停用应用注册提供了一种可逆的方法，可防止应用程序访问受保护的资源，而无需永久将其从租户中删除。 停用应用程序时，它会立即停止接收新的访问令牌，但现有令牌在过期之前保持有效。 此方法对于安全调查、可疑应用程序的临时挂起或需要维护应用程序配置数据时非常有用。
与永久删除应用程序不同，停用会保留所有应用程序元数据、权限和配置设置，以便在需要时轻松重新激活应用程序。 应用程序在租户的企业应用程序列表中保持可见，但用户无法登录且未颁发任何新令牌。
本文介绍如何停用应用注册、查看已停用的应用程序，并在必要时重新激活它们。
Prerequisites
在停用应用程序之前，请确保满足以下要求：
- 以下 Microsoft Entra 角色之一：
- 或具有以下操作的自定义角色：
microsoft.directory/applications/disablement/update
- 如果使用 Microsoft Graph，则具有以下 API 权限：
-
Application.ReadWrite.All（委托或应用程序） -
Application.ReadWrite.OwnedBy（应用程序，仅适用于已拥有的应用）
-
了解应用程序停用
停用应用程序时，会发生以下行为：
即时效果：
- 拒绝新的访问令牌请求
- 用户无法登录到应用程序
- 应用程序无法使用新令牌访问受保护的资源
保留的元素：
- 现有访问令牌在配置的生存期到期之前保持有效
- 保留应用程序配置、权限和元数据
- 应用程序在 企业应用程序 列表中保持可见
- 服务主体对象被保存在租户环境中
当用户尝试登录到已停用的应用程序时，他们会收到一条错误消息，指示应用程序已被其所有者禁用。 这不同于其他错误消息，例如无效凭据或拒绝访问。
与其他选项的比较
Microsoft Entra 应用和服务主体可以通过四种方式被禁止使用：
- isDisabled （deactivate） 属性是在应用所有者或管理员全局禁用的应用上设置的。
- disabledByMicrosoftStatus （由 Microsoft 禁用）属性在Microsoft全局禁用的应用上设置。
- accountEnabled （禁用登录） 属性是在应用所有者或管理员在租户中禁用的服务主体上设置的。
- DELETE （删除）操作由应用所有者或管理员作为对应用或服务主体的操作来完成。
下表更详细地概述了不同的方法：
| Action | 令牌颁发 | 配置设置已保留 | 可逆 | Scope |
|---|---|---|---|---|
| 停用 | Blocked | Yes | Yes | 全局（所有租户） |
| Microsoft禁用 | Blocked | Yes | Yes | 全局（所有租户） |
| 禁用登录 | 在租户中被阻止 | Yes | Yes | 仅限单租户 |
| Delete | Blocked | 否（30 天回收站） | 是（30 天） | Global |
停用应用程序
要使用 Microsoft 图形 API 或 Microsoft Entra 管理中心停用应用程序，您至少需要一个 云应用程序管理员 角色，或具有 microsoft.directory/applications/disablement/update 操作权限的自定义角色。
至少以 云应用程序管理员 身份登录到 Microsoft Entra 管理中心。
浏览到 应用注册。
从已注册的应用列表中找到需要停用的应用。
确定要停用的应用后，请选择其应用注册页上的 “停用 ”按钮。
在选择第二个停用按钮之前，请查看停用应用注册窗格中提供的信息。
- 应用无法访问受保护的资源。
- 它无法获取新的访问令牌，但现有访问令牌仍然有效。
- 对于具有该实例的租户，它仍将在 企业应用程序 列表中可见，但用户将无法登录。
- 以前颁发的访问令牌将根据其生存期失效。 访问令牌的过期或失效取决于各种因素，例如默认过期时间和令牌生存期策略。
确认要停用应用后，立即选择“ 停用 ”按钮停用，并将
isDisabled此应用程序的属性设置为true。 通过验证应用注册页上State已停用的更改，可以确保应用状态反映该变化。
