Zum Inhalt

App-Registration-Secrets: Ablauf und Erneuerung

Eine App-Registrierung in Microsoft Entra ID, die sich mit einem Client Secret anmeldet, funktioniert nicht mehr, sobald das Secret abläuft. Diese Seite erklärt, wie du ein Secret ohne Ausfall erneuerst und wie die Überwachung des Ablaufs üblicherweise funktioniert.

Monitoring ist eine Entscheidung der Plattform

Die unten beschriebenen Benachrichtigungen bieten manche Plattformen als Automatisierung an. Die MCP-Spoke-Baseline richtet sie nicht für dich ein. Frag dein Plattform-Team, ob es sie gibt, wie lange vor dem Ablauf sie benachrichtigt und wer Owner sein muss. Gibt es sie nicht, trage die Ablaufdaten deiner Secrets in deinen eigenen Kalender oder dein eigenes Alerting ein.

Bevorzuge Workload Identity Federation oder Managed Identities gegenüber Client Secrets, wo der Service sie unterstützt. Dann läuft nichts ab. Siehe So nutzt du deinen Spoke.

Ein Secret erneuern

Lass Client Secrets nach höchstens einem Jahr ablaufen. Wähle keinen längeren Zeitraum.

  1. Melde dich im Azure-Portal an.
  2. Öffne Microsoft Entra ID und wähle App registrations.
  3. Wähle My applications oder All applications und öffne die App-Registrierung, deren Secret erneuert werden muss.
  4. Wähle im linken Menü Certificates & secrets.
  5. Wähle unter Client secrets die Option + New client secret.
  6. Gib eine Beschreibung ein, wähle eine Gültigkeit von höchstens einem Jahr und wähle Add.
  7. Kopiere den Secret-Wert jetzt und bewahre ihn sicher auf (zum Beispiel in einem Key Vault). Der Wert wird nur einmal angezeigt. Die Secret ID ist nicht das Secret.
  8. Aktualisiere die Konfiguration der Anwendung oder des Deployments mit dem neuen Secret und prüfe, ob sich die Anwendung anmelden kann.
  9. Sobald die Anwendung das neue Secret verwendet, entferne das alte Secret unter Certificates & secrets.

Halte diese Reihenfolge ein: Neben dem alten Secret kann ein zweites existieren, sodass die Anwendung nie ohne gültiges Secret dasteht.

E-Mail-Benachrichtigungen (wo verfügbar)

Ein typischer Aufbau:

  • Eine E-Mail wird gesendet, wenn ein Secret innerhalb von 14 Tagen abläuft.
  • Jedes ablaufende Secret löst die Benachrichtigung einmal aus.
  • Die Benachrichtigungen gehen an die Owner der App-Registrierung. Ohne gültigen Owner wird keine E-Mail gesendet. Das Plattform-Team kann dann ein Work Item anlegen, um das verantwortliche Team zu kontaktieren und die Zuständigkeit zu klären.
  • Verwende dedizierte administrative Konten als Owner, wenn deine Organisation sie von persönlichen Konten trennt, und keine persönlichen Benutzerkonten. Deine Organisation legt fest, welcher Kontotyp als gültig gilt.
  • Damit mehrere Personen die Benachrichtigung erhalten, trage sie alle als Owner der App-Registrierung ein.

Prüfe die Owner deiner App-Registrierungen, wenn sich das Team ändert. Zu Eigentümerschaft und Zugriff allgemein siehe Zugriff, Gruppen und PIM.