Az AD Connect - Hybrid Identity

Reading time: 4 minutes

tip

Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Jifunze na fanya mazoezi ya Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks

Basic Information

Ushirikiano kati ya On-premises Active Directory (AD) na Azure AD unarahisishwa na Azure AD Connect, ukitoa mbinu mbalimbali zinazosaidia Single Sign-on (SSO). Kila mbinu, ingawa ni muhimu, ina hatari za usalama zinazoweza kutumiwa kuathiri mazingira ya wingu au ya ndani:

  • Pass-Through Authentication (PTA):
  • Uwezekano wa kuathiriwa kwa wakala kwenye AD ya ndani, kuruhusu uthibitishaji wa nywila za watumiaji kwa ajili ya muunganisho wa Azure (kutoka ndani hadi Wingu).
  • Uwezekano wa kujiandikisha wakala mpya ili kuthibitisha uthibitisho katika eneo jipya (kutoka Wingu hadi ndani).

Az - PTA - Pass-through Authentication

  • Password Hash Sync (PHS):
  • Uwezekano wa kutoa nywila za wazi za watumiaji wenye mamlaka kutoka AD, ikiwa ni pamoja na akauti za mtumiaji wa AzureAD aliyejengwa kiotomatiki mwenye mamlaka ya juu.

Az - PHS - Password Hash Sync

  • Federation:
  • Wizi wa funguo binafsi zinazotumika kwa ajili ya saini ya SAML, kuruhusu uigaji wa vitambulisho vya ndani na vya wingu.

Az - Federation

  • Seamless SSO:
  • Wizi wa nywila ya mtumiaji AZUREADSSOACC, inayotumika kwa ajili ya kusaini tiketi za Kerberos za fedha, kuruhusu uigaji wa mtumiaji yeyote wa wingu.

Az - Seamless SSO

  • Cloud Kerberos Trust:
  • Uwezekano wa kupandisha kutoka kwa Global Admin hadi kwa Domain Admin wa ndani kwa kubadilisha majina ya watumiaji wa AzureAD na SIDs na kuomba TGTs kutoka AzureAD.

Az - Cloud Kerberos Trust

  • Default Applications:
  • Kuathiri akaunti ya Msimamizi wa Programu au Akaunti ya Sync ya ndani kunaruhusu mabadiliko ya mipangilio ya directory, uanachama wa vikundi, akaunti za watumiaji, tovuti za SharePoint, na faili za OneDrive.

Az - Default Applications

Kwa kila mbinu ya ushirikiano, usawazishaji wa watumiaji unafanywa, na akaunti ya MSOL_<installationidentifier> inaundwa katika AD ya ndani. Kwa kuzingatia, mbinu zote mbili PHS na PTA zinasaidia Seamless SSO, kuruhusu kuingia kiotomatiki kwa kompyuta za Azure AD zilizounganishwa na eneo la ndani.

Ili kuthibitisha usakinishaji wa Azure AD Connect, amri ifuatayo ya PowerShell, ikitumia moduli ya AzureADConnectHealthSync (iliyowekwa kiotomatiki na Azure AD Connect), inaweza kutumika:

bash
Get-ADSyncConnector

tip

Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Jifunze na fanya mazoezi ya Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks