--- id: CP-199 slug: active-directory-entra-id-tozsamosci lang: pl title: Active Directory i Entra ID description: Katalog firmowy decyduje, kto jest kim i kto ma do czego dostęp. Co robi pracownik, co robi administrator oraz jakie są pułapki. canonical_url: https://startbrain.io/cyberpedia/pl/articles/active-directory-entra-id-tozsamosci/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/active-directory-entra-id-tozsamosci.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Active Directory i Entra ID”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/active-directory-entra-id-tozsamosci/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-062 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/active-directory-entra-id-tozsamosci/ fr: https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ en: https://startbrain.io/cyberpedia/en/articles/active-directory-entra-id-identity/ de: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ es: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ it: https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/ nl: https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten/ pt: https://startbrain.io/cyberpedia/pt/articles/active-directory-entra-id-identidades/ sources: - "n": 1 title: Active Directory Domain Services overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview accessed: "2026-11-03" - "n": 2 title: What is Microsoft Entra? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra accessed: "2026-11-03" - "n": 3 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 4 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 5 title: "How it works: Microsoft Entra multifactor authentication" publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks accessed: "2026-11-03" - "n": 6 title: What is Conditional Access? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview accessed: "2026-11-03" - "n": 7 title: "Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/002/ accessed: "2026-11-03" - "n": 8 title: "Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1558/003/ accessed: "2026-11-03" - "n": 9 title: "OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1003/006/ accessed: "2026-11-03" - "n": 10 title: "SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/63/b/4/final published: "2025-07-31" accessed: "2026-11-03" --- # Active Directory i Entra ID Katalog firmowy przechowuje listę kont i określa, co każde z nich może robić. W środowisku lokalnym jest to często Active Directory Domain Services (AD DS), który przechowuje informacje o kontach użytkowników: nazwy, hasła, numery telefonów [1]. W chmurze jest to Microsoft Entra ID, usługa zarządzania tożsamościami i dostępem, która zapewnia uwierzytelnianie, egzekwowanie reguł oraz ochronę użytkowników, urządzeń, aplikacji i zasobów [2]. Dla pracownika katalog pozostaje niewidoczny. Pojawia się w dwóch postaciach: ekranu logowania i prośby o zatwierdzenie na telefonie. Ta fiszka mówi, co pracownik robi w tych dwóch momentach, co robi administrator katalogu i gdzie kryją się pułapki. ## W 30 sekund - Gdzie to się zdarza: przy każdym logowaniu, także do Microsoft 365, ponieważ każdy abonent Microsoft 365, Azure lub Dynamics CRM Online już korzysta z Entra ID [2]. - Czego chce atakujący: ważnego konta. MITRE ATT&CK opisuje konta atakowane metodą brute force, phishingiem lub innymi sposobami [3]. - Odruch: zatwierdzać prośbę o potwierdzenie tylko wtedy, gdy sam(a) właśnie się Pan/Pani logował(a), a każdą prośbę, której Pan/Pani nie wywołał(a), zgłaszać [4]. ## Pytania wprost ### Do czego służy katalog? Katalog to hierarchiczna struktura, która przechowuje informacje o obiektach w sieci. Usługa katalogowa, taka jak AD DS, udostępnia te dane użytkownikom i administratorom [1]. Obiekty te obejmują zasoby współdzielone (serwery, woluminy, drukarki) oraz konta użytkowników i komputerów [1]. Bezpieczeństwo jest wbudowane w postaci uwierzytelniania przy logowaniu i kontroli dostępu do obiektów katalogu [1]. ### Jaka jest różnica między Active Directory a Entra ID? AD DS to usługa katalogowa systemu Windows Server [1]. Entra ID jest jego odpowiednikiem w chmurze: każdy tenant Microsoft 365 jest automatycznie tenantem Entra [2]. Oba mogą współistnieć. Konto w chmurze może być hybrydowe, czyli zsynchronizowane lub sfederowane z katalogiem lokalnym, takim jak Active Directory [3]. To samo hasło działa wtedy w obu światach, co zwiększa skutki jego kradzieży [3]. ### Dlaczego samo hasło nie wystarcza? Według