mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2025-12-31 15:05:44 -08:00
Translated ['src/pentesting-cloud/azure-security/az-basic-information/RE
This commit is contained in:
Translator
@@ -15,7 +15,7 @@
|
||||
- Elke bestuursgroep en subskripsie kan **slegs een ouer** ondersteun.
|
||||
- Alhoewel verskeie bestuursgroepe geskep kan word, is daar **slegs 1 wortel bestuursgroep**.
|
||||
- Die wortel bestuursgroep **bevat** al die **ander bestuursgroepe en subskripsies** en **kan nie verskuif of verwyder** word nie.
|
||||
- Alle subskripsies binne 'n enkele bestuursgroep moet die **dieselfde Entra ID huur** vertrou.
|
||||
- Alle subskripsies binne 'n enkele bestuursgroep moet die **dieselfde Entra ID-huurder** vertrou.
|
||||
|
||||
<figure><img src="../../../images/image (147).png" alt=""><figcaption><p><a href="https://td-mainsite-cdn.tutorialsdojo.com/wp-content/uploads/2023/02/managementgroups-768x474.png">https://td-mainsite-cdn.tutorialsdojo.com/wp-content/uploads/2023/02/managementgroups-768x474.png</a></p></figcaption></figure>
|
||||
|
||||
@@ -30,7 +30,7 @@
|
||||
|
||||
[Van die dokumentasie:](https://learn.microsoft.com/en-us/azure/azure-resource-manager/management/manage-resource-groups-python?tabs=macos#what-is-a-resource-group) 'n Hulpbron groep is 'n **houer** wat **verwante hulpbronne** vir 'n Azure-oplossing bevat. Die hulpbron groep kan al die hulpbronne vir die oplossing insluit, of slegs daardie **hulpbronne wat jy as 'n groep wil bestuur**. Oor die algemeen, voeg **hulpbronne** wat die **selfde lewensiklus** deel by die selfde hulpbron groep sodat jy dit maklik kan ontplooi, opdateer, en verwyder as 'n groep.
|
||||
|
||||
Alle **hulpbronne** moet **binne 'n hulpbron groep** wees en kan slegs aan een groep behoort, en as 'n hulpbron groep verwyder word, word al die hulpbronne daarin ook verwyder.
|
||||
Alle **hulpbronne** moet **binne 'n hulpbron groep** wees en kan slegs aan een groep behoort, en as 'n hulpbron groep verwyder word, word al die hulpbronne binne dit ook verwyder.
|
||||
|
||||
<figure><img src="https://i0.wp.com/azuredays.com/wp-content/uploads/2020/05/org.png?resize=748%2C601&ssl=1" alt=""><figcaption><p><a href="https://i0.wp.com/azuredays.com/wp-content/uploads/2020/05/org.png?resize=748%2C601&ssl=1">https://i0.wp.com/azuredays.com/wp-content/uploads/2020/05/org.png?resize=748%2C601&ssl=1</a></p></figcaption></figure>
|
||||
|
||||
@@ -50,22 +50,22 @@ Vir 'n virtuele masjien genaamd myVM in 'n hulpbron groep `myResourceGroup` onde
|
||||
|
||||
### Azure
|
||||
|
||||
Azure is Microsoft se omvattende **cloud computing platform, wat 'n wye reeks dienste bied**, insluitend virtuele masjiene, databasisse, kunsmatige intelligensie, en berging. Dit dien as die grondslag vir die gasheer en bestuur van toepassings, die bou van skaalbare infrastruktuur, en die uitvoering van moderne werklas in die wolk. Azure bied gereedskap vir ontwikkelaars en IT-professionals om toepassings en dienste naatloos te skep, te ontplooi, en te bestuur, wat voorsien in 'n verskeidenheid behoeftes van startups tot groot ondernemings.
|
||||
Azure is Microsoft se omvattende **cloud computing platform, wat 'n wye reeks dienste** bied, insluitend virtuele masjiene, databasisse, kunsmatige intelligensie, en stoor. Dit dien as die grondslag vir die gasheer en bestuur van toepassings, die bou van skaalbare infrastruktuur, en die uitvoering van moderne werklas in die wolk. Azure bied gereedskap vir ontwikkelaars en IT-professionals om toepassings en dienste naatloos te skep, te ontplooi, en te bestuur, wat voorsien in 'n verskeidenheid behoeftes van startups tot groot ondernemings.
|
||||
|
||||
### Entra ID (voorheen Azure Aktiewe Gids)
|
||||
### Entra ID (voorheen Azure Active Directory)
|
||||
|
||||
Entra ID is 'n wolk-gebaseerde **identiteit en toegang bestuur diens** wat ontwerp is om autentisering, autorisasie, en gebruikers toegang beheer te hanteer. Dit bied veilige toegang tot Microsoft dienste soos Office 365, Azure, en baie derdeparty SaaS toepassings. Met funksies soos enkel teken-in (SSO), multi-faktor autentisering (MFA), en voorwaardelike toegang beleid onder andere.
|
||||
Entra ID is 'n wolk-gebaseerde **identiteit en toegang bestuur diens** wat ontwerp is om autentisering, autorisasie, en gebruikers toegang beheer te hanteer. Dit bied veilige toegang tot Microsoft dienste soos Office 365, Azure, en baie derdeparty SaaS toepassings. Met funksies soos enkel teken aan (SSO), multi-faktor autentisering (MFA), en voorwaardelike toegang beleid onder andere.
|
||||
|
||||
### Entra Domein Dienste (voorheen Azure AD DS)
|
||||
|
||||
Entra Domein Dienste brei die vermoëns van Entra ID uit deur **bestuurde domein dienste aan te bied wat versoenbaar is met tradisionele Windows Aktiewe Gids omgewings**. Dit ondersteun ou protokolle soos LDAP, Kerberos, en NTLM, wat organisasies in staat stel om ou toepassings in die wolk te migreer of te laat loop sonder om plaaslike domein kontrollers te ontplooi. Hierdie diens ondersteun ook Groep Beleid vir gesentraliseerde bestuur, wat dit geskik maak vir scenario's waar ou of AD-gebaseerde werklas saam met moderne wolkomgewings moet bestaan.
|
||||
Entra Domein Dienste brei die vermoëns van Entra ID uit deur **bestuurde domein dienste aan te bied wat versoenbaar is met tradisionele Windows Active Directory omgewings**. Dit ondersteun ou protokolle soos LDAP, Kerberos, en NTLM, wat organisasies in staat stel om ou toepassings in die wolk te migreer of te laat loop sonder om plaaslike domein kontrollers te ontplooi. Hierdie diens ondersteun ook Groep Beleid vir gesentraliseerde bestuur, wat dit geskik maak vir scenario's waar ou of AD-gebaseerde werklas saam met moderne wolkomgewings moet bestaan.
