Оценка Microsoft Azure AD

Руководство для оценщика

Если вы являетесь сотрудником Microsoft или партнером, выполняющим оценку для заказчика, пожалуйста, обратитесь к Wiki, раздел Руководство по оценке.

Установка из PowerShell Gallery

Если вы столкнулись с какими-либо ошибками, пожалуйста, обратитесь к разделу FAQ в конце этого документа.

Install-Module AzureADAssessment -Force -Scope CurrentUser

## If you have already installed the module, run the following instead to ensure you have the latest version.
Update-Module AzureADAssessment -Force -Scope CurrentUser

Создание приложения в Entra ID

Для оценки требуется создать собственное приложение в вашем клиенте.

• Откройте Центр администрирования Entra > Удостоверения > Приложения > Регистрация приложений
• Выберите Новая регистрация
  • Имя: Введите имя для приложения (например, Entra Assessment Account)
  • URI перенаправления:
    • Выберите Мобильные и настольные приложения из раскрывающегося списка
    • Укажите URI: https://login.microsoftonline.com/common/oauth2/nativeclient
  • Нажмите Зарегистрировать, чтобы создать приложение
• В левой навигации выберите колонку Проверка подлинности созданного приложения
• Установите параметр Разрешить потоки публичного клиента в значение Да
• Нажмите Сохранить

Запуск сбора данных

Сбор данных из Azure AD можно выполнять с любого клиента, имеющего доступ к Azure AD. Однако сбор данных из гибридных компонентов, таких как AD FS, AAD Connect и т.д., лучше выполнять локально на этих серверах. Сбор данных AAD Connect необходимо выполнять как на основном, так и на промежуточном серверах.

Убедитесь, что у вас есть авторизованные учетные данные для доступа к следующим рабочим нагрузкам:

• Azure Active Directory: глобальный администратор или глобальный читатель
• Доступ доменного или локального администратора к серверам ADFS
• Доступ доменного или локального администратора к серверам соединителя прокси Azure AD
• Доступ доменного или локального администратора к серверу Azure AD Connect (основной)
• Доступ доменного или локального администратора к серверу Azure AD Connect (промежуточный сервер)

При первом подключении вам будет предложено дать согласие на разрешения, необходимые для оценки. Для предоставления согласия потребуется администратор.

Выполните следующие команды, чтобы создать пакет со всеми данными Azure AD, необходимыми для проведения оценки.

## Authenticate using a Global Admin or Global Reader account.
Connect-AADAssessment -ClientId "AppId of app created in the previous step"

## Export data to "C:\AzureADAssessment" into a single output package.
Invoke-AADAssessmentDataCollection

Выходной пакет будет назван по следующему шаблону: AzureADAssessmentData-<TenantDomain>.aad

Если команда сбора данных не завершится успешно, попробуйте запустить её снова с параметром SkipReportOutput.

Invoke-AADAssessmentDataCollection -SkipReportOutput

На каждом сервере с гибридными компонентами установите тот же модуль и выполните команду Invoke-AADAssessmentHybridDataCollection.

## Export Data to "C:\AzureADAssessment" into a single output package.
Invoke-AADAssessmentHybridDataCollection

Выходной пакет будет назван по следующему шаблону: AzureADAssessmentData-<Svc>-<ServerName>.zip

После завершения сбора данных передайте выходные пакеты тому, кто проводит оценку. Пожалуйста, не вносите никаких изменений в созданные файлы, включая имя файла.

Составление отчетов по оценке

Если вы самостоятельно формируете и проверяете результаты, пожалуйста, обратитесь к Wiki, раздел Руководство по оценке.

Часто задаваемые вопросы

У меня нет доступа в интернет, чтобы установить модуль на серверах AAD Connect, ADFS и App Proxy

Для сбора данных из гибридных компонентов (таких как AAD Connect, AD FS, AAD App Proxy) вы можете экспортировать переносимую версию этого модуля, которую можно легко скопировать на серверы без подключения к интернету.

## Export Portable Module to "C:\AzureADAssessment".
Export-AADAssessmentPortableModule "C:\AzureADAssessment"

На каждом сервере с гибридными компонентами скопируйте файл модуля "AzureADAssessmentPortable.psm1" и импортируйте его там.

## Import the module on each server running hybrid components.
Import-Module "C:\AzureADAssessment\AzureADAssessmentPortable.psm1"

## Export Data to "C:\AzureADAssessment" into a single output package.
Invoke-AADAssessmentHybridDataCollection

Я хочу выводить файлы оценки в другой каталог

## If you would like to specify a different directory, use the OutputDirectory parameter.
Invoke-AADAssessmentDataCollection "C:\Temp"
Invoke-AADAssessmentHybridDataCollection "C:\Temp"

Я хочу использовать удостоверение субъекта-службы вместо пользовательского удостоверения для запуска оценки

Если вы предпочитаете использовать собственную регистрацию приложения (субъект-службу) для целей автоматизации, вы можете подключиться, используя свой ClientId и сертификат, как в примере ниже. Ваша регистрация приложения должна включать разрешения приложения Directory.Read.All, Policy.Read.All и AuditLog.Read.All для MS Graph, чтобы оценка была полной. После добавления убедитесь, что вы предоставили согласие администратора на эти разрешения для субъекта-службы.

## Connect using Service Principal identity with app permissions.
Connect-AADAssessment -ClientId <ClientId> -ClientCertificate (Get-Item 'Cert:\CurrentUser\My\<Thumbprint>') -TenantId <TenantId>

У меня клиент в суверенном облаке. Как запустить эту оценку?

Вы должны создать регистрацию приложения в своем клиенте и указать ClientId при запуске Connect-AADAssessment. Конфигурация приложения по умолчанию должна работать, если вы укажете правильный URI перенаправления для вашей облачной среды. Например, URI перенаправления "Мобильные и настольные приложения" https://login.microsoftonline.us/common/oauth2/nativeclient.

## Example connecting to USGov cloud environment using user delegated permissions.
Connect-AADAssessment -ClientId <ClientId> -CloudEnvironment USGov -TenantId <TenantId>

## Example connecting to USGov cloud environment using app permissions.
Connect-AADAssessment -ClientId <ClientId> -ClientCertificate (Get-Item 'Cert:\CurrentUser\My\<Thumbprint>') -CloudEnvironment USGov -TenantId <TenantId>

При попытке установить модуль я получаю ошибку 'A parameter cannot be found that matches parameter name 'AcceptLicense'

Выполните следующую команду, чтобы обновить PowerShellGet до последней версии, прежде чем пытаться снова установить модуль AzureADAssessment. Вариант 1 — это одна команда, выполняющая скрипт (https://aka.ms/Update-PowerShellGet), а вариант 2 требует нескольких команд и возможного устранения неполадок.

### Option 1: Run the following command to download and execute a script to update PowerShellGet. Note: Navigate to this URL in a web browser to see the contents of the script in GitHub.
iex $(irm 'https://aka.ms/Update-PowerShellGet')