Jak skutecznie zarządzać jednostkami usługi w Entra ID

By Mirko Peters · 2026-03-22 · Updated 2026-03-24

Zabezpiecz jednostki usługi w Microsoft Entra ID, aby lepiej zarządzać tożsamościami. Poznaj obiekty aplikacji i jednostek usługi w swojej dzierżawie.

Automatically translated with AI from the original post. Read the English original

Zarządzanie jednostkami usługi i rejestracjami aplikacji w Entra ID ma kluczowe znaczenie dla bezpieczeństwa i kontroli dostępu. Skuteczne zarządzanie pomaga zapobiegać poważnym incydentom bezpieczeństwa, takim jak eskalacja uprawnień i przejęcie dzierżawy. Na przykład atakujący mogą wykorzystać źle zarządzane jednostki usługi, aby zresetować hasła administratorów i uzyskać nieautoryzowany dostęp do krytycznych systemów. Stosując sprawdzone praktyki zarządzania, ograniczysz te ryzyka i zadbasz o bezpieczeństwo środowiska. Kluczowe kroki to zrozumienie jednostek usługi, przypisywanie odpowiednich uprawnień i regularny przegląd zasad dostępu.

Jeśli uczysz się, jak skutecznie zarządzać jednostkami usługi w Entra ID, te mniej znane fakty mogą zmienić sposób, w jaki zabezpieczasz i obsługujesz tożsamości automatyczne.

1. Jednostki usługi różnią się od obiektów aplikacji: Obiekt aplikacji to globalna definicja aplikacji, a jednostka usługi to lokalna tożsamość w dzierżawie. Jeden obiekt aplikacji może mieć wiele jednostek usługi w różnych dzierżawach.
2. Mogą mieć poświadczenia, które nigdy nie wygasają: Entra ID pozwala tworzyć klucze tajne klienta lub certyfikaty bez daty wygaśnięcia, zarówno w wyniku założeń projektowych, jak i błędnej konfiguracji. Zwiększa to długoterminowe ryzyko, jeśli nie są one rotowane ręcznie.
3. Tożsamości zarządzane korzystają pod spodem z jednostek usługi: Zarówno tożsamości zarządzane przypisane przez system, jak i przypisane przez użytkownika są w katalogu reprezentowane jako jednostki usługi, dzięki czemu można do nich stosować kontrolę dostępu oparta na rolach (RBAC) i zasady dostępu warunkowego.
4. Jednostki usługi mogą być objęte dostępem warunkowym: Chociaż dostęp warunkowy koncentruje się przede wszystkim na użytkownikach, może oceniać kontekst aplikacji, a niektóre zasady mogą wpływać na jednostki usługi, zwłaszcza w połączeniu z kontekstem uwierzytelniania aplikacji.
5. Obsługują jednocześnie uprawnienia delegowane i uprawnienia aplikacji: Pojedyncza jednostka usługi może mieć zarówno uprawnienia delegowane (w imieniu użytkownika), jak i uprawnienia aplikacji (tylko aplikacja), co zwiększa złożoność egzekwowania zasady najmniejszych uprawnień.
6. Dzienniki logowania obejmują nieinteraktywne uwierzytelnianie aplikacji: Entra ID rejestruje logowania jednostek usługi, co umożliwia wykrywanie nietypowej aktywności aplikacji. Dzienniki te są jednak często pomijane w porównaniu z logowaniami użytkowników.
7. Zgody i zarządzanie uprawnieniami mogą tworzyć ukryte ścieżki dostępu: Aplikacje korporacyjne i jednostki usługi przyznane przez zgodę administratora lub zarządzanie uprawnieniami mogą tworzyć pośrednie ścieżki dostępu, które trudno wykryć bez dokładnych przeglądów uprawnień i przydziałów.

