Enforce credential configurations on apps and service principals
Perché è Importante
Microsoft Entra ID permette per impostazione predefinita di configurare entità servizio e applicazioni con credenziali deboli. Gli aggressori possono sfruttare queste credenziali deboli per ottenere accesso non autorizzato alle risorse e ai dati sensibili della tua organizzazione. Imporre criteri di credenziali forti riduce la superficie di attacco e aiuta a prevenire violazioni basate sulle credenziali.
Cosa Controlla Aether365
Aether365 verifica che il tuo tenant abbia un criterio di gestione delle applicazioni predefinito che imponga restrizioni sulle credenziali per app ed entità servizio. Questo controllo appare nella dashboard di Aether365 sotto i controlli del servizio microsoft-365.
Come Risolvere
- Connettiti a Microsoft Graph PowerShell con le autorizzazioni necessarie:
Connect-MgGraph -Scopes "Policy.ReadWrite.ApplicationConfiguration" - Importa il modulo Microsoft.Graph.Identity.SignIns:
Import-Module Microsoft.Graph.Identity.SignIns - Crea o aggiorna il criterio di gestione delle applicazioni predefinito usando il cmdlet
Update-MgPolicyDefaultAppManagementPolicycon i parametri di esempio forniti in questa documentazione. - Configura le restrizioni sulle password, inclusi l'aggiunta di password, la durata delle password, l'aggiunta di chiavi simmetriche, la durata delle chiavi simmetriche e l'aggiunta di password personalizzate come mostrato nel criterio di esempio.
- Configura le restrizioni sulle credenziali delle chiavi con limiti di durata delle chiavi asimmetriche non superiori a 365 giorni.
- Verifica che il criterio sia abilitato e applicato correttamente eseguendo
Get-MgPolicyDefaultAppManagementPolicy.
Conformità
- CIS Microsoft 365 Foundations Benchmark
- EIDSCA (Enterprise Identity Secure Control Assessment)
Risorse Correlate
- Microsoft Learn: Gestire i criteri delle app in Microsoft Entra ID
- [Microsoft Graph PowerShell: Update-MgPolicyDefaultAppManagementPolicy](https://learn.microsoft.com/en-us/powershell/module/microsoft.graph.identity.signins/update-mgpolicyd efaultappmanagementpolicy)