围绕Microsoft Azure AD AD“应用程序访问”的安全性

Question

我已成功配置qn Azure AD App Registration，从而允许基于client_credentials的OAuth 2.0流正常工作。这允许第三方应用程序访问Microsoft Graph API。该应用程序具有“ Calendar.Read”权限。这意味着该应用程序几乎可以读取任何日历（包括首席执行官的日历）。

我现在正在与安全部门交谈。在Microsoft世界中，可以通过此应用程序权限来锁定API访问的用途是什么？是否有能力执行以下操作：

• 限制可以访问应用程序的IP范围吗？
• 限制可以访问该应用程序的用户？ （但是，在Client_credentials中没有用户上下文）
• 记录通过应用程序发生的流量/活动吗？

我现在唯一想到的是说应用程序上的重定向URL配置意味着，即使应用程序ID和密码被泄露，其他应用程序也无法使用Client_credentials获得访问令牌。

关于可以采取的进一步安全控制措施的任何建议吗？