Azure AD Connect

Définition

Azure AD Connect est l'agent officiel Microsoft assurant la synchronisation entre un annuaire Active Directory on-premises et Azure AD / Microsoft Entra ID, composant central de toute architecture d'identité hybride. Il synchronise périodiquement, par défaut toutes les trente minutes, les objets utilisateurs, groupes et ordinateurs vers le tenant cloud, et prend en charge plusieurs méthodes d'authentification : Password Hash Synchronization (PHS), qui synchronise une empreinte du hash de mot de passe permettant une authentification cloud native, Pass-Through Authentication (PTA), qui valide les mots de passe en temps réel contre le contrôleur de domaine on-premises via un agent léger sans jamais transmettre de hash, et la fédération ADFS, déléguant intégralement l'authentification à un serveur de fédération tiers. Le serveur hébergeant Azure AD Connect constitue une cible de choix pour les attaquants : il détient un compte de synchronisation, historiquement nommé MSOL, disposant de droits de réplication étendus équivalents à DCSync sur l'annuaire on-premises, ainsi que les credentials nécessaires pour écrire dans le tenant Azure AD, ce qui en fait un point de pivot critique entre les mondes on-premises et cloud. AADInternals a largement documenté l'extraction de ces secrets locaux. Les recommandations de durcissement incluent l'isolation stricte du serveur au niveau Tier 0, la limitation des accès administratifs, et la surveillance renforcée des modifications de configuration de synchronisation.