Microsoft Entra 建議：從應用程式移除未使用的認證 （預覽）

所識別建議的應用程式會出現在建議底部 受影響的資源 清單中。

1. 至少以安全性系統管理員 (部分機器翻譯) 的身分登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 [身分識別]>[概觀]。

3. 選取 [建議] 索引標籤，然後選取 [從應用程式建議移除未使用的認證]。

4. 請記下 [受影響的資源] 資料表中的 下列詳細數據 。

   • [資源] 資料行會顯示應用程式名稱
   • [標識符] 資料行會顯示應用程式識別碼

5. 從 [動作] 資料行選取 [更多詳細數據]，以檢視更多詳細數據。

   

   注意

   如果認證的來源是服務主體，請遵循服務主體一節中的指引。

6. 從開啟的面板中，選取 [更新認證 ] 以直接流覽至 應用程式註冊的 [憑證與秘密 ] 區域，以移除未使用的認證。

   1. 或者，流覽至 [身分>識別應用程式>]應用程式註冊 然後選取顯示為此建議一部分的應用程式。

      

   2. 然後流覽至 應用程式註冊的 [憑證和秘密 ] 區段。

      

7. 找出未使用的認證並加以移除。

下列要求可用來使用 Microsoft Graph API 擷取建議和受影響的資源。 若要使用 Microsoft Graph API，您需要 DirectoryRecommendations.Read.All 和 DirectoryRecommendations.ReadWrite.All 許可權。 如需詳細資訊，請參閱 如何使用身分識別建議。

1. 登入 Graph 總管。
2. 從下拉式清單中選取 [GET] 作為 HTTP 方法。

若要擷取租使用者的所有建議：

GET https://graph.microsoft.com/beta/directory/recommendations

從回應中，尋找符合下列模式的建議標識碼： {tenantId}_Microsoft.Identity.IAM.Insights.StaleAppCreds。

若要識別受影響的資源：

GET https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights.StaleAppCreds

若要根據資源的狀態來篩選資源（例如作用中的資源）：

GET https://graph.microsoft.com/eta/directory/recommendations/536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.StaleAppCreds/impactedResources?$filter=status eq Microsoft.Graph.recommendationStatus'active'

• 記下 AppId您想要移除之認證的、 CredentialId和 來源。
• 使用這些Microsoft Graph API 來新增密碼或金鑰認證：
  • removePassword
  • removeKey

範例回覆

{
  "id": "536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.StaleAppCreds",
  "recommendationType": "staleAppCreds",
  "createdDateTime": "2022-09-07T21:25:36Z",
  "impactStartDateTime": "2022-09-07T21:25:36Z",
  "postponeUntilDateTime": null,
  "lastModifiedDateTime": "2024-07-22T15:23:29Z",
  "lastModifiedBy": "System",
  "displayName": "Remove unused credentials from applications",
  "featureAreas": [
    "applications"
  ],
  "insights": "Your tenant has applications with credentials which have not been used in more than 30 days.",
  "benefits": "An application credential is used to get a token that grants access to a resource or another service.",
  "category": "identityBestPractice",
  "status": "active",
  "priority": "medium",
  "releaseType": "preview",
  "requiredLicenses": "microsoftEntraWorkloadId",
  "impactType": "apps",
  "actionSteps": [
    {
      "stepNumber": 1,
      "text": "1. For application resources, navigate to the app registration section in your tenant."
    },
    {
      "stepNumber": 2,
      "text": "2. In the ‘Certificate and Secrets’ blade, find the credential and remove it."
    },
    {
      "stepNumber": 3,
      "text": "3. To remove a credential from a service principal resource, use the MS Graph Service Principal API service action ",
      "actionUrl": {
        "displayName": "`removePassword`",
        "url": "https://docs.microsoft.com/graph/api/serviceprincipal-removepassword?view=graph-rest-1.0&tabs=http"
      }
    }
  ]
}