Services de domaine Active Directory

1. La forêt Active Directory

Une forêt est une collection d’un ou plusieurs domaines Active Directory, le premier installé étant appelé domaine racine. Son nom DNS (exemple : Formation.local) sera également donné à la forêt. Dans notre exemple, la forêt aura le nom Formation.local.

Dans une forêt, l’ensemble des domaines utilise la même partition configuration et schéma. Le système de partition est détaillé à la section Les partitions d’Active Directory. 

Aucune donnée (compte utilisateur, ordinateur…) n’est répliquée en dehors de la forêt, cette dernière sert donc de frontière de sécurité.

2. Le domaine et l’arborescence de domaines

Une arborescence de domaines est une suite de domaines qui partagent un espace de noms contigu. Ainsi dans l’exemple ci-après nous pouvons voir l’arborescence de domaines Formation.local. Cette dernière contient un domaine enfant nommé Microsoft.Formation.local. Le nom Formation.local est bien identique aux deux domaines (Microsoft.local et Linux.local).

La relation d’approbation entre les domaines d’une même arborescence est de type parent/enfant. Lors de l’ajout d’un domaine enfant, une relation d’approbation de type bidirectionnelle et transitive est créée automatiquement.

Si l’espace de noms est différent, nous parlerons dans ce cas d’une nouvelle arborescence. Les domaines Formation.local et Prod.local sont deux arborescences différentes dans la même forêt.

Le domaine représente une limite de sécurité où les utilisateurs sont définis.

Un domaine contient au moins un contrôleur de domaine. Néanmoins il est recommandé d’en avoir deux afin d’assurer l’authentification en cas de maintenance ou de crash d’un des serveurs d’annuaire. Si plus aucun serveur n’est en ligne, l’authentification...

1. Prérequis nécessaires à la promotion d’un serveur

La promotion d’un serveur en contrôleur de domaine nécessite certains prérequis. Si ces derniers ne sont pas respectés, l’opération est stoppée.

2. Installation d’un nouveau domaine dans une nouvelle forêt

Les services AD sont considérés comme des rôles et sont présents dans la liste des rôles.

La configuration ayant déjà été faite, il suffit maintenant d’installer Active Directory.

1. Démarrage/arrêt des services Active Directory avec la console MMC Services

Il existe deux manières d’arrêter ou de démarrer le service Active Directory, la première, vue dans le présent point, est la gestion du service depuis la console MMC Services.msc.

L’arrêt de ce service permet d’effectuer une maintenance (défragmentation…) sur la base de données du rôle AD DS.

1. Les différents composants du clonage

De nouvelles instructions PowerShell sont contenues dans le module Active Directory :

New-ADDCCloneConfigFile : permet la mise en place du fichier DCCloneConfig.xml au bon endroit, étape indispensable pour déclencher le clonage. Des contrôles préalables sont effectués afin de permettre le bon fonctionnement de l’opération. L’exécution peut être locale sur un contrôleur de domaine virtualisé en cours de clonage, ou à distance en utilisant l’option offline.

Les vérifications préalables effectuées sont les suivantes :

1. Audit de l’annuaire Active Directory

L’outil Ping Castle permet d’effectuer un audit de l’annuaire Active Directory. Il indique les éléments de l’annuaire à sécuriser mais également quelques bonnes pratiques qui ne sont pas respectées. Cet outil est gratuit sauf pour les personnes qui effectuent des audits ; ces dernières devront procéder à l’achat d’une licence spéciale auditeur.

a. Installation de Ping Castle

Joindre la machine SV1 au domaine Active Directory

L’installation de l’outil Ping Castle va être effectuée sur le serveur SV1. Il est dans un premier temps nécessaire de procéder au téléchargement de l’outil. Pour cela l’URL suivante peut être utilisée : www.pingcastle.com. Depuis le site web de l’éditeur, cliquez sur Free Download.

 Téléchargez le fichier zip d’installation puis décompressez-le sur le serveur SV1. Le dossier sera stocké sur la partition de données. L’emplacement n’a pas d’importance pour la suite.

 Double cliquez sur PingCastle. Une fenêtre DOS apparaît, laissez le choix par défaut puis appuyez sur la touche [Entrée].

 Saisissez le nom du domaine Active Directory puis appuyez sur la touche [Entrée] afin de valider la saisie.

Le rapport est généré, appuyez sur une touche afin de fermer le programme.

Le rapport au format HTML est présent dans le même répertoire que le programme.

Le fichier peut être ouvert depuis le serveur ou sur un autre poste/serveur. Les indicateurs permettent de voir pour chaque composant clé (objet périmé, compte privilégié, lien entre plusieurs AD, problème de sécurité) le niveau de sécurité actuel.

Un score élevé...

1. Audit de l’état de santé

L’audit de l’état de santé est un des points les plus importants car il va permettre de valider la mise à niveau des contrôleurs de domaine. En effet, il n’est pas recommandé d’effectuer ce type d’opération si un composant Active Directory ou la réplication subit des dysfonctionnements.

La première étape va permettre de valider le fonctionnement de différentes applications utilisant l’annuaire avec le nouveau système d’exploitation.

Prenons comme exemple Exchange 2016 : il n’est pas impossible d’avoir un Exchange 2016 avec un annuaire AD en 2019.

https://docs.microsoft.com/en-us/exchange/plan-and-deploy/supportability-matrix?view=exchserver-2019

Un inventaire logiciel à jour permet de valider rapidement cette étape.

Une fois l’étape de compatibilité validée, il est nécessaire de prendre en compte l’état de santé des contrôleurs de domaine. Pour cela, plusieurs commandes doivent être exécutées :

Repadmin

À l’aide de cette commande, il est possible de s’assurer du bon fonctionnement des réplications AD. Comme nous l’avons vu plus haut dans ce chapitre, deux types de réplication s’opèrent dans un domaine AD.

La commande ci-dessous permet donc d’obtenir un fichier csv. Ce dernier contient les informations sur les réplications des partitions Active Directory. Il est ainsi facile de suivre l’état du système de réplication et de détecter un potentiel problème.

Repadmin /showrepl * /csv > C:\reportRelications.txt

Ouvrez le fichier txt avec Excel puis dans l’assistant sélectionnez une séparation à l’aide de la virgule.

Le résultat est le suivant.

Si un problème de réplication est présent...

1. Fonctionnalités offertes par Azure AD

Azure AD est utilisé par des services en ligne tels que Office 365 ou Intune pour l’autorisation d’accès au service. La fonctionnalité d’authentification forte vient compléter la gestion des identités. Il est en effet possible d’activer pour certains utilisateurs l’obligation d’utiliser une authentification à deux facteurs (authentification forte).

En plus de leur couple login/mot de passe, une partie ou l’ensemble des utilisateurs devront utiliser un deuxième mécanisme d’authentification. Ce dernier peut être une application installée sur un smartphone qui fournit un code. Celui-ci possède une durée de vie très courte. Il est également possible de recevoir un SMS contenant un code à saisir. La troisième solution va consister à valider son identité par la réception d’un appel téléphonique et la pression d’une touche du téléphone. Microsoft recommande pour des raisons de sécurité l’utilisation de l’application Microsoft Authentificator en lieu et place des solutions Telecoms (SMS, appel).

L’édition Premium offre un portail web permettant la mise...