Last updated
Yerel Active Directory (AD) ile Azure AD arasındaki entegrasyon, Azure AD Connect tarafından sağlanır ve Tek Oturum Açma (SSO)'yı destekleyen çeşitli yöntemler sunar. Her bir yöntem, kullanışlı olmasına rağmen, bulut veya yerel ortamları tehlikeye atabilecek potansiyel güvenlik açıklarını sunar:
Pass-Through Authentication (PTA):
Yerel AD'deki ajanın ele geçirilmesiyle, Azure bağlantıları için kullanıcı parolalarının doğrulanmasına izin verilir (yerelden buluta).
Yeni bir ajanın kaydedilerek doğrulamaların yeni bir konumda yapılabilmesi (Buluttan yerele).
Password Hash Sync (PHS):
AD'deki ayrıcalıklı kullanıcıların açık metin parolalarının, yüksek ayrıcalıklı, otomatik oluşturulan bir AzureAD kullanıcısının kimlik bilgileri dahil olmak üzere çıkarılması potansiyeli.
Federasyon:
SAML imzalama için kullanılan özel anahtarın çalınmasıyla, yerel ve bulut kimliklerinin taklit edilmesi sağlanır.
Seamless SSO:
AZUREADSSOACC kullanıcısının parolasının çalınmasıyla, Kerberos gümüş biletlerini imzalamak için kullanılan ve herhangi bir bulut kullanıcısının taklit edilmesine izin veren bir kullanıcı.
Cloud Kerberos Trust:
AzureAD'den TGT talep ederek, AzureAD kullanıcı adlarını ve SIDs'lerini manipüle ederek Global Admin'den yerel Domain Admin'e yükseltme olasılığı.
Varsayılan Uygulamalar:
Bir Uygulama Yönetici hesabının veya yerel Senkronizasyon Hesabının ele geçirilmesi, dizin ayarlarının, grup üyeliklerinin, kullanıcı hesaplarının, SharePoint sitelerinin ve OneDrive dosyalarının değiştirilmesine olanak sağlar.
Her entegrasyon yöntemi için kullanıcı senkronizasyonu gerçekleştirilir ve on-prem AD'de bir MSOL_<installationidentifier> hesabı oluşturulur. Özellikle, PHS ve PTA yöntemleri, on-prem etki alanına katılan Azure AD bilgisayarları için otomatik oturum açmayı sağlayan Seamless SSO'yu kolaylaştırır.
Azure AD Connect'in kurulumunu doğrulamak için aşağıdaki PowerShell komutu, varsayılan olarak Azure AD Connect ile birlikte yüklenen AzureADConnectHealthSync modülünü kullanabilirsiniz:
