Enforce credential configurations on apps and service principals
De ce contează acest lucru
Microsoft Entra ID permite, în mod implicit, ca entitățile de tip service principal și aplicațiile să fie configurate cu acreditări slabe. Atacatorii pot exploata aceste acreditări slabe pentru a obține acces neautorizat la resursele organizației dumneavoastră și la datele sensibile. Impunerea unor politici stricte privind acreditările reduce suprafața de atac și ajută la prevenirea breșelor bazate pe acreditări.
Ce verifică Aether365
Aether365 verifică dacă chiriașul dumneavoastră are o politică implicită de gestionare a aplicațiilor care impune restricții privind acreditările pentru aplicații și entitățile service principal. Această verificare apare în tabloul de bord Aether365, în cadrul verificărilor serviciului microsoft-365.
Cum se remediază
- Conectați-vă la Microsoft Graph PowerShell cu permisiunile necesare:
Connect-MgGraph -Scopes "Policy.ReadWrite.ApplicationConfiguration" - Importați modulul Microsoft.Graph.Identity.SignIns:
Import-Module Microsoft.Graph.Identity.SignIns - Creați sau actualizați politica implicită de gestionare a aplicațiilor utilizând cmdletul
Update-MgPolicyDefaultAppManagementPolicycu parametrii eșantion furnizați în această documentație. - Configurați restricțiile privind parolele, inclusiv adăugarea de parole, durata de viață a parolelor, adăugarea de chei simetrice, durata de viață a cheilor simetrice și adăugarea de parole personalizate, așa cum se arată în politica eșantion.
- Configurați restricțiile privind acreditările de tip cheie, cu limite ale duratei de viață a cheilor asimetrice de cel mult 365 de zile.
- Verificați dacă politica este activată și aplicată corect, rulând comanda
Get-MgPolicyDefaultAppManagementPolicy.
Conformitate
- CIS Microsoft 365 Foundations Benchmark
- EIDSCA (Enterprise Identity Secure Control Assessment)
Resurse conexe
- Microsoft Learn: Gestionarea politicilor aplicațiilor în Microsoft Entra ID
- [Microsoft Graph PowerShell: Update-MgPolicyDefaultAppManagementPolicy](https://learn.microsoft.com/en-us/powershell/module/microsoft.graph.identity.signins/update-mgpolicyd efaultappmanagementpolicy)