Сбор разрешений на регистрацию приложений AAD

Question

Клиент попросил меня найти способ получения всех разрешений для всех регистраций приложений в клиенте AzureAD клиента. У клиента более 1500 регистраций в приложениях, поэтому проверка каждой из них вручную невозможна. Большинство из них являются избыточными, но клиент хочет просмотреть все из них, чтобы найти разрешения API Graph, которые они считают конфиденциальными. Проблема в том, что нет способа экспортировать эту информацию на портале, и Get-AzADApplication не дает мне реальных разрешений, только их дружественные описания. Заказчик хотел бы, чтобы ACTUAL Graph API, например, Mail.Read.

Я пытался написать сценарий с помощью нескольких более старших PFE, но мы не смогли добиться какого-либо прогресса, проходя различные свойства между Get-AzAdApplication, Get-AzADServicePrincipal и Get-AzureADOAuth2PermissionGrant. Мы достигли точки, когда мы смогли получить разрешения API Graph от Принципов обслуживания, но полученные разрешения были в непригодном для использования формате.

Если у кого-нибудь есть какие-либо предложения о том, как перевести эту информацию в сжатый формат с (предпочтительно) разрешениями Graph API, как упомянуто выше, я был бы очень признателен. Я бы предпочел не go вернуться к клиенту и сказать, что это невозможно, поскольку это новый клиент, и я бы предпочел не говорить «Нет» моей первой задаче. 100

Answer 1

Вы можете использовать этот сценарий , чтобы перечислить все делегированные разрешения и разрешения приложения в Azure AD.

Ключ сценария: Get-AzureADServicePrincipalOAuth2PermissionGrant -ObjectId.

Исходя из моего теста, разрешения в результате имеют следующий формат: email offline_access openid profile User.Read.

Я думаю, что это то, что вам нужно.

Answer 2

Используйте Microsoft Cloud App Security для этой цели. Это инструмент, разработанный, помимо других функций, специально для этой цели.

Вы открываете https://security.microsoft.com/ как глобальный администратор или администратор безопасности, после чего у вас есть быстрый обзор центрального места:

Это приведет вас к порталу MCAS, где у вас будет доступ к просмотру всех приложений с рейтингом в соответствии со стандартами Microsoft для доступа «Высокопривилегированный»:

Прямой просмотр приложений, какие пользователи используют эти приложения, какие разрешения предоставляются. У него даже есть возможности фильтрации, позволяющие фильтровать приложения по уровню безопасности или даже некоторым разрешениям Graph - например, Доступ к электронной почте от имени пользователя.

Ваш клиент должен действительно использовать Microsoft Security Center и контролировать их оценка безопасности: https://docs.microsoft.com/en-us/microsoft-365/security/mtp/overview-security-center

Затем смотрим на MCAS: https://www.microsoft.com/en-us/microsoft-365/enterprise-mobility-security/cloud-app-security