Azure订阅ID,AAD租户ID和AAD App客户端ID是否被视为secret/PII？

Question

我想在遥测中记录以下内容以用于诊断和使用目的:

• Azure订阅ID
• AAD租户ID
• AAD App客户端ID

我应该将它们视为秘密/ PII并对它们进行哈希/加密吗？

(不言而喻,我不会以任何形式或形式保留客户的秘密)

Answer 1

最终,您应根据合规/隐私/安全角度,根据公司内部或第三方的官方和合规/隐私/安全审核和认证确定要记录的内容和方式.

除了免责声明:

• 租户ID和App Client ID通常不被视为PII或秘密.
  • 不是PII,因为他们自己不会告诉你用户是谁.
  • 不是秘密,因为它们很容易获得.任何试图登录您的应用程序的人都将接触到这些内容,因为它们包含在授权请求中.
• Azure订阅ID通常不被视为PII,但根据您的敏感度,可视为秘密
  • 不是PII,因为它本身并不告诉你用户是谁.
  • 可能是一个秘密,因为它不容易公开给所有人.可以被认为不是秘密,因为如果没有来自授权用户或应用程序的令牌,就无法使用它.

请注意,一些公司和隐私审查通常将这3个数据点视为组织可识别信息(OII),有时还有处理这些信息的政策(尽管不那么严格).