Entra ID 允許使用者自動同意外部應用程式存取組織資料，攻擊者可能會在「非法同意授予」攻擊中利用這項漏洞。為了防止此問題，您可以僅授予存取權給經過驗證的發行者，或啟用管理員核准機制。

Entra ID 建置了 OAuth 2.0 委派機制，允許使用者<a href="https://learn.microsoft.com/zh-tw/entra/identity-platform/permissions-consent-overview#consent">同意</a>任何第三方應用程式的請求。如此一來，這些應用程式不但能夠獲得使用者個人資料的存取權，也有權存取使用者可以取得的組織資料。
攻擊者已謀劃利用惡意應用程式發動社交工程攻擊，他們通常會將這類應用程式偽裝成正當的商業應用程式並請求機密內容的權限。一旦授予這些權限，攻擊者就可以竊取資料或代表使用者執行動作。這類攻擊稱為「<a href="https://learn.microsoft.com/zh-tw/defender-office-365/detect-and-remediate-illicit-consent-grants">非法同意授予</a>」或「<a href="https://www.microsoft.com/zh-tw/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#oauth">同意網路釣魚</a>」。
Entra ID 提供三種應用程式的使用者同意選項: 
<ul>
<li>「不允許使用者同意」: 此為最安全的選項。</li>
<li>「允許使用者同意來自已驗證發行者的應用程式，但僅限特定權限」: Microsoft 建議使用此中間選項，因為這只會授予機密性較低內容的權限，並且僅允許存取來自「<a href="https://learn.microsoft.com/zh-tw/entra/identity-platform/publisher-verification-overview">已驗證發行者</a>」的應用程式，因此可以降低風險。</li>
<li>「允許使用者同意應用程式」: 根據預設，這個安全性最低的選項允許使用者同意任何應用程式 (包括外部應用程式) 的大多數權限 (管理員專屬權限除外)。</li>
</ul>
根據預設，曝險指標 (IoE) 只會將 Entra ID 中安全性較低的選項標記為不正確。如果想提升安全敏感度，可以啟用曝險指標 (IoE) 的「嚴格」選項，這會標記安全性較低和中等 Entra ID 選項。
根據 BOD 25-01 的強制要求，CISA 發布的「Microsoft Entra ID 的 M365 安全設定基準」中所列的 <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#application-registration-and-consent">MS.AAD.5.2v1</a> 原則規定「應僅允許管理員同意應用程式請求」。

原始存取

網路釣魚

特權提升

帳戶操控: 其他雲端憑證

帳戶操控: 其他雲端角色

憑證存取

竊取應用程式存取權杖

橫向移動

使用備用驗證資料: 應用程式存取權杖

應用程式的非受限使用者同意

偵測

應用程式的非受限使用者同意

MEDIUM

版本 202507230918

版本 202411071130

版本 202507230918 Jul 23, 2025, 9:18 AM Metadata (Add reference to corresponding CISA BOD 25-01 policy) Release: 202507230918
版本 202411071130 Nov 7, 2024, 11:30 AM New Release: 202411071130