Skip to main content

​
Kontribusi integrasi ini

Microsoft Entra ID dapat menyumbangkan aktivitas identitas, proses masuk, risiko, perangkat, dan simulasi serangan yang telah dinormalisasi. Contoh yang telah ditinjau meliputi:
  • account.compromised — akun yang ditandai sebagai telah disusupi
  • auth.login.unusual — masuk dari konteks yang tidak biasa
  • phishing.simulation.clicked — mengeklik simulasi tanpa melaporkannya
Contoh-contoh ini bersifat representatif dan bukan jaminan bahwa setiap peristiwa tersedia di setiap tenant. Lihat bagaimana data integrasi menjadi sinyal.

​
Yang dibutuhkan Living Security

Cakupan (Izin aplikasi):

​
Anda yang menentukan apa yang dapat dilakukan koneksi ini

Koneksi ini membaca data. Koneksi ini juga dapat melakukan tindakan di direktori Anda, tetapi hanya jika Anda memilih untuk mengizinkannya. Setiap izin di atas kecuali yang terakhir bersifat hanya-baca. Jika hanya izin tersebut yang diberikan, koneksi tidak akan pernah dapat mengubah apa pun di tenant Anda — platform mendeteksi hal itu dan sama sekali tidak menawarkan tindakan grup. Tambahkan GroupMember.ReadWrite.All dan tindakan keanggotaan grup akan tersedia untuk digunakan di Buku Pedoman. Tidak ada yang berjalan dengan sendirinya: Anda tetap harus memilih grup mana yang boleh disentuh platform (lihat di bawah) dan membuat Buku Pedoman yang menggunakannya. Anda dapat mengubah keputusan kapan saja. Menambahkan atau menghapus izin di Microsoft Entra ID lalu memberikan ulang persetujuan admin sudah cukup — Anda tidak perlu memasukkan ulang kredensial di platform, dan sinkronisasi data Anda tetap berjalan sepanjang proses. Perubahan berlaku dalam waktu sekitar satu jam.
Tindakan keanggotaan grup juga dibatasi pada grup yang Anda tentukan. Setelah terhubung, administrator memilih daftar izin eksplisit berisi grup pada koneksi. Sebelum daftar tersebut ada, tindakan grup tidak tersedia meskipun izin telah diberikan — sehingga GroupMember.ReadWrite.All tidak pernah berarti “grup mana pun di tenant”.Pilih grup tersebut dengan cermat: hindari grup apa pun yang memberikan peran administratif, akses istimewa, atau hak lisensi.
Peran yang diperlukan: Application Administrator atau Global Administrator di Microsoft Entra ID
Dua dari izin ini merupakan tambahan yang lebih baru. Jika Anda menghubungkan Microsoft Entra ID sebelum izin tersebut muncul dalam daftar ini, tambahkan izin tersebut ke pendaftaran aplikasi Anda yang sudah ada dan berikan ulang persetujuan admin — Microsoft mewajibkan persetujuan diberikan ulang setiap kali izin berubah. Semua aliran data lainnya tetap berfungsi normal selama itu.Policy.Read.ConditionalAccess — tanpa izin ini, Microsoft menghapus detail akses bersyarat dari setiap catatan proses masuk. Catatan tersebut tetap melaporkan bahwa kebijakan akses bersyarat telah terpenuhi, tetapi daftar kebijakannya kosong. Tidak ada yang gagal dan tidak ada peringatan: data proses masuk tetap masuk dan koneksi tetap sehat. Platform hanya tidak dapat mengetahui proses masuk mana yang dipenuhi oleh autentikasi multifaktor, sehingga aktivitas MFA dari koneksi ini tetap kosong.IdentityRiskEvent.Read.All — membaca deteksi risiko juga memerlukan lisensi Microsoft Entra ID P1 atau P2. Deteksi kredensial bocor itu sendiri tersedia di setiap tingkat termasuk P1; deteksi premium dilaporkan sebagai generic di bawah P2.

