Un token solo per app è un token di accesso rilasciato a un’applicazione che agisce per conto proprio, anziché per conto di un utente connesso. In Microsoft 365, un’applicazione può usare questo token per effettuare chiamate a Microsoft Graph con le autorizzazioni concesse alla propria identità, spesso rappresentata nel tenant da un’entità servizio. Le autorizzazioni del token determinano a quali risorse e azioni può accedere l’applicazione.
L’accesso solo per app è utile per i servizi automatizzati, come i backup, ma una credenziale dell’applicazione compromessa potrebbe consentire a un aggressore di richiedere token e usare le autorizzazioni concesse all’app. I difensori dovrebbero limitare le autorizzazioni dell’applicazione a quelle necessarie al servizio, proteggere e ruotare le relative credenziali e verificare il consenso del tenant, gli accessi dell’entità servizio e i registri di controllo. Revocare una credenziale può impedire il rilascio di nuovi token, ma i team potrebbero anche dover indagare e rimuovere gli accessi indesiderati in ciascun tenant.