På mange netværk står der en server, som IT måske kun tænker på, når synkroniseringen fejler. Den flytter brugere, grupper og eventuelt adgangskodeoplysninger fra det lokale Active Directory til Entra ID, og den har derfor rettigheder i begge miljøer. Svaret på, hvor alvorligt den skal tages, giver Microsoft selv: serveren med Entra Connect skal behandles som en komponent på det højeste niveau, på linje med domænecontrollerne. En test, der finder den let tilgængelig, har fundet en vej til både katalog og sky.
Hvorfor serveren er så betroet
Synkroniseringen skal kunne læse kataloget og skrive til lejeren. Afhængigt af opsætningen skal den også kunne skrive tilbage til det lokale katalog, fx når en bruger skifter adgangskode i skyen. Microsoft skriver, at serveren indeholder kritiske identitetsdata, og at administrativ adgang til den skal sikres tilsvarende.
Microsoft forklarer også konsekvensen direkte: hvis nogen får kontrol over serveren, kan de ændre brugere i Entra ID. Det er grunden til, at Microsoft anbefaler tofaktor for alle med privilegeret adgang i begge miljøer, så en ændring af en adgangskode via synkroniseringen ikke alene giver adgang til en konto.
Serveren er altså ikke en hjælpeserver. Den er et af de få steder, hvor en enkelt kompromittering kan give adgang til begge verdener. → Hybrid identitet
Det, testen spørger til
En test ser ikke på synkroniseringens indre funktion. Den ser på, hvem og hvad der kan nå serveren, og hvad der følger med. Spørgsmålene er typisk:
- Hvem kan logge på · om flere end de mest betroede administratorer har adgang, fx en bred driftsgruppe eller en leverandørkonto.
- Hvor administreres den fra · om den administreres fra almindelige klienter, der også bruges til mail og internet.
- Tjenestekontiene · hvilke konti synkroniseringen kører med, og hvilke rettigheder de har i kataloget. → Tjenestekonti
- Placering på nettet · om serveren kan nås fra almindelige klientnet, eller om adgangen er afgrænset.
- Opdatering og version · om programmet og operativsystemet er opdateret, og om versionen stadig understøttes.
- Øvrige roller · om serveren også bruges til andre opgaver, der trækker flere brugere eller programmer ind.
Mange fund på serveren ligner fund på andre servere. Forskellen er alvoren. En lokal administrator på en filserver er en sag for den server. En lokal administrator på synkroniseringsserveren kan være en sag for hele identitetsplatformen.
Det, IT-afdelingen forbereder
Testeren skal vide, at serveren findes, og hvad den gør. Det lyder selvfølgeligt, men serveren står måske ikke i den liste over kritiske systemer, der sendes med bestillingen.
- Navn og placering · hvilken server det er, og hvilket netværksafsnit den står i.
- Opsætningen · om den skriver tilbage til kataloget, og om den bruger føderation eller anden login-metode.
- Adgangslisten · hvem der er lokal administrator, og hvem der kan logge på via fjernskrivebord.
- Drift og ejer · hvem der passer serveren, og om en leverandør har adgang.
- Aftale om forsigtighed · at testen ikke må forstyrre synkroniseringen, og hvem der kontaktes, hvis den stopper.
Aftal på forhånd, at testen kun skal vise, hvem der kan nå serveren og med hvilke rettigheder. Det er sjældent nødvendigt at ændre noget på den for at få svaret.
Beskyttelse som princip
Microsoft anbefaler at hærde serveren som et aktiv i det højeste lag og at begrænse administrativ adgang til domæneadministratorer eller andre tæt kontrollerede grupper. Rettelserne ligger derfor på samme linje som for domænecontrollerne. → Domænecontrollere
- Færre administratorer · kun de mest betroede konti får lov at logge på og administrere serveren.
- Adskilte konti · administration sker med særskilte konti, der ikke bruges til daglig mail og internet. → Én konto til alt
- Rene arbejdsstationer · serveren administreres fra maskiner, der er indrettet til det.
- Afgrænset netværksadgang · serveren kan kun nås fra de steder, der har brug for det.
- Unikke lokale adgangskoder · den lokale administratorkonto har ikke samme adgangskode som andre maskiner.
- Overvågning · ændringer på serveren og i synkroniseringens opsætning bliver set af nogen.
Det er ikke nyt arbejde for en IT-afdeling, der allerede har en lagdelt model for administration. Det nye er at placere synkroniseringsserveren i det rigtige lag. → Lagdelt administration
Hvis serveren står for lavt
Et muligt fund er, at serveren blev installeret af en konsulent for flere år siden og siden har været behandlet som en almindelig medlemsserver. Den er administreret af den samme brede gruppe som filservere og printserver, og den er opdateret i samme takt.
Rettelsen kræver en beslutning om, hvilke konti der fremover må røre serveren. Det kan betyde, at driftsfolk, der i dag har adgang, mister den, og at opgaver omkring synkroniseringen samles hos færre. Den beslutning skal tages, før de tekniske ændringer laves, ellers glider adgangen tilbage. Planlæg også, hvordan en eventuel reserveserver er beskyttet. Den har de samme rettigheder, selv om den står stille.
Hvis en driftsleverandør passer serveren, hører spørgsmålet også hjemme i driftsaftalen. Hvem hos leverandøren må logge på, fra hvilke maskiner, og hvordan bliver I orienteret, når nogen gør det? En leverandør med mange kunder kan have fælles rutiner og fælles konti, og de passer ikke nødvendigvis til en server, der skal behandles som en af jeres mest betroede. Aftal derfor, at adgangen gives til navngivne personer og registreres, så I bagefter kan se, hvem der var inde, og hvornår.
Det skal I lade være med
- At udelade serveren af scope, fordi den er driftskritisk. Det er netop derfor, den skal med, med aftalt forsigtighed.
- At lade samme gruppe administrere den som almindelige servere. Den bliver så kun så sikker som den svageste af dem.
- At glemme reserveserveren. En server i standby har samme adgang som den aktive.
- At bruge den til andre opgaver. Hver ekstra rolle bringer flere brugere og programmer tæt på identitetsdata.
- At lade versionen sakke bagud. Microsoft stiller krav til understøttede versioner, og en gammel udgave kan stoppe.
Hvad kan og ikke kan konkluderes
Testen viser, hvem og hvad der kunne nå serveren, og om adgangen kunne bruges som led i en vej til katalog eller sky. Den viser ikke, om synkroniseringen er sat korrekt op i alle detaljer. Det er en gennemgang af konfigurationen, ikke en penetrationstest. Et resultat uden fund betyder, at de undersøgte veje til serveren var lukkede på testtidspunktet, med de konti og udgangspunkter, der indgik.
Tjekliste til synkroniseringsserveren
- ☐ Står serveren på listen over kritiske systemer?
- ☐ Er adgangen begrænset til de mest betroede administratorer?
- ☐ Sker administration fra særskilte konti og maskiner?
- ☐ Er reserveserveren beskyttet på samme måde?
- ☐ Er program og operativsystem opdateret og understøttet?
- ☐ Bliver ændringer på serveren overvåget?
Kilder
- Microsoft Learn: Microsoft Entra Connect, prerequisites and hardware: serveren indeholder kritiske identitetsdata, skal behandles som komponent på højeste niveau, begrænset administrativ adgang, hærdning og tofaktor for privilegerede brugere.
- Microsoft Learn: Protect Microsoft 365 from on-premises attacks: synkronisering af konti som vej fra det lokale miljø til skyen og overvågning af hybride komponenter.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Lagdelt administration · Servere som testområde
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
