Microsoft Entra-Empfehlung: Entfernen nicht verwendeter Anmeldeinformationen aus Apps (Vorschau)

Anwendungen, die von der Empfehlung identifiziert wurden, erscheinen in der Liste der betroffenen Ressourcen am Ende der Empfehlung.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens mit der Rolle Sicherheitsadministrator an.

2. Browsen Sie zu Identität>Übersicht.

3. Wählen Sie die Registerkarte Empfehlungen und dann die Empfehlung Entfernen nicht verwendeter Anmeldeinformationen aus.

4. Beachten Sie die folgenden Details der Tabelle Betroffene Ressourcen.

   • In der Spalte Ressource wird der Anwendungsname angezeigt
   • In der Spalte ID wird die Anwendungs-ID angezeigt

5. Wählen Sie Weitere Details in der Spalte Aktionen aus, um weitere Informationen anzuzeigen.

   

   Hinweis

   Wenn der Ursprung der Anmeldeinformation „Dienstprinzipal“ lautet, folgen Sie dem Leitfaden im Abschnitt Dienstprinzipale.

6. Wählen Sie im sich öffnenden Bereich Anmeldeinformationen aktualisieren aus, um direkt zum Bereich Zertifikate und Geheimnisse der App-Registrierung zu navigieren, um die nicht verwendete Anmeldeinformation zu entfernen.

   1. Navigieren Sie alternativ zu Identität>Anwendungen>App-Registrierungen, und wählen Sie die Anwendung, die im Rahmen dieser Empfehlung angezeigt wurde.

      

   2. Navigieren Sie dann zum Abschnitt Zertifikate & Geheimnisse der App-Registrierung.

      

7. Suchen Sie die nicht verwendete Anmeldeinformation, und entfernen Sie diese.

Die folgenden Anforderungen können verwendet werden, um die Empfehlung und die betroffenen Ressourcen mithilfe der Microsoft Graph-API abzurufen. Um die Microsoft Graph-API zu verwenden, benötigen Sie die Berechtigungen DirectoryRecommendations.Read.All und DirectoryRecommendations.ReadWrite.All. Weitere Informationen finden Sie unter Verwenden von Identitätsempfehlungen.

1. Melden Sie sich bei Graph Explorer an.
2. Wählen Sie in der Dropdownliste GET als HTTP-Methode aus.

Gehen Sie folgendermaßen vor, um alle Empfehlungen für Ihren Mandanten abzurufen:

GET https://graph.microsoft.com/beta/directory/recommendations

Suchen Sie in der Antwort die ID der Empfehlung, die dem folgenden Muster entspricht: {tenantId}_Microsoft.Identity.IAM.Insights.StaleAppCreds.

Die betroffenen Ressourcen können Sie folgendermaßen identifizieren:

GET https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights.StaleAppCreds

Gehen Sie folgendermaßen vor, um die Ressourcen anhand ihres Status (z. B. aktive Ressourcen) zu filtern:

GET https://graph.microsoft.com/eta/directory/recommendations/536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.StaleAppCreds/impactedResources?$filter=status eq Microsoft.Graph.recommendationStatus'active'

• Notieren Sie sich die AppId, CredentialId und den Ursprung der Anmeldeinformation, die Sie entfernen möchten.
• Verwenden Sie diese Microsoft Graph-APIs, um ein neues Kennwort oder eine Schlüsselanmeldeinformation hinzuzufügen:
  • removePassword
  • removeKey

Beispiel für eine Antwort

{
  "id": "536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.StaleAppCreds",
  "recommendationType": "staleAppCreds",
  "createdDateTime": "2022-09-07T21:25:36Z",
  "impactStartDateTime": "2022-09-07T21:25:36Z",
  "postponeUntilDateTime": null,
  "lastModifiedDateTime": "2024-07-22T15:23:29Z",
  "lastModifiedBy": "System",
  "displayName": "Remove unused credentials from applications",
  "featureAreas": [
    "applications"
  ],
  "insights": "Your tenant has applications with credentials which have not been used in more than 30 days.",
  "benefits": "An application credential is used to get a token that grants access to a resource or another service.",
  "category": "identityBestPractice",
  "status": "active",
  "priority": "medium",
  "releaseType": "preview",
  "requiredLicenses": "microsoftEntraWorkloadId",
  "impactType": "apps",
  "actionSteps": [
    {
      "stepNumber": 1,
      "text": "1. For application resources, navigate to the app registration section in your tenant."
    },
    {
      "stepNumber": 2,
      "text": "2. In the ‘Certificate and Secrets’ blade, find the credential and remove it."
    },
    {
      "stepNumber": 3,
      "text": "3. To remove a credential from a service principal resource, use the MS Graph Service Principal API service action ",
      "actionUrl": {
        "displayName": "`removePassword`",
        "url": "https://docs.microsoft.com/graph/api/serviceprincipal-removepassword?view=graph-rest-1.0&tabs=http"
      }
    }
  ]
}