Active Directory

Le protocole DNS

Le Domain Name System (DNS) est un service indispensable au fonctionnement des réseaux IP et d’Internet. Son rôle est d’assurer la résolution de noms en traduisant des noms de domaine compréhensibles par l’utilisateur, tels que www.google.com, en adresses IP numériques, telles que 192.0.2.1, utilisées pour identifier et localiser les hôtes sur le réseau.

Le système DNS repose sur une architecture hiérarchique composée de domaines de premier niveau Top-Level Domain (TLD), tels que .com ou .org, auxquels sont rattachés des domaines et des sous-domaines. Cette organisation garantit une gestion distribuée de l’espace de noms tout en assurant l’unicité des enregistrements DNS.

L’infrastructure DNS s’appuie sur plusieurs catégories de serveurs, notamment les serveurs racine, les serveurs des domaines de premier niveau TLD et les serveurs de noms faisant autorité (authoritative name servers). Chacun de ces serveurs remplit une fonction spécifique dans le processus de résolution des noms.

Afin d’améliorer les performances et de réduire le nombre de requêtes adressées aux serveurs distants, les serveurs DNS mettent en œuvre un mécanisme de cache. Les résultats des résolutions de noms sont ainsi conservés temporairement, ce qui accélère les consultations ultérieures et diminue la charge de l’infrastructure DNS.

Les consoles d’administration

Active Directory Domain Services (AD DS) met à disposition plusieurs consoles d’administration destinées à gérer et à configurer les différents composants de l’annuaire. Ces outils offrent une interface graphique permettant d’administrer de manière centralisée les objets, les services et les paramètres de l’infrastructure Active Directory.

La console Active Directory Users and Computers (ADUC) est l’outil d’administration le plus couramment utilisé. Elle permet de créer, modifier et supprimer les utilisateurs, les groupes, les ordinateurs, les unités d’organisation (Organizational Units - OU) ainsi que d’autres objets de l’annuaire.

La console Active Directory Sites and Services est dédiée à l’administration de la topologie de réplication. Elle permet notamment de gérer les sites Active Directory, les sous-réseaux IP, les liens de sites et les contrôleurs de domaine afin d’optimiser la réplication entre les différents emplacements géographiques.

La console Active Directory Domains and Trusts est utilisée pour administrer les domaines et les relations d’approbation (trusts) entre les domaines et les forêts Active Directory. Elle permet également de gérer certains paramètres liés...

Les domaines et les forêts

Les notions de domaine et de forêt constituent les fondements de l’architecture d’Active Directory Domain Services (AD DS). Elles définissent l’organisation logique de l’annuaire et permettent d’administrer de manière cohérente les utilisateurs, les ordinateurs, les groupes ainsi que les autres ressources de l’entreprise.

Un domaine représente une frontière administrative et de sécurité au sein d’Active Directory. Il regroupe un ensemble d’objets partageant une base de données d’annuaire commune, des stratégies de sécurité et des relations d’approbation implicites. Chaque domaine est identifié de manière unique par un nom DNS, tel que entreprise.local et est administré par un ou plusieurs contrôleurs de domaine qui assurent l’authentification, l’autorisation et la réplication des données de l’annuaire.

Une forêt constitue le niveau logique le plus élevé de l’infrastructure Active Directory. Elle regroupe un ou plusieurs domaines partageant un schéma commun, une configuration unique et un catalogue global (global catalog). Les domaines appartenant à une même forêt sont reliés par des relations d’approbation transitives et bidirectionnelles, permettant aux utilisateurs d’accéder aux ressources des différents domaines en fonction des autorisations qui leur sont accordées.

Une forêt peut contenir un ou plusieurs arbres de domaines. Chaque arbre est constitué d’une hiérarchie de domaines partageant un espace de noms DNS continu, tandis que plusieurs arbres peuvent coexister au sein d’une même forêt avec des espaces de noms distincts, tout en bénéficiant des mécanismes communs de sécurité, d’authentification et d’administration.

