Eine böswillige Verbunddomänenkonfiguration ist eine häufige Bedrohung, die von Angreifern als Authentifizierungs-Backdoor genutzt wird, um sich Zugang zum Entra ID-Mandanten zu verschaffen. Vorhandene und neu hinzugefügte Verbunddomänen müssen unbedingt verifiziert werden, um sicherzustellen, dass ihre Konfigurationen vertrauenswürdig und legitim sind. Dieser Indicator of Exposure stellt eine umfassende Liste von Verbunddomänen und ihren relevanten Attributen bereit, anhand derer Sie fundierte Entscheidungen über ihren Sicherheitsstatus treffen können.

Ein Microsoft Entra-Mandant kann <a href="https://learn.microsoft.com/de-de/entra/identity/hybrid/connect/whatis-fed">einen Verbund mit einer externen Domäne einrichten</a>, um zu Authentifizierungs- und Autorisierungszwecken eine Vertrauensbeziehung zu einer anderen Domäne herzustellen. IT-Abteilungen nutzen die Verbundfunktion, um die Authentifizierung für Active Directory-Benutzer an ihre On-Premises-Active Directory Federation Services (AD FS) zu delegieren. (Hinweis: Die externe Domäne ist keine Active Directory-„Domäne“.)
Wenn sich jedoch böswillige Akteure erhöhte Rechte in Microsoft Entra ID verschaffen, können sie diesen Verbundmechanismus missbrauchen, um eine Backdoor zu erstellen. Hierzu fügen sie ihre eigene Verbunddomäne hinzu oder bearbeiten eine vorhandene Verbunddomäne, um eine zweite Konfiguration mit ihren eigenen Einstellungen hinzufügen.
Backdoors in Verbunddomänen basieren auf einem speziell gefälschten Tokensignaturzertifikat, das in die Konfiguration eingefügt wird und entweder über ein primäres oder <a href="https://medium.com/tenable-techblog/stealthy-persistence-privesc-in-entra-id-by-using-the-federated-auth-secondary-token-signing-cert-876b21261106">sekundäres Tokensignaturzertifikat</a> festgelegt wurde. Bei Verwendung gängiger Open-Source-Angriffstools (wie <a href="https://github.com/Gerenios/AADInternals">AADInternals</a> mit dem <a href="https://aadinternals.com/aadinternals/#convertto-aadintbackdoor-a">ConvertTo-AADIntBackdoor-Cmdlet</a>) gibt es einige Anzeichen, die auf ein verdächtiges Ereignis hinweisen.
Im Gegensatz zum Indicator of Exposure (IoE) „Bekannte Verbunddomänen-Backdoor“ gibt dieser IoE nicht unbedingt Hinweise auf Backdoors, die von einem Angreifer erstellt wurden. Stattdessen stellt er eine umfassende Liste aller Verbunddomänen in Ihrem Entra ID-Mandanten bereit, sodass Sie überprüfen können, ob der Aussteller-URI für die einzelnen Domänen mit dem von Ihnen konfigurierten externen Identitätsanbieter (IdP) übereinstimmt. In der Regel ist dies Ihr lokaler AD FS-Server. Der Aussteller-URI stellt die URL des vertrauenswürdigen Verbundservers dar.
Wie von <a href="https://learn.microsoft.com/de-de/entra/identity/hybrid/connect/how-to-connect-fed-single-adfs-multitenant-federation">Microsoft erläutert</a>, ist der Standardaussteller für den Verbund zwischen einer Domäne und AD FS <code>http://&lt;ADFSServiceFQDN&gt;/adfs/services/trust</code>. Dieser Wert lautet jedoch anders, wenn Sie einen anderen Verbundidentitätsanbieter verwenden.
Die Berechtigungen <code>microsoft.directory/domains/allProperties/allTasks</code> und <code>microsoft.directory/domains/federation/update</code> gewähren Administratoren die Möglichkeit, die Verbunddomänen zu ändern. Seit November 2023 verfügen die folgenden integrierten Microsoft Entra-Rollen zusätzlich zu potenziellen benutzerdefinierten Rollen über diese Berechtigung:
<ul>
<li><a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#domain-name-administrator">Domänennamenadministrator</a></li>
<li><a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#external-identity-provider-administrator">Externer Identitätsanbieteradministrator</a></li>
<li><a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#hybrid-identity-administrator">Hybrididentitätsadministrator</a></li>
<li><a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#global-administrator">Globaler Administrator</a></li>
<li><a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#partner-tier2-support">Partnersupport der Ebene 2</a></li>
<li><a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#security-administrator">Sicherheitsadministrator</a></li>
</ul>

Erkennungen

Liste der Verbunddomänen

LOW

Version 202510271638

Version 202411071130

Version 202510271638 Oct 27, 2025, 4:38 PM Metadata (use tables instead of long lists in weakness details) Release: 202510271638
Version 202411071130 Nov 7, 2024, 11:30 AM New Release: 202411071130