用途
该技能用于对 Microsoft Entra ID（原 Azure Active Directory）租户的身份配置进行安全审计，帮助识别身份验证策略中的风险、权限过大的角色分配、长期未使用的账户以及可疑登录活动。主要使用场景包括：对 Azure 租户进行安全评估、合规审计中检查身份验证策略与 MFA 执行情况、并购后租户整合前的安全检查、调查可疑登录或账户泄露，以及验证条件访问策略对身份攻击的防护是否充分。
该技能不适用于本地 Active Directory 审计（应使用 PingCastle 或 BloodHound AD）、不涉及身份上下文的 Azure 资源级 RBAC 审计，或实时威胁检测（应使用 Microsoft Defender for Identity）。
主要能力
审计工作流涵盖以下能力：
- 枚举租户配置与安全默认值，评估基线身份安全设置，包括安全默认值状态和旧版身份验证状态。
- 审查特权角色分配，识别权限过大的用户、永久管理员账户和有风险的角色配置。
- 审查条件访问策略的覆盖缺口，尤其是 MFA 执行、设备合规性和基于位置的限制。
- 识别长期未使用账户和来宾用户，包括已禁用但仍持有角色分配的账户和有风险的来宾用户配置。
- 分析登录日志中的异常身份验证模式、失败的 MFA 挑战和有风险的登录检测。
- 运行 ScoutSuite 自动化评估，对 Azure 租户配置进行全面自动化检查。
使用方式
使用前需要满足以下前提条件：在目标 Microsoft Entra ID 租户中拥有 Global Reader 或 Security Reader 角色；安装 Microsoft Graph PowerShell SDK（Install-Module Microsoft.Graph）；Az CLI 已通过 az login --tenant TENANT_ID 认证到目标租户；ScoutSuite 配置了 Azure 提供程序；可访问 Azure AD 审计日志和登录日志（需要 Azure AD Premium P1/P2）。
工作流包括以下步骤：连接 Microsoft Graph 并枚举租户配置与安全默认值；通过 Graph API 审查特权角色分配；审查条件访问策略的覆盖缺口；查找长期未登录账户和来宾用户；分析登录日志中的风险活动；运行 ScoutSuite 自动化评估并查看生成的 HTML 报告。
输出格式为一份 Azure Active Directory 安全审计报告，包含租户信息、身份配置、特权访问、账户卫生和登录风险等部分，并列出关键发现。
适用场景
典型场景为并购后的 Azure 租户安全评估：在收购一家公司后，安全团队需要在将其与公司 Entra ID 整合之前评估 Azure 租户的身份安全状况。具体做法包括：枚举所有全局管理员并检查管理员角色中是否存在个人账户；审查条件访问策略以验证 MFA 是否对所有用户执行而非仅管理员；识别具有特权访问的来宾用户；检查可能成为凭据攻击目标的长期未使用账户；审查登录日志中的旧版身份验证使用情况；验证安全默认值或等效 CA 策略是否阻止旧版身份验证协议；在租户整合前生成带优先修复步骤的风险报告。
限制
风险登录检测和 PIM 需要 Azure AD Premium P2。如果租户使用较低的许可证层级，许多身份保护功能将不可用。来自合作伙伴租户的来宾用户可能通过动态组获得隐式访问权限，这些权限在标准角色分配查询中不可见。