Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Espace de noms: microsoft.graph
Importante
Les API sous la version /beta dans Microsoft Graph sont susceptibles d’être modifiées. L’utilisation de ces API dans des applications de production n’est pas prise en charge. Pour déterminer si une API est disponible dans v1.0, utilisez le sélecteur Version .
Les stratégies de gestion des applications permettent aux administrateurs informatiques d’appliquer les meilleures pratiques sur la façon dont les applications de leur organisation doivent être configurées. Par exemple, un administrateur peut configurer une stratégie pour bloquer l’utilisation ou limiter la durée de vie des secrets de mot de passe, et utiliser la date de création de l’objet pour appliquer la stratégie.
Ces stratégies permettent aux organisations de tirer parti des nouvelles fonctionnalités de renforcement de la sécurité des applications. En appliquant des restrictions basées sur la date de création de l’application ou du principal de service, une organisation peut revoir sa posture de sécurité d’application actuelle, inventorier ses applications et appliquer des contrôles en fonction de ses calendriers et besoins en matière de ressources. Cette approche utilisant la date de création permet à l’organisation d’appliquer la stratégie aux nouvelles applications et de l’appliquer aux applications existantes.
Il existe deux types de contrôles de stratégie :
- Stratégie par défaut du client qui s’applique à toutes les applications ou à tous les principaux de service.
- Stratégies de gestion des applications (principal d’application ou de service) qui permettent d’inclure ou d’exclure des applications individuelles de la stratégie par défaut du client.
Stratégie de gestion des applications par défaut du client
Une stratégie par défaut du client est un objet unique qui existe toujours et qui est désactivé par défaut. Il est défini par la ressource tenantAppManagementPolicy et applique des restrictions sur les objets d’application et de principal de service. Il contient les deux propriétés suivantes :
- applicationRestrictions permet de cibler les applications appartenant au locataire (objets d’application).
- servicePrincipalRestrictions autorise le ciblage approvisionné à partir d’un autre client (objets de principal du service).
Ces propriétés permettent à une organisation de contrôler séparément la configuration des applications qui proviennent de leur client par rapport à l’instance de leur client d’une application externe.
Stratégie de gestion des applications pour les applications et les principaux de service
Les stratégies de gestion des applications sont définies dans la ressource appManagementPolicy , qui contient un ensemble de stratégies avec des restrictions variables ou des dates d’application différentes de ce qui est défini dans la stratégie par défaut du client. L’une de ces stratégies peut être attribuée à une application ou à un principal de service pour remplacer la stratégie par défaut du locataire.
Lorsque la stratégie par défaut du client et une stratégie de gestion des applications définissent la même restriction, la stratégie de gestion des applications est prioritaire. Si une restriction est définie sur une stratégie de gestion des applications dans un disabled état, cette restriction ne s’applique pas aux applications avec cette stratégie liée à elles, indépendamment de ce que la stratégie par défaut du client appliquerait normalement. Si une restriction est définie sur enabled, elle est évaluée et appliquée. Si une restriction est définie sur audit, elle est évaluée, mais pas appliquée. Toutefois, si la stratégie de gestion des applications ne définit aucun comportement pour une certaine restriction, elle revient au comportement de la stratégie par défaut du client. Une seule stratégie de gestion des applications peut être attribuée à une application ou à un principal de service.
Remarque
Ni les stratégies de client par défaut ni les stratégies de gestion des applications ne bloquent l’émission de jetons pour les applications existantes. Une application qui ne respecte pas les exigences de la politique continue de fonctionner ; Seule l’opération de création/mise à jour d’une application qui enfreint la stratégie est bloquée.
Quelles restrictions peuvent être gérées dans Microsoft Graph ?
L’API de stratégie des méthodes d’authentification des applications offre les restrictions suivantes. En savoir plus sur la configuration de ces restrictions.
| Nom de la restriction | Description | Exemples |
|---|---|---|
| asymmetricKeyLifetime | Appliquer une plage de durée de vie maximale pour une clé asymétrique (certificat). | Limitez toutes les nouvelles informations d’identification de clé asymétrique à un maximum de 30 jours pour les applications créées après le 01/01/2019. |
| Audiences publiques | Restreint la création ou la promotion d’applications basées sur les valeurs signInAudience. | Limitez la configuration de toutes les nouvelles applications avec une audience multilocataire ou empêchez les applications existantes de mettre à jour leur audience vers multilocataire. |
| customPasswordAddition | Restreindre un mot de passe secret personnalisé sur l’application ou le principal du service. | Restreindre tous les nouveaux secrets de mot de passe personnalisés (non générés par AD Azure) sur les applications créées après le 01/01/2015. |
| nonDefaultUriAddition | Bloquer les nouveaux URI d’identificateur pour les applications, à l’exception du format d’URI « par défaut ». | Bloquer les nouveaux URI d’identificateur pour les applications, sauf s’ils sont au format api://{appId} ou api://{tenantId}/{appId}. |
| ajout de mot de passe | Restreignez complètement les secrets de mot de passe sur les applications. | Bloquer les nouveaux mots de passe sur les applications créées à partir du 01/01/2019. |
| Durée de vie de mot de passe | Appliquer une plage de durée de vie maximale pour un secret de mot de passe. | Limitez tous les nouveaux secrets de mot de passe à un maximum de 30 jours pour les applications créées après le 01/01/2015. |
| symmetricKeyAddition | Restreindre les clés symétriques sur les applications. | Bloquez les nouvelles clés symétriques sur les applications créées à partir du 01/01/2019. |
| symmetricKeyLifetime | Appliquer une plage de durée de vie maximale pour une clé symétrique. | Limitez toutes les nouvelles clés symétriques à un maximum de 30 jours pour les applications créées après le 01/01/2019. |
| trustedCertificateAuthority | Appliquer la liste des autorités de certification approuvées. | Bloquez toutes les nouvelles informations d’identification de clé asymétrique si l’émetteur n’est pas répertorié dans la liste des autorités de certification approuvées. |
| uriWithBlockedScheme | Bloquez des schémas d’URI spécifiques dans les URI de redirection à l’échelle mondiale ou par plateforme. | Bloquer http et ftp rediriger les URI pour toutes les applications ; autoriser msal uniquement les applications SPA. |
| uriWithoutAllowedScheme | Autoriser uniquement des schémas d’URI spécifiques dans les URI de redirection. | Autoriser uniquement https les URI de redirection ; schéma d’autorisation myapp pour les applications clientes publiques. |
| uriWithBlockedDomain | Bloquez des domaines d’URI de redirection spécifiques au niveau mondial ou par plateforme. | Bloquer short.contoso.com et tempuri.org rediriger les URI pour toutes les applications. |
| uriWithoutAllowedDomain | Autoriser uniquement des domaines d’URI de redirection spécifiques. | Autoriser les URI de redirection uniquement pour contoso.com et login.microsoftonline.com; Autoriser app.contoso.com pour les applications web. |
| uriWithWildcard | Restreindre l’utilisation des caractères génériques dans les URI de redirection avec des exceptions configurables. | Bloquez les caractères génériques dans les chemins d’URI de redirection à l’exception des contoso.com domaines et fabrikam.com |
| uriAdditionWithoutUniqueTenantIdentifier | Bloquer les nouveaux URI d’identificateur pour les applications, sauf s’il s’agit de l’un des formats sécurisés. | Bloquer les nouveaux URI d’identificateur pour les applications, sauf s’ils contiennent un identificateur de locataire unique, tel que l’ID client, l’appId (ID client) ou le domaine vérifié. |
Remarque
Toutes les restrictions de durée de vie sont exprimées au format de durée ISO-8601 (par exemple : P4DT12H30M5S).
L’application de la restriction customPasswordAddition bloque les modules PowerShell hérités qui ajoutent une clé secrète de mot de passe générée par le client à des applications ou des principaux de service. Cette restriction ne bloque pas les secrets du mot de passe d’application ou de principal du service générés par Microsoft Entra ID.
Applications à locataire unique ou à plusieurs locataires
Selon que votre application est une application à locataire unique ou mutualisée, vous appliquez la stratégie sur une application ou sur l’objet principal du service comme suit :
- Pour les applications à locataire unique, appliquez la stratégie à l’objet application.
- Pour restreindre les applications mutualisées hébergées dans un client client, appliquez la stratégie à l’objet application.
- Pour restreindre les applications mutualisées provisionnées à partir d’un autre client, appliquez la stratégie à l’objet principal du service.
Résumé des principales différences entre la stratégie par défaut du client et les stratégies de gestion des applications
| Stratégie par défaut du client | Stratégie de gestion des applications |
|---|---|
| La stratégie existe toujours. | Les objets de stratégie peuvent être créés ou mis à jour pour remplacer la stratégie par défaut. |
| Autorise uniquement la définition d’objets à restriction unique pour toutes les ressources. | Autorise la définition de plusieurs objets de stratégie, mais un seul peut être appliqué à une ressource. |
| Permet de faire la distinction entre les restrictions pour les objets d’application et les principaux de service. | La stratégie peut être appliquée à une application ou à un objet principal de service. |
| Applique toutes les restrictions configurées à toutes les applications ou à tous les principaux de service. | Applique les restrictions configurées dans la stratégie de ressource au principal du service ou de l’application spécifié. Tout ce qui n’est pas défini hérite de la stratégie par défaut. |
Configuration requise
- Les rôles de moins privilégiés de Microsoft Entra pour la gestion des stratégies de méthode d’authentification des applications sont Administrateur d’application et Administrateur d’application cloud.