TIP 3.9 – Découvrir un domaine Windows et Active Directory

Dans un petit réseau, chaque ordinateur peut fonctionner de manière indépendante avec ses propres comptes locaux.

Dans une entreprise comportant des dizaines, des centaines ou des milliers de postes, cette méthode devient rapidement difficile à administrer.

Un domaine Windows permet de centraliser la gestion :

• des utilisateurs ;
• des ordinateurs ;
• des groupes ;
• des droits d’accès ;
• des paramètres de sécurité ;
• de nombreuses configurations des postes.

Cette centralisation repose principalement sur Active Directory Domain Services, généralement abrégé AD DS.

1. Groupe de travail ou domaine ?

Windows peut fonctionner dans plusieurs types d’environnements.

Sur un réseau simple, les ordinateurs peuvent appartenir à un groupe de travail.

Chaque machine gère alors localement :

• ses comptes ;
• ses mots de passe ;
• ses groupes locaux ;
• une partie de ses paramètres de sécurité.

Dans un domaine, une grande partie de cette administration est centralisée.

2. Qu’est-ce qu’Active Directory ?

Active Directory est un service d’annuaire développé par Microsoft.

Dans ce cours, nous parlons principalement de :

Active Directory Domain Services
AD DS

AD DS stocke et organise des informations concernant les objets du domaine.

Par exemple :

• utilisateurs ;
• ordinateurs ;
• groupes ;
• serveurs ;
• unités d’organisation ;
• certaines informations relatives aux ressources et à la sécurité.

3. Qu’est-ce qu’un annuaire ?

Un annuaire informatique peut être comparé à un annuaire d’entreprise enrichi.

Il contient des objets accompagnés d’informations appelées attributs.

Un utilisateur peut par exemple posséder :

L’annuaire permet ensuite d’utiliser ces objets pour gérer l’authentification et les accès.

4. Le domaine Windows

Un domaine représente un ensemble logique d’objets administrés dans un environnement Active Directory.

Un domaine pourrait par exemple s’appeler :

entreprise.local

ou utiliser un sous-domaine d’un nom DNS réellement détenu par l’organisation, par exemple :

ad.entreprise.fr

Le choix du nom d’un domaine est une décision d’architecture qui doit être préparée en amont.

5. Le contrôleur de domaine

Un serveur exécutant AD DS et hébergeant les données du domaine est appelé contrôleur de domaine.

On rencontre souvent l’abréviation :

DC
Domain Controller

Par exemple :

DC01
DC02

Le contrôleur de domaine participe notamment :

• à l’authentification ;
• à l’accès à l’annuaire ;
• à l’application de certaines politiques ;
• à la gestion du domaine.

6. Pourquoi plusieurs contrôleurs de domaine ?

Dans une infrastructure professionnelle, il est fréquent de disposer de plusieurs contrôleurs de domaine.

Cela améliore notamment :

• la disponibilité du service ;
• la résilience ;
• la continuité de l’authentification en cas de panne d’un serveur.

Les contrôleurs de domaine répliquent les informations nécessaires entre eux.

7. Les principaux objets Active Directory

Active Directory contient différents types d’objets.

8. Les comptes utilisateurs

Un compte utilisateur Active Directory représente une identité gérée dans le domaine.

Il permet notamment à l’utilisateur de :

• s’authentifier ;
• ouvrir une session sur un poste autorisé ;
• accéder à certaines ressources ;
• recevoir certaines configurations ;
• être membre de groupes.

Exemple :

ENTREPRISE\smartin

ou sous une forme UPN :

smartin@entreprise.local

9. Les comptes ordinateurs

Lorsqu’un poste rejoint le domaine, Active Directory contient également un objet ordinateur.

Par exemple :

PC-COMPTA-07

Cet objet représente le poste dans le domaine et participe à la relation de confiance entre la machine et Active Directory.

Nous réaliserons concrètement cette opération dans TIP 3.10.

10. Les groupes

Les groupes permettent de rassembler plusieurs utilisateurs ou équipements.

Par exemple :

GG_COMPTABILITE

peut contenir :

• Sophie Martin ;
• Paul Durand ;
• Julie Bernard.

Au lieu d’attribuer une permission individuellement à chaque personne, il devient possible d’attribuer le droit au groupe.

11. Les unités d’organisation

Une unité d’organisation, ou OU, permet d’organiser certains objets Active Directory.

Exemple :

Entreprise
│
├── Utilisateurs
│
│   ├── Comptabilite
│   ├── Ressources-Humaines
│   └── Informatique
│
└── Ordinateurs
    ├── Postes
    └── Portables

Les OU facilitent notamment :

• l’organisation des objets ;
• la délégation de certaines tâches administratives ;
• l’application ciblée de stratégies de groupe.

Nous approfondirons leur utilisation dans TIP 3.12.

12. Un conteneur n’est pas forcément une OU

Active Directory contient aussi des conteneurs intégrés comme :

Users
Computers

Ils ne disposent pas exactement des mêmes possibilités qu’une unité d’organisation.

Par exemple, une GPO peut être liée à une OU, mais pas directement au conteneur intégré Users de la même manière.

13. Authentification et autorisation

Ces deux notions doivent être distinguées.

Exemple :

Sophie saisit son identifiant et son mot de passe.

Active Directory vérifie son identité : c’est l’authentification.

Elle tente ensuite d’ouvrir :

\\SRV-FICHIERS\COMPTABILITE

Ses groupes et les permissions déterminent si elle peut y accéder : c’est l’autorisation.

14. Kerberos

Dans un domaine Windows moderne, Kerberos est le protocole d’authentification privilégié pour de nombreux scénarios.

Son principe général est d’utiliser des tickets permettant à l’utilisateur authentifié d’accéder à différents services sans ressaisir continuellement son mot de passe.

Pour le technicien TIP, il faut surtout retenir :

• Kerberos est fortement lié au fonctionnement du domaine ;
• l’heure des machines doit être cohérente ;
• DNS doit fonctionner correctement ;
• les comptes et services doivent être correctement configurés.

15. Et NTLM ?

NTLM est un mécanisme d’authentification Microsoft plus ancien.

Il peut encore être rencontré dans certaines situations de compatibilité ou lorