Microsoft Entra introducción a la API de métodos de autenticación de aplicaciones

  • Artículo

Espacio de nombres: microsoft.graph

Importante

Las API de la versión /beta de Microsoft Graph están sujetas a cambios. No se admite el uso de estas API en aplicaciones de producción. Para determinar si una API está disponible en la versión 1.0, use el selector de Versión.

Los métodos de autenticación de aplicaciones, como certificados y secretos de contraseña, permiten a las aplicaciones adquirir tokens para acceder a los datos de Microsoft Entra ID. Las directivas permiten a los administradores de TI aplicar los procedimientos recomendados para la forma en que las aplicaciones de sus organizaciones usan estos métodos de autenticación de aplicaciones. Por ejemplo, un administrador podría configurar una directiva para bloquear el uso o limitar la duración de los secretos de contraseña y usar la fecha de creación del objeto para aplicar la directiva.

Estas directivas permiten a las organizaciones aprovechar las nuevas características de protección de seguridad de aplicaciones. Al aplicar restricciones basadas en la fecha de creación de la aplicación o entidad de servicio, una organización puede revisar su posición actual de seguridad de la aplicación, las aplicaciones de inventario y aplicar controles según sus programaciones y necesidades de recursos. Este enfoque mediante la fecha de creación permite a la organización aplicar la directiva para nuevas aplicaciones y también aplicarla a las aplicaciones existentes.

Hay dos tipos de controles de directiva:

  • Directiva predeterminada del inquilino que se aplica a todas las aplicaciones o entidades de servicio.
  • Directivas de administración de aplicaciones (aplicación o entidad de servicio) que permiten la inclusión o exclusión de aplicaciones individuales de la directiva predeterminada del inquilino.

Directiva de administración de aplicaciones predeterminada del inquilino

Una directiva predeterminada de inquilino es un único objeto que siempre existe y está deshabilitado de forma predeterminada. Se define mediante el recurso tenantAppManagementPolicy y aplica restricciones en los objetos de aplicación y entidad de servicio. Contiene las dos propiedades siguientes:

  • applicationRestrictions permite dirigirse a aplicaciones propiedad del inquilino (objetos de aplicación).
  • servicePrincipalRestrictions permite el aprovisionamiento de destino desde otro inquilino (objetos de entidad de servicio.

Estas propiedades permiten a una organización bloquear el uso de credenciales en las aplicaciones que se originan en su inquilino y proporcionar un mecanismo para controlar la adición de credenciales en aplicaciones aprovisionadas externamente para protegerlas del abuso de credenciales. El propietario de la aplicación de una aplicación multiinquilino podría seguir usando cualquier tipo de credenciales en su objeto de aplicación, pero la directiva solo protege a la entidad de servicio del abuso de credenciales.

Directiva de administración de aplicaciones para aplicaciones y entidades de servicio

Las directivas de administración de aplicaciones se definen en el recurso appManagementPolicy , que contiene una colección de directivas con restricciones variables o fechas de cumplimiento diferentes de las definidas en la directiva predeterminada del inquilino. Una de estas directivas se puede asignar a una aplicación o entidad de servicio, excluidas de la directiva predeterminada del inquilino.

Cuando existe la directiva predeterminada del inquilino y una directiva de administración de aplicaciones, la directiva de administración de aplicaciones tiene prioridad y la aplicación o entidad de servicio asignada no hereda de la directiva predeterminada del inquilino. Solo se puede asignar una directiva a una aplicación o entidad de servicio.

Nota:

Ni las directivas predeterminadas del inquilino ni las directivas de administración de aplicaciones bloquean la emisión de tokens para las aplicaciones existentes. Una aplicación que no cumpla los requisitos de directiva seguirá funcionando hasta que intente actualizar el recurso para agregar un nuevo secreto.

¿Qué restricciones se pueden administrar en Microsoft Graph?

La API de directiva de métodos de autenticación de aplicaciones ofrece las siguientes restricciones:

Nombre de restricción Descripción Ejemplos
passwordAddition Restrinja completamente los secretos de contraseña en las aplicaciones. Bloquee las contraseñas nuevas en las aplicaciones creadas en o después de '01/01/2019'.
passwordLifetime Aplicar un intervalo de duración máximo para un secreto de contraseña. Restrinja todos los nuevos secretos de contraseña a un máximo de 30 días para las aplicaciones creadas después del 01/01/2015.
customPasswordAddition Restringir un secreto de contraseña personalizado en la aplicación o la entidad de servicio. Restrinja todos los nuevos secretos de contraseña personalizados (no generados por Azure AD) en las aplicaciones creadas después del 01/01/2015.
symmetricKeyAddition Restringir las claves simétricas en las aplicaciones. Bloquee las nuevas claves simétricas en las aplicaciones creadas en o después del 01/01/2019.
symmetricKeyLifetime Aplicar un intervalo de duración máximo para una clave simétrica. Restrinja todas las claves simétricas nuevas a un máximo de 30 días para las aplicaciones creadas después del 01/01/2019.
asymmetricKeyLifetime Aplicar un intervalo de duración máxima para una clave asimétrica (certificado). Restrinja todas las credenciales de clave asimétrica nuevas a un máximo de 30 días para las aplicaciones creadas después del 01/01/2019.
trustedCertificateAuthority Aplicar la lista de entidades de certificación de confianza. Bloquee todas las nuevas credenciales de clave asimétrica si el emisor no aparece en la lista de entidades de certificación de confianza.

Nota:

Todas las restricciones de duración se expresan en formato de duración ISO-8601 (por ejemplo, P4DT12H30M5S).

La aplicación de la restricción customPasswordAddition bloqueará los módulos heredados de PowerShell que agreguen un secreto de contraseña generado por el cliente a aplicaciones o entidades de servicio. Esta restricción no bloquea los secretos de contraseña de la aplicación o la entidad de servicio generados por Microsoft Entra ID.

Aplicaciones individuales frente a multiinquilino

En función de si la aplicación es un único inquilino o una aplicación multiinquilino, la directiva se aplica en una aplicación o en el objeto de entidad de servicio de la siguiente manera:

  • En el caso de las aplicaciones de inquilino único, aplique la directiva al objeto de aplicación.
  • Para restringir las aplicaciones multiinquilino que se alojan en un inquilino de cliente, aplique la directiva al objeto de aplicación.
  • Para restringir las aplicaciones multiinquilino aprovisionadas desde otro inquilino, aplique la directiva al objeto de entidad de servicio.

Resumen de las diferencias clave entre la directiva predeterminada del inquilino y las directivas de administración de aplicaciones

Directiva predeterminada del inquilino Directiva de administración de aplicaciones
La directiva siempre existe. Los objetos de directiva se pueden crear o actualizar para invalidar la directiva predeterminada.
Las restricciones están deshabilitadas de forma predeterminada para app/SP. Permite la personalización para un solo inquilino o multiinquilino (aplicación de respaldo en el inquilino principal o aplicaciones aprovisionadas).
Solo permite la definición de objeto de restricción única para todos los recursos. Permite definir varios objetos de directiva, pero solo se puede aplicar uno a un recurso.
Permite distinguir las restricciones de los objetos de aplicación frente a las entidades de servicio. La directiva se puede aplicar a una aplicación o a un objeto de entidad de servicio.
Aplica todas las restricciones configuradas a todas las aplicaciones o entidades de servicio. Aplica solo las restricciones configuradas en la directiva de recursos a la aplicación o entidad de servicio especificada y no hereda de la directiva predeterminada.

Requisitos

Pasos siguientes