Microsoft Entra-rekommendation: Förnya utgångna autentiseringsuppgifter för tjänstens huvudnamn (förhandsversion)

1. Logga in på administrationscentret för Microsoft Entra som minst säkerhetsadministratör.

2. Bläddra till Identitetsöversikt>.

3. Välj fliken Rekommendationer och välj rekommendationen Förnya utgångna autentiseringsuppgifter för tjänstens huvudnamn.

4. Välj Mer information i kolumnen Åtgärder .

5. I panelen som öppnas väljer du Uppdatera autentiseringsuppgifter för att navigera direkt till området Enkel inloggning i appregistreringen.

   1. Du kan också bläddra till Identitetsprogram>> Appregistreringar och leta upp programmet som autentiseringsuppgifterna måste roteras för.

   

   1. Gå till avsnittet Enkel inloggning i appregistreringen.

6. Redigera avsnittet SAML-signeringscertifikat och följ anvisningarna för att lägga till ett nytt certifikat.

   

7. När certifikatet eller hemligheten har lagts till uppdaterar du konfigurationen för SAML-signeringscertifikat för att göra det nya certifikatet aktivt.

8. Kontrollera att programmet fungerar som förväntat och ta sedan bort det inaktiva SAML-certifikatet från SAML-certifikatsamlingen.

Följande begäranden kan användas för att hämta rekommendationen och de resurser som påverkas med hjälp av Microsoft Graph API. Om du vill använda Microsoft Graph-API:et behöver du behörigheterna DirectoryRecommendations.Read.All och DirectoryRecommendations.ReadWrite.All . Mer information finns i Använda identitetsrekommendationer.

När du förnyar autentiseringsuppgifterna för tjänstens huvudnamn med Hjälp av Microsoft Graph måste du köra en fråga för att hämta autentiseringsuppgifterna för lösenord på tjänstens huvudnamn, lägga till en ny lösenordsautentiseringsuppgift och sedan ta bort de gamla autentiseringsuppgifterna.

1. Logga in på Graph Explorer.
2. Välj GET som HTTP-metod i listrutan.

Så här hämtar du alla rekommendationer för din klientorganisation:

GET https://graph.microsoft.com/beta/directory/recommendations

I svaret hittar du ID:t för rekommendationen som matchar följande mönster: {tenantId}_Microsoft.Identity.IAM.Insights.servicePrincipalKeyExpiry.

Så här identifierar du resurser som påverkas:

GET https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights.servicePrincipalKeyExpiry

Om du vill filtrera listan över resurser baserat på deras status, till exempel endast resurser som har markerats som active:

https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights. servicePrincipalKeyExpiry/impactedResources?$filter=status eq Microsoft.Graph.recommendationStatus'active'

• Anteckna AppId, CredentialIdoch ursprunget för de autentiseringsuppgifter som du vill ta bort.
• Använd dessa Microsoft Graph-API:er för att lägga till ett nytt lösenord eller nyckelautentiseringsuppgifter:
  • addPassword
  • addKey
• Använd dessa Microsoft Graph-API:er för att ta bort de gamla autentiseringsuppgifterna:
  • removePassword
  • removeKey

Exempelsvar

{
  "id": "536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.ServicePrincipalKeyExpiry",
  "recommendationType": "servicePrincipalKeyExpiry",
  "createdDateTime": "2022-05-29T00:11:17Z",
  "impactStartDateTime": "2022-05-29T00:11:17Z",
  "postponeUntilDateTime": null,
  "lastModifiedDateTime": "2024-07-26T12:31:58Z",
  "lastModifiedBy": "System",
  "displayName": "Renew expiring service principal credentials",
  "featureAreas": [
    "applications"
  ],
  "insights": "Your tenant has service principals with credentials that will expire soon.",
  "benefits": "Renewing the service principal credential(s) before expiration ensures the application continues to function and reduces the possibility of downtime due to an expired credential.",
  "category": "identityBestPractice",
  "status": "completedBySystem",
  "priority": "high",
  "requiredLicenses": "microsoftEntraWorkloadId",
  "impactType": "apps",
  "actionSteps": [
    {
      "stepNumber": 1,
      "text": "1. Navigate to the Enterprise applications section and locate the Enterprise application for which the credential needs to be rotated."
    },
    {
      "stepNumber": 2,
      "text": "2. Navigate to the “Single sign-on” blade."
    },
    {
      "stepNumber": 3,
      "text": "3. Edit the 'SAML signing certificate' section and follow prompts to add a new certificate."
    },
    {
      "stepNumber": 4,
      "text": "4. After adding the certificate, change its properties to make certificate active. This will make the previous certificate inactive."
    },
    {
      "stepNumber": 5,
      "text": "5. Once the certificate is successfully added and activated, validate that your service is working with the new credential, and remove the old credential."
    },
    {
      "stepNumber": 6,
      "text": "6. If the service principal does not show any credentials after navigating to the enterprise apps blade, we recommend checking the 'passwordCredentials' and 'keyCredentials' property of the service principal object using PowerShell or Microsoft Graph service principal API and use the Microsoft Graph API to rotate credentials."
    }
  ]
}