Microsoft Entra 建議：更新即將到期的應用程式認證 （預覽）

Microsoft Entra 建議 是可以提供您個人化深入解析和可操作指導，以讓您租用戶符合建議最佳實務的功能。

本文涵蓋更新即將到期應用程式認證的建議。 此建議會在 Microsoft Graph 的建議 API 中呼叫 applicationCredentialExpiry。

必要條件

檢視或更新建議有不同的角色需求。 針對所需的存取類型，使用最低特殊權限角色。 如需角色的完整清單，請參閱＜工作的最低特殊權限角色＞。

Microsoft Entra 角色	存取類型
報告讀取者	唯讀
安全性讀取者	唯讀
全域讀取者	唯讀
驗證原則管理員	更新及讀取
Exchange 系統管理員	更新及讀取
安全性系統管理員	更新及讀取
DirectoryRecommendations.Read.All	Microsoft Graph 中的唯讀
DirectoryRecommendations.ReadWrite.All	在 Microsoft Graph 中更新和讀取

某些建議可能需要 P2 或其他授權。 如需詳細資訊，請參閱＜建議可用性和授權需求＞。

描述

應用程式認證可以包含憑證和需要使用該應用程式註冊之其他類型的秘密。 這些認證可用來證明應用程式的身分識別。

如果您的租用戶有即將到期的應用程式認證，就會顯示這項建議。

如果：

• 它位於應用程式註冊中，且在未來 30 天內即將到期。

下列認證不受此建議的豁免：

• 已識別為過期但自那以後已從應用程式註冊中移除的認證
• 到期日已失效的認證會顯示為受影響的資源清單中已完成。

值

在到期日之前更新應用程式的認證，對於維護不間斷的作業，並將因過期認證所造成的停機風險降到最低至關重要。

行動方案

此建議適用於 Microsoft Entra 系統管理中心，並使用 Microsoft Graph API。

Microsoft Entra 系統管理中心

1. 至少以安全性系統管理員 (部分機器翻譯) 的身分登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 [身分識別]>[概觀]。

3. 選取 [建議] 索引標籤，然後選取 [更新過期的應用程式認證建議]。

4. 請記下 [受影響的資源] 資料表中的 下列詳細數據 。

   • [資源] 資料行會顯示應用程式名稱

   • [標識符] 資料行會顯示應用程式識別碼

     

5. 從 [動作] 資料行選取 [更多詳細數據]。

6. 從開啟的面板中，選取 [更新認證 ] 以直接流覽至 應用程式註冊的 [憑證與秘密 ] 區域，以更新即將到期的認證。

   1. 或者，流覽至 [身分>識別應用程式> 應用程式註冊 並找出需要輪替認證的應用程式。

   

   1. 瀏覽至應用程式註冊的 [憑證與密碼] 區段。

7. 挑選您要旋轉的認證類型，並瀏覽至 [憑證] 或 [用戶端密碼] 索引標籤，然後依照提示執行。

   

8. 成功新增憑證或密碼之後，請更新服務程式碼，以確保其能與新的認證搭配運作，且不會對客戶造成負面影響。

9. 使用 Microsoft Entra 登入記錄來驗證認證的金鑰識別碼是否符合最近新增的密鑰識別碼。

10. 驗證新認證之後，請瀏覽回至應用程式的 [應用程式註冊]>[憑證與密碼]，並移除舊的認證。

Microsoft Graph API

下列要求可用來使用 Microsoft Graph API 擷取建議和受影響的資源。 若要使用 Microsoft Graph API，您需要 DirectoryRecommendations.Read.All 和 DirectoryRecommendations.ReadWrite.All 許可權。 如需詳細資訊，請參閱 如何使用身分識別建議。

1. 登入 Graph 總管。
2. 從下拉式清單中選取 [GET] 作為 HTTP 方法。

若要擷取租使用者的所有建議：

GET https://graph.microsoft.com/beta/directory/recommendations

從回應中，尋找符合下列模式的建議標識碼： {tenantId}_Microsoft.Identity.IAM.Insights.ApplicationCredentialExpiry。

若要識別受影響的資源：

GET https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_Microsoft.Identity.IAM.Insights.ApplicationCredentialExpiry

若要根據資源的狀態來篩選資源（例如作用中的資源）：

GET https://graph.microsoft.com/beta/directory/recommendations/536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights. ApplicationCredentialExpiry’/impactedResources?$filter=status eq Microsoft.Graph.recommendationStatus'active'

記下 AppId您想要移除的、 CredentialId和 Origin 認證。 若要移除認證，請使用下列Microsoft Graph 指引：

• addPassword
• addKey
• removePassword
• removeKey

範例回覆

 {
  "id": "536279f6-15cc-45f2-be2d-61e352b51eef_Microsoft.Identity.IAM.Insights.ApplicationCredentialExpiry",
  "recommendationType": "applicationCredentialExpiry",
  "createdDateTime": "2022-06-08T00:08:01Z",
  "impactStartDateTime": "2022-06-08T00:08:01Z",
  "postponeUntilDateTime": null,
  "lastModifiedDateTime": "2024-07-29T12:03:16Z",
  "lastModifiedBy": "System",
  "displayName": "Renew expiring application credentials",
  "featureAreas": [
    "applications"
  ],
  "insights": "Your tenant has applications with credentials that will expire soon.",
  "benefits": "Renewing the app credential(s) before its expiration ensures the application continues to function and reduces the possibility of downtime due to an expired credential.",
  "category": "identityBestPractice",
  "status": "active",
  "priority": "high",
  "requiredLicenses": "microsoftEntraWorkloadId",
  "impactType": "apps",
  "actionSteps": [
    {
      "stepNumber": 1,
      "text": "1. Navigate to the App registration section and locate the application for which the credential needs to be rotated."
    },
    {
      "stepNumber": 2,
      "text": "2. Navigate to the “Certificates & Secrets” blade of the app registration."
    },
    {
      "stepNumber": 3,
      "text": "3. Pick the credential type that you want to rotate and navigate to either “Certificates” or “Client Secret” tab and follow the prompts.",
      "actionUrl": null
    },
    {
      "stepNumber": 4,
      "text": "4. Once the certificate or secret is successfully added, update the service code to ensure it works with the new credential and has no negative customer impact. You should use Microsoft Entra ID’s sign-in logs to validate that the thumbprint of the certificate matches the one that was just uploaded.",
      "actionUrl": null
    },
    {
      "stepNumber": 5,
      "text": "5. After validating the new credential, navigate back to the Certificates and Secrets blade for the app and remove the old credential.",
      "actionUrl": null
    }
  ]
}

相關內容

• 檢閱 Microsoft Entra 建議概觀
• 瞭解如何使用 Microsoft Entra 建議
• 探索 Microsoft Graph API 屬性以取得建議
• 了解 Microsoft Entra ID 中的應用程式和服務主體物件