Az AD Connect - Hybrid Identity

Basic Information

Η ενσωμάτωση μεταξύ του On-premises Active Directory (AD) και του Azure AD διευκολύνεται από το Azure AD Connect, προσφέροντας διάφορες μεθόδους που υποστηρίζουν το Single Sign-on (SSO). Κάθε μέθοδος, ενώ είναι χρήσιμη, παρουσιάζει πιθανά κενά ασφαλείας που θα μπορούσαν να εκμεταλλευτούν για να συμβιβάσουν τα περιβάλλοντα cloud ή on-premises:

• Pass-Through Authentication (PTA):

• Πιθανή συμβιβασμός του πράκτορα στο on-prem AD, επιτρέποντας την επικύρωση των κωδικών πρόσβασης χρηστών για συνδέσεις Azure (on-prem to Cloud).

• Δυνατότητα εγγραφής ενός νέου πράκτορα για την επικύρωση των αυθεντικοποιήσεων σε μια νέα τοποθεσία (Cloud to on-prem).

• Password Hash Sync (PHS):

• Πιθανή εξαγωγή κωδικών πρόσβασης σε καθαρό κείμενο από προνομιούχους χρήστες από το AD, συμπεριλαμβανομένων των διαπιστευτηρίων ενός υψηλά προνομιούχου, αυτόματα παραγόμενου χρήστη AzureAD.

• Federation:

• Κλοπή του ιδιωτικού κλειδιού που χρησιμοποιείται για την υπογραφή SAML, επιτρέποντας την προσποίηση ταυτοτήτων on-prem και cloud.

• Seamless SSO:

• Κλοπή του κωδικού πρόσβασης του χρήστη AZUREADSSOACC, που χρησιμοποιείται για την υπογραφή των ασημένιων εισιτηρίων Kerberos, επιτρέποντας την προσποίηση οποιουδήποτε χρήστη cloud.

• Cloud Kerberos Trust:

• Δυνατότητα αναβάθμισης από Global Admin σε on-prem Domain Admin με την παραποίηση των ονομάτων χρηστών AzureAD και SIDs και την αίτηση TGTs από AzureAD.

• Default Applications:

• Ο συμβιβασμός ενός λογαριασμού Διαχειριστή Εφαρμογής ή του λογαριασμού συγχρονισμού on-prem επιτρέπει την τροποποίηση των ρυθμίσεων καταλόγου, των μελών ομάδας, των λογαριασμών χρηστών, των τοποθεσιών SharePoint και των αρχείων OneDrive.

Για κάθε μέθοδο ενσωμάτωσης, πραγματοποιείται συγχρονισμός χρηστών και δημιουργείται ένας λογαριασμός MSOL_<installationidentifier> στο on-prem AD. Σημαντικό είναι ότι και οι μέθοδοι PHS και PTA διευκολύνουν το Seamless SSO, επιτρέποντας αυτόματη σύνδεση για υπολογιστές Azure AD που έχουν συνδεθεί στο on-prem domain.

Για να επαληθεύσετε την εγκατάσταση του Azure AD Connect, μπορεί να χρησιμοποιηθεί η παρακάτω εντολή PowerShell, χρησιμοποιώντας το module AzureADConnectHealthSync (εγκατεστημένο από προεπιλογή με το Azure AD Connect):

Get-ADSyncConnector