Active Directory :
le cerveau du réseau
d'entreprise
Tout ce que l'administrateur système de Nkilitech doit savoir — de l'annuaire à la sécurité, de zéro à opérationnel.
Nkilitech grandit. Cinquante postes hier, cent demain. Sans architecture centralisée, chaque machine devient une île, chaque incident une urgence manuelle, chaque départ d'employé un oubli de sécurité. Active Directory est la réponse à ce chaos.
Ce guide parcourt toutes les notions fondamentales d'AD DS — en français et en anglais — illustrées par des scénarios concrets tirés du quotidien de Nkilitech. Il ne présuppose aucune connaissance préalable, mais n'élude aucune complexité.
Pourquoi Active Directory existe
Avant l'avènement de l'annuaire centralisé, les réseaux d'entreprise fonctionnaient en mode groupe de travail (Workgroup). Chaque poste Windows gérait sa propre base de comptes locaux. Un même employé possédait autant de comptes qu'il y avait de machines auxquelles il devait accéder.
Amara, responsable commerciale, oublie son mot de passe un lundi matin. L'administrateur doit se déplacer physiquement sur son poste, ouvrir lusrmgr.msc, et réinitialiser le compte local. Elle change de PC pour une démonstration client — son compte n'existe pas sur cette machine. Elle appelle à nouveau. Deux heures perdues avant 10h.
Active Directory Domain Services (AD DS) est la solution que Microsoft a introduite avec Windows 2000 Server. Il s'agit d'un annuaire centralisé — une base de données distribuée qui référence l'ensemble des ressources d'un réseau : utilisateurs, ordinateurs, groupes, imprimantes, stratégies.
Le poste de travail ne stocke plus les comptes. Il délègue l'authentification à un contrôleur de domaine (Domain Controller, DC). Ce DC connaît tous les comptes, toutes les règles, toutes les ressources autorisées pour chaque utilisateur.
Le protocole Kerberos — ce qui se passe en 2 secondes
Quand Kofi, développeur chez Nkilitech, tape NKILI\kofi.mensah et son mot de passe, il ne l'envoie pas sur le réseau. Le protocole Kerberos — nommé d'après le chien à trois têtes gardant les Enfers dans la mythologie grecque — orchestre un échange cryptographique en quatre étapes.
Une contrainte absolue de Kerberos : les horloges du poste et du DC doivent être synchronisées à moins de 5 minutes près. Si elles divergent, Kerberos rejette les tickets. Toute l'entreprise se retrouve bloquée. C'est pour cette raison que l'un des rôles FSMO — le PDC Emulator — sert de serveur de temps (NTP master) pour tout le domaine.
DNS — le GPS indispensable d'AD
Active Directory est totalement dépendant du DNS. Avant même de contacter le DC pour s'authentifier, le poste de Kofi doit trouver où se trouve ce DC sur le réseau. Il envoie une requête DNS pour un enregistrement spécial appelé SRV record.
AAA — Authentification, Autorisation, Accounting
Le modèle AAA est le cadre conceptuel qui sous-tend tout contrôle d'accès réseau. Active Directory en est l'implémentation concrète chez Nkilitech.
« Prouve-moi que tu es bien qui tu prétends être. » Kofi tape ses identifiants. Kerberos vérifie. Un token d'accès contenant son SID et ses groupes est créé pour sa session.
« Maintenant que je sais qui tu es, voilà ce que tu peux faire. » Les ACL NTFS comparent le token d'accès de Kofi avec les permissions du dossier \\fileserver\dev. Résultat : lecture et écriture autorisées. Accès à \\fileserver\rh : refusé.