|
||||
|
||||
## Entra ID Beginsels
|
||||
## Entra ID Principals
|
||||
|
||||
### Gebruikers
|
||||
|
||||
- **Nuwe gebruikers**
|
||||
- Dui e-pos naam en domein van die geselekteerde huur aan
|
||||
- Dui e-pos naam en domein van die geselekteerde huurder aan
|
||||
- Dui Vertoonnaam aan
|
||||
- Dui wagwoord aan
|
||||
- Dui eienskappe aan (voornaam, posbeskrywing, kontak inligting…)
|
||||
@@ -79,11 +79,11 @@ Entra Domein Dienste brei die vermoëns van Entra ID uit deur **bestuurde domein
|
||||
|
||||
Jy kan dit nagaan in [https://learn.microsoft.com/en-us/entra/fundamentals/users-default-permissions](https://learn.microsoft.com/en-us/entra/fundamentals/users-default-permissions) maar onder andere aksies sal 'n lid in staat wees om:
|
||||
|
||||
- Alle gebruikers, Groepe, Toepassings, Toestelle, Rolle, Subskripsies, en hul publieke eienskappe te lees
|
||||
- Alle gebruikers, Groepe, Toepassings, Toestelle, Rolle, Subskripsies, en hul openbare eienskappe te lees
|
||||
- Gaste uit te nooi (_kan afgeskakel word_)
|
||||
- Sekuriteitsgroepe te skep
|
||||
- Nie-verborgen Groep lidmaatskappe te lees
|
||||
- Gaste by Besitgroepe te voeg
|
||||
- Gaste by Besit groepe te voeg
|
||||
- Nuwe toepassing te skep (_kan afgeskakel word_)
|
||||
- Tot 50 toestelle aan Azure toe te voeg (_kan afgeskakel word_)
|
||||
|
||||
@@ -100,7 +100,7 @@ Jy kan dit nagaan in [https://learn.microsoft.com/en-us/entra/fundamentals/users
|
||||
- Dit beperk nie API toegang tot die portaal nie (slegs web)
|
||||
- Laat gebruikers toe om werk of skool rekening met LinkedIn te verbind: Standaard **Ja**
|
||||
- Toon hou gebruiker ingelog: Standaard **Ja**
|
||||
- Beperk gebruikers van die herstel van die BitLocker sleutel(s) vir hul besitstoestelle: Standaard Nee (kontroleer in Toestel Instellings)
|
||||
- Beperk gebruikers van die herstel van die BitLocker sleutel(s) vir hul besit toestelle: Standaard Nee (kyk in Toestel Instellings)
|
||||
- Lees ander gebruikers: Standaard **Ja** (deur Microsoft Graph)
|
||||
- **Gaste**
|
||||
- **Gaste gebruiker toegang beperkings** opsies:
|
||||
@@ -109,14 +109,14 @@ Jy kan dit nagaan in [https://learn.microsoft.com/en-us/entra/fundamentals/users
|
||||
- **Gaste gebruiker toegang is beperk tot eienskappe en lidmaatskappe van hul eie gids objekte** is die mees beperkende een.
|
||||
- **Gaste kan uitnooi** opsies:
|
||||
- **Enige iemand in die organisasie kan gaste gebruikers uitnooi insluitend gaste en nie-admins (mees inklusief) - Standaard**
|
||||
- **Lede gebruikers en gebruikers wat aan spesifieke admin rolle toegeken is kan gaste gebruikers uitnooi insluitend gaste met lid toestemmings**
|
||||
- **Slegs gebruikers wat aan spesifieke admin rolle toegeken is kan gaste gebruikers uitnooi**
|
||||
- **Lede gebruikers en gebruikers wat aan spesifieke admin rolle toegeken is, kan gaste gebruikers uitnooi insluitend gaste met lid toestemmings**
|
||||
- **Slegs gebruikers wat aan spesifieke admin rolle toegeken is, kan gaste gebruikers uitnooi**
|
||||
- **Niemand in die organisasie kan gaste gebruikers uitnooi insluitend admins (mees beperkende)**
|
||||
- **Buitelandse gebruiker verlaat**: Standaard **Waar**
|
||||
- Laat buitelandse gebruikers toe om die organisasie te verlaat
|
||||
|
||||
> [!TIP]
|
||||
> Alhoewel dit per standaard beperk is, kan gebruikers (lede en gaste) met toegekenne toestemmings die vorige aksies uitvoer.
|
||||
> Alhoewel dit standaard beperk is, kan gebruikers (lede en gaste) met toegekennde toestemmings die vorige aksies uitvoer.
|
||||
|
||||
### **Groepe**
|
||||
|
||||
@@ -124,7 +124,7 @@ Daar is **2 tipes groepe**:
|
||||
|
||||
- **Sekuriteit**: Hierdie tipe groep word gebruik om lede toegang te gee tot toepassings, hulpbronne en om lisensies toe te ken. Gebruikers, toestelle, diens prinsipale en ander groepe kan lede wees.
|
||||
- **Microsoft 365**: Hierdie tipe groep word gebruik vir samewerking, wat lede toegang gee tot 'n gedeelde posbus, kalender, lêers, SharePoint webwerf, ensovoorts. Groep lede kan slegs gebruikers wees.
|
||||
- Dit sal 'n **e-pos adres** hê met die domein van die EntraID huur.
|
||||
- Dit sal 'n **e-pos adres** hê met die domein van die EntraID huurder.
|
||||
|
||||
Daar is **2 tipes lidmaatskappe**:
|
||||
|
||||
@@ -133,26 +133,26 @@ Daar is **2 tipes lidmaatskappe**:
|
||||
|
||||
### **Diens Prinsipale**
|
||||
|
||||
'n **Diens Prinsipaal** is 'n **identiteit** geskep vir **gebruik** met **toepassings**, gehoste dienste, en geoutomatiseerde gereedskap om toegang tot Azure hulpbronne te verkry. Hierdie toegang is **beperk deur die rolle wat aan die diens prinsipaal toegeken is**, wat jou beheer gee oor **watter hulpbronne toegang verkry kan word** en op watter vlak. Om veiligheidsredes, word dit altyd aanbeveel om **diens prinsipale met geoutomatiseerde gereedskap te gebruik** eerder as om hulle toe te laat om met 'n gebruikersidentiteit aan te meld.
|
||||
'n **Diens Prinsipaal** is 'n **identiteit** geskep vir **gebruik** met **toepassings**, gehoste dienste, en outomatiese gereedskap om toegang tot Azure hulpbronne te verkry. Hierdie toegang is **beperk deur die rolle wat aan die diens prinsipaal toegeken is**, wat jou beheer gee oor **watter hulpbronne toegang verkry kan word** en op watter vlak. Om veiligheidsredes, word dit altyd aanbeveel om **diens prinsipale met outomatiese gereedskap te gebruik** eerder as om hulle toe te laat om met 'n gebruikersidentiteit aan te meld.
|
||||
|
||||
Dit is moontlik om **direk as 'n diens prinsipaal aan te meld** deur 'n **geheim** (wagwoord), 'n **sertifikaat**, of deur **federale** toegang aan derdeparty platforms (bv. Github Actions) oor dit te verleen.
|
||||
Dit is moontlik om **direk as 'n diens prinsipaal aan te meld** deur dit 'n **geheim** (wagwoord), 'n **sertifikaat**, of **federale** toegang aan derdeparty platforms (bv. Github Actions) oor dit te verleen.
|
||||
|
||||
- As jy **wagwoord** autentisering kies (per standaard), **stoor die gegenereerde wagwoord** aangesien jy dit nie weer kan toegang nie.
|
||||
- As jy **wagwoord** autentisering kies (standaard), **stoor die gegenereerde wagwoord** aangesien jy dit nie weer kan toegang nie.
|
||||
- As jy sertifikaat autentisering kies, maak seker dat die **toepassing toegang sal hê oor die private sleutel**.
|
||||
|
||||
### App Registrasies
|
||||
|
||||
'n **App Registrasie** is 'n konfigurasie wat 'n toepassing toelaat om met Entra ID te integreer en aksies uit te voer.
|
||||
|
||||
#### Sleuteldel:
|
||||
#### Sleuteldelers:
|
||||
|
||||
1. **Toepassing ID (Kliënt ID):** 'n Unieke identifiseerder vir jou app in Azure AD.
|
||||
2. **Herlei URIs:** URL's waar Azure AD autentisering antwoorde stuur.
|
||||
3. **Sertifikate, Geheimen & Federale Krediete:** Dit is moontlik om 'n geheim of 'n sertifikaat te genereer om as die diens prinsipaal van die toepassing aan te meld, of om federale toegang aan dit te verleen (bv. Github Actions).
|
||||
1. As 'n **sertifikaat** of **geheim** gegenereer word, is dit moontlik vir 'n persoon om **as die diens prinsipaal** met CLI gereedskap aan te meld deur die **toepassing ID**, die **geheim** of **sertifikaat** en die **huur** (domein of ID) te ken.
|
||||
1. As 'n **sertifikaat** of **geheim** gegenereer word, is dit moontlik vir 'n persoon om **as die diens prinsipaal** met CLI gereedskap aan te meld deur die **toepassing ID**, die **geheim** of **sertifikaat** en die **huurder** (domein of ID) te ken.
|
||||
4. **API Toestemmings:** Spesifiseer watter hulpbronne of API's die app toegang kan verkry.
|
||||
5. **Autentisering Instellings:** Definieer die app se ondersteunde autentisering vloei (bv., OAuth2, OpenID Connect).
|
||||
6. **Diens Prinsipaal**: 'n diens prinsipaal word geskep wanneer 'n App geskep word (as dit vanaf die webkonsol gedoen word) of wanneer dit in 'n nuwe huur geïnstalleer word.
|
||||
6. **Diens Prinsipaal**: 'n diens prinsipaal word geskep wanneer 'n App geskep word (as dit vanaf die webkonsol gedoen word) of wanneer dit in 'n nuwe huurder geïnstalleer word.
|
||||
1. Die **diens prinsipaal** sal al die gevraagde toestemmings wat dit geconfigureer is, ontvang.
|
||||
|
||||
### Standaard Toestemming Toestemmings
|
||||
@@ -174,37 +174,37 @@ Dit is moontlik om **direk as 'n diens prinsipaal aan te meld** deur 'n **geheim
|
||||
|
||||
**Admin toestemming versoeke**: Standaard **Nee**
|
||||
|
||||
- Gebruikers kan admin toestemming vir apps versoek waartoe hulle nie toestemming kan gee nie
|
||||
- Gebruikers kan admin toestemming versoek vir apps waartoe hulle nie toestemming kan gee nie
|
||||
- As **Ja**: Dit is moontlik om Gebruikers, Groepe en Rolle aan te dui wat toestemming versoeke kan gee
|
||||
- Konfigureer ook of gebruikers e-pos kennisgewings en vervaldatums herinneringe sal ontvang
|
||||
|
||||
### **Bestuurde Identiteit (Metadata)**
|
||||
|
||||
Bestuurde identiteite in Azure Aktiewe Gids bied 'n oplossing vir **outomatiese bestuur van die identiteit** van toepassings. Hierdie identiteite word deur toepassings gebruik met die doel om **verbinding te maak** met **hulpbronne** wat versoenbaar is met Azure Aktiewe Gids (**Azure AD**) autentisering. Dit maak dit moontlik om **die behoefte aan hardkoding van wolk akrediteer** in die kode te verwyder aangesien die toepassing in staat sal wees om die **metadata** diens te kontak om 'n geldige token te **verrig** as die aangeduide bestuurde identiteit in Azure.
|
||||
Bestuurde identiteite in Azure Active Directory bied 'n oplossing vir **outomatiese bestuur van die identiteit** van toepassings. Hierdie identiteite word deur toepassings gebruik om te **verbinde** met **hulpbronne** wat versoenbaar is met Azure Active Directory (**Azure AD**) autentisering. Dit maak dit moontlik om die behoefte aan hardkoding van wolk akrediteer in die kode te **verwyder** aangesien die toepassing in staat sal wees om die **metadata** diens te kontak om 'n geldige token te **verkry** om aksies uit te voer as die aangeduide bestuurde identiteit in Azure.
|
||||
|
||||
Daar is twee tipes bestuurde identiteite:
|
||||
|
||||
- **Stelsel-toegewyse**. Sommige Azure dienste laat jou toe om 'n **bestuurde identiteit direk op 'n diens instansie** in te skakel. Wanneer jy 'n stelsel-toegewyse bestuurde identiteit inskakel, word 'n **diens prinsipaal** geskep in die Entra ID huur wat deur die subskripsie vertrou word waar die hulpbron geleë is. Wanneer die **hulpbron** verwyder word, verwyder Azure outomaties die **identiteit** vir jou.
|
||||
- **Stelsel-toegewyse**. Sommige Azure dienste laat jou toe om 'n **bestuurde identiteit direk op 'n diens instansie** in te skakel. Wanneer jy 'n stelsel-toegewyse bestuurde identiteit inskakel, word 'n **diens prinsipaal** in die Entra ID huurder geskep wat deur die subskripsie vertrou word waar die hulpbron geleë is. Wanneer die **hulpbron** verwyder word, verwyder Azure outomaties die **identiteit** vir jou.
|
||||
- **Gebruiker-toegewyse**. Dit is ook moontlik vir gebruikers om bestuurde identiteite te genereer. Hierdie word binne 'n hulpbron groep binne 'n subskripsie geskep en 'n diens prinsipaal sal in die EntraID geskep word wat deur die subskripsie vertrou word. Dan kan jy die bestuurde identiteit aan een of **meer instansies** van 'n Azure diens toewys (meerdere hulpbronne). Vir gebruiker-toegewyse bestuurde identiteite, word die **identiteit apart bestuur van die hulpbronne wat dit gebruik**.
|
||||
|
||||
Bestuurde Identiteite **genereer nie ewige akrediteer** (soos wagwoorde of sertifikate) om toegang te verkry as die diens prinsipaal wat aan dit geheg is.
|
||||
Bestuurde Identiteite **genereer nie ewige akrediteer nie** (soos wagwoorde of sertifikate) om toegang te verkry as die diens prinsipaal wat aan dit geheg is.
|
||||
|
||||
### Enterprise Toepassings
|
||||
|
||||
Dit is net 'n **tafel in Azure om diens prinsipale te filter** en die toepassings wat aan hulle toegeken is te kontroleer.
|
||||
Dit is net 'n **tafel in Azure om diens prinsipale te filter** en die toepassings wat aan hulle toegeken is, te kontroleer.
|
||||
|
||||
**Dit is nie 'n ander tipe "toepassing" nie,** daar is nie enige objek in Azure wat 'n "Enterprise Toepassing" is nie, dit is net 'n abstraksie om die Diens prinsipale, App registrasies en bestuurde identiteite te kontroleer.
