Dieser Bericht ist nicht in der angeforderten Sprache verfügbar. Stattdessen wird der maßgebliche englische Bericht angezeigt.

Versionierte Sicherheitsbewertung

Berichts-ID: SA-1200D2F8

7/8/2026, 5:24:34 AM

entra-agent-id Sicherheitsbewertung v4

Zertifizierungsbericht zur Skill-Sicherheit

Audit-Verlauf
Auditmodell: codex Historischer Bericht
Skillname
entra-agent-id
Version
v4
Betreuer
microsoft
Quelle
github.com/microsoft/azure-skills/tree/main/.github/plugins/azure-skills/skills/entra-agent-id/
Abdeckung
7 Gescannte Dateien · 1,153 Analysierte Zeilen
Richtlinienversion
Nicht verfügbar

Höchster bestätigter Schweregrad eines Befunds

Hoch

2 bestätigte Sicherheitsbefunde erfordern Aufmerksamkeit.

Installationskontext

Historische Nachweise

Dieser Bericht beschreibt möglicherweise nicht das derzeit installierbare Artefakt. Öffnen Sie die aktuelle Skill-Seite für Installationshinweise.

Aktuelle Skill-Seite öffnen

Dieser Bericht blockiert oder autorisiert weder das Manifest noch die ZIP-Datei.

No prompt injection, concealed exfiltration, or obfuscated execution was found. Most static hits are markdown formatting, official Microsoft Graph or Entra endpoints, localhost sidecar calls, or OAuth scope strings. Confirmed risks involve Azure client secret handling, privileged Graph mutations, admin consent, bearer token forwarding, and broad delegated grants.

Position melden

Historischer Bericht

Öffnen Sie den Auditverlauf, bevor Sie diesen Bericht zur Installation verwenden.

Audit-Nachweis

Nicht bescheinigungsfähig

Die erforderliche unveränderliche Bindung ist unvollständig.

Menschliche Überprüfung

Nicht überprüft

Für diesen Bericht ist keine menschliche Überprüfung verzeichnet.

Abdeckung

7 Gescannte Dateien · 1,153 Analysierte Zeilen

30 Elemente zur Überprüfung angezeigt

Einschränkungen

Dieser Bericht beansprucht keine Laufzeit- oder Sandbox-Ausführung und beweist nicht das Fehlen von Nebenwirkungen.

Beweiskette

Folgen Sie den Nachweisen von der Quellenbindung bis zum Installationsvertrag. Verfügbare Nachweise unterstützen die Überprüfung; sie sind keine Sicherheitsgarantie.

  1. Quelle

    Bindung nicht verfügbar

  2. Artefakt

    Identität unvollständig

  3. Prüfung

    Vollständig

  4. Installationsvertrag

    Manifest zur Überprüfung öffnen

    Manifest öffnen

Beobachtete Funktionen

„Beobachtet“ bedeutet, dass dieser Bericht unterstützende Nachweise erfasst hat. Nicht erfasst bedeutet nicht, dass eine Fähigkeit nicht vorhanden ist.

Enthält Skripte

Kann mit dem Skill enthaltenen Code ausführen.

Durch dieses Audit nicht erfasst

Netzwerkzugriff

Kann eine Verbindung zu externen Diensten herstellen.

An 55 Nachweisstellen beobachtet

Dateisystemzugriff

Kann lokale Dateien lesen oder schreiben.

An 15 Nachweisstellen beobachtet

Umgebungsvariablen

Kann Werte aus der Prozessumgebung lesen.

An 7 Nachweisstellen beobachtet

Externe Befehle

Kann Befehle oder Programme außerhalb des Skills aufrufen.

An 84 Nachweisstellen beobachtet

Elemente der Fähigkeitsprüfung (28)
Hoch
references/oauth2-token-flow.md:101-102
Ruby/shell backtick execution
-Uri "https://graph.microsoft.com/v1.0/applications/<BLUEPRINT_OBJECT_ID>/addPassword" `
The surrounding PowerShell example calls addPassword on a Blueprint application and returns a secret. It is explicit documentation, but executing it creates credential material.
Hoch
references/oauth2-token-flow.md:90
PowerShell invocation
PowerShell:
This section introduces a PowerShell flow that adds a password credential through Microsoft Graph. It is legitimate, but the operation creates sensitive credential material.
Hoch
references/oauth2-token-flow.md:92
PowerShell invocation
```powershell
This PowerShell code block contains an addPassword Graph request for local development credentials. Running it changes credential state and requires tenant review.
Hoch
references/oauth2-token-flow.md:111
Python HTTP libraries
resp = requests.post(
This POST adds a password credential to the Blueprint and returns secretText. Client secret creation is security-sensitive even when limited to local development.
Hoch
references/obo-blueprint-setup.md:63
Python HTTP libraries
requests.post(
This POST creates oauth2PermissionGrants for each Agent Identity. A broad or long-lived grant can over-authorize agent access on behalf of users.
Hoch
SKILL.md:303-305
Ruby/shell backtick execution
```bash
This bash block contains the az admin-consent command on the following line. The command is explicit but can approve privileged permissions tenant-wide.
Hoch
SKILL.md:76
PowerShell invocation
### PowerShell (interactive setup)
This PowerShell setup path is documented for interactive operator use. It is not hidden execution, but it asks users to install modules or authenticate with privileged Graph scopes.
Hoch
SKILL.md:78
PowerShell invocation
```powershell
This PowerShell setup path is documented for interactive operator use. It is not hidden execution, but it asks users to install modules or authenticate with privileged Graph scopes.
Hoch
SKILL.md:79
PowerShell invocation
# PowerShell 7+
This PowerShell setup path is documented for interactive operator use. It is not hidden execution, but it asks users to install modules or authenticate with privileged Graph scopes.
Hoch
SKILL.md:93
PowerShell invocation
### PowerShell (delegated)
This PowerShell setup path is documented for interactive operator use. It is not hidden execution, but it asks users to install modules or authenticate with privileged Graph scopes.
Hoch
SKILL.md:95
PowerShell invocation
```powershell
This PowerShell setup path is documented for interactive operator use. It is not hidden execution, but it asks users to install modules or authenticate with privileged Graph scopes.
Hoch
SKILL.md:231
Python HTTP libraries
requests.post(
This POST grants an application role assignment to an Agent Identity. Mis-scoped app roles can give agents excessive Graph access.
Hoch
SKILL.md:249
Python HTTP libraries
requests.post(
This POST creates delegated OAuth permission grants with broad sample scopes. Incorrect grants can authorize agents to act on behalf of users beyond their need.
Hoch
SKILL.md:114
Python environment access
client_secret=os.environ["AZURE_CLIENT_SECRET"],
The example reads AZURE_CLIENT_SECRET from the environment for ClientSecretCredential. This is legitimate setup, but it handles a high-value tenant credential that must stay protected.
Hoch
SKILL.md:114
Azure credential environment variables
client_secret=os.environ["AZURE_CLIENT_SECRET"],
The example directly consumes AZURE_CLIENT_SECRET to acquire Microsoft Graph access. Exposure or reuse of this secret could compromise the Blueprint application.
Mittel
references/oauth2-token-flow.md:21
Python HTTP libraries
requests.patch(
This PATCH changes identifierUris on the Blueprint application. It is part of setup, but it mutates OAuth audience configuration in the tenant.
Mittel
references/oauth2-token-flow.md:39
Python HTTP libraries
requests.post(
This POST creates a federated identity credential on the Blueprint. Incorrect FIC subjects or issuers can allow unintended workload token exchange.
Mittel
references/obo-blueprint-setup.md:41
Python HTTP libraries
requests.patch(
This PATCH configures OAuth2 scopes and pre-authorized applications on the Blueprint. It is intended setup, but it changes consent and token behavior.
Mittel
references/runtime-token-exchange.md:36
Python HTTP libraries
req = urllib.request.Request(
The example submits client secrets, parent tokens, or user assertions to the Entra token endpoint. This is legitimate OAuth flow documentation, but mishandling these values can expose credentials or bearer tokens.
Mittel
references/runtime-token-exchange.md:40
Python HTTP libraries
with urllib.request.urlopen(req, timeout=10) as resp:
The example submits client secrets, parent tokens, or user assertions to the Entra token endpoint. This is legitimate OAuth flow documentation, but mishandling these values can expose credentials or bearer tokens.
Mittel
references/runtime-token-exchange.md:91
Python HTTP libraries
req = urllib.request.Request(
The example submits client secrets, parent tokens, or user assertions to the Entra token endpoint. This is legitimate OAuth flow documentation, but mishandling these values can expose credentials or bearer tokens.
Mittel
references/runtime-token-exchange.md:95
Python HTTP libraries
with urllib.request.urlopen(req, timeout=10) as resp:
The example submits client secrets, parent tokens, or user assertions to the Entra token endpoint. This is legitimate OAuth flow documentation, but mishandling these values can expose credentials or bearer tokens.
Mittel
references/runtime-token-exchange.md:120
Python HTTP libraries
req = urllib.request.Request(
The example submits client secrets, parent tokens, or user assertions to the Entra token endpoint. This is legitimate OAuth flow documentation, but mishandling these values can expose credentials or bearer tokens.
Mittel
references/runtime-token-exchange.md:124
Python HTTP libraries
with urllib.request.urlopen(req, timeout=10) as resp:
The example submits client secrets, parent tokens, or user assertions to the Entra token endpoint. This is legitimate OAuth flow documentation, but mishandling these values can expose credentials or bearer tokens.
Mittel
references/sdk-sidecar-deployment.md:24
Python HTTP libraries
resp = requests.get(endpoint, headers={"Authorization": token}, timeout=10)
The helper sends an acquired authorization header to a caller-supplied endpoint. It is a sample pattern, but an untrusted endpoint would receive the bearer token.
Mittel
SKILL.md:147
Python HTTP libraries
resp = requests.post(
This POST creates an Agent Identity Blueprint in Microsoft Graph. The call is explicit and intended, but it mutates tenant identity configuration.
Mittel
SKILL.md:165
Python HTTP libraries
resp = requests.post(
This POST creates the BlueprintPrincipal service principal in Microsoft Graph. The call is expected, but it changes tenant identity state.
Mittel
SKILL.md:186
Python HTTP libraries
resp = requests.post(
This POST creates an Agent Identity service principal. It is an intended Graph operation, but it provisions a new tenant identity.