« Je garde une trace de tout ce que tu fais. » Chaque connexion, chaque accès à un fichier, chaque tentative échouée est enregistrée dans le journal de sécurité Windows (Security Event Log). Sans cela, quand un fichier disparaît chez Nkilitech, personne ne sait qui.
| Event ID | Événement | Usage chez Nkilitech |
|---|---|---|
| 4624 | Connexion réussie | Qui s'est connecté, depuis quel poste, à quelle heure |
| 4625 | Échec de connexion | Tentatives de brute-force, mauvais mot de passe |
| 4740 | Compte verrouillé | Trop de tentatives — qui est bloqué |
| 4663 | Accès à un objet | Qui a supprimé/modifié un fichier RH |
| 4726 | Compte supprimé | Détection de suppressions accidentelles ou malveillantes |
| 4732 | Ajout à un groupe | Suivi des élévations de privilèges |
DICP / CIA — les quatre piliers de la sécurité
Avant de configurer quoi que ce soit, un administrateur responsable effectue une analyse DICP — ou CIA en anglais. Elle permet de cartographier les risques et de justifier les choix techniques.
| FR | EN | Question posée | Violation chez Nkilitech | Solution AD |
|---|---|---|---|---|
| Disponibilité | Availability | Le service est-il accessible quand on en a besoin ? | Lenteurs réseau mensuelles — réplication AD non contrôlée sature le lien WAN | Sites AD + RODC |
| Intégrité | Integrity | Les données sont-elles fiables et non altérées ? | Fichiers perdus sans trace — aucun audit NTFS activé | Audit 4663 + Corbeille AD + Sauvegarde |
| Confidentialité | Confidentiality | Seules les personnes autorisées voient les données ? | Partage réseau accessible à tous — films et musiques stockés librement | ACL NTFS + FSRM + GPO USB |
| Preuve | Non-repudiation | Peut-on prouver qui a fait quoi, quand ? | Aucun journal d'audit — impossible d'identifier l'auteur d'une suppression | Activation des stratégies d'audit + SIEM |
Forêts, domaines et unités d'organisation
AD DS s'organise selon une hiérarchie à trois niveaux. Chaque niveau correspond à un périmètre d'administration et de confiance différent.
La Forêt (Forest)
La forêt est le conteneur de plus haut niveau dans Active Directory. C'est la frontière de sécurité absolue. Deux objets dans deux forêts différentes ne peuvent pas interagir sans une relation d'approbation (trust) explicite.
Tous les domaines d'une même forêt partagent le même schéma AD — la définition des types d'objets et de leurs attributs — et le même catalogue global (Global Catalog), un index de recherche accéléré de tous les objets de la forêt.
Nkilitech dispose d'une seule forêt : nkilitech.local. Si demain elle acquiert une filiale, cette dernière pourrait avoir sa propre forêt. Les deux entreprises auraient besoin d'un forest trust pour partager leurs ressources — sans jamais fusionner leurs annuaires.
Le Domaine (Domain)
Le domaine est l'unité d'administration principale. Il contient ses propres utilisateurs, ordinateurs, groupes et stratégies de groupe. Il a ses propres contrôleurs de domaine. Son nom suit la convention DNS : nkilitech.local.
.local est une convention courante pour les domaines privés, mais elle peut créer des conflits avec mDNS (Bonjour, Avahi). Les bonnes pratiques actuelles recommandent d'utiliser un sous-domaine d'un nom public enregistré — par exemple ad.nkilitech.com — pour éviter toute collision avec l'Internet public.
L'Unité d'Organisation (Organizational Unit, OU)
Une OU est un conteneur à l'intérieur d'un domaine, équivalent d'un dossier. Elle sert à deux fins précises : organiser les objets de façon logique, et appliquer des stratégies de groupe (GPO) à un sous-ensemble d'objets.
Les 5 rôles FSMO
AD DS est une base de données multi-maître : n'importe quel contrôleur de domaine peut écrire des modifications. Mais certaines opérations sont incompatibles avec cette approche — elles nécessitent qu'un seul DC soit responsable à la fois. Microsoft a créé les FSMO (Flexible Single Master Operations, que les administrateurs prononcent « FIZMO ») pour répondre à ce besoin.
Schema Master
Seul DC autorisé à modifier la structure de l'annuaire. Intervient lors de l'installation d'Exchange, SharePoint, ou d'une montée de niveau fonctionnel.
