Настройка ограничений на настройку приложений

В этой статье вы узнаете, как настроить политики управления приложениями в Microsoft Entra ID, чтобы управлять тем, как владельцы приложений и администраторы могут настраивать приложения и субъекты-службы в организации. Это руководство помогает администраторам снизить риски безопасности, вызванные небезопасными конфигурациями.

Набор ограничений, доступных для настройки, включает:

Имя ограничения	Description	Значение безопасности	Доступность
asymmetricKeyLifetime	Установить максимальный срок действия для асимметричного ключа (сертификата).	Снижает риск для безопасности от длительно действующих учетных данных	Можно настроить с помощью API политики управления приложениями и Центр администрирования Microsoft Entra. Называется `Restrict max certificate lifetime` в Центр администрирования Microsoft Entra.
Аудитории	Ограничивает создание или продвижение приложений на основе значений signInAudience.	Запрещает несанкционированные мультитенантные или потребительские приложения	Можно настроить с помощью API политики управления приложениями и Центр администрирования Microsoft Entra. Называется `Block multitenant applications` и `Block consumer account applications` в Центр администрирования Microsoft Entra.
customPasswordAddition	Ограничение настроенного секрета пароля для приложения или учетной записи службы.	Предотвращает новые пароли приложения, предоставляемые пользователем, которые проще скомпрометированы, чем созданные системой пароли.	Можно настроить с помощью API политики управления приложениями и Центр администрирования Microsoft Entra. Называется `Block custom passwords` в Центр администрирования Microsoft Entra.
nonDefaultUriAddition	Блокировать новые URI идентификаторов для приложений, если они не является одним из форматов `api://{appId}` по умолчанию или `api://{tenantId}/{appId}`.	Снижает риск безопасности от неправильной проверки аудитории	Можно настроить с помощью API политики управления приложениями и Центр администрирования Microsoft Entra. Называется `Block custom identifier URIs` в Центр администрирования Microsoft Entra.
добавлениеURIБезУникальногоИдентификатораАрендатора	Блокировать новые URI идентификатора для приложений, если они не представляют собой один из безопасных форматов.	Снижение риска для безопасности из-за пересечения аудитории	Можно настроить с помощью API политики управления приложениями и Центр администрирования Microsoft Entra. Называется `Block identifier URIs without unique tenant identifier` в Центр администрирования Microsoft Entra.
добавлениеПароля	Блокируйте добавление новых паролей (также называемых секретами) в приложениях.	Предотвращает новые пароли, которые являются наиболее легко скомпрометированной формой учетных данных	Можно настроить с помощью API политики управления приложениями и Центр администрирования Microsoft Entra. В центре администрирования Microsoft Entra в комбинации с ограничением `symmetricKeyAddition` в настройке `Block password addition`.
срок действия пароля	Обеспечить максимальный срок действия для секрета пароля.	Снижает риск для безопасности от длительно действующих учетных данных	Можно настроить с помощью API политики управления приложениями и Центр администрирования Microsoft Entra. В центре администрирования Microsoft Entra в комбинации с ограничением `symmetricKeyLifetime` в настройке `Restrict max password lifetime`.
добавление симметричного ключа	Ограничить симметричные ключи в приложениях.	Предотвращает новые симметричные ключи, которые являются эффективными паролями — наиболее легко скомпрометированная форма учетных данных	Можно настроить с помощью API политики управления приложениями и Центр администрирования Microsoft Entra. В центре администрирования Microsoft Entra в комбинации с ограничением `passwordAddition` в настройке `Block password addition`.
symmetricKeyLifetime	Установить максимальный срок существования для симметричного ключа.	Снижает риск для безопасности от длительно действующих учетных данных	Можно настроить с помощью API политики управления приложениями и Центр администрирования Microsoft Entra. В центре администрирования Microsoft Entra в комбинации с ограничением `passwordLifetime` в настройке `Restrict max password lifetime`.
доверенный центр сертификации	Блокировать новые учетные данные сертификата, если издатель не указан в списке доверенных центров сертификации.	Гарантирует, что в тенанте используются только доверенные удостоверяющие центры.	Можно настроить с помощью API политики управления приложениями.

Дополнительные сведения о работе API политики управления приложениями см. в документации по API.

