Az AD Connect - Hybrid Identity
Informazioni di Base
L'integrazione tra Active Directory (AD) in locale e Azure AD è facilitata da Azure AD Connect, offrendo vari metodi che supportano il Single Sign-on (SSO). Ogni metodo, sebbene utile, presenta potenziali vulnerabilità di sicurezza che potrebbero essere sfruttate per compromettere ambienti cloud o in locale:
Autenticazione Pass-Through (PTA):
Possibile compromissione dell'agente sull'AD in locale, consentendo la convalida delle password degli utenti per le connessioni ad Azure (da locale a Cloud).
Possibilità di registrare un nuovo agente per convalidare autenticazioni in una nuova posizione (da Cloud a locale).
Sincronizzazione dell'Hash delle Password (PHS):
Possibile estrazione delle password in chiaro degli utenti privilegiati dall'AD, inclusa le credenziali di un utente AzureAD auto-generato ad alto privilegio.
Federazione:
Furto della chiave privata utilizzata per la firma SAML, consentendo l'impersonificazione delle identità in locale e cloud.
SSO Continuo:
Furto della password dell'utente
AZUREADSSOACC
, utilizzata per firmare i biglietti Kerberos silver, consentendo l'impersonificazione di qualsiasi utente cloud.
Trust Kerberos Cloud:
Possibilità di scalare da Global Admin a Domain Admin in locale manipolando i nomi utente e gli SIDs degli utenti AzureAD e richiedendo TGT da AzureAD.
Applicazioni Predefinite:
Compromettere un account Amministratore dell'Applicazione o l'account di Sincronizzazione in locale consente la modifica delle impostazioni della directory, l'appartenenza ai gruppi, gli account utente, i siti SharePoint e i file di OneDrive.
Per ciascun metodo di integrazione, la sincronizzazione degli utenti viene effettuata e viene creato un account MSOL_<installationidentifier>
nell'AD in locale. In particolare, sia i metodi PHS che PTA facilitano il SSO Continuo, consentendo l'accesso automatico per i computer Azure AD connessi al dominio in locale.
Per verificare l'installazione di Azure AD Connect, è possibile utilizzare il seguente comando PowerShell, utilizzando il modulo AzureADConnectHealthSync (installato per impostazione predefinita con Azure AD Connect):
Last updated