Ga naar inhoud

Secrets van app registrations: verloop en vernieuwing

Een app registration in Microsoft Entra ID die inlogt met een client secret stopt met werken wanneer de secret verloopt. Deze pagina legt uit hoe je een secret vernieuwt zonder storing en hoe monitoring van het verloop meestal werkt.

Monitoring is een keuze van het platform

De hieronder beschreven meldingen worden door sommige platforms als automatisering geleverd. De MCP spoke baseline maakt ze niet voor je aan. Vraag je platformteam of ze bestaan, hoe lang voor het verlopen er een melding komt en wie owner moet zijn. Bestaan ze niet, zet de verloopdata van je secrets dan in je eigen agenda of alerting.

Geef de voorkeur aan workload identity federation of managed identities boven client secrets, waar de service dat ondersteunt. Dan verloopt er niets. Zie Je spoke gebruiken.

Een secret vernieuwen

Laat client secrets verlopen na maximaal één jaar. Kies geen langere periode.

  1. Log in bij de Azure portal.
  2. Open Microsoft Entra ID en kies App registrations.
  3. Kies My applications of All applications en open de app registration waarvan de secret vernieuwd moet worden.
  4. Kies Certificates & secrets in het linkermenu.
  5. Kies onder Client secrets de optie + New client secret.
  6. Vul een beschrijving in, kies een looptijd van maximaal één jaar en kies Add.
  7. Kopieer de secret-waarde nu en bewaar die veilig (bijvoorbeeld in een Key Vault). De waarde wordt maar één keer getoond. De Secret ID is niet de secret.
  8. Werk de configuratie van de applicatie of de deployment bij met de nieuwe secret en controleer of de applicatie kan inloggen.
  9. Gebruikt de applicatie de nieuwe secret, verwijder dan de oude secret onder Certificates & secrets.

Doe de stappen in deze volgorde: naast de oude secret kan een tweede secret bestaan, zodat de applicatie nooit zonder geldige secret zit.

E-mailmeldingen (waar beschikbaar)

Een typische opzet:

  • Er gaat een e-mail uit wanneer een secret binnen 14 dagen verloopt.
  • Elke verlopende secret leidt één keer tot een melding.
  • Meldingen gaan naar de owners van de app registration. Zonder geldige owner gaat er geen e-mail uit. Het platformteam kan dan een work item aanmaken om contact op te nemen met het verantwoordelijke team en het eigenaarschap te regelen.
  • Gebruik dedicated administratieve accounts als owners als je organisatie die scheidt van persoonlijke accounts, en geen persoonlijke gebruikersaccounts. Je organisatie bepaalt welk accounttype als geldig geldt.
  • Wil je dat meerdere mensen de melding ontvangen, voeg ze dan allemaal toe als owners van de app registration.

Controleer de owners van je app registrations wanneer teamleden wisselen. Zie voor eigenaarschap en toegang in het algemeen Toegang, groepen en PIM.