Sincronice su política de contraseñas de Azure AD con AD local

En este tutorial, le mostraré cómo garantizar que su política de caducidad de contraseña de Azure AD entre en vigor mientras usa Azure AD Connect configurando el estilo enforcecloudpasswordpolicyforpasswordsyncedusers atributo en Azure AD.

De forma predeterminada, si sincroniza sus usuarios locales con Azure AD, a través de Azure AD Connect, su política de caducidad de contraseñas de Azure AD no cumple con su política de caducidad de contraseñas locales. Esto plantea algunas cuestiones importantes.

Si usa la sincronización de hash de contraseñas para sincronizar contraseñas entre sus usuarios locales y sus identidades homólogas de Azure AD, es posible que deba asegurarse de que ambas contraseñas, tanto locales como en la nube, caduquen al mismo tiempo. De forma predeterminada, cuando la contraseña de su cuenta de usuario local caduca, entre el momento en que caduca y el usuario actualiza su contraseña, aún puede iniciar sesión en la cuenta de Azure AD y acceder a los recursos de Azure con su contraseña anterior.

Esto plantea un riesgo importante, especialmente durante los períodos de vacaciones, cuando es poco probable que los usuarios inicien sesión en sus sistemas.

El software Azure AD Connect pronto será reemplazado por Azure AD Connect Cloud Sync, que se administra completamente desde la nube. Vea mi tutorial sobre cómo migrar a la sincronización en la nube de Azure AD Connect.

Cómo funciona la sincronización de políticas de contraseñas de Azure AD entre bastidores

Como ahora sabemos, cuando instalamos Azure AD Connect localmente y sincronizamos sus identidades de usuario con Azure AD, si dejamos todas las configuraciones de forma predeterminada, nuestra política de caducidad de contraseña no se sincronizará con la nube.

Lo que sucede detrás de escena es que cuando su cuenta de usuario se sincroniza con Azure AD, el atributo "PasswordPolicies" del usuario sincronizado de Azure AD se establece en "DisablePasswordExpiration", lo que evita que la contraseña caduque.

Podemos verificar el valor del atributo PasswordPolicies con los siguientes comandos usando Microsoft Graph PowerShell. Si no ha utilizado Microsoft Graph PowerShell antes, utilice esta guía para aprender cómo instalarlo.

1. En primer lugar, importe el módulo de usuarios de Microsoft Graph a su sesión de PowerShell.

Import-Module Microsoft.Graph.Users

2. Ahora conéctese a Microsoft Graph utilizando los permisos menos necesarios. Aquí estoy usando los permisos User.Read.All ya que actualmente solo necesito acceso de lectura a los datos.

Connect-MgGraph -Scopes User.Read.All

3. Ejecute el siguiente comando contra uno de sus usuarios para ver el valor del atributo PasswordPolicies.

(Get-MgUser -userid [email ).PasswordPolicies

Para obtener un desglose completo y detallado del uso del cmdlet Get-MgUser, consulte mi tutorial aquí: Cómo usar Get-MgUser con Microsoft Graph PowerShell

Cómo habilitar la sincronización de políticas de contraseñas de Azure AD

Ahora que sabemos cuál es el impacto que tiene dejar esto deshabilitado en nuestra postura de seguridad, y qué está sucediendo exactamente detrás de escena, veamos ahora cómo habilitar esto en nuestra organización. Ejecutaremos estos comandos en PowerShell desde nuestro servidor local de Azure AD Connect.

Comencemos viendo el estado de todas las funciones de sincronización posibles. Para esto, necesitaremos usar el módulo msol-service de PowerShell, ya que no hay comandos relevantes de Microsoft Graph para ver la configuración deseada.

1. Comience conectándose a Microsoft 365 en línea.

connect-msolservice

2. Luego ejecute el siguiente comando para ver la configuración actual de la característica Azure AD Connect.

Get-MsolDirSyncFeatures

En el resultado, podemos ver que la función EnforceCloudPasswordPolicyForPasswordSyncedUsers está deshabilitada. Ejecute lo siguiente para habilitar la función.

Set-MsolDirSyncFeature -Feature EnforceCloudPasswordPolicyForPasswordSyncedUsers 
-Enable $true

Ahora, si ejecutamos el primer comando nuevamente, podemos ver que la función ahora está habilitada (configurada en Verdadero).

¿Cómo sabemos que esto funcionó?

La próxima vez que un usuario actualice su contraseña, el atributo de políticas de contraseña se actualizará en su cuenta de usuario. Puede ejecutar el siguiente comando nuevamente contra uno de sus usuarios.

(Get-MgUser -userid [email ).PasswordPolicies

Acerca del atributo enforcecloudpasswordpolicyforpasswordsyncedusers

El atributo enforcecloudpasswordpolicyforpasswordsyncedusers se almacena en la nube como parte de su inquilino de Microsoft 365.

De forma predeterminada, está configurado en Disabled, lo que establece el atributo PasswordPolicies en DisablePasswordExpiration como hemos visto anteriormente.

Este atributo se verifica cada vez que la contraseña de los usuarios se sincroniza desde Active Directory con Azure AD para indicarle a Azure AD que se debe ignorar la política de caducidad de contraseña en la nube. Esto significa que hasta que cambie su contraseña local, su contraseña de Azure AD no caducará.

Últimos pasos importantes para finalizar la configuración de la sincronización de la política de contraseñas de Azure AD

Ahora que ha habilitado la característica dentro de su configuración de Azure AD Connect, es importante saber algunas cosas.

Se recomienda habilitar esta característica antes de realizar la sincronización inicial de sus usuarios con Azure AD. Esto se debe a que una vez que el atributo PasswordPolicies para su usuario de Azure AD se establece en DisablePasswordExpiration, no se sobrescribe automáticamente después de habilitar la sincronización.

Puede utilizar la siguiente secuencia de comandos para cambiar el valor de DisablePasswordExpiration a ninguno para todos los usuarios que se sincronizaron inicialmente antes de que se habilitara la sincronización de la política de contraseñas.

Connect-MgGraph -Scopes User.ReadWrite.All

Get-MgUser -All | Where-Object { $_.OnPremisesSyncEnabled -eq $true -and $_.PasswordPolicies -eq ‘DisablePasswordExpiration’} | `
ForEach-Object {
Update-MgUser -UserId $_.ID -PasswordPolicies None
}

Además, si habilita esta característica, si sus usuarios trabajan de forma remota, es probable que su contraseña de Azure AD solicite que haya caducado mientras no estén en condiciones de actualizar su contraseña en las instalaciones.

En este caso, es esencial que haya aplicado MFA sólida en su entorno junto con SSPR y reescritura de contraseña para obtener la mejor experiencia posible.

También debe hacer coincidir la política de caducidad de contraseña con su política de contraseña establecida localmente. Por ejemplo, si su política de dominio predeterminada tiene una antigüedad de contraseña de 90 días en las instalaciones, debe configurar la misma en Azure AD, para que estén "sincronizadas".

Resumen

Gracias por tomarse el tiempo de leer mi publicación. Espero que a esta altura ya conozca los riesgos asociados con dejar esta función en su estado predeterminado y también cómo habilitarla en su organización. Si está buscando más guías sobre Azure AD Connect, le recomiendo que consulte las siguientes: