Azure 服务主体 - 故意强制过期？

Question

Azure 服务主体默认有一个到期日期，并且需要轮换。

但是有没有办法使服务主体失效或强制到期？

Answer 1

服务主体进行身份验证时使用的凭据可以存储在服务主体本身上，也可以存储在支持应用程序对象上(即“应用程序注册”)。

当前不支持更改现有凭据的到期日期。如果您想禁用凭证，则应将其删除。 (如果您想重新启用它，只需将其作为授权凭据重新添加即可。)

从应用程序中删除凭据(应用程序注册)

使用 Azure 门户

1. 导航到 Azure Active Directory > 应用注册 >(选择应用)> 证书和 secret

2. 在任何证书或客户端 key 旁边，选择“删除”图标 (🗑️)

   

使用 Azure AD PowerShell

致remove a key credential (证书):

Remove-AzureADApplicationKeyCredential -ObjectId "{id}" -KeyId "{key-id}"

致remove a password credential (客户端 secret ):

Remove-AzureADApplicationPasswordCredentia -ObjectId "{id}" -KeyId "{key-id}"

使用 Microsoft Graph

致remove a key credential (证书):

POST https://graph.microsoft.com/v1.0/applications/{id}/removePassword
Content-type: application/json

{
    "keyId": "{key-id}"
}

致remove a password credential (客户端 secret ):

POST https://graph.microsoft.com/v1.0/applications/{id}/removePassword
Content-type: application/json

{
    "keyId": "{key-id}"
}

从服务主体中删除凭据

使用 Azure 门户

目前无法使用 Azure 门户来管理直接存储在服务主体上的凭据。

使用 Azure AD PowerShell

致remove a key credential (证书):

Remove-AzureADServicePrincipalKeyCredential -ObjectId "{id}" -KeyId "{key-id}"

致remove a password credential (客户端 secret ):

Remove-AzureADMSApplicationPassword -ObjectId "{id}" -KeyId "{key-id}"

使用 Microsoft Graph

致remove a key credential (证书):

POST https://graph.microsoft.com/v1.0/servicePrincipals/{id}/removeKey
Content-type: application/json

{
    "keyId": "{key-id}"
}

致remove a password credential (客户端 secret ):

POST https://graph.microsoft.com/v1.0/servicePrincipals/{id}/removePassword
Content-type: application/json

{
    "keyId": "{key-id}"
}