执行摘要
微软发布此安全公告，旨在提供有关用于Azure AD Connect目录同步的AD DS（Active Directory域服务）账户安全设置的信息。本公告还为本地AD管理员提供了指导，以确保该账户得到适当保护。
公告详情
Azure AD Connect允许客户在其本地AD和Azure AD之间同步目录数据。Azure AD Connect需要使用一个AD DS用户账户来访问本地AD。此账户有时被称为AD DS连接器账户。设置Azure AD Connect时，安装管理员可以：
- 提供一个现有的AD DS账户，或者
- 让Azure AD Connect自动创建账户。该账户将直接在本地AD用户容器下创建。
为了使Azure AD Connect履行其功能，必须授予该账户特定的特权目录权限（例如，用于混合Exchange回写的目录对象写入权限，或用于密码哈希同步的DS-Replication-Get-Changes和DS-Replication-Get-Changes-All权限）。要了解更多关于该账户的信息，请参阅文章Azure AD Connect：账户和权限。
假设存在一个对客户本地AD具有有限访问权限但拥有AD DS账户重置密码权限的恶意本地AD管理员。该恶意管理员可以将AD DS账户的密码重置为已知的密码值。这反过来又使恶意管理员能够未经授权地获得对客户本地AD的特权访问。
建议措施
遵循最佳实践管理本地AD
微软建议客户按照文章保护Active Directory管理组和账户中描述的最佳实践来管理其本地AD。在可能的情况下：
- 应避免使用账户操作员组，因为该组的成员默认对用户容器下的对象拥有重置密码权限。
- 将Azure AD Connect使用的AD DS账户和其他特权账户移动到一个仅由受信任的或高特权管理员访问的组织单位中。
- 当将重置密码权限委派给特定用户时，将其访问范围限定为他们应该管理的用户对象。例如，您希望让您的服务台管理员管理分支机构用户密码重置。考虑将分支机构的用户分组到一个特定的OU下，并授予服务台管理员对该OU而非用户容器的重置密码权限。
锁定对AD DS账户的访问
通过在本地AD中实施以下权限更改来锁定对AD DS账户的访问：
- 禁用对象上的访问控制列表继承。
- 删除对象上除SELF之外的所有默认权限。
- 实施以下权限：
| 类型 | 名称 | 访问权限 | 应用于 |
|---|---|---|---|
| 允许 | SYSTEM | 完全控制 | 此对象 |
| 允许 | 企业管理员 | 完全控制 | 此对象 |
| 允许 | 域管理员 | 完全控制 | 此对象 |
| 允许 | 管理员 | 完全控制 | 此对象 |
| 允许 | 企业域控制器 | 列出内容 | 此对象 |
| 允许 | 企业域控制器 | 读取所有属性 | 此对象 |
| 允许 | 企业域控制器 | 读取权限 | 此对象 |
| 允许 | 已验证的用户 | 列出内容 | 此对象 |
| 允许 | 已验证的用户 | 读取所有属性 | 此对象 |
| 允许 | 已验证的用户 | 读取权限 | 此对象 |
您可以使用在为Azure AD Connect同步准备Active Directory林和域中提供的PowerShell脚本来帮助您在AD DS账户上实施权限更改。
对Azure AD Connect的改进
为了查明此漏洞是否被利用来破坏您的AADConnect配置，请执行以下操作：
- 验证服务账户的最后一次密码重置日期。
- 如果您发现意外的时间戳，请调查该密码重置事件的事件日志。
对Azure AD Connect的改进
Azure AD Connect版本1.1.654.0（及之后版本）已添加一项改进，以确保在Azure AD Connect创建AD DS账户时，自动应用“锁定对AD DS账户的访问”部分中描述的推荐权限更改：
- 设置Azure AD Connect时，安装管理员可以提供现有的AD DS账户，或者让Azure AD Connect自动创建账户。这些权限更改会自动应用于Azure AD Connect在设置期间创建的AD DS账户。它们不会应用于安装管理员提供的现有AD DS账户。
- 对于从旧版Azure AD Connect升级到1.1.654.0（或之后版本）的客户，权限更改不会追溯应用于升级前创建的现有AD DS账户。它们仅会应用于升级后创建的新AD DS账户。当您添加要同步到Azure AD的新AD林时会发生这种情况。
其他信息
Microsoft主动保护计划 (MAPP)
为了改善客户的安全保护，微软在每个月的安全更新发布之前，会向主要的安全软件提供商提供漏洞信息。然后，安全软件提供商可以使用此漏洞信息，通过其安全软件或设备（例如防病毒软件、基于网络的入侵检测系统或基于主机的入侵防御系统）向客户提供更新的保护。要确定安全软件提供商是否提供了主动保护，请访问计划合作伙伴提供的主动保护网站，这些网站列在Microsoft主动保护计划 (MAPP) 合作伙伴中。
反馈
您可以通过填写Microsoft帮助和支持表单、客户服务联系我们来提供反馈。
致谢
微软感谢以下人员与我们合作帮助保护客户：
- Preempt的Roman Blachman和Yaron Zinar
支持
- 美国和加拿大的客户可以从安全支持获得技术支持。有关详细信息，请参阅Microsoft帮助和支持。
- 国际客户可以从当地的微软子公司获得支持。有关详细信息，请参阅国际支持。
- Microsoft TechNet安全提供有关Microsoft产品中安全的更多信息。
免责声明
本公告中提供的信息“按原样”提供，不提供任何形式的担保。Microsoft否认所有明示或暗示的担保，包括适销性和特定用途适用性的担保。在任何情况下，Microsoft Corporation或其供应商都不对任何损害承担任何责任，包括直接的、间接的、偶然的、后果性的、商业利润损失或特殊损害，即使Microsoft Corporation或其供应商已被告知此类损害的可能性。有些州不允许排除或限制对附带或间接损害的责任，因此上述限制可能不适用。
修订历史
- V1.0（2017年12月12日）：公告发布。
- V1.1（2017年12月18日）：更新了账户权限信息。
页面生成于 2017-08-07 15:55-07:00。
Eoonk2RzuAvQ3tlOHpOQt8SzijniPN40eNBGgsmmGf6GaqA9+AZN0GoJRjklzlfALZajSe7UFVEns/3QVfCImw==
更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手）
对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享）
（支持资料、图片参考_相关定制）)
