Azure AD Sync: qué es y factores de seguridad a considerar

¿Por qué debería revisar la sincronización en la nube? ¿Cuál es el punto de la sincronización? Si usted es como cualquier organización típica, tiene una estructura sólida de Active Directory local con muchos usos, grupos y personalizaciones. Por lo tanto, su objetivo inicial no es reinventar la rueda, sino integrar a sus usuarios locales con los usuarios a los que pretende permitir el acceso a sus recursos en la nube.

Si trabaja con algún tipo de tecnología en la nube, estará familiarizado con el cambio de URL, el cambio de nombres y el cambio de marcas. Las tecnologías en la nube de Microsoft no son una excepción. Recientemente, Microsoft cambió el nombre de Azure Active Directory a Microsoft Entra ID, lo que representa que ahora es la parte de identidad del software en la nube.

En esta publicación, exploraremos las diferencias entre Azure AD Connect Sync y la sincronización en la nube de AD Connect y analizaremos las complejidades que afectan la seguridad con estas dos ofertas.

¿Qué es la sincronización de Azure Active Directory?

La sincronización de Azure Active Directory a menudo hace referencia a dos herramientas diferentes de administración de identidades de Microsoft: la sincronización de conexión de Azure AD y la sincronización en la nube de Azure AD Connect.

Microsoft siempre ha tenido problemas para posicionar las distintas piezas que conectan los servicios en la nube con los servidores locales. El nombre del software utilizado para conectar sus estaciones de trabajo a los servicios en la nube puede (y probablemente cambiará) pero el concepto es el mismo. El software de sincronización garantiza que los nombres de usuario y las contraseñas que tiene localmente coincidan con los que hay en su configuración de nube.

Si bien muchos profesionales de tecnología de la información se quejan de que el cambio de nombre significará que los sitios web y otras ubicaciones se moverán y tendremos que volver a aprender dónde están las ubicaciones, otros aplauden el hecho de que este cambio de nombre significa que habrá una interrupción entre las actividades locales activas. directorio y servicios en la nube. Además, debería marcar una distinción más clara entre las dos plataformas y, con suerte, generar menos confusión, ya que quedará más claro que Microsoft Entra ID NO es lo mismo que Active Directory.

La diferencia entre la sincronización de Azure AD Connect y la sincronización en la nube de Azure AD Connect

Microsoft proporciona dos tecnologías que conectan sus recursos con sus recursos en la nube. El software anterior llamado Connect Sync (también conocido como sincronización de Azure AD Connect) conecta su infraestructura de Active Directory existente. La sincronización en la nube más nueva de Azure AD Connect será la herramienta de sincronización de facto en el futuro una vez que el conjunto de características entre las dos sea más comparable. Utiliza el agente de aprovisionamiento en la nube de Azure AD y, por lo tanto, tiene menos impacto en su red y mejora el rendimiento.

Sincronización de Azure AD Connect

Como lo define Microsoft, “Los servicios de sincronización de Azure Active Directory Connect (sincronización de Azure AD Connect) son un componente principal de Azure AD Connect. Se encarga de todas las operaciones relacionadas con la sincronización de datos de identidad entre su entorno local y Azure AD. Tenga en cuenta que, en este momento, todavía se llama sincronización de Azure AD Connect, pero se prevé que se le cambie el nombre y se realinee con el nombre de la familia Entra. Hay muchas razones y ventajas de tener y utilizar Connect sync. Muchos de nosotros todavía necesitamos y utilizamos Active Directory. Si bien es posible y se puede lograr tener una nube pura y una infraestructura de Azure AD, funciona mejor cuando una empresa nueva comienza con un punto de vista que da prioridad a la nube. Algunas capacidades clave de la sincronización de Azure AD Connect incluyen:

Sincronización entre bosques únicos, bosques múltiples y inquilinos compatibles con LDAPv3
Sincronización de hash de contraseña (PHS)
Autenticación Pass-Through (PTA) y controladores de dominio como su proveedor de identidad sin la necesidad de implementar configuraciones de Servicios de federación de AD

Capacidades de reescritura híbrida de Exchange para organizaciones con Exchange Server
Capacidades de unión híbrida de Azure AD
Reescritura grupal de Office 365 para evitar superposiciones de correo electrónico
Soporte de reescritura de contraseñas

Sincronización en la nube de Azure AD Connect

Para las organizaciones que aún no se han migrado a la nube, es posible que también deseen evaluar la herramienta de sincronización más nueva llamada Cloud sync (anteriormente llamada Azure Cloud Sync). La sincronización en la nube de Azure AD Connect le permite conectarse a varios bosques de AD locales desconectados y proporciona varios agentes activos para una alta disponibilidad. La herramienta no se conecta a directorios LDAP ni admite la autenticación PassThrough. No está diseñado para grupos grandes de hasta 250.000 miembros.

