Last updated
Jifunze & fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze & fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Inaweza kuwa na makundi mengine ya usimamizi au usajili.
Hii inaruhusu kutekeleza udhibiti wa utawala kama RBAC na Sera za Azure mara moja kwenye kiwango cha kundi la usimamizi na kuwa na urithi na usajili wote katika kundi hilo.
Makundi 10,000 ya usimamizi yanaweza kuungwa mkono katika directory moja.
Mti wa kundi la usimamizi unaweza kuunga mkono hadi viwango sita vya kina. Kiwango hiki hakijumuishi kiwango cha mzizi au kiwango cha usajili.
Kila kundi la usimamizi na usajili linaweza kuunga mkono mzazi mmoja tu.
Hata kama makundi kadhaa ya usimamizi yanaweza kuundwa kuna kundi moja tu la usimamizi mzizi.
Kundi la usimamizi mzizi linashikilia makundi mengine ya usimamizi na usajili yote na halitaweza kuhamishwa au kufutwa.
Usajili wote ndani ya kundi moja la usimamizi lazima uamini tenant ya Entra ID sawa.
Ni konteina nyingine ya kimantiki ambapo rasilimali (VMs, DBs…) zinaweza kuendeshwa na zitalipiwa.
Mzazi wake daima ni kundi la usimamizi (na inaweza kuwa kundi la usimamizi mzizi) kwani usajili hauwezi kuwa na usajili mwingine.
Ina aminika tu kwenye directory moja ya Entra ID
Ruhusa zilizotumika kwenye kiwango cha usajili (au yoyote ya wazazi wake) zinarithiwa kwa rasilimali zote ndani ya usajili
Kutoka kwenye nyaraka: Kundi la rasilimali ni konteina inayoshikilia rasilimali zinazohusiana kwa suluhisho la Azure. Kundi la rasilimali linaweza kujumuisha rasilimali zote za suluhisho, au zile tu rasilimali ambazo unataka kusimamia kama kundi. Kwa ujumla, ongeza rasilimali zinazoshiriki mzunguko sawa kwenye kundi moja la rasilimali ili uweze kupeleka, kusasisha, na kufuta kwa urahisi kama kundi.
Rasilimali zote lazima ziwe ndani ya kundi la rasilimali na zinaweza kumilikiwa tu na kundi moja na ikiwa kundi la rasilimali litafutwa, rasilimali zote ndani yake pia zitafutwa.
Kila rasilimali katika Azure ina Vitambulisho vya Rasilimali za Azure vinavyoiweka.
Muundo wa Vitambulisho vya Rasilimali za Azure ni kama ifuatavyo:
/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}
Kwa mashine ya virtual inayoitwa myVM katika kundi la rasilimali myResourceGroup chini ya ID ya usajili 12345678-1234-1234-1234-123456789012, Vitambulisho vya Rasilimali za Azure vinaonekana kama ifuatavyo:
/subscriptions/12345678-1234-1234-1234-123456789012/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM
Azure ni jukwaa la kumbukumbu la kompyuta la Microsoft, linalotoa huduma mbalimbali, ikiwa ni pamoja na mashine za virtual, hifadhidata, akili bandia, na uhifadhi. Inafanya kazi kama msingi wa kuendesha na kusimamia programu, kujenga miundombinu inayoweza kupanuka, na kuendesha kazi za kisasa katika wingu. Azure inatoa zana kwa wabunifu na wataalamu wa IT kuunda, kupeleka, na kusimamia programu na huduma kwa urahisi, ikihudumia mahitaji mbalimbali kutoka kwa biashara za kuanzishwa hadi makampuni makubwa.
Entra ID ni huduma ya utambulisho na usimamizi wa ufikiaji inayotegemea wingu iliyoundwa kushughulikia uthibitishaji, idhini, na udhibiti wa ufikiaji wa watumiaji. Inatoa ufikiaji salama kwa huduma za Microsoft kama Office 365, Azure, na programu nyingi za SaaS za wahusika wengine. Ikiwa na vipengele kama uthibitishaji wa moja kwa moja (SSO), uthibitishaji wa hatua nyingi (MFA), na sera za ufikiaji wa masharti miongoni mwa zingine.
Huduma za Kikoa za Entra zinaongeza uwezo wa Entra ID kwa kutoa huduma za kikoa zinazoweza kusimamiwa zinazofaa na mazingira ya jadi ya Windows Active Directory. Inasaidia protokali za zamani kama LDAP, Kerberos, na NTLM, ikiruhusu mashirika kuhamasisha au kuendesha programu za zamani katika wingu bila kupeleka wakala wa kikoa wa ndani. Huduma hii pia inasaidia Sera za Kundi kwa usimamizi wa kati, na kuifanya iweze kutumika katika hali ambapo kazi za zamani au zinazotegemea AD zinahitaji kuishi pamoja na mazingira ya kisasa ya wingu.
Watumiaji wapya
Onyesha jina la barua pepe na kikoa kutoka kwa tenant iliyochaguliwa
Onyesha jina la kuonyesha
Onyesha nenosiri
Onyesha mali (jina la kwanza, cheo cha kazi, taarifa za mawasiliano…)
Aina ya mtumiaji wa kawaida ni “mwanachama”
Watumiaji wa nje
Onyesha barua pepe ya kuwalika na jina la kuonyesha (inaweza kuwa barua pepe isiyo ya Microsoft)
Onyesha mali
Aina ya mtumiaji wa kawaida ni “Mgeni”
Unaweza kuangalia katika https://learn.microsoft.com/en-us/entra/fundamentals/users-default-permissions lakini kati ya vitendo vingine mwanachama ataweza:
Kusoma watumiaji wote, Makundi, Programu, Vifaa, Majukumu, Usajili, na mali zao za umma
Kualika Wageni (inaweza kuzuiwa)
Kuunda makundi ya Usalama
Kusoma uanachama wa Kundi usiofichika
Kuongeza wageni kwenye makundi yaliyomilikiwa
Kuunda programu mpya (inaweza kuzuiwa)
Kuongeza vifaa hadi 50 kwenye Azure (inaweza kuzuiwa)
Kumbuka kwamba ili kuhesabu rasilimali za Azure mtumiaji anahitaji idhini ya wazi ya ruhusa.
Wanachama (nyaraka)
Jisajili Programu: Kawaida Ndio
Zuiya watumiaji wasio wasimamizi kuunda tenants: Kawaida Hapana
Kuunda makundi ya usalama: Kawaida Ndio
Zuiya ufikiaji wa lango la usimamizi la Microsoft Entra: Kawaida Hapana
Hii haisimamii ufikiaji wa API kwa lango (tu wavuti)
Ruhusu watumiaji kuunganisha akaunti za kazi au shule na LinkedIn: Kawaida Ndio
Onyesha kuweka mtumiaji alisajiliwa: Kawaida Ndio
Zuiya watumiaji kutoka kupona funguo za BitLocker kwa vifaa walivyomiliki: Kawaida Hapana (angalia kwenye Mipangilio ya Kifaa)
Kusoma watumiaji wengine: Kawaida Ndio (kupitia Microsoft Graph)
Wageni
Vikwazo vya ufikiaji wa mtumiaji mgeni
Wageni wana ufikiaji sawa na wanachama wanatoa ruhusa zote za mtumiaji wa mwanachama kwa wageni kwa kawaida.
Wageni wana ufikiaji mdogo kwa mali na uanachama wa vitu vya directory (kawaida) wanazuiya ufikiaji wa wageni kwa wasifu wao wenyewe wa mtumiaji kwa kawaida. Ufikiaji wa watumiaji wengine na taarifa za kundi haukubaliki tena.
Ufikiaji wa mtumiaji mgeni unazuiwa kwa mali na uanachama wa vitu vya directory vyao wenyewe ni wa kikomo zaidi.
Wageni wanaweza kuwalika
Mtu yeyote katika shirika anaweza kuwalika wageni ikiwa ni pamoja na wageni na wasimamizi wasio wa kawaida (wa kujumuisha zaidi) - Kawaida
Watumiaji wa wanachama na watumiaji waliotolewa majukumu maalum ya usimamizi wanaweza kuwalika wageni ikiwa ni pamoja na wageni wenye ruhusa za mwanachama
Watumiaji pekee waliotolewa majukumu maalum ya usimamizi wanaweza kuwalika wageni
Hakuna mtu katika shirika anaweza kuwalika wageni ikiwa ni pamoja na wasimamizi (wa kikomo zaidi)
Mtumiaji wa nje aondoke: Kawaida Kweli
Ruhusu watumiaji wa nje kuondoka katika shirika
Hata kama zimezuiwa kwa kawaida, watumiaji (wanachama na wageni) wenye ruhusa zilizotolewa wanaweza kufanya vitendo vya awali.
Kuna aina 2 za makundi:
Usalama: Aina hii ya kundi inatumika kutoa wanachama ufikiaji wa programu, rasilimali na kupeana leseni. Watumiaji, vifaa, wakala wa huduma na makundi mengine wanaweza kuwa wanachama.
Microsoft 365: Aina hii ya kundi inatumika kwa ushirikiano, ikitoa wanachama ufikiaji wa sanduku la barua la pamoja, kalenda, faili, tovuti ya SharePoint, na kadhalika. Wanachama wa kundi wanaweza kuwa watumiaji pekee.
Hii itakuwa na anwani ya barua pepe yenye kikoa cha tenant ya EntraID.
Kuna aina 2 za uanachama:
Iliyotolewa: Ruhusu kuongeza wanachama maalum kwa mkono kwenye kundi.
Uanachama wa Kijamii: Inasimamia kiotomatiki uanachama kwa kutumia sheria, ikisasisha ujumuishaji wa kundi wakati sifa za wanachama zinabadilika.
Wakala wa Huduma ni utambulisho ulioanzishwa kwa matumizi na programu, huduma zinazohudumiwa, na zana za kiotomatiki kufikia rasilimali za Azure. Ufikiaji huu umepunguzika na majukumu yaliyotolewa kwa wakala wa huduma, kukupa udhibiti juu ya rasilimali zipi zinaweza kufikiwa na kwa kiwango gani. Kwa sababu za usalama, kila wakati inashauriwa kutumia wakala wa huduma na zana za kiotomatiki badala ya kuruhusu kuingia kwa utambulisho wa mtumiaji.
Inawezekana kuingia moja kwa moja kama wakala wa huduma kwa kuunda siri (nenosiri), cheti, au kutoa ufikiaji wa shirikisho kwa majukwaa ya wahusika wengine (kwa mfano, Github Actions) juu yake.
Ikiwa unachagua uthibitishaji wa nenosiri (kwa kawaida), hifadhi nenosiri lililotengenezwa kwani huwezi kulifikia tena.
Ikiwa unachagua uthibitishaji wa cheti, hakikisha programu itakuwa na ufikiaji wa funguo za faragha.
Usajili wa Programu ni usanidi unaoruhusu programu kuungana na Entra ID na kufanya vitendo.
Kitambulisho cha Programu (Kitambulisho cha Mteja): Kitambulisho cha kipekee kwa programu yako katika Azure AD.
URIs za Kurudisha: URL ambapo Azure AD inatuma majibu ya uthibitishaji.
Vyeti, Siri & Ruhusa za Shirikisho: Inawezekana kuunda siri au cheti kuingia kama wakala wa huduma wa programu, au kutoa ufikiaji wa shirikisho kwake (kwa mfano, Github Actions).
Ikiwa cheti au siri imeundwa, inawezekana kwa mtu kuingia kama wakala wa huduma kwa kutumia zana za CLI kwa kujua kitambulisho cha programu, siri au cheti na tenant (kikoa au ID).
Ruhusa za API: Inabainisha rasilimali au API zipi programu inaweza kufikia.
Mipangilio ya Uthibitishaji: Inafafanua mchakato wa uthibitishaji unaounga mkono programu (kwa mfano, OAuth2, OpenID Connect).
Wakala wa Huduma: Wakala wa huduma huundwa wakati programu inaundwa (ikiwa inafanywa kutoka kwenye konsole ya wavuti) au wakati inasakinishwa katika tenant mpya.
Wakala wa huduma utapata ruhusa zote zilizohitajika alizopangwa nazo.
Idhini ya mtumiaji kwa programu
Usiruhusu idhini ya mtumiaji
Msimamizi atahitajika kwa programu zote.
Ruhusu idhini ya mtumiaji kwa programu kutoka kwa wachapishaji waliothibitishwa, kwa ruhusa zilizochaguliwa (Inashauriwa)
Watumiaji wote wanaweza kutoa idhini kwa ruhusa zinazohesabiwa kama "athari ndogo", kwa programu kutoka kwa wachapishaji waliothibitishwa au programu zilizojisajili katika shirika hili.
Kawaida ruhusa za athari ndogo (ingawa unahitaji kukubali kuziongeza kama ndogo):
User.Read - ingia na kusoma wasifu wa mtumiaji
offline_access - kudumisha ufikiaji wa data ambazo watumiaji wamepewa ufikiaji
openid - ingiza watumiaji
profile - ona wasifu wa msingi wa mtumiaji
email - ona anwani ya barua pepe ya mtumiaji
Ruhusu idhini ya mtumiaji kwa programu (Kawaida)
Watumiaji wote wanaweza kutoa idhini kwa programu yoyote kufikia data za shirika.
Maombi ya idhini ya msimamizi: Kawaida Hapana
Watumiaji wanaweza kuomba idhini ya msimamizi kwa programu ambazo hawawezi kutoa idhini
Ikiwa Ndio: Inawezekana kuonyesha Watumiaji, Makundi na Majukumu ambayo yanaweza kutoa maombi ya idhini
Sanidi pia ikiwa watumiaji watapokea arifa za barua pepe na ukumbusho wa muda wa mwisho
Utambulisho wa kusimamiwa katika Azure Active Directory unatoa suluhisho la kusimamia kiotomatiki utambulisho wa programu. Utambulisho huu unatumika na programu kwa lengo la kuunganisha na rasilimali zinazofaa na uthibitishaji wa Azure Active Directory (Azure AD). Hii inaruhusu kuondoa hitaji la kuweka akiba ya akauti za wingu katika msimbo kwani programu itakuwa na uwezo wa kuwasiliana na huduma ya metadata ili kupata token halali ya kufanya vitendo kama utambulisho wa kusimamiwa ulioonyeshwa katika Azure.
Kuna aina mbili za utambulisho wa kusimamiwa:
Iliyotolewa na mfumo. Huduma zingine za Azure zinakuruhusu kuwezesha utambulisho wa kusimamiwa moja kwa moja kwenye mfano wa huduma. Unapowezesha utambulisho wa kusimamiwa wa mfumo, wakala wa huduma unaanzishwa katika tenant ya Entra ID inayotegemewa na usajili ambapo rasilimali iko. Wakati rasilimali inafutwa, Azure kiotomatiki inafuta utambulisho kwa ajili yako.
Iliyotolewa na mtumiaji. Pia inawezekana kwa watumiaji kuunda utambulisho wa kusimamiwa. Hizi zinaanzishwa ndani ya kundi la rasilimali ndani ya usajili na wakala wa huduma utaanzishwa katika EntraID inayotegemewa na usajili. Kisha, unaweza kutoa utambulisho wa kusimamiwa kwa mfano mmoja au zaidi ya huduma ya Azure (rasilimali nyingi). Kwa utambulisho wa kusimamiwa wa mtumiaji, utambulisho unasimamiwa tofauti na rasilimali zinazoutumia.
Utambulisho wa Kusimamiwa hauzali akiba za milele (kama nenosiri au vyeti) kufikia kama wakala wa huduma ulioambatanishwa nayo.
Ni meza tu katika Azure kuchuja wakala wa huduma na kuangalia programu ambazo zimepewa.
