mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2026-07-30 23:50:25 -07:00
Translated ['.github/pull_request_template.md', 'src/README.md', 'src/pe
This commit is contained in:
Translator
@@ -4,7 +4,7 @@
|
||||
|
||||
## Basiese Inligting
|
||||
|
||||
Azure Active Directory (Azure AD) dien as Microsoft se wolk-gebaseerde diens vir identiteit en toegang bestuur. Dit is noodsaaklik om werknemers in staat te stel om aan te meld en toegang te verkry tot hulpbronne, beide binne en buite die organisasie, insluitend Microsoft 365, die Azure-portaal, en 'n menigte ander SaaS-toepassings. Die ontwerp van Azure AD fokus op die lewering van noodsaaklike identiteit dienste, wat prominent **authentisering, autorisasie, en gebruikersbestuur** insluit.
|
||||
Azure Active Directory (Azure AD) dien as Microsoft se wolk-gebaseerde diens vir identiteit en toegang bestuur. Dit is noodsaaklik om werknemers in staat te stel om aan te meld en toegang tot hulpbronne te verkry, beide binne en buite die organisasie, insluitend Microsoft 365, die Azure-portaal, en 'n verskeidenheid ander SaaS-toepassings. Die ontwerp van Azure AD fokus op die lewering van noodsaaklike identiteit dienste, wat prominent **authentisering, autorisasie, en gebruikersbestuur** insluit.
|
||||
|
||||
Belangrike kenmerke van Azure AD sluit **multi-faktor authentisering** en **voorwaardelike toegang** in, tesame met naatlose integrasie met ander Microsoft sekuriteitsdienste. Hierdie kenmerke verhoog die sekuriteit van gebruikersidentiteite aansienlik en bemagtig organisasies om hul toegangbeleide effektief te implementeer en af te dwing. As 'n fundamentele komponent van Microsoft se wolkdienste-ekosisteem, is Azure AD van kardinale belang vir die wolk-gebaseerde bestuur van gebruikersidentiteite.
|
||||
|
||||
@@ -103,7 +103,7 @@ Get-Command *az*
|
||||
```
|
||||
{{#endtab }}
|
||||
|
||||
{{#tab name="Rawe PS" }}
|
||||
{{#tab name="Raw PS" }}
|
||||
```powershell
|
||||
#Using management
|
||||
$Token = 'eyJ0eXAi..'
|
||||
@@ -151,9 +151,9 @@ Connect-AzureAD -AccountId test@corp.onmicrosoft.com -AadAccessToken $token
|
||||
|
||||
Wanneer jy **aanmeld** via **CLI** in Azure met enige program, gebruik jy 'n **Azure-toepassing** van 'n **tenant** wat aan **Microsoft** behoort. Hierdie Toepassings, soos die wat jy in jou rekening kan skep, **het 'n kliënt-id**. Jy **sal nie al hulle kan sien nie** in die **toegelate toepassingslys** wat jy in die konsole kan sien, **maar hulle is standaard toegelaat**.
|
||||
|
||||
Byvoorbeeld, 'n **powershell-skrip** wat **autentiseer** gebruik 'n app met kliënt-id **`1950a258-227b-4e31-a9cf-717495945fc2`**. Selfs al verskyn die app nie in die konsole nie, kan 'n stelselaanvoerder **daardie toepassing blokkeer** sodat gebruikers nie toegang kan verkry nie met gereedskap wat via daardie App verbind.
|
||||
Byvoorbeeld, 'n **powershell-skrip** wat **authentiseer** gebruik 'n app met kliënt-id **`1950a258-227b-4e31-a9cf-717495945fc2`**. Selfs al verskyn die app nie in die konsole nie, kan 'n stelselaanvoerder **daardie toepassing blokkeer** sodat gebruikers nie toegang kan verkry nie met gereedskap wat via daardie App verbind.
