Kroki analizy wykorzystania jednostek usługi w dzierżawie Microsoft 365

By Mirko Peters · 2026-03-09 · Updated 2026-09-13

Przeanalizuj wykorzystanie jednostek usługi za pomocą Microsoft Graph i aktywności logowania. Sprawdź wymagane uprawnienia, tożsamości aplikacji, monitorowanie i zarządzanie dostępem.

Automatically translated with AI from the original post. Read the English original

Analiza wykorzystania jednostek usługi za pomocą funkcji Service Principal Analysis ma kluczowe znaczenie dla zabezpieczenia Twojej dzierżawy Microsoft 365. Dzięki monitorowaniu jednostek usługi możesz zidentyfikować potencjalne zagrożenia, takie jak shadow IT czy słabe konfiguracje zabezpieczeń. Zwróć szczególną uwagę na następujące kwestie:

• Niezarządzane konta administratorów

• Niespójne uwierzytelnianie wieloskładnikowe (MFA)

• Udostępnianie zewnętrzne bez nadzoru

Zrozumienie aktywności logowania za pomocą Service Principal Analysis pozwala wykrywać nietypowe wzorce i skutecznie zarządzać dostępem. Takie proaktywne podejście nie tylko ogranicza ryzyko, ale także zapewnia zgodność z wymogami regulacyjnymi, dzięki czemu Twoje środowisko staje się bezpieczniejsze i łatwiejsze w zarządzaniu.

Najważniejsze wnioski

• Regularnie monitoruj aktywność logowania jednostek usługi, aby wykrywać nietypowe wzorce i zwiększać bezpieczeństwo.

• Upewnij się, że masz niezbędne uprawnienia, takie jak AuditLog.Read.All, aby skutecznie analizować wykorzystanie jednostek usługi.

• Stosuj zasadę najmniejszych uprawnień, przydzielając każdej jednostce usługi wyłącznie niezbędne uprawnienia.

• Zautomatyzuj procesy monitorowania za pomocą narzędzi takich jak AdminDroid, aby uprościć zarządzanie i poprawić bezpieczeństwo.

• Dokumentuj cel i uprawnienia każdej jednostki usługi, aby zachować przejrzystość i zgodność.

1. Jednostki usługi reprezentują tożsamość aplikacji w dzierżawie Microsoft 365: Obiekt aplikacji jest globalną definicją, ale jednostka usługi jest lokalną tożsamością używaną do uwierzytelniania, przydzielania ról i kontroli dostępu w Twojej dzierżawie Microsoft 365. Dlatego monitorowanie wykorzystania jednostek usługi w dzierżawie Microsoft 365 jest kluczowe, aby śledzić, kto i co może uzyskiwać dostęp do zasobów.
2. Wiele jednostek usługi może odpowiadać jednej aplikacji: Pojedynczy obiekt aplikacji może mieć odrębne jednostki usługi w wielu dzierżawach, z których każda ma inne poświadczenia, udzielone zgody i przypisania ról. Pozwala to temu samemu kodowi aplikacji zachowywać się inaczej w różnych dzierżawach Microsoft 365.
3. Typy poświadczeń wpływają na powierzchnię ataku: Jednostki usługi mogą korzystać z sekretów klienta, certyfikatów lub federacyjnej tożsamości. Długotrwałe sekrety zwiększają powierzchnię ataku w dzierżawie Microsoft 365, natomiast uwierzytelnianie oparte na certyfikatach lub federacji może ograniczać ryzyko, o ile jest poprawnie skonfigurowane.
4. Uprawnienia delegowane i aplikacyjne tworzą różne zagrożenia: Uprawnienia tylko aplikacyjne przydzielone jednostce usługi umożliwiają dostęp niezależnie od jakiegokolwiek użytkownika i mogą być silniejsze niż uprawnienia delegowane. Nieprawidłowo skonfigurowane uprawnienia aplikacji to częsta przyczyna nadmiernych uprawnień jednostek usługi w dzierżawie Microsoft 365.
5. Zgoda użytkownika i zgoda administratora różnią się zakresem: Użytkownicy mogą wyrażać zgodę na niektóre uprawnienia delegowane aplikacji, ale zgoda administratora jest wymagana w przypadku uprawnień aplikacji o wyższym ryzyku. Śledzenie zdarzeń zgody pomaga wykryć nieoczekiwane wykorzystanie jednostek usługi w dzierżawie Microsoft 365.
6. Zarządzane tożsamości upraszczają cykl życia, ale są związane z dzierżawą: Zarządzane tożsamości Azure AD (przypisane systemowo lub przez użytkownika) automatycznie tworzą jednostki usługi dla zasobów, co ułatwia zarządzanie poświadczeniami w dzierżawie Microsoft 365. Nie można ich jednak przenosić między dzierżawami, więc przeniesienie zasobów wymaga ponownej konfiguracji.
7. Warunkowy dostęp i zarządzanie uprawnieniami dotyczą także aplikacji: Możesz egzekwować zasady warunkowego dostępu i korzystać z zarządzania uprawnieniami (entitlement management), aby kontrolować wykorzystanie jednostek usługi w dzierżawie Microsoft 365. Zasady muszą jednak być jawnie oceniane dla kontekstów aplikacji, aby zapobiec nieautoryzowanemu dostępowi do aplikacji lub ruchowi bocznemu (lateral movement).

Wymagania wstępne do analizy jednostek usługi

Zanim zaczniesz analizować wykorzystanie jednostek usługi, upewnij się, że masz odpowiednie uprawnienia i narzędzia. Te przygotowania pomogą Ci przeprowadzić dokładną analizę i skutecznie zarządzać jednostkami usługi.

Wymagane uprawnienia

Aby analizować aktywność jednostek usługi w Microsoft Entra i Microsoft 365, potrzebujesz określonych uprawnień. Poniższa tabela przedstawia wymagany zakres uprawnień:

Bez odpowiednich uprawnień możesz napotkać błędy. Na przykład, jeśli zobaczysz komunikat "Insufficient privileges to complete the operation", oznacza to, że brakuje Ci niezbędnego dostępu. To ograniczenie może utrudnić skuteczne zarządzanie jednostkami usługi i ich analizę.

Narzędzia i zasoby

Odpowiednie narzędzia mogą usprawnić proces analizy. Oto kilka skutecznych narzędzi do analizy jednostek usługi w środowiskach Microsoft 365:

Aby rozpocząć pracę z PowerShell, wykonaj następujące kroki:

1. Połącz się z Microsoft Graph PowerShell za pomocą polecenia: Connect-MgGraph -Scopes "AuditLog.Read.All"

2. Uruchom polecenie, aby sprawdzić logowania jednostek usługi:

   Get-MgBetaAuditLogSignIn -Filter "signInEventTypes/any(t:t eq 'servicePrincipal')" -All | Select-Object CreatedDateTime, Id, ServicePrincipalId, ServicePrincipalName, ResourceDisplayName, ResourceId, @{Name = "Status"; Expression = { if ($_.Status.ErrorCode -eq 0) { "Success" } else { "Failed" } }} | Format-Table
   

Dzięki upewnieniu się, że masz odpowiednie uprawnienia i narzędzia, stwarzasz sobie warunki do skutecznej analizy jednostek usługi.

Tworzenie jednostki usługi w Microsoft Entra

Utworzenie jednostki usługi w Microsoft Entra polega na zarejestrowaniu aplikacji. Dzięki temu aplikacja może bezpiecznie uwierzytelniać się i uzyskiwać dostęp do zasobów. Oto, jak zarejestrować aplikację:

Rejestrowanie aplikacji

Aby zarejestrować aplikację w Microsoft Entra, wykonaj następujące kroki:

1. Zaloguj się do centrum administracyjnego Microsoft Entra.

2. Przejdź do pozycji Aplikacje i wybierz Nowa rejestracja.

3. Wypełnij wymagane dane, takie jak nazwa aplikacji i identyfikator URI przekierowania.

4. Wybierz odpowiedni typ konta, zgodnie ze swoimi potrzebami.

5. Kliknij przycisk Zarejestruj, aby zakończyć proces.

Po rejestracji możesz utworzyć jednostkę usługi. Ta jednostka usługi działa jako tożsamość aplikacji, gdy ta wchodzi w interakcje z innymi usługami.

Do utworzenia jednostki usługi w Microsoft Entra możesz użyć kilku metod. Są to:

• Przesłanie zaufanego certyfikatu wystawionego przez urząd certyfikacji.

• Utworzenie i przesłanie certyfikatu z podpisem własnym do celów testowych.

• Utworzenie nowego wpisu tajnego klienta.

Każda metoda ma swoje zastosowanie, więc wybierz tę, która najlepiej odpowiada wymaganiom Twojej aplikacji.

Ustalanie inicjatora

Ustalenie, kto zainicjował utworzenie jednostki usługi, ma kluczowe znaczenie dla bezpieczeństwa i audytu. Te informacje możesz sprawdzić, wykonując następujące kroki:

1. Zaloguj się do centrum administracyjnego Microsoft Entra.

2. Przejdź do pozycji Monitorowanie i kondycja, a następnie wybierz Dzienniki audytu.

3. Ustaw Kategorię na ApplicationManagement i zastosuj filtr.

4. Ustaw filtr Działanie na Add service principal i zastosuj filtr.

5. Wybierz zdarzenie i rozwiń sekcję Dodatkowe szczegóły. Poszukaj właściwości takich jak ServicePrincipalProvisioningType, SubscribedSkus i AppOwnerOrganizationId.

Śledzenie inicjatora pomaga zrozumieć, kto tworzy jednostki usługi i z jakiego powodu. Te informacje są kluczowe dla utrzymania bezpieczeństwa i zgodności w Twojej organizacji.

Oto podsumowanie atrybutów, które znajdziesz w dziennikach inspekcji:

Znając inicjatora jednostki usługi, możesz wzmocnić swoją postawę bezpieczeństwa i upewnić się, że jednostki usługi tworzą wyłącznie upoważnieni użytkownicy.

Przeglądanie aktywności logowania za pomocą Microsoft Graph

Dostęp do interfejsu API Microsoft Graph

Aby uzyskać dostęp do dzienników logowania jednostek usługi, możesz użyć interfejsu API Microsoft Graph. Wykonaj poniższe kroki, aby pobrać potrzebne dane:

1. Użyj interfejsu API Microsoft Graph, aby wygenerować raport aktywności logowania jednostek usługi.

2. Uruchom polecenie Get-MgServicePrincipal, aby pobrać jednostki usługi w swojej dzierżawie.

3. Utwórz tabelę mieszającą identyfikatorów aplikacji i nazw wyświetlanych. Ten krok jest istotny, ponieważ rekordy logowania nie zawierają nazw aplikacji.

4. Wykonaj Get-MgBetaReportServicePrincipalSignInActivity, aby znaleźć aktywność logowania jednostek usługi, których ostatnie logowanie miało miejsce ponad rok temu.

5. Utwórz raport o jednostkach usługi i wyeksportuj dane do pliku CSV.

6. Wygeneruj statystyki, takie jak dzierżawy będące właścicielami aplikacji oraz łączna liczba jednostek usługi.

Dzięki tym krokom możesz skutecznie uzyskać dostęp do dzienników logowania jednostek usługi i je analizować.

Analiza dzienników logowania

Monitorowanie aktywności logowania jest niezbędne do wykrywania nieautoryzowanych prób dostępu. Obserwując zarówno udane, jak i nieudane logowania, możesz zauważyć nietypowe wzorce, które mogą wskazywać na zagrożenia bezpieczeństwa. Takie proaktywne monitorowanie pomaga ograniczać potencjalne ryzyko związane z przejętymi poświadczeniami, a tym samym zwiększa ogólne bezpieczeństwo Twojej dzierżawy Microsoft 365.

Oto kilka typowych anomalii, które mogą pojawić się w dziennikach logowania jednostek usługi:

• Nietypowe korzystanie z aplikacji, na przykład ponowne użycie uśpionych lub zapomnianych aplikacji.

• Nieoczekiwane relacje zaufania, które zostały dodane w usłudze Azure AD.

• Modyfikacje poświadczeń jednostek usługi, w tym zmiany uprawnień.

Aby skutecznie analizować dzienniki logowania, rozważ następujące strategie:

1. Monitoruj aktywność logowania w centrum administracyjnym Microsoft Entra, aby przeglądać logowania jednostek usługi z ostatnich 24 godzin.

