bewährte Methoden für Microsoft Entra PowerShell

In diesem Artikel erfahren Sie, wie Sie Microsoft Entra bewährten Methoden für PowerShell implementieren, einschließlich App-Registrierung, Sicherheitsverbesserungen, Leistungsoptimierungen und Wartungsstrategien.

Diese Vorgehensweisen zu verstehen, ist entscheidend, um Sicherheitsrisiken zu minimieren, die Leistung zu optimieren und Systeme auf dem neuesten Stand zu halten. Es ist wichtig, vertrauliche Daten zu schützen und reibungslose Abläufe in jeder Organisation sicherzustellen.

Registrieren Sie eine App, anstatt eine Unternehmensanwendung zu verwenden

Sie können Ihre eigenen Anwendungen registrieren, die auf unterschiedliche Anwendungsfälle mit bestimmten Berechtigungen zugeschnitten sind, z. B. für Marketing- oder Helpdeskteams. Dieser Ansatz ermöglicht eine präzisere Berechtigungsverwaltung und minimiert die Sicherheitsbeeinträchtigungen, wenn eine App kompromittiert wird. Informationen zum Erstellen einer registrierten App finden Sie unter Erstellen einer benutzerdefinierten Anwendung.

Melden Sie sich mit der Anwendung an, die Sie registrieren, indem Sie Folgendes ausführen:

Connect-Entra -ClientId <your-custom-app-id> -TenantId <your-tenant-id>

Sie können auch die Aliase AppId oder ApplicationId anstelle von ClientId verwenden.

Security

Wenden Sie die folgenden bewährten Methoden für Zustimmung und Autorisierung in Ihrer App an, um die Sicherheit zu verbessern:

• Anwenden der geringsten Berechtigungen: Gewähren Sie Benutzern und Apps nur die niedrigste Berechtigung, die sie zum Aufrufen der Microsoft Entra Ressource benötigen. Wählen Sie die geringsten Berechtigungen aus. Wenn die App beispielsweise nur das Profil des aktuell angemeldeten Benutzers liest, erteilen Sie User.Read anstelle von User.ReadBasic.All. Eine vollständige Liste der Berechtigungen finden Sie in der Berechtigungsreferenz.

• Verwenden Sie Disconnect-Entra: Führen Sie"Disconnect-Entra " immer aus, um alle Anmeldeinformationen und Kontexte zu entfernen, die einem Konto zugeordnet sind. Mit diesem Cmdlet werden Verbindungen ordnungsgemäß bereinigt und geschlossen, wenn sie nicht mehr benötigt werden. Dadurch wird das Risiko eines nicht autorisierten Zugriffs reduziert, wenn die Sitzung geöffnet bleibt oder eine andere Person auf Ihre PowerShell-Umgebung zugreift.

• Verwenden Sie den richtigen Berechtigungstyp basierend auf Szenarien: Vermeiden Sie die Verwendung von Anwendungs- und delegierten Berechtigungen in derselben App. Wenn Sie eine interaktive Anwendung erstellen, in der ein angemeldeter Benutzer vorhanden ist, sollte Ihre Anwendung delegierte Berechtigungen verwenden. Wenn Ihre Anwendung jedoch ohne einen angemeldeten Benutzer ausgeführt wird, z. B. einen Hintergrunddienst oder Daemon, sollte Ihre Anwendung Anwendungsberechtigungen verwenden.

• Überlegen Sie sich mit Anwendungsberechtigungen: Vermeiden Sie die Verwendung von Anwendungsberechtigungen für interaktive Szenarien, um Sicherheits- und Compliancerisiken zu verhindern, da sie unbeabsichtigt die Berechtigungen eines Benutzers erhöhen und Administratorrichtlinien umgehen kann.

• Denken Sie beim Konfigurieren Ihrer App nach: Die Konfiguration wirkt sich auf Endbenutzer- und Administratorerfahrungen sowie die Anwendungsakzeptanz und Sicherheit aus. Beispiel:

  • Der Name, das Logo, die Domain, der Überprüfungsstatus des Herausgebers, die Datenschutzerklärung und die Nutzungsbedingungen Ihrer Anwendung werden in Einwilligungs- und anderen Benutzeroberflächen angezeigt. Konfigurieren Sie diese Einstellungen sorgfältig, damit Ihre Endbenutzer sie verstehen.
  • Überlegen Sie, wer Ihrer Anwendung zustimmt – entweder Endbenutzer oder Administratoren – und konfigurieren Sie Ihre Anwendung so, dass Berechtigungen entsprechend angefordert werden.
  • Stellen Sie sicher, dass Sie den Unterschied zwischen statischer, dynamischer und inkrementeller Zustimmung verstehen.

• Achten Sie auf die schleichende Ausweitung von Berechtigungen – Behalten Sie die Berechtigungen im Blick, die sich im Laufe der Zeit für die registrierte App ansammeln.

