No Service Principal with Client Secret and permanent role assignment on Control Plane

Por Que Esto es Importante

Los service principals con secretos de cliente y asignaciones permanentes de roles de alto privilegio en el plano de control representan un riesgo de seguridad significativo. Si un secreto de cliente se ve comprometido, un atacante puede mantener acceso elevado persistente a su entorno de Azure. El uso de certificados con periodos de validez mas cortos o identidades administradas reduce esta superficie de ataque y se alinea con los principios de minimo privilegio.

Que Verifica Aether365

Esta verificacion examina los service principals en su inquilino de Microsoft 365 que tienen tanto un secreto de cliente configurado como una asignacion permanente a un rol de alto privilegio en el plano de control de Azure. Aparece en su panel de Aether365 bajo la categoria de verificaciones microsoft-365.

Como Solucionarlo

1. Identifique el service principal desde la alerta de Aether365 y anote su registro de aplicacion.
2. Revise si el service principal puede reemplazarse completamente por una identidad administrada (para recursos de Azure) para la autenticacion.
3. Si se requiere un service principal, navegue al Azure Portal y vaya a Azure Active Directory > App registrations.
4. Seleccione el registro de aplicacion del service principal, vaya a Certificates and secrets y elimine el secreto de cliente.
5. Cargue un certificado (X.509) en la pestana Certificates en lugar de usar un secreto de cliente.
6. Rote el certificado regularmente mediante un cronograma o una canalizacion de automatizacion.
7. Para la asignacion de roles de alto privilegio, considere usar acceso justo a tiempo (JIT) a traves de Privileged Identity Management en lugar de una asignacion permanente.

Cumplimiento Normativo

• Ninguno citado directamente, pero se alinea con las recomendaciones de CIS y CISA para seguridad de credenciales y minimo privilegio.

Recursos Relacionados

• Managed identities for Azure resources
• Use certificates for Azure AD application authentication
• What is Privileged Identity Management?

Microsoft references

• Service accounts principal
• Secure best practices