Microsoft Entra のレコメンデーション: 期限切れのサービス プリンシパル資格情報を更新する (プレビュー)

1. セキュリティ管理者以上として Microsoft Entra 管理センターにサインインします。

2. ID>概要 を参照します。

3. [推奨事項] タブを選択し、[期限切れ間近のサービス プリンシパルの資格情報を更新する] 推奨事項を選択します。

4. [アクション] 列から [詳細] を選択します。

5. 開いたパネルから [資格情報の更新] を選択し、アプリ登録の [シングル サインオン] 領域に直接移動します。

   1. または、[ID]>[アプリケーション]>[アプリの登録] を参照し、資格情報をローテーションする必要があるアプリケーションを見つけます。

   

   1. アプリ登録の [シングル サインオン] セクションに移動します。

6. [SAML 署名証明書] セクションを編集し、プロンプトに従って新しい証明書を追加します。

   

7. 証明書またはシークレットが正常に追加されたら、SAML 署名証明書の構成を更新して、新しい証明書をアクティブにします。

8. アプリケーションが期待どおりに動作することを確認し、非アクティブな SAML 証明書を SAML 証明書コレクションから削除します。

次の要求を使用すると、Microsoft Graph API で推奨事項と影響を受けるリソースを取得できます。 Microsoft Graph API を使用するには、DirectoryRecommendations.Read.All と DirectoryRecommendations.ReadWrite.All のアクセス許可が必要です。 詳細については、ID の推奨事項の使用方法に関する記事を参照してください。

Microsoft Graph を使用してサービス プリンシパルの資格情報を更新する場合は、クエリを実行してサービス プリンシパルのパスワード資格情報を取得し、新しいパスワード資格情報を追加してから、古い資格情報を削除する必要があります。

1. グラフ エクスプローラーにサインインします
2. ドロップダウンから HTTP メソッドとして [GET] を選択します。

テナントのすべての推奨事項を取得するには:

GET https://graph.microsoft.com/beta/directory/recommendations

応答から、次のパターンに一致する推奨事項の ID を見つけます: {tenantId}_Microsoft.Identity.IAM.Insights.servicePrincipalKeyExpiry。

影響を受けるリソースを特定するには:

GET https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights.servicePrincipalKeyExpiry

状態に基づいてリソースの一覧をフィルター処理するには (たとえば、active としてマークされているリソースのみ):

https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights. servicePrincipalKeyExpiry/impactedResources?$filter=status eq Microsoft.Graph.recommendationStatus'active'

• 削除する資格情報の AppId、CredentialId、情報元をメモしておきます。
• 次の Microsoft Graph API を使用して、新しいパスワードまたはキー資格情報を追加します。
  • addPassword
  • addKey
• 古い資格情報を削除するには、次の Microsoft Graph API を使用します。
  • removePassword
  • removeKey

サンプル応答

{
  "id": "536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.ServicePrincipalKeyExpiry",
  "recommendationType": "servicePrincipalKeyExpiry",
  "createdDateTime": "2022-05-29T00:11:17Z",
  "impactStartDateTime": "2022-05-29T00:11:17Z",
  "postponeUntilDateTime": null,
  "lastModifiedDateTime": "2024-07-26T12:31:58Z",
  "lastModifiedBy": "System",
  "displayName": "Renew expiring service principal credentials",
  "featureAreas": [
    "applications"
  ],
  "insights": "Your tenant has service principals with credentials that will expire soon.",
  "benefits": "Renewing the service principal credential(s) before expiration ensures the application continues to function and reduces the possibility of downtime due to an expired credential.",
  "category": "identityBestPractice",
  "status": "completedBySystem",
  "priority": "high",
  "requiredLicenses": "microsoftEntraWorkloadId",
  "impactType": "apps",
  "actionSteps": [
    {
      "stepNumber": 1,
      "text": "1. Navigate to the Enterprise applications section and locate the Enterprise application for which the credential needs to be rotated."
    },
    {
      "stepNumber": 2,
      "text": "2. Navigate to the “Single sign-on” blade."
    },
    {
      "stepNumber": 3,
      "text": "3. Edit the 'SAML signing certificate' section and follow prompts to add a new certificate."
    },
    {
      "stepNumber": 4,
      "text": "4. After adding the certificate, change its properties to make certificate active. This will make the previous certificate inactive."
    },
    {
      "stepNumber": 5,
      "text": "5. Once the certificate is successfully added and activated, validate that your service is working with the new credential, and remove the old credential."
    },
    {
      "stepNumber": 6,
      "text": "6. If the service principal does not show any credentials after navigating to the enterprise apps blade, we recommend checking the 'passwordCredentials' and 'keyCredentials' property of the service principal object using PowerShell or Microsoft Graph service principal API and use the Microsoft Graph API to rotate credentials."
    }
  ]
}