Предпосылки

Чтобы настроить политики управления приложениями, вам потребуется:

Учетная запись пользователя. Если ее нет, можно создать учетную запись бесплатно.
Роль администратора безопасности и роль администратора облачных приложений или администратора приложений . ИЛИ только роль глобального администратора .

Настройка ограничения

Политики управления приложениями можно настроить в Microsoft Entra ID с помощью Центр администрирования Microsoft Entra или Microsoft API Graph.

Включение ограничения для всех приложений

В этом примере блокируется добавление новых паролей для всех приложений и служебных объектов в вашей организации. Аналогичный процесс можно использовать для включения других ограничений.

Центр администрирования Microsoft Entra
Microsoft Graph

Чтобы заблокировать новые пароли с помощью Центр администрирования Microsoft Entra:

Войдите в Центр администрирования Microsoft Entra.
Перейдите к Entra ID>корпоративным приложениям>политикам приложений.
Выберите "Блокировать добавление пароля".
Установите статус на включено. Убедитесь, что поле "Применимо к" имеет значение "Все приложения".
Выберите Сохранить, чтобы сохранить настройки.

Снимок экрана: ограничение

Чтобы заблокировать добавление новых паролей для приложений и учетных записей с помощью Microsoft Graph:

Получите существующую политику управления приложениями на уровне клиента.
```
GET https://graph.microsoft.com/beta/policies/defaultAppManagementPolicy
```

Найдите коллекцию passwordCredentials в разделе applicationRestrictions и свойстве servicePrincipalsRestrictions. В обеих коллекциях задайте состояние passwordAddition ограничения и symmetricKeyAddition ограничения на enabled. Если другие ограничения уже присутствуют в коллекции, включите их в запрос, чтобы избежать случайного отключения их.

PATCH https://graph.microsoft.com/beta/policies/defaultAppManagementPolicy

{
    "applicationRestrictions": {
        "passwordCredentials": [
            {
                "restrictionType": "passwordAddition",
                "state": "enabled"
            },
            {
                "restrictionType": "symmetricKeyAddition",
                "state": "enabled"
            }
        ]
    },
      "servicePrincipalRestrictions": {
        "passwordCredentials": [
            {
                "restrictionType": "passwordAddition",
                "state": "enabled"
            },
            {
                "restrictionType": "symmetricKeyAddition",
                "state": "enabled"
            }
        ]
    }      
}

Предоставьте исключение для приложения

Иногда для правил на уровне всей организации необходимы исключения. В этом примере приложение предоставляет исключение для ограничений, блокирующих URI пользовательского идентификатора, поэтому он по-прежнему может добавлять в него пользовательские URI. Аналогичный процесс можно выполнить для других ограничений.

Центр администрирования Microsoft Entra
Microsoft Graph

Чтобы предоставить приложению исключение из ограничений, блокирующих URI пользовательских идентификаторов, с помощью административного центра Microsoft Entra:

Войдите в Центр администрирования Microsoft Entra.
Перейдите к Entra ID>корпоративным приложениям>политикам приложений.
Выберите "Блокировать URI пользовательского идентификатора".
Убедитесь, что состояние включено. Задайте поле "Область применения" ко всем приложениям с исключениями.
В разделе "Исключенные приложения" выберите "Добавить приложения".
Выберите приложение, которое вы хотите исключить из ограничения.
Выберите Сохранить, чтобы сохранить настройки.

Снимок экрана: ограничение URI пользовательского идентификатора.

Чтобы предоставить приложению исключение для ограничений, блокирующих URI пользовательского идентификатора с помощью Microsoft Graph:

Создайте настраиваемую политику управления приложениями. При создании задайте nonDefaultUriAddition ограничение в restrictions.applicationRestrictionsdisabledразделе .

POST https://graph.microsoft.com/beta/policies/appManagementPolicies

{
    "displayName": "Identifier URI exemption policy",
    "description": "Policy granting an exemption to the nonDefaultUriAddition restriction",
    "isEnabled": true,
    "restrictions": {
        "applicationRestrictions": {
            "identifierUris": {
                "nonDefaultUriAddition": {
                    "state": "disabled"
                }
            }
        }
    }
}

Запишите идентификатор новой политики из ответа.

Назначьте новую настраиваемую политику приложению, которое вы хотите освободить от нее.