Sio aina nyingine ya "programu", hakuna kitu katika Azure ambacho ni "Programu ya Kijamii", ni tu muundo wa kuangalia Wakala wa huduma, Usajili wa programu na utambulisho wa kusimamiwa.
Vitengo vya utawala vinaruhusu kutoa ruhusa kutoka kwa jukumu juu ya sehemu maalum ya shirika.
Mfano:
Hali: Kampuni inataka wasimamizi wa IT wa kikanda wasimamie tu watumiaji katika eneo lao.
Utekelezaji:
Unda Vitengo vya Utawala kwa kila eneo (kwa mfano, "Kaskazini mwa Amerika AU", "Ulaya AU").
Jaza AUs na watumiaji kutoka maeneo yao husika.
AUs zinaweza kuhifadhi watumiaji, makundi, au vifaa
AUs zinasaidia uanachama wa kijamii
AUs haziwezi kuwa na AUs
Peana Majukumu ya Usimamizi:
Peana jukumu la "Msimamizi wa Watumiaji" kwa wafanyakazi wa IT wa kikanda, lililowekwa kwenye AU ya eneo lao.
Matokeo: Wasimamizi wa IT wa kikanda wanaweza kusimamia akaunti za watumiaji ndani ya eneo lao bila kuathiri maeneo mengine.
Ili kusimamia Entra ID kuna majukumu yaliyojengwa ndani ambayo yanaweza kutolewa kwa wakala wa Entra ID kusimamia Entra ID
Angalia majukumu katika https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference
Jukumu lenye mamlaka zaidi ni Msimamizi wa Ulimwengu
Katika Maelezo ya jukumu inawezekana kuona ruhusa zake za kina
Majukumu yanatolewa kwa wakala kwenye kasi: wakala -[ANA JUKUMU]->(kasi)
Majukumu yaliyotolewa kwa makundi yanarithiwa na wanachama wote wa kundi.
Kulingana na kiwango ambacho jukumu lilitolewa, jukumu linaweza kurithiwa kwa rasilimali nyingine ndani ya kontena la kiwango. Kwa mfano, ikiwa mtumiaji A ana jukumu kwenye usajili, atakuwa na jukumu hilo kwenye makundi yote ya rasilimali ndani ya usajili na kwenye rasilimali zote ndani ya kundi la rasilimali.
Mmiliki |
| Aina zote za rasilimali |
Mchangiaji |
| Aina zote za rasilimali |
Msomaji | • Ona rasilimali zote | Aina zote za rasilimali |
Msimamizi wa Ufikiaji wa Watumiaji |
| Aina zote za rasilimali |
Kutoka kwenye nyaraka: Udhibiti wa ufikiaji wa Azure (Azure RBAC) ina majukumu kadhaa ya Azure yaliyojengwa ndani ambayo unaweza kutoa kwa watumiaji, makundi, wakala wa huduma, na utambulisho wa kusimamiwa. Uteuzi wa majukumu ndiyo njia unayodhibiti ufikiaji wa rasilimali za Azure. Ikiwa majukumu yaliyojengwa ndani hayakidhi mahitaji maalum ya shirika lako, unaweza kuunda majukumu ya kawaida ya Azure.
Majukumu Yaliyojengwa Ndani yanatumika tu kwa rasilimali ambazo zimekusudiwa, kwa mfano angalia mifano hii 2 ya Majukumu Yaliyojengwa Ndani juu ya rasilimali za Kumbukumbu:
Inatoa ruhusa kwa vault ya nakala kufanya nakala ya disk. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 | |
Ona Mashine za Virtual kwenye lango na kuingia kama mtumiaji wa kawaida. | fb879df8-f326-4884-b1cf-06f3ad86be52 |
Majukumu haya yanaweza pia kutolewa juu ya kontena za mantiki (kama vile makundi ya usimamizi, usajili na makundi ya rasilimali) na wakala walioathiriwa watakuwa nao juu ya rasilimali ndani ya kontena hizo.
