Az AD Connect - Hybrid Identity
Basic Information
ऑन-प्रिमाइसेस एक्टिव डायरेक्टरी (AD) और Azure AD के बीच एकीकरण Azure AD Connect द्वारा किया जाता है, जो सिंगल साइन-ऑन (SSO) का समर्थन करने वाले विभिन्न तरीकों की पेशकश करता है। प्रत्येक विधि, जबकि उपयोगी है, संभावित सुरक्षा कमजोरियों को प्रस्तुत करती है जो क्लाउड या ऑन-प्रिमाइसेस वातावरण को समझौता करने के लिए शोषित की जा सकती हैं:
पास-थ्रू ऑथेंटिकेशन (PTA):
ऑन-प्रिम AD पर एजेंट का संभावित समझौता, Azure कनेक्शनों के लिए उपयोगकर्ता पासवर्ड की मान्यता की अनुमति देता है (ऑन-प्रिम से क्लाउड)।
एक नए स्थान (क्लाउड से ऑन-प्रिम) में प्रमाणीकरण मान्य करने के लिए एक नए एजेंट को पंजीकृत करने की संभावना।
पासवर्ड हैश सिंक (PHS):
AD से विशेषाधिकार प्राप्त उपयोगकर्ताओं के स्पष्ट-पाठ पासवर्ड का संभावित निष्कर्षण, जिसमें एक उच्च-विशेषाधिकार प्राप्त, स्व-निर्मित AzureAD उपयोगकर्ता के क्रेडेंशियल शामिल हैं।
फेडरेशन:
SAML साइनिंग के लिए उपयोग की जाने वाली निजी कुंजी की चोरी, ऑन-प्रिम और क्लाउड पहचान की नकल करने की अनुमति देती है।
सिमलेस SSO:
AZUREADSSOACCउपयोगकर्ता का पासवर्ड चुराना, जिसका उपयोग कर्बेरोस सिल्वर टिकट पर हस्ताक्षर करने के लिए किया जाता है, किसी भी क्लाउड उपयोगकर्ता की नकल करने की अनुमति देता है।
क्लाउड कर्बेरोस ट्रस्ट:
AzureAD उपयोगकर्ता नाम और SIDs में हेरफेर करके ग्लोबल एडमिन से ऑन-प्रिम डोमेन एडमिन में बढ़ने की संभावना और AzureAD से TGTs का अनुरोध करना।
डिफ़ॉल्ट एप्लिकेशन:
एक एप्लिकेशन प्रशासक खाता या ऑन-प्रिमिस सिंक खाता का समझौता करना निर्देशिका सेटिंग्स, समूह सदस्यता, उपयोगकर्ता खातों, SharePoint साइटों और OneDrive फ़ाइलों में संशोधन की अनुमति देता है।
प्रत्येक एकीकरण विधि के लिए, उपयोगकर्ता समन्वय किया जाता है, और ऑन-प्रिम AD में एक MSOL_<installationidentifier> खाता बनाया जाता है। विशेष रूप से, दोनों PHS और PTA विधियाँ सिमलेस SSO की सुविधा प्रदान करती हैं, जो ऑन-प्रिम डोमेन से जुड़े Azure AD कंप्यूटरों के लिए स्वचालित साइन-इन सक्षम करती हैं।
Azure AD Connect की स्थापना की पुष्टि करने के लिए, निम्नलिखित PowerShell कमांड, जो AzureADConnectHealthSync मॉड्यूल का उपयोग करता है (जो Azure AD Connect के साथ डिफ़ॉल्ट रूप से स्थापित होता है), का उपयोग किया जा सकता है:
Last updated
