I mange virksomheder bliver brugerne oprettet i det lokale Active Directory og synkroniseret op til Entra ID. Koblingen er praktisk, men den binder de to verdener sammen. Den, der har kontrol over synkroniseringen, kan ændre brugere i skyen. Og en privilegeret skykonto, der kommer nede fra, følger med, hvis det lokale katalog bliver kompromitteret.
Kontrollen har tre dele: serveren, der kører synkroniseringen, de konti, den bruger, og hvilke konti der synkroniseres op. Målestokkene er Microsofts egen vejledning til Entra Connect og CISA’s baseline for Entra ID.
Serveren hører til det mest betroede lag
Microsoft skriver, at Entra Connect-serveren skal behandles som Tier 0, det vil sige på samme niveau som domænecontrollerne i kontrolplanet. Begrundelsen er ligetil: den, der får kontrol over serveren, kan ændre brugere i Entra ID.
Producenten nævner en række hærdningspunkter, der kan læses direkte:
- Administrativ adgang til serveren · begrænset til domæneadministratorer eller tilsvarende stramt styrede grupper.
- Lokalt administratorpassword · unikt på hver maskine, også på synkroniseringsserveren. Kontrollen af det er beskrevet i lokale administratorer på klienter og servere.
- NTLM mod serveren · afvises.
- MFA · for alle med privilegeret adgang i Entra ID eller Active Directory.
- Soft matching og hard match takeover · slås fra, hvis de ikke bruges.
En gennemgang kan holde serverens faktiske opsætning op mod de punkter. Det vigtigste udtræk er medlemmerne af den lokale administratorgruppe på serveren og de grupper, der giver adgang til at logge på den. Står der en bred gruppe for supportfolk, er serveren ikke behandlet som Tier 0.
Kontiene, synkroniseringen bruger
Synkroniseringen bruger en konto til at læse og skrive i det lokale katalog. Microsoft oplyser, at en konto fra Enterprise Admins eller Domain Admins ikke kan bruges som forbindelseskonto til Active Directory fra og med version 1.4. Producenten skriver også, at rollen Hybrid Identity Administrator ikke er nødvendig, efter at installationen er gennemført.
To kontrolpunkter følger af det. Det ene er, om forbindelseskontoen i det lokale katalog har flere rettigheder end nødvendigt. Det andet er, om nogen stadig har rollen Hybrid Identity Administrator i skyen fra installationen. Rollen står på SCuBA’s liste over højt privilegerede roller og hører derfor med i opgørelsen over administratorrettigheder.
Privilegerede konti skal være rene skykonti
CISA’s baseline for Entra ID siger i MS.AAD.7.3v1, at privilegerede brugere skal have rene skykonti, adskilt fra det lokale katalog og fra andre fødererede identitetsudbydere. Det er et krav (SHALL) i baselinens sprog. Kun USA’s civile forbundsmyndigheder er forpligtet af den. I Danmark er brugen et valg.
Microsoft siger det samme om nødkonti: de må hverken være fødererede eller synkroniserede. Grunden er, at en konto, der synkroniseres nede fra, kan ændres nede fra. Er det lokale katalog kompromitteret, er skykontoen det også.
Udtrækket er enkelt. Listen over brugere med højt privilegerede roller i Entra ID holdes op mod feltet, der viser, om kontoen er synkroniseret fra det lokale katalog. Hver synkroniseret konto med en høj rolle er et fund mod SCuBA.
Hvad der følger med op
Hvilke objekter og attributter der som standard synkroniseres, har vi ikke læst i en primærkilde, og det beskrives derfor ikke her. Det, der kan siges, er at omfanget af synkroniseringen er et kontrolpunkt i sig selv. Det er praksis at stille tre spørgsmål til opsætningen:
- Hvilke organisationsenheder eller grupper i det lokale katalog synkroniseres?
- Er der servicekonti, testbrugere eller gamle konti med, som ikke burde være i skyen?
- Er der lokale administratorkonti med, som så også findes i skyen?
Svarene findes i synkroniseringens egen opsætning. En opsætning, der synkroniserer hele kataloget, fordi det var nemmest ved installationen, tager også alt det med op, som oprydningen af inaktive konti burde have fjernet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at synkroniseringsserveren behandles som en domænecontroller med hensyn til adgang og hærdning, at administratorer i skyen får rene skykonti, og at omfanget af synkroniseringen bliver set efter. Det sidste kan kræve, at nogen rydder op i det lokale katalog først. Hvor der skal startes, er en vurdering, men de synkroniserede konti med høje roller i skyen er ofte det hurtigste sted at gøre en forskel: hver af dem kan erstattes af en ren skykonto til administration, uden at brugernes hverdag ændrer sig. Omfanget af synkroniseringen bør desuden stå beskrevet og dateret, så en ændring fanges ved den følgende kontrol.
Uden kontrollen er skyen kun så sikker som det lokale katalog. En kompromitteret synkroniseringsserver eller en synkroniseret administratorkonto giver vej fra det ene miljø til det andet.
Det skal I lade være med
- At lade supportgrupper logge på synkroniseringsserveren · Microsoft beskriver den som Tier 0.
- At synkronisere administratorkonti op til skyen · SCuBA kræver rene skykonti for privilegerede brugere.
- At lade rollen Hybrid Identity Administrator stå efter installationen · den er ikke nødvendig bagefter.
Det skal gennemgangen kunne vise
- ☐ Medlemmer af den lokale administratorgruppe og logonrettigheder på synkroniseringsserveren.
- ☐ Status for NTLM, soft matching og hard match takeover på serveren.
- ☐ Forbindelseskontoens rettigheder i det lokale katalog.
- ☐ En liste over brugere med høje roller i Entra ID og om de er synkroniserede.
- ☐ Omfanget af synkroniseringen med begrundelse.
Kilder
- Microsoft Learn, Entra Connect: prerequisites and hardening, opdateret 16. januar 2026, læst 13. november 2026.
- Microsoft Learn, Entra Connect: accounts and permissions, opdateret 9. april 2025, læst 13. november 2026.
- CISA, M365 Secure Configuration Baseline for Microsoft Entra ID, MS.AAD.7.3v1 og afsnittet Highly Privileged Roles, læst 13. november 2026.
- Microsoft Learn, Manage emergency access admin accounts, opdateret 4. juni 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over brugere med høje roller i Entra ID, og find dem, der er synkroniseret fra det lokale katalog.
Læs også: Domænecontrollere som særligt kontrolpunkt · Active Directory med læseadgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
