하이브리드 아이덴티티 기타 공격

Reading time: 2 minutes

Entra ID 사용자의 온프레미스 동기화 강제

https://www.youtube.com/watch?v=JEIR5oGCwdg에서 언급된 바와 같이, 온프레미스 AD에서 AD 사용자의 ProxyAddress 값을 변경하여 Entra ID 관리자 사용자의 이메일을 추가하고 AD와 Entra ID의 UPN이 일치하도록 하는 것이 가능했습니다(다시 말해, 이것이 Entra ID입니다), 예를 들어 **SMTP:admin@domain.onmicrosoft.com**과 같이. 이렇게 하면 이 사용자의 동기화를 강제할 수 있습니다 Entra ID에서 온프레미스 AD로, 따라서 사용자의 비밀번호가 알려져 있다면 Entra ID에서 사용된 관리자로 접근할 수 있습니다.

Entra ID에서 온프레미스 AD로 새 사용자를 동기화하기 위한 요구 사항은 다음과 같습니다:

• 온프레미스 AD에서 사용자의 속성을 제어할 수 있어야 합니다(또는 새 사용자를 생성할 수 있는 권한이 있어야 함)
• Entra ID에서 온프레미스 AD로 동기화할 클라우드 전용 사용자를 알아야 합니다
• 하드 매치를 수행하기 위해 Entra ID 사용자에서 온프레미스 AD 사용자로 immutableID 속성을 변경할 수 있어야 할 수도 있습니다.

참조

• https://www.youtube.com/watch?v=JEIR5oGCwdg
• https://activedirectorypro.com/sync-on-prem-ad-with-existing-azure-ad-users/
• https://www.orbid365.be/manually-match-on-premise-ad-user-to-existing-office365-user/