App registrations should no longer use secrets

Neden Önemlidir

Uygulama sırları (istemci sırları veya parolalar gibi) yanlış saklandığında veya kod depolarında açığa çıktığında tehlikeye atılabilir. Bu sırları ele geçiren saldırganlar, uygulamalarınızın kimliğine bürünebilir ve hassas verilere yetkisiz erişim sağlayabilir. Sertifika tabanlı kimlik doğrulama veya yönetilen kimliklere geçiş yapmak, uzun ömürlü statik kimlik bilgilerini ortadan kaldırarak bu riski bertaraf eder.

Aether365 Ne Kontrol Eder

Bu denetim, Microsoft 365 kiracınızda hala istemci sırlarına dayalı kimlik doğrulama kullanan uygulama kayıtlarını tarar. Aether365 panosunda microsoft-365 kontrolleri bölümü altında görünür ve daha güvenli kimlik doğrulama yöntemlerine güncellenmesi gereken uygulamaları vurgular.

Nasıl Düzeltilir

1. Azure Portal'da (portal.azure.com) oturum açın ve Azure Active Directory > App registrations bölümüne gidin.
2. Sır kullanan uygulama kaydını seçin.
3. Manage altında Certificates and secrets öğesine tıklayın.
4. Mevcut tüm istemci sırlarını kaldırın ve bunun yerine bir sertifika ekleyin. Uygulama kaydına bir ortak anahtar sertifika dosyası (.cer) yükleyin.
5. Uygulama kodunu, sır yerine sertifikayı kullanarak kimlik doğrulaması yapacak şekilde güncelleyin.
6. Azure'da çalışan uygulamalar için, kimlik bilgisi yönetimini tamamen ortadan kaldırmak amacıyla yönetilen kimlikleri kullanmayı değerlendirin.

Uyumluluk

• CIS Microsoft 365 Foundations Benchmark: Doğrudan eşlenmemiştir
• CISA Azure Security Baseline: Uygulama kaydı en iyi uygulamalarına atıfta bulunur
• EIDSCA: Belirli bir eşleme yoktur

İlgili Kaynaklar

• Microsoft Learn: Uygulama kaydı sırları en iyi uygulamaları
• Microsoft Learn: Yönetilen kimlikler genel bakış

Microsoft references

• Workload identity federation create trust