# Entra ID - Monitor Application Secrets

> Überwacht ablaufende Entra ID Anwendungs-Secrets und benachrichtigt Verantwortliche.

Dieser Workflow durchsucht alle Microsoft Entra ID (Azure AD) App-Registrierungen über Microsoft Graph und identifiziert Client-Secrets sowie Zertifikate, die bereits abgelaufen sind oder innerhalb eines konfigurierbaren Zeitfensters ablaufen. Secrets und Zertifikate werden getrennt verarbeitet, die verbleibende Gültigkeit in Tagen berechnet und anschließend in einem übersichtlichen, leicht lesbaren HTML-Report zusammengefasst. Eine E-Mail-Benachrichtigung wird nur dann versendet, wenn ablaufende Anmeldeinformationen gefunden werden. So können Administratoren Anmeldeinformationen proaktiv erneuern und Service-Ausfälle vermeiden. Ideal für IT-Administratoren, Security-Teams und DevOps-Engineers, die jederzeit den Zustand von Anmeldeinformationen in Entra ID App-Registrierungen im Blick behalten möchten.

- Bereich: n8n-Automatisierung
- Art: Kostenlos
- Kategorie: IT-Betrieb
- Tags: Governance, Audit, Sicherheit, Identität, Compliance, Automatisierung
- n8n template: https://n8n.io/workflows/12399-email-reports-on-expiring-microsoft-entra-id-app-secrets-and-certificates-with-microsoft-graph/
- Quelle: https://www.sus-tech.com/de/solutions/monitor-entraid-application-secrets

## Ablaufende Entra ID Anwendungs-Secrets überwachen und Verantwortliche benachrichtigen

Behalten Sie den Überblick über ablaufende Anmeldeinformationen, indem dieser Workflow automatisch Client-Secrets und Zertifikate von Entra ID Anwendungen erkennt, die bald ablaufen, und einen übersichtlich formatierten E-Mail-Report versendet.

### Welches Problem löst dieser Workflow 

Abgelaufene Client-Secrets und Zertifikate gehören zu den häufigsten Ursachen für unerwartete Ausfälle und fehlgeschlagene Integrationen. Das manuelle Überprüfen von Ablaufdaten über viele Entra ID Anwendungen hinweg ist zeitaufwendig und fehleranfällig. Dieser Workflow automatisiert die Erkennung und Berichterstellung für Anmeldeinformationen, die innerhalb eines konfigurierbaren Zeitfensters ablaufen.

### Zentrale Funktionen

- Ruft alle **Microsoft Entra ID Anwendungen** inklusive:
  - Client-Secrets (`passwordCredentials`)
  - Zertifikate (`keyCredentials`)
- Zerlegt Anmeldeinformationen in einzelne Einträge für eine einfache Verarbeitung
- Filtert Anmeldeinformationen, die **innerhalb der nächsten _N_ Tage** ablaufen (konfigurierbar)
- Vereinheitlicht die Ergebnisse in einer konsistenten Struktur mit:
  - Anwendungsname
  - App-ID
  - Typ der Anmeldeinformation (Client-Secret / Zertifikat)
  - Name + ID der Anmeldeinformation
  - Verbleibende Tage bis zum Ablauf
- Erstellt einen **HTML-Tabellenbericht**, sortiert nach Anwendungsnamen
- Versendet eine E-Mail **nur dann, wenn ablaufende Einträge gefunden werden** (ansonsten keine Aktion)

### Funktionsweise

1. Ruft alle Entra ID Anwendungen und deren Anmeldeinformationen über Microsoft Graph ab  
2. Trennt Client-Secrets und Zertifikate in einzelne Einträge  
3. Filtert Einträge, die innerhalb des konfigurierten Zeitfensters ablaufen  
4. Erstellt eine vereinheitlichte Liste ablaufender Anmeldeinformationen mit verbleibenden Tagen  
5. Versendet einen HTML-Tabellenbericht per E-Mail (nur wenn Ergebnisse vorhanden sind)

### Setup-Voraussetzungen

- Microsoft Entra ID App-Registrierung mit Microsoft Graph **Application-Berechtigungen**:
  - `Application.Read.All`
- In n8n:
  - Erstellung von **Microsoft Graph OAuth2** Anmeldeinformationen (Client-Credentials-Flow empfohlen)
  - Zuweisung dieser Anmeldeinformationen zum HTTP-Request-Node **Get EntraID Applications and Secrets**
- Anpassung des **Set Variables** Nodes:
  - `notificationEmail`: E-Mail-Adresse für den Versand des Reports
  - `daysBeforeExpiry`: Benachrichtigungszeitraum in Tagen (z. B. 14)

### Hinweise

- Der E-Mail-Report hebt bald ablaufende Anmeldeinformationen visuell hervor (abhängig von den verbleibenden Tagen).
- Für eine automatische Ausführung kann der manuelle Trigger durch einen **Schedule Trigger** (z. B. täglich oder wöchentlich) ersetzt werden.
- Der Workflow greift ausschließlich auf **Metadaten** zu (Namen/IDs/Ablaufdaten), nicht auf geheime Werte.

## Blogbeiträge zum Thema

- [Zugriffsrisiken schließen: Automatisierung in der Identity Governance](https://www.sus-tech.com/de/blog/the-role-of-automation-in-identity-governance.md)
- [Ausfälle verhindern, bevor sie passieren: Überwachung von Anwendungs-Credentials in Entra ID](https://www.sus-tech.com/de/blog/preventing-outages-monitoring-application-credentials.md)

## Kontakt

Beratung und Umsetzung: https://www.sus-tech.com/de/contact