开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

如何将活动日志中的对象ID与用户、SPN声明或UPN声明相关联

将活动日志中的对象ID与用户、SPN声明或UPN声明相关联的方法是通过使用Azure Active Directory (Azure AD) 的身份验证和授权功能。

Azure AD 是一种云身份和访问管理服务，可帮助组织管理用户身份和访问权限。它提供了一种集中式的身份验证和授权机制，可以与各种应用程序和服务集成。

要将活动日志中的对象ID与用户、SPN声明或UPN声明相关联，可以按照以下步骤进行操作：

创建 Azure AD 应用程序：在 Azure 门户中，创建一个 Azure AD 应用程序。应用程序代表你的应用程序或服务，用于与 Azure AD 进行身份验证和授权交互。在创建应用程序时，你将获得一个应用程序 ID，这是一个唯一标识符，用于标识你的应用程序。
配置应用程序权限：在 Azure AD 应用程序的设置中，配置应用程序需要的权限。这些权限决定了你的应用程序可以访问的资源和操作。例如，你可以配置应用程序具有读取用户信息的权限。
获取访问令牌：当用户使用你的应用程序进行身份验证时，你的应用程序需要获取一个访问令牌，以便代表用户进行后续的操作。你可以使用 Azure AD 的身份验证终结点来获取访问令牌。在获取访问令牌时，你需要提供应用程序的身份验证凭据（应用程序 ID 和机密）。
解析访问令牌：获取访问令牌后，你的应用程序可以解析令牌以获取有关用户的信息，包括对象ID、用户ID、SPN声明或UPN声明等。这些信息可以帮助你将活动日志中的对象ID与用户、SPN声明或UPN声明相关联。

需要注意的是，具体的实现细节和代码会根据你使用的编程语言和开发框架而有所不同。你可以参考 Azure AD 的文档和示例代码来了解如何在你的应用程序中实现这些步骤。

推荐的腾讯云相关产品：腾讯云身份认证服务（Cloud Authentication Service，CAS），它是腾讯云提供的一种身份认证服务，可帮助组织实现用户身份验证和访问控制。CAS 提供了多种身份验证方式，包括用户名密码、短信验证码、微信扫码等。你可以使用 CAS 来实现用户身份验证，并将活动日志中的对象ID与用户相关联。

更多关于腾讯云身份认证服务的信息和产品介绍，可以访问以下链接： https://cloud.tencent.com/product/cas

页面内容是否对你有帮助？

有帮助

没帮助

相关·内容

本地帐户和活动目录帐户

活动目录帐户Active Directory Accounts 活动目录帐户是活动目录中的帐户，活动目录帐户可分为用户帐户、服务帐户和机器帐户。活动目录帐户存储在活动目录数据库中。...01 用户帐户User Accounts 活动目录用户帐户可以代表一个物理实体，如个人。用户帐户就是在域内的用户帐户，与本地用户帐户存储在本地机器不同的是，域用户帐户存储在活动目录数据库中。...此后，这些帐户具有域范围的访问权限，访问时加上域前缀即可，并且与域内机器或独立服务器的默认本地用户帐户完全独立。...有两种： UPN(User Principal Name)：如 zhangsan@xie.com 。UPN的格式与电子邮件账号相同，在整个林内，这个名称必须是唯一的。...在2.8章SPN服务主体名称中我们讲了Kerberos身份验证使用SPN来将服务实例和服务登录帐户相关联。因此，在域中所有的服务都有SPN，并且所有的服务都有服务帐户。

1.5K3 0

服务凭证（Service Credential）与服务身份（Service Identity）

前者被称为服务主体名（SPN：Service Principal Name，以下简称SPN），另一种被称为用户主体名（UPN：User Principal Name，以下简称UPN）。...WCF中的SPN和UPN的格式如下。...如果客户端预先指定SPN/UPN表示服务身份，它通过执行服务寄宿进程帐号对应的Windows凭证和SPN/UPN进行比较，从未确定服务运行在预先设定的机器或者某个域用户帐号下。...由于IIS（IIS 6或之后版本）在Network Servier帐号下执行，所以默认会使用SPN作为服务身份标识（SPN中的Jinnan-Win7-X64为机器名称）。...如果服务凭证与客户端持有的服务身份相一致，则认证成功，并开始后续的消息交换，否则双方之间的交互到此为止。在默认的情况下，正进行服务认证中客户端和服务端有一个“协商（Negotiation）”的过程。

1.2K8 0

内网渗透 | SPN 与 Kerberoast 攻击讲解

Kerberos 认证过程使用 SPN 将服务实例与服务登录账户相关联，如果想使用 Kerberos 协议来认证服务，那么必须正确配置SPN。...在使用 Kerberos 身份验证的网络中，必须在内置计算机帐户或域用户帐户下为服务器注册 SPN。对于内置机器帐户，SPN 将自动进行注册。...•另一种是注册在活动目录的域用户帐户（Users）下，当一个服务的权限为一个域用户时，则 SPN 注册在域用户帐户（Users）下。...这将允许在服务被访问时模拟任何域用户或伪造账户。此外，提权也是可能的，因为用户可以被添加到诸如域管理员的高权限组中。...•在进行日志审计时，可以重点关注ID为4679（请求Kerberos服务票据）的时间。如果有过多的 4769 日志，应进一步检查系统中是否存在恶意行为。 Ending......

3.7K3 0

Cloudera安全认证概述

简要地说，TGS向请求的用户或服务发行票证，然后将票证提供给请求的服务，以证明用户（或服务）在票证有效期内的身份（默认为10小时）。...优点缺点本地MIT KDC充当中央Active Directory的防护对象，以防止CDH集群中的许多主机和服务。在大型集群中重新启动服务会创建许多同时进行的身份验证请求。...集群中的节点越多，提供的服务越多，这些服务与集群上运行的服务之间的流量就越大。...当计算机加入AD域时，应注意确保身份管理产品不将服务主体名称（SPN）与主机主体相关联。例如，默认情况下，“集中化”将HTTP SPN与主机主体相关联。...这些帐户应将AD用户主体名称（UPN）设置为 service/fqdn@REALM，并将服务主体名称（SPN）设置为service/fqdn。keytab文件中的主体名称应为帐户的UPN。

2.9K1 0

域权限维持之DCShadow

两种连接类型，如图所示：默认情况下，KCC组件每隔15min进行了一次域控间的数据的同步。使用与每个活动目录对象相关联的USN，KCC可以识别环境中发生的变化，并确保域控在复制扑拓中不会被孤立。...1、在活动目录中新增域控如何在域内注册一个恶意的域控呢？MS-ADTS中指出，在活动目录数据库中通过一些特殊的对象和一定的数据对象层级来标识哪台机器是域控。...其中，最关键的便是nTDSDSA对象，该对象用于标识一台主机，是域控的特殊对象，如图所示，是微软官方对于nTDSDSA对象的描述那么，只要在活动目录中添加一个具有nTDSDSA对象的服务器就好了。...拥有什么权限才可以往活动目录中添加nTDSDSA对象呢？通过查看nTDSDSA对象的ACL，可以看到只有域管理员和企业管理员才有权限修改此属性。...nTDSDSA对象无法通过LDAP进行添加，比如mimikatz中的DCShadow功能模块是通过PRC协议在活动目录中增加nTDSDSA对象的。

2653 0

域权限维持之DCShadow

两种连接类型，如图所示：默认情况下，KCC组件每隔15min进行了一次域控间的数据的同步。使用与每个活动目录对象相关联的USN，KCC可以识别环境中发生的变化，并确保域控在复制扑拓中不会被孤立。...1、在活动目录中新增域控如何在域内注册一个恶意的域控呢？MS-ADTS中指出，在活动目录数据库中通过一些特殊的对象和一定的数据对象层级来标识哪台机器是域控。...那么，只要在活动目录中添加一个具有nTDSDSA对象的服务器就好了。拥有什么权限才可以往活动目录中添加nTDSDSA对象呢？...nTDSDSA对象无法通过LDAP进行添加，比如mimikatz中的DCShadow功能模块是通过PRC协议在活动目录中增加nTDSDSA对象的。...nTDSDSA对象，确保两者相配实时监控域中提供了以GC字符串开头的SPN 实时监控域中提供了目录复制服务但是又不在正常域控中的主机

2331 0

CDP私有云基础版用户身份认证概述

简要地说，TGS向请求的用户或服务发行票证，然后将票证提供给请求的服务，以证明用户（或服务）在票证有效期内的身份（默认为10小时）。...优点缺点本地MIT KDC充当中央Active Directory的防护对象，以防止CDH集群中的许多主机和服务。在大型集群中重新启动服务会创建许多同时进行的身份验证请求。...当计算机加入AD域时，应注意确保身份管理产品不将服务主体名称（SPN）与主机主体相关联。例如，默认情况下，Centrify将HTTP SPN与主机主体相关联。...这些帐户应将AD用户主体名称（UPN）设置为service/fqdn@REALM，并将服务主体名称（SPN）设置为service/fqdn。keytab文件中的主体名称应为帐户的UPN。...当准备好将集群与组织的MIT KDC或Active Directory KDC集成时，可以使用Cloudera Manager Server中提供的向导或遵循以下手动过程来实现。