Propriétés d’un domaine Active Directory

Les sites

Les sites Active Directory représentent la topologie physique du réseau au sein d’un environnement Active Directory Domain Services (AD DS). Un site correspond à un ensemble d’un ou plusieurs sous-réseaux IP reliés par des liaisons réseau rapides et fiables. Cette organisation permet à Active Directory d’optimiser les échanges entre les contrôleurs de domaine en tenant compte de la structure physique de l’infrastructure.

Les sites jouent un rôle essentiel dans la gestion de la réplication. Ils permettent de contrôler la fréquence et le mode de réplication entre les contrôleurs de domaine afin de limiter la consommation de bande passante sur les liaisons intersites. Ils interviennent également dans le processus d’authentification en orientant les clients vers le contrôleur de domaine le plus proche de leur emplacement réseau.

Les sites peuvent également être utilisés pour appliquer des configurations spécifiques à un emplacement géographique, notamment dans le cadre de la réplication, de la localisation des services d’annuaire ou de certaines stratégies d’administration.

La console Sites et services Active Directory permet d’administrer les sites, les sous-réseaux, les liens de sites et les contrôleurs de domaine. Les mêmes opérations peuvent également être réalisées à l’aide du module ActiveDirectory de PowerShell.

Console sites et services Active Directory

Les relations d’approbation

Les relations d’approbation (trust relationships) permettent d’établir un lien de confiance entre deux domaines ou deux forêts Active Directory.

Elles autorisent les utilisateurs authentifiés dans un domaine à accéder, sous réserve des autorisations accordées, aux ressources hébergées dans un autre domaine ou une autre forêt, sans avoir à s’authentifier de nouveau.

Les utilisateurs

Les utilisateurs constituent les objets les plus couramment administrés dans Active Directory Domain Services (AD DS). Chaque compte utilisateur représente une identité permettant l’authentification d’une personne ou d’un service et l’accès aux ressources du domaine selon les autorisations qui lui sont attribuées.

L’administration des comptes utilisateurs comprend leur création, leur modification, leur désactivation, leur suppression ainsi que leur intégration dans les groupes de sécurité. Ces opérations peuvent être réalisées à l’aide des outils graphiques d’administration ou automatisées avec PowerShell.

Les groupes

Les groupes constituent un élément fondamental de l’Active Directory. Ils permettent de regrouper des utilisateurs, des ordinateurs ou d’autres groupes afin de simplifier l’administration des autorisations et des accès aux ressources. 

L’attribution des permissions à des groupes plutôt qu’à des utilisateurs individuels constitue une bonne pratique d’administration. Cette approche facilite la gestion des droits, améliore la lisibilité de l’infrastructure et réduit les opérations de maintenance.

Les objets ordinateurs

Les objets ordinateur représentent les postes de travail, les serveurs et plus généralement, tous les équipements joints au domaine Active Directory. Chaque ordinateur intégré au domaine est représenté par un objet stocké dans l’annuaire, qui contient les informations nécessaires à son identification, à son authentification et à son administration.

L’administration de ces objets permet notamment de gérer l’intégration des ordinateurs au domaine, d’appliquer des stratégies de groupe (GPO), de contrôler leur état et de réaliser des inventaires de l’infrastructure.

Les unités organisationnelles

Les unités organisationnelles (Organizational Units - OU) constituent des conteneurs logiques d’Active Directory destinés à structurer les objets de l’annuaire, tels que les utilisateurs, les groupes, les ordinateurs et d’autres unités organisationnelles. Elles représentent un élément fondamental de l’organisation administrative d’un domaine en permettant une hiérarchisation cohérente des ressources.

Les OU facilitent la délégation des tâches d’administration en autorisant l’attribution de droits limités à des administrateurs ou à des groupes spécifiques, sans leur accorder de privilèges sur l’ensemble du domaine. Elles constituent également le niveau privilégié d’application des stratégies de groupe (Group Policy Objects - GPO), permettant de déployer des configurations et des paramètres de sécurité ciblés en fonction des besoins de l’organisation.