重要
如果应用已分配所有者，此信息会显示在 “停用应用注册 ”窗格中。 在停用之前，请查看所有者列表，并决定是否删除其中任何所有者。 若要防止其他人重新激活应用，请删除所有其他所有者。
查看已停用的应用程序
可以查看已停用的应用程序来监视其状态并跟踪租户中已暂时禁用的应用程序。
登录到 Microsoft Entra 管理中心。
浏览到 应用注册。
选择 “已停用的应用程序 ”选项卡。
若要查看相关企业应用程序的摘要状态，请浏览到 企业应用，选择该应用程序，然后选择 管理>属性>激活状态。 此状态还包括租户本地登录禁用和Microsoft禁用;它不特定于应用注册停用。
重要
停用操作适用于应用注册（应用程序对象），其停用状态将反映在企业应用程序（服务主体对象）上。 另外，在租户本地服务主体对象（accountEnabled=false）上禁用登录足以使其 激活状态 显示为 已停用，即使应用注册未停用也是如此。 仅凭该标签无法确定原因。 请参阅 激活状态 以区分条件并选择相应的恢复指南。
调查已停用的应用程序
处理停用的应用程序时，通过检查应用程序的配置（包括 API 权限、身份验证设置、证书和登录日志）进行彻底调查。 仔细记录调查结果，指出停用原因、任何可疑活动或安全问题、受影响的用户以及可能影响组织的依赖项。
根据您的调查，采取适当的措施，例如，如果怀疑存在泄露，升级或报告给安全团队，在重新激活之前删除不必要的权限，或更新应用程序配置以解决已识别的安全问题。 如果不再需要应用程序或构成持续的安全风险，请考虑永久删除而不是重新激活。
重新激活应用程序
若要使用 Microsoft 图形 API 或 Microsoft Entra 管理中心重新激活应用程序，您至少需要具有 操作的 microsoft.directory/applications/disablement/update 角色或自定义角色。
在其主租户中重新激活应用注册。 如果服务主体的accountEnabled仍为false，则不会启用租户本地登录方式，也不会覆盖 Microsoft 的禁用状态。 如果仅禁用租户本地登录，请改用 恢复租户本地登录。
至少以 云应用程序管理员 身份登录到 Microsoft Entra 管理中心。
浏览到 应用注册。
选择 “已停用的应用程序 ”选项卡，找到要重新激活的已停用应用。
从列表中选择已停用的应用程序。
在应用注册页上，选择 “重新激活 ”按钮。
在选择第二个“重新激活”按钮之前，请查看“重新激活应用注册”窗格中提供的信息。
- 应用将能够再次访问受保护的资源。
- 它将能够获取新的访问令牌。
- 用户将能够登录到应用程序。
确认要重新激活应用后，选择 “重新激活 ”按钮。 重新激活会立即进行，并且将此应用程序的
isDisabled属性设置为false。 通过在“应用注册”页上验证应用状态更改，可以确保应用状态反映更改。
防止非管理员重新激活
在停用应用程序之前，请从应用程序中删除所有所有者。 这可确保只有至少具有 云应用程序管理员 角色或具有操作的 microsoft.directory/applications/disablement/update 自定义角色的用户才能重新激活应用程序。
审核的停用和重新激活
每当应用程序停用或重新激活时，都会有一个Microsoft Entra 审核日志事件，其中包含：
- 服务：核心目录
- 类别：ApplicationManagement
- 活动 （activityDisplayName）：“更新应用程序”
在 Microsoft Entra 管理中心，可以在 “监视”和“运行状况 > 审核”日志下找到这些事件。 选择“更新应用程序”事件时，导航到“审核日志详细信息”窗格中的“修改的属性”选项卡。
你将看到具有旧值和新值的属性名称 isDisabled ，其中“true”已停用，“false”或 null 已激活或重新激活。
相关内容
- 删除企业应用程序 以永久删除
- 为实现租户特定的阻止功能，禁用用户登录
- 使用审核日志监视应用程序使用情况