Domain Naming Master
Valide l'unicité et la cohérence lors de l'ajout ou de la suppression d'un domaine dans la forêt.
PDC Emulator
Synchronise les horloges (NTP master), centralise les verrouillages de comptes, propage les mots de passe en priorité, éditeur GPO par défaut.
RID Master
Distribue des blocs de 500 Relative Identifiers aux DC. Chaque objet créé consomme un RID pour former son SID unique.
Infrastructure Master
Met à jour les références entre objets de domaines différents (ex. : utilisateur d'un domaine membre d'un groupe d'un autre domaine).
Transférer et saisir les rôles FSMO
Niveaux fonctionnels (Functional Levels)
Le niveau fonctionnel est la version minimale de Windows Server que tous les contrôleurs de domaine du domaine ou de la forêt doivent respecter. Il fonctionne comme un plus petit dénominateur commun : si un ancien DC tourne sous Server 2012 dans un parc Server 2022, les fonctionnalités sont bridées au niveau 2012.
Chaque élévation de niveau déverrouille des fonctionnalités supplémentaires :
| Niveau | Fonctionnalités notables débloquées |
|---|---|
| Server 2008 R2 | Corbeille AD (AD Recycle Bin) — récupérer un objet supprimé sans restaurer depuis backup. Fine-Grained Password Policies (PSO) — mots de passe différents selon les groupes. |
| Server 2012 R2 | Kerberos armoring (FAST) — protection des échanges d'authentification. Stratégies de groupe dynamiques. |
| Server 2016 | Privileged Access Management (PAM) — comptes administrateur à durée de vie limitée. |
| Server 2022 | Chiffrement AES-256 renforcé pour Kerberos. Amélioration des contrôles d'accès dynamiques. |
Sites AD et réplication
Un Site AD représente un réseau physique disposant d'une bonne connectivité interne — typiquement un LAN. Un lien de site (Site Link) représente la connexion WAN entre deux sites.
Sans configuration de sites, AD considère que tous les DC sont sur le même LAN rapide et réplique en permanence, sans égard pour la bande passante disponible. Sur une liaison WAN lente, ce comportement sature le lien et provoque des lenteurs pour tous les utilisateurs distants.
Nkilitech ouvre un bureau à Abidjan avec une connexion ADSL de 6 Mbit. Un DC y est déployé pour authentifier les utilisateurs locaux. Sans configuration de sites, chaque modification d'AD à Paris (création d'utilisateur, changement de GPO, mise à jour de schéma) est immédiatement répliquée vers Abidjan — saturant parfois le lien pendant de longues minutes. Les utilisateurs locaux ne peuvent plus rien faire.
RODC — le contrôleur de domaine en lecture seule
Un RODC (Read-Only Domain Controller) est un contrôleur de domaine qui ne peut recevoir que des données — il ne peut jamais en envoyer vers les autres DC. C'est une copie en lecture seule de l'annuaire.
Il a été conçu pour les sites distants à faible bande passante ou à sécurité physique insuffisante — comme le bureau d'Abidjan de Nkilitech, où la salle serveur n'est pas à accès restreint.
Avantages du RODC pour le site distant
- Sécurité physique : si le serveur est volé, l'attaquant ne dispose que d'une copie en lecture seule. Il ne peut pas modifier l'annuaire du siège depuis cette machine compromise.
- Bande passante : la réplication est unidirectionnelle (Paris → Abidjan uniquement). Le RODC peut mettre en cache les mots de passe des utilisateurs locaux, éliminant ainsi le trafic d'authentification à travers le WAN.
- Administration locale déléguée : un utilisateur local peut être désigné administrateur du RODC sans avoir de droits Domain Admin sur le domaine complet.
