Opanowanie luki w zgodach Microsoft Graph: czego nie pokazują samouczki

By Mirko Peters · 2026-08-11

Automatically translated with AI from the original post. Read the English original

Titelbild: Mastering the Microsoft Graph Consent Gap: What Tutorials Leave Out

Witamy w towarzyszącym przewodniku do podcastu! Jeśli kiedykolwiek konfigurowałeś zadanie w tle, kliknąłeś zgodę administratora i liczyłeś na to, że wszystko zadziała, nie jesteś w tym sam. Wielu deweloperów i administratorów przechodzi standardowe samouczki, konfiguruje usługi działające w tle i zakłada, że gdy kod zaczyna działać, kwestie bezpieczeństwa są załatwione. Tymczasem między uruchomieniem integracji w środowisku testowym a utrzymaniem jej w bezpiecznym, niezawodnym i gotowym do audytu stanie na środowisku produkcyjnym istnieje ogromna luka. W tym wpisie rozwijamy temat ukrytych zagrożeń związanych z dostępem tylko dla aplikacji, gdzie uprawnienia obowiązują w całej dzierżawie bez kontekstu użytkownika, wyjaśniamy, dlaczego jednorazowa zgoda może długofalowo obciążać bezpieczeństwo, oraz pokazujemy, jak zmiany zasad mogą po cichu zepsuć zadania działające bez nadzoru. Aby zgłębić ten temat jeszcze bardziej, koniecznie posłuchaj powiązanego odcinka podcastu: Microsoft Graph App-Only Consent Explained.

Dla kogo jest ten materiał

Administratorzy Azure AD / Entra ID oraz inżynierowie bezpieczeństwa
Właściciele platformy M365 oraz administratorzy SharePoint, Exchange i Teams
Deweloperzy tworzący usługi działające bez nadzoru, Azure Functions, Logic Apps lub integracje
Zespoły ds. zgodności, audytu i ładu korporacyjnego

Luka w zgodach (czego pomijają samouczki)

Uprawnienia delegowane a aplikacyjne: aplikacja działająca bez użytkownika nie ma kontekstu użytkownika; po wyrażeniu zgody zakresy obowiązują w całej dzierżawie.
Jednorazowa zgoda, długofalowe skutki: szerokie role (np. Sites.ReadWrite.All) pozostają aktywne, dopóki nie zostaną jawnie cofnięte.
Zmiany zasad psują aplikacje: ustawienia zgody lub modyfikacje dostępu warunkowego mogą po cichu uniemożliwić pozyskiwanie tokenów.
Widoczność audytu jest słaba, chyba że celowo rejestrujesz i przeglądasz uprawnienia aplikacji przedsiębiorstwa.

Najpierw najmniejsze uprawnienia (wybór uprawnień)

Tam, gdzie to możliwe, preferuj wąskie zakresy zasobów zamiast *.ReadWrite.All.
Przykłady, które warto dokładnie sprawdzić:
- Katalog: preferuj User.Read.All (podstawowy profil) zamiast Directory.Read.All.
- SharePoint: zanim sięgniesz po Sites.ReadWrite.All, rozważ dostęp ograniczony do witryny lub katalogi aplikacji.
- Poczta i kalendarze: używaj Mail.Read / Calendars.Read, chyba że zapis jest naprawdę wymagany.
Żadnego „zabezpieczania na przyszłość” przez nadmierne zakresy. Dodawaj zakresy tylko wtedy, gdy wymaga tego dana funkcja.

Prawidłowa rejestracja aplikacji (krok po kroku)

Zarejestruj aplikację w Entra ID → zapisz identyfikator aplikacji (klienta) oraz identyfikator dzierżawy.
Uwierzytelnianie: wybierz metodę poświadczeń klienta:
- Certyfikat (zalecane), przechowywany i rotowany za pomocą Key Vault, lub
- Klucz tajny klienta (krótki okres ważności i zasady rotacji), lub
- Tożsamość zarządzana (najlepsza dla obciążeń hostowanych w Azure).
Uprawnienia interfejsu API → karta Aplikacja → dodaj wyłącznie minimalne zakresy Graph.
Udziel zgody administratora świadomie (udokumentuj kto, dlaczego i kiedy).
Aplikacje przedsiębiorstwa: zablokuj wymagane przypisanie, właścicieli oraz rejestrowanie logowań i audytu.

Zgoda administratora, zasady i mechanizmy kontroli

Tylko administratorzy z uprawnieniami uprzywilejowanymi mogą udzielać uprawnień aplikacji.
Traktuj zgodę administratora jako akceptację ryzyka: rejestruj cel, dotknięte dane oraz datę wygaśnięcia lub odnowienia.
Dopasuj do ograniczeń dzierżawy, zasad udzielania uprawnień oraz dostępu warunkowego dla jednostek usługi.

Tokeny w praktyce (jak uwierzytelnianie faktycznie zawodzi)

Typowe awarie: wygasłe klucze tajne lub certyfikaty, błędny zasób (zakres .default), brakująca rola, niezgodność dzierżawy.
Wzmocnij przepływ tokenów:
- Zamiast długotrwałych kluczy tajnych używaj poświadczeń certyfikatowych lub tożsamości zarządzanej.
- Rotuj klucze tajne i certyfikaty znacznie przed ich wygaśnięciem (przypomnienia w Key Vault oraz automatyzacja).
- Ponawiaj z rosnącym opóźnieniem i monitoruj telemetrię 401/403 wraz z identyfikatorami korelacji.
- Buforuj tokeny w ramach jednego przebiegu, ale nigdy między dzierżawami ani poza bezpieczne okresy ważności.