2.4K2 0

SPN服务主体名称发现详解

在内部网络中，SPN扫描通过查询向域控制器执行服务发现。这对于红队而言，可以帮助他们识别正在运行重要服务的主机，如终端、交换机、微软SQL等，并隐藏他们。...此外，SPN的识别也是kerberoasting攻击的第一步。 Tim Medin在他的Kerberos攻击演讲中很好地解释了SPN。...SetSPN SetSPN是一个本地windows二进制文件，可用于检索用户帐户和服务之间的映射。该实用程序可以添加，删除或查看SPN注册。...以下SPN列表中， PENTESTLAB_001服务与用户帐户相关联。 ?...GetUserSPNs Tim Medin开发了一个PowerShell脚本，它是kerberoast工具包的一部分，可以帮助我们查询活动目录，以发现仅与用户帐户相关联的服务。

2.8K0 0

Windows Azure Pack集成AD联合身份认证

等待安装完成后，在工具中打开AD FS管理，如下图。 ?...保持默认，允许所有用户访问。 ? 完成配置，关闭后进行声明规则添加。 ? 添加规则，如下图： ? 选择以声明方式发送LDAP特性 ?...填入声明规则名称，如LDAP UPN，LDAP特性选择User-Principal-Name，传出声明类型选择UPN ? 按照以上方式继续创建一个LDAP声明，如下配置。 ?...接下来创建经历或筛选传入声明 ? 如下创建UPN声明。 ? 按照以上方法创建Group传入声明。 ? OK，完成了全部声明规则配置。 ?...与上面所介绍的声明规则添加方式相同，添加LDAP与筛选传入声明。 ? 按次序完成4个声明规则的添加。 ?

1.2K4 0

没有 SPN 的 Kerberoasting

服务主体名称 (SPN) 是 Active Directory (AD) 数据库中的记录，显示哪些服务注册到哪些帐户：具有 SPN 的帐户示例如果一个帐户有一个 SPN 或多个 SPN，您可以通过...，并查找具有 SPN 且不是计算机帐户的用户。...（总是与 Pass-The-Hash 攻击一起使用） DES：密钥直接从密码中计算出来在请求中使用客户端主体名称，KDC 尝试在 AD 数据库中查找客户端的帐户，提取其预先计算的 Kerberos 密钥...奖励：重温 S4U 和 AnySPN 攻击我检查了 Impacket 源代码，我发现了两个有趣的地方，它们与所发现的技术密切相关，但与 Kerberoasting 无关。...由于您不再需要 SPN，您可以使用新的-userfile选项仅通过用户列表请求服务票证：使用新的 GetUserSPNs.py 按用户列表执行 Kerberoasting 该-userfile选项利用

1.3K4 0

蜜罐账户的艺术：让不寻常的看起来正常

所有这些都只有用户权限和企业网络上的最少活动。 image.png 4....如果不是，这可能是可疑的（或一个非常旧的帐户）。攻击者尝试发现蜜罐帐户的一些简单方法是检查帐户的创建时间，并将该日期与上次密码更改和上次登录日期进行比较。...建立我们的蜜罐帐户我们想要一个攻击者想要的目标（又名“诱饵”），并为防御者提供一种新的检测方法，攻击者与目标的交互可以识别正在发生的恶意活动。...这意味着，如果没有与 LogonWorkstations 中的所有值相关联的计算机帐户，攻击者可能会使用受感染的用户帐户创建新的计算机帐户，并最终将其与未加入的计算机相关联，最终使用这台新加入域的计算机帐户以与蜜罐帐户交互登录...如果有人试图阅读它，那可能是恶意的，因为它没有与真正的组策略对象相关联。