Najważniejsze wnioski

• Zrozum różnicę między rejestracjami aplikacji a jednostkami usługi w Entra ID.
• Upewnij się, że masz odpowiednie uprawnienia przed zarządzaniem jednostkami usługi, aby uniknąć przeszkód.
• Stosuj jasno określony proces rejestracji aplikacji w Entra ID, obejmujący wypełnienie wszystkich niezbędnych danych.
• Używaj wielu metod uwierzytelniania, aby zwiększyć bezpieczeństwo swoich aplikacji.
• Wdrażaj kontrolę dostępu opartą na rolach (RBAC), aby przypisywać jednostkom usługi odpowiednie uprawnienia.
• Regularnie przeglądaj zasady dostępu, aby były zgodne z najlepszymi praktykami bezpieczeństwa.
• Przeprowadzaj audyty, aby monitorować zmiany i wykrywać nieautoryzowany dostęp lub działania.
• Stosuj zasadę najmniejszych uprawnień, przyznając jednostkom usługi wyłącznie niezbędne uprawnienia.

Wymagania wstępne dotyczące zarządzania w Entra ID

Zrozumienie jednostek usługi

Zanim zaczniesz zarządzać jednostkami usługi w Entra ID, musisz poznać kilka podstawowych pojęć. Oto kluczowe kwestie, które warto zrozumieć:

• Rejestracja aplikacji (App) to globalnie unikalny obiekt reprezentujący aplikację w Entra ID.
• Jednostka usługi (SP) to konkretne wystąpienie tego obiektu aplikacji w jednej dzierżawie.
• Gdy utworzysz rejestrację aplikacji, w tej samej dzierżawie automatycznie zostanie wygenerowana jednostka usługi (service principal).
• Jednostki usługi mają własne poświadczenia i uprawnienia, które są odrębne od obiektu aplikacji.
• Działania podejmowane w dzierżawie, na przykład utworzenie użytkownika, wykonuje jednostka usługi.

Portal Entra ID może być mylący. Jednostki usługi są widoczne w obszarze „Aplikacje dla przedsiębiorstw”, a termin „Service Principal” jest rzadko używany. Może to prowadzić do nieporozumień dotyczących relacji między rejestracjami aplikacji a jednostkami usługi.

Wymagane uprawnienia

Aby skutecznie zarządzać jednostkami usługi, potrzebujesz odpowiednich uprawnień. Oto podsumowanie podstawowych wymagań wstępnych:

Posiadanie tych uprawnień zapewnia możliwość wykonywania niezbędnych działań bez napotykania przeszkód. Zawsze sprawdzaj, czy Twoje konto ma wymagane uprawnienia, zanim przystąpisz do rejestracji aplikacji lub przypisywania ról.

Znajomość tych wymagań wstępnych stanowi solidny fundament do zarządzania jednostkami usługi w Entra ID. Ta wiedza pomoże Ci poruszać się po złożoności zarządzania dostępem i wzmocni bezpieczeństwo Twojej organizacji.

Rejestracja aplikacji w Entra ID

Kroki rejestracji aplikacji

Rejestracja aplikacji w Entra ID jest prostym procesem. Aby rozpocząć, wykonaj następujące kroki:

1. Zaloguj się do portalu Entra ID: Użyj swojego konta Microsoft Entra, aby uzyskać dostęp do portalu.
2. Przejdź do rejestracji aplikacji: W menu po lewej stronie wybierz „Rejestracje aplikacji”.
3. Kliknij Nowa rejestracja: Ta opcja pozwala utworzyć nową aplikację.
4. Wypełnij szczegóły aplikacji:
   • Nazwa: Wybierz unikalną nazwę dla swojej aplikacji.
   • Obsługiwane typy kont: Wybierz, kto może korzystać z aplikacji (np. konta tylko w tym katalogu organizacji).
   • Identyfikator URI przekierowania: Określ identyfikator URI, pod który użytkownicy zostaną przekierowani po uwierzytelnieniu. Ma to kluczowe znaczenie w przypadku aplikacji internetowych.
5. Sprawdź i zarejestruj: Po wypełnieniu niezbędnych informacji kliknij „Zarejestruj”, aby utworzyć aplikację.

Po zarejestrowaniu możesz utworzyć do 50 000 zasobów Microsoft Entra w jednej dzierżawie w edycji Free. Jeśli zweryfikujesz domenę, ten limit może wzrosnąć do 300 000 zasobów. Możesz także skonfigurować poświadczenia dla maksymalnie 48 aplikacji korzystających z logowania jednokrotnego opartego na haśle.

