实践检查点 1:使用 MS Graph 构建 Agent ID

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

Semperis 实践检查点 4：通过 Microsoft Graph 端到端验证 Entra ID 三种 Agent 身份验证流程（自主流、On-Behalf-Of 流、Agent 用户流），逐步解码各阶段令牌，展示 oid、azp、aud、roles 等声明与 Blueprint、Agent 身份及权限的对应关系。

Semperis 实践检查点 2：为 Agent 身份搭建与真实部署一致的权限模型——在 Agent 身份层直接分配应用权限（User.Read.All），并在 Blueprint 层通过 oauth2PermissionGrants 配置可继承的委托权限（Group.Read.All，可用枚举作用域限定）。

EntraGoat 场景 2：从 CI/CD 产物泄露的证书切入，滥用应用专用 Graph 权限——自我授予 RoleManagement.ReadWrite.Directory，进而重置管理员密码、完全攻陷租户。

EntraGoat 快速上手指南：准备测试租户、Node.js 与 PowerShell 7 环境，克隆并启动实验室，进入首个挑战、拿下 flag 并完成清理；附两种场景部署方式。

想让免费工具 Purple Knight 评估 Entra ID？Semperis 提供 PowerShell 脚本自动完成应用注册与 Microsoft Graph 权限配置，需 Microsoft.Graph.Applications、Az.Accounts 模块及全局管理员账号。