Pata hapa orodha ya majukumu yote ya Azure yaliyojengwa ndani.
Pata hapa orodha ya majukumu yote ya Entra ID yaliyojengwa ndani.
Pia inawezekana kuunda majukumu ya kawaida
Yanaanzishwa ndani ya kiwango, ingawa jukumu linaweza kuwa katika viwango kadhaa (makundi ya usimamizi, usajili na makundi ya rasilimali)
Inawezekana kusanidi ruhusa zote za kina ambazo jukumu la kawaida litakuwa nazo
Inawezekana kutengwa ruhusa
Wakala mwenye ruhusa iliyotengwa hataweza kuitumia hata kama ruhusa hiyo inatolewa mahali pengine
Inawezekana kutumia wildcards
Muundo unaotumika ni JSON
actions ni kwa kudhibiti vitendo juu ya rasilimali
dataActions ni ruhusa juu ya data ndani ya kitu
Mfano wa ruhusa JSON kwa jukumu la kawaida:
Ili principal awe na ufikiaji wa rasilimali anahitaji jukumu lililo wazi kumwagiwa (kwa namna yoyote) linalompa ruhusa hiyo.
Jukumu la wazi la kukataa linapewa kipaumbele juu ya jukumu linalotoa ruhusa.
Global Administrator ni jukumu kutoka Entra ID linalotoa udhibiti kamili juu ya mpangilio wa Entra ID. Hata hivyo, halitoi ruhusa yoyote juu ya rasilimali za Azure kwa msingi.
Watumiaji wenye jukumu la Global Administrator wana uwezo wa 'kuinua' hadi Jukumu la Msimamizi wa Ufikiaji wa Mtumiaji wa Azure katika Kundi la Usimamizi wa Mizizi. Hivyo, Wasimamizi wa Global wanaweza kusimamia ufikiaji katika mikataba yote ya Azure na makundi ya usimamizi. Kuinua hii inaweza kufanywa mwishoni mwa ukurasa: https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/Properties
Azure Policies ni sheria zinazosaidia mashirika kuhakikisha rasilimali zao zinakidhi viwango maalum na mahitaji ya kufuata. Zinakuwezesha kulazimisha au kukagua mipangilio kwenye rasilimali za Azure. Kwa mfano, unaweza kuzuia uundaji wa mashine za virtual katika eneo lisiloidhinishwa au kuhakikisha kwamba rasilimali zote zina lebo maalum za kufuatilia.
Azure Policies ni za awali: zinaweza kuzuia rasilimali zisizofuata sheria zisizoundwa au kubadilishwa. Pia ni za majibu, zikikuruhusu kupata na kurekebisha rasilimali zisizofuata sheria zilizopo.
Policy Definition: Sheria, iliyoandikwa kwa JSON, inayobainisha kile kinachoruhusiwa au kinachohitajika.
Policy Assignment: Utumiaji wa sera kwa kiwango maalum (mfano, usajili, kundi la rasilimali).
Initiatives: Mkusanyiko wa sera zilizopangwa pamoja kwa ajili ya utekelezaji mpana.
Effect: Inabainisha kinachotokea wakati sera inapoanzishwa (mfano, "Deny," "Audit," au "Append").
Mifano kadhaa:
Kuhakikisha Ufuataji wa Mikoa Maalum ya Azure: Sera hii inahakikisha kwamba rasilimali zote zinapelekwa katika mikoa maalum ya Azure. Kwa mfano, kampuni inaweza kutaka kuhakikisha kwamba data yake yote inahifadhiwa barani Ulaya kwa ajili ya ufuataji wa GDPR.
Kulazimisha Viwango vya Ujumuishaji: Sera zinaweza kulazimisha kanuni za majina kwa rasilimali za Azure. Hii inasaidia katika kuandaa na kutambua kwa urahisi rasilimali kulingana na majina yao, ambayo ni muhimu katika mazingira makubwa.
Kuzuia Aina Fulani za Rasilimali: Sera hii inaweza kuzuia uundaji wa aina fulani za rasilimali. Kwa mfano, sera inaweza kuwekwa kuzuia uundaji wa aina za rasilimali zenye gharama kubwa, kama vile ukubwa fulani wa VM, ili kudhibiti gharama.
Kulazimisha Sera za Uwekaji Lebo: Lebo ni jozi za funguo-thamani zinazohusishwa na rasilimali za Azure zinazotumika kwa usimamizi wa rasilimali. Sera zinaweza kulazimisha kwamba lebo fulani lazima ziwepo, au ziwe na thamani maalum, kwa rasilimali zote. Hii ni muhimu kwa kufuatilia gharama, umiliki, au upangaji wa rasilimali.
Kuzuia Ufikiaji wa Umma kwa Rasilimali: Sera zinaweza kulazimisha kwamba rasilimali fulani, kama akaunti za hifadhi au hifadhidata, hazina maeneo ya umma, kuhakikisha kwamba zinapatikana tu ndani ya mtandao wa shirika.
Kuweka Mipangilio ya Usalama Kiotomatiki: Sera zinaweza kutumika kuweka mipangilio ya usalama kiotomatiki kwa rasilimali, kama vile kuweka kundi maalum la usalama wa mtandao kwa VMs zote au kuhakikisha kwamba akaunti zote za hifadhi zinatumia usimbaji.
Kumbuka kwamba Azure Policies zinaweza kuunganishwa kwenye kiwango chochote cha hiyerarhya ya Azure, lakini zinatumika kawaida katika kundi la usimamizi wa mizizi au katika makundi mengine ya usimamizi.
Azure policy json example:
Katika Azure idhini zinaweza kutolewa kwa sehemu yoyote ya hiyerarhii. Hii inajumuisha makundi ya usimamizi, usajili, makundi ya rasilimali, na rasilimali binafsi. Idhini zina mirithi kutoka kwa rasilimali zilizomo katika chombo ambacho zilitolewa.
Muundo huu wa hiyerarhii unaruhusu usimamizi wa idhini za ufikiaji kwa ufanisi na kwa kiwango.
RBAC (udhibiti wa ufikiaji kulingana na jukumu) ni kile tulichokiona tayari katika sehemu zilizopita: Kutoa jukumu kwa msingi ili kumpa ufikiaji juu ya rasilimali. Hata hivyo, katika baadhi ya matukio unaweza kutaka kutoa usimamizi wa ufikiaji wa kiwango cha juu zaidi au kurahisisha usimamizi wa mamia ya mikataba ya jukumu.
Azure ABAC (udhibiti wa ufikiaji kulingana na sifa) inajenga juu ya Azure RBAC kwa kuongeza masharti ya ugawaji wa jukumu kulingana na sifa katika muktadha wa vitendo maalum. Masharti ya ugawaji wa jukumu ni ukaguzi wa ziada ambao unaweza kuongeza kwa hiari kwenye ugawaji wako wa jukumu ili kutoa udhibiti wa ufikiaji wa kiwango cha juu zaidi. Masharti yanachuja idhini zinazotolewa kama sehemu ya ufafanuzi wa jukumu na ugawaji wa jukumu. Kwa mfano, unaweza kuongeza sharti linalohitaji kitu kuwa na lebo maalum ili kusoma kitu. Huwezi kukatisha ufikiaji kwa rasilimali maalum ukitumia masharti.
Usimamizi wa Utambulisho wa Kipekee (PIM) katika Azure ni chombo ambacho kinasimamia, kinadhibiti, na kinamonita ufikiaji wa kipekee katika Azure Active Directory na Azure. Inaboresha usalama kwa kutoa ufikiaji wa kipekee wa muda na wa muda mfupi, kuimarisha mchakato wa idhini, na kuhitaji uthibitisho wa ziada. Njia hii inapunguza hatari ya ufikiaji usioidhinishwa kwa kuhakikisha kwamba idhini zilizoinuliwa zinatolewa tu wakati inahitajika na kwa muda maalum.