La sincronización en la nube continúa aumentando su comparabilidad con la sincronización con Connect. En la actualidad realiza las siguientes actuaciones:

Se abstiene de agregar mucha CPU o gastos generales con un modelo de instalación de agente liviano
Se conecta a múltiples bosques de Active Directory locales
Permite la conectividad a múltiples bosques de Active Directory locales desconectados, combinando varias unidades dispares

Sincroniza los cambios de directorio con más frecuencia que Azure AD Connect y, por lo tanto, si tiene muchos cambios, es la configuración preferida.
Funciona junto con Connect Sync para conectarse de múltiples maneras
No admite almacenes de identidades compatibles con LDAPv3 y no se conecta a directorios LDAP.
No admite objetos de dispositivo
Admite la sincronización de objetos de usuario, objetos de grupo y objetos de contacto.
Admite la sincronización de atributos en línea de Exchange
Admite reescritura de contraseña
Admite reescritura de dispositivos, pero debería utilizar la confianza de Cloud Kerberos en el futuro
Admite reescritura híbrida de Exchange (actualmente en modo de vista previa)

Ejecución de la sincronización de Azure AD Connect con Azure AD

Azure AD Connect es la más antigua de las dos plataformas de sincronización y, en última instancia, se eliminará una vez que ya no exista la paridad entre la sincronización de Azure AD Connect y la sincronización en la nube de Azure AD Connect. Actualmente, si tiene una organización grande, esta sigue siendo la herramienta preferida para sincronizar con Active Directory. Pero existe una mayor necesidad de recursos, así como una preocupación por la seguridad.

Ejecución de la sincronización en la nube de Azure AD Connect con Azure AD

La sincronización en la nube de Azure AD Connect es la plataforma de sincronización más nueva y, aunque actualmente se prevé que reemplace la sincronización de Azure AD Connect, actualmente está diseñada para organizaciones más pequeñas y requiere menos recursos en términos de especificaciones del servidor.

Consideraciones de seguridad para la sincronización de Azure AD Connect y la sincronización en la nube de Azure AD Connect

Desarrollar un plan de instalación completo

Cuando comienza a implementar la sincronización en la nube de Azure AD Connect, debe planificar en consecuencia. Al igual que con Azure AD Connect, considere dónde y cómo instalará el software. Debe instalarse en una infraestructura que considere con las mismas preocupaciones de seguridad que los activos de su controlador de dominio. Es necesario monitorearlo y mantenerlo, ya que el software se actualiza cuando se identifican problemas de seguridad. También querrá estar al tanto de cualquier nueva investigación sobre posibles riesgos de seguridad, como investigaciones recientes sobre posibles ataques de intermediario.

Restringir el acceso a la instalación

Restringir quién puede instalar este software y saber quién tiene restringido su uso es clave. Debe instalarse con una cuenta de administrador empresarial en Active Directory y con una cuenta de administrador global. Querrá asegurarse de tenerlo instalado en un sistema operativo moderno que admita TLS 1.2 o superior. Puede utilizar PowerShell para asegurarse de que la versión de TLS esté configurada correctamente. Le recomendaría que utilice herramientas de terceros para revisar la configuración de SSL en cualquier servidor de su dominio y asegurarse de que cualquier servidor web o dirección IP que esté expuesta a la web tenga su configuración de cifrado configurada en forma óptima. Se deben revisar tanto Connect Sync como Cloud Sync para garantizar que no se hayan ajustado los permisos y que ambos estén instalados con la configuración de seguridad adecuada.

