Az AD Connect - Hybrid Identity
Informações Básicas
A integração entre o Active Directory (AD) local e o Azure AD é facilitada pelo Azure AD Connect, oferecendo vários métodos que suportam Single Sign-on (SSO). Cada método, embora útil, apresenta potenciais vulnerabilidades de segurança que poderiam ser exploradas para comprometer ambientes em nuvem ou locais:
Autenticação de Passagem (PTA):
Possível comprometimento do agente no AD local, permitindo a validação das senhas dos usuários para conexões com o Azure (local para nuvem).
Viabilidade de registrar um novo agente para validar autenticações em um novo local (nuvem para local).
Sincronização de Hash de Senha (PHS):
Extração potencial de senhas em texto claro de usuários privilegiados do AD, incluindo credenciais de um usuário AzureAD auto-gerado de alto privilégio.
Federação:
Roubo da chave privada usada para assinatura SAML, permitindo a impersonificação de identidades locais e em nuvem.
SSO Contínuo:
Roubo da senha do usuário
AZUREADSSOACC
, usada para assinar tickets Kerberos silver, permitindo a impersonificação de qualquer usuário em nuvem.
Confiança Kerberos em Nuvem:
Possibilidade de escalonamento de Global Admin para Domain Admin local manipulando nomes de usuários e SIDs de usuários AzureAD e solicitando TGTs do AzureAD.
Aplicativos Padrão:
Comprometer uma conta de Administrador de Aplicativos ou a Conta de Sincronização local permite a modificação de configurações de diretório, associações de grupos, contas de usuários, sites do SharePoint e arquivos do OneDrive.
Para cada método de integração, a sincronização de usuários é realizada, e uma conta MSOL_<installationidentifier>
é criada no AD local. Notavelmente, tanto os métodos PHS quanto PTA facilitam o SSO Contínuo, permitindo o login automático para computadores Azure AD associados ao domínio local.
Para verificar a instalação do Azure AD Connect, o seguinte comando PowerShell, utilizando o módulo AzureADConnectHealthSync (instalado por padrão com o Azure AD Connect), pode ser usado:
Last updated