# Az AD Connect - Identité Hybride

{{#include ../../../../banners/hacktricks-training.md}}

## Informations de Base

L'intégration entre **Active Directory (AD) sur site** et **Azure AD** est facilitée par **Azure AD Connect**, offrant diverses méthodes qui supportent **Single Sign-on (SSO)**. Chaque méthode, bien que utile, présente des vulnérabilités de sécurité potentielles qui pourraient être exploitées pour compromettre les environnements cloud ou sur site :

- **Pass-Through Authentication (PTA)** :
- Compromission possible de l'agent sur l'AD sur site, permettant la validation des mots de passe des utilisateurs pour les connexions Azure (sur site vers Cloud).
- Faisabilité d'enregistrer un nouvel agent pour valider les authentifications dans un nouvel emplacement (Cloud vers sur site).

{{#ref}}
pta-pass-through-authentication.md
{{#endref}}

- **Password Hash Sync (PHS)** :
- Extraction potentielle de mots de passe en clair d'utilisateurs privilégiés depuis l'AD, y compris les identifiants d'un utilisateur AzureAD à privilèges élevés, généré automatiquement.

{{#ref}}
phs-password-hash-sync.md
{{#endref}}

- **Fédération** :
- Vol de la clé privée utilisée pour la signature SAML, permettant l'usurpation d'identités sur site et cloud.

{{#ref}}
federation.md
{{#endref}}

- **Seamless SSO :**
- Vol du mot de passe de l'utilisateur `AZUREADSSOACC`, utilisé pour signer des tickets Kerberos silver, permettant l'usurpation de tout utilisateur cloud.

{{#ref}}
seamless-sso.md
{{#endref}}

- **Cloud Kerberos Trust** :
- Possibilité d'escalader de Global Admin à Domain Admin sur site en manipulant les noms d'utilisateur et SIDs des utilisateurs AzureAD et en demandant des TGTs depuis AzureAD.

{{#ref}}
az-cloud-kerberos-trust.md
{{#endref}}

- **Applications par Défaut** :
- La compromission d'un compte d'administrateur d'application ou du compte de synchronisation sur site permet de modifier les paramètres du répertoire, les appartenances aux groupes, les comptes d'utilisateurs, les sites SharePoint et les fichiers OneDrive.

{{#ref}}
az-default-applications.md
{{#endref}}

Pour chaque méthode d'intégration, la synchronisation des utilisateurs est effectuée, et un compte `MSOL_<identifiant d'installation>` est créé dans l'AD sur site. Notamment, les méthodes **PHS** et **PTA** facilitent le **Seamless SSO**, permettant une connexion automatique pour les ordinateurs Azure AD joints au domaine sur site.

Pour vérifier l'installation de **Azure AD Connect**, la commande PowerShell suivante, utilisant le module **AzureADConnectHealthSync** (installé par défaut avec Azure AD Connect), peut être utilisée :
```bash
Get-ADSyncConnector
```
{{#include ../../../../banners/hacktricks-training.md}}
