Active Directory — Concepts & Administration

Active Directory (AD) est un service d'annuaire développé par Microsoft, intégré à Windows Server depuis Windows 2000. Il centralise la gestion des identités, des authentifications et des autorisations au sein d'un réseau d'entreprise.

Concrètement, AD stocke des informations sur les objets du réseau (utilisateurs, ordinateurs, groupes, imprimantes…) et permet aux administrateurs de gérer les accès de façon centralisée, plutôt que machine par machine. C'est le pilier de la plupart des infrastructures Windows en entreprise.

Un contrôleur de domaine (DC) est un serveur Windows Server sur lequel le rôle AD DS (Active Directory Domain Services) est installé. Il héberge une copie de la base de données AD (NTDS.dit) et répond aux demandes d'authentification et de recherche dans l'annuaire.

Rôles principaux d'un DC :

• Authentification — Vérifie les identifiants (login/mot de passe) des utilisateurs et des machines.
• Autorisation — Détermine si un utilisateur a le droit d'accéder à une ressource (fichier, imprimante, application).
• Réplication — Synchronise sa base de données avec les autres DC du domaine.
• Application des GPO — Distribue les stratégies de groupe aux clients.

Un domaine AD est un regroupement logique d'objets (utilisateurs, ordinateurs, groupes, ressources) qui partagent la même base de données d'annuaire, les mêmes politiques de sécurité et le même espace de noms DNS (ex : entreprise.local).

Le domaine est l'unité de base dans Active Directory. Tous les objets à l'intérieur d'un domaine sont gérés par les contrôleurs de domaine de ce domaine. La frontière du domaine constitue une frontière d'administration et de réplication.

Une forêt est le niveau le plus haut de la hiérarchie Active Directory. Elle regroupe un ou plusieurs domaines qui partagent :

• Le même schéma AD (définition des types d'objets et de leurs attributs).
• La même configuration (topologie de réplication, sites, etc.).
• Un Global Catalog commun.
• Des relations d'approbation (trusts) automatiques entre tous les domaines de la forêt.

Le premier domaine créé dans une forêt est appelé domaine racine de la forêt (Forest Root Domain). Il détient des rôles spéciaux comme le Schema Master et le Domain Naming Master.

Un site AD représente un emplacement physique du réseau — typiquement un bureau, un datacenter ou un campus. Il est défini par un ou plusieurs sous-réseaux IP connectés par des liaisons à haut débit.

Les sites servent principalement à optimiser la réplication et l'authentification :

• Les clients sont dirigés vers le DC le plus proche géographiquement.
• La réplication intra-site est fréquente (toutes les ~15 secondes).
• La réplication inter-sites est planifiée et compressée pour économiser la bande passante.

Un trust est une relation de confiance entre deux domaines qui permet aux utilisateurs d'un domaine d'accéder aux ressources d'un autre domaine, sans avoir besoin d'un compte dans chaque domaine.

Types de trusts :

• Transitif bidirectionnel — Créé automatiquement entre les domaines parent/enfant d'une même forêt. Si A fait confiance à B et B fait confiance à C, alors A fait confiance à C.
• External trust — Trust non-transitif entre un domaine AD et un domaine externe (autre forêt).
• Forest trust — Trust entre deux forêts entières (nécessite un niveau fonctionnel de forêt Windows Server 2003+).
• Shortcut trust — Optimise l'authentification entre deux domaines éloignés dans la même forêt.

La réplication est le processus de synchronisation de la base de données Active Directory (NTDS.dit) entre tous les contrôleurs de domaine. Quand un admin crée un utilisateur sur un DC, la modification doit être propagée aux autres DC.

AD utilise une réplication multi-maître : chaque DC peut accepter des modifications (contrairement à un modèle maître/esclave). Le système KCC (Knowledge Consistency Checker) calcule automatiquement la topologie de réplication optimale.

Commandes utiles pour vérifier la réplication :

Le Global Catalog (GC) est un annuaire distribué en lecture seule qui contient une copie partielle de tous les objets de tous les domaines d'une forêt. Chaque objet y est représenté avec un sous-ensemble de ses attributs (les plus recherchés).

Utilité du GC :

• Permet les recherches inter-domaines sans contacter chaque DC de chaque domaine.
• Nécessaire pour les connexions utilisateur (vérification de l'appartenance aux groupes universels).
• Le premier DC d'une forêt est automatiquement un serveur GC.

LDAP est le protocole standard utilisé pour interroger et modifier les données stockées dans l'annuaire Active Directory. C'est un protocole client-serveur qui fonctionne sur les ports 389 (LDAP) et 636 (LDAPS — chiffré TLS).

LDAP organise les données sous forme d'arborescence (DIT — Directory Information Tree). Chaque objet a un Distinguished Name (DN) unique, par exemple :

• CN = Common Name (nom de l'objet)
• OU = Organizational Unit (conteneur)
• DC = Domain Component (composant du nom de domaine)

Les Group Policy Objects (GPO) sont des ensembles de paramètres de configuration que les administrateurs appliquent aux utilisateurs et/ou aux ordinateurs du domaine. Elles permettent de gérer de façon centralisée la sécurité, les logiciels, les scripts et l'environnement de travail.

Exemples concrets de GPO :

• Forcer la complexité et l'expiration des mots de passe.
• Déployer un fond d'écran ou une imprimante automatiquement.
• Bloquer l'accès au panneau de configuration pour certains utilisateurs.
• Configurer le pare-feu Windows ou Windows Update.
• Mapper un lecteur réseau à la connexion.