|
||||
|
||||
Daar is egter **ander kliënt-id's** van toepassings wat **jou sal toelaat om met Azure te verbind**:
|
||||
Daar is egter **ander kliënt-ids** van toepassings wat **jou sal toelaat om met Azure te verbind**:
|
||||
```powershell
|
||||
# The important part is the ClientId, which identifies the application to login inside Azure
|
||||
|
||||
@@ -302,7 +302,7 @@ $password = "ThisIsTheNewPassword.!123" | ConvertTo- SecureString -AsPlainText
|
||||
```
|
||||
### MFA & Voorwaardelike Toegang Beleide
|
||||
|
||||
Dit word sterk aanbeveel om MFA aan elke gebruiker toe te voeg, egter, sommige maatskappye sal dit nie instel nie of mag dit instel met 'n Voorwaardelike Toegang: Die gebruiker sal **MFA vereis word as** dit vanaf 'n spesifieke ligging, blaaier of **sekere voorwaarde** aanmeld. Hierdie beleide, indien nie korrek geconfigureer nie, mag vatbaar wees vir **omseilings**. Kontroleer:
|
||||
Dit word sterk aanbeveel om MFA aan elke gebruiker toe te voeg, egter, sommige maatskappye sal dit nie instel of mag dit instel met 'n Voorwaardelike Toegang: Die gebruiker sal **MFA vereis word as** dit vanaf 'n spesifieke ligging, blaaier of **sekere voorwaarde** aanmeld. Hierdie beleide, as dit nie korrek geconfigureer is nie, mag geneig wees tot **omseilings**. Kontroleer:
|
||||
|
||||
{{#ref}}
|
||||
../az-privilege-escalation/az-entraid-privesc/az-conditional-access-policies-mfa-bypass.md
|
||||
@@ -398,7 +398,7 @@ Eienaars van die groep kan nuwe gebruikers by die groep voeg
|
||||
Add-AzureADGroupMember -ObjectId <group_id> -RefObjectId <user_id> -Verbose
|
||||
```
|
||||
> [!WARNING]
|
||||
> Groepe kan dinamies wees, wat basies beteken dat **as 'n gebruiker aan sekere voorwaardes voldoen, sal hy by 'n groep gevoeg word**. Natuurlik, as die voorwaardes gebaseer is op **atribute** wat 'n **gebruiker** kan **beheer**, kan hy hierdie funksie misbruik om **in ander groepe te kom**.\
|
||||
> Groepe kan dinamies wees, wat basies beteken dat **as 'n gebruiker aan sekere voorwaardes voldoen, sal hy aan 'n groep bygevoeg word**. Natuurlik, as die voorwaardes gebaseer is op **kenmerke** wat 'n **gebruiker** kan **beheer**, kan hy hierdie funksie misbruik om **in ander groepe te kom**.\
|
||||
> Kyk hoe om dinamiese groepe te misbruik op die volgende bladsy:
|
||||
|
||||
{{#ref}}
|
||||
@@ -484,11 +484,11 @@ Headers = @{
|
||||
{{#endtabs }}
|
||||
|
||||
> [!WARNING]
|
||||
> Die eienaar van 'n dienshoof kan sy wagwoord verander.
|
||||
> Die Eienaar van 'n Diens Prinsipaal kan sy wagwoord verander.
|
||||
|
||||
<details>
|
||||
|
||||
<summary>lys en probeer om 'n kliëntsekrte op elke ondernemingstoepassing by te voeg</summary>
|
||||
<summary>Ly en probeer om 'n kliënt geheim by elke Enterprise App te voeg</summary>
|
||||
```powershell
|
||||
# Just call Add-AzADAppSecret
|
||||
Function Add-AzADAppSecret
|
||||
@@ -603,8 +603,8 @@ Vir meer inligting oor Toepassings, kyk:
|
||||
|
||||
Wanneer 'n App gegenereer word, word 2 tipes toestemmings gegee:
|
||||
|
||||
- **Toestemmings** gegee aan die **Diens Prinsipaal**
|
||||
- **Toestemmings** wat die **app** kan hê en gebruik op **naam van die gebruiker**.
|
||||
- **Toestemmings** gegee aan die **Diens Prinsipal**
|
||||
- **Toestemmings** wat die **app** kan hê en gebruik namens die **gebruiker**.
|
||||
|
||||
{{#tabs }}
|
||||
{{#tab name="az cli" }}
|
||||
@@ -653,15 +653,15 @@ Get-AzADAppCredential
|
||||
{{#endtabs }}
|
||||
|
||||
> [!WARNING]
|
||||
> 'n App met die toestemming **`AppRoleAssignment.ReadWrite`** kan **eskaleer na Global Admin** deur homself die rol toe te ken.\
|
||||
> 'n App met die toestemming **`AppRoleAssignment.ReadWrite`** kan **opgradeer na Global Admin** deur homself die rol toe te ken.\
|
||||
> Vir meer inligting [**kyk hier**](https://posts.specterops.io/azure-privilege-escalation-via-azure-api-permissions-abuse-74aee1006f48).