Risikofunde

Bestätigte Sicherheitsbedenken werden von Punkten getrennt, die noch überprüft werden müssen.

Bestätigte Sicherheitsbedenken (2)

RISK-001 Hoch
SKILL.md:304
System reconnaissance
az ad app permission admin-consent --id <client-id>
The line contains an az admin-consent command, not reconnaissance, but executing it can grant tenant-wide consent to app permissions. This requires administrator review.
RISK-002 Mittel
SKILL.md:247-259references/obo-blueprint-setup.md:61-72
Broad Long-Lived Delegated Grants
The examples show tenant-wide delegated grants with multi-year expiry and broad Graph scopes. This is valid for some agents, but it can over-authorize agents if copied without least-privilege review.
Both cited examples set long expiry times and create oauth2PermissionGrants for all principals. The risk is contextual but directly evidenced by the documented grant patterns.

Abhilfemaßnahmen

Von diesem Audit vorgeschlagene Korrekturen wurden erfasst. Ihre Umsetzung liegt in der Verantwortung des Maintainers.

  1. FIX-001
    Hoch
    Client secret examples use AZURE_CLIENT_SECRET and Graph addPassword flows.
    Keep client secret guidance clearly limited to local development and prefer Workload Identity Federation or managed identity for production.
  2. FIX-002
    Hoch
    Admin consent commands can approve tenant-wide permissions.
    Tell users to review requested app roles and delegated scopes with a tenant administrator before running consent commands.
  3. FIX-003
    Mittel
    Permission grant examples include broad scopes, AllPrincipals consent, and long expiry.
    Add stronger least-privilege guidance, shorter grant lifetimes, and examples that scope grants per agent role.
  4. FIX-004
    Mittel
    The AgentID sidecar exposes unauthenticated token helper endpoints when reachable.
    Require localhost or private pod-network binding, avoid public ingress, and document network policies for production deployments.

Expertennachweise

Unveränderliche Subjektidentität, Scanner-Metadaten, verworfene Treffer und Nachweise auf Quellcodeebene.

Artefakt-Subjekt

Marketplace-Commit
Nicht verfügbar
Inhalts-Hash
Nicht verfügbar
Tree-Hash
Nicht verfügbar
Skill-Pfad
Nicht verfügbar
Hash der Audit-Nutzlast
Nicht verfügbar

Analysemetadaten

Auditmodell: codex

Analysestatus: Vollständig

Der Umfang ist auf die aufgezeichneten Dateien, Zeilen, Methoden und Nachweise beschränkt. Es wird keine Ausführung in einer Laufzeitumgebung oder Sandbox beansprucht.

Verifizieren und exportieren

JSON-Bericht CITATION.cff SARIF 2.1.0 Signiertes Installationsmanifest

Das Manifest und die Lockdatei binden Installationsartefakte an kryptografische Hashes. Diese Integritätsaussage ist von der Sicherheitsbewertung getrennt.

Audit-Nachweis: not_attestable