TIP 3.11 – Créer, modifier et désactiver des comptes Active Directory

Après avoir intégré un poste au domaine, le technicien peut être amené à intervenir sur les comptes utilisateurs Active Directory.

Cette intervention intervient notamment lors :

• de l’arrivée d’un nouvel agent ;
• d’un changement de service ;
• d’un changement de nom ;
• d’un oubli de mot de passe ;
• du verrouillage d’un compte ;
• d’un départ de l’organisation ;
• d’une suspension temporaire d’accès.

Un compte Active Directory représente une identité professionnelle. Sa gestion doit donc respecter les procédures de sécurité et de traçabilité de l’organisation.

1. Le cycle de vie d’un compte utilisateur

Un compte Active Directory évolue tout au long de la présence de l’utilisateur dans l’organisation.

2. Un compte utilisateur est une identité

Un compte Active Directory contient plusieurs informations appelées attributs.

Par exemple :

3. sAMAccountName

Le sAMAccountName est l’identifiant historique utilisé notamment sous la forme :

ENTREPRISE\smartin

Il doit respecter les conventions de nommage définies par l’organisation.

4. UPN

L’User Principal Name, ou UPN, possède généralement une forme proche d’une adresse électronique :

smartin@entreprise.local

Selon l’architecture, le suffixe UPN peut également utiliser un domaine différent du nom DNS interne.

L’UPN permet notamment d’identifier l’utilisateur lors de l’authentification.

5. Respecter la convention de nommage

Une organisation peut définir une convention comme :

première lettre du prénom + nom

Sophie Martin
→ smartin

Mais d’autres conventions sont possibles.

Avant de créer un compte, il faut vérifier :

• la convention officielle ;
• les éventuels doublons ;
• les règles pour les noms composés ;
• les règles pour les homonymes.

6. Vérifier qu’un compte n’existe pas déjà

Avant toute création, recherche l’utilisateur dans l’annuaire.

Avec PowerShell :

Get-ADUser -Filter 'SamAccountName -eq "smartin"'

Une recherche plus générale peut être réalisée avec :

Get-ADUser -Filter 'Name -like "*Martin*"'

7. Dans quelle OU créer le compte ?

Le compte doit être placé dans l’unité d’organisation prévue par l’architecture.

Par exemple :

OU=Comptabilite,
OU=Utilisateurs,
DC=entreprise,
DC=local

L’emplacement peut déterminer :

• les stratégies appliquées ;
• les délégations administratives ;
• l’organisation de l’annuaire.

Nous approfondirons les OU dans TIP 3.12.

8. Créer un utilisateur avec la console graphique

Avec les outils RSAT :

dsa.msc

permet d’ouvrir Utilisateurs et ordinateurs Active Directory.

Une procédure classique consiste à :

1. ouvrir l’OU prévue ;
2. créer un nouvel utilisateur ;
3. renseigner prénom et nom ;
4. renseigner les identifiants ;
5. définir le mot de passe initial ;
6. configurer les options de mot de passe ;
7. valider la création ;
8. compléter les attributs requis.

9. Le mot de passe initial

Le mot de passe initial doit respecter la politique de sécurité de l’organisation.

Il ne doit pas être :

• prévisible ;
• identique pour tous les nouveaux utilisateurs ;
• basé uniquement sur le nom de l’utilisateur ;
• communiqué de manière non sécurisée.

Lorsque la politique le prévoit, l’option :

« L’utilisateur doit changer le mot de passe à la prochaine ouverture de session »

permet à l’utilisateur de choisir son propre secret après la première connexion.

10. Ne pas utiliser « le mot de passe n’expire jamais » par défaut

Cette option ne doit pas être activée simplement pour éviter les demandes de support.

Les règles relatives à l’expiration des mots de passe dépendent de la politique de sécurité de l’organisation.

Le technicien doit respecter cette politique et ne pas la contourner arbitrairement.

11. Le module PowerShell ActiveDirectory

Les commandes Active Directory sont fournies par le module :

ActiveDirectory

Lorsqu’il est disponible :

Import-Module ActiveDirectory

Pour vérifier :

Get-Module ActiveDirectory -ListAvailable

Sur un poste d’administration, ce module est généralement installé via les outils RSAT appropriés.