Dans la pratique, les unités organisationnelles sont généralement utilisées pour refléter la structure de l’entreprise (services, sites géographiques ou départements) ou pour regrouper des objets partageant des exigences administratives communes. Leur création, leur modification ou leur suppression permettent d’adapter facilement l’organisation de l’annuaire aux évolutions de l’entreprise.

Le module ActiveDirectory fournit plusieurs cmdlets permettant d’automatiser l’administration des unités organisationnelles. Les principales opérations concernent leur création, leur déplacement et leur suppression.

New-ADOrganizationalUnit 
    [-Name] <String> 
    [-Path <String>] 
    [-Description <String>] 
    [-ProtectedFromAccidentalDeletion <Boolean>] 
    [-Server <String>] 
    [-Credential <PSCredential>] 
    [-AuthType...

Les stratégies de groupe (GPO)

Les stratégies de groupe (Group Policy) constituent l’un des principaux mécanismes d’administration d’Active Directory. Elles permettent de déployer et d’appliquer de manière centralisée des paramètres de configuration et de sécurité aux utilisateurs et aux ordinateurs d’un domaine. Leur utilisation garantit l’homogénéité des configurations, renforce la sécurité du système d’information et simplifie l’administration des postes de travail et des serveurs.

1. Caractéristiques des stratégies de groupe

Les paramètres de stratégie sont regroupés au sein des objets de stratégie de groupe (Group Policy Objects - GPO). Chaque GPO peut être lié à un site Active Directory, à un domaine ou à une OU, afin de cibler précisément les objets concernés.

Une GPO peut contenir de nombreux paramètres, notamment des stratégies de sécurité, des scripts d’ouverture ou de fermeture de session, des scripts de démarrage ou d’arrêt, des paramètres de registre, des stratégies de déploiement logiciel ou encore des redirections de dossiers.

Les GPO suivent un mécanisme d’héritage et de priorité qui détermine l’ordre dans lequel elles sont appliquées. Leur portée peut également être affinée grâce au filtrage de sécurité ou au filtrage WMI afin de cibler uniquement certains utilisateurs ou ordinateurs.

L’administration des stratégies de groupe est généralement réalisée à l’aide de la Console de gestion des stratégies de groupe (Group Policy Management Console - GPMC). Les mêmes opérations peuvent être automatisées avec le module GroupPolicy de PowerShell.

Stratégies de groupe (GPO)

  PS C:\> Import-Module...

Les filtres WMI

Les filtres WMI permettent d’appliquer des GPO uniquement aux ordinateurs qui répondent à des critères spécifiques, tels que la version du système d’exploitation, la configuration matérielle ou d’autres propriétés. Les filtres sont définis à l’aide du langage de requêtes WQL, pour interroger les informations système. Les filtres WMI sont créés et gérés via la console GPMC. Une fois créés, ils peuvent être liés à des GPO pour cibler des ordinateurs spécifiques. 

Les filtres WMI (Windows Management Instrumentation) permettent d’affiner l’application des stratégies de groupe en fonction des caractéristiques des ordinateurs cibles. Associés à une GPO, ils évaluent une requête WMI avant l’application de la stratégie. La GPO n’est appliquée que si la requête retourne un résultat.

Sauvegarder et restaurer Active Directory

La disponibilité d’Active Directory est un élément essentiel au fonctionnement d’un environnement Windows. Une défaillance de l’annuaire peut entraîner des interruptions d’authentification, des problèmes d’accès aux ressources ou encore des dysfonctionnements des services dépendants, tels que DNS ou les stratégies de groupe (GPO). La mise en œuvre d’une stratégie de sauvegarde et de restauration adaptée constitue donc une exigence fondamentale pour garantir la continuité de service et assurer la reprise après incident.