Darum geht es
Eigene App-Registrierungen verbinden z. B. Scanner, Buchhaltungssoftware oder Single Sign-on mit Microsoft 365. Läuft ihr Geheimnis oder Zertifikat ab, fällt die Anbindung ohne Vorwarnung aus. Apps mit nur noch abgelaufenen Anmeldedaten sind oft verwaist.
Was passieren kann
Ausfall einer Anbindung zum Monatsabschluss oder vergessene Apps mit weiterhin gültigen Rechten im Tenant.
Schritt für Schritt
Öffnen Sie im Entra Admin Center Entra ID > App-Registrierungen > Alle Anwendungen und wählen Sie die genannte App.
Erstellen Sie unter „Zertifikate & Geheimnisse“ ein neues Geheimnis oder laden Sie ein neues Zertifikat hoch (bevorzugt Zertifikat, Laufzeit höchstens 12 Monate).
Hinterlegen Sie es in der angebundenen Anwendung und testen Sie die Verbindung.
Löschen Sie danach den alten Eintrag.
Prüfen Sie Apps mit nur abgelaufenen Anmeldedaten: nicht mehr genutzte Apps löschen.
Notieren Sie Ablaufdaten in Ihrem Wartungskalender.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- App-Registrierungen
- [App]
- Zertifikate & Geheimnisse
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Keine App-Registrierung hat Anmeldedaten, die in den nächsten 30 Tagen ablaufen oder nur noch abgelaufen sind
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/applications?$select=displayName,passwordCredentials,keyCredentials; endDateTime je Eintrag. Gewertet wird je App und Art der spätest gültige Eintrag.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A2: Einrichtung, Änderung und Entzug von BerechtigungenOPS.1.1.2.A21: Regelung der IT-Administrationsrollen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.