Konfigurowanie ustawień aplikacji

Po zarejestrowaniu aplikacji musisz skonfigurować jej ustawienia pod kątem optymalnego bezpieczeństwa i funkcjonalności. Oto kilka najlepszych praktyk do zastosowania:

1. Skonfiguruj wiele metod uwierzytelniania Entra ID: Używaj różnych metod uwierzytelniania, takich jak uwierzytelnianie wieloskładnikowe (MFA) i uwierzytelnianie bez hasła, aby zwiększyć bezpieczeństwo.
2. Wykorzystaj grupy Entra ID do przypisywania uprawnień: Twórz grupy użytkowników, aby skutecznie zarządzać kontrolą dostępu. Dzięki temu użytkownicy mają tylko niezbędne uprawnienia.
3. Stosuj zasady dostępu warunkowego (CAP): Wdrażaj CAP, aby definiować warunki dostępu do zasobów. Dodaje to dodatkową warstwę bezpieczeństwa dzięki szczegółowej kontroli.

Warto także rozważyć przeprowadzenie inwentaryzacji aplikacji. Zidentyfikuj i sklasyfikuj wszystkie aplikacje połączone z Entra, aby móc je skutecznie zarządzać. Regularnie oceniaj uprawnienia przypisane każdej aplikacji, aby wspierać swoją strategię bezpieczeństwa. Wycofaj nieużywane aplikacje, aby zmniejszyć powierzchnię ataku.

Stosując te kroki i najlepsze praktyki, możesz zapewnić, że Twoja aplikacja jest poprawnie skonfigurowana i bezpieczna w usłudze Entra ID.

Przypisywanie ról jednostkom usługi

Omówienie RBAC

Kontrola dostępu oparta na rolach (RBAC) to kluczowa funkcja w usłudze Entra ID. Pomaga zarządzać tym, kto ma dostęp do jakich zasobów w organizacji. Dzięki RBAC możesz przypisywać role jednostkom usługi, zapewniając im odpowiednie uprawnienia do wykonywania zadań bez narażania bezpieczeństwa.

W usłudze Entra ID istnieją dwa typy definicji ról:

• Role wbudowane: Mają stały zestaw uprawnień. Nie można ich modyfikować, ale obejmują typowe scenariusze.
• Role niestandardowe: Pozwalają dopasować uprawnienia do konkretnych potrzeb. Utworzenie roli niestandardowej składa się z dwóch etapów: zdefiniowania roli i jej przypisania.

Zrozumienie tych typów ról pomaga wybrać właściwe podejście dla Twoich aplikacji. Więcej informacji o RBAC znajdziesz w omówieniu kontroli dostępu opartej na rolach.

Przypisywanie ról

Przypisywanie ról jednostkom usługi jest kluczowe dla skutecznego zarządzania. Aby poprawnie przypisać role, wykonaj następujące kroki:

1. Utwórz przypisania ról: Użyj centrum administracyjnego Microsoft Entra, Microsoft Graph PowerShell lub Microsoft Graph API. Zwróć uwagę, że interfejs Azure CLI nie jest w tym zadaniu obsługiwany.
2. Zarejestruj swoją aplikację: Upewnij się, że zarejestrowano aplikację Microsoft Entra i utworzono jednostkę usługi za pomocą portalu Azure.
3. Wybierz odpowiednią rolę: Przejrzyj dostępne role, aby określić, która z nich zapewnia niezbędne uprawnienia dla Twojej aplikacji.

Poniżej znajduje się krótka tabela referencyjna podsumowująca proces przypisywania ról:

Stosując te kroki, możesz zapewnić, że jednostki usługi mają odpowiedni dostęp do wykonywania swoich funkcji w bezpieczny sposób. Prawidłowe przypisywanie ról nie tylko zwiększa bezpieczeństwo, ale także usprawnia działanie w organizacji.

Metody uwierzytelniania w usłudze Entra ID

Omówienie uwierzytelniania

Zarządzając jednostkami usługi w usłudze Entra ID, masz do wyboru dwie podstawowe metody uwierzytelniania: uwierzytelnianie za pomocą wpisu tajnego klienta i uwierzytelnianie oparte na certyfikatach. Każda metoda ma swoje zalety i zastosowania.