POST https://graph.microsoft.com/beta/applications/{objectIdOfTheApplication}/appManagementPolicies/$ref

{
    "@odata.id":"https://graph.microsoft.com/v1.0/policies/appManagementPolicies/{idOfTheCustomPolicy}"
}

Если вы получите сообщение об ошибке, указывающее, что у этого приложения уже назначена настраиваемая политика, вместо этого измените эту политику, чтобы включить это новое исключение. Убедитесь, что существующая политика не назначена другим приложениям, или они также получат исключение.

Предоставление исключения пользователю или службе

Иногда пользователю или службе необходимо предоставить исключения для создания или изменения приложения. Например, представьте, что автоматизированный процесс в организации периодически создает приложения и задает пароли на них. Вы хотите заблокировать новые пароли в организации, но вы не хотите прерывать этот автоматизированный процесс при работе с обновлением. Исключения приложений не будут работать в этом случае, так как созданные и обновленные приложения еще не существуют! Вместо этого можно применить исключение к самому процессу.

Этот тип исключения, иногда называемый "субъектом" или "исключением вызова", настраивается с помощью настраиваемых атрибутов безопасности. Из-за этого вам потребуется две дополнительные роли для этого сценария, а также роли из предварительных требований.

Замечание

Если вы предоставляете пользователю исключение на основе вызывающего, этот пользователь всё равно может быть ограничен в возможности использовать центр администрирования Entra или портал Azure для изменения приложений таким образом, чтобы нарушить политику, если у него нет роли чтеца назначений attribute assignment reader role. Это не требуется для других интерфейсов управления приложениями, таких как Microsoft Graph или PowerShell.

В этом примере для службы делается исключение из ограничения, которое устанавливает максимальный срок действия новых сертификатов, добавляемых в другие приложения и субъекты-службы. Служба будет представлена её основной функцией. Найдите субъект-службу для службы, выполнив поиск в корпоративных приложениях.

Центр администрирования Microsoft Entra
Microsoft Graph

Войдите в Центр администрирования Microsoft Entra.
Перейдите к Entra ID>корпоративным приложениям>политикам приложений.
Выберите "Ограничить максимальное время существования сертификата".
Убедитесь, что состояние включено. Задайте поле "Область применения" ко всем приложениям с исключениями.
В разделе "Исключенные абоненты" выберите "Добавить исключенных абонентов".
Выберите пользователя или учетную запись службы, вызовы которых на создание или обновление приложений вы хотите исключить из данного ограничения.
Выберите Сохранить, чтобы сохранить настройки.

Снимок экрана: ограничение максимального времени существования сертификата.

Создание определения настраиваемого атрибута безопасности

Это исключение на основе вызывающего объекта выполняется с помощью пользовательских атрибутов безопасности. Настраиваемые атрибуты безопасности — это пары "ключ-значение", для которых требуется определение для создания данной пары в клиенте, после чего примеры этой пары могут быть добавлены к конкретным пользователям или учетным записям служб.

Пользовательские определения атрибутов безопасности можно создать с помощью Центр администрирования Microsoft Entra, но это также можно сделать с помощью Microsoft Graph. Сначала создайте набор атрибутов (если у вас еще нет этого набора). Наборы атрибутов — это контейнеры для определений настраиваемых атрибутов безопасности.

POST https://graph.microsoft.com/v1.0/directory/attributeSets 
{
    "id":"PolicyExemptions",
    "description":"Attributes for granting exemptions to policy",
    "maxAttributesPerSet":25
}

Затем создайте определение.

POST https://graph.microsoft.com/v1.0/directory/customSecurityAttributeDefinitions
{
    "attributeSet": "PolicyExemptions",
    "description": "App mgmt policy exemption attributes",
    "isCollection": false,
    "isSearchable": true,
    "name": "AppManagementExemption",
    "status": "Available",
    "type": "String",
    "usePreDefinedValuesOnly": true,
    "allowedValues": [
        {
            "id": "ExemptFromCertificateLifetimeRestriction",
            "isActive": true
        }
    ]
}

Это просто примеры значений; Вы можете присвоить пользовательский атрибут безопасности, который вам нравится. Однако убедитесь, что настраиваемое определение атрибута безопасности, которое вы создаете, является String типа, и isCollection установлено в false. В настоящее время типы строк с одним значением являются единственными настраиваемыми атрибутами безопасности, поддерживаемыми в качестве индикаторов исключения в политиках управления приложениями.