Les GPO s'appliquent dans un ordre précis (LSDOU) :

Local → Site → Domaine → OU (Unité d'Organisation)

Commandes utiles :

Kerberos est le protocole d'authentification par défaut dans Active Directory (depuis Windows 2000, remplaçant NTLM). Il repose sur un système de tickets délivrés par un tiers de confiance : le KDC (Key Distribution Center), qui tourne sur chaque contrôleur de domaine.

Fonctionnement simplifié :

1. L'utilisateur s'authentifie auprès du KDC → reçoit un TGT (Ticket Granting Ticket).
2. Pour accéder à un service (partage de fichiers, etc.), il présente son TGT au KDC → reçoit un TGS (Ticket Granting Service).
3. Il présente le TGS au serveur cible → accès accordé.

Kerberos utilise le port 88 (TCP/UDP). Le protocole fonctionne avec des horloges synchronisées — un décalage de plus de 5 minutes entre client et DC provoquera un échec d'authentification.

Le DNS est absolument indispensable au fonctionnement d'Active Directory. Il ne sert pas seulement à résoudre des noms de domaine en adresses IP — dans AD, il permet aux clients de localiser les contrôleurs de domaine et les services associés via des enregistrements SRV.

Sans DNS fonctionnel :

• Les postes clients ne peuvent pas trouver un DC pour s'authentifier.
• La réplication entre DC échoue.
• Les GPO ne s'appliquent pas.
• La jonction au domaine est impossible.

Active Directory distingue deux types de comptes principaux :

Compte utilisateur (User Account)
• Représente une personne physique.
• Permet de s'authentifier sur le domaine avec un login/mot de passe.
• Associé à un profil, des droits, des appartenances à des groupes.
• Peut être désactivé, verrouillé, ou soumis à des restrictions horaires.

Compte ordinateur (Computer Account)
• Représente une machine physique ou virtuelle jointe au domaine.
• Créé automatiquement lors de la jonction au domaine.
• Permet au poste de s'authentifier auprès du DC (via Kerberos, comme un utilisateur).
• Possède un mot de passe machine qui se renouvelle automatiquement tous les 30 jours.

Une OU (Organizational Unit) est un conteneur logique dans Active Directory qui permet d'organiser les objets (utilisateurs, ordinateurs, groupes) de façon hiérarchique — un peu comme des dossiers dans un système de fichiers.

Intérêts des OU :

• Organisation — Structurer l'annuaire par département, site, fonction, etc.
• Application de GPO — Lier des GPO à une OU pour cibler un sous-ensemble d'objets.
• Délégation — Donner des droits d'administration sur une OU spécifique sans donner les droits sur tout le domaine.

Exemple de structure d'OU :

Plusieurs méthodes possibles :

• Désactiver le compte — L'utilisateur ne peut plus s'authentifier nulle part.
• Définir des horaires de connexion — Restreindre les plages horaires autorisées.
• Restreindre les postes autorisés — L'utilisateur ne peut se connecter que sur des machines spécifiques.
• Expirer le compte — Définir une date d'expiration (idéal pour les stagiaires, prestataires).

Trois méthodes courantes :

• Via la console Active Directory Users and Computers (ADUC) — clic droit → Reset Password.
• Via PowerShell (méthode recommandée en production).
• Via la commande net user (simple mais moins flexible).

Un compte de service est un type de compte AD utilisé pour exécuter des applications ou des services (serveur web IIS, SQL Server, service de sauvegarde…) plutôt que pour une connexion interactive humaine.

Types de comptes de service :

• Compte utilisateur classique — Utilisé comme service account (méthode ancienne, gestion manuelle du mot de passe).
• Managed Service Account (MSA) — Le mot de passe est géré automatiquement par AD (renouvellement tous les 30 jours).
• Group Managed Service Account (gMSA) — Comme le MSA, mais utilisable sur plusieurs serveurs simultanément. C'est la méthode recommandée aujourd'hui.

La délégation consiste à accorder des droits d'administration limités à un utilisateur ou un groupe sur une portion de l'annuaire (typiquement une OU), sans lui donner les droits d'administrateur du domaine.

Exemples de délégation courante :

• Permettre au support niveau 1 de réinitialiser les mots de passe dans l'OU "Utilisateurs".
• Autoriser un responsable IT local à créer des comptes ordinateur dans l'OU de son site.
• Donner le droit de modifier les groupes sans pouvoir toucher aux comptes.

La délégation se configure via l'assistant "Delegate Control" accessible par clic droit sur une OU dans ADUC, ou via PowerShell avec Set-ACL sur les objets AD.

Surveiller Active Directory est essentiel pour détecter les pannes, les problèmes de réplication et les tentatives d'intrusion. Voici les approches principales :

Outils intégrés Microsoft :
• dcdiag — Diagnostic complet d'un contrôleur de domaine.
• repadmin — État de la réplication.
• Event Viewer — Journaux "Directory Service", "DNS Server", "Security".
• Performance Monitor — Compteurs spécifiques AD (NTDS, LDAP, Kerberos).

Solutions tierces :
• Microsoft SCOM (System Center Operations Manager).
• ManageEngine AD Audit Plus.
• Quest / Netwrix pour l'audit de changements.
• Zabbix / Grafana avec des checks LDAP personnalisés.