Uwierzytelnianie za pomocą wpisu tajnego klienta

Uwierzytelnianie za pomocą wpisu tajnego klienta polega na użyciu ciągu znaków przypominającego hasło, znanego jako wpis tajny klienta. Ta metoda jest prosta i często stosowana w aplikacjach wymagających szybkiej konfiguracji. Należy jednak traktować wpisy tajne klienta jak hasła. Powinno się je bezpiecznie przechowywać i regularnie rotować, aby zachować bezpieczeństwo.

• Zalety:

  • Łatwe do wdrożenia.
  • Odpowiednie dla środowisk testowych i deweloperskich.

• Wady:

  • Mniej bezpieczne niż uwierzytelnianie oparte na certyfikatach.
  • Podatne na ujawnienie, jeśli nie są odpowiednio zarządzane.

Uwierzytelnianie oparte na certyfikatach

Uwierzytelnianie oparte na certyfikatach wykorzystuje certyfikat cyfrowy do uwierzytelnienia jednostki usługi. Ta metoda jest bezpieczniejsza niż wpisy tajne klienta i jest zalecana w środowiskach produkcyjnych. Dla optymalnego bezpieczeństwa należy używać zaufanego certyfikatu wydanego przez urząd certyfikacji (CA). Certyfikaty z podpisem własnym mogą być używane do testów, ale nie są zalecane w środowisku produkcyjnym.

• Zalety:

  • Wyższy poziom bezpieczeństwa.
  • Zmniejsza ryzyko kradzieży poświadczeń.

• Wady:

  • Bardziej złożona konfiguracja.
  • Wymaga zarządzania certyfikatami.

Konfigurowanie uwierzytelniania

Aby skonfigurować uwierzytelnianie dla swojej jednostki usługi w Entra ID, wykonaj następujące kroki:

1. Otwórz stronę główną centrum administracyjnego Microsoft Entra.
2. Przejdź do Entra ID > Rejestracje aplikacji, a następnie wybierz swoją aplikację.
3. Na stronie przeglądu aplikacji skopiuj wartość Identyfikator katalogu (dzierżawy) i zapisz ją w kodzie swojej aplikacji.
4. Skopiuj wartość Identyfikator aplikacji (klienta) i zapisz ją w kodzie swojej aplikacji.
5. Wybierz między uwierzytelnianiem opartym na certyfikacie a uwierzytelnianiem za pomocą klucza tajnego klienta. Zalecane jest przesłanie zaufanego certyfikatu wydanego przez urząd certyfikacji.
6. W przypadku użycia certyfikatu prześlij go w Entra ID > Rejestracje aplikacji > Certyfikaty i wpisy tajne > Prześlij certyfikat.
7. W przypadku użycia klucza tajnego klienta utwórz go w Entra ID > Rejestracje aplikacji > Certyfikaty i wpisy tajne > Wpisy tajne klienta > Nowy wpis tajny klienta.

Wykonując te kroki, możesz mieć pewność, że jednostka usługi jest bezpiecznie uwierzytelniana, co pozwala jej uzyskiwać dostęp do potrzebnych zasobów przy jednoczesnym minimalizowaniu zagrożeń dla bezpieczeństwa.

Zasady dostępu w Entra ID

Omówienie zasad dostępu

Zasady dostępu w Entra ID odgrywają kluczową rolę w zabezpieczaniu aplikacji i danych. Określają one, kto może uzyskać dostęp do jakich zasobów i w jakich warunkach. Oto najważniejsze typy zasad dostępu, które warto znać:

• Wymagaj uwierzytelniania wieloskładnikowego dla podejrzanych logowań: ta zasada wymusza na użytkownikach ukończenie uwierzytelniania wieloskładnikowego, gdy logowanie wydaje się podejrzane.
• Blokuj lub napraw przejęte konta: ta zasada automatycznie ogranicza dostęp do kont, które wykazują oznaki przejęcia.

Wdrożenie tych zasad dostępu wzmacnia postawę bezpieczeństwa. Pomagają one skutecznie zarządzać ryzykiem, automatyzując reakcje na potencjalne zagrożenia. Na przykład zasady dostępu warunkowego oceniają takie czynniki, jak tożsamość użytkownika, zgodność urządzenia i sygnały ryzyka w czasie rzeczywistym, zanim przyznają dostęp. Ten proaktywny sposób działania nie tylko poprawia bezpieczeństwo, ale także zapewnia zgodność ze standardami organizacji.

Konfigurowanie zasad dostępu

Konfigurowanie zasad dostępu dla jednostek usługi w Entra ID jest proste. Wykonaj następujące kroki, aby skutecznie skonfigurować zasady:

1. Zaloguj się do centrum administracyjnego Microsoft Entra i przejdź do Entra ID » Aplikacje dla przedsiębiorstw.
2. Kliknij jednostkę usługi, którą chcesz ograniczyć, a następnie przejdź do Właściwości w sekcji Zarządzaj.
3. Ustaw Włączona dla użytkowników do logowania? na Nie i kliknij Zapisz, aby wyłączyć logowania użytkowników do aplikacji.
4. Aby utworzyć zasadę dostępu warunkowego, zaloguj się do centrum administracyjnego Microsoft Entra i przejdź do Entra ID » Dostęp warunkowy.
5. Kliknij +Utwórz nowe zasady i wpisz nazwę zasady.
6. W sekcji Przypisania przejdź do Użytkownicy lub tożsamości obciążeń.
7. Wybierz Tożsamości obciążeń w sekcji Do czego zasada ma zastosowanie. W sekcji Uwzględnij kliknij Wybierz jednostki usługi i wybierz odpowiednie jednostki usługi z listy.
8. W sekcji Zasoby docelowe w obszarze Uwzględnij wybierz Wszystkie zasoby (dawniej „Wszystkie aplikacje chmurowe”).
9. W sekcji Warunki skonfiguruj określone wymagania, które decydują, kiedy zasada ma się uruchamiać.
10. W sekcji Kontrola dostępu przejdź do „Udziel”, wybierz Blokuj dostęp i kliknij „Wybierz”.
11. Ustaw Włącz zasadę na Włączone i kliknij „Utwórz”, aby utworzyć zasadę dostępu warunkowego dla tożsamości obciążeń Microsoft Entra.

Stosując te kroki, możesz zapewnić, że jednostki usługi działają w ramach ścisłych kontroli dostępu. To nie tylko chroni Twoje zasoby, ale też jest zgodne z najlepszymi praktykami w zakresie bezpieczeństwa i zgodności z przepisami.

Najlepsze praktyki dla jednostek usługi

Zalecenia dotyczące bezpieczeństwa

Aby chronić jednostki usługi w usłudze Entra ID, stosuj następujące zalecenia dotyczące bezpieczeństwa:

• Używaj certyfikatów klienta zamiast wpisów tajnych klienta, aby zwiększyć bezpieczeństwo.
• Wykorzystaj usługę Azure Key Vault do bezpiecznego zarządzania certyfikatami i wpisami tajnymi.
• Stosuj zasadę najmniejszych uprawnień dla jednostek usługi. Oznacza to nadawanie wyłącznie uprawnień niezbędnych do wykonywania ich zadań.
• Monitoruj logowania jednostek usługi za pomocą dzienników logowania Microsoft Entra. Pomaga to wykrywać nietypowe działania.
• Użyj dostępu warunkowego, aby ograniczyć dostęp z niezaufanych lokalizacji. To dodatkowa warstwa zabezpieczeń.
• Regularnie przeglądaj członkostwo w rolach poziomu 0, aby upewnić się, że poziom uprawnień jest odpowiedni. Zapobiega to nieautoryzowanemu dostępowi do krytycznych zasobów.

Stosując te praktyki, możesz znacząco zwiększyć bezpieczeństwo jednostek usługi i ograniczyć ryzyko nieautoryzowanego dostępu.

Regularne audyty

Regularne przeprowadzanie audytów jest kluczowe dla utrzymania bezpieczeństwa i integralności jednostek usługi. Oto kilka typowych praktyk audytowych, które warto wdrożyć:

Regularne audyty pomagają być na bieżąco ze stanem jednostek usługi. Pozwalają wcześnie wychwycić nieautoryzowane zmiany lub podejrzane działania, dzięki czemu środowisko pozostaje bezpieczne.

