Az AD Connect - Hybrid Identity
基本信息
本地活动目录 (AD) 与 Azure AD 之间的集成由 Azure AD Connect 实现，提供支持 单点登录 (SSO) 的各种方法。每种方法虽然有用，但都存在潜在的安全漏洞，可能被利用来 compromise 云端或本地环境：
透传身份验证 (PTA):
可能会 compromise 本地 AD 上的代理，允许验证用户密码以进行 Azure 连接 (本地到云端)。
可能性注册新代理以验证新位置的身份验证 (云端到本地)。
密码哈希同步 (PHS):
可能从 AD 中提取特权用户的明文密码，包括高特权、自动生成的 AzureAD 用户的凭据。
联合:
窃取用于 SAML 签名的私钥，使得可以冒充本地和云端身份。
无缝 SSO:
窃取
AZUREADSSOACC用户的密码，用于签署 Kerberos 银票据，允许冒充任何云用户。
云 Kerberos 信任:
通过操纵 AzureAD 用户用户名和 SID 并从 AzureAD 请求 TGT，可能从全局管理员升级到本地域管理员。
默认应用:
compromise 应用管理员帐户或本地同步帐户允许修改目录设置、组成员、用户帐户、SharePoint 站点和 OneDrive 文件。
对于每种集成方法，用户同步都会进行，并在本地 AD 中创建一个 MSOL_<installationidentifier> 帐户。值得注意的是，PHS 和 PTA 方法都支持 无缝 SSO，允许 Azure AD 计算机自动登录到本地域。
要验证 Azure AD Connect 的安装，可以使用以下 PowerShell 命令，利用默认安装的 AzureADConnectHealthSync 模块 (与 Azure AD Connect 一起安装)：
Last updated
