Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Grupos dinâmicos são grupos que têm um conjunto de regras configuradas e todos os usuários ou dispositivos que correspondem às regras são adicionados ao grupo. Sempre que um atributo de usuário ou dispositivo é alterado, as regras dinâmicas são reverificadas. E quando uma nova regra é criada, todos os dispositivos e usuários são verificados.
Grupos dinâmicos podem ter funções Azure RBAC atribuídas a eles, mas não é possível adicionar funções AzureAD a grupos dinâmicos.
Esse recurso requer licença Azure AD premium P1.
Observe que, por padrão, qualquer usuário pode convidar convidados no Azure AD, então, se uma regra de grupo dinâmico concede permissões a usuários com base em atributos que podem ser definidos em um novo convidado, é possível criar um convidado com esses atributos e escalar privilégios. Também é possível para um convidado gerenciar seu próprio perfil e alterar esses atributos.
Obtenha grupos que permitem associação dinâmica: az ad group list --query "[?contains(groupTypes, 'DynamicMembership')]" --output table
Exemplo de regra: (user.otherMails -any (_ -contains "security")) -and (user.userType -eq "guest")
Descrição da regra: Qualquer usuário convidado com um e-mail secundário contendo a string 'security' será adicionado ao grupo
Para o e-mail do usuário convidado, aceite o convite e verifique as configurações atuais de aquele usuário em https://entra.microsoft.com/#view/Microsoft_AAD_IAM/TenantOverview.ReactView. Infelizmente, a página não permite modificar os valores dos atributos, então precisamos usar a API:
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
