Microsoft Entra 권장 사항: 만료되는 서비스 사용자 자격 증명 갱신(미리 보기)

1. 최소한 보안 관리자로 Microsoft Entra 관리 센터에 로그인합니다.

2. ID>개요로 이동합니다.

3. 권장 사항 탭을 선택하고 만료되는 서비스 주체 자격 증명 갱신 권장 사항을 선택합니다.

4. 작업 열에서 자세히를 선택합니다.

5. 열리는 패널에서 자격 증명 업데이트를 선택하여 앱 등록의 Single Sign-On 영역으로 직접 이동합니다.

   1. 또는 ID>애플리케이션>앱 등록 찾아 자격 증명을 회전해야 하는 애플리케이션을 찾습니다.

   

   1. 앱 등록의 Single Sign-On 섹션으로 이동합니다.

6. SAML 서명 인증서 섹션을 편집하고 프롬프트에 따라 새 인증서를 추가합니다.

   

7. 인증서 또는 비밀이 성공적으로 추가되면 SAML 서명 인증서 구성을 업데이트하여 새 인증서를 활성화합니다.

8. 애플리케이션이 예상대로 작동하는지 확인한 다음 SAML 인증서 컬렉션에서 비활성 SAML 인증서를 제거합니다.

다음 요청을 사용하여 Microsoft Graph API를 사용하여 권장 사항 및 영향을 받은 리소스를 검색할 수 있습니다. Microsoft Graph API를 사용하려면 권한과 DirectoryRecommendations.ReadWrite.All 권한이 필요합니다DirectoryRecommendations.Read.All. 자세한 내용은 ID 권장 사항을 사용하는 방법을 참조 하세요.

Microsoft Graph를 사용하여 서비스 사용자 자격 증명을 갱신하는 경우 쿼리를 실행하여 서비스 사용자의 암호 자격 증명을 가져오고 새 암호 자격 증명을 추가한 다음, 이전 자격 증명을 제거해야 합니다.

1. Graph Explorer에 로그인합니다.
2. 드롭다운에서 HTTP 메서드로 GET를 선택합니다.

테넌트에 대한 모든 권장 사항을 검색하려면 다음을 수행합니다.

GET https://graph.microsoft.com/beta/directory/recommendations

응답에서 다음 패턴 {tenantId}_Microsoft.Identity.IAM.Insights.servicePrincipalKeyExpiry과 일치하는 권장 사항의 ID를 찾습니다.

영향을 받은 리소스를 식별하려면 다음을 수행합니다.

GET https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights.servicePrincipalKeyExpiry

상태에 따라 리소스 목록을 필터링하려면(예: 다음으로 active표시된 리소스만)

https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights. servicePrincipalKeyExpiry/impactedResources?$filter=status eq Microsoft.Graph.recommendationStatus'active'

• 제거할 자격 증명의 AppIdCredentialId원본 및 해당 원본을 기록해 둡다.
• 다음 Microsoft Graph API를 사용하여 새 암호 또는 키 자격 증명을 추가합니다.
  • addPassword
  • addKey
• 다음 Microsoft Graph API를 사용하여 이전 자격 증명을 제거합니다.
  • removePassword
  • removeKey

샘플 응답

{
  "id": "536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.ServicePrincipalKeyExpiry",
  "recommendationType": "servicePrincipalKeyExpiry",
  "createdDateTime": "2022-05-29T00:11:17Z",
  "impactStartDateTime": "2022-05-29T00:11:17Z",
  "postponeUntilDateTime": null,
  "lastModifiedDateTime": "2024-07-26T12:31:58Z",
  "lastModifiedBy": "System",
  "displayName": "Renew expiring service principal credentials",
  "featureAreas": [
    "applications"
  ],
  "insights": "Your tenant has service principals with credentials that will expire soon.",
  "benefits": "Renewing the service principal credential(s) before expiration ensures the application continues to function and reduces the possibility of downtime due to an expired credential.",
  "category": "identityBestPractice",
  "status": "completedBySystem",
  "priority": "high",
  "requiredLicenses": "microsoftEntraWorkloadId",
  "impactType": "apps",
  "actionSteps": [
    {
      "stepNumber": 1,
      "text": "1. Navigate to the Enterprise applications section and locate the Enterprise application for which the credential needs to be rotated."
    },
    {
      "stepNumber": 2,
      "text": "2. Navigate to the “Single sign-on” blade."
    },
    {
      "stepNumber": 3,
      "text": "3. Edit the 'SAML signing certificate' section and follow prompts to add a new certificate."
    },
    {
      "stepNumber": 4,
      "text": "4. After adding the certificate, change its properties to make certificate active. This will make the previous certificate inactive."
    },
    {
      "stepNumber": 5,
      "text": "5. Once the certificate is successfully added and activated, validate that your service is working with the new credential, and remove the old credential."
    },
    {
      "stepNumber": 6,
      "text": "6. If the service principal does not show any credentials after navigating to the enterprise apps blade, we recommend checking the 'passwordCredentials' and 'keyCredentials' property of the service principal object using PowerShell or Microsoft Graph service principal API and use the Microsoft Graph API to rotate credentials."
    }
  ]
}