|
||||
|
||||
> [!NOTE]
|
||||
> 'n Geheime string wat die toepassing gebruik om sy identiteit te bewys wanneer dit 'n token aan vra, is die toepassingswagwoord.\
|
||||
> So, as jy hierdie **wagwoord** vind, kan jy toegang verkry as die **dienshoof** **binne** die **huurder**.\
|
||||
> So, as jy hierdie **wagwoord** vind, kan jy toegang verkry as die **service principal** **binne** die **tenant**.\
|
||||
> Let daarop dat hierdie wagwoord slegs sigbaar is wanneer dit gegenereer word (jy kan dit verander, maar jy kan dit nie weer kry nie).\
|
||||
> Die **eienaar** van die **toepassing** kan 'n **wagwoord** daaraan **byvoeg** (sodat hy dit kan naboots).\
|
||||
> Aanmeldings as hierdie dienshoofde is **nie as riskant gemerk nie** en hulle **sal nie MFA hê nie.**
|
||||
> Aanmeldings as hierdie service principals is **nie as riskant gemerk nie** en hulle **sal nie MFA hê nie.**
|
||||
|
||||
Dit is moontlik om 'n lys van algemeen gebruikte App ID's wat aan Microsoft behoort te vind in [https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications](https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications)
|
||||
|
||||
@@ -904,11 +904,11 @@ Get-AzureADMSScopedRoleMembership -Id <id> | fl #Get role ID and role members
|
||||
|
||||
## Verdedigingsmeganismes
|
||||
|
||||
### Privileged Identity Management (PIM)
|
||||
### Bevoorregte Identiteitsbestuur (PIM)
|
||||
|
||||
Privileged Identity Management (PIM) in Azure help om **oormatige bevoegdhede** aan gebruikers onnodig toe te ken.
|
||||
Bevoorregte Identiteitsbestuur (PIM) in Azure help om **oormatige voorregte** te voorkom wat onnodig aan gebruikers toegeken word.
|
||||
|
||||
Een van die hoofkenmerke wat deur PIM verskaf word, is dat dit toelaat om nie rolle aan principals toe te ken wat konstant aktief is nie, maar hulle **verkieslik te maak vir 'n tydperk (bv. 6 maande)**. Dan, wanneer die gebruiker daardie rol wil aktiveer, moet hy daarvoor vra en die tyd aan dui wat hy die bevoegdheid benodig (bv. 3 ure). Dan moet 'n **admin die versoek goedkeur**.\
|
||||
Een van die hoofkenmerke wat deur PIM verskaf word, is dat dit toelaat om nie rolle aan principals toe te ken wat konstant aktief is nie, maar om hulle **verkieslik te maak vir 'n tydperk (bv. 6 maande)**. Dan, wanneer die gebruiker daardie rol wil aktiveer, moet hy daarvoor vra en die tyd aan dui wat hy die voorreg nodig het (bv. 3 uur). Dan moet 'n **admin die versoek goedkeur**.\
|
||||
Let daarop dat die gebruiker ook kan vra om die tyd te **verleng**.
|
||||
|
||||
Boonop **stuur PIM e-posse** wanneer 'n bevoorregte rol aan iemand toegeken word.
|
||||
@@ -920,7 +920,7 @@ Wanneer PIM geaktiveer is, is dit moontlik om elke rol met sekere vereistes te k
|
||||
- Maksimum duur (ure) van aktivering
|
||||
- Vereis MFA op aktivering
|
||||
- Vereis voorwaardelike toegang autentikasie konteks
|
||||
- Vereis regverdigings op aktivering
|
||||
- Vereis regverdigheid op aktivering
|
||||
- Vereis kaartjie-inligting op aktivering
|
||||
- Vereis goedkeuring om te aktiveer
|
||||
- Maks tyd om die verkieslike toewysings te laat verval 
|
||||
@@ -936,7 +936,7 @@ Kontroleer:
|
||||
|
||||
### Entra Identiteitsbeskerming <a href="#title-text" id="title-text"></a>
|
||||
|
||||
Entra Identiteitsbeskerming is 'n sekuriteitsdiens wat toelaat om **te detecteer wanneer 'n gebruiker of 'n aanmelding te riskant is** om aanvaar te word, wat toelaat om die gebruiker of die aanmeldpoging te **blokkeer**.
|
||||
Entra Identiteitsbeskerming is 'n sekuriteitsdiens wat toelaat om te **ontdek wanneer 'n gebruiker of 'n aanmelding te riskant is** om aanvaar te word, wat toelaat om die gebruiker of die aanmeldpoging te **blokkeer**.
|
||||
|
||||
Dit laat die admin toe om dit te konfigureer om **pogings te blokkeer** wanneer die risiko "Laag en bo", "Medium en bo" of "Hoog" is. Alhoewel, standaard is dit heeltemal **deaktiveer**:
|
||||
|
||||
@@ -952,7 +952,7 @@ Dit laat ook toe om 'n **aangepaste wagwoordlys te verbied** wat jy moet verskaf
|
||||
|
||||
Dit kan **op beide** die wolkvlak en op-premises Aktiewe Gids toegepas word.
|
||||
|
||||
Die standaardmodus is **Oudit**:
|
||||
Die standaardmodus is **Audiet**:
|
||||
|
||||
<figure><img src="../../../images/image (355).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
|
||||
Reference in New Issue
Block a user