Monitorowanie i audyt (przygotowanie do audytu)

Pulpity i alerty dotyczące: błędów tokenów, zmian zgód, nowo dodanych uprawnień oraz nieaktywnych aplikacji.
Cykliczne przeglądy: wyliczaj aplikacje korporacyjne, uprawnienia i znaczniki czasu ostatniego użycia; usuwaj nieaktualne rejestracje.
Dziennik: kto udzielił zgody, data i godzina, uzasadnienie oraz domeny danych, których to dotyczy.
Key Vault: włącz alerty o wygasających poświadczeniach oraz automatyczną rotację certyfikatów, gdzie to możliwe.

Wzorce minimalnych uprawnień (startowa macierz)

Inwentaryzacja użytkowników/raportowanie → User.Read.All
Analityka użycia usługi Teams → Reports.Read.All
Eksport skrzynek pocztowych tylko do odczytu → Mail.Read
Synchronizacja kalendarza (odczyt) → Calendars.Read
Odczyt SharePoint (szeroki) → Sites.Read.All (unikaj ReadWrite, chyba że jest to obowiązkowe)
Synchronizacja profili z systemem HR → User.Read.All (+ konkretne zakresy zapisu tylko wtedy, gdy są naprawdę wymagane)

Zasada kciuka: jeśli zakres kończy się na .ReadWrite.All, zatrzymaj się i oceń ponownie. Jeśli jest to konieczne, odizoluj aplikację, udokumentuj uzasadnienie i dodaj dodatkowy monitoring.

Typowe błędy i szybkie rozwiązania

invalid_client / invalid_grant → wygasły sekret lub certyfikat; zrotuj go w Key Vault i ponownie wdróż.
insufficient privileges to complete the operation → brak uprawnienia aplikacji lub nieudzielona zgoda administratora w tej dzierżawie.
Błąd 403 w SharePoint przy uwierzytelnieniu tylko aplikacji → zakres jest zbyt szeroki lub dostęp na poziomie witryny nie jest zgodny; sprawdź uprawnienia witryny i podejście z katalogiem aplikacji.
Sporadyczne błędy 401 → zmiana zasad dostępu warunkowego lub zasad zgody; sprawdź dzienniki logowania i audytu dla jednostki usługi.

Zabezpieczenia bezpieczeństwa i zgodności

Rozdziel obowiązki: różni właściciele dla rejestracji aplikacji, zatwierdzania zgód i operacji.
Oznaczaj aplikacje korporacyjne klasyfikacją danych (np. dotyczy HR, finansów, PHI).
PIM dla osób udzielających zgód; wymagaj zgłoszenia lub rekordu zmiany dla nowych zakresów.
Usuwaj nieużywane aplikacje i wyłączaj punkty końcowe starszego uwierzytelniania.
Dokumentuj przepływy danych dla każdej aplikacji; prowadź jednostronicowy rekord dla każdej integracji.

Szybkie często zadawane pytania

Czy uprawnienia tylko aplikacji dziedziczą listy ACL użytkowników? Nie – uprawnienia tylko aplikacji działają niezależnie od kontekstu użytkownika.
Czy zwykły użytkownik może udzielić zakresów tylko aplikacji? Nie – wymagana jest zgoda administratora.
Czy tokeny wygasają automatycznie wraz z odebraniem dostępu? Tokeny szybko wygasają, ale udzielone uprawnienia pozostają do momentu ich odwołania.
Najlepszy wybór uwierzytelniania? Tożsamość zarządzana (w usłudze Azure) lub certyfikaty + Key Vault; unikaj długotrwałych sekretów.

Plan działania (90-minutowy sprint utwardzania)

Zinwentaryzuj aplikacje korporacyjne oraz uprawnienia aplikacji Graph.
Oznacz aplikacje z *.ReadWrite.All i Directory.* do przeglądu.
Zrotuj każdy sekret wygasający w ciągu <30 dni; przenieś go do certyfikatu/tożsamości zarządzanej, gdy jest to możliwe.
Włącz alerty o zmianach zgód i wygasaniu w Key Vault.
Przygotuj jednostronicowy opis dla każdej aplikacji: cel, dotykane dane, zakresy, właściciel, data rotacji.
Zaplanuj kwartalny przegląd z zespołem SecOps i właścicielami aplikacji.

Podsumowanie

Zabezpieczenie integracji z Microsoft Graph nie jest zadaniem wykonywanym raz i na zawsze. Rozumiejąc rzeczywiste konsekwencje luki w zgodach, stosując wzorce uprawnień z zasadą najmniejszych uprawnień, odchodząc od kruchych sekretów klienta i ustanawiając rygorystyczne procedury monitoringu, możesz znacząco podnieść poziom bezpieczeństwa swojej dzierżawy. Nie pozwól, by zadania w tle były podatne na ciche awarie lub niekontrolowane narastanie dostępu. Poświęć dziś czas na przejście przez nasz 90-minutowy sprint utwardzania i audyt aplikacji korporacyjnych. Pełne omówienie tych zagadnień oraz głębsza dyskusja o dostępie wyłącznie aplikacyjnym znajdują się w odpowiadającym odcinku podcastu: Microsoft Graph App-Only Consent Explained.