Hybrid Identity Administrator + Privileged Role Administrator

Hybrid Identity Administrator configura o Azure AD Connect/Cloud Sync, controlando quais atributos e contas do on-premises são sincronizados para o Entra ID. Combinado com Privileged Role Administrator, a mesma identidade pode manipular a sincronização para criar/alterar uma conta e então atribuir uma role privilegiada a ela — um caminho de escalonamento que cruza a fronteira on-premises/cloud.

Manipulação da sincronização híbrida para introduzir uma conta controlada pelo atacante no Entra ID, seguida de atribuição direta de role privilegiada via Privileged Role Administrator.

• Segregar administração de sincronização híbrida da atribuição de roles privilegiadas no cloud.
• Monitorar o Azure AD Connect Health e alertar sobre alterações inesperadas em atributos sincronizados de contas privilegiadas.
• Aplicar Conditional Access exigindo verificação adicional para atribuições de role a contas recém-sincronizadas.

• https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-hybrid-identity
• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference