Weboldal keresés

helyszíni Azure Active Directory jelszóvédelem

Tavaly írtam egy blogbejegyzést a jelszóról az Azure Active Directoryban (válasszon olyan jelszót, amelyet nehezebb kitalálni - https://jaapwesselius.com/2018/10/15/choose-a-password-thats-harder-for-people -to-guess/), amelyben megemlítettem a tiltott jelszavak listáját és az Azure AD jelszavas védelem funkcióját. Akkoriban ez csak az Azure AD-hez volt, de jelenleg a helyszíni tartományvezérlőhöz is elérhető (már egy ideje). A helyszíni tartományvezérlők használhatják az Azure AD jelszavas védelmi funkcióját, és így blokkolhatják a gyenge jelszavak használatának lehetőségét a helyszíni környezetben. Lássuk, hogyan működik.

A helyszíni jelszavas védelmi szolgáltatás egy jelszóvédelmi ügynököt használ, amely a helyszíni tartományvezérlőkön fut. Amikor egy felhasználó jelszómódosítást kezdeményez, az új jelszót az Azure AD Password Protection ügynök ellenőrzi, amely jelszóházirendet kér az Azure AD Password Protection proxyszolgáltatástól. Ez a jelszóvédelmi szolgáltatás jelszóházirendet kér az Azure AD-től. Az új jelszó soha nem kerül elküldésre az Azure AD-nek. Ez látható a következő képen (a Microsoft webhelyéről kölcsönözve):

A jelszóházirend kézhezvétele után az ügynök sikeres vagy sikertelen üzenetet ad vissza az új jelszóhoz. Sikertelenség esetén a felhasználónak újra meg kell próbálnia.

A jelszavas védelem telepítése két lépésből áll:

  • Az Azure AD Password Protection Proxy szolgáltatás az AzureADPasswordProtectionProxySetup.exe szoftvertelepítő használatával. Ez egy olyan, tartományhoz csatlakoztatott számítógépre van telepítve, amely hozzáféréssel rendelkezik az internethez, és proxyként továbbítja a jelszóházirend-kérelmet az Azure Active Directoryhoz.
  • A DC Agent szolgáltatás jelszavas védelemhez az AzureADPasswordProtectionDCAgentSetup.msi csomag használatával. Ez a tartományvezérlőkön fut, és elküldi a jelszóházirend-kérelmeket a proxyszolgáltatást futtató kiszolgálónak.

Mindkettő letölthető a Microsoft letöltési központjából a következő címen: https://www.microsoft.com/en-us/download/details.aspx?id=57071

Jelszóvédelem Proxy telepítése

Az első lépés a jelszavas védelmi szolgáltatás telepítése. Ennek a kiszolgálónak képesnek kell lennie hozzáférni az Azure AD-hez, és mivel a tartományvezérlő nem rendelkezik internetkapcsolattal, ezt egy külön kiszolgálóra kell telepíteni. A laborkörnyezetemben telepítettem a jelszavas védelmi szolgáltatást az Azure AD Connect kiszolgálón.

A jelszavas védelmi proxy telepítése egyszerű; használhatja a grafikus felhasználói felületet vagy a parancssori beállítást a /quit kapcsolóval a felügyelet nélküli telepítéshez (és a Server Core-hoz). A telepítés után a PowerShell segítségével regisztrálja a proxyt az Azure AD-ben a következő parancsokkal:

[PS] C:\> Import-Module AzureADPasswordProtection
[PS] C:\> Register-AzureADPasswordProtectionProxy -AccountUpn 'administrator@tenant.onmicrosoft.com'

Ez a parancs akkor működhet, ha az MFA engedélyezve van az adminisztrátori fiókokhoz, ha nem igényel MFA-t az adminisztrátori fiókokhoz (ami az IMHO rossz gyakorlata), akkor a következő parancsot használhatja:

[PS] C:\> $globalAdminCredentials = Get-Credential
[PS] C:\> Register-AzureADPasswordProtectionProxy -AzureCredential $globalAdminCredentials

Az utolsó lépés az erdő regisztrálása az Azure Active Directoryban. Ez nagyon hasonlít a proxy szolgáltatás regisztrációs folyamatához. Az erdő regisztrálásához a következő PowerShell-parancsokat használhatja:

[PS] C:\> Register-AzureADPasswordProtectionForest -AccountUpn ‘yourglobaladmin@yourtenant.onmicrosoft.com’

Ismét, ha az MFA nincs engedélyezve, a következő paranccsal regisztrálhatja erdőjét az Azure AD-ben:

[PS] C:\> $globalAdminCredentials = Get-Credential 'yourglobaladmin@yourtenant.onmicrosoft.com'
[PS] C:\> Register-AzureADPasswordProtectionForest -AzureCredential $globalAdminCredentials

Megjegyzés. A Jelszóvédelmi szolgáltatás támogatja a több erdőből álló forgatókönyvet, ezekkel a parancsokkal több erdőt is telepíthet. Több tartomány egy bérlővel szemben támogatott, egy tartomány több bérlővel szemben nem támogatott forgatókönyv.

