagementPolicy](https://learn.microsoft.com/en-us/powershell/module/microsoft.graph.identity.signins/update-mgpolicyd efaultappmanagementpolicy)