|
||||
|
||||
### Administratiewe Eenhede
|
||||
|
||||
Administratiewe eenhede laat toe om **toestemmings van 'n rol oor 'n spesifieke gedeelte van 'n organisasie te gee**.
|
||||
Administratiewe eenhede laat toe om **toestemmings van 'n rol oor 'n spesifieke gedeelte van 'n organisasie** te gee.
|
||||
|
||||
Voorbeeld:
|
||||
|
||||
- Scenario: 'n Maatskappy wil regionale IT admins toelaat om slegs die gebruikers in hul eie streek te bestuur.
|
||||
- Implementasie:
|
||||
- Implementering:
|
||||
- Skep Administratiewe Eenhede vir elke streek (bv., "Noord-Amerika AU", "Europa AU").
|
||||
- Vul AU's met gebruikers uit hul onderskeie streke.
|
||||
- Vul AU's met gebruikers van hul onderskeie streke.
|
||||
- AU's kan **gebruikers, groepe, of toestelle** bevat
|
||||
- AU's ondersteun **dinamiese lidmaatskappe**
|
||||
- AU's **kan nie AU's bevat nie**
|
||||
@@ -212,59 +212,53 @@ Voorbeeld:
|
||||
- Gee die "Gebruiker Administrateur" rol aan regionale IT personeel, geskaal na hul streek se AU.
|
||||
- Uitkoms: Regionale IT admins kan gebruikersrekeninge binne hul streek bestuur sonder om ander streke te beïnvloed.
|
||||
|
||||
### Entra ID Rolle
|
||||
### Entra ID Rolle & Toestemmings
|
||||
|
||||
- Ten einde Entra ID te bestuur, is daar 'n paar **ingeboude rolle** wat aan Entra ID beginsels toegeken kan word om Entra ID te bestuur
|
||||
- Kontroleer die rolle in [https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference)
|
||||
- Ten einde Entra ID te bestuur, is daar 'n paar **ingeboude rolle** wat aan Entra ID prinsipale toegeken kan word om Entra ID te bestuur
|
||||
- Kyk na die rolle in [https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference)
|
||||
- Rolle gemerk as **`PRIVILEGED`** deur EntraID moet met omsigtigheid toegeken word omdat Microsoft verduidelik [in die dokumentasie](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference): Bevoorregte rol toekennings kan lei tot verhoogde voorregte as dit nie op 'n veilige en bedoelde manier gebruik word nie.
|
||||
- Die mees bevoorregte rol is **Globale Administrateur**
|
||||
- In die Beskrywing van die rol is dit moontlik om sy **fynere toestemmings** te sien
|
||||
- Rolle groepeer **fynere toestemmings** en hulle kan in hul beskrywings gevind word.
|
||||
- Dit is moontlik om **aangepaste rolle** te skep met die gewenste toestemmings. Alhoewel om een of ander rede nie al die fynere toestemmings beskikbaar is vir admins om aangepaste rolle te skep nie.
|
||||
- Rolle in Entra ID is heeltemal **onafhanklik** van rolle in Azure. Die enigste verband is dat prinsipale met die rol **Globale Administrateur** in Entra ID kan verhoog na die **Gebruiker Toegang Administrateur** rol in Azure.
|
||||
- Dit is **nie moontlik om wildcard** in Entra ID rolle te gebruik nie.
|
||||
|
||||
## Rolle & Toestemmings
|
||||
## Azure Rolle & Toestemmings
|
||||
|
||||
**Rolle** word **toegeken** aan **beginsels** op 'n **skaal**: `beginsel -[HEE ROLE]->(skaal)`
|
||||
- **Rolle** is **toegeken** aan **prinsipale** op 'n **skaal**: `principal -[HAS ROLE]->(scope)`
|
||||
- **Rolle** toegeken aan **groepe** word **geërf** deur al die **lede** van die groep.
|
||||
- Afhangende van die skaal waaraan die rol toegeken is, kan die **rol** geërf word na **ander hulpbronne** binne die skaal houer. Byvoorbeeld, as 'n gebruiker A 'n **rol op die subskripsie** het, sal hy daardie **rol op al die hulpbron groepe** binne die subskripsie en op **alle hulpbronne** binne die hulpbron groep hê.
|
||||
|
||||
**Rolle** wat aan **groepe** toegeken word, word **geërf** deur al die **lede** van die groep.
|
||||
### Ingeboude rolle
|
||||
|
||||
Afhangende van die skaal waaraan die rol toegeken is, kan die **rol** **geërf** word na **ander hulpbronne** binne die skaal houer. Byvoorbeeld, as 'n gebruiker A 'n **rol op die subskripsie** het, sal hy daardie **rol op al die hulpbron groepe** binne die subskripsie hê en op **al die hulpbronne** binne die hulpbron groep.
|
||||
[Van die dokumentasie: ](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles)[Azure rol-gebaseerde toegangbeheer (Azure RBAC)](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview) het verskeie Azure **ingeboude rolle** wat jy kan **toekenn** aan **gebruikers, groepe, diens prinsipale, en bestuurde identiteite**. Rol toekennings is die manier waarop jy **toegang tot Azure hulpbronne** beheer. As die ingeboude rolle nie aan die spesifieke behoeftes van jou organisasie voldoen nie, kan jy jou eie [**Azure aangepaste rolle**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles) skep.
|
||||
|
||||
### Klassieke Rolle
|
||||
**Ingeboude** rolle geld slegs vir die **hulpbronne** waarvoor hulle **bedoel** is, byvoorbeeld kyk na hierdie 2 voorbeelde van **Ingeboude rolle oor Compute** hulpbronne:
|
||||
|
||||
| **Eienaar** | <ul><li>Volledige toegang tot alle hulpbronne</li><li>Kan toegang vir ander gebruikers bestuur</li></ul> | Alle hulpbron tipes |
|
||||
| ------------------------------- | ---------------------------------------------------------------------------------------- | ------------------ |
|
||||
| **Bydraer** | <ul><li>Volledige toegang tot alle hulpbronne</li><li>Kan nie toegang bestuur nie</li></ul> | Alle hulpbron tipes |
|
||||
| **Leser** | • Sien alle hulpbronne | Alle hulpbron tipes |
|
||||
| **Gebruiker Toegang Administrateur** | <ul><li>Sien alle hulpbronne</li><li>Kan toegang vir ander gebruikers bestuur</li></ul> | Alle hulpbron tipes |
|
||||
|
||||
### Gebou-in rolle
|
||||
|
||||
[Van die dokumentasie: ](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles)[Azure rol-gebaseerde toegangbeheer (Azure RBAC)](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview) het verskeie Azure **gebou-in rolle** wat jy kan **toekenn** aan **gebruikers, groepe, diens prinsipale, en bestuurde identiteite**. Rol toekennings is die manier waarop jy **toegang tot Azure hulpbronne** beheer. As die gebou-in rolle nie aan die spesifieke behoeftes van jou organisasie voldoen nie, kan jy jou eie [**Azure pasgemaakte rolle**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles)** skep.**
|
||||
|
||||
**Gebou-in** rolle geld slegs vir die **hulpbronne** waarvoor hulle **bedoel** is, byvoorbeeld kyk na hierdie 2 voorbeelde van **Gebou-in rolle oor Compute** hulpbronne:
|
||||
|
||||
| [Disk Backup Reader](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#disk-backup-reader) | Bied toestemming aan om rugsteun kluise te laat rugsteun. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 |
|
||||
| [Disk Backup Reader](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#disk-backup-reader) | Bied toestemming aan om rugsteun kluis te laat rugsteun. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 |
|
||||
| ----------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------- | ------------------------------------ |
|
||||
| [Virtuele Masjien Gebruiker Aanmelding](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#virtual-machine-user-login) | Sien Virtuele Masjiene in die portaal en teken in as 'n gewone gebruiker. | fb879df8-f326-4884-b1cf-06f3ad86be52 |
|
||||
|
||||
Hierdie rolle kan **ook toegeken word oor logiese houers** (soos bestuursgroepe, subskripsies en hulpbron groepe) en die beginsels wat geraak word, sal dit **oor die hulpbronne binne daardie houers** hê.