Néhány megjegyzés:

  • A kiszolgálón, amelyre a jelszó-proxy ügynökkiszolgáló telepítve van, rendelkeznie kell a .NET-keretrendszer 4.7-es vagy újabb verziójával.
  • A magas rendelkezésre állás érdekében ajánlatos a jelszóvédelmi ügynököket több szerverre telepíteni
  • A jelszavas védelmi proxy támogatja a helyben történő frissítést, így az újabb verzió az előző verzió eltávolítása nélkül is telepíthető.

Tehát hogyan működik ez, és hogyan találja meg a jelszóvédelmi szolgáltatás a proxyszervert (vagy szervereket)?

A jelszóvédelmi proxy telepítése után egy jól ismert GUID azonosítóval van regisztrálva az Active Directoryban. A Password Protection Agent ellenőrzi az Active Directoryban ezt a jól ismert GUID azonosítót, és megtalálja a kiszolgálót, amelyre a Password Protection Agent telepítve van.

A következő PowerShell-parancsokkal keresheti meg a Jelszóvédelmi proxyt:

$SCP = "serviceConnectionPoint"
$Keywords = "{ebefb703-6113-413d-9167-9f8dd4d24468}*"
Get-ADObject -SearchScope Subtree -Filter {objectClass -eq $SCP -and keywords -like $Keywords }

Visszaadja a szervert, és az ADSIEdit segítségével ellenőrizheti a számítógépet:

Ez nagyon hasonlít ahhoz, ahogy a tartományhoz csatlakozó Outlook-kliensek megtalálják az Autodiscover SCP-t az Active Directoryban.

A DC ügynök szolgáltatás telepítése

A proxyszolgáltatás telepítése és regisztrálása után telepíthető a Domain Controller ügynök szolgáltatás. Ez csak egy MSI-csomag, amely telepíthető (a grafikus felhasználói felület használatával, fogadja el a licencszerződést, és kattintson a telepítés gombra), vagy telepítheti a parancssorból a következő paranccsal (használjon emelt jogosultságokat):

C:\> msiexec.exe /i AzureADPasswordProtectionDCAgentSetup.msi /quiet /qn

Megjegyzés. Az egyenáramú ügynök telepítése újraindítást igényel, de a /norestart kapcsolóval kényelmesebb időpontban is újraindulhat.

A Domain Controller újraindítása után a jelszóvédelmi szolgáltatás használatra kész.

Néhány megjegyzés:

  • Az Azure AD jelszavas védelmi szolgáltatásához Azure AD Premium P1 vagy P2 licenc szükséges.
  • A tartományvezérlőknek Windows 2012 vagy újabb verziójúnak kell lenniük.
  • A tartományvezérlőkre telepítve kell lennie a .NET Framework 4.5-ös vagy újabb verziójának.
  • Soha nem tudhatod, melyik tartományvezérlő fogja feldolgozni a jelszómódosítást. Ezért a Jelszóvédelmi szolgáltatást minden tartományvezérlőn telepíteni kell. Egy egyszerű környezetben ez nem jelenthet problémát, de a sok DC-vel rendelkező nagyvállalatok számára gondot okozhat (a biztonsági tiszteknél ezt most szándékosan nem teszem :-))
  • Mind a proxyszolgáltatás, mind a DC ügynök támogatja a helyben történő frissítést, így egy újabb verzió telepíthető a régi verzió eltávolítása nélkül.

Az Azure AD Password Protection szolgáltatás tesztelése

Tehát a Password Protection Proxy és a DC ügynök telepítése után ideje tesztelni, ami viszonylag egyszerű. Jelentkezzen be egy tartományhoz csatlakozó munkaállomásra, és használja a CTRL-ALT-DELETE billentyűkombinációt a jelszó megváltoztatásához. Egyszerű jelszó, például „Summer2019” vagy valami más használatakor a következő hibaüzenet jelenik meg.

Ettől a pillanattól kezdve már nem lehet gyenge jelszavakat használni, amelyeket az Azure Active Directory helyileg kényszerít ki, és ismét egy lépéssel közelebb került a biztonságosabb környezethez.

Kapcsolódó cikkek