Stosując te najlepsze praktyki, możesz skutecznie zarządzać jednostkami usługi w usłudze Entra ID, zwiększając jednocześnie bezpieczeństwo i zgodność z przepisami.

Podsumowując, skuteczne zarządzanie jednostkami usługi w usłudze Entra ID wymaga kilku kluczowych kroków i najlepszych praktyk. Powinieneś:

• Prawidłowo rejestrować aplikacje i konfigurować ich ustawienia.
• Przydzielać role zgodnie z zasadą najmniejszych uprawnień.
• Wdrażać solidne metody uwierzytelniania.
• Regularnie przeglądać zasady dostępu i uprawnienia.

Ciągłe zarządzanie ma kluczowe znaczenie. Wygoda samoobsługi zwiększa potrzebę lepszego zarządzania dostępem. Regularne przeglądy pomagają utrzymać kontrolę nad prawami dostępu. Każde konto gościa powinno mieć wewnętrznego właściciela odpowiedzialnego za bieżące uzasadnienie dostępu. Stosując te strategie, możesz zwiększyć bezpieczeństwo i zapewnić skuteczne zarządzanie jednostkami usługi.

Ta lista kontrolna pomoże Ci wdrożyć najlepsze praktyki skutecznego zarządzania jednostkami usługi w usłudze Entra ID.

• Inwentaryzacja i wykrywanie: zidentyfikuj wszystkie jednostki usługi we wszystkich dzierżawach i subskrypcjach (utwórz cykliczne skanowanie/raport).
• Mapowanie na aplikacje i właścicieli: powiąż każdą jednostkę usługi z odpowiadającą jej aplikacją, właścicielem biznesowym i kontaktem wsparcia.
• Klasyfikacja dostępu i przeznaczenia: udokumentuj przeznaczenie, środowisko (prod/dev/test) i wymagane uprawnienia dla każdej jednostki usługi.
• Zasada najmniejszych uprawnień: przeprowadź audyt przydzielonych ról i uprawnień; usuń lub ogranicz uprawnienia do minimum niezbędnego.
• Preferuj tożsamości zarządzane: tam, gdzie to możliwe, zastąp rejestracje aplikacji/jednostki usługi tożsamościami zarządzanymi dla zasobów Azure.
• Higiena poświadczeń: unikaj poświadczeń długotrwałych, preferuj certyfikaty zamiast wpisów tajnych klienta i regularnie je rotuj.
• Egzekwowanie zasad dotyczących poświadczeń: wdrażaj dostęp warunkowy oraz zasady Azure AD dotyczące haseł i wpisów tajnych dla poświadczeń aplikacji, jeśli ma to zastosowanie.
• Wymagaj MFA/dostępu warunkowego do interaktywnego użycia: blokuj lub ograniczaj poświadczenia umożliwiające interaktywne logowanie, chyba że jest to konieczne i odpowiednio zabezpieczone.
• Włącz dostęp JIT (Just-In-Time) lub dostęp ograniczony czasowo: przyznawaj role o wysokich uprawnieniach jednostkom usługi na ograniczony czas, gdy jest to możliwe.
• Konwencje nazewnictwa i metadane: stosuj jasne standardy nazewnictwa i oznaczaj jednostki usługi metadanymi określającymi środowisko, właściciela i datę wygaśnięcia.
• Zasady wygaśnięcia i cyklu życia: ustawiaj datę wygaśnięcia dla wpisów tajnych i certyfikatów oraz automatyzuj cykl życia (udostępnianie, odnawianie, unieważnianie, wycofywanie).
• Wyłączaj nieużywane jednostki usługi: wyłączaj lub usuwaj jednostki usługi, które nie były używane przez określony czas, po potwierdzeniu z ich właścicielami.
• Monitoruj logowania i ryzykowne użycie: włącz rejestrowanie i alerty dotyczące nietypowych logowań, działań wysokiego ryzyka oraz eskalacji uprawnień.
• Scentralizowane rejestrowanie i integracja z SIEM: przesyłaj dzienniki audytu, zdarzenia logowania i zmiany w aprowizacji do swojego SIEM w celu korelacji i przechowywania.
• Przeglądy dostępu i okresowe audyty: przeprowadzaj regularne przeglądy dostępu, aby potwierdzić zasadność i zatwierdzenie przez właściciela każdej jednostki usługi.
• Wzmacniaj interfejsy API i uprawnienia: stosuj uprawnienia delegowane o ograniczonym zakresie lub zakresy tylko dla aplikacji, precyzyjnie zdefiniowane.
• Bezpieczne przechowywanie wpisów tajnych: przechowuj wpisy tajne klienta i certyfikaty w Azure Key Vault lub równoważnym magazynie; ogranicz dostęp do magazynu wyłącznie do wymaganych podmiotów.
• Automatyczne usuwanie skutków incydentów: wdrażaj zautomatyzowane playbooki do wyłączania przejętych lub wygasłych jednostek usługi oraz rotacji poświadczeń.
• Egzekwowanie zasad: używaj dostępu warunkowego w Azure AD / Entra ID, zarządzania uprawnieniami Microsoft Entra oraz Azure Policy do egzekwowania standardów.
• Dokumentacja i runbooki: prowadź runbooki dotyczące aprowizacji, awaryjnej rotacji poświadczeń i procedur wycofywania.
• Testowanie dostępu i odporności na awarie: weryfikuj przepływy uwierzytelniania aplikacji po rotacji poświadczeń lub zmianach konfiguracji w środowisku nieprodukcyjnym.
• Bezpieczne wdrażanie i wycofywanie: włącz aprowizację i wycofywanie jednostek usługi do procesów CI/CD oraz kontroli zmian.
• Konta usługowe z najmniejszymi uprawnieniami do automatyzacji: używaj dedykowanych jednostek usługi do zadań automatyzacji, z precyzyjnie ograniczonymi prawami i jasno określonym właścicielem.
• Przeglądaj dostęp zewnętrzny i gości: audytuj jednostki usługi utworzone przez zewnętrzne aplikacje i przyznawaj dostęp dopiero po przeglądzie bezpieczeństwa.
• Zachowuj dowody zgodności: rejestruj zatwierdzenia, przeglądy i zdarzenia rotacji, aby wykazać zgodność z wymaganiami wewnętrznymi i zewnętrznymi.
• Szkol zespoły i właścicieli: edukuj właścicieli aplikacji i deweloperów w zakresie skutecznego zarządzania jednostkami usługi w Entra ID oraz bezpiecznych praktyk obsługi poświadczeń.

