Configurazione di Defender CLI per la sicurezza del codice agentico (anteprima privata)

Usa l'autenticazione di Defender CLI per eseguire la scansione del codice agentico localmente o nelle pipeline CI/CD.

Opzioni di autenticazione

La sicurezza del codice agentic supporta due metodi di autenticazione dell'interfaccia della riga di comando Defender:

  • Autenticazione basata su app: usare questa opzione per le pipeline CI/CD e altre automazione non interattiva.
  • Autenticazione interattiva: usare questa opzione per le analisi del terminale locale da parte degli utenti connessi.

Autorizzazioni necessarie

Le autorizzazioni necessarie dipendono dal metodo di autenticazione. Per informazioni sull'assegnazione delle autorizzazioni RBAC unificate di Defender, vedi Assegnare autorizzazioni agli utenti usando RBAC di Defender.

Metodo di autenticazione Autorizzazioni necessarie
Autenticazione basata su app ruolo di Amministratore dell'applicazione in Microsoft Entra ID per registrare l'app e aggiungere le autorizzazioni API. Il ruolo di Amministratore globale per concedere il consenso dell’amministratore. La registrazione dell'app richiede l'autorizzazione AIScan.enabled per eseguire analisi di intelligenza artificiale e AIScan.Upload per caricare i risultati dell'analisi.
Autenticazione interattiva Ruolo amministratore della sicurezza in Microsoft Entra ID. Nel controllo degli accessi in base al ruolo unificato di Microsoft Defender, assegna le autorizzazioni necessarie per eseguire scansioni, caricare i risultati delle scansioni e visualizzare o gestire i risultati delle scansioni.

Installare l'applicazione aziendale Microsoft Defender Code, se necessario

Questo passaggio è necessario per entrambi i metodi di autenticazione. Lo script installa l'app proprietaria Microsoft Defender Code nel tuo tenant e concede il consenso dell'amministratore agli utenti che eseguono la CLI in locale.

Note

Per i clienti con una licenza E5, il provisioning automatico dell'app Microsoft Defender Code viene effettuato durante l'onboarding di MDASH. L'esecuzione di questo script non è necessaria. Se il tenant non ha una licenza E5, completare la procedura seguente.

  1. Installare interfaccia della riga di comando di Azure se non è già installato.

    winget install -e --id Microsoft.AzureCLI

  2. Copiare lo script di consenso amministratore e salvarlo come Grant-DefenderAdminConsent.ps1. Per altre informazioni, vedere script di consenso dell'amministratore per Microsoft Defender Code.

  3. Esegui lo script salvato con l'ID del tenant.

    ./Grant-DefenderAdminConsent.ps1 -TenantId <tenant-id>

  4. Completa la procedura di accesso ad Azure. Copiare il codice visualizzato in interfaccia della riga di comando di Azure e accedere con l'URL reindirizzato.

  5. Verificare che l'applicazione sia stata installata:

    1. In Microsoft Entra ID passare a Panoramica.
    2. Cercare Microsoft Defender Code nel tenant.
    3. Verificare che l'applicazione venga visualizzata in Applicazioni aziendali.

Usare l'autenticazione basata su app

Usa l'autenticazione basata sull'app per eseguire analisi CLI di Defender nelle pipeline CI/CD.

Prerequisiti

  • Ruolo Di amministratore dell'applicazione in Microsoft Entra ID.
  • Ruolo amministratore globale disponibile per approvare le autorizzazioni necessarie.
  • Autorizzazione per visualizzare l'ID tenant e l'ID client della registrazione dell'app e per creare o recuperare un segreto client.
  • L'interfaccia della riga di comando di Azure è installato.

Creare un'app Microsoft Entra

  1. Accedere al portale di Azure.
  2. Cerca e seleziona Registrazioni app.
  3. Seleziona Nuova registrazione.
  4. Immettere un nome per l'applicazione e quindi selezionare Registra.

Aggiungere le autorizzazioni API

  1. Nella registrazione della nuova app, espandere Gestisci nel riquadro di navigazione sinistro.
  2. Seleziona Autorizzazioni API>Aggiungi un'autorizzazione.
  3. Seleziona API utilizzate dall'organizzazione.
  4. Cerca e seleziona Microsoft Defender Code.
  5. Seleziona Autorizzazioni applicazione.
  6. Aggiungere le autorizzazioni necessarie:
    • Per consentire agli utenti di eseguire analisi di intelligenza artificiale, selezionare AIScan.enabled.
    • Per consentire agli utenti di caricare i risultati dell'analisi di intelligenza artificiale in Defender, selezionare AIScan.Upload.
  7. Seleziona Aggiungi autorizzazioni.