​
Prasyarat

  • Anda harus memiliki akses Application Administrator atau Global Administrator di Microsoft Entra ID untuk mendaftarkan aplikasi dan memberikan persetujuan admin.

​
Bagian A — Di Microsoft Entra ID

Administrator Microsoft Entra ID Anda menyelesaikan langkah-langkah ini.
1

Daftarkan aplikasi baru

  1. Masuk ke pusat admin Microsoft Entra.
  2. Pada navigasi kiri, buka Entra ID → App registrations.
  3. Klik New registration.
  4. Masukkan nama aplikasi yang bermakna, seperti Living Security Platform.
  5. Di bawah Supported account types, pilih Accounts in this organizational directory only.
  6. Biarkan Redirect URI kosong — integrasi ini menggunakan alur client credentials.
  7. Klik Register.
Setelah pendaftaran, catat nilai berikut dari halaman Ikhtisar:
  • Application (client) ID
  • Directory (tenant) ID
2

Tambahkan izin aplikasi Microsoft Graph

  1. Pada halaman Ikhtisar aplikasi Anda, klik API permissions di menu kiri.
  2. Klik Add a permission.
  3. Pilih Microsoft Graph.
  4. Pilih Application permissions.
  5. Cari dan pilih setiap izin di bawah ini, lalu klik Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. Tambahkan GroupMember.ReadWrite.All hanya jika Anda ingin Buku Pedoman dapat mengubah keanggotaan grup. Lewati izin ini agar koneksi tetap hanya-baca.
Ini adalah izin minimum untuk semua aliran data. Jika Anda hanya berniat mengaktifkan sebagian aliran, Anda dapat menghilangkan izin untuk aliran yang tidak akan digunakan.
3

Berikan persetujuan admin

Izin aplikasi memerlukan persetujuan admin secara eksplisit.
  1. Pada halaman API permissions, klik Grant admin consent for <your tenant name>.
  2. Pada dialog konfirmasi, klik Ya.
  3. Pastikan setiap izin menampilkan Granted di kolom Status.
Jika tombol Grant admin consent berwarna abu-abu, Anda memerlukan hak Privileged Role Administrator atau Global Administrator. Persetujuan admin harus diberikan ulang setiap kali Anda menambahkan izin baru.
4

Buat rahasia klien

  1. Pada halaman Ikhtisar aplikasi Anda, klik Certificates & secrets di menu kiri.
  2. Klik tab Client secrets, lalu klik New client secret.
  3. Masukkan deskripsi (misalnya, Living Security Platform).
  4. Pilih masa berlaku yang sesuai dengan kebijakan rotasi Anda.
  5. Klik Tambahkan.
Salin nilai rahasia segera. Microsoft Entra ID hanya menampilkan rahasia klien secara lengkap satu kali. Jika Anda berpindah halaman sebelum menyalinnya, Anda harus menghapus rahasia tersebut dan membuat yang baru.
Simpan rahasia dengan aman. Atur pengingat kalender untuk merotasinya sebelum kedaluwarsa — rahasia yang kedaluwarsa menyebabkan sinkronisasi gagal dengan 401 Unauthorized.
5

Tentukan host Graph API dan host otoritas

Untuk sebagian besar organisasi di cloud komersial, gunakan nilai default:Untuk cloud pemerintah atau cloud berdaulat, gunakan endpoint yang sesuai dengan lingkungan Anda.
Host Graph API dan host otoritas harus cocok — token dari otoritas satu cloud tidak valid untuk endpoint Graph cloud lain.

​
Bagian B — Di Living Security Platform

Pemilik program menyelesaikan langkah ini, atau admin sistem jika diundang ke dalam platform.
Sekarang Anda telah terhubung ke Microsoft Entra ID (Client Credentials).

