Skip to main content

​
Què aporta aquesta integració

Microsoft Entra ID pot aportar activitat normalitzada d’identitat, inici de sessió, risc, dispositius i simulació d’atacs. Alguns exemples revisats són:
  • account.compromised — compte marcat com a compromès
  • auth.login.unusual — inicis de sessió des de contextos inusuals
  • phishing.simulation.clicked — ha fet clic en una simulació sense notificar-ho
Són exemples representatius, no una garantia que tots els esdeveniments estiguin disponibles a tots els tenants. Consulteu com les dades de la integració es converteixen en Signals.

​
Què necessita Living Security

Àmbits (permisos d’aplicació):

​
Vosaltres decidiu què pot fer aquesta connexió

Aquesta connexió llegeix dades. També pot dur a terme accions al vostre directori, però només si ho permeteu. Tots els permisos anteriors, excepte l’últim, són de només lectura. Si només concediu aquests, la connexió no podrà modificar mai res al vostre tenant: la plataforma ho detecta i no ofereix cap acció de grup. Afegiu GroupMember.ReadWrite.All i les accions d’appartenença a grups estaran disponibles als Playbooks. Res no s’inicia pel seu compte: encara heu de triar quins grups pot tocar la plataforma (vegeu més avall) i crear un Playbook que els utilitzi. Podeu canviar d’opinió en qualsevol moment. N’hi ha prou d’afegir o eliminar un permís a Microsoft Entra ID i tornar a concedir el consentiment de l’administrador; no cal tornar a introduir les credencials a la plataforma i les sincronitzacions de dades continuen funcionant en tot moment. El canvi s’aplica en aproximadament una hora.
Les accions d’appartenença a grups estan a més limitades als grups que designeu. Després de connectar, un administrador tria una llista de grups permesos explícita a la connexió. Fins que no existeixi aquesta llista, les accions de grup no estan disponibles, ni tan sols amb el permís concedit; per tant, GroupMember.ReadWrite.All no vol dir mai «qualsevol grup del tenant».Trieu amb cura aquests grups: eviteu qualsevol grup que concedeixi rols administratius, accés privilegiat o drets de llicència.
Rol necessari: Application Administrator o Global Administrator a Microsoft Entra ID
Dos d’aquests permisos són incorporacions més recents. Si vau connectar Microsoft Entra ID abans que apareguessin en aquesta llista, afegiu-los al registre d’aplicació existent i torneu a concedir el consentiment de l’administrador: Microsoft exigeix tornar a concedir el consentiment sempre que canviïn els permisos. Mentrestant, la resta de fluxos de dades continuen funcionant amb normalitat.Policy.Read.ConditionalAccess — sense aquest permís, Microsoft elimina el detall de l’accés condicional de cada registre d’inici de sessió. El registre continua indicant que es va complir una política d’accés condicional, però la llista de polítiques arriba buida. No falla res i no us avisa res: les dades d’inici de sessió continuen arribant i la connexió continua en bon estat. Simplement, la plataforma no pot saber quins inicis de sessió es van satisfer amb l’autenticació multifactor, de manera que l’activitat de MFA d’aquesta connexió es manté buida.IdentityRiskEvent.Read.All — llegir les deteccions de risc també requereix una llicència Microsoft Entra ID P1 o P2. La detecció de credencials filtrades està disponible a tots els nivells, inclòs P1; les deteccions premium s’informen com a generic per sota de P2.

​
Requisits previs

  • Heu de tenir accés com a Application Administrator o Global Administrator a Microsoft Entra ID per registrar aplicacions i concedir el consentiment de l’administrador.

​
Part A — A Microsoft Entra ID

L’administrador de Microsoft Entra ID duu a terme aquests passos.
1

Registreu una aplicació nova

  1. Inicieu sessió al centre d’administració de Microsoft Entra.
  2. A la navegació de l’esquerra, aneu a Entra ID → App registrations.
  3. Feu clic a New registration.
  4. Introduïu un nom significatiu per a l’aplicació, com ara Living Security Platform.
  5. A Supported account types, seleccioneu Accounts in this organizational directory only.
  6. Deixeu Redirect URI en blanc: aquesta integració utilitza el flux de credencials de client.
  7. Feu clic a Register.
Després del registre, anoteu els valors següents de la pàgina Overview:
  • Application (client) ID
  • Directory (tenant) ID
2

Afegiu els permisos d'aplicació de Microsoft Graph

  1. A la pàgina Overview de l’aplicació, feu clic a API permissions al menú de l’esquerra.
  2. Feu clic a Add a permission.
  3. Seleccioneu Microsoft Graph.
  4. Seleccioneu Application permissions.
  5. Cerqueu i seleccioneu cadascun dels permisos següents i, després, feu clic a Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. Afegiu GroupMember.ReadWrite.All només si voleu que els Playbooks puguin canviar l’appartenença a grups. Ometeu-lo per mantenir aquesta connexió en només lectura.
Són els permisos mínims per a tots els fluxos de dades. Si només penseu habilitar un subconjunt de fluxos, podeu ometre els permisos dels fluxos que no utilitzareu.
3

