Autenticando a API REST do GSAE do Defender

Cada chamada de API REST feita contra um recurso Gerenciamento da Superfície de Ataque Externo do Microsoft Defender (GSAE do Defender) deve incluir um cabeçalho de Authorization contendo um Token Portador Azure AD válido. Esse token é usado para determinar quem é o chamador e a que ele tem acesso dentro do recurso. O token pode ser gerado por meio de um fluxo interativo de autenticação do usuário ou de um principal de serviço cliente.

Fluxo de autenticação do usuário

O cenário de Autenticação do Usuário é útil para fins de teste e desenvolvimento, mas pode não ser viável para certos cenários de script. Gerar um token via autenticação do usuário requer um fluxo interativo envolvendo login via navegador. Todas as ações assumem o uso da Interface Azure Command-Line (CLI).

1. Faça login com seu inquilino. Essa etapa abrirá um navegador web para realizar os passos corretos de login.

   az login --tenant <tenant id>
   

2. Gerar um token associado para o escopo de recurso adequado. Esse token é usado dentro do cabeçalho Autenticação.
   
   Plano de controle

   az account get-access-token
   

   Plano de Dados

   az account get-access-token --scope 'https://easm.defender.microsoft.com/.default'
   

Princípio de atendimento ao cliente

O cenário Client Service Principal é útil para processos em segundo plano (como scripts) que exigem geração de tokens "sob demanda". Gerar um token via um principal de serviço cliente requer que uma aplicação seja registrada com um segredo de cliente associado e os controles de acesso por assinatura adequados:

1. Crie uma aplicação pela seção Registros de aplicativo do portal.
2. Na seção de Certificados e segredos , clique em Novo segredo do cliente, insira as informações necessárias e gere o segredo. Certifique-se de copiar o valor gerado, pois ele ficará indisponível assim que você sair da seção.
3. Abra a assinatura na qual o principal será utilizado.
4. Na seção Controle de Acesso (IAM), clique em Add -> Add Role Assignment.
5. Selecione a função de Contribuidor e depois clique em Próximo.
6. Clique em Selecionar membros, procure pelo aplicativo registrado na etapa 1, selecione o aplicativo e então clique em Selecionar.
7. Clique em Próximo, revise as informações para garantir que estão corretas e então clique em Revisar + atribuir.

Uma vez configurado o aplicativo, um token associado pode ser gerado usando o id do cliente (aplicativo) e o segredo. Todas as ações assumem o uso da Interface Azure Command-Line (CLI).

1. Faça login no seu diretor de serviço.

   az login --service-principal -u <client id> -p <client secret> --tenant <tenant id>
   

2. Gerar um token associado para o escopo de recurso adequado. Esse token é usado dentro do cabeçalho Autenticação.
   
   Plano de controle

   az account get-access-token
   

   Plano de Dados

   az account get-access-token --scope 'https://easm.defender.microsoft.com/.default'