Revisão de Minimização de Escopos OAuth

Quando Usar

• Revisão anual ou trimestral das permissões OAuth de aplicativos de terceiros
• Após um incidente de segurança envolvendo tokens OAuth comprometidos ou acesso não autorizado a dados
• Auditoria de conformidade que exige documentação do acesso a dados por terceiros (GDPR Artigo 28, SOC 2)
• Descoberta de aplicativos de "shadow IT" acessando dados organizacionais via concessões OAuth
• Migração ou consolidação de aplicativos SaaS que exigem limpeza de permissões
• Implementação do princípio de menor privilégio para integrações de API

Não use para revisar permissões de aplicativos de primeira parte dentro do mesmo limite de confiança; a minimização de escopos OAuth foca em concessões de consentimento de terceiros e entre limites.

Pré-requisitos

• Acesso de administrador aos provedores de identidade (Microsoft Entra ID, Okta, Google Workspace)
• Permissões da API do Microsoft Graph: Application.Read.All, OAuth2PermissionGrant.ReadWrite.All
• Inventário de integrações de terceiros aprovadas do departamento de compras ou governança de TI
• Framework de classificação de risco de escopos OAuth
• Ferramentas para análise de tokens (jwt.io para revisão manual, scripts automatizados para análise em massa)

Fluxo de Trabalho

Etapa 1: Inventariar Todas as Concessões OAuth e Permissões de Consentimento

Liste todos os registros de aplicativos OAuth e permissões delegadas:

"""
Inventário de Concessões OAuth - Microsoft Entra ID
Lista todos os registros de aplicativos, principais de serviço
e concessões de permissões delegadas/de aplicativo.
"""
import requests
import json
from collections import defaultdict

class EntraOAuthAuditor:
    def __init__(self, tenant_id, client_id, client_secret):
        self.tenant_id = tenant_id
        self.base_url = "https://graph.microsoft.com/v1.0"
        self.token = self._get_token(client_id, client_secret)
        self.headers = {"Authorization": f"Bearer {self.token}"}

    def _get_token(self, client_id, client_secret):
        url = f"https://login.microsoftonline.com/{self.tenant_id}/oauth2/v2.0/token"
        response = requests.post(url, data={
            "grant_type": "client_credentials",
            "client_id": client_id,
            "client_secret": client_secret,
            "scope": "https://graph.microsoft.com/.default"
        })
        return response.json()["access_token"]

    def get_all_service_principals(self):
        """Obtém todos os principais de serviço (aplicativos empresariais)."""
        apps = []
        url = f"{self.base_url}/servicePrincipals?$top=999&$select=id,appId,displayName,appOwnerOrganizationId,servicePrincipalType,accountEnabled,createdDateTime"

        while url:
            response = requests.get(url, headers=self.headers)
            data = response.json()
            apps.extend(data.get("value", []))
            url = data.get("@odata.nextLink")

        return apps

    def get_oauth2_permission_grants(self):
        """Obtém todas as concessões de permissões delegadas (consentimento do usuário)."""
        grants = []
        url = f"{self.base_url}/oauth2PermissionGrants?$top=999"

        while url:
            response = requests.get(url, headers=self.headers)
            data = response.json()
            grants.extend(data.get("value", []))
            url = data.get("@odata.nextLink")

        return grants

    def get_app_role_assignments(self, sp_id):
        """Obtém atribuições de permissões de aplicativo para um principal de serviço."""
        url = f"{self.base_url}/servicePrincipals/{sp_id}/appRoleAssignments"
        response = requests.get(url, headers=self.headers)
        return response.json().get("value", [])

    def build_permission_inventory(self):
        """Constrói um inventário abrangente de permissões OAuth."""
        service_principals = self.get_all_service_principals()
        delegated_grants = self.get_oauth2_permission_grants()

        # Mapeia IDs de principais de serviço para nomes
        sp_map = {sp["id"]: sp for sp in service_principals}

        inventory = []

        # Processa permissões delegadas
        for grant in delegated_grants:
            sp = sp_map.get(grant["clientId"], {})
            scopes = grant.get("scope", "").split()

            for scope in scopes:
                if not scope:
                    continue
                inventory.append({
                    "app_name": sp.get("displayName", "Desconhecido"),
                    "app_id": grant.get("clientId"),
                    "publisher_tenant": sp.get("appOwnerOrganizationId"),
                    "is_third_party": sp.get("appOwnerOrganizationId") != self.tenant_id,

…