Entra ID 中的管理員同意工作流程，可讓非管理員使用者透過結構化的核准程序申請應用程式權限。若未設定工作流程，使用者嘗試存取應用程式時可能會遇到錯誤，並且無法要求同意。

若缺乏<a href="https://learn.microsoft.com/zh-tw/entra/identity/enterprise-apps/configure-admin-consent-workflow#enable-the-admin-consent-workflow">管理員同意工作流程</a>，非管理員使用者將沒有內建方式，向上呈報針對應用程式提出的權限要求。因此，他們可能會採取變通做法，或在允許使用者同意的情況下，自行授予權限，詳情請參閱「應用程式的非受限使用者同意」曝險指標 (IoE)。在這兩種情況下，組織都無法監控並掌管權限授予的情況，進而導致最低特權原則難以落實。
同意網路釣魚攻擊 (也稱為<a href="https://learn.microsoft.com/zh-tw/defender-office-365/detect-and-remediate-illicit-consent-grants">非法同意授予</a>攻擊) 會誘騙使用者授權看似正當，但實際上為惡意的應用程式。若缺乏核准工作流程，就沒有審查層級來標記可疑權限範圍 ，例如 <a href="https://learn.microsoft.com/zh-tw/graph/permissions-reference#filesreadwrite">Files.ReadWrite</a> (可完整存取所有使用者檔案) 或 <a href="https://learn.microsoft.com/zh-tw/graph/permissions-reference#mailreadwrite">Mail.ReadWrite</a> (可讀寫所有信箱)。因此，攻擊者可能會獲得使用者資料的長期存取權，這類存取權不會因密碼變更或 MFA 而撤銷。
若未啟用管理員同意工作流程，管理員就必須透過電子郵件、即時通訊或直接聯絡等臨時方式處理權限要求，這些方式會造成稽核盲點。系統中沒有自動化的要求流程、提醒機制，或是關於誰在何時、因何理由核准哪些內容的記錄。缺乏稽核記錄，就難以證明在授予應用程式權限前是否經過適當審核。 
根據 BOD 25-01 的強制要求，CISA 發布的「Microsoft Entra ID 的 M365 安全設定基準」中所列的 <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#application-registration-and-consent">MS.AAD.5.3v1</a> 原則規定「應針對應用程式設定管理員同意工作流程」。Microsoft 也在<a href="https://learn.microsoft.com/zh-tw/entra/fundamentals/configure-security#admin-consent-workflow-is-enabled">設定 Microsoft Entra 以提高安全性</a> 中建議「啟用管理員同意工作流程」。

原始存取

網路釣魚

特權提升

帳戶操控: 其他雲端憑證

帳戶操控: 其他雲端角色

憑證存取

竊取應用程式存取權杖

橫向移動

使用備用驗證資料: 應用程式存取權杖

未設定應用程式的管理員同意工作流程

偵測

未設定應用程式的管理員同意工作流程

MEDIUM

版本 202507230918

版本 202506240832

版本 202507230918 Jul 23, 2025, 9:18 AM Metadata (Add reference to corresponding CISA BOD 25-01 policy) Release: 202507230918
版本 202506240832 Jun 24, 2025, 8:32 AM New Release: 202506240832