1.7K1 0

SPN服务主体名称

Kerberos身份验证使用SPN将服务实例与服务登录帐户相关联。如果在整个林或域中的计算机上安装多个服务实例，则每个实例都必须具有自己的 SPN。...然后，安装程序将编写 SPN，并作为帐户对象的属性写入 Active Directory 数据库中。如果服务实例的登录帐户发生更改，则必须在新帐户下重新注册 SPN。...下面通过一个例子来说明SPN的作用： Exchange邮箱服务在安装的过程中，就会在活动目录中注册一个Exchange的SPN。...当找到该SPN记录后，用户会再次与KDC通信，将KDC发放的TGT作为身份凭据发送给KDC，并将需要访问的SPN发送给KDC。KDC中的TGS服务对TGT进行解密。...此组件可以具有以下格式之一：服务中对象的可分辨名称或 objectGUID Active Directory 域，例如 SCP (连接) 。为整个域提供指定服务的服务的域的 DNS 名称。

5332 0

SPN信息扫描

Windows域环境是基于微软的活动目录服务的（Microsoft Active Directory），它将物理位置分散，所属部门不同的用户在网络系统环境中进行分组，集中统一资源，有效对资源访问控制权限细粒化分配...域环境中运行着大量应用包含多种资源，为了方便对资源的合理分组分类再分配给用户使用，微软对域内的每种资源分配了不同的服务主体名称（Service Principal Name）简称SPN。...1.概念介绍在使用Kerberos身份验证的网络中，必须在内置计算机帐户（如NetworkService或LocalSystem）或用户帐户下为服务器注册SPN。...Kerberos身份验证使用SPN将服务实例与服务登录帐户相关联。如果在整个域中的计算机上安装多个服务实例，则每个实例都必须具有自己的SPN。...在Kerberos的协议中，当用户输入自己的账号密码登录Active Directory中时，域控制器会对账号密码进行身份验证，当身份验证通过后KDC会将服务授权的票据（TGT）颁发给用户作为用户访问资源时验证身份的凭证

2051 0

内网渗透 | 域渗透之SPN服务主体名称

Kerberos认证过程使用SPN将服务实例与服务登录账户相关联，如果想使用 Kerberos 协议来认证服务，那么必须正确配置SPN。...SPN 始终包含运行服务实例的主机的名称，因此服务实例可以为其主机的每个名称或别名注册SPN。一个用户账户下可以有多个SPN，但一个SPN只能注册到一个账户。...当找到该SPN记录后，用户会再次与KDC通信，将KDC发放的TGT作为身份凭据发送给KDC，并将需要访问的SPN发送给KDC。KDC中的TGS服务对TGT进行解密。...SPN分为两种类型： 1.一种是注册在活动目录的机器帐户(Computers)下，当一个服务的权限为 Local System 或 Network Service，则SPN注册在机器帐户(Computers...域中的每个机器都会有注册两个2.SPN：HOST/主机名和 HOST/主机名.xie.com 另一种是注册在活动目录的域用户帐户(Users)下，当一个服务的权限为一个域用户，则SPN注册在域用户帐户

1.9K1 0

SPN 劫持：WriteSPN 滥用的边缘案例

如果 RBCD 或影子凭证不可行，SPN 劫持也可以作为替代接管技术。 Kerberos 委托入门 Kerberos 委托是一种允许服务模拟用户到其他服务的机制。...攻击者的目标是攻破 ServerC。 Ghost SPN 顶升第一种情况是最简单的。ServerA 配置为对先前与不再存在的计算机或服务帐户关联的 SPN 进行约束委派。...它可以是标准 SPN，例如 cifs/主机名，与已删除的计算机/服务帐户或重命名的计算帐户相关联（如果 SPN 已相应更新）。...在完全修补的环境中，仅允许域管理员配置冲突的 SPN，这意味着 SPN 与两个或多个不同的帐户相关联。...防御者可以检测到主机名与计算机的 DNS 名称不同的 SPN，如下面的屏幕截图所示：从计算机帐户中删除 HOST 服务类也可能是可疑的。

1.2K5 0

Active Directory 域服务特权提升漏洞 CVE-2022–26923

Certificate_Template_Data 列中的证书模板对象的 cn属性值 OID 标识符映射到存储在 Certificate_Template_Data 列中的证书模板对象的 msPKI-Cert-Template-OID...4.KDC 必须在NTLM_SUPPLEMENTAL_CREDENTIAL 缓冲区中返回用户的unicodePwd 属性 Active Directory 将密码存储在unicodePwd属性中的用户对象或...DNSName字段中的 DNS 域名与领域的 DNS 域名匹配。...7.如果使用的是3.1.5.2.1.2 SAN UPN 字段来进行证书映射的话，KDC会： KDC确认找到的帐户与在证书的UPN字段中使用 UPN 时找到的帐户匹配。...或 CT_FLAG_SUBJECT_ALT_REQUIRE_SPN 标志， CA 必须将来自工作目录中请求者用户对象的userPrincipalName属性的值添加到已颁发证书的主题替代名称扩展中。

