Az AD Connect - Hybrid Identity
Información básica
La integración entre Active Directory (AD) local y Azure AD es facilitada por Azure AD Connect, ofreciendo varios métodos que admiten Inicio de sesión único (SSO). Cada método, aunque útil, presenta posibles vulnerabilidades de seguridad que podrían ser explotadas para comprometer entornos en la nube o locales:
Autenticación de paso (PTA):
Posible compromiso del agente en el AD local, permitiendo la validación de contraseñas de usuario para conexiones a Azure (de local a la nube).
Factibilidad de registrar un nuevo agente para validar autenticaciones en una nueva ubicación (de la nube a local).
Sincronización de hash de contraseñas (PHS):
Posible extracción de contraseñas en texto claro de usuarios privilegiados del AD, incluidas las credenciales de un usuario AzureAD auto-generado de alto privilegio.
Federación:
Robo de la clave privada utilizada para la firma SAML, permitiendo la suplantación de identidades locales y en la nube.
SSO sin interrupciones:
Robo de la contraseña del usuario
AZUREADSSOACC
, utilizada para firmar tickets Kerberos de plata, permitiendo la suplantación de cualquier usuario en la nube.
Confianza de Kerberos en la nube:
Posibilidad de escalar de Administrador Global a Administrador de Dominio local manipulando nombres de usuario y SIDs de usuarios AzureAD y solicitando TGTs desde AzureAD.
Aplicaciones predeterminadas:
Comprometer una cuenta de Administrador de Aplicaciones o la cuenta de Sincronización local permite la modificación de configuraciones de directorio, membresías de grupos, cuentas de usuario, sitios de SharePoint y archivos de OneDrive.
Para cada método de integración, se realiza una sincronización de usuarios y se crea una cuenta MSOL_<identificadordeinstalación>
en el AD local. Es importante destacar que tanto los métodos PHS como PTA facilitan el SSO sin interrupciones, permitiendo el inicio de sesión automático para equipos de Azure AD unidos al dominio local.
Para verificar la instalación de Azure AD Connect, se puede utilizar el siguiente comando de PowerShell, utilizando el módulo AzureADConnectHealthSync (instalado por defecto con Azure AD Connect):
Last updated