Mise en place de l’authentification AD LDS

Introduction

Comme nous l’avons mentionné au début de cet ouvrage, proposer un service d’authentification est l’un des principaux objectifs des annuaires d’entreprise.

Au fil des années, l’authentification LDAP est devenue le mécanisme d’authentification le plus populaire au monde. Les services d’annuaire largement répandus tels que l’Active Directory sont considérés comme une friandise pour les développeurs d’applications qui souhaitent stocker en un seul endroit les identités et les identifications de connexion des utilisateurs.

Cependant, la politique de sécurité adoptée par certaines entreprises peut rendre difficile l’utilisation des applications tierces et interdire l’exposition de certains objets ou attributs Active Directory à des fournisseurs ou à des partenaires externes. D’où la nécessité de mettre en œuvre une solution permettant à un utilisateur, dont l’identité est contenue dans l’annuaire Active Directory, d’accéder de manière sécurisée aux applications d’entreprise.

Les administrateurs optent pour une solution bien connue : la mise en place d’une DMZ hébergeant un contrôleur de domaine RODC qui permet de vérifier et valider l’identité de l’utilisateur....

Authentification anonyme

L’authentification anonyme permet aux utilisateurs d’accéder aux données de l’annuaire AD LDS sans fournir de nom d’utilisateur ni de mot de passe. Lorsqu’un utilisateur tente de se connecter au serveur AD LDS, ce dernier lui attribue l’identité du compte d’utilisateur NT AUTHORITY\ANONYMOUS LOGON.

Le compte anonyme doit disposer d’un droit d’accès en lecture à l’annuaire. Si le compte ne dispose pas de cette autorisation, AD LDS ne pourra pas traiter les requêtes anonymes.

Cette authentification est assez courante, entre autres pour les serveurs de la messagerie Exchange (Edge transport), qui utilisent l’annuaire AD LDS pour rechercher les contacts.

Les opérations LDAP en mode anonyme sont désactivées par défaut sur le serveur AD LDS. Si vous souhaitez utiliser l’authentification anonyme et accorder les permissions de visibilité sur les données de l’annuaire à l’utilisateur AUTHORITY\ANONYMOUS LOGON, procédez de la manière suivante :

Authentification simple

La méthode d’authentification simple dispose de deux mécanismes d’authentification :

Authentification par l’intermédiaire d’un objet proxy

1. Présentation

L’authentification par l’intermédiaire d’un objet proxy permet aux utilisateurs de l’environnement Active Directory d’accéder aux applications d’entreprise qui s’interfacent avec un serveur AD LDS.

Lorsqu’un utilisateur de l’annuaire Active Directory tente d’accéder à une application, les services AD LDS effectuent un processus de validation des informations de connexion saisies auprès d’un contrôleur de domaine avant d’autoriser ou de refuser l’accès à l’application.

La synchronisation des comptes AD DS vers AD LDS est un point important dans la mise en place d’une authentification par l’intermédiaire d’un objet proxy. Elle est effectuée périodiquement pour garder à jour les informations relatives aux utilisateurs AD DS.

Les mots de passe des utilisateurs ne sont ni transmis, ni synchronisés car l’authentification par l’intermédiaire d’un objet proxy se base sur l’attribut objectSID d’une des deux classes d’objet userProxy, userProxyFull, pour établir une correspondance entre les comptes utilisateur AD LDS et les comptes utilisateur AD DS.

Voici une illustration qui permet de montrer les différents flux qui sont envoyés lors de l’authentification par l’intermédiaire d’un objet proxy :

L’authentification par l’intermédiaire d’un objet proxy présente plusieurs avantages :

• Il n’y a pas de modification, ni de configuration particulière, ni de mise à jour, au niveau de l’environnement AD DS.

• Les utilisateurs auront une expérience d’authentification aux applications d’entreprises similaire à celle de l’AD DS.

• Il n’y a pas d’architecture complexe à déployer.

• Tout le trafic peut être sécurisé avec le protocole SSL.