|
||||
Hierdie rolle kan **ook toegeken word oor logiese houers** (soos bestuursgroepe, subskripsies en hulpbron groepe) en die prinsipale wat geraak word, sal dit **oor die hulpbronne binne daardie houers** hê.
|
||||
|
||||
- Vind hier 'n lys met [**alle Azure gebou-in rolle**](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles).
|
||||
- Vind hier 'n lys met [**alle Entra ID gebou-in rolle**](https://learn.microsoft.com/en-us/azure/active-directory/roles/permissions-reference).
|
||||
- Vind hier 'n lys met [**alle Azure ingeboude rolle**](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles).
|
||||
- Vind hier 'n lys met [**alle Entra ID ingeboude rolle**](https://learn.microsoft.com/en-us/azure/active-directory/roles/permissions-reference).
|
||||
|
||||
### Pasgemaakte Rolle
|
||||
### Aangepaste Rolle
|
||||
|
||||
- Dit is ook moontlik om [**pasgemaakte rolle**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles) te skep
|
||||
- Dit is ook moontlik om [**aangepaste rolle**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles) te skep
|
||||
- Hulle word binne 'n skaal geskep, alhoewel 'n rol in verskeie skale kan wees (bestuursgroepe, subskripsie en hulpbron groepe)
|
||||
- Dit is moontlik om al die fynere toestemmings wat die pasgemaakte rol sal hê, te konfigureer
|
||||
- Dit is moontlik om al die fynere toestemmings wat die aangepaste rol sal hê, te konfigureer
|
||||
- Dit is moontlik om toestemmings uit te sluit
|
||||
- 'n Beginsels met 'n uitgeslote toestemming sal dit nie kan gebruik nie, selfs al word die toestemming elders toegeken
|
||||
- 'n prinsipaal met 'n uitgeslote toestemming sal dit nie kan gebruik nie, selfs al word die toestemming elders toegeken
|
||||
- Dit is moontlik om wildcard te gebruik
|
||||
- Die gebruikte formaat is 'n JSON
|
||||
- `actions` verwys na toestemmings vir bestuursoperasies op hulpbronne, soos om hulpbron definisies en instellings te skep, op te dateer, of te verwyder.
|
||||
- `dataActions` is toestemmings vir data operasies binne die hulpbron, wat jou toelaat om die werklike data wat in die hulpbron bevat is, te lees, te skryf, of te verwyder.
|
||||
- `notActions` en `notDataActions` word gebruik om spesifieke toestemmings van die rol uit te sluit. Dit ontken egter **nie hulle nie**, as 'n ander rol hulle toeken, sal die beginsels dit hê.
|
||||
- `assignableScopes` is 'n reeks van skale waar die rol toegeken kan word (soos bestuursgroepe, subskripsies, of hulpbron groepe).
|
||||
- `notActions` en `notDataActions` word gebruik om spesifieke toestemmings van die rol uit te sluit. Dit ontken egter **nie hulle nie**, as 'n ander rol hulle toeken, sal die prinsipaal hulle hê.
|
||||
- `assignableScopes` is 'n reeks skale waar die rol toegeken kan word (soos bestuursgroepe, subskripsies, of hulpbron groepe).
|
||||
|
||||
Voorbeeld van toestemmings JSON vir 'n pasgemaakte rol:
|
||||
Voorbeeld van toestemmings JSON vir 'n aangepaste rol:
|
||||
```json
|
||||
{
|
||||
"properties": {
|
||||
@@ -294,10 +288,10 @@ Voorbeeld van toestemmings JSON vir 'n pasgemaakte rol:
|
||||
}
|
||||
}
|
||||
```
|
||||
### Permissies volgorde
|
||||
### Toestemmingsorde
|
||||
|
||||
- Om 'n **hoofpersoon toegang tot 'n hulpbron te hê**, moet daar 'n eksplisiete rol aan hom toegeken word (op enige manier) **wat hom daardie toestemming gee**.
|
||||
- 'n Eksplisiete **weieringstoekenning het voorrang** bo die rol wat die toestemming gee.
|
||||
- Ten einde vir 'n **hoofpersoon om toegang tot 'n hulpbron te hê**, moet 'n eksplisiete rol aan hom toegeken word (op enige manier) **wat hom daardie toestemming gee**.
|
||||
- 'n Eksplisiete **weieringstoewysing het voorrang** bo die rol wat die toestemming gee.
|
||||
|
||||
<figure><img src="../../../images/image (191).png" alt=""><figcaption><p><a href="https://link.springer.com/chapter/10.1007/978-1-4842-7325-8_10">https://link.springer.com/chapter/10.1007/978-1-4842-7325-8_10</a></p></figcaption></figure>
|
||||
|
||||
@@ -305,31 +299,31 @@ Voorbeeld van toestemmings JSON vir 'n pasgemaakte rol:
|
||||
|
||||
Globale Administrateur is 'n rol van Entra ID wat **volledige beheer oor die Entra ID-huurder** gee. Dit gee egter nie standaard enige toestemmings oor Azure-hulpbronne nie.
|
||||
|
||||
Gebruikers met die Globale Administrateur rol het die vermoë om te '**verhoog' na die Gebruikerstoegang Administrateur Azure rol in die Wortelbestuursgroep**. So kan Globale Administrateurs toegang in **alle Azure-subskripsies en bestuursgroepe bestuur.**\
|
||||
Gebruikers met die Globale Administrateur rol het die vermoë om te '**verhoog' na die Gebruikerstoegang Administrateur Azure rol in die Wortelbestuursgroep**. So kan Globale Administrateurs toegang bestuur in **alle Azure-subskripsies en bestuursgroepe.**\
|
||||
Hierdie verhoging kan aan die einde van die bladsy gedoen word: [https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/\~/Properties](https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/Properties)
|
||||
|
||||
<figure><img src="../../../images/image (349).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
### Toekenningstoestande & MFA
|
||||
### Toewysingsvoorwaardes & MFA
|
||||
|
||||
Volgens **[die dokumentasie](https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-role-assignments-portal)**: Tans kan toestande by ingeboude of pasgemaakte roltoekennings gevoeg word wat **blob stoor data aksies of ry stoor data aksies** het.
|
||||
Volgens **[die dokumentasie](https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-role-assignments-portal)**: Tans kan voorwaardes by ingeboude of pasgemaakte roltoewysings gevoeg word wat **blob stoor data aksies of ry stoor data aksies** het.
