Lab · 15 / 16
Un piede in Active Directory.
Quasi nessuna azienda parte da zero. Active Directory gestisce ancora file share, server e vecchie app, mentre le app nuove vivono nel cloud. Ecco come si uniscono i due mondi e dove gli attaccanti cercano le giunture.
Scenario 1 di 7
Due mondi, un’identità
In parole semplici La stessa persona ha un solo account che funziona sia in ufficio sia nel cloud.
Active Directory resta l’autorità per le risorse on-premises. Un IdP cloud gestisce il login moderno e i SaaS. Sincronizzazione, federazione e proxy mantengono un’identità unica tra i due.
Scenario 2 di 7
Sincronizzare le identità nel cloud
In parole semplici Una copia della rubrica viene mandata nel cloud, così lì puoi usare la stessa password.
Un agente di sincronizzazione copia utenti e gruppi da AD. Con password hash sync il cloud verifica un hash dell’hash, e funziona anche se l’on-premises è giù. Con pass-through authentication il cloud chiede a un agente in AD di verificare ogni password.
Scenario 3 di 7
Federazione con AD FS
In parole semplici Il cloud ti rimanda in ufficio a mostrare il badge lì. Funziona, ma aggiunge una porta fragile.
Con la federazione l’IdP cloud si fida di AD FS per autenticare gli utenti. Dà pieno controllo on-premises, ma aggiunge server da aggiornare e una chiave di firma dei token che, se rubata, permette di falsificare qualsiasi login. Molte aziende stanno passando all’autenticazione cloud.
Scenario 4 di 7
Conditional access
In parole semplici La guardia all’ingresso guarda anche da dove arrivi e quale dispositivo porti.
Ogni login viene valutato con dei segnali: conformità del dispositivo dall’MDM, posizione, rischio dell’utente e del login, l’app che si apre. Il risultato è consenti, richiedi MFA o un dispositivo conforme, oppure blocca.
Scenario 5 di 7
App legacy senza VPN
In parole semplici Una vecchia app che conosce solo il badge d’ufficio riceve davanti un ingresso moderno.
Un app proxy pubblica l’app interna. L’utente accede prima all’IdP cloud con MFA, poi un connettore dentro la rete, che apre solo connessioni in uscita, parla con l’app usando la Kerberos constrained delegation. Nessuna porta aperta in ingresso.
Scenario 6 di 7
Partner con i loro account
In parole semplici Il consulente accede con il badge della sua azienda, e tu decidi cosa può aprire.
La collaborazione B2B invita ospiti che si autenticano presso il loro IdP. Tu mantieni il controllo dei loro accessi, applichi il tuo conditional access e li rivedi periodicamente, perché nessun altro li rimuoverà.
Scenario 7 di 7
Proteggi le giunture: tier 0
In parole semplici Chi controlla le macchine che copiano la rubrica controlla tutti. Vanno sorvegliate come la cassaforte.
Domain controller, server di sincronizzazione e AD FS sono tier 0: si gestiscono solo da postazioni amministrative dedicate, con account admin separati. Tieni account break-glass solo cloud e non sincronizzare nel cloud gli account admin on-premises.