Services de domaine Active Directory

Présentation des services de l’Active Directory

Active Directory est un annuaire implémenté sur les systèmes d’exploitation depuis Windows 2000 Server. Depuis cette première version de l’annuaire, de nombreuses améliorations ont été apportées.

Promotion d’un contrôleur de domaine

Un contrôleur de domaine est un serveur dont la fonction principale est l’authentification des utilisateurs et ordinateurs. Il a également la charge de permettre l’accès aux ressources partagées (boîtes aux lettres, dossiers partagés, imprimantes…).

Redémarrage de l’AD

Active Directory s’appuie sur une base de données. Il est donc nécessaire dans certains cas de défragmenter la base de données, d’effectuer une restauration à la suite d’un crash, ou toute autre opération de maintenance.

Pour effectuer toutes ces manipulations, il est nécessaire d’avoir un accès complet à la base de données. Lors de l’utilisation quotidienne de l’Active Directory, l’accès est limité aux fonctionnalités offertes par les différents outils (Sites et services AD, Utilisateurs et ordinateurs AD…).

Depuis Windows Server 2008, un nouveau service Windows permet d’arrêter l’annuaire AD afin d’obtenir un accès complet à la base de données.

Suppression d’un contrôleur de domaine

Un contrôleur de domaine peut être amené à être rétrogradé en simple serveur membre pour des raisons de changement de serveur ou autres.

La manipulation consiste à enlever le rôle de contrôleur de domaine au serveur.

Supprimer un contrôleur de domaine d’un domaine

Le domaine Formation.local est constitué d’un contrôleur de domaine en lecture/écriture et d’un contrôleur de domaine uniquement en lecture. L’opération consiste à supprimer le rôle AD DS sur le RODC. On parlera donc de rétrogradation du serveur.

Sécurité du système d’information

De nos jours, la sécurité est un point très important dans un système d’information. La gestion des identités étant primordiale dans tout système On-premises ou Cloud, il est important de s’assurer de respecter les bonnes pratiques en termes de gestion et de sécurité au niveau de l’annuaire Active Directory.

Initiation au tier model

Le tier model, ou modèle en tiers, est une approche de sécurité développée par Microsoft pour segmenter les niveaux d’accès et d’administration dans un environnement Active Directory. L’objectif principal est de limiter les mouvements latéraux et les escalades de privilèges en cas de compromission d’un compte ou d’un système. Bien implémenté, ce modèle assure une sécurité optimale. Il va être néanmoins contraignant, obligeant l’utilisation de plusieurs comptes d’administration (un par tiers).

Ce modèle repose sur trois niveaux hiérarchiques (tiers) d’administration, chacun correspondant à un périmètre fonctionnel et de sécurité distinct. Il vise à compartimenter les privilèges pour protéger les actifs les plus critiques : le cœur d’Active Directory. Dans un respect total du tier model, les tiers serveurs (infrastructure et Active Directory) sont hébergés sur des serveurs de virtualisation différents. En production, il est fréquent d’avoir un système de virtualisation identique pour l’ensemble des serveurs, ceci principalement pour des raisons de coût. Dans ce cas bien précis, le tier model va être complété par d’autres solutions/paramètres de sécurité qui vont venir protéger les serveurs de virtualisation. Cela reste une initiation : en production la mise en place de ce type de politique nécessite plusieurs semaines de travail afin d’architecturer correctement la solution.

Les trois niveaux du tier model

Commençons par le tier le plus sensible, le tier 0. Il va inclure, les contrôleurs de domaine, les serveurs ADFS, les serveurs ADCS (Active Directory Certificate Services - distribution de certificats...