Добавление настраиваемого атрибута безопасности в качестве индикатора исключения

Обновите свойство excludeActors в рамках ограничения asymmetricKeyLifetime и applicationRestrictions и servicePrincipalRestrictions.

PATCH https://graph.microsoft.com/beta/policies/defaultAppManagementPolicy

 {  
    "applicationRestrictions": {
        "keyCredentials": [
            {
                "restrictionType": "asymmetricKeyLifetime",
                "state": "enabled",
                "maxLifetime": "P180D",
                "excludeActors": {
                    "customSecurityAttributes": [
                        {
                            "@odata.type": "#microsoft.graph.customSecurityAttributeStringValueExemption",
                            "id": "PolicyExemptions_AppManagementExemption",  //This `id` value is the concatenation of "AttributeSet_AttributeName"
                            "operator": "equals",
                            "value": "ExemptFromCertificateLifetimeRestriction"
                        }
                    ]
                }
            }
        ]
    },
    "servicePrincipalRestrictions": {
        "keyCredentials": [
            {
                "restrictionType": "asymmetricKeyLifetime",
                "state": "enabled",
                "maxLifetime": "P180D",
                "excludeActors": {
                    "customSecurityAttributes": [
                        {
                            "@odata.type": "#microsoft.graph.customSecurityAttributeStringValueExemption",
                            "id": "PolicyExemptions_AppManagementExemption",  //This `id` value is the concatenation of "AttributeSet_AttributeName"
                            "operator": "equals",
                            "value": "ExemptFromCertificateLifetimeRestriction"
                        }
                    ]
                }
            }
        ]
    }
 }

Это указывает Microsoft Entra на то, что вы хотите, чтобы пользователи или главные субъекты службы, которым назначено это конкретное пользовательское значение атрибута безопасности, были исключены из политики.

Назначение пользовательского атрибута безопасности субъекту-службе

Пользовательские атрибуты безопасности можно назначать как пользователям, так и субъектам-служб через Центр администрирования Microsoft Entra, но это также можно сделать с помощью Microsoft Graph.

Чтобы назначить субъекту-службе, выполните приведенные действия.

PATCH https://graph.microsoft.com/v1.0/servicePrincipals/{id}
{
    "customSecurityAttributes":
    {
        "Engineering":
        {
            "@odata.type":"#Microsoft.DirectoryServices.CustomSecurityAttributeValue",
            "AppManagementExemption":"ExemptFromCertificateLifetimeRestriction"
        }
    }
}

Замените {id} идентификатором объекта субъекта-службы.

После завершения этого учетная запись службы с назначенным настраиваемым атрибутом безопасности сможет добавить долговременный сертификат к любому приложению, которое она может изменять.

Применение ограничения к конкретному приложению

Иногда вы не готовы применить ограничение ко всему арендатору, но хотели бы применить правило к набору приложений с повышенной безопасностью. В этом примере ограничение блокирует пользовательские пароли к одному приложению. Аналогичный процесс можно выполнить для других ограничений.

Центр администрирования Microsoft Entra
Microsoft Graph

Войдите в Центр администрирования Microsoft Entra.
Перейдите к Entra ID>корпоративным приложениям>политикам приложений.
Выберите "Блокировать пользовательские пароли".
Убедитесь, что состояние включено. Задайте для поля "Область применения" значение "Выбрать приложения".
Выберите "Добавить приложения".
Выберите приложение, к которое вы хотите применить ограничение.
Выберите Сохранить, чтобы сохранить настройки.

Снимок экрана: ограничение

Создайте настраиваемую политику управления приложениями. При создании задайте customPasswordAddition ограничение в restrictions.passwordCredentialsenabledразделе .

POST https://graph.microsoft.com/beta/policies/appManagementPolicies

{
    "displayName": "Custom password policy",
    "description": "Policy that enforces the custom password restriction",
    "isEnabled": true,
    "restrictions": {
        "passwordCredentials": [
            {
                "restrictionType": "customPasswordAddition",
                "state": "enabled"
            }
        ]
    }
}

Запишите идентификатор новой политики из ответа.

Назначьте новую настраиваемую политику приложению, к которому вы хотите применить ограничение.

POST https://graph.microsoft.com/beta/applications/{objectIdOfTheApplication}/appManagementPolicies/$ref

{
    "@odata.id":"https://graph.microsoft.com/v1.0/policies/appManagementPolicies/{idOfTheCustomPolicy}"
}

Если вы получите сообщение об ошибке, указывающее, что для этого приложения уже назначена настраиваемая политика, в этом случае измените эту политику так, чтобы включить это новое ограничение. Убедитесь, что существующая политика не назначена другим приложениям, или они также получат принудительное применение.

Просмотр пользовательских политик

Пользовательские политики применяются к определенным приложениям и субъектам-службам. Они используются для переопределения конфигурации на уровне клиента для определенного приложения. Дополнительные сведения об этом можно узнать здесь.

Центр администрирования Microsoft Entra автоматически настраивает пользовательские политики на основе вашего намерения. Например, если вы хотите предоставить исключение для определенного приложения, Центр администрирования Microsoft Entra создает пользовательскую политику с этим сценарием в фоновом режиме и назначает его приложению.

Из-за этого список настраиваемых политик нельзя просматривать непосредственно в Центр администрирования Microsoft Entra. Но их можно просмотреть через Microsoft Graph.

Центр администрирования Microsoft Entra
Microsoft Graph

Список настраиваемых политик нельзя просмотреть непосредственно в Центр администрирования Microsoft Entra. Перейдите на вкладку Microsoft Graph.

GET https://graph.microsoft.com/beta/policies/appManagementPolicies

Исправьте состояние вашей политики для использования в Центре администрирования Microsoft Entra

Если вы когда-либо настроили политики управления приложениями за пределами Центр администрирования Microsoft Entra, возможно, вы настроили их таким образом, чтобы портал не ожидал. В этом случае при загрузке ограничения появится сообщение об ошибке, например:

The restriction have been modified outside of this interface. To prevent data loss, editing is disabled until restrictions are synchronized.

Чтобы вернуть ограничения в состояние, которое ожидает Центр администрирования Microsoft Entra, необходимо обновить их с помощью Microsoft Graph.

Центр администрирования Microsoft Entra
Microsoft Graph

Это невозможно сделать с помощью Центр администрирования Microsoft Entra. Перейдите на вкладку Microsoft Graph.

Сначала получите политику управления приложениями на уровне арендатора.

GET https://graph.microsoft.com/beta/policies/defaultAppManagementPolicy

Перейдите к ограничению, которое заблокировано для вас в центре администрирования Microsoft Entra.

Добавление пароля

Ограничение блокировки добавления пароля ожидает, что все четыре следующих ограничения будут находиться в одинаковом состоянии:

Ограничение passwordAddition в applicationRestrictions.passwordCredentials коллекции
Ограничение passwordAddition в servicePrincipalRestrictions.passwordCredentials коллекции
Ограничение symmetricKeyAddition в applicationRestrictions.passwordCredentials коллекции
Ограничение symmetricKeyAddition в servicePrincipalRestrictions.passwordCredentials коллекции

Это означает, что свойства всех четырех ограничений должны соответствовать. Или все четыре ограничения не должны присутствовать в политике.

Время существования пароля

Ограничение максимального времени существования пароля ожидает, что все четыре из следующих ограничений будут находиться в одном состоянии:

Ограничение passwordLifetime в applicationRestrictions.passwordCredentials коллекции
Ограничение passwordLifetime в servicePrincipalRestrictions.passwordCredentials коллекции
Ограничение symmetricKeyLifetime в applicationRestrictions.passwordCredentials коллекции
Ограничение symmetricKeyLifetime в servicePrincipalRestrictions.passwordCredentials коллекции

Время существования сертификата

Ограничение максимального срока существования сертификата ожидает, что все следующие ограничения будут находиться в одном состоянии:

Ограничение asymmetricKeyLifetime в applicationRestrictions.keyCredentials коллекции
Ограничение asymmetricKeyLifetime в servicePrincipalRestrictions.keyCredentials коллекции

Это означает, что свойства обоих ограничений должны соответствовать. Или оба ограничения не должны присутствовать в политике.

Дальнейшие шаги

Обзор API политики управления приложениями

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2025-09-09