12. Créer un compte avec PowerShell

Exemple pédagogique :

$Password = Read-Host "Mot de passe initial" -AsSecureString

New-ADUser `
  -Name "Sophie Martin" `
  -GivenName "Sophie" `
  -Surname "Martin" `
  -SamAccountName "smartin" `
  -UserPrincipalName "smartin@entreprise.local" `
  -Path "OU=Comptabilite,OU=Utilisateurs,DC=entreprise,DC=local" `
  -AccountPassword $Password `
  -Enabled $true `
  -ChangePasswordAtLogon $true

Le mot de passe est demandé sous forme sécurisée et n’est pas inscrit en clair dans le script.

13. Pourquoi éviter les mots de passe en clair dans les scripts ?

Écrire directement :

-AccountPassword "MonMotDePasse123!"

serait une très mauvaise pratique.

Le secret pourrait :

• rester dans le fichier ;
• être copié ;
• être visible dans l’historique ;
• être exposé à une personne non autorisée.

14. Vérifier le compte après création

Après la création :

Get-ADUser -Identity smartin

Pour afficher davantage d’attributs :

Get-ADUser -Identity smartin -Properties *

Pour une vérification ciblée :

Get-ADUser -Identity smartin `
  -Properties Department,Title,Enabled |
Select-Object Name,
              SamAccountName,
              Department,
              Title,
              Enabled

15. Modifier les attributs du compte

Lorsqu’un utilisateur change de fonction ou de service, certaines informations doivent être mises à jour.

Exemple :

Set-ADUser `
  -Identity smartin `
  -Department "Finances" `
  -Title "Gestionnaire financier"

La modification doit correspondre à une demande autorisée.

16. Modifier plusieurs informations

Par exemple :

Set-ADUser `
  -Identity smartin `
  -Office "Bureau 214" `
  -OfficePhone "02 00 00 00 00"

Il n’est pas nécessaire de modifier les attributs qui ne sont pas concernés par la demande.

17. Réinitialiser un mot de passe

Lorsqu’un utilisateur oublie son mot de passe, une procédure d’identification doit être respectée avant toute réinitialisation.

Avec PowerShell :

$Password = Read-Host "Nouveau mot de passe" -AsSecureString

Set-ADAccountPassword `
  -Identity smartin `
  -Reset `
  -NewPassword $Password

On peut ensuite imposer un changement à la prochaine connexion :

Set-ADUser `
  -Identity smartin `
  -ChangePasswordAtLogon $true

18. Ne jamais réinitialiser sans vérifier l’identité

Une demande de réinitialisation de mot de passe est une opération sensible.

Un attaquant peut chercher à se faire passer pour un utilisateur.

19. Compte verrouillé

Une politique de sécurité peut verrouiller temporairement un compte après plusieurs tentatives d’authentification incorrectes.

Pour examiner l’état :

Get-ADUser `
  -Identity smartin `
  -Properties LockedOut |
Select-Object Name,Enabled,LockedOut

Pour rechercher les comptes verrouillés :

Search-ADAccount -LockedOut

20. Déverrouiller un compte

Lorsque la procédure permet de confirmer qu’un déverrouillage est approprié :

Unlock-ADAccount -Identity smartin

Mais il faut également rechercher pourquoi le compte s’est verrouillé.

Des verrouillages répétés peuvent être provoqués par :

• un ancien mot de passe enregistré ;
• un téléphone ;
• une tâche planifiée ;
• un service ;
• une application ;
• des tentatives d’authentification anormales.

21. Désactiver un compte

Lorsqu’un utilisateur quitte l’organisation ou doit temporairement perdre son accès, il est souvent nécessaire de désactiver le compte.

Avec PowerShell :

Disable-ADAccount -Identity smartin

Le compte reste présent dans Active Directory mais ne peut normalement plus être utilisé pour une nouvelle authentification.

22. Vérifier qu’un compte est désactivé

Get-ADUser `
  -Identity smartin `
  -Properties Enabled |
Select-Object Name,Enabled

On attend alors :

Name           Enabled
----           -------
Sophie Martin  False

23. Réactiver un compte

Si la désactivation était temporaire et que la procédure autorise la réactivation :

Enable-ADAccount -Identity smartin

Il faut ensuite vérifier :

• l’état du compte ;
• ses groupes ;
• sa date d’expiration éventuelle ;
• les droits nécessaires.

24. Désactiver n’est pas supprimer

Ces deux opérations sont très différentes.

25. Expiration d’un compte

Pour certains utilisateurs temporaires, prestataires ou stagiaires, une date d’expiration peut être définie.

Par exemple :

Set-ADAccountExpiration `
  -Identity prestataire01 `
  -DateTime "2026-12-31 23:59:59"

Cela permet de réduire le risque qu’un compte temporaire reste actif après la fin de la mission.

26. Vérifier les comptes expirés

PowerShell peut rechercher certains comptes arrivés à expiration :

Search-ADAccount -AccountExpired -UsersOnly

Cette commande peut être utile dans le cadre d’un contrôle périodique.

27. Utilisateur absent temporairement

Pour une absence temporaire, l’organisation peut prévoir plusieurs méthodes selon sa politique.

Le technicien ne doit pas décider seul de :

• désactiver un compte ;
• modifier ses groupes ;
• changer son mot de passe ;
• supprimer l’utilisateur.

L’action doit correspondre à une demande validée.

28. Départ d’un utilisateur

Lors d’un départ, plusieurs équipes peuvent être concernées :

• ressources humaines ;
• responsable hiérarchique ;
• support informatique ;
• administrateur Active Directory ;
• équipe messagerie ;
• sécurité informatique.

Selon la procédure, les actions peuvent inclure :

• désactivation du compte ;
• retrait de certains accès ;
• traitement de la messagerie ;
• récupération du matériel ;
• archivage de certaines données ;
• traçabilité de l’intervention.

29. Ne pas utiliser le compte d’un ancien utilisateur pour son remplaçant

Un nouveau collaborateur doit disposer de sa propre identité.

Renommer simplement l’ancien compte pour le réutiliser peut créer des problèmes de :

• traçabilité ;
• permissions héritées ;
• historique ;
• messagerie ;
• audit.

30. Consulter la date de création d’un compte

PowerShell :

Get-ADUser `
  -Identity smartin `
  -Properties whenCreated |
Select-Object Name,whenCreated

Cela peut être utile dans certaines opérations d’audit ou de diagnostic.

31. Quand le mot de passe a-t-il été modifié ?

On peut consulter :

Get-ADUser `
  -Identity smartin `
  -Properties PasswordLastSet |
Select-Object Name,PasswordLastSet

Cette information permet notamment de vérifier qu’une réinitialisation a bien été prise en compte.

32. Vérifier plusieurs propriétés utiles

Get-ADUser `
  -Identity smartin `
  -Properties Enabled,
              LockedOut,
              PasswordLastSet,
              AccountExpirationDate,
              Department |
Select-Object Name,
              Enabled,
              LockedOut,
              PasswordLastSet,
              AccountExpirationDate,
              Department

Une lecture ciblée évite de parcourir inutilement toutes les propriétés de l’objet.

33. Cas pratique – Nouveau collaborateur

Sophie Martin rejoint le service Comptabilité.

La demande validée indique :

34. Cas pratique – Utilisateur verrouillé

Paul indique que son mot de passe ne fonctionne plus.

PowerShell indique :

Name       Enabled    LockedOut
----       -------    ---------
Paul       True       True

35. Cas pratique – Départ d’un collaborateur

Le service RH confirme que Sophie quitte l’entreprise aujourd’hui.

36. TP – Gérer le cycle de vie d’un utilisateur

Get-ADUser -Filter 'SamAccountName -eq "cdurand"'

$Password = Read-Host "Mot de passe initial" -AsSecureString

New-ADUser `
  -Name "Claire Durand" `
  -GivenName "Claire" `
  -Surname "Durand" `
  -SamAccountName "cdurand" `
  -UserPrincipalName "cdurand@entreprise.local" `
  -Department "Ressources humaines" `
  -Title "Assistante RH" `
  -Path "OU=RH,OU=Utilisateurs,DC=entreprise,DC=local" `
  -AccountPassword $Password `
  -Enabled $true `
  -ChangePasswordAtLogon $true

Set-ADUser `
  -Identity cdurand `
  -Title "Gestionnaire RH"

Get-ADUser `
  -Identity cdurand `
  -Properties Department,
              Title,
              Enabled,
              PasswordLastSet |
Select-Object Name,
              Department,
              Title,
              Enabled,
              PasswordLastSet

Disable-ADAccount -Identity cdurand

Enable-ADAccount -Identity cdurand

Quiz – Vérifie tes connaissances