Często zadawane pytania: dodatkowe zasoby dotyczące jednostki usługi microsoft entra id

Czym jest jednostka usługi Microsoft Entra ID i czym różni się od obiektu aplikacji?

Jednostka usługi Microsoft Entra ID to lokalna reprezentacja wystąpienia aplikacji w dzierżawie lub katalogu. Jest tworzona w każdej dzierżawie, w której aplikacja jest używana, i odwołuje się do globalnie unikatowego obiektu aplikacji (obiekt aplikacji znajduje się w dzierżawie macierzystej). Obiekt aplikacji definiuje aplikację globalnie, natomiast jednostka usługi określa zasady dostępu i to, co dana aplikacja może robić w konkretnej dzierżawie.

Jak tworzone są jednostki usługi i kiedy powstaje jednostka usługi?

Jednostka usługi jest zazwyczaj tworzona automatycznie po zarejestrowaniu aplikacji w Microsoft Entra i użyciu wystąpienia aplikacji w dzierżawie albo gdy użytkownik wyrazi zgodę na uprawnienia dla aplikacji wielodzierżawczej. Można ją też utworzyć ręcznie w portalu Azure, za pomocą Microsoft Graph lub automatyzacji, gdy aplikacja jest wdrażana w dzierżawie, w której potrzebuje dostępu do chronionych zasobów.

Jakie są najlepsze praktyki zabezpieczania jednostek usługi w Microsoft Entra?

Zabezpieczaj jednostki usługi, przydzielając uprawnienia z zasadą najmniejszych uprawnień, rotując i chroniąc poświadczenia (hasła i certyfikaty), korzystając z tożsamości zarządzanych tam, gdzie to możliwe, wymuszając zasady dostępu warunkowego, monitorując dzienniki logowania i audytu oraz wykluczając jednostki wysokiego ryzyka za pomocą kontroli dostępu opartych na filtrach. Wykorzystuj jednostki usługi w połączeniu z dostępem warunkowym, aby wymagać zgodnych urządzeń lub MFA przy dostępie do wrażliwych zasobów.