Microsoftu samo hasło pozostawia niezabezpieczony wektor ataku: jeśli jest słabe albo zostało ujawnione gdzie indziej, atakujący może go użyć [5]. Uwierzytelnianie wieloskładnikowe wymaga co najmniej dwóch elementów z trzech: czegoś, co się wie (zwykle hasła), czegoś, co się posiada (telefonu, klucza sprzętowego), czegoś, czym się jest (odcisku palca, twarzy) [5]. Drugi składnik nie jest dla atakującego łatwy do zdobycia ani skopiowania [5]. Organizacja może też ustalić reguły zależne od kontekstu. Zasady dostępu warunkowego Microsoft Entra to instrukcje typu „jeśli… to”: jeśli użytkownik chce uzyskać dostęp do aplikacji takiej jak Microsoft 365, musi przejść uwierzytelnianie wieloskładnikowe [6]. Mogą one pozostawić zwykłe logowanie w sieci firmowej lub na zarejestrowanym urządzeniu, a dodatkowy składnik wymagać przy dostępie zdalnym lub z urządzenia prywatnego [5]. ### Co zrobić z prośbą o zatwierdzenie, której nie wywołałem(-am)? Odrzucić ją i zgłosić. MITRE ATT&CK opisuje technikę generowania próśb MFA: atakujący, który zna hasło, ale nie ma drugiego składnika, wysyła powiadomienia push (Duo Push, Microsoft Authenticator, Okta lub podobne), aby ofiara je zaakceptowała [4]. Może powtarzać próby, by zalać użytkownika powiadomieniami, SMS-ami i połączeniami, aż ten się zgodzi, co źródło nazywa „MFA fatigue” [4]. Wśród środków zaleconych przez MITRE jest szkolenie użytkowników, by akceptowali wyłącznie prośby wynikające z logowań, które sami rozpoczęli, sprawdzali miejsce próby i zgłaszali podejrzane lub niezamówione prośby [4]. ### Co atakujący może zrobić ze skradzionym kontem? To zależy od konta. Konta domenowe to konta zarządzane przez AD DS, obejmujące użytkowników, administratorów i usługi [7]. Po przejęciu mogą posłużyć do uzyskania początkowego dostępu, utrwalenia obecności, podniesienia uprawnień lub uniknięcia obrony [7]. Po stronie chmury wysoko uprzywilejowane konto, sfederowane, zsynchronizowane lub wyłącznie chmurowe, może umożliwić przejście do środowiska lokalnego [3]. ### Czym jest Kerberoasting? W tym ataku przeciwnik posiadający ważny bilet Kerberos żąda od kontrolera domeny biletów usługi dla nazw głównych usługi (SPN) [8]. Część tych biletów może być zaszyfrowana algorytmem RC4. Skrót (hash) konta usługi służy wtedy jako klucz i staje się podatny na atak brute force offline, który może ujawnić dane uwierzytelniające w postaci jawnej [8]. Złamane skróty mogą dać dostęp do ważnych kont, z utrwaleniem obecności, podniesieniem uprawnień i ruchem bocznym [8]. Pracownika to nie dotyczy: obrona należy do osób zarządzających kontami usług. ## Jak to działa Katalog AD DS obejmuje schemat, który definiuje klasy obiektów i ich atrybuty, wykaz globalny, mechanizm zapytań oraz usługę replikacji [1]. Wszystkie kontrolery domeny w danej domenie uczestniczą w replikacji i zawierają pełną kopię informacji o swojej domenie: zmiana wprowadzona na jednym jest replikowana na wszystkie [1]. Entra ID jest produktem podstawowym rodziny Microsoft Entra [2]. W tej rodzinie jest też Entra ID Governance, które automatyzuje wnioski o dostęp, przydziały i przeglądy oraz może odebrać uprawnienia pracownikowi opuszczającemu firmę [2]. Entra ID Protection wykrywa i sygnalizuje zagrożenia związane z tożsamościami [2]. Dla starszych aplikacji, które nie potrafią korzystać z nowoczesnego uwierzytelniania, Entra Domain Services oferuje usługi zarządzane, takie jak zasady grup, LDAP i uwierzytelnianie Kerberos/NTLM [2]. Dostęp warunkowy decyduje na podstawie sygnałów: użytkownika lub grupy, lokalizacji IP, urządzenia, aplikacji, wykrytego ryzyka [6]. Jego decyzje sięgają od blokady po przyznanie dostępu pod warunkami: uwierzytelnianiem wieloskładnikowym, zgodnym urządzeniem, zmianą hasła [6]. Zasady te stosuje się po uwierzytelnieniu pierwszym składnikiem [6]. Domyślne ustawienia zabezpieczeń (security defaults) szybko włączają Microsoft Authenticator dla wszystkich użytkowników tenanta [5]. ## Co Pan/Pani robi - Proszę włączyć uwierzytelnianie wieloskładnikowe, gdy zostanie zaproponowane. Dostępne metody to m.in. Microsoft Authenticator, Windows Hello for Business, klucze dostępu (FIDO2), token sprzętowy, SMS i połączenie głosowe [5]. Metodami zarządza się w My Profile [5]. - Proszę zatwierdzać tylko te prośby, które Pan/Pani sam(a) wywołał(a). Jeśli prośba przychodzi, choć nic Pan/Pani nie próbował(a) zrobić, proszę ją odrzucić i zgłosić zespołowi IT [4]. - Proszę wybrać unikalne, złożone hasło dla każdej usługi: MITRE zaleca złożone i unikalne hasła do kont w chmurze [3]. - Proszę nie używać hasła służbowego w innych miejscach. Strona MITRE o kontach domenowych wymienia ponowne użycie haseł wśród sposobów przejmowania kont [7]. Co robi administrator katalogu: - Ograniczać konta usług do minimum potrzebnych uprawnień, w tym członkostwo w grupach uprzywilejowanych, takich jak Domain Administrators [8]. - Wymagać długich haseł do kont usług (najlepiej 25 znaków lub więcej), zmieniać je i rozważyć grupowe zarządzane konta usług lub sejf haseł [8]. - Ograniczać użycie kont uprzywilejowanych według poziomów administracyjnych i nie umieszczać kont użytkowników ani administratorów domeny w grupach administratorów lokalnych bez ścisłej kontroli [9]. - Regularnie przeglądać uprawnienia uprzywilejowanych kont w chmurze, takich jak Global Administrator i Privileged Role Administrator, sprawdzać, czy nie utworzono nieautoryzowanego konta uprzywilejowanego, i rozważyć tymczasowy (just-in-time) dostęp uprzywilejowany zamiast stałego przydziału [3]. - Przeglądać konta nieaktywne lub zbędne i je usuwać [3]. - Wyłączyć starsze uwierzytelnianie, które nie obsługuje uwierzytelniania wieloskładnikowego [3]. ## Pułapki Zbyt wiele kont administratorów. Każde konto uprzywilejowane jest celem: DCSync pozwala na przykład pobrać dane haseł z Active Directory, symulując replikację kontrolera domeny [9]. Mogą go uruchomić członkowie grup Administrators, Domain Admins i Enterprise Admins lub konta maszynowe kontrolera [9]. Uzyskane skróty, w tym skrót konta KRBTGT, służą potem do wytworzenia Golden Ticket lub do zmiany hasła [9]. Brak drugiego składnika. MITRE podaje, że Storm-0501 użył konta Global Administrator ofiary, bez zarejestrowanej żadnej metody MFA, aby uzyskać dostęp do jej środowisk chmurowych [3]. Ta sama grupa wykorzystała przejęte konta, by dotrzeć do Microsoft Entra Connect, który synchronizuje tożsamości lokalne i Entra, dzięki czemu użytkownicy logują się do obu tym samym hasłem [3]. Powiadomienie, które w końcu się akceptuje. Zmęczenie powiadomieniami push to udokumentowany sposób obejścia uwierzytelniania wieloskładnikowego [4]. MITRE radzi zastąpić zwykły push wpisywaniem jednorazowego kodu wyświetlanego na ekranie logowania oraz ograniczyć liczbę żądań wysyłanych w danym okresie [4]. Zapomniane konta usług. To je atakuje Kerberoasting, także za pomocą narzędzi takich jak Rubeus czy polecenie Invoke-Kerberoast z PowerSploit [8]. MITRE zaleca, by w miarę możliwości preferować szyfrowanie AES zamiast RC4 [8]. Ramy odniesienia. NIST opublikował ostateczną wersję SP 800-63B-4, poświęconą uwierzytelnianiu i zarządzaniu uwierzytelniaczami, 31 lipca 2025 r. [10]. Tekst dotyczy uwierzytelniania osób korzystających z systemów informacyjnych rządu USA i określa wymagania techniczne dla każdego z trzech poziomów zaufania [10]. Zastępuje wersję SP 800-63B z marca 2020 r. [10]. ## Rzeczywiste przypadki ### 2025: ataki niszczące dane w Polsce MITRE ATT&CK odnotowuje w atakach „2025 Poland Wiper Attacks” dwa użycia danych uwierzytelniających w tym samym epizodzie. Atakujący użyli kont uprzywilejowanych, aby uzyskać dostęp do rozwiązania VPN FortiGate i kolejnych podsieci [7]. Wykorzystali też dane uwierzytelniające skradzione ze środowisk lokalnych, aby dostać się do usług w chmurze [3]. ## Źródła 1. Microsoft, „Active Directory Domain Services overview”. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (dostęp 3 listopada 2026) 2. Microsoft, „What is Microsoft Entra?”. https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/004/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1621/ (dostęp 3 listopada 2026) 5. Microsoft, „How it works: Microsoft Entra multifactor authentication”. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (dostęp 3 listopada 2026) 6. Microsoft, „What is Conditional Access?”. https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (dostęp 3 listopada 2026) 7. MITRE ATT&CK, „Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/002/ (dostęp 3 listopada 2026) 8. MITRE ATT&CK, „Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1558/003/ (dostęp 3 listopada 2026) 9. MITRE ATT&CK, „OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1003/006/ (dostęp 3 listopada 2026) 10. NIST, „SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management”, 31 lipca 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/active-directory-entra-id-tozsamosci/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.