기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS 관리형 Microsoft AD 사용자의 초기 인증을 위한 퍼블릭 키 암호화(PKINIT) 활성화

AWS 관리형 Microsoft AD 디렉터리는 기본적으로 강력한 인증서 바인딩을 사용하므로 인증서와 AD 객체 간의 명시적 매핑이 필요합니다. 다음 매핑은 AWS 관리형 Microsoft AD에 대해 강력한 것으로 간주됩니다.

이러한 속성을 사용하면 강력한 인증서 매핑이 가능해지며, 이는 Active Directory에 인증서 대 사용자 관계를 명시적으로 정의할 것을 요구하여 인증서 기반 인증에서 더 나은 보안을 제공합니다. 이렇게 하면 인증서 기반 권한 에스컬레이션 공격을 방지하는 데 도움이 됩니다.

이 절차를 사용하여 인증서 인증 기능을 유지하면서도 권한 에스컬레이션 공격을 방지하는 데 도움이 되는 강력한 인증서 바인딩을 구성할 수 있습니다.

자세한 내용은 Microsoft 지원 설명서에서 Microsoft KB5014754- Windows 도메인 컨트롤러의 인증서 기반 인증 변경을 참조하세요.

사전 조건

AltSecurityIdentity 속성 매핑

예: AltSecurityIdentity 속성에 대량 인증서 매핑

다음 예시는 인증 기관에서 발급된 여러 사용자 인증서에 대해 AltSecurityIdentity 속성을 매핑하는 방법을 보여줍니다.

$CertificateTemplateName = 'User'
$Now = $((Get-Date).ToString($(Get-culture).DateTimeFormat.ShortDatePattern))
$Restrict = "Disposition=20,NotAfter>=$Now,Certificate Template=$CertificateTemplateName"
$Out = "SerialNumber,Certificate Hash,User Principal Name,RequesterName,CommonName,CertificateTemplate,NotBefore,NotAfter"
$Certs = certutil -view -restrict $Restrict -out $Out csv | ConvertFrom-CSV
$UserSha1HashMapping = @{}

ForEach ($Cert in $Certs) {
    $UPN = $Cert.'User Principal Name'
    $Username, $Domain = $UPN.Split('@')
    $CertificateThumbprint = ($Cert.'Certificate Hash').Replace(' ','')
    $AdUserObject = Get-ADUser -Identity $Username
    If ($AdUserObject -And $AdUserObject.Count -gt 1) {
        Write-Output "Unable to map user: $Username, multiple user objects found"
        Continue
    }
    If ($AdUserObject) {
        If ($UserSha1HashMapping.Keys -Contains $Username) {
            $UserSha1HashMapping[$Username] += $CertificateThumbprint
        } Else {
            $UserSha1HashMapping[$Username] = @($CertificateThumbprint)
        }
    }
}

ForEach ($User in $UserSha1HashMapping.Keys) {
    Write-Output "Mapping altSecurityIdentity for $User"
    $UserObject = Get-ADUser -Identity $User | Get-ADObject -Properties 'altSecurityIdentities'
    $altSecurityIdentities = $UserObject.altSecurityIdentities
    ForEach ($thumbprint in $UserSha1HashMapping[$User]) {
        $SHA1PUKEY = "X509:<SHA1-PUKEY>$thumbprint"
        If ($altSecurityIdentities -Contains $SHA1PUKEY) {
            Write-Output "Skipping $thumbprint, already mapped."
            Continue
        }
        Write-Output "Adding $thumbprint to $User as altSecurityIdentity"
        Set-ADUser -Identity $User -Add @{'altSecurityIdentities'=$SHA1PUKEY}
    }
}

다음 단계