Az AD Connect - Hybrid Identity
基本信息
本地 Active Directory (AD) 与 Azure AD 之间的集成由 Azure AD Connect 促进,提供支持 单点登录 (SSO) 的多种方法。每种方法虽然有用,但都存在潜在的安全漏洞,可能被利用以危害云或本地环境:
透传认证 (PTA):
本地 AD 上代理的可能被攻破,允许验证用户密码以进行 Azure 连接(本地到云)。
在新位置(云到本地)注册新代理以验证身份的可行性。
密码哈希同步 (PHS):
可能从 AD 中提取特权用户的明文密码,包括高特权、自动生成的 AzureAD 用户的凭据。
联合身份验证:
窃取用于 SAML 签名的私钥,允许冒充本地和云身份。
无缝 SSO:
窃取
AZUREADSSOACC
用户的密码,该密码用于签署 Kerberos 银票,允许冒充任何云用户。
云 Kerberos 信任:
通过操纵 AzureAD 用户名和 SID 并请求 AzureAD 的 TGT,可能从全局管理员升级到本地域管理员。
默认应用程序:
攻破应用程序管理员账户或本地同步账户允许修改目录设置、组成员资格、用户账户、SharePoint 站点和 OneDrive 文件。
对于每种集成方法,都会进行用户同步,并在本地 AD 中创建 MSOL_<installationidentifier>
账户。值得注意的是,PHS 和 PTA 方法都支持 无缝 SSO,使得加入本地域的 Azure AD 计算机能够自动登录。
要验证 Azure AD Connect 的安装,可以使用以下 PowerShell 命令,该命令利用 AzureADConnectHealthSync 模块(默认与 Azure AD Connect 一起安装):
Last updated