Skip to main content

​
Mitä tämä integraatio tuo mukanaan

Microsoft Entra ID voi tuottaa normalisoitua identiteetti-, kirjautumis-, riski-, laite- ja hyökkäyssimulaatiotoiminnan dataa. Tarkastettuja esimerkkejä ovat:
  • account.compromised — tili, joka on merkitty vaarantuneeksi
  • auth.login.unusual — kirjautuu epätavallisissa yhteyksissä
  • phishing.simulation.clicked — klikkasi simulaatiota ilmoittamatta siitä
Nämä ovat edustavia esimerkkejä, eikä niiden perusteella voida taata, että jokainen tapahtuma on saatavilla jokaisessa vuokraajassa. Katso miten integraatiodatasta muodostuu signaaleja.

​
Mitä Living Security tarvitsee

Käyttöoikeudet (Application permissions):

​
Päätät itse, mitä yhteys saa tehdä

Tämä yhteys lukee dataa. Se voi myös suorittaa toimenpiteitä hakemistossasi, mutta vain, jos sallit sen. Kaikki yllä olevat käyttöoikeudet paitsi viimeinen ovat vain lukuoikeuksia. Jos myönnät vain ne, yhteys ei voi koskaan muokata mitään vuokraajassasi — alusta tunnistaa tämän eikä tarjoa ryhmätoimenpiteitä lainkaan. Kun lisäät käyttöoikeuden GroupMember.ReadWrite.All, ryhmäjäsenyystoimenpiteet tulevat käytettäviksi toimintasuunnitelmissa. Mikään ei käynnisty itsestään: sinun on edelleen valittava, mihin ryhmiin alusta saa koskea (katso jäljempänä), ja luotava toimintasuunnitelma, joka käyttää niitä. Voit muuttaa päätöstäsi milloin tahansa. Riittää, että lisäät tai poistat käyttöoikeuden Microsoft Entra ID:ssä ja myönnät järjestelmänvalvojan suostumuksen uudelleen — tunnistetietoja ei tarvitse syöttää alustaan uudelleen, ja datasynkronoinnit jatkuvat koko ajan. Muutos tulee voimaan noin tunnin kuluessa.
Ryhmäjäsenyystoimenpiteet rajataan lisäksi niihin ryhmiin, jotka määrität. Yhteyden muodostamisen jälkeen järjestelmänvalvoja valitsee yhteydelle nimenomaisen sallittujen ryhmien luettelon. Kunnes tällainen luettelo on olemassa, ryhmätoimenpiteet eivät ole käytettävissä, vaikka käyttöoikeus olisi myönnetty — joten GroupMember.ReadWrite.All ei koskaan tarkoita “mitä tahansa vuokraajan ryhmää”.Valitse nämä ryhmät huolella: vältä kaikkia ryhmiä, jotka myöntävät hallinnollisia rooleja, etuoikeutettua käyttöoikeutta tai lisenssioikeuksia.
Vaadittu rooli: Application Administrator tai Global Administrator Microsoft Entra ID:ssä
Kaksi näistä käyttöoikeuksista on uudempia lisäyksiä. Jos yhdistit Microsoft Entra ID:n ennen kuin ne ilmestyivät tähän luetteloon, lisää ne olemassa olevaan sovelluksen rekisteröintiin ja myönnä järjestelmänvalvojan suostumus uudelleen — Microsoft edellyttää suostumuksen myöntämistä uudelleen aina, kun käyttöoikeudet muuttuvat. Kaikki muut datavirrat toimivat sillä välin normaalisti.Policy.Read.ConditionalAccess — ilman tätä käyttöoikeutta Microsoft poistaa ehdollisen käyttöoikeuden tiedot jokaisesta kirjautumistietueesta. Tietue kertoo edelleen, että ehdollisen käyttöoikeuden käytäntö täyttyi, mutta käytäntöluettelo palautuu tyhjänä. Mikään ei epäonnistu eikä mikään varoita: kirjautumisdata saapuu edelleen ja yhteys pysyy toimintakuntoisena. Alusta ei yksinkertaisesti pysty päättelemään, mitkä kirjautumiset täyttivät monivaiheisen todennuksen vaatimuksen, joten tämän yhteyden MFA-toiminta jää tyhjäksi.IdentityRiskEvent.Read.All — riskihavaintojen lukeminen edellyttää lisäksi Microsoft Entra ID P1- tai P2 -lisenssiä. Vuotaneiden tunnistetietojen havaitseminen on käytettävissä kaikilla tasoilla, myös P1:ssä; premium-tason havainnot raportoidaan arvolla generic P2-tasoa alemmilla tasoilla.

​
Edellytykset

  • Sinulla on oltava Application Administrator- tai Global Administrator -oikeudet Microsoft Entra ID:ssä, jotta voit rekisteröidä sovelluksia ja myöntää järjestelmänvalvojan suostumuksen.

​
Osa A — Microsoft Entra ID:ssä

Microsoft Entra ID -järjestelmänvalvojasi suorittaa nämä vaiheet.
1

Rekisteröi uusi sovellus

  1. Kirjaudu sisään Microsoft Entra -hallintakeskukseen.
  2. Siirry vasemmassa navigointivalikossa kohtaan Entra ID → App registrations.
  3. Valitse New registration.
  4. Anna sovellukselle kuvaava nimi, esimerkiksi Living Security Platform.
  5. Valitse kohdassa Supported account types vaihtoehto Accounts in this organizational directory only.
  6. Jätä Redirect URI tyhjäksi — tämä integraatio käyttää client credentials -kulkua.
  7. Valitse Register.
Kirjaa rekisteröinnin jälkeen seuraavat arvot Yleiskatsaus-sivulta:
  • Application (client) ID
  • Directory (tenant) ID
2

Lisää Microsoft Graphin sovelluskäyttöoikeudet

  1. Valitse sovelluksesi Yleiskatsaus-sivulla vasemmasta valikosta API permissions.
  2. Valitse Add a permission.
  3. Valitse Microsoft Graph.
  4. Valitse Application permissions.
  5. Hae ja valitse jokainen alla oleva käyttöoikeus ja valitse sitten Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. Lisää GroupMember.ReadWrite.All vain, jos haluat, että toimintasuunnitelmat voivat muuttaa ryhmäjäsenyyksiä. Jätä se pois, jos haluat pitää yhteyden vain luku -tilassa.
Nämä ovat kaikkien datavirtojen vähimmäiskäyttöoikeudet. Jos aiot ottaa käyttöön vain osan datavirroista, voit jättää pois sellaisten virtojen käyttöoikeudet, joita et käytä.
3

Myönnä järjestelmänvalvojan suostumus

Sovelluskäyttöoikeudet edellyttävät järjestelmänvalvojan nimenomaista suostumusta.
  1. Valitse API permissions -sivulla Grant admin consent for <your tenant name>.
  2. Valitse vahvistusikkunassa Kyllä.
  3. Varmista, että jokaisen käyttöoikeuden kohdalla tila-sarakkeessa lukee Granted.
Jos Grant admin consent -painike on harmaana, tarvitset Privileged Role Administrator- tai Global Administrator -oikeudet. Järjestelmänvalvojan suostumus on myönnettävä uudelleen aina, kun lisäät uusia käyttöoikeuksia.
4

Luo asiakassalaisuus

  1. Valitse sovelluksesi Yleiskatsaus-sivulla vasemmasta valikosta Certificates & secrets.
  2. Valitse Client secrets -välilehti ja sitten New client secret.
  3. Anna kuvaus (esim. Living Security Platform).
  4. Valitse vanhenemisaika, joka vastaa vaihtokäytäntöäsi.
  5. Valitse Add.
Kopioi salaisuuden arvo heti. Microsoft Entra ID näyttää asiakassalaisuuden kokonaisuudessaan vain kerran. Jos poistut sivulta ennen kopiointia, sinun on poistettava salaisuus ja luotava uusi.
Säilytä salaisuus turvallisesti. Aseta kalenterimuistutus sen vaihtamisesta ennen vanhenemista — vanhentunut salaisuus aiheuttaa synkronointien epäonnistumisen virheeseen 401 Unauthorized.
5

Määritä Graph API- ja Authority-isäntänimet

Useimmissa kaupallista pilveä käyttävissä organisaatioissa voit käyttää oletusarvoja:Valtionhallinnon tai suvereeneissa pilvissä käytä ympäristösi mukaisia päätepisteitä.
Graph API -isäntänimen ja Authority-isäntänimen on vastattava toisiaan — yhden pilven valtuutuspalvelun myöntämät tunnisteet eivät kelpaa toisen pilven Graph-päätepisteessä.

​
Osa B — Living Security Platformissa

Ohjelman omistaja suorittaa tämän vaiheen tai järjestelmänvalvoja, jos hänet on kutsuttu alustalle.
Olet nyt yhdistänyt Microsoft Entra ID:n (Client Credentials).

