Skip to main content

​
Co tato integrace poskytuje

Microsoft Entra ID může poskytovat normalizovanou aktivitu týkající se identit, přihlášení, rizik, zařízení a simulací útoků. Prověřené příklady zahrnují:
  • account.compromised – účet označený jako napadený
  • auth.login.unusual – přihlášení z neobvyklých kontextů
  • phishing.simulation.clicked – kliknutí na simulaci bez jejího nahlášení
Jde o reprezentativní příklady, nikoli o záruku, že každá událost je dostupná v každém tenantu. Viz jak se data z integrací stávají signály.

​
Co Living Security potřebuje

Rozsahy (oprávnění aplikace):

​
Sami rozhodujete, co může toto připojení dělat

Toto připojení data čte. Může také provádět akce ve vašem adresáři, ale pouze pokud to povolíte. Všechna výše uvedená oprávnění kromě posledního jsou určena pouze ke čtení. Pokud udělíte jen tato, připojení nikdy nemůže nic ve vašem tenantu měnit – platforma to rozpozná a akce se skupinami vůbec nenabízí. Pokud přidáte GroupMember.ReadWrite.All, akce členství ve skupinách budou dostupné pro použití v playboocích. Nic se nezačne dít samo od sebe: stále musíte určit, kterých skupin se platforma smí dotýkat (viz níže), a vytvořit playbook, který je využívá. Své rozhodnutí můžete kdykoli změnit. Stačí přidat nebo odebrat oprávnění v Microsoft Entra ID a znovu udělit souhlas správce – není třeba znovu zadávat přihlašovací údaje v platformě a synchronizace vašich dat po celou dobu běží. Změna se projeví přibližně do hodiny.
Akce členství ve skupinách jsou navíc omezeny na skupiny, které určíte. Po připojení správce na připojení zvolí explicitní seznam povolených skupin. Dokud tento seznam neexistuje, nejsou akce se skupinami dostupné ani při uděleném oprávnění – GroupMember.ReadWrite.All tedy nikdy neznamená „libovolná skupina v tenantu“.Skupiny vybírejte pečlivě: vyhněte se jakékoli skupině, která uděluje administrátorské role, privilegovaný přístup nebo nároky na licence.
Požadovaná role: Application Administrator nebo Global Administrator v Microsoft Entra ID
Dvě z těchto oprávnění jsou novější. Pokud jste Microsoft Entra ID připojili dříve, než se v tomto seznamu objevila, přidejte je do stávající registrace aplikace a znovu udělte souhlas správce – Microsoft vyžaduje opětovné udělení souhlasu při každé změně oprávnění. Všechny ostatní datové toky mezitím fungují normálně.Policy.Read.ConditionalAccess – bez tohoto oprávnění Microsoft z každého záznamu o přihlášení odstraní podrobnosti o podmíněném přístupu. Záznam sice stále uvádí, že zásada podmíněného přístupu byla splněna, ale seznam zásad se vrátí prázdný. Nic neselže a nic vás nevaruje: data o přihlášeních nadále přicházejí a připojení zůstává v pořádku. Platforma však jednoduše nedokáže určit, která přihlášení byla splněna pomocí vícefaktorového ověřování, takže aktivita MFA z tohoto připojení zůstane prázdná.IdentityRiskEvent.Read.All – čtení detekcí rizik vyžaduje také licenci Microsoft Entra ID P1 nebo P2. Samotná detekce uniklých přihlašovacích údajů je dostupná v každé úrovni včetně P1; prémiové detekce jsou pod úrovní P2 hlášeny jako generic.

​
Předpoklady

  • K registraci aplikací a udělení souhlasu správce musíte mít v Microsoft Entra ID přístup Application Administrator nebo Global Administrator.

​
Část A – V Microsoft Entra ID

Tyto kroky provádí správce vašeho Microsoft Entra ID.
1

Registrace nové aplikace

  1. Přihlaste se do centra pro správu Microsoft Entra.
  2. V levé navigaci přejděte na Entra ID → App registrations.
  3. Klikněte na New registration.
  4. Zadejte výstižný název aplikace, například Living Security Platform.
  5. V části Supported account types vyberte Accounts in this organizational directory only.
  6. Pole Redirect URI nechte prázdné – tato integrace používá tok s přihlašovacími údaji klienta (client credentials flow).
  7. Klikněte na Register.
Po registraci si poznamenejte následující hodnoty ze stránky Přehled:
  • Application (client) ID
  • Directory (tenant) ID
2

Přidání oprávnění aplikace Microsoft Graph

  1. Na stránce Přehled své aplikace klikněte v levém menu na API permissions.
  2. Klikněte na Add a permission.
  3. Vyberte Microsoft Graph.
  4. Vyberte Application permissions.
  5. Vyhledejte a vyberte každé z níže uvedených oprávnění a poté klikněte na Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. Oprávnění GroupMember.ReadWrite.All přidejte pouze v případě, že chcete, aby playbooky mohly měnit členství ve skupinách. Pokud ho vynecháte, zůstane toto připojení pouze pro čtení.
Jde o minimální oprávnění pro všechny datové toky. Pokud plánujete povolit jen některé toky, můžete oprávnění pro toky, které nepoužijete, vynechat.
3