|
||||
|
||||
### Weieringstoekennings
|
||||
### Weieringstoewysings
|
||||
|
||||
Net soos roltoekennings, **weieringstoekennings** word gebruik om **toegang tot Azure-hulpbronne te beheer**. egter, **weieringstoekennings** word gebruik om **toegang tot 'n hulpbron eksplisiet te weier**, selfs al is 'n gebruiker toegang gegee deur 'n roltoekenning. **Weieringstoekennings** het voorrang bo **roltoekennings**, wat beteken dat as 'n gebruiker toegang gegee word deur 'n roltoekenning maar ook eksplisiet toegang geweier word deur 'n weieringstoekenning, die weieringstoekenning voorrang sal hê.
|
||||
Net soos roltoewysings, **weieringstoewysings** word gebruik om **toegang tot Azure-hulpbronne te beheer**. egter, **weieringstoewysings** word gebruik om **toegang tot 'n hulpbron eksplisiet te weier**, selfs al is 'n gebruiker toegang gegee deur 'n roltoewysing. **Weieringstoewysings** het voorrang bo **roltoewysings**, wat beteken dat as 'n gebruiker toegang gegee word deur 'n roltoewysing maar ook eksplisiet toegang geweier word deur 'n weieringstoewysing, die weieringstoewysing voorrang sal hê.
|
||||
|
||||
Net soos roltoekennings, **weieringstoekennings** word toegepas oor 'n sekere omvang wat die betrokke hoofpersone en die toestemmings wat geweier word aandui. Boonop, in die geval van weieringstoekennings, is dit moontlik om **te voorkom dat die weiering geërf word** deur kindhulpbronne.
|
||||
Net soos roltoewysings, **weieringstoewysings** word toegepas oor 'n sekere omvang wat die betrokke hoofpersone en die toestemmings wat geweier word aandui. Boonop, in die geval van weieringstoewysings, is dit moontlik om die weiering te **verhoed dat dit geërf word** deur kindhulpbronne.
|
||||
|
||||
### Azure Beleide
|
||||
|
||||
**Azure Beleide** is reëls wat organisasies help om te verseker dat hul hulpbronne aan spesifieke standaarde en nakomingsvereistes voldoen. Hulle stel jou in staat om **instellings op hulpbronne in Azure af te dwing of te oudit**. Byvoorbeeld, jy kan die skepping van virtuele masjiene in 'n nie-geautoriseerde streek voorkom of verseker dat alle hulpbronne spesifieke etikette het vir opsporing.
|
||||
**Azure Beleide** is reëls wat organisasies help om te verseker dat hul hulpbronne aan spesifieke standaarde en nakomingsvereistes voldoen. Hulle stel jou in staat om **instellings op hulpbronne in Azure af te dwing of te oudit**. Byvoorbeeld, jy kan die skepping van virtuele masjiene in 'n nie-geautoriseerde streek verhoed of verseker dat alle hulpbronne spesifieke etikette het vir opsporing.
|
||||
|
||||
Azure Beleide is **proaktief**: hulle kan nie-nakommende hulpbronne stop om geskep of verander te word. Hulle is ook **reaktief**, wat jou toelaat om bestaande nie-nakommende hulpbronne te vind en reg te stel.
|
||||
Azure Beleide is **proaktief**: hulle kan nie-nakomende hulpbronne verhoed om geskep of verander te word. Hulle is ook **reaktief**, wat jou toelaat om bestaande nie-nakomende hulpbronne te vind en reg te stel.
|
||||
|
||||
#### **Belangrike Konsepte**
|
||||
|
||||
1. **Beleid Definisie**: 'n Reël, geskryf in JSON, wat spesifiseer wat toegelaat of vereis word.
|
||||
2. **Beleid Toekenning**: Die aansoek van 'n beleid op 'n spesifieke omvang (bv. subskripsie, hulpbron groep).
|
||||
2. **Beleid Toewysing**: Die toepassing van 'n beleid op 'n spesifieke omvang (bv. subskripsie, hulpbron groep).
|
||||
3. **Inisiatiewe**: 'n Versameling van beleide wat saamgegroepeer is vir breër afdwinging.
|
||||
4. **Effek**: Spesifiseer wat gebeur wanneer die beleid geaktiveer word (bv. "Weier," "Ou dit," of "Voeg by").
|
||||
|
||||
@@ -337,8 +331,8 @@ Azure Beleide is **proaktief**: hulle kan nie-nakommende hulpbronne stop om gesk
|
||||
|
||||
1. **Verseker Nakoming met Spesifieke Azure Streke**: Hierdie beleid verseker dat alle hulpbronne in spesifieke Azure streke ontplooi word. Byvoorbeeld, 'n maatskappy mag wil verseker dat al sy data in Europa gestoor word vir GDPR-nakoming.
|
||||
2. **Afgedwonge Naamstandaarde**: Beleide kan naamkonvensies vir Azure-hulpbronne afdwing. Dit help om hulpbronne te organiseer en maklik te identifiseer op grond van hul name, wat nuttig is in groot omgewings.
|
||||
3. **Beperking van Sekere Hulpbron Tipes**: Hierdie beleid kan die skepping van sekere tipes hulpbronne beperk. Byvoorbeeld, 'n beleid kan ingestel word om die skepping van duur hulpbron tipes, soos sekere VM-groottes, te voorkom om koste te beheer.
|
||||
4. **Afgedwonge Etikettering Beleide**: Etikette is sleutel-waarde pare wat met Azure-hulpbronne geassosieer word en gebruik word vir hulpbronbestuur. Beleide kan afdwing dat sekere etikette teenwoordig moet wees, of spesifieke waardes moet hê, vir alle hulpbronne. Dit is nuttig vir koste-opsporing, eienaarskap, of kategorisering van hulpbronne.
|
||||
3. **Beperking van Sekere Hulpbron Tipes**: Hierdie beleid kan die skepping van sekere tipes hulpbronne beperk. Byvoorbeeld, 'n beleid kan ingestel word om die skepping van duur hulpbron tipes, soos sekere VM-groottes, te verhoed om koste te beheer.
|
||||
4. **Afgedwonge Etikettering Beleide**: Etikette is sleutel-waarde pare wat met Azure-hulpbronne geassosieer word en wat vir hulpbronbestuur gebruik word. Beleide kan afdwing dat sekere etikette teenwoordig moet wees, of spesifieke waardes moet hê, vir alle hulpbronne. Dit is nuttig vir kostesporing, eienaarskap, of kategorisering van hulpbronne.
|
||||
5. **Beperking van Publieke Toegang tot Hulpbronne**: Beleide kan afdwing dat sekere hulpbronne, soos stoor rekeninge of databasisse, nie publieke eindpunte het nie, wat verseker dat hulle slegs binne die organisasie se netwerk toeganklik is.
|
||||
6. **Outomatiese Toepassing van Sekuriteitsinstellings**: Beleide kan gebruik word om outomaties sekuriteitsinstellings op hulpbronne toe te pas, soos om 'n spesifieke netwerk sekuriteitsgroep op alle VM's toe te pas of te verseker dat alle stoor rekeninge versleuteling gebruik.