Relations d'approbation (Trust Relationships)
Une relation d'approbation (trust) permet aux utilisateurs d'un domaine (ou d'une forêt) d'accéder aux ressources d'un autre domaine (ou d'une autre forêt), sans créer de comptes dupliqués.
| Type | Direction | Transitivité | Usage |
|---|---|---|---|
| Intra-forêt | Bidirectionnelle | Oui (automatique) | Tous les domaines d'une même forêt se font confiance par défaut |
| Externe (External) | Uni ou bidirectionnelle | Non | Confiance avec un domaine d'une autre forêt, domaine spécifique uniquement |
| Forêt (Forest Trust) | Uni ou bidirectionnelle | Oui | Confiance entre deux forêts entières — tous leurs domaines |
| Raccourci (Shortcut) | Uni ou bidirectionnelle | Oui | Optimisation de l'authentification entre domaines d'une même forêt distants dans l'arbre |
Nkilitech rachète TechBuild, qui dispose de son propre domaine techbuild.local dans une forêt séparée. Pour permettre aux équipes de collaborer sur les partages réseau sans fusionner les annuaires, l'administrateur crée un Forest Trust bidirectionnel entre nkilitech.local et techbuild.local. Les utilisateurs TechBuild peuvent accéder aux ressources Nkilitech avec leurs identifiants existants — et vice versa.
SID — le principal de sécurité
Le SID (Security Identifier) est l'identifiant unique et permanent de chaque objet Active Directory. C'est lui que Windows utilise réellement pour les contrôles d'accès — pas le nom affiché. Renommer un utilisateur ne change pas son SID, et donc ne modifie pas ses droits d'accès aux ressources.
SID History — la mémoire des migrations
Lors d'une migration de comptes entre domaines, chaque utilisateur reçoit un nouveau SID dans le domaine cible. Or tous les droits NTFS sur les serveurs de fichiers référencent l'ancien SID. Sans correction, les utilisateurs migrés n'ont plus accès à rien.
La solution : SID History. L'outil de migration conserve l'ancien SID dans l'attribut sIDHistory du compte migré. Windows accepte les deux SID lors des contrôles d'accès, rendant la transition transparente pour les utilisateurs.
Utilisateurs, groupes et délégation
Les groupes AD — types et portées
AD distingue deux types de groupes (Sécurité et Distribution) et trois portées (Domaine local, Global, Universel).
| Portée | Contient | Peut être utilisé sur | Usage typique |
|---|---|---|---|
| Global | Utilisateurs et groupes globaux du même domaine | N'importe quelle ressource de la forêt | Regrouper les utilisateurs par rôle fonctionnel (GRP-Développeurs) |
| Domaine local | Comptes et groupes de n'importe quel domaine | Ressources du domaine local uniquement | Contrôler l'accès à une ressource (DL-Accès-Serveur-Dev) |
| Universel | N'importe quoi dans la forêt | N'importe quelle ressource de la forêt | Groupes cross-domaines en forêt multi-domaine |
Le modèle AGDLP
AGDLP (Account → Global → Domain Local → Permission) est la règle d'or de la gestion des accès dans AD. Elle découple les identités des ressources, rendant l'administration évolutive.
La délégation de contrôle (Delegation of Control)
La délégation permet d'attribuer des droits d'administration précis et limités sur une OU, sans accorder les droits Domain Admins. C'est l'approche correcte pour permettre à un technicien ou à un stagiaire de gérer les tâches courantes.
GPO — Stratégies de groupe (Group Policy Objects)
Une GPO est un objet AD contenant un ensemble de paramètres de configuration applicables aux utilisateurs ou aux ordinateurs. C'est l'outil le plus puissant d'un administrateur : modifier une seule GPO peut impacter des centaines de postes simultanément.
L'ordre d'application LSDOU
Les GPO s'appliquent dans un ordre précis, de la moins prioritaire à la plus prioritaire. La dernière appliquée l'emporte.
- L — Local : stratégie locale du poste (
gpedit.msc) - S — Site : GPO liée au Site AD
- D — Domaine : GPO liée au domaine
nkilitech.local - OU — Organizational Unit : GPO liée à l'OU, de la plus haute à la plus profonde
Une GPO au niveau domaine impose un fond d'écran Nkilitech sur tous les postes. Une GPO liée à l'OU Direction définit un fond d'écran différent pour la direction. Sur les postes de la direction, c'est la GPO d'OU qui gagne. Sur tous les autres postes, le fond d'écran Nkilitech s'applique — sans aucune intervention manuelle.
