Azure 服务主体 - 故意强制到期？

Question

Azure 服务主体默认有到期日期，需要轮换。

但是有没有办法使服务主体失效或强制到期？

Answer 1

服务主体进行身份验证时使用的凭据可以存储在服务主体本身或支持应用程序对象（即“应用注册”）中。

目前不支持更改现有凭据的到期日期。如果您希望禁用凭据，则应将其删除。 （如果您想重新启用它，只需将其作为授权凭据重新添加即可。）

从应用程序中删除凭据（应用程序注册）

使用 Azure 门户

1. 导航到 Azure Active Directory > 应用注册 >（选择应用）> 证书和机密

2. 在任何证书或客户端密码旁边，选择“删除”图标 (?️)

使用 Azure AD PowerShell

致remove a key credential（证书）：

Remove-AzureADApplicationKeyCredential -ObjectId "{id}" -KeyId "{key-id}"

致remove a password credential（客户机密）：

Remove-AzureADApplicationPasswordCredentia -ObjectId "{id}" -KeyId "{key-id}"

使用 Microsoft Graph

致remove a key credential（证书）：

POST https://graph.microsoft.com/v1.0/applications/{id}/removePassword
Content-type: application/json

{
    "keyId": "{key-id}"
}

致remove a password credential（客户机密）：

POST https://graph.microsoft.com/v1.0/applications/{id}/removePassword
Content-type: application/json

{
    "keyId": "{key-id}"
}

从服务主体中删除凭据

使用 Azure 门户

目前无法使用 Azure 门户管理直接存储在服务主体上的凭据。

使用 Azure AD PowerShell

致remove a key credential（证书）：

Remove-AzureADServicePrincipalKeyCredential -ObjectId "{id}" -KeyId "{key-id}"

致remove a password credential（客户机密）：

Remove-AzureADMSApplicationPassword -ObjectId "{id}" -KeyId "{key-id}"

使用 Microsoft Graph

致remove a key credential（证书）：

POST https://graph.microsoft.com/v1.0/servicePrincipals/{id}/removeKey
Content-type: application/json

{
    "keyId": "{key-id}"
}

致remove a password credential（客户机密）：

POST https://graph.microsoft.com/v1.0/servicePrincipals/{id}/removePassword
Content-type: application/json

{
    "keyId": "{key-id}"
}