GWS - Admin Directory Sync
Basic Information
Tofauti kuu kati ya njia hii ya kuunganisha watumiaji na GCDS ni kwamba GCDS inafanywa kwa mikono na baadhi ya binaries unahitaji kupakua na kuendesha wakati Admin Directory Sync haina seva inasimamiwa na Google katika https://admin.google.com/ac/sync/externaldirectories.
Wakati wa kuandika hii huduma iko kwenye beta na inasaidia aina 2 za usawazishaji: Kutoka Active Directory na kutoka Azure Entra ID:
Active Directory: Ili kuweka hii unahitaji kutoa ufikiaji kwa Google kwa mazingira yako ya Active Directory. Na kwa kuwa Google ina ufikiaji tu kwa mitandao ya GCP (kupitia VPC connectors) unahitaji kuunda kiunganishi na kisha kufanya AD yako ipatikane kutoka kwa kiunganishi hicho kwa kuwa na VM katika mtandao wa GCP au kutumia Cloud VPN au Cloud Interconnect. Kisha, unahitaji pia kutoa akisi ya akaunti yenye ufikiaji wa kusoma juu ya directory na cheti kuwasiliana kupitia LDAPS.
Azure Entra ID: Ili kuunda hii inahitajika tu kuingia katika Azure na mtumiaji mwenye ufikiaji wa kusoma juu ya usajili wa Entra ID katika pop-up inayonyeshwa na Google, na Google itahifadhi token yenye ufikiaji wa kusoma juu ya Entra ID.
Mara tu ikikamilishwa vizuri, chaguo zote mbili zitawawezesha kusawazisha watumiaji na vikundi kwa Workspace, lakini haitaruhusu kuunda watumiaji na vikundi kutoka Workspace hadi AD au EntraID.
Chaguzi nyingine ambazo zitapatikana wakati wa usawazishaji huu ni:
Tuma barua pepe kwa watumiaji wapya kuingia
Kubadilisha kiotomatiki anwani yao ya barua pepe kuwa ile inayotumiwa na Workspace. Hivyo kama Workspace inatumia
@hacktricks.xyzna watumiaji wa EntraID wanatumia@carloshacktricks.onmicrosoft.com,@hacktricks.xyzitatumika kwa watumiaji walioundwa katika akaunti.Chagua vikundi vinavyowajumuisha watumiaji ambao watasawazishwa.
Chagua vikundi vya kusawazisha na kuunda katika Workspace (au onyesha kusawazisha vikundi vyote).
Kutoka AD/EntraID -> Google Workspace (& GCP)
Ikiwa unafanikiwa kuathiri AD au EntraID utakuwa na udhibiti kamili wa watumiaji & vikundi ambavyo vitasawazishwa na Google Workspace. Hata hivyo, zingatia kwamba nywila ambazo watumiaji wanaweza kuwa wanatumia katika Workspace zinaweza kuwa zile zile au si.
Kushambulia watumiaji
Wakati usawazishaji unapotokea inaweza kusawazisha watumiaji wote kutoka AD au wale tu kutoka OU maalum au tu watumiaji wanachama wa vikundi maalum katika EntraID. Hii inamaanisha kwamba ili kushambulia mtumiaji aliyeunganishwa (au kuunda mpya anayesawazishwa) itabidi kwanza ufanye utafiti ni watumiaji gani wanayosawazishwa.
Watumiaji wanaweza kuwa wanatumia nywila ile ile au si kutoka AD au EntraID, lakini hii inamaanisha kwamba itabidi uathiri nywila za watumiaji kuingia.
Ikiwa una ufikiaji wa barua pepe za watumiaji, unaweza kubadilisha nywila ya Workspace ya mtumiaji aliyepo, au kuunda mtumiaji mpya, subiri hadi ipate usawazishaji na kuanzisha akaunti hiyo.
Mara tu unapoingia mtumiaji ndani ya Workspace inaweza kutolewa baadhi ya idhini za default.
Kushambulia Vikundi
Unahitaji pia kubaini kwanza ni vikundi gani vinavyosawazishwa. Ingawa kuna uwezekano kwamba VIKUNDI VYOTE vinavyosawazishwa (kama Workspace inaruhusu hili).
Kumbuka kwamba hata kama vikundi na uanachama vinapoingizwa katika Workspace, watumiaji ambao hawajasawazishwa katika usawazishaji wa watumiaji hawataundwa wakati wa usawazishaji wa vikundi hata kama ni wanachama wa mojawapo ya vikundi vilivyosawazishwa.
Ikiwa unajua ni vikundi gani kutoka Azure vinavyopatiwa idhini katika Workspace au GCP, unaweza tu kuongeza mtumiaji aliyeathiriwa (au mpya aliyeundwa) katika kikundi hicho na kupata hizo idhini.
Kuna chaguo lingine la kutumia vikundi vilivyokuwa na mamlaka katika Workspace. Kwa mfano, kikundi gcp-organization-admins@<workspace.email> kawaida kina mamlaka makubwa juu ya GCP.
Ikiwa usawazishaji kutoka, kwa mfano EntraID, hadi Workspace ume pangwa kubadilisha domain ya kitu kilichooingizwakatika na barua pepe ya Workspace, itakuwa inawezekana kwa mshambuliaji kuunda kikundi gcp-organization-admins@<entraid.email> katika EntraID, kuongeza mtumiaji katika kikundi hiki, na kusubiri hadi usawazishaji wa vikundi vyote ufanyike.
Mtumiaji ataongezwa katika kikundi gcp-organization-admins@<workspace.email> akipandisha mamlaka katika GCP.
Kutoka Google Workspace -> AD/EntraID
Kumbuka kwamba Workspace inahitaji akisi zenye ufikiaji wa kusoma tu juu ya AD au EntraID ili kusawazisha watumiaji na vikundi. Kwa hivyo, haiwezekani kutumia Google Workspace kufanya mabadiliko yoyote katika AD au EntraID. Hivyo hii haiwezekani kwa wakati huu.
Sijui pia Google inahifadhi wapi akisi za AD au token ya EntraID na huwezi kuziokoa kwa kuunda upya usawazishaji (hazionekani katika fomu ya wavuti, unahitaji kuzipatia tena). Hata hivyo, kutoka kwenye wavuti inaweza kuwa inawezekana kutumia kazi ya sasa ili orodhesha watumiaji na vikundi.
Last updated