Kuna aina tatu za tokeni zinazotumika katika OIDC:
Access Tokens: Mteja anawasilisha tokeni hii kwa seva ya rasilimali ili kufikia rasilimali. Inaweza kutumika tu kwa mchanganyiko maalum wa mtumiaji, mteja, na rasilimali na haiwezi kufutwa hadi ipite muda - hiyo ni saa 1 kwa kawaida.
ID Tokens: Mteja anapata tokeni hii kutoka kwa seva ya idhini. Inajumuisha taarifa za msingi kuhusu mtumiaji. In ahusishwa na mchanganyiko maalum wa mtumiaji na mteja.
Refresh Tokens: Inatolewa kwa mteja pamoja na tokeni ya ufikiaji. Inatumika kupata tokeni mpya za ufikiaji na ID. Inahusishwa na mchanganyiko maalum wa mtumiaji na mteja na inaweza kufutwa. Muda wa kawaida wa kuisha ni siku 90 kwa tokeni za refresher zisizofanya kazi na hakuna muda wa kuisha kwa tokeni za kazi.
Taarifa za ufikiaji wa masharti zina hifadhiwa ndani ya JWT. Hivyo, ikiwa unahitaji tokeni kutoka anwani ya IP iliyoidhinishwa, hiyo IP itakuwa hifadhiwa katika tokeni na kisha unaweza kutumia tokeni hiyo kutoka IP isiyoidhinishwa ili kufikia rasilimali.
Kulingana na kitendo unachotaka kutekeleza, "aud" ya tokeni ya ufikiaji lazima iwe imeidhinishwa kuwasiliana na URL ya API ambayo utawasiliana nayo.
Amri az account get-access-token --resource-type [...] inasaidia aina zifuatazo na kila moja itongeza "aud" maalum katika tokeni ya ufikiaji inayotokana:
Kumbuka kwamba zifuatazo ni APIs zinazosaidiwa na az account get-access-token lakini kuna zaidi.
aad-graph (Azure Active Directory Graph API): Inatumika kufikia API ya zamani ya Azure AD Graph (iliyotengwa), ambayo inaruhusu programu kusoma na kuandika data ya directory katika Azure Active Directory (Azure AD).
https://graph.windows.net/
arm (Azure Resource Manager): Inatumika kusimamia rasilimali za Azure kupitia API ya Azure Resource Manager. Hii inajumuisha shughuli kama kuunda, kuboresha, na kufuta rasilimali kama vile mashine za virtual, akaunti za hifadhi, na zaidi.
https://management.core.windows.net/ or https://management.azure.com/
batch (Azure Batch Services): Inatumika kufikia Azure Batch, huduma inayowezesha programu za kompyuta za kiwango kikubwa na za utendaji wa juu kwa ufanisi katika wingu.
https://batch.core.windows.net/
data-lake (Azure Data Lake Storage): Inatumika kuingiliana na Azure Data Lake Storage Gen1, ambayo ni huduma ya hifadhi ya data na uchambuzi inayoweza kupanuka.
https://datalake.azure.net/
media (Azure Media Services): Inatumika kufikia Azure Media Services, ambayo inatoa huduma za usindikaji wa vyombo vya habari na utoaji wa maudhui ya video na sauti kwa msingi wa wingu.
https://rest.media.azure.net
ms-graph (Microsoft Graph API): Inatumika kufikia Microsoft Graph API, kiunganishi kilichounganisha kwa data za huduma za Microsoft 365. Inakuruhusu kufikia data na maarifa kutoka kwa huduma kama Azure AD, Office 365, Uhamasishaji wa Biashara, na huduma za Usalama.
https://graph.microsoft.com
oss-rdbms (Azure Open Source Relational Databases): Inatumika kufikia huduma za Azure Database kwa injini za hifadhidata za uhusiano za chanzo wazi kama MySQL, PostgreSQL, na MariaDB.
https://ossrdbms-aad.database.windows.net
Angalia ukurasa ufuatao kujifunza njia tofauti za kuomba tokeni za ufikiaji na kuingia nazo:
Az - Entra ID (formerly AzureAD - AAD)Jifunze & fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze & fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
