Microsoft 針對 Active Directory 同步處理設計了兩個隱藏的內建 Entra ID 角色，專門供 Entra Connect 或 Cloud Sync 服務帳戶使用。這些角色具有隱含的特權，可能會遭到惡意攻擊者利用，藉此在難以察覺的情況下發動攻擊。

您可以使用 <a href="https://learn.microsoft.com/zh-tw/entra/identity/hybrid/connect/whatis-azure-ad-connect">Microsoft Entra Connect</a> (前稱 Azure AD Connect) 或 <a href="https://learn.microsoft.com/zh-tw/entra/identity/hybrid/cloud-sync/what-is-cloud-sync">Microsoft Entra Cloud Sync</a> (前稱 Azure AD Connect Cloud Sync) 將 Microsoft Entra ID 與 Active Directory 同步。Microsoft 提供了兩個內建角色，專為這些同步處理工具使用的服務帳戶而設計。
<ul>
<li>主要角色為**<a href="https://learn.microsoft.com/zh-tw/entra/identity/role-based-access-control/permissions-reference#directory-synchronization-accounts">目錄同步處理帳戶</a>**​ (ID: <code>d29b2b05-8046-44ba-8758-1e26182fcf32</code>)。在 Tenable Research 的「[Entra ID 中具有「目錄同步處理帳戶」角色的隱蔽潛伏]」(<a href="https://medium.com/tenable-techblog/stealthy-persistence-with-directory-synchronization-accounts-role-in-entra-id-63e56ce5871b">https://medium.com/tenable-techblog/stealthy-persistence-with-directory-synchronization-accounts-role-in-entra-id-63e56ce5871b</a>) 部落格文章中，已詳細說明該角色遭到濫用的可能性。</li>
<li><a href="https://learn.microsoft.com/zh-tw/entra/identity/role-based-access-control/permissions-reference#on-premises-directory-sync-account">內部部署目錄同步處理帳戶</a>​ (ID: <code>a92aed5d-d78a-4d16-b381-09adb37eb3b0</code>) 是 Tenable 於 2024 年 7 月首次發現的較新角色，與「目錄同步處理帳戶」角色具有類似的角色說明和相同的權限。然而，<a href="https://www.tenable.com/blog/despite-recent-security-hardening-entra-id-synchronization-feature-remains-open-for-abuse#:~:text=What%20about%20the%20new%20On%20Premises%20Directory%20Sync%20Account%20Entra%20role%3F">Tenable Research 發現</a>，Microsoft Entra Connect 和 Entra Cloud Sync 皆未使用此角色，而且此角色目前沒有已知正當用途，因此引發用途與可能遭到濫用的疑慮。</li>
</ul>
攻擊者可能會惡意利用這些角色，將這些角色指派給他們控制的安全性主體 (例如使用者、服務主體或群組)，藉此提升特權或長期潛伏。這些角色對攻擊者特別具有吸引力的原因如下:
<ul>
<li>仍具有特權。儘管在 2024 年 8 月的安全強化更新期間，Microsoft 從這些角色中移除了多個 Entra ID 機密權限，但 <a href="https://www.tenable.com/blog/despite-recent-security-hardening-entra-id-synchronization-feature-remains-open-for-abuse#:~:text=Directory%20Synchronization%20Accounts%20Entra%20role%20remains%20privileged">Tenable Research 發現</a> 這些角色仍透過特定 API 保留隱含權限。因此，這些角色會繼續提供強大的存取權。</li>
<li>這些角色的運作模式相當隱蔽。因為管理員很少手動指派，所以這些角色在 Azure 和 Entra 入口網站中都處於隱藏狀態，它們不會出現在 Entra 角色清單中，也不會顯示在特定主體的「已指派角色」區段，因此成為攻擊者發動隱密攻擊的首選。</li>
<li>有 1 個角色未記錄。Microsoft 未記錄「內部部署目錄同步處理帳戶」角色，進一步增加未偵測到濫用行為的風險。</li>
</ul>
此曝險指標使用下列邏輯，偵測獲派這些角色的可疑安全性主體:
<ul>
<li>針對「目錄同步處理帳戶」角色: 偵測機制仰賴多種啟發式，識別與 Microsoft Entra Connect 或 Microsoft Entra Cloud Sync 所使用常見服務帳戶不相符的指派對象。</li>
<li>針對「內部部署目錄同步處理帳戶」角色: 由於此角色沒有已知的正當用途，因此無論在什麼情況下，系統都會將所有指派標記為可疑。</li>
</ul>

長期潛伏

帳戶操控: 其他雲端角色

特權提升

偵測

可疑的 AD 同步處理角色指派

HIGH

版本 202507230918

版本 202404160821

版本 202507230918 Jul 23, 2025, 9:18 AM Detection (Consider the new "On Premises Directory Sync Account" role in addition to the current "Directory Synchronization Accounts" role) Metadata (Change title from 'Suspicious "Directory Synchronization Accounts" Role Assignment' to 'Suspicious AD Synchronization Role Assignment' given the wider scope) Release: 202507230918
版本 202404160821 Apr 16, 2024, 8:21 AM New Release: 202404160821