2.1K4 0

Windows Server 2008 用户管理

一、用户账户概述： ”用户”是计算机的使用者在计算机系统中的身份映射，不同的用户身份拥有不同的权限，每个用户包含一个名称和一个密码；在Windows中，每个用户帐户有一个唯一的安全标识符（Security...1.png 1、用户管理：当一台计算机需要提供给多人使用，或允许其他人通过网络访问这台计算机，并且需要为不同的使用者分配不同的权限，如关闭系统的权限，修改系统时间的权限，访问文件的权限（只读或是可修改...例如，谁是当前已登录的用户、用户名。参数列表: /UPN ：用用户主体 (User Principal) 格式显示用户名名称 (UPN)格式。.../GROUPS：显示当前用户的组成员信息、帐户类型和安全、标识符 (SID) 和属性。 /CLAIMS：显示当前用户的声明，包括声明名称、标志、类型和值。.../PRIV：显示当前用户的安全特权 /LOGONID：显示当前用户的登录 ID。 /ALL ：显示当前用户名、所属的组以及安全等级当前用户访问令牌的标识符(SID)、声明和权限。

3.6K12 0

横向移动与域控权限维持方法总汇

这里简要说一下几个有关COM的概念 CLSID：又叫CLASSID 一个COM类的唯一标识符，每一个Windows注册类与一个CLSID相关联。...ProgID不能保证是唯一的，并非每个类都与ProgID相关联 Appid: 为了保证COM对象能被顺利的远程调用（即为了使DCOM可访问COM对象），需要把APPID与该类的CLSID相关联，且AppID...AD定期把 AdminSDHolder对象的ACL 应用到所有受保护用户或组上，防止其被有意或故意修改。...如何寻找受保护用户或组：受保护用户或组的 AdminCount属性为1 。但是，如果对象已移出受保护组，其AdminCount属性仍为1，也就是说，有可能获得曾经是受保护组的帐户和组。...然后默认等60分钟，待ADMINSDHOLDER生效后，xx就获得所有受保护对象的完全控制权了 Ntds.dit “Ntds.dit文件是域环境中域控上会有的一个二进制文件，是主要的活动目录数据库

1.6K2 0

域内横向移动分析及防御

修改注册表，使其不再这样做根据Debug权限确定哪些用户可以将调试器附加到任何进程或内核中，默认情况下只有Administrator。...（Win95及之后）客户端程序对象能够对网络中的另一台计算机上的服务器程序对象发送请求执行流程同样：通过ipc$连接远程计算机执行命令 1、通过本地DCOM执行命令获取DCOM程序列表： //...SPN扫描也称作“扫描Kerberos服务实例名称”，在活动目录中发现服务的最佳方法就是SPN扫描。...与网络端口扫描相比，SPN扫描的主要特点是不需要通过连接网络中的每个IP地址来检查服务端口（不会因触发内网中的IPS、IDS等设备的规则而产生大量的警告日志）。...详细可参考：内网渗透 | SPN 与 Kerberoast 攻击讲解与之相关的还有一文了解黄金票据和白银票据防御：确保服务账号密码的长度超过25位确保密码的随机性（避免相同）定期修改密码十

1.6K1 1

如何使用ADSI接口和反射型DLL枚举活动目录

写在前面的话在这篇文章中，我们将告诉大家如何使用活动目录服务接口（ADSI）并结合C/C++来实现Cobalt Strike的活动目录枚举。...我们希望在枚举AD信息的时候不会触发AMSI或者是不留下明显的事件日志（可以通过伪造事件日志的内容来实现），要与活动目录进行对接并枚举其对象属性，我们需要使用到活动目录服务接口（ADSI）。...在QueryUsers的帮助下，我们可以搜索特定用户或所有用户，并返回所有标识用户的所有属性。...: 查询组对象和相应的属性； 4、Recon-AD-Computers: 查询计算机对象和相应的属性； 5、Recon-AD-SPNs: 查询配置了服务主体名称（SPN）的用户对象并显示有用的属性； 6...命令输出指定用户的属性信息：总结在这篇文章中，我们较少了关于活动目录服务接口（ADSI）的相关内容，并描述了如何将其与C/C++以及Cobalt Strike结合来实现活动目录的枚举。

1.5K2 0

点击加载更多

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云

扫码加入开发者社群

相关资讯

热门标签

活动推荐

运营活动

活动名称

广告关闭