Az AD Connect - Hybrid Identity
基本信息
本地 Active Directory (AD) 与 Azure AD 之间的集成由 Azure AD Connect 促进，提供支持 单点登录 (SSO) 的多种方法。每种方法虽然有用，但都存在潜在的安全漏洞，可能被利用以危害云或本地环境：
透传认证 (PTA)：
本地 AD 上代理的可能被攻破，允许验证用户密码以进行 Azure 连接（本地到云）。
在新位置（云到本地）注册新代理以验证身份的可行性。
密码哈希同步 (PHS)：
可能从 AD 中提取特权用户的明文密码，包括高特权、自动生成的 AzureAD 用户的凭据。
联合身份验证：
窃取用于 SAML 签名的私钥，允许冒充本地和云身份。
无缝 SSO：
窃取
AZUREADSSOACC用户的密码，该密码用于签署 Kerberos 银票，允许冒充任何云用户。
云 Kerberos 信任：
通过操纵 AzureAD 用户名和 SID 并请求 AzureAD 的 TGT，可能从全局管理员升级到本地域管理员。
默认应用程序：
攻破应用程序管理员账户或本地同步账户允许修改目录设置、组成员资格、用户账户、SharePoint 站点和 OneDrive 文件。
对于每种集成方法，都会进行用户同步，并在本地 AD 中创建 MSOL_<installationidentifier> 账户。值得注意的是，PHS 和 PTA 方法都支持 无缝 SSO，使得加入本地域的 Azure AD 计算机能够自动登录。
要验证 Azure AD Connect 的安装，可以使用以下 PowerShell 命令，该命令利用 AzureADConnectHealthSync 模块（默认与 Azure AD Connect 一起安装）：
Last updated
