【Q&Aコーナー】クライアントシークレットの更新時期を把握する

# メール送信者/受信者
$upn = "aaa@aaa.com"
#有効期間切れまでの残り日数
$thresholdDays = 30
$nowUtc = (Get-Date).ToUniversalTime()

# サインイン
Connect-MgGraph -Scopes "Application.Read.All","Mail.Send"

# アプリの情報を取得
$apps = Get-MgApplication -All -Property 'Id,DisplayName,PasswordCredentials'

# 送信者（委任）を取得
$me = Get-MgUser -UserId $upn
$to = @{ EmailAddress = @{ Address = $upn } }

foreach ($app in $apps) {
    # パスワード資格情報が存在するアプリのみ処理
    if ($app.PasswordCredentials -and $app.PasswordCredentials.Count -gt 0) {

        foreach ($pc in $app.PasswordCredentials) {
            # endDateTime が無いものはスキップ
            if (-not $pc.endDateTime) { continue }

            $end = [DateTime]$pc.endDateTime
            $daysLeft = [math]::Floor(($end.ToUniversalTime() - $nowUtc).TotalDays)

            # 期限がしきい値以内 & まだ未期限切れ
            if ($daysLeft -le $thresholdDays -and $daysLeft -ge 0) {

                # 本文（1シークレットにつき1通送信）
                $bodyText = @"
以下のクライアントシークレットの有効期限が $thresholdDays 日以内です。

- アプリ名: $($app.DisplayName)
  ObjectId: $($app.Id)
  SecretDisplayName: $($pc.displayName)
  KeyId: $($pc.keyId)
  Expires(UTC): $($end.ToString('yyyy-MM-dd HH:mm:ss'))
  DaysLeft: $daysLeft

-- 自動通知
"@

                try {
                    Send-MgUserMail -UserId $me.Id -Message @{
                        Subject = "[Alert] クライアントシークレット期限間近 ($($app.DisplayName))"
                        Body    = @{ ContentType = 'Text'; Content = $bodyText }
                        ToRecipients = @($to)
                    } -SaveToSentItems -ErrorAction Stop

                    Write-Host "Sent: $($app.DisplayName) / KeyId: $($pc.keyId) ($daysLeft days left)"
                }
                catch {
                    Write-Warning "送信失敗: $($app.DisplayName) / KeyId: $($pc.keyId) -> $($_.Exception.Message)"
                }
            }
        }
    }
}