|
||||
|
||||
@@ -366,16 +360,16 @@ Azure beleid json voorbeeld:
|
||||
|
||||
In Azure **kan toestemmings aan enige deel van die hiërargie toegeken word**. Dit sluit bestuursgroepe, subskripsies, hulpbron groepe, en individuele hulpbronne in. Toestemmings word **geërf** deur die ingeslote **hulpbronne** van die entiteit waar hulle toegeken is.
|
||||
|
||||
Hierdie hiërargiese struktuur stel in staat tot doeltreffende en skaalbare bestuur van toegangstoestemmings.
|
||||
Hierdie hiërargiese struktuur stel in staat vir doeltreffende en skaalbare bestuur van toegangstoestemmings.
|
||||
|
||||
<figure><img src="../../../images/image (26).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
### Azure RBAC vs ABAC
|
||||
|
||||
**RBAC** (rolgebaseerde toegangbeheer) is wat ons reeds in die vorige afdelings gesien het: **'n rol aan 'n prinsiep toe te ken om hom toegang** tot 'n hulpbron te gee.\
|
||||
**RBAC** (rolgebaseerde toegangbeheer) is wat ons reeds in die vorige afdelings gesien het: **'n rol aan 'n prinsiep toe te ken om hom toegang te gee** oor 'n hulpbron.\
|
||||
E however, in sommige gevalle wil jy dalk **meer fyn-granulêre toegangsbewaking** bied of **die bestuur** van **honderde** rol **toekennings** vereenvoudig.
|
||||
|
||||
Azure **ABAC** (attribuut-gebaseerde toegangbeheer) bou op Azure RBAC deur **roltoekenningsvoorwaardes gebaseer op attribuute** in die konteks van spesifieke aksies by te voeg. 'n _roltoekenningsvoorwaarde_ is 'n **addisionele kontrole wat jy opsioneel kan byvoeg tot jou roltoekenning** om meer fyn-granulêre toegangbeheer te bied. 'n voorwaarde filter die toestemmings wat as deel van die roldefinisie en roltoekenning toegeken word. Byvoorbeeld, jy kan **'n voorwaarde byvoeg wat vereis dat 'n objek 'n spesifieke etiket moet hê om die objek te lees**.\
|
||||
Azure **ABAC** (attribuut-gebaseerde toegangbeheer) bou voort op Azure RBAC deur **roltoekenningsvoorwaardes gebaseer op attribuute** in die konteks van spesifieke aksies by te voeg. 'n _roltoekenningsvoorwaarde_ is 'n **addisionele kontrole wat jy opsioneel kan byvoeg tot jou roltoekenning** om meer fyn-granulêre toegangbeheer te bied. 'n Voorwaarde filter die toestemmings wat as deel van die roldefinisie en roltoekenning toegeken word. Byvoorbeeld, jy kan **'n voorwaarde byvoeg wat vereis dat 'n objek 'n spesifieke etiket moet hê om die objek te lees**.\
|
||||
Jy **kan nie** eksplisiet **toegang** tot spesifieke hulpbronne **weier** **met behulp van voorwaardes** nie.
|
||||
|
||||
## Verwysings
|
||||
|
||||
@@ -4,9 +4,9 @@
|
||||
|
||||
## Basiese Inligting
|
||||
|
||||
Azure Active Directory (Azure AD) dien as Microsoft se wolk-gebaseerde diens vir identiteit en toegang bestuur. Dit is noodsaaklik om werknemers in staat te stel om aan te meld en toegang tot hulpbronne te verkry, beide binne en buite die organisasie, insluitend Microsoft 365, die Azure-portaal, en 'n verskeidenheid ander SaaS-toepassings. Die ontwerp van Azure AD fokus op die lewering van noodsaaklike identiteit dienste, wat prominent **autentisering, magtiging, en gebruikersbestuur** insluit.
|
||||
Azure Active Directory (Azure AD) dien as Microsoft se wolk-gebaseerde diens vir identiteit en toegang bestuur. Dit is noodsaaklik om werknemers in staat te stel om aan te meld en toegang te verkry tot hulpbronne, beide binne en buite die organisasie, insluitend Microsoft 365, die Azure-portaal, en 'n verskeidenheid ander SaaS-toepassings. Die ontwerp van Azure AD fokus op die lewering van noodsaaklike identiteit dienste, wat prominent **authentisering, autorisasie, en gebruikersbestuur** insluit.
|
||||
|
||||
Belangrike kenmerke van Azure AD sluit **multi-faktor autentisering** en **voorwaardelike toegang** in, tesame met naatlose integrasie met ander Microsoft sekuriteitsdienste. Hierdie kenmerke verhoog die sekuriteit van gebruikersidentiteite aansienlik en bemagtig organisasies om hul toegangbeleide effektief te implementeer en af te dwing. As 'n fundamentele komponent van Microsoft se wolkdienste-ekosisteem, is Azure AD van kardinale belang vir die wolk-gebaseerde bestuur van gebruikersidentiteite.
|
||||
Belangrike kenmerke van Azure AD sluit **multi-faktor authentisering** en **voorwaardelike toegang** in, tesame met naatlose integrasie met ander Microsoft sekuriteitsdienste. Hierdie kenmerke verhoog die sekuriteit van gebruikersidentiteite aansienlik en bemagtig organisasies om hul toegangbeleide effektief te implementeer en af te dwing. As 'n fundamentele komponent van Microsoft se wolkdienste-ekosisteem, is Azure AD van kardinale belang vir die wolk-gebaseerde bestuur van gebruikersidentiteite.
|
||||
|
||||
## Opsomming
|
||||
|
||||
@@ -186,7 +186,7 @@ Connect-AzureAD -AccountId test@corp.onmicrosoft.com -AadAccessToken $token
|
||||
|
||||
Wanneer jy **aanmeld** via **CLI** in Azure met enige program, gebruik jy 'n **Azure-toepassing** van 'n **tenant** wat aan **Microsoft** behoort. Hierdie Toepassings, soos die wat jy in jou rekening kan skep, **het 'n kliënt-id**. Jy **sal nie al hulle kan sien nie** in die **toegelate toepassingslys** wat jy in die konsole kan sien, **maar hulle is standaard toegelaat**.
|
||||
|
||||
Byvoorbeeld, 'n **powershell-skrip** wat **autentiseer** gebruik 'n app met kliënt-id **`1950a258-227b-4e31-a9cf-717495945fc2`**. Selfs al verskyn die app nie in die konsole nie, kan 'n stelselaanvoerder daardie toepassing **blokkeer** sodat gebruikers nie toegang kan verkry nie met gereedskap wat via daardie App verbind.
|
||||
Byvoorbeeld, 'n **powershell-skrip** wat **authentiseer** gebruik 'n app met kliënt-id **`1950a258-227b-4e31-a9cf-717495945fc2`**. Selfs al verskyn die app nie in die konsole nie, kan 'n stelselaanvoerder **daardie toepassing blokkeer** sodat gebruikers nie toegang kan verkry nie met gereedskap wat via daardie App verbind.