Note

Il ruolo AIScan.View attualmente non influisce sulle autorizzazioni.

Un amministratore globale deve concedere il consenso per le autorizzazioni. Se il pulsante Concedi consenso amministratore non è disponibile, non si ha il ruolo amministratore globale.

  1. Nella pagina Autorizzazioni API selezionare Concedi consenso amministratore.
  2. Conferma quando richiesto.

Aggiungi un segreto client

  1. Nella registrazione dell'app selezionare Certificati e segreti>Nuovo segreto client.
  2. Immettere una descrizione e una data di scadenza e quindi selezionare Aggiungi.
  3. Memorizzare il valore segreto in una posizione sicura. Non è possibile visualizzarlo di nuovo dopo aver lasciato la pagina.
  4. Registrare l'ID applicazione (client) e l'ID directory (tenant) dalla pagina Panoramica della registrazione dell'app.

Configurare le credenziali per CI/CD

Per configurare Defender CLI in una pipeline, aggiungi i valori seguenti come segreti crittografati nella tua piattaforma CI/CD, quindi esponili come variabili di ambiente nel job del workflow o della pipeline che esegue la scansione:

DEFENDER_ASPM_TENANT_ID
DEFENDER_ASPM_CLIENT_ID
DEFENDER_ASPM_CLIENT_SECRET

Per trovare DEFENDER_ASPM_TENANT_ID e DEFENDER_ASPM_CLIENT_ID, aprire la registrazione dell’applicazione in Microsoft Entra ID e copiare i valori ID directory (tenant) e ID applicazione (client) dalla pagina Panoramica.

Per ottenere DEFENDER_ASPM_CLIENT_SECRET, creare un nuovo segreto client nella stessa registrazione dell'applicazione, copiare il valore del segreto subito dopo averlo creato e archiviarlo in modo sicuro nell'archivio dei segreti della pipeline.

Importante

Non eseguire il commit di questo segreto nel sistema di controllo del codice sorgente né includerlo nei log del flusso di lavoro. Ruotare regolarmente le credenziali e sostituirle prima che scadano per evitare errori nelle pipeline.

Utilizzare l'autenticazione interattiva

Usa questo approccio per consentire agli utenti di autenticarsi con le proprie credenziali Defender per le analisi locali con Defender CLI. È anche possibile usare l'autenticazione basata su app.

Prerequisiti

Prima di poter eseguire i comandi Defender CLI, assicurati che il tuo account abbia ricevuto almeno uno dei seguenti permessi:

Impostare la variabile di ambiente del tenant

Imposta l'ID del tenant usato per l'autenticazione interattiva di Defender nella shell come variabile di ambiente prima di effettuare l'accesso. In questo modo interfaccia della riga di comando di Azure richiede l'accesso del dispositivo al tenant Microsoft Entra corretto.

DEFENDER_DFD_TENANT_ID=<tenant-id>

Accedere con interfaccia della riga di comando di Azure

Eseguire il comando seguente per avviare un flusso di accesso tramite codice del dispositivo per l'autenticazione interattiva di Defender. Il valore dell'ambito richiede l'autorizzazione di accesso interattivo Defender e il comando consente l'accesso anche quando nessuna sottoscrizione Azure è associata all'account.

az login \
  --tenant <DEFENDER_DFD_TENANT_ID> \
  --scope c2fd607e-fe6e-41bd-ae58-08e2f24014aa/Defender.InteractiveLogin \
  --allow-no-subscriptions \
  --use-device-code

Completa l'accesso tramite codice del dispositivo

  1. Copiare il codice del dispositivo visualizzato nella console, quindi aprire la pagina di accesso del dispositivo nel browser.
  2. Accedere con un account che abbia accesso al tenant specificato.
  3. Incollare il codice del dispositivo quando richiesto e completare il flusso di autenticazione.
  4. Tornare alla console e attendere il completamento della sessione di interfaccia della riga di comando di Azure.

Passaggi successivi

  • Last updated on