• Nutzen Sie Sicherheitsstandards und Bedingten Zugriff – schützen Sie Benutzer mit der Microsoft Entra-Mehrstufigen Authentifizierung mithilfe von Bedingtem Zugriff (für lizenzierte Organisationen) und Sicherheitsstandards (für nicht lizenzierte Organisationen).

• Nutzen Sie Microsoft Entra-Empfehlungen - Die Funktion „Microsoft Entra-Empfehlungen“ überwacht kontinuierlich den Status Ihres Mandanten und stellt sicher, dass er sicher bleibt und einwandfrei funktioniert. Sie haben Einblick in genutzte Apps, ablaufende Anmeldeinformationen, überprivilegierte Anwendungen und vieles andere.

• Beschränken Sie die App-Anmeldung auf nur zugewiesene Identitäten – Die Assignment Required Eigenschaft hilft beim Verwalten des Zugriffs auf Anwendungen, indem sichergestellt wird, dass nur zugewiesene Benutzer sich anmelden können.

Connect-Entra -Scopes 'Application.ReadWrite.All'
Get-EntraServicePrincipal -Filter "DisplayName eq 'Contoso Demo App'" | Set-EntraServicePrincipal -AppRoleAssignmentRequired $true

Leistungsoptimierungen

Die folgenden Methoden können Ihnen helfen, die Leistung beim Arbeiten mit Microsoft Entra PowerShell zu optimieren:

Verwenden eines Filters

Das Filtern erfolgt auf serverseitiger Seite, indem Die Auswahl beschränkt wird, um eine Teilmenge einer Sammlung abzurufen, wodurch unnötiger Netzwerkdatenverkehr und Datenverarbeitung reduziert werden können.

Get-EntraUser -Filter "startsWith(DisplayName,'Ada')"

Nur erforderliche Eigenschaften auswählen

Auswählen der erforderlichen Eigenschaften mithilfe des -Property Parameters, um nur erforderliche Eigenschaften abzurufen.

Definieren Sie das Seitenformat

Für Anforderungen, die viele Objekte zurückgeben, erhöhen Sie die Seitengröße mit dem Parameter auf den Maximalwert -top.

Get-EntraUser -All -Top 999

Maintenance

Wenden Sie die folgenden bewährten Methoden für die Wartung an, um sicherzustellen, dass Ihr Microsoft Entra PowerShell-Modul und -Skripts auf dem neuesten Stand sind und optimal funktionieren:

Microsoft Entra PowerShell-Modul auf dem neuesten Stand halten

Das Aktualisieren Ihres Moduls ist aus mehreren Gründen von entscheidender Bedeutung. Erstens können Sie von den neuesten Features und Verbesserungen profitieren, um sicherzustellen, dass Sie Zugriff auf die aktuellsten Cmdlets und Funktionen haben. Wichtiger ist, dass regelmäßige Updates Ihren Sicherheitsstatus verbessern. Unser Team implementiert konsequent Sicherheitsupdates und Patches, um Ihre Systeme vor Sicherheitsrisiken zu schützen.

Update-Module -Name Microsoft.Entra

Entfernen Sie nach dem Aktualisieren des Moduls die älteren Versionen.

Verwenden von Get-Help

Get-Help bietet umfassende Dokumentation direkt in der Befehlszeile. Es bietet detaillierte Informationen zu Microsoft Entra PowerShell-Cmdlets, -Funktionen, -Skripts und -Konzepten, einschließlich Verwendungsbeispielen, akzeptierten Parametern und Ausgabe. Get-Help fördert eine effiziente Skripterstellung und hilft dabei, häufige Fehler zu vermeiden.

Get-Help Get-EntraUser -Detailed

Verwenden der Debugoption

-Debug unterstützt Sie bei der Problembehandlung, indem detaillierte Diagnoseinformationen bereitgestellt werden, während Sie mit Microsoft Entra PowerShell arbeiten. Es kann Ihnen helfen, genau zu verstehen, wie Ihre Skripts funktionieren und wo Probleme während der Entwicklungs- und Testphase auftreten können.

Get-EntraUser -Top 1 -Debug

Verwenden Sie Zum Senden des Debugausgabedatenstroms an eine Protokolldatei Folgendes:

Get-EntraUser -Top 1 -Debug 5>> <your-log-filepath>

• 5 - stellt die Datenstromnummer dar, Debug Stream. Weitere Informationen zu Datenströmen finden Sie unter Output Streams.
• >> - stellt den Umleitungsoperator dar. Weitere Informationen zu Umleitungsoperatoren finden Sie unter Umleitungsoperatoren.

Verwandte Inhalte

• übersicht über Microsoft Entra PowerShell
• Microsoft Entra Häufig gestellte Fragen zu PowerShell