通过消除高权限访问增强 Microsoft 365 安全性

Microsoft 的安全方法

Microsoft 的 Secure Future Initiative（SFI）汇集了 Microsoft 的各个部门，以加强我们基础设施、产品和服务的网络安全保护。作为“保护租户和隔离生产系统”支柱的一部分，关键目标之一是通过消除所有 Microsoft 365 应用程序中的高权限访问来确保持续的最小权限执行。

高权限访问（HPA）发生在应用程序或服务获得对客户内容的广泛访问权限时，允许它在不提供任何用户上下文证明的情况下模拟其他用户。例如，应用程序 A 和 B 可能具有服务到服务（S2S）关系以提供特定的客户场景。应用程序 A 在其存储中拥有和管理客户内容。如果应用程序 B 可以通过调用 API 而不需要用户上下文来访问存储在应用程序 A 中的客户内容，那么这被归类为 HPA。

HPA 允许在服务中假设任何用户的身份，这在服务受损、凭据处理不当或令牌暴露时可能显著增加安全风险。

鉴于 Microsoft 365 应用程序相互交互以提供丰富的价值并支持关键客户业务场景，Microsoft 必须确保所有第一方应用程序交互都涉及最小权限访问。这适用于应用程序代表用户行动的情况，也适用于不代表用户行动的服务。

Microsoft 的访问权限方法

消除 HPA 确保用户和应用程序仅具有必要的访问权限。我们在 Microsoft 内部 Microsoft 365 环境中的策略涉及培养“假设被入侵”的心态，重点是新标准身份验证协议的严格执行。通过这种方法，我们迄今已成功缓解了 1000 多个高权限应用程序场景。实现这一目标是 Microsoft 的一项巨大跨职能努力，涉及公司内 200 多名工程师。

首先，我们审查了所有现有的 Microsoft 365 应用程序及其与整个堆栈中所有资源提供者的 S2S 交互。其次，我们弃用了支持 HPA 模式的旧身份验证协议。第三，我们加速了新安全身份验证协议的强制执行，以确保所有 S2S 交互在满足场景所需的最小权限范围内运行。

在许多情况下，这还需要重新设计现有的架构和平台，以确保客户场景通过安全的最小权限访问得到满足。我们确保 Microsoft 365 第一方应用程序仅以最小权限访问与客户内容交互。例如，如果应用程序 C 需要从特定的 SharePoint 站点读取数据，则授予其细粒度的“Sites.Selected”权限，而不是“Sites.Read.All”权限。最后，我们还实施了标准化的监控系统，以识别和报告 Microsoft 365 应用程序中的任何高权限访问。

Microsoft 安全态势建议

为了增强组织的安全态势，我们建议利用 Microsoft 365 的本机功能，并实施以下四个最佳实践来保护环境并确保应用程序的最小权限访问原则。

审核有权访问数据的现有应用程序——撤销任何未使用的权限并减少过多权限。
使用 Microsoft Entra 身份平台的同意框架，在应用程序请求访问客户内容时强制要求人工同意。在应用程序代表已登录用户行动的场景中使用委托权限。这些权限允许应用程序访问用户有权访问的资源。
在开发的各个阶段，以最小权限访问原则为指导开发应用程序。
采用严格的审计控制，定期审查所有应用程序，确保它们遵循最小权限访问原则。