Revisar los ajustes de configuración

Además, si ha utilizado la sincronización en la nube en el pasado, considere revisar cómo configuró ciertas configuraciones. Como ocurre con todo lo que hay en la nube, las cosas cambian además de los nombres, así que no instales nada y esperes no tener que revisar su implementación nunca más. Más bien, desea revisar la documentación de forma regular o anual y asegurarse de seguir siempre las mejores prácticas, ya que los atacantes idean continuamente nuevas formas de obtener acceso a nuestros datos. Por ejemplo, Microsoft ahora recomienda utilizar una implementación de confianza en la nube Kerberos cuando utilice la herramienta de sincronización en la nube.

Considere la autenticación sin contraseña

El Active Directory tradicional se basa en la autenticación mediante contraseñas. Contraseñas que se pueden adivinar, piratear o descifrar. En el futuro, con una implementación de sincronización en la nube que dé prioridad a la nube, busque métodos de autenticación sin contraseña, como Windows Hello for Business, el autenticador de Microsoft o las claves FIDO2, que mantienen a una organización más segura. Y todas estas técnicas de autenticación más nuevas dependen más de Microsoft Entra ID (Azure Active Directory). Independientemente de la plataforma de sincronización que utilice, le recomiendo encarecidamente que revise anualmente qué procesos de autenticación está utilizando y si puede aumentar la protección en consecuencia.

Limite el tráfico del firewall local

También le recomendaría que limite, a través de su firewall local, el tráfico que fluye entre su red y el proceso de sincronización en la nube. Como documenta Microsoft, pasa principalmente por el puerto 80 y el puerto 443 y utiliza URL específicas para su conexión. Tómese el tiempo para revisar los registros de su firewall y limítelos como mejor le parezca. Lo mismo ocurre con otras funciones de Microsoft Entra (anteriormente Azure Active Directory) que requieren servicios en la nube y acceso web. Si utiliza filtrado de IP geográfico, es posible que deba ajustar sus firewalls para permitir la conexión a los servidores de Microsoft.

Revisar y probar

La mejor manera de revisar cómo funciona la sincronización de Connect es configurar un banco de pruebas, como se documenta en el sitio web de Microsoft, y revisar cómo funcionará en su red. Como señalan en su documentación, configure una cuenta de administrador global solo en la nube en sus recursos en la nube y proporciónele una contraseña segura. Considere una metodología de dos factores que no lo deje sin recursos. Utilice un servidor local que ejecute Windows Server 2016 o una versión posterior del sistema operativo Server. Asegúrese de que los puertos de firewall necesarios estén abiertos y, si no limita ni proporciona filtrado de salida en los servidores y firewalls de su organización, le recomendaría que considere agregar esto como un medio de protección adicional. El puerto 80, 443 u 8080 debe estar disponible con conexiones abiertas a *.msappproxy.net y *.servicebus.windows.net o los rangos IP apropiados del centro de datos de Azure. Los agentes deben poder acceder a login.windows.net y login.microsoftonline.com para el registro inicial. Para la validación del certificado, desbloquee las siguientes URL: mscrl.microsoft.com:80, crl.microsoft.com:80, ocsp.msocsp.com:80 y www.microsoft.com:80.

Utilice las consideraciones normales sobre estaciones de trabajo privilegiadas y configure este servicio en una estación de trabajo que haya sido configurada para acceder a los servicios en la nube de forma segura. Incluso puede considerar utilizar un espacio de trabajo basado en la nube en forma de Windows 365 como su estación de trabajo de implementación en la nube para proteger y asegurar mejor sus recursos y garantizar que los atacantes no puedan recopilar contraseñas de la nube de los activos locales.

Conclusión

Cada vez más de nosotros trasladamos nuestros recursos y activos a la nube. Algunas empresas pueden quedarse con una red totalmente híbrida. Algunos podrían considerar una implementación basada en la nube. Si recién está comenzando su viaje hacia la sincronización en la nube, busque herramientas de implementación que prioricen la nube, como Azure AD Cloud sync, para que sus implementaciones sean más eficientes y, lo que es más importante, más seguras. Si actualmente usa Azure AD Connect Sync, siga revisando la información del ciclo de vida y las actualizaciones de la plataforma para saber cuándo se eliminará gradualmente en favor de la sincronización en la nube de Azure AD.