Udělení souhlasu správce

Oprávnění aplikace vyžadují výslovný souhlas správce.
  1. Na stránce API permissions klikněte na Grant admin consent for <your tenant name>.
  2. V potvrzovacím dialogu klikněte na Ano.
  3. Ověřte, že se u každého oprávnění ve sloupci Stav zobrazuje Granted.
Pokud je tlačítko Grant admin consent zašedlé, potřebujete oprávnění Privileged Role Administrator nebo Global Administrator. Souhlas správce je nutné udělit znovu při každém přidání nových oprávnění.
4

Vytvoření tajného klíče klienta

  1. Na stránce Přehled své aplikace klikněte v levém menu na Certificates & secrets.
  2. Klikněte na kartu Client secrets a poté na New client secret.
  3. Zadejte popis (např. Living Security Platform).
  4. Zvolte dobu platnosti odpovídající vaší politice rotace.
  5. Klikněte na Přidat.
Hodnotu tajného klíče ihned zkopírujte. Microsoft Entra ID zobrazí úplný tajný klíč klienta pouze jednou. Pokud stránku opustíte dříve, než ho zkopírujete, musíte tajný klíč odstranit a vytvořit nový.
Tajný klíč bezpečně uložte. Nastavte si připomenutí v kalendáři, abyste ho obnovili před vypršením platnosti – po vypršení platnosti tajného klíče synchronizace selhávají s chybou 401 Unauthorized.
5

Určení hostitelů Graph API a autority

Ve většině organizací v komerčním cloudu použijte výchozí hodnoty:Pro vládní nebo suverénní cloudy použijte koncové body odpovídající vašemu prostředí.
Hostitel Graph API a hostitel autority musí si odpovídat – tokeny z autority jednoho cloudu nejsou platné pro koncový bod Graph jiného cloudu.

​
Část B – V Living Security Platform

Tento krok provádí vlastník programu, nebo správce systému, pokud byl do platformy pozván.
Nyní jste připojeni k Microsoft Entra ID (Client Credentials).

​
Řešení potíží

Přihlašovací údaje jsou neplatné nebo jim vypršela platnost. Zkontrolujte:
  1. Že tajný klíč klienta nevypršel ani nebyl obnoven
  2. Že ID tenanta a ID klienta jsou správné
  3. Že hostitel autority odpovídá vašemu cloudovému prostředí
V registraci aplikace chybí oprávnění nebo nebyl udělen souhlas správce. Ověřte:
  1. Že jsou všechna požadovaná oprávnění uvedena v API permissions
  2. Že každé oprávnění má stav Granted (zelená značka zaškrtnutí)
  3. Že souhlas správce byl udělen po přidání oprávnění
Pokud jste po počátečním udělení souhlasu přidali nová oprávnění, musíte souhlas správce udělit znovu.
Aplikaci může chybět konkrétní oprávnění pro daný tok:
  • Žádní uživatelé → chybí User.Read.All
  • Žádné bezpečnostní výstrahy → chybí SecurityAlert.Read.All
  • Žádné protokoly přihlášení → chybí AuditLog.Read.All
  • Žádné výsledky simulací útoků → chybí AttackSimulation.Read.All
  • Žádná zařízení Entra ID → chybí Device.Read.All
  • Žádná zařízení spravovaná v Intune → chybí DeviceManagementManagedDevices.Read.All
  • Žádné detekce rizik → chybí IdentityRiskEvent.Read.All, po jeho přidání nebyl znovu udělen souhlas správce, nebo tenant nedosahuje minimální úrovně licence Microsoft Entra ID P1
Hostitel Graph API a hostitel autority mohou být navzájem nesourodí. Oba musí odpovídat stejnému cloudovému prostředí (komerční, vládní atd.).
Akce členství ve skupinách jsou nabízeny pouze tehdy, když platí všechny tři následující podmínky:
  1. Oprávnění GroupMember.ReadWrite.All je v registraci aplikace a byl k němu udělen souhlas správce. Pokud jste ho přidali nedávno, počkejte až hodinu.
  2. Správce určil na připojení seznam povolených skupin.
  3. Připojení je aktivní a v pořádku.
Pokud jste oprávnění udělili a akce jsou stále nedostupné, udělte souhlas správce znovu – Microsoft to vyžaduje při každé změně oprávnění.
Pokud má váš tenant zásadu podmíněného přístupu (Conditional Access) omezenou podle IP adresy, může blokovat požadavky nesoucí přihlašovací údaj tohoto připojení. Většinu tenantů se to netýká – Microsoft Graph ve výchozím nastavení podle IP adresy neomezuje. Pokud vynucujete zásadu omezenou podle IP adres pro instanční objekty (service principals), je u této integrace nutné povolit dvě sady adres, protože nastavení a synchronizace dat vycházejí z různých sítí.Living Security vystavuje přístupový token tohoto připojení samo a průběžně ho obnovuje, takže požadavky na token vycházejí z vlastních adres platformy, nikoli z adres, které používají synchronizace vašich dat.Akce se skupinami jsou samostatné. Ve výchozím nastavení jsou směrovány stejně jako synchronizace dat a vycházejí ze synchronizačních adres. Na adresy platformy přecházejí pouze tehdy, když správce přepne připojení na přímý výstup (direct egress).Obě sady přidejte do pojmenovaného umístění (named location), kterému vaše zásada podmíněného přístupu důvěřuje nebo které vylučuje. Požadavky na token směřují na login.microsoftonline.com a požadavky na data na graph.microsoft.com; musí projít obojí.Pokud jsou povoleny pouze synchronizační adresy, nastavení selže při získávání tokenu a žádné připojení se nevytvoří. Pokud jsou povoleny pouze adresy platformy, nastavení uspěje a každá synchronizace vrátí nula záznamů.