Microsoft Entra 建议：从应用中移除未使用的凭据（预览）

建议标识的应用程序显示在建议底部 受影响的资源 列表中。

1. 以至少安全管理员身份登录到 Microsoft Entra 管理中心。

2. 浏览到 Entra ID>概述。

3. 选择“建议”选项卡，然后选择“移除未使用的应用程序凭证”建议。

4. 记下“受影响的资源”表中的以下详细信息。

   • “资源”列显示应用程序名称
   • “ID”列显示应用程序 ID

5. 从“操作”列中选择“更多详细信息”以查看更多详细信息。

   

   注意

   如果凭据的来源为服务主体，请按照服务主体部分中的指导进行操作。

6. 在打开的面板中，选择“更新凭证”以直接导航到应用注册的“证书和机密”区域，以删除未使用的凭证。

   1. 或者，浏览到 Entra ID>应用注册 并选择作为此建议的一部分显示的应用程序。

      

   2. 然后，导航到应用注册的“证书和机密”部分。

      

7. 找到未使用的凭据并将其删除。

以下请求可用于使用 Microsoft Graph API 检索建议和受影响的资源。 若要使用 Microsoft Graph API，你需要 DirectoryRecommendations.Read.All 和 DirectoryRecommendations.ReadWrite.All 权限。 有关详细信息，请参阅 如何使用标识建议。

1. 登录到 Graph 资源管理器。
2. 从下拉列表中选择 GET 作为 HTTP 方法。

若要检索针对你的租户的所有建议：

GET https://graph.microsoft.com/beta/directory/recommendations

在响应中，找到与以下模式匹配的建议的 ID：{tenantId}_staleAppCreds。

若要确认受影响的资源：

GET https://graph.microsoft.com/beta/directory/recommendations/{tenantId}_staleAppCreds

若要根据资源的状态筛选资源（例如，“活动”资源）：

GET https://graph.microsoft.com/eta/directory/recommendations/{tenantId}_staleAppCreds/impactedResources?$filter=status eq Microsoft.Graph.recommendationStatus'active'

• 记下 AppId、CredentialId 和要删除的源和凭据。
• 使用这些 Microsoft 图形 API 添加新的密码或密钥凭据：
  • removePassword
  • removeKey

示例响应

{
  "id": "aaaabbbb-0000-cccc-1111-dddd2222eeee_staleAppCreds",
  "recommendationType": "staleAppCreds",
  "createdDateTime": "2022-09-07T21:25:36Z",
  "impactStartDateTime": "2022-09-07T21:25:36Z",
  "postponeUntilDateTime": null,
  "lastModifiedDateTime": "2024-07-22T15:23:29Z",
  "lastModifiedBy": "System",
  "displayName": "Remove unused credentials from applications",
  "featureAreas": [
    "applications"
  ],
  "insights": "Your tenant has applications with credentials which have not been used in more than 30 days.",
  "benefits": "An application credential is used to get a token that grants access to a resource or another service.",
  "category": "identityBestPractice",
  "status": "active",
  "priority": "medium",
  "releaseType": "preview",
  "requiredLicenses": "microsoftEntraWorkloadId",
  "impactType": "apps",
  "actionSteps": [
    {
      "stepNumber": 1,
      "text": "1. For application resources, navigate to the app registration section in your tenant."
    },
    {
      "stepNumber": 2,
      "text": "2. In the ‘Certificate and Secrets’ blade, find the credential and remove it."
    },
    {
      "stepNumber": 3,
      "text": "3. To remove a credential from a service principal resource, use the MS Graph Service Principal API service action ",
      "actionUrl": {
        "displayName": "`removePassword`",
        "url": "https://docs.microsoft.com/graph/api/serviceprincipal-removepassword?view=graph-rest-1.0&tabs=http"
      }
    }
  ]
}