Azure AD Sync: Nedir ve dikkate alınması gereken güvenlik faktörleri

Bulut senkronizasyonunu neden gözden geçirmelisiniz? Senkronizasyonun amacı nedir? Tipik bir kuruluş gibiyseniz, birçok kullanıma, gruba ve özelleştirmeye sahip sağlam bir şirket içi Active Directory yapısına sahipsiniz. Bu nedenle, ilk hedefiniz tekerleği yeniden icat etmek değil, şirket içi kullanıcılarınızı bulut kaynaklarınıza erişmesine izin vermeyi düşündüğünüz kullanıcılarla bütünleştirmektir.

Herhangi bir tür bulut teknolojisiyle ilgileniyorsanız, URL değiştirmeye, ad değiştirmeye ve marka adlarını değiştirmeye aşinasınızdır. Microsoft'un bulut teknolojileri bir istisna değildir. Microsoft, yakın zamanda Azure Active Directory'yi Microsoft Entra ID olarak yeniden markalaştırdı; bu da onun artık bulut yazılımının kimlik parçası olduğunu gösteriyor.

Bu gönderide Azure AD Connect Sync ile AD Connect bulut senkronizasyonu arasındaki farkları inceleyeceğiz ve bu iki teklifle güvenliği etkileyen karmaşıklıkları tartışacağız.

Azure Active Directory senkronizasyonu nedir?

Azure Active Directory senkronizasyonu genellikle iki farklı Microsoft kimlik yönetimi aracını ifade eder; Azure AD connect senkronizasyonu ve Azure AD Connect bulut senkronizasyonu.

Microsoft, bulut hizmetlerini şirket içi sunuculara bağlayan çeşitli parçaları konumlandırma konusunda her zaman biraz sorun yaşamıştır. İş istasyonlarınızı bulut hizmetlerine bağlamak için kullanılan yazılımın adı değişebilir (ve muhtemelen değişecektir) ancak konsept aynıdır. Senkronizasyon yazılımı, yerel olarak sahip olduğunuz kullanıcı adlarının ve şifrelerin bulut ayarınızdakilerle eşleşmesini sağlar.

Pek çok Bilgi Teknolojisi profesyoneli, isim değişikliğinin web sitelerinin ve diğer lokasyonların taşınacağı ve lokasyonların nerede olduğunu yeniden öğrenmek zorunda kalacağımız anlamına geldiğini söylerken, diğerleri bu isim değişikliğinin şirket içi aktifler arasında bir kopukluk olacağı anlamına gelmesini alkışlıyor. dizin ve bulut hizmetleri. Ek olarak, iki platform arasındaki ayrımı daha net bir şekilde belirtmeli ve Microsoft Entra ID'nin Active Directory ile aynı OLMADIĞINI daha açık hale getireceğinden daha az kafa karışıklığına yol açacağını umuyoruz.

Azure AD Connect senkronizasyonu ile Azure AD Connect bulut senkronizasyonu arasındaki fark

Microsoft, kaynaklarınızı bulut kaynaklarına bağlayan iki teknoloji sağlar. Connect Sync (Azure AD Connect senkronizasyonu olarak da bilinir) adı verilen eski yazılım, mevcut Active Directory altyapınıza bağlanır. Daha yeni olan Azure AD Connect bulut senkronizasyonu, ikisi arasındaki özellik kümesi daha karşılaştırılabilir hale geldikten sonra fiili senkronizasyon aracı olacaktır. Azure AD bulut sağlama aracısını kullanır ve bu nedenle ağınız üzerinde daha az etkiye sahiptir ve performans açısından daha iyidir.

Azure AD Connect senkronizasyonu

Microsoft'un tanımladığı gibi, “Azure Active Directory Connect senkronizasyon hizmetleri (Azure AD Connect senkronizasyonu), Azure AD Connect'in ana bileşenidir. Şirket içi ortamınız ile Azure AD arasında kimlik verilerinin eşitlenmesiyle ilgili tüm işlemlerle ilgilenir. ” Şu anda buna hâlâ Azure AD Connect senkronizasyonu adı verildiğini, ancak Entra ailesi adı altında yeniden adlandırılıp yeniden düzenlenmesinin beklendiğini unutmayın. Connect senkronizasyonuna sahip olmanın ve bunu kullanmanın birçok nedeni ve avantajı vardır. Birçoğumuz hâlâ Active Directory'ye ihtiyaç duyuyor ve kullanıyoruz. Saf bir buluta ve Azure AD altyapısına sahip olmak mümkün ve yapılabilir olsa da, yepyeni bir şirketin bulut öncelikli bir bakış açısıyla başlaması en iyi sonucu verir. Azure AD Connect senkronizasyonunun bazı önemli özellikleri şunlardır:

Tek orman, birden çok orman ve LDAPv3 uyumlu kiracılar arasında senkronizasyon
Parola Karması Senkronizasyonu (PHS)
AD Federasyon Hizmetleri yapılandırmalarını dağıtmanıza gerek kalmadan kimlik sağlayıcınız olarak Geçiş Kimlik Doğrulaması (PTA) ve Etki Alanı Denetleyicileri

Exchange Server'a sahip kuruluşlar için Exchange hibrit geri yazma özellikleri
Hibrit Azure AD birleştirme özellikleri
E-posta çakışmalarını önlemek için Office 365 Grubuna geri yazma
Şifre geri yazma desteği

Azure AD Connect bulut senkronizasyonu

Henüz buluta geçmemiş kuruluşlar için, Bulut senkronizasyonu (eski adıyla Azure bulut senkronizasyonu) adı verilen daha yeni senkronizasyon aracını da değerlendirmek isteyebilirsiniz. Azure AD Connect bulut eşitlemesi, bağlantısı kesilmiş birden çok şirket içi AD ormanına bağlanmanıza olanak tanır ve yüksek kullanılabilirlik için birden çok etkin aracı sağlar. Araç, LDAP dizinlerine bağlanmaz veya Doğrudan Kimlik Doğrulamayı desteklemez. 250.000'e kadar üyesi olan büyük gruplar için tasarlanmamıştır.

Bulut senkronizasyonu, Connect senkronizasyonuyla karşılaştırılabilirliğini artırmaya devam ediyor. Şu anda aşağıdaki eylemleri gerçekleştirmektedir:

Hafif bir aracı kurulum modeliyle çok fazla CPU veya ek yük eklemekten kaçınır
Birden fazla şirket içi Active Directory ormanına bağlanır
Birden fazla bağlantısı kesilmiş şirket içi Active Directory ormanına bağlantı kurulmasına izin vererek birkaç farklı birimin harmanlanmasına olanak tanır

Dizin değişikliklerini Azure AD Connect'ten daha sık senkronize eder ve bu nedenle çok sayıda değişikliğiniz varsa tercih edilen kurulumdur
Birden fazla şekilde bağlanmak için Connect senkronizasyonuyla birlikte çalışır
LDAPv3 uyumlu kimlik depolarını desteklemez ve LDAP dizinlerine bağlanmaz.
Cihaz nesnelerini desteklemiyor
Kullanıcı nesnelerini, grup nesnelerini ve iletişim nesneleri senkronizasyonunu destekler
Exchange çevrimiçi özelliklerinin senkronize edilmesini destekler
Parola geri yazmayı destekler
Cihaz geri yazmayı destekler ancak ileriye yönelik olarak Cloud Kerberos güvenini kullanmalısınız
Exchange hibrit geri yazmayı destekler (şu anda önizleme modunda)

Azure AD Connect senkronizasyonunu Azure AD ile çalıştırma

Azure AD Connect, iki senkronizasyon platformundan daha eski olanıdır ve Azure AD Connect senkronizasyonu ile Azure AD Connect bulut senkronizasyonu arasındaki eşlik artık mevcut olmadığında, sonuçta aşamalı olarak kullanımdan kaldırılacaktır. Şu anda, büyük bir kuruluşunuz varsa, Active Directory ile senkronizasyon için bu hala tercih edilen araçtır. Ancak daha büyük bir kaynak gereksiniminin yanı sıra güvenlik konusunda da endişeler var.

