Az AD Connect - Hybrid Identity
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
オンプレミスのActive Directory (AD) と Azure AD の統合は、Azure AD Connect によって促進され、シングルサインオン (SSO) をサポートするさまざまな方法が提供されています。各方法は有用ですが、クラウドまたはオンプレミス環境を危険にさらす可能性のあるセキュリティ脆弱性を提示します：
パススルー認証 (PTA):
オンプレミスADのエージェントが侵害される可能性があり、Azure接続のためのユーザーパスワードの検証が可能になります（オンプレミスからクラウドへ）。
新しい場所（クラウドからオンプレミス）で認証を検証するために新しいエージェントを登録する可能性。
パスワードハッシュ同期 (PHS):
高特権の自動生成されたAzureADユーザーの資格情報を含む、特権ユーザーのクリアテキストパスワードの抽出の可能性。
フェデレーション:
SAML署名に使用される秘密鍵の盗難により、オンプレミスおよびクラウドのアイデンティティのなりすましが可能になります。
シームレスSSO:
Kerberosシルバーチケットの署名に使用される AZUREADSSOACC ユーザーのパスワードの盗難により、任意のクラウドユーザーのなりすましが可能になります。
クラウドKerberos信頼:
AzureADユーザー名とSIDを操作し、AzureADからTGTを要求することにより、グローバル管理者からオンプレミスドメイン管理者への昇格の可能性。
デフォルトアプリケーション:
アプリケーション管理者アカウントまたはオンプレミスの同期アカウントが侵害されると、ディレクトリ設定、グループメンバーシップ、ユーザーアカウント、SharePointサイト、およびOneDriveファイルの変更が可能になります。
各統合方法に対して、ユーザーの同期が行われ、オンプレミスADに MSOL_<installationidentifier> アカウントが作成されます。特に、PHS と PTA の両方の方法は シームレスSSO を促進し、オンプレミスドメインに参加しているAzure ADコンピューターの自動サインインを可能にします。
Azure AD Connect のインストールを確認するには、以下のPowerShellコマンドを使用できます。このコマンドは、AzureADConnectHealthSync モジュール（Azure AD Connectとともにデフォルトでインストールされます）を利用します：
AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)