​
Pemecahan masalah

Kredensial tidak valid atau telah kedaluwarsa. Periksa:
  1. Rahasia Klien belum kedaluwarsa atau dirotasi
  2. ID tenant dan ID Klien sudah benar
  3. Host otoritas sesuai dengan lingkungan cloud Anda
Pendaftaran aplikasi tidak memiliki izin atau persetujuan admin belum diberikan. Pastikan:
  1. Semua izin yang diperlukan tercantum di API permissions
  2. Setiap izin menampilkan status Granted (tanda centang hijau)
  3. Persetujuan admin diberikan setelah izin ditambahkan
Jika Anda menambahkan izin baru setelah persetujuan awal, Anda harus memberikan ulang persetujuan admin.
Aplikasi mungkin tidak memiliki izin khusus untuk aliran tersebut:
  • Tidak ada pengguna → izin User.Read.All tidak ada
  • Tidak ada peringatan keamanan → izin SecurityAlert.Read.All tidak ada
  • Tidak ada log proses masuk → izin AuditLog.Read.All tidak ada
  • Tidak ada hasil simulasi serangan → izin AttackSimulation.Read.All tidak ada
  • Tidak ada perangkat Entra ID → izin Device.Read.All tidak ada
  • Tidak ada perangkat terkelola Intune → izin DeviceManagementManagedDevices.Read.All tidak ada
  • Tidak ada deteksi risiko → izin IdentityRiskEvent.Read.All tidak ada, persetujuan admin tidak diberikan ulang setelah izin ditambahkan, atau tenant berada di bawah batas minimum lisensi Microsoft Entra ID P1
Host Graph API dan host otoritas mungkin tidak cocok. Keduanya harus sesuai dengan lingkungan cloud yang sama (komersial, pemerintah, dll.).
Tindakan keanggotaan grup hanya ditawarkan jika ketiga kondisi berikut terpenuhi:
  1. GroupMember.ReadWrite.All ada pada pendaftaran aplikasi, dengan persetujuan admin yang telah diberikan. Jika baru ditambahkan, tunggu hingga satu jam.
  2. Administrator telah menentukan daftar izin berisi grup pada koneksi.
  3. Koneksi aktif dan sehat.
Jika Anda telah memberikan izin tersebut dan tindakan tetap tidak tersedia, berikan ulang persetujuan admin — Microsoft mewajibkannya setiap kali izin berubah.
Jika tenant Anda memiliki kebijakan Conditional Access yang dibatasi berdasarkan alamat IP, kebijakan tersebut dapat memblokir permintaan yang membawa kredensial koneksi ini. Sebagian besar tenant tidak terpengaruh — Microsoft Graph secara default tidak membatasi berdasarkan alamat IP. Jika Anda memberlakukan kebijakan berbasis IP untuk service principal, integrasi ini memerlukan dua set alamat dalam daftar izin, karena penyiapan dan sinkronisasi data berasal dari jaringan yang berbeda.Living Security menerbitkan sendiri token akses koneksi ini dan memperbaruinya secara terus-menerus, sehingga permintaan token berasal dari alamat milik platform, bukan dari alamat yang digunakan sinkronisasi data Anda.Tindakan grup bersifat terpisah. Secara default, tindakan tersebut dirutekan dengan cara yang sama seperti sinkronisasi data Anda dan berasal dari alamat sinkronisasi. Tindakan tersebut berpindah ke alamat platform hanya jika administrator mengalihkan koneksi ke egress langsung.Tambahkan kedua set tersebut ke named location yang dipercaya atau dikecualikan oleh kebijakan Conditional Access Anda. Permintaan token menuju login.microsoftonline.com dan permintaan data menuju graph.microsoft.com; keduanya harus lolos.Jika hanya alamat sinkronisasi yang masuk daftar izin, penyiapan gagal saat memperoleh token dan tidak ada koneksi yang dibuat. Jika hanya alamat platform yang masuk daftar izin, penyiapan berhasil dan setiap sinkronisasi tidak mengembalikan catatan apa pun.