Microsoft 在 Entra ID 中公开 API，以允许第三方应用程序代表用户对 Microsoft 服务执行操作（这被称为“委派权限”）。某些权限可能对这些服务存储的用户数据构成威胁。

Microsoft 通过 Entra ID 中的应用程序公开 API，以允许第三方应用程序在 Microsoft Entra ID 本身、Microsoft 365 (O365) 以及 SharePoint Online 和 Exchange Online 等服务中执行操作。“API 权限”保护对这些 API 的访问，这些权限应该仅对需要它们的服务主体可用。权限批准被称为“应用程序角色分配”或“同意授予”。
部分 Microsoft API 上的特定权限可能对环境敏感数据构成威胁​，因为拥有这些权限的服务主体能够访问潜在的敏感信息，同时其行为比拥有全局管理员等高权限管理员角色的用户更为隐蔽。
在合法的情况下，这些权限会增加数据泄露的风险。如果权限不合法，则可能表明存在恶意企图，试图访问和窃取敏感数据，例如电子邮件和项目信息。
如 Microsoft 文档“<a href="https://learn.microsoft.com/zh-cn/entra/identity-platform/permissions-consent-overview">权限和同意简介</a>”中所述，Microsoft Entra ID 有两种类型的 API 权限：
<ul>
<li>应用程序权限：请参阅相关风险暴露指标“影响数据的危险应用程序权限”。</li>
<li>委派权限：本风险暴露指标检查第二种类型​。有关对整个 Microsoft Entra 租户的威胁，请参阅相关风险暴露指标“影响租户的危险委派权限”。同意权限由用户或管理员代表整个组织授予。请注意，这些权限会基于登录用户的特权（即权限和用户特权级别的交集）限制应用程序执行操作的能力。因此，正如“<a href="https://learn.microsoft.com/zh-cn/security/zero-trust/develop/developer-strategy-delegated-permission">开发委派权限策略</a>”中所述，这些委派权限的危险级别取决于应用程序用户的实际权限。例如：如果普通用户委派“Group.ReadWrite.All”权限，实际上这只允许应用程序修改用户可以编辑的组，而不是所有的组。根据 Microsoft 的<a href="https://learn.microsoft.com/zh-cn/security/operations/incident-response-playbook-app-consent#delegated-permissions-vs-application-permissions">描述</a>：</li>
</ul>
<blockquote>
委派权限适用于存在已登录用户的应用程序，并且可以由管理员或用户进行同意授权。
</blockquote>
此风险暴露指标 (IoE) 仅报告有关服务主体的内容，因为 API 权限只适用于服务主体，而不适用于用户。
此 IoE 跟踪一个敏感权限列表，其中大多数权限无需加以说明。然而，以下权限需要进一步说明：
<ul>
<li><code>Group.Read.All</code>（由 <a href="https://learn.microsoft.com/zh-cn/graph/overview">Microsoft Graph API</a> 和 <a href="https://learn.microsoft.com/zh-cn/exchange/permissions-exo/permissions-exo">Office 365 Exchange Online</a> 公开）：此权限的风险异常高，因为它甚至允许读取 M365 组的“日历、对话、文件及其他组内容”的具体内容。请考虑这对 Microsoft Teams 使用的 M365 组的影响。</li>
</ul>
拥有这些敏感权限的合法应用程序可能会请求过于宽泛的访问权限。这也可以指示一种被称为“非法同意授予”的网络钓鱼攻击，其中攻击者成功从管理员那里获得了同意。
默认情况下，此 IoE 会忽略已禁用的服务主体，因为攻击者无法立即使用这些服务主体。
外部参考：
<ul>
<li><a href="https://cloudbrothers.info/en/azure-attack-paths/#api-permissions">Cloudbrothers - Azure 攻击路径</a></li>
<li><a href="https://www.microsoft.com/zh-cn/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/#:~:text=Exchange%20Web%20Server%20API%20abuse">Microsoft - Exchange Web Server API 滥用</a></li>
<li><a href="https://www.microsoft.com/zh-cn/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/">Microsoft - 威胁制造者滥用 OAuth 应用程序，以自动化手段实施以经济利益为目标的攻击</a></li>
</ul>

初始访问

网络钓鱼

持久性

云应用程序集成

检测

影响数据的危险委派权限

MEDIUM

版本 202510271638

版本 202504150945

版本 202510271638 Oct 27, 2025, 4:38 PM Metadata (use tables instead of long lists in weakness details) Release: 202510271638
版本 202504150945 Apr 15, 2025, 9:45 AM New Release: 202504150945