Jak zarządzać poświadczeniami, takimi jak hasła i certyfikaty, dla jednostek usługi?

Przechowuj hasła i certyfikaty w bezpiecznym magazynie (Key Vault), ustaw zasady wygasania, w miarę możliwości stosuj uwierzytelnianie oparte na certyfikatach i automatyzuj rotację za pomocą Microsoft Graph lub potoków CI/CD. W przypadku poświadczeń o długim okresie ważności skonfiguruj alerty o zbliżającym się wygaśnięciu i egzekwuj schemat oraz zasady, aby zapobiegać użyciu nieaktualnych lub niezabezpieczonych sekretów.

Jak mogę użyć Microsoft Graph do wyszukiwania i zarządzania jednostkami usługi (service principal) w ramach automatyzacji?

Użyj interfejsu API Microsoft Graph, aby wyświetlać, filtrować, tworzyć, aktualizować i usuwać obiekty jednostek usługi w usłudze Microsoft Entra ID. Zapytania z filtrami pozwalają znaleźć jednostki według appId, displayName lub właściciela, a także zarządzać zgodami udzielonymi uprawnieniom, przypisywać właścicieli i automatyzować synchronizację jednostek usługi między środowiskami za pomocą skryptów lub konektorów, które odwołują się do globalnie unikatowych identyfikatorów.

Jaka jest rola przypisywania właścicieli i jak należy zarządzać własnością?

Przypisanie właścicieli zapewnia delegowaną kontrolę administracyjną nad jednostką usługi, dzięki czemu właściciele mogą zarządzać poświadczeniami i uprawnieniami. Stosuj kontrolę dostępu opartą na rolach i wielu właścicieli, aby zapewnić ciągłość działania, audytuj zmiany właścicieli i unikaj przypisywania praw właściciela kontom użytkowników niezwiązanym z długoterminową tożsamością; lepiej wybrać zespół lub konto usługowe objęte zasadami.

Jak synchronizacja oraz kwestie dzierżawy lub katalogu wpływają na jednostki usługi?

Scenariusze synchronizacji, takie jak synchronizacja aplikacji przedsiębiorstwa lub tożsamości między dzierżawami, mogą tworzyć jednostki usługi w dzierżawach docelowych. Zrozum, czy aplikacja jest jedno- czy wielodzierżawcza, jaka jest dzierżawa macierzysta, w której zarejestrowano aplikację, oraz czy zgodę musi udzielić użytkownik z tej dzierżawy. Zaplanuj synchronizację tak, aby uniknąć powielonych jednostek usługi, i użyj filtrowania, aby wykluczyć niepotrzebne obiekty.

Kiedy powinienem użyć tożsamości zarządzanej zamiast utworzonej jednostki usługi?

Stosuj tożsamości zarządzane, gdy obciążenie działa w usłudze Azure i może korzystać z tożsamości zarządzanej przez platformę do uzyskiwania tokenów bez osadzonych poświadczeń. Tożsamości zarządzane ograniczają potrzebę zarządzania hasłami, upraszczają aktualizacje zabezpieczeń i są zalecaną opcją zabezpieczania jednostek usługi w scenariuszach Microsoft, gdy jest ona obsługiwana.

Jak audytować i rozwiązywać problemy z dostępem do zasobów zabezpieczonych jednostkami usługi?

Włącz i przeglądaj dzienniki logowania oraz dzienniki audytu w usługach Microsoft Entra ID i Azure AD, pobieraj zdarzenia za pomocą Microsoft Graph, stosuj filtry, aby zawęzić wyniki, i integruj dzienniki z systemem SIEM. W przypadku pomocy technicznej lub złożonych problemów zbierz identyfikator objectId jednostki usługi, appId, znaczniki czasu i komunikaty o błędach, zanim skontaktujesz się z pomocą techniczną lub skorzystasz z Microsoft Learn i dodatkowych materiałów pomocniczych.