2. Identyfikuj ryzykowne jednostki usługi, analizując dzienniki logowania pod kątem nietypowych wzorców.

3. Wykorzystaj narzędzia takie jak Microsoft Entra i PowerShell do szczegółowej analizy dzienników logowania.

Wdrażając te strategie, możesz zwiększyć swoją zdolność do wykrywania podejrzanej aktywności logowania i podejmowania odpowiednich działań w celu zabezpieczenia środowiska.

Skuteczne zarządzanie jednostkami usługi

Najlepsze praktyki zarządzania

Aby skutecznie zarządzać jednostkami usługi, warto stosować kilka najlepszych praktyk. Wdrożenie tych strategii zwiększy bezpieczeństwo i usprawni działanie w Twojej dzierżawie:

• Zasada najmniejszych uprawnień: przydzielaj każdej jednostce usługi wyłącznie niezbędne uprawnienia. Ogranicza to potencjalne szkody, jeśli jednostka usługi zostanie przejęta.

• Regularna rotacja poświadczeń: Rotuj poświadczenia regularnie i w miarę możliwości automatyzuj ten proces. Zmniejsza to ryzyko użycia nieaktualnych lub przejętych poświadczeń.

• Monitorowanie aktywności: Obserwuj aktywność jednostek usługowych pod kątem podejrzanych zachowań. Pozwala to wcześnie wykryć nieautoryzowane próby dostępu.

• Silne uwierzytelnianie: Stosuj silne metody uwierzytelniania, na przykład uwierzytelnianie wieloskładnikowe (MFA). Zapewnia to dodatkową warstwę zabezpieczeń.

• Bezpieczne przechowywanie poświadczeń: Przechowuj i zarządzaj poświadczeniami jednostek usługowych w bezpieczny sposób, korzystając z rozwiązania do zarządzania sekretami. Unikaj przechowywania poświadczeń w kodzie lub plikach konfiguracyjnych.

• Dokumentacja: Dokumentuj przeznaczenie i uprawnienia każdej jednostki usługowej. Ułatwia to zrozumienie ich roli w ramach Twojej dzierżawy.

• Zasady nadzoru: Ustal jasne zasady nadzoru nad zarządzaniem jednostkami usługowymi. Regularnie przeglądaj i audytuj uprawnienia, aby zapewnić zgodność z wymogami.

Automatyzacja monitorowania

Automatyzacja monitorowania jednostek usługowych może znacząco wzmocnić Twoje zabezpieczenia. Warto rozważyć następujące narzędzia i strategie:

• AdminDroid: To narzędzie oferuje funkcję monitorowania aktywności logowania. Pomaga śledzić wzorce logowania jednostek usługowych i udostępnia szczegółowe raporty dotyczące wykorzystania oraz trendów dostępu.

• Raport zmian w jednostkach usługowych: AdminDroid udostępnia także raport monitorujący zmiany w jednostkach usługowych. Raport obejmuje dodania, aktualizacje i usunięcia, a także działania logowania, takie jak czas, nazwa aplikacji, status i lokalizacja.

Dzięki automatyzacji monitorowania zyskujesz kilka korzyści:

Wdrożenie tych praktyk i narzędzi pomoże skutecznie zarządzać jednostkami usługowymi i utrzymać bezpieczne środowisko w Twojej dzierżawie Microsoft 365.

Podsumowując, analiza wykorzystania jednostek usługowych ma kluczowe znaczenie dla bezpieczeństwa Twojej dzierżawy Microsoft 365. Regularnie monitoruj aktywność logowania, zarządzaj uprawnieniami i stosuj sprawdzone praktyki. Oto najważniejsze wnioski, które pomogą usprawnić zarządzanie jednostkami usługowymi:

Stosując te strategie, wzmocnisz swoje zabezpieczenia i zapewnisz skuteczne zarządzanie jednostkami usługowymi w swojej organizacji.

Często zadawane pytania

Czym jest jednostka usługowa w Microsoft 365?

Jednostka usługowa działa jako tożsamość aplikacji, która umożliwia bezpieczny dostęp do zasobów. Pozwala aplikacjom uwierzytelniać się bez konieczności używania poświadczeń użytkownika.

Jak monitorować aktywność jednostek usługowych?

