Az AD Connect - Hybrid Identity
Podstawowe informacje
Integracja między Lokalnym Active Directory (AD) a Azure AD jest ułatwiona przez Azure AD Connect, oferujący różne metody wspierające Single Sign-on (SSO). Każda metoda, choć użyteczna, prezentuje potencjalne podatności na naruszenia bezpieczeństwa, które mogą być wykorzystane do skompromitowania środowisk chmurowych lub lokalnych:
Przekazywanie uwierzytelniania (PTA):
Możliwe skompromitowanie agenta na lokalnym AD, umożliwiającego walidację haseł użytkowników dla połączeń z Azure (lokalnie do chmury).
Możliwość zarejestrowania nowego agenta do walidacji uwierzytelniania w nowej lokalizacji (z chmury do lokalnie).
Synchronizacja haszowania hasła (PHS):
Potencjalne wydobycie haseł w postaci tekstu jawnego uprzywilejowanych użytkowników z AD, w tym poświadczeń wysoko uprzywilejowanego, automatycznie generowanego użytkownika AzureAD.
Federacja:
Kradzież klucza prywatnego używanego do podpisywania SAML, umożliwiająca podszywanie się pod tożsamości lokalne i chmurowe.
Bezszwowe SSO:
Kradzież hasła użytkownika
AZUREADSSOACC
, używanego do podpisywania biletów srebrnych Kerberos, umożliwiająca podszywanie się pod dowolnego użytkownika chmury.
Zaufanie Kerberos chmury:
Możliwość eskalacji z Global Admina do Admina domeny lokalnej poprzez manipulowanie nazwami użytkowników i SIDów AzureAD oraz żądanie TGTs z AzureAD.
Domyślne aplikacje:
Skompromitowanie konta Administratora aplikacji lub konta synchronizacji lokalnej pozwala na modyfikację ustawień katalogu, przynależności do grup, kont użytkowników, witryn SharePoint oraz plików OneDrive.
Dla każdej metody integracji, synchronizacja użytkowników jest przeprowadzana, a konto MSOL_<installationidentifier>
jest tworzone w lokalnym AD. Warto zauważyć, że zarówno metody PHS jak i PTA ułatwiają Bezszwowe SSO, umożliwiając automatyczne logowanie dla komputerów Azure AD dołączonych do domeny lokalnej.
Aby zweryfikować instalację Azure AD Connect, można użyć następującej komendy PowerShell, wykorzystującej moduł AzureADConnectHealthSync (zainstalowany domyślnie wraz z Azure AD Connect):
Last updated