Az - Dynamic Groups Privesc
기본 정보
동적 그룹은 설정된 규칙이 있는 그룹으로, 규칙에 맞는 모든 사용자 또는 장치가 그룹에 추가됩니다. 사용자 또는 장치의 속성이 변경될 때마다 동적 규칙이 재확인됩니다. 그리고 새 규칙이 생성되면 모든 장치와 사용자가 확인됩니다.
동적 그룹에는 Azure RBAC 역할을 할당할 수 있지만, AzureAD 역할을 동적 그룹에 추가하는 것은 불가능합니다.
이 기능은 Azure AD 프리미엄 P1 라이센스가 필요합니다.
권한 상승
기본적으로 모든 사용자가 Azure AD에서 게스트를 초대할 수 있으므로, 동적 그룹의 규칙이 속성에 따라 사용자에게 권한을 부여하는 경우, 이러한 속성을 가진 게스트를 생성하여 권한을 상승시킬 수 있습니다. 게스트는 자신의 프로필을 관리하고 이러한 속성을 변경할 수도 있습니다.
동적 멤버십을 허용하는 그룹 가져오기: Get-AzureADMSGroup | ?{$_.GroupTypes -eq 'DynamicMembership'}
예시
규칙 예시:
(user.otherMails -any (_ -contains "tester")) -and (user.userType -eq "guest")
규칙 설명: 'tester' 문자열이 포함된 보조 이메일을 가진 모든 게스트 사용자가 그룹에 추가됩니다.
Azure Active Directory -> 사용자로 이동하고
레거시 사용자 목록 경험으로 돌아가시겠습니까? 미리보기를 종료하려면 여기를 클릭하세요
를 클릭합니다.**
새 게스트 사용자
**를 클릭하고 이메일을 초대합니다.초대가 전송되면 사용자 프로필이 Azure AD에 추가됩니다. 사용자의 프로필을 열고 초대 수락 아래 (관리) 클릭합니다.
**
초대 재전송?
**를 예로 변경하면 초대 URL을 받게 됩니다:
URL을 복사하고 열기, 초대된 사용자로 로그인하고 초대를 수락합니다.
사용자로 CLI에 로그인하고 보조 이메일을 설정합니다.
References
Last updated