Azure AD Connect bulut eşitlemesini Azure AD ile çalıştırma

Azure AD Connect bulut senkronizasyonu, daha yeni senkronizasyon platformudur ve şu anda Azure AD Connect senkronizasyonunun yerini alması beklense de, şu anda daha küçük kuruluşlar için tasarlanmıştır ve sunucu özellikleri açısından daha az kaynak gerektirir.

Azure AD Connect senkronizasyonu ve Azure AD Connect bulut senkronizasyonu için güvenlik hususları

Kapsamlı bir kurulum planı geliştirin

Azure AD Connect bulut eşitlemesini dağıtmaya başladığınızda buna göre plan yapmanız gerekir. Azure AD Connect'te olduğu gibi, yazılımı nereye ve nasıl yükleyeceğinizi düşünün. Etki alanı denetleyici varlıklarınızla aynı güvenlik kaygılarını dikkate aldığınız bir altyapıya kurulmalıdır. Güvenlik sorunları belirlendiğinde yazılım güncellendiğinden, izlenmesi ve bakımının yapılması gerekir. Ayrıca potansiyel ortadaki adam saldırılarına ilişkin son araştırmalar gibi potansiyel güvenlik risklerine ilişkin yeni araştırmalardan da haberdar olmak isteyeceksiniz.

Kurulum erişimini kısıtla

Bu yazılımı kimlerin yükleyebileceğini kısıtlamak ve onu kimin kullanmasının kısıtlandığını bilmek çok önemlidir. Active Directory'de bir Kurumsal Yönetici hesabı ve Genel yönetici hesabıyla kurulmalıdır. TLS 1.2 veya üstünü destekleyebilecek modern bir işletim sistemine yüklediğinizden emin olmak isteyeceksiniz. TLS sürümünün uygun şekilde ayarlandığından emin olmak için PowerShell'i kullanabilirsiniz. Alan adınızdaki herhangi bir sunucudaki SSL ayarlarını incelemek için üçüncü taraf araçlarını kullanmanızı ve web'e açık olan herhangi bir web sunucusunun veya IP adresinin şifreleme ayarlarının optimuma ayarlandığından emin olmanızı öneririm. İzinlerin ayarlanmadığından ve her ikisinin de uygun güvenlik ayarlarıyla yüklendiğinden emin olmak için hem Connect Sync hem de Cloud Sync incelenmelidir.

Yapılandırma ayarlarını gözden geçirin

Ayrıca geçmişte Bulut senkronizasyonunu kullandıysanız belirli ayarları nasıl yaptığınızı gözden geçirmeyi düşünün. Buluttaki her şeyde olduğu gibi, adlandırmanın yanı sıra bazı şeyler de değişir; bu nedenle bir şey yüklemeyin ve dağıtımını bir daha asla gözden geçirmek zorunda kalmayacağınızı beklemeyin. Bunun yerine, belgeleri düzenli veya yıllık olarak yeniden gözden geçirmek ve saldırganların verilerimize erişim sağlamak için sürekli olarak yeni yollar geliştirmesi nedeniyle her zaman en iyi uygulamayı takip ettiğinizden emin olmak istersiniz. Örnek olarak, Microsoft artık Bulut senkronizasyon aracını kullandığınızda Bulut Kerberos güven dağıtımı kullanmanızı öneriyor.

Parolasız kimlik doğrulamayı düşünün

Geleneksel Active Directory, parolalar yoluyla kimlik doğrulamaya dayanır. Tahmin edilebilecek, hacklenebilecek veya kırılabilecek şifreler. Windows Hello for Business, Microsoft kimlik doğrulayıcı veya FIDO2 anahtarları gibi Parolasız kimlik doğrulama yöntemlerine daha çok bulut öncelikli, bulut senkronizasyonu dağıtım görünümü ile ilerlemek, bir kuruluşun daha güvenli kalmasını sağlar. Ve tüm bu yeni kimlik doğrulama teknikleri daha çok Microsoft Entra ID'ye (Azure Active Directory) dayanır. Kullandığınız senkronizasyon platformundan bağımsız olarak, hangi kimlik doğrulama işlemlerini kullandığınızı ve korumayı buna göre artırıp artıramayacağınızı yıllık olarak gözden geçirmenizi şiddetle tavsiye ederim.

Şirket içi güvenlik duvarı trafiğini sınırlayın

Ayrıca şirket içi güvenlik duvarınız aracılığıyla, ağınız ile Bulut senkronizasyon süreci arasında akan trafiği sınırlamanızı da öneririm. Microsoft'un belgelerine göre, öncelikle 80 ve 443 numaralı bağlantı noktalarından geçiyor ve bağlantısı için belirli URL'ler kullanıyor. Güvenlik duvarı günlüklerinizi incelemek için zaman ayırın ve uygun gördüğünüz şekilde sınırlayın. Aynı durum, bulut hizmetleri ve web erişimi gerektiren diğer Microsoft Entra (eski adıyla Azure Active Directory) işlevleri için de geçerlidir. Coğrafi IP filtreleme kullanıyorsanız güvenlik duvarlarınızı Microsoft sunucularına bağlantıya izin verecek şekilde ayarlamanız gerekebilir.

İnceleyin ve test edin

Connect senkronizasyonunun nasıl çalıştığını gözden geçirmenin en iyi yolu, Microsoft web sitesinde belgelendiği gibi bir test ortamı oluşturmak ve bunun ağınızda nasıl çalışacağını gözden geçirmektir. Belgelerinde de belirtildiği gibi, bulut kaynaklarınızda yalnızca buluta yönelik bir küresel yönetici hesabı oluşturun ve bu hesaba güvenli bir parola sağlayın. Sizi kaynaklarınızdan mahrum bırakmayacak iki faktörlü bir metodoloji düşünün. Windows Server 2016 veya Sunucu işletim sisteminin sonraki sürümünü çalıştıran yerel bir sunucu kullanın. Gerekli güvenlik duvarı bağlantı noktalarının açık olduğundan emin olun ve kuruluşunuzdaki sunucularda ve güvenlik duvarlarında sınırlama yapmıyorsanız veya çıkış filtrelemesi sağlamıyorsanız, bunu ek bir koruma aracı olarak eklemeyi düşünmenizi öneririm. Bağlantı noktası 80, 443 veya 8080, *.msappproxy.net ve *.servicebus.windows.net'e veya uygun Azure veri merkezi IP aralıklarına açık bağlantılarla mevcut olmalıdır. Aracıların ilk kayıt için login.windows.net ve login.microsoftonline.com adreslerine erişebilmesi gerekir. Sertifika doğrulaması için şu URL'lerin engellemesini kaldırın: mscrl.microsoft.com:80, crl.microsoft.com:80, ocsp.msocsp.com:80 ve www.microsoft.com:80.

Normal ayrıcalıklı iş istasyonu hususlarını kullanın ve bu hizmeti, bulut hizmetlerine güvenli bir şekilde erişecek şekilde ayarlanmış bir iş istasyonuna kurun. Kaynaklarınızı daha iyi korumak ve güvenliğini sağlamak ve saldırganların öncül varlıklardan bulut parolalarını toplayamamasını sağlamak için bulut dağıtım iş istasyonunuz olarak Windows 365 biçiminde bulut tabanlı bir çalışma alanı kullanmayı bile düşünebilirsiniz.

Çözüm

Giderek daha fazla sayıda insan kaynaklarımızı ve varlıklarımızı buluta taşıyor. Bazı firmalar tamamen hibrit bir ağda kalabilir. Bazıları bulut öncelikli dağıtıma bakabilir. Bulut senkronizasyonu yolculuğunuza yeni başlıyorsanız dağıtımlarınızı daha verimli ve daha da önemlisi daha güvenli hale getirmek için Azure AD Bulut senkronizasyonu gibi bulut öncelikli dağıtım araçlarına bakın. Şu anda Azure AD Connect Sync'i kullanıyorsanız, Azure AD Cloud senkronizasyonu lehine nihai olarak ne zaman aşamalı olarak kaldırılacağını incelemek için yaşam döngüsü bilgilerini ve platform güncellemelerini incelemeye devam edin.