EIDFED-006: Auditoría del ámbito de sincronización de Azure AD Connect
- Plataforma
- Entra ID / M365
- Categoría
- Entra ID Federation & Hybrid Identity
- Severidad
- Medium
- Pilar de Zero Trust
- Identity (peso 3)
- Fixtures de referencia
- 1
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
El ámbito de sincronización de Azure AD Connect determina qué unidades organizativas, grupos y atributos locales se replican en Entra ID. Un ámbito de sincronización demasiado amplio puede replicar cuentas de servicio confidenciales, cuentas administrativas o grupos de seguridad que deberían permanecer exclusivamente en el entorno local. Por el contrario, un ámbito restringido de forma inadecuada puede no sincronizar cuentas que requieren acceso a la nube, lo que provoca errores de autenticación.
Valor recomendado
Ámbito de sincronización restringido únicamente a las unidades organizativas y objetos necesarios, con las cuentas de servicio confidenciales y los objetos administrativos excluidos
Remediación
Revise el ámbito de sincronización de Azure AD Connect, incluidas las reglas de filtrado por OU, el filtrado basado en grupos y el filtrado a nivel de atributo. Verifique que solo se incluyan en el ámbito de sincronización las OU que contengan cuentas de usuario que requieran acceso a la nube. Excluya las cuentas de servicio locales confidenciales, las cuentas administrativas y los grupos de seguridad que no necesiten representación en la nube, y documente la justificación de cada OU incluida.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| not-implemented | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-2