|
||||
|
||||
Daar is egter **ander kliënt-ids** van toepassings wat **jou sal toelaat om met Azure te verbind**:
|
||||
```bash
|
||||
@@ -363,15 +363,15 @@ $password = "ThisIsTheNewPassword.!123" | ConvertTo- SecureString -AsPlainText
|
||||
|
||||
(Get-AzureADUser -All $true | ?{$_.UserPrincipalName -eq "victim@corp.onmicrosoft.com"}).ObjectId | Set- AzureADUserPassword -Password $password –Verbose
|
||||
```
|
||||
### MFA & Voorwaardelike Toegang Beleide
|
||||
### MFA & Conditional Access Policies
|
||||
|
||||
Dit word sterk aanbeveel om MFA by elke gebruiker toe te voeg, maar sommige maatskappye sal dit nie instel nie of mag dit instel met 'n Voorwaardelike Toegang: Die gebruiker sal **MFA vereis word as** dit vanaf 'n spesifieke ligging, blaaiers of **sekere voorwaarde** aanmeld. Hierdie beleide, as dit nie korrek geconfigureer is nie, mag vatbaar wees vir **omseilings**. Kontroleer:
|
||||
Dit word sterk aanbeveel om MFA aan elke gebruiker toe te voeg, egter, sommige maatskappye sal dit nie instel of mag dit instel met 'n Voorwaardelike Toegang: Die gebruiker sal **vereiste MFA wees as** dit vanaf 'n spesifieke ligging, blaaiers of **sekere voorwaarde** aanmeld. Hierdie beleide, as dit nie korrek geconfigureer is nie, mag geneig wees tot **bypasses**. Kontroleer:
|
||||
|
||||
{{#ref}}
|
||||
../az-privilege-escalation/az-entraid-privesc/az-conditional-access-policies-mfa-bypass.md
|
||||
{{#endref}}
|
||||
|
||||
### Groepe
|
||||
### Groups
|
||||
|
||||
Vir meer inligting oor Entra ID groepe, kyk:
|
||||
|
||||
@@ -716,7 +716,7 @@ Vir meer inligting oor Toepassings, kyk:
|
||||
|
||||
Wanneer 'n App gegenereer word, word 2 tipes toestemmings gegee:
|
||||
|
||||
- **Toestemmings** gegee aan die **Diens Prinsipal**
|
||||
- **Toestemmings** gegee aan die **Diens Prinsipaal**
|
||||
- **Toestemmings** wat die **app** kan hê en gebruik op **naam van die gebruiker**.
|
||||
|
||||
{{#tabs }}
|
||||
@@ -735,6 +735,13 @@ az ad app owner list --id <id> --query "[].[displayName]" -o table
|
||||
az ad app list --show-mine
|
||||
# Get apps with generated secret or certificate
|
||||
az ad app list --query '[?length(keyCredentials) > `0` || length(passwordCredentials) > `0`].[displayName, appId, keyCredentials, passwordCredentials]' -o json
|
||||
# Get Global Administrators (full access over apps)
|
||||
az rest --method GET --url "https://graph.microsoft.com/v1.0/directoryRoles/1b2256f9-46c1-4fc2-a125-5b2f51bb43b7/members"
|
||||
# Get Application Administrators (full access over apps)
|
||||
az rest --method GET --url "https://graph.microsoft.com/v1.0/directoryRoles/1e92c3b7-2363-4826-93a6-7f7a5b53e7f9/members"
|
||||
# Get Cloud Applications Administrators (full access over apps)
|
||||
az rest --method GET --url "https://graph.microsoft.com/v1.0/directoryRoles/0d601d27-7b9c-476f-8134-8e7cd6744f02/members"
|
||||
|
||||
```
|
||||
{{#endtab }}
|
||||
|
||||
@@ -790,10 +797,10 @@ Get-AzureADApplication -ObjectId <id> | Get-AzureADApplicationOwner |fl *
|
||||
|
||||
> [!NOTE]
|
||||
> 'n Geheime string wat die toepassing gebruik om sy identiteit te bewys wanneer dit 'n token aan vra, is die toepassing wagwoord.\
|
||||
> So, as jy hierdie **wagwoord** vind, kan jy toegang verkry as die **service principal** **binne** die **tenant**.\
|
||||
> So, as jy hierdie **wagwoord** vind, kan jy toegang verkry as die **diens prinsiep** **binne** die **huurder**.\
|
||||
> Let daarop dat hierdie wagwoord slegs sigbaar is wanneer dit gegenereer word (jy kan dit verander, maar jy kan dit nie weer kry nie).\
|
||||
> Die **eienaar** van die **toepassing** kan 'n **wagwoord** daaraan **byvoeg** (sodat hy dit kan naboots).\
|
||||
> Aanmeldings as hierdie service principals is **nie as riskant gemerk nie** en hulle **sal nie MFA hê nie.**
|
||||
> Aanmeldings as hierdie diens prinsiepe is **nie as riskant gemerk nie** en hulle **sal nie MFA hê nie.**
|
||||
|
||||
Dit is moontlik om 'n lys van algemeen gebruikte App ID's wat aan Microsoft behoort te vind in [https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications](https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications)
|
||||
|
||||
@@ -958,7 +965,7 @@ az rest --method GET \
|
||||
--query "value[]" \
|
||||
--output json
|
||||
|
||||
# Lys Entra ID rolle toegewy aan 'n dienshoof
|
||||
# Lys Entra ID rolle toegewy aan 'n diens prinsiep
|
||||
az rest --method GET \
|
||||
--uri "https://graph.microsoft.com/v1.0/servicePrincipals/$SP_ID/memberOf/microsoft.graph.directoryRole" \
|
||||
--query "value[]" \
|
||||
@@ -1003,13 +1010,13 @@ Get-AzureADMSScopedRoleMembership -Id <id> | fl *
|
||||
# Lys toestelle met Microsoft Graph PowerShell
|
||||
Get-MgDevice -All
|
||||
|
||||
# Kry toestel besonderhede
|
||||
# Kry toestelbesonderhede
|
||||
Get-MgDevice -DeviceId <DeviceId> | Format-List *
|
||||
|
||||
# Kry toestelle bestuur deur Intune
|
||||
# Kry toestelle wat met Intune bestuur word
|
||||
Get-MgDevice -Filter "isCompliant eq true" -All
|
||||
|
||||
# Kry toestelle besit deur 'n gebruiker
|
||||
# Kry toestelle wat deur 'n gebruiker besit word
|
||||
Get-MgUserOwnedDevice -UserId test@corp.onmicrosoft.com
|
||||
|
||||
# Lys beskikbare opdragte in Microsoft Graph PowerShell
|
||||
@@ -1076,7 +1083,7 @@ az rest --method GET --uri "https://graph.microsoft.com/v1.0/directory/administr
|
||||
Get-AzureADMSAdministrativeUnit
|
||||
Get-AzureADMSAdministrativeUnit -Id <id>
|
||||
# Kry ID van administratiewe eenheid deur string
|
||||
$adminUnitObj = Get-AzureADMSAdministrativeUnit -Filter "displayname eq 'Test administratiewe eenheid 2'"
|
||||
$adminUnitObj = Get-AzureADMSAdministrativeUnit -Filter "displayname eq 'Test administratieve eenheid 2'"
|
||||
# Lys die gebruikers, groepe, en toestelle wat deur die administratiewe eenheid geraak word
|
||||
Get-AzureADMSAdministrativeUnitMember -Id <id>
|
||||
# Kry die rolle wat gebruikers oor die lede van die AU het
|
||||
|
||||
Reference in New Issue
Block a user