Możesz monitorować aktywność jednostek usługowych, korzystając z interfejsu Microsoft Graph API lub narzędzi takich jak AdminDroid. Narzędzia te dostarczają informacji o wzorcach logowania i trendach wykorzystania.

Dlaczego warto analizować wykorzystanie jednostek usługowych?

Analiza wykorzystania jednostek usługowych pomaga identyfikować zagrożenia bezpieczeństwa, zarządzać uprawnieniami i zapewniać zgodność z wymogami. Zwiększa to ogólny poziom bezpieczeństwa.

Jakich uprawnień potrzebuję, aby analizować jednostki usługowe?

Do analizowania aktywności jednostek usługi w Microsoft Entra i Microsoft 365 potrzebujesz uprawnienia AuditLog.Read.All. Pozwala ono na dostęp do niezbędnych dzienników.

Jak mogę zautomatyzować monitorowanie jednostek usługi?

Monitorowanie można zautomatyzować, korzystając z narzędzi takich jak AdminDroid. Narzędzia te potrafią generować raporty dotyczące aktywności logowania i zmian w jednostkach usługi, co upraszcza zarządzanie.

obiekty aplikacji w Microsoft Entra ID i tworzenie jednostki usługi

Czym jest jednostka usługi i jak wiąże się z obiektami aplikacji w Microsoft Entra ID?

Jednostka usługi to podmiot zabezpieczeń reprezentujący aplikację lub usługę w dzierżawie Microsoft Entra. Odpowiada obiektowi aplikacji (globalnej definicji), a jednostka usługi to instancja utworzona w dzierżawie w momencie rejestracji aplikacji lub wyrażenia na nią zgody. Identyfikator aplikacji (application ID) i identyfikator klienta (client ID) łączą oba obiekty. Jeśli jednostka usługi została utworzona, w Microsoft Entra zobaczysz zarówno obiekty aplikacji, jak i obiekty jednostek usługi.

Jak utworzyć jednostkę usługi w mojej dzierżawie Microsoft 365?

Jednostkę usługi można utworzyć, rejestrując aplikację w centrum administracyjnym Microsoft Entra lub za pomocą interfejsu Azure CLI bądź zestawu Microsoft Graph PowerShell SDK. Typowe kroki to utworzenie aplikacji (obiektu aplikacji), a następnie utworzenie jednostki usługi w dzierżawie macierzystej lub dzierżawie będącej jej właścicielem, przypisanie uprawnień i wygenerowanie poświadczeń (klucza tajnego klienta lub certyfikatu). Na potrzeby skryptów automatyzacji można użyć polecenia `az ad sp create-for-rbac` w interfejsie Azure CLI lub zestawu Microsoft Graph PowerShell SDK do utworzenia jednostki usługi.

Gdzie znaleźć szczegóły jednostki usługi i przeanalizować aktywność logowania jednostki usługi?

Szczegóły jednostki usługi są dostępne w centrum administracyjnym Microsoft Entra, w sekcji Aplikacje przedsiębiorstwa lub Rejestracje aplikacji, zależnie od typu. Można tam wyświetlić właściwości, takie jak nazwa jednostki usługi, identyfikator aplikacji, identyfikator dzierżawy i przypisane role. Aby przeanalizować aktywność logowania jednostki usługi, skorzystaj z dzienników logowania w Microsoft Entra lub wykonaj zapytania do raportów logowania za pośrednictwem Microsoft Graph, aby sprawdzić zdarzenia uwierzytelniania, zdarzenia utworzenia jednostki usługi i dane telemetryczne logowania.

Jak zasady dostępu i ustawienia uwierzytelniania wpływają na nową jednostkę usługi?

Zasady dostępu i ustawienia uwierzytelniania określają, do jakich zasobów jednostka usługi ma dostęp i w jaki sposób się uwierzytelnia. Konfiguruj obiekty aplikacji i jednostek usługi zgodnie z zasadą najmniejszych uprawnień, przypisuj role do zasobów i stosuj zasady dostępu warunkowego w centrum administracyjnym Microsoft Entra. Wybieraj metody uwierzytelniania (klucz tajny klienta, certyfikat lub tożsamość zarządzaną) zgodnie z aktualnymi aktualizacjami zabezpieczeń i najlepszymi praktykami, aby ograniczyć ryzyko.

Czy aplikacje pierwszej strony firmy Microsoft lub usługi Microsoft mogą tworzyć jednostki usługi w mojej dzierżawie?

Tak. Aplikacje pierwszej strony firmy Microsoft i usługi Microsoft często tworzą obiekty jednostek usługi w Microsoft Entra ID, gdy są używane w Twojej dzierżawie. Mogą one pojawiać się jako aplikacje Entra lub aplikacje pierwszej strony firmy Microsoft. Niektóre usługi Microsoft tworzą jednostki usługi automatycznie podczas wdrażania; możesz je przeglądać i kontrolować w centrum administracyjnym Microsoft Entra oraz, tam gdzie jest to obsługiwane, stosować dostęp just-in-time (JIT).

Jak zarządzać uprawnieniami i obiektami jednostek w Microsoft Entra, aby ograniczyć ryzyko?

Audytuj zdarzenia tworzenia jednostek usługi, sprawdzaj uprawnienia przyznane obiektom jednostek usługi w Microsoft Entra ID i usuwaj nadmiarowe uprawnienia. Stosuj przypisania ról, a tam, gdzie to właściwe, uprawnienia aplikacji zamiast uprawnień delegowanych. Wdrażaj dostęp warunkowy oraz mechanizmy just-in-time, czyli udostępnianie uprawnień na żądanie, lub kwalifikowalność jednostki usługi do dostępu just-in-time. Regularnie rotuj poświadczenia. Wskazówki dotyczące bezpieczeństwa oraz procedury pomocy technicznej znajdziesz w Microsoft Learn i w innych materiałach uzupełniających.

Jakich narzędzi mogę użyć do automatyzacji kontroli i tworzenia jednostek usługi (PowerShell, Azure CLI)?

Do automatyzacji tworzenia i kontroli jednostek usługi można użyć zestawu Microsoft Graph PowerShell SDK, interfejsu Azure CLI lub interfejsów API Microsoft Graph. Polecenia takie jak `az ad sp create-for-rbac` oraz odpowiedniki w zestawie Microsoft Graph PowerShell SDK pozwalają utworzyć jednostkę usługi i zwrócić identyfikator klienta, identyfikator aplikacji oraz identyfikator dzierżawy. Skrypty mogą też wyliczać obiekty jednostek usługi w Microsoft Entra i zbierać dane o logowaniu lub uprawnieniach na potrzeby raportowania.

Jak sprawdzić, czy jednostka usługi została utworzona przez aplikację kliencką, czy przez konto Microsoft?

Szczegóły jednostki usługi sprawdzisz w centrum administracyjnym Microsoft Entra lub, wysyłając zapytanie przez Microsoft Graph, zobaczysz takie właściwości, jak właściciel aplikacji, wydawca i typ aplikacji źródłowej. Jednostki usługi utworzone przez aplikacje klienta wskazują zwykle identyfikator aplikacji (client ID) i często pokazują podmiot tworzący oraz znacznik czasu utworzenia. Jednostki usługi Microsoft utworzone dla usług firmy Microsoft lub aplikacji pierwszej strony firmy Microsoft zazwyczaj zawierają informacje o wydawcy lub znane identyfikatory firmy Microsoft.

Gdzie mogę znaleźć dodatkowe materiały i wskazówki dotyczące usługi Office 365 dla specjalistów IT oraz najlepszych praktyk dla jednostek usługi?

Skorzystaj z dokumentacji Microsoft Learn, dokumentacji centrum administracyjnego Microsoft Entra, przewodników po platformie tożsamości Microsoft oraz artykułów przeznaczonych dla specjalistów IT korzystających z usługi Office 365. Dodatkowe materiały obejmują dokumentację Microsoft Graph, informacje o interfejsie wiersza polecenia Azure CLI i pakiecie SDK Microsoft Graph PowerShell oraz aktualizacje zabezpieczeń publikowane przez firmę Microsoft. W złożonych scenariuszach skontaktuj się z pomocą techniczną lub zapoznaj się z laboratoriami Microsoft Learn dotyczącymi obiektów aplikacji i jednostek usługi utworzonych w Twojej dzierżawie.