​
Vianmääritys

Tunnistetiedot ovat virheellisiä tai vanhentuneita. Tarkista seuraavat:
  1. Client Secret ei ole vanhentunut eikä sitä ole vaihdettu
  2. Vuokraajan tunnus ja asiakastunnus ovat oikein
  3. Authority-isäntänimi vastaa pilviympäristöäsi
Sovelluksen rekisteröinnistä puuttuu käyttöoikeuksia tai järjestelmänvalvojan suostumusta ei ole myönnetty. Varmista seuraavat:
  1. Kaikki vaaditut käyttöoikeudet on lueteltu kohdassa API permissions
  2. Jokaisen käyttöoikeuden tilana on Granted (vihreä valintamerkki)
  3. Järjestelmänvalvojan suostumus myönnettiin käyttöoikeuksien lisäämisen jälkeen
Jos lisäsit uusia käyttöoikeuksia ensimmäisen suostumuksen jälkeen, sinun on myönnettävä järjestelmänvalvojan suostumus uudelleen.
Sovellukselta saattaa puuttua kyseisen datavirran käyttöoikeus:
  • Ei käyttäjiä → puuttuu User.Read.All
  • Ei tietoturvahälytyksiä → puuttuu SecurityAlert.Read.All
  • Ei kirjautumisloki → puuttuu AuditLog.Read.All
  • Ei hyökkäyssimulaatiotuloksia → puuttuu AttackSimulation.Read.All
  • Ei Entra ID -laitteita → puuttuu Device.Read.All
  • Ei Intunen hallitsemia laitteita → puuttuu DeviceManagementManagedDevices.Read.All
  • Ei riskihavaintoja → puuttuu IdentityRiskEvent.Read.All, järjestelmänvalvojan suostumusta ei myönnetty uudelleen sen lisäämisen jälkeen tai vuokraajan lisenssitaso on alle Microsoft Entra ID P1 -vähimmäistason
Graph API -isäntänimi ja Authority-isäntänimi eivät ehkä vastaa toisiaan. Molempien on vastattava samaa pilviympäristöä (kaupallinen, valtionhallinnon jne.).
Ryhmäjäsenyystoimenpiteet tarjotaan vain, kun kaikki nämä kolme ehtoa täyttyvät:
  1. GroupMember.ReadWrite.All on lisätty sovelluksen rekisteröintiin ja järjestelmänvalvojan suostumus on myönnetty. Jos lisäsit sen äskettäin, odota enintään tunti.
  2. Järjestelmänvalvoja on määrittänyt yhteydelle sallittujen ryhmien luettelon.
  3. Yhteys on aktiivinen ja toimintakuntoinen.
Jos olet myöntänyt käyttöoikeuden mutta toimenpiteet eivät edelleenkään ole käytettävissä, myönnä järjestelmänvalvojan suostumus uudelleen — Microsoft edellyttää sitä aina, kun käyttöoikeudet muuttuvat.
Jos vuokraajassasi on IP-osoitteeseen perustuva Conditional Access -käytäntö, se voi estää pyynnöt, jotka sisältävät tämän yhteyden tunnisteen. Useimpiin vuokraajiin tämä ei vaikuta — Microsoft Graph ei oletuksena rajoita käyttöä IP-osoitteen perusteella. Jos otat palvelujen pääkäyttäjille (service principal) käyttöön IP-osoitteisiin perustuvan käytännön, tämä integraatio vaatii kahden osoitejoukon sallimisen, koska käyttöönotto ja datasynkronointi lähtevät eri verkoista.Living Security luo tämän yhteyden käyttöoikeustunnisteen itse ja uusii sen jatkuvasti, joten tunnistepyynnöt lähtevät alustan omista osoitteista, eivät niistä osoitteista, joita datasynkronoinnit käyttävät.Ryhmätoimenpiteet ovat erillinen asia. Oletuksena ne reitittyvät samalla tavalla kuin datasynkronoinnit ja lähtevät synkronointiosoitteista. Ne siirtyvät alustan osoitteisiin vain, jos järjestelmänvalvoja vaihtaa yhteyden suoraan lähtevään liikenteeseen (direct egress).Lisää molemmat joukot named location -sijaintiin, jonka Conditional Access -käytäntösi hyväksyy tai jättää käytännön ulkopuolelle. Tunnistepyynnöt kohdistuvat osoitteeseen login.microsoftonline.com ja datapyynnöt osoitteeseen graph.microsoft.com; molempien on läpäistävä.Jos vain synkronointiosoitteet on sallittu, käyttöönotto epäonnistuu tunnisteen hakuvaiheessa eikä yhteyttä luoda. Jos vain alustan osoitteet on sallittu, käyttöönotto onnistuu, mutta jokainen synkronointi palauttaa nolla tietuetta.