Concediu el consentiment de l'administrador

Els permisos d’aplicació requereixen el consentiment explícit de l’administrador.
  1. A la pàgina API permissions, feu clic a Grant admin consent for <your tenant name>.
  2. Al diàleg de confirmació, feu clic a Yes.
  3. Comproveu que tots els permisos mostrin Granted a la columna Status.
Si el botó Grant admin consent apareix en gris, necessiteu privilegis de Privileged Role Administrator o Global Administrator. El consentiment de l’administrador s’ha de tornar a concedir cada vegada que afegiu permisos nous.
4

Creeu un secret de client

  1. A la pàgina Overview de l’aplicació, feu clic a Certificates & secrets al menú de l’esquerra.
  2. Feu clic a la pestanya Client secrets i, després, a New client secret.
  3. Introduïu una descripció (p. ex., Living Security Platform).
  4. Trieu una caducitat que s’ajusti a la vostra política de rotació.
  5. Feu clic a Add.
Copieu el valor del secret immediatament. Microsoft Entra ID només mostra el secret de client complet una vegada. Si canvieu de pàgina abans de copiar-lo, haureu d’eliminar el secret i crear-ne un de nou.
Deseu el secret de manera segura. Configureu un recordatori al calendari per rotar-lo abans que caduqui: un secret caducat fa que les sincronitzacions fallin amb 401 Unauthorized.
5

Determineu els amfitrions de Graph API i d'Authority

Per a la majoria d’organitzacions al núvol comercial, utilitzeu els valors per defecte:Per als núvols governamentals o sobirans, utilitzeu els punts finals adequats al vostre entorn.
El Graph API host i l’Authority host han de coincidir: els tokens de l’autoritat d’un núvol no són vàlids per al punt final de Graph d’un altre núvol.

​
Part B — A la Living Security Platform

El propietari del programa duu a terme aquest pas, o l’administrador del sistema si ha estat convidat a la plataforma.
Ara ja esteu connectat a Microsoft Entra ID (Client Credentials).

​
Resolució de problemes

Les credencials no són vàlides o han caducat. Comproveu que:
  1. El Client Secret no hagi caducat ni s’hagi rotat
  2. El Tenant ID i el Client ID siguin correctes
  3. L’Authority host coincideixi amb el vostre entorn de núvol
Al registre de l’aplicació li falten permisos o no s’ha concedit el consentiment de l’administrador. Comproveu que:
  1. Tots els permisos necessaris apareguin a API permissions
  2. Cada permís mostri l’estat Granted (marca de verificació verda)
  3. El consentiment de l’administrador s’hagi concedit després d’afegir els permisos
Si heu afegit permisos nous després del consentiment inicial, heu de tornar a concedir el consentiment de l’administrador.
És possible que a l’aplicació li falti el permís específic d’aquest flux:
  • Cap usuari → falta User.Read.All
  • Cap alerta de seguretat → falta SecurityAlert.Read.All
  • Cap registre d’inici de sessió → falta AuditLog.Read.All
  • Cap resultat de simulació d’atacs → falta AttackSimulation.Read.All
  • Cap dispositiu d’Entra ID → falta Device.Read.All
  • Cap dispositiu gestionat per Intune → falta DeviceManagementManagedDevices.Read.All
  • Cap detecció de risc → falta IdentityRiskEvent.Read.All, no s’ha tornat a concedir el consentiment de l’administrador després d’afegir-lo, o el tenant està per sota del mínim de llicència Microsoft Entra ID P1
És possible que el Graph API host i l’Authority host no coincideixin. Tots dos han de correspondre al mateix entorn de núvol (comercial, governamental, etc.).
Les accions d’appartenença a grups només s’ofereixen quan es compleixen aquestes tres condicions:
  1. GroupMember.ReadWrite.All és al registre de l’aplicació, amb el consentiment de l’administrador concedit. Si l’heu afegit fa poc, espereu fins a una hora.
  2. Un administrador ha designat una llista de grups permesos a la connexió.
  3. La connexió està activa i en bon estat.
Si heu concedit el permís i les accions continuen sense estar disponibles, torneu a concedir el consentiment de l’administrador: Microsoft ho exigeix sempre que canviïn els permisos.
Si el vostre tenant té una política d’accés condicional (Conditional Access) limitada per adreça IP, pot bloquejar les sol·licituds que porten la credencial d’aquesta connexió. La majoria de tenants no s’hi veuen afectats: Microsoft Graph no restringeix per adreça IP de manera predeterminada. Si apliqueu una política limitada per IP per a principals de servei, aquesta integració necessita dos conjunts d’adreces a la llista de permesos, perquè la configuració i la sincronització de dades surten de xarxes diferents.Living Security genera ella mateixa el token d’accés d’aquesta connexió i el renova contínuament, de manera que les sol·licituds de token surten de les adreces pròpies de la plataforma, no de les adreces que utilitzen les vostres sincronitzacions de dades.Les accions de grup són un cas a part. De manera predeterminada segueixen la mateixa ruta que les sincronitzacions de dades i surten de les adreces de sincronització. Només passen a les adreces de la plataforma si un administrador canvia la connexió a sortida directa.Afegiu els dos conjunts a la named location en què confia o que exclou la vostra política d’accés condicional. Les sol·licituds de token arriben a login.microsoftonline.com i les sol·licituds de dades arriben a graph.microsoft.com; totes dues han de ser acceptades.Si només s’han posat a la llista de permesos les adreces de sincronització, la configuració falla en obtenir el token i no es crea cap connexió. Si només s’han posat les adreces de la plataforma, la configuració té èxit i totes les sincronitzacions retornen zero registres.