GPO wallpaper — déploiement sur 100 postes
GPO blocage USB — suite à un incident de sécurité
Politique de mots de passe affinée (PSO)
Droits NTFS et serveur de fichiers
L'accès à un partage réseau est gouverné par deux couches de permissions indépendantes. Le résultat effectif est toujours la permission la plus restrictive des deux.
| Couche | Où elle s'applique | Niveaux disponibles | Recommandation |
|---|---|---|---|
| Droits de partage (Share Permissions) | Connexion réseau au partage | Lecture / Modification / Contrôle total | Mettre « Contrôle total » pour tous, gérer uniquement via NTFS |
| Droits NTFS | Chaque fichier et dossier individuellement | Lecture, Écriture, Exécution, Suppression, Modifier les permissions, Contrôle total (+ permissions spéciales) | Définir ici la granularité réelle des accès |
FSRM — bloquer les films et imposer des quotas
Le File Server Resource Manager est un rôle Windows Server qui permet de filtrer les types de fichiers et d'imposer des quotas d'espace par utilisateur ou par dossier.
Chiffrement : BitLocker & EFS
Le chiffrement protège les données au repos — si un disque dur ou un ordinateur portable est physiquement volé, son contenu reste illisible sans la clé de déchiffrement.
BitLocker — chiffrement de volume complet
BitLocker chiffre l'intégralité d'un volume (disque système ou disque de données). Il est idéal pour les postes de travail fixes et les laptops chez Nkilitech.
Amara oublie son ordinateur portable dans le TGV Paris-Lyon. BitLocker est activé et la clé de récupération est sauvegardée dans AD. Le voleur allume le laptop : « Entrez la clé de récupération BitLocker (48 chiffres). » Impossible d'accéder aux données. L'administrateur récupère la clé depuis AD et la fournit à Amara pour déchiffrer ses données depuis un autre poste. Aucune fuite d'information.
EFS — chiffrement de fichiers individuels
L'Encrypting File System chiffre des fichiers ou dossiers individuels, lié au compte utilisateur. Son usage en entreprise est déconseillé sans infrastructure PKI robuste : si le compte est supprimé sans export préalable du certificat, les fichiers deviennent définitivement inaccessibles.
Sauvegarde et restauration d'Active Directory
Active Directory est l'infrastructure critique de Nkilitech. Sans lui, plus d'authentification, plus d'accès aux ressources, plus de GPO. Un ransomware, une fausse manipulation ou une panne matérielle peut le corrompre en quelques secondes. La sauvegarde n'est pas optionnelle.
| Quoi sauvegarder | Méthode | Fréquence recommandée |
|---|---|---|
| Base AD (ntds.dit) + SYSVOL | System State Backup via wbadmin | Quotidienne — conservation 30 jours |
| GPO | Backup-GPO -All via GPMC PowerShell | Avant chaque modification, plus sauvegarde hebdomadaire |
| Données serveur de fichiers | Windows Server Backup ou solution tierce (Veeam, Acronis) | Quotidienne — conservation selon politique RTO/RPO |
Deux types de restauration
Restauration non autoritaire (Non-authoritative) : le DC restauré se resynchronise ensuite avec les autres DC. À utiliser pour récupérer d'une corruption locale d'un seul DC alors que les autres sont sains.
Restauration autoritaire (Authoritative) : on indique à AD que cette version restaurée est la vraie, et qu'elle doit écraser les autres DC lors de la réplication. À utiliser quand une OU ou un grand nombre d'objets ont été supprimés par erreur sur tous les DC.
La Corbeille AD — le filet de sécurité immédiat
Une fois la Corbeille AD activée (voir Section 6), un objet supprimé peut être restauré en quelques secondes depuis le Centre d'administration AD, avec tous ses attributs et appartenances aux groupes intacts.
Commentaires approuves
Aucun commentaire approuve pour le moment.