在 Azure AD 中监视服务主体登录报告
如今，随着一切都转移到云环境中，安全性成为一个明确的问号！当自动化工具和应用程序被授予广泛的权限时，组织也会容易受到网络攻击和其他安全漏洞的影响。是的！对于应用程序最具包容性的权限，您的组织的保护层将显得脆弱。
因此，Microsoft 在Azure AD 中引入了服务主体登录，以简化访问管理、增强安全性并实现更轻松的工作流程自动化。服务主体是允许应用程序和服务验证和访问资源的身份。
此外，监控服务主体登录成为强制性的，因为它充当储物柜的钥匙，任何人都可以使用它轻松访问您的数据！因此，密切关注服务主体登录情况对于防范安全威胁至关重要。因此，事不宜迟，让我们在这里了解有关服务主体以及如何监控它们的更多信息。
Azure 中的服务主体是什么？
Azure AD 中的服务主体是为应用程序、托管服务和自动化工具创建的一种身份，目的是在 Office 365 环境中利用资源和完成任务。
Microsoft 365 中服务主体的实时用例
例如，假设您想要注册一个应用来访问 Microsoft Graph 以实现某些自动化目的。然后，这就是服务主体发挥作用的地方！服务主体被创建为一种身份，允许应用程序访问所需的资源，而无需用户交互或暴露用户凭据。
每个服务主体在创建时都会被分配一个唯一的标识符和登录凭据。稍后，可以在身份验证和授权过程中使用它来验证注册应用程序的身份。
- 这组凭据可以包括证书或应用程序机密，它们被安全地存储并用于获取允许服务主体代表组织执行操作的访问令牌。
如何在 Azure AD 中创建服务主体？
按照以下步骤在注册应用程序时轻松创建服务主体。
Microsoft Entra 管理中心 ? 应用程序 ? 应用注册 ? 新注册
- 为您的应用指定一个“名称”，然后在支持的帐户类型下选择“仅此组织目录中的帐户”。
- 注册应用程序后，复制稍后需要的应用程序（客户端）ID。
- 现在，点击客户端凭据下的“添加证书或密钥”。
- 接下来选择“新客户端密钥”，然后向客户端密钥添加说明和到期日期。
- 然后复制秘密值，稍后不会显示。出于安全原因并防止它们落入坏人之手，秘密值（也称为应用程序密码）稍后不会显示。
最终，应用程序 ID 和密钥值将在登录客户端应用程序时用作登录凭据。现在我们已经清楚如何在 Azure 中创建服务主体，让我们看看如何在 Azure 门户中查看服务主体登录报告。
需要在 Azure AD 中监视服务主体登录吗？
持续关注服务主体登录和监控可以极大地帮助管理员领先于潜在威胁并确保数据安全。因此，让我们看看一些潜在问题，这些问题将成为开始严格监控服务主体登录的理由！
注意利用 - 网络犯罪分子可以利用与服务主体关联的凭据来访问敏感数据或执行长时间未被检测到的恶意活动。因此，监控服务主体登录可以帮助避免此类恶意攻击！
资源利用率-管理员监控服务主体登录以了解应用程序的日常使用以及组织中如何访问资源。因此，只需留意常规模式即可发现 Microsoft 365 环境中的异常活动。
风险最小化- 跟踪服务主体登录在以下情况中更为重要：减少 Azure AD 租户中滥用应用程序带来的不必要风险的过程。
识别证书和秘密用户-通过此监控，您可以检测谁使用秘密值以及谁在组织设置中使用证书进行登录活动。
通过条件访问监督服务主体登录 - 有时很难通过条件访问来管理服务主体用于阻止来自未知位置的服务主体等目的。因此，请持续检查这些报告，以管理通过条件访问部署的服务主体登录。
如何在 Azure AD 中监控服务主体登录？
您可以在 Azure AD 中的两个不同位置监视服务主体登录活动。
- Azure AD 登录日志中的服务主体登录。
- 使用情况和见解中的服务主体登录活动。
在 Azure AD 登录日志中监视服务主体登录
您可以按照以下路径查看服务主体登录报告。
Microsoft Entra 管理中心?监控和运行状况?登录日志?服务主体登录。
此报告包含日期、请求 ID、服务主体 ID、服务主体名称、状态、IP 地址、资源、资源 ID、条件访问和登录。
- 日期 - 日期列显示相应登录活动的上次登录日期和时间。
- 请求 ID - 它是与请求检测关联的登录活动的请求标识符。
- 服务主体 ID - 服务主体 ID 是与应用程序关联的服务主体对象的唯一 ID。
- 服务主体名称 - 它显示发起登录的服务主体名称。
- IP 地址 - 客户端用于登录的位置的 IP 地址。
- 资源 - 此处显示服务主体签名的资源类型。
- 资源 ID -此处记录了 Microsoft Graph、Office 365 Exchange Online、Windows Azure Active Directory 以及服务主体签名的更多资源等资源的 ID。
- 条件访问 - 可以在此处查看适用于登录的所有条件访问策略的列表。
首先，该报告不支持自定义列，而是允许您根据特定字段进行过滤。因此，为了使登录数据成为易于访问和理解的模型，当以下数据类型相同时，Microsoft 将登录事件聚合到单个实体中。
- 服务主体 ID
- 服务主体名称
- 地位
- IP地址
- 资源
- 资源ID
在“使用情况和见解”中审核服务主体登录活动
最近，Microsoft 在“使用情况和见解” 部分推出了针对“服务主体登录”的新报告体验。导航至以下路径查看新体验！
Microsoft Entra 管理中心 ? 监控和运行状况 ? 使用情况和见解 ? 服务主体登录活动（预览）
在这里，您可以注意到“服务主体登录活动在预览中可用”以及 3 个不同的预览报告。以下是“使用情况和见解报告部分”针对不同登录活动提供的 5 份不同报告。
- Azure AD 应用程序活动报告（预览）
- AD FS 应用程序活动报告
- 身份验证方法活动
- 服务主体登录活动（预览）
- 应用程序凭据活动（预览）
借助新的“使用情况和见解中的服务主体登录报告”部分，管理员可以根据特定应用程序的登录数据快速生成报告。此外，您还可以根据日期范围下拉列表中提供的默认选项优化特定时间段的报告。
“使用和见解”部分为管理员提供了一种便捷的方式来获取服务主体特定应用程序登录活动的概述以及应用程序详细信息。但是，在登录日志中，所有登录活动都会根据时间范围进行分组和列出。
基本上，此服务主体登录报告列出了应用程序名称、上次登录日期、应用程序（客户端）ID 和详细信息。单击“查看更多详细信息”以了解有关特定应用程序的更多详细信息。
- 详细信息选项卡详细介绍了应用程序的仅应用程序访问和委派访问。可以从这些报告中的“上次登录日期”列中明确推断出频繁使用应用程序和非活动应用程序的明显详细信息。
查看使用情况和见解的先决条件
要访问使用情况和见解，必须为用户分配以下任一角色。
- 全局管理员
- 安全管理员
- 安全读卡器
- 报告阅读器
- 需要 Azure AD Premium (P1/P2) 订阅。
尽管您可以在本机管理中心监控服务主体登录活动，但使用管理中心无法可视化其更改的每个角落！对于 PowerShell，您需要循环多个 cmdlet 来生成所需的无错误报告。但是，监控服务主体登录活动不再有麻烦，因为 AdminDroid Microsoft 365 Reporter 助您一臂之力！
使用 AdminDroid 享受免费的服务主体登录活动报告！
现在，使用 AdminDroid 服务主体登录报告查看服务主体登录活动的所有清晰统计数据以及每项更改。 AdminDroid 的免费 Azure AD 报告工具，提供有关登录活动、有风险的登录、密码重置活动报告、MFA 使用情况报告、组的更强大且专门的报告Microsoft 365 环境的活动报告等。除了列自定义功能之外，它还允许您调整许多所需的报告。
此外，AdminDroid服务主体变更报告有助于彻底监控和分析服务主体的每一个细微变化，例如组织内添加、更新或删除的新服务主体。详细报告深入了解服务主体登录活动，包括登录时间、登录应用程序名称、登录状态、登录位置等详细信息。
除此之外，出色的 AdminDroid Azure AD 审核工具可帮助您执行用户审核、组审核、用户登录审核、管理员角色更改审核、应用程序审核，并设置变更审核以获得更好的洞察和管理。
AdminDroid 提供关于用户登录活动、MFA 更改、密码更改、许可证和到期更改等的 190 多个免费报告和10+ 智能仪表板。因此，立即开始使用 AdminDroid Azure AD 管理工具享受免费报告体验
不要将自己局限于服务主体登录和更改监控，现在开始探索 AdminDroid Microsoft 365 报告工具以获得高度先进的报告体验。您可以使用 AdminDroid 为每项 Microsoft 365 服务提供的1800 多个预构建报告进行轻松管理。
“从 AdminDroid 舒适地可视化您的 Microsoft 365 空间30+ 时尚和智能仪表板增强 Office 管理！”
凭借其高度先进的功能和用户友好的界面，AdminDroid 让您在 Microsoft 365 报告和监控方面别无选择！立即下载 AdminDroid 以享受便捷的 Office 365 管理功能。
总之，我们建议您监控服务主体登录的每一步，以了解未经授权的访问，并严格限制资源后门访问的权限。组织可以通过采取适当的安全措施来确保登录过程的安全，从而增强其网络安全态势并防范各种威胁。
希望这篇博客能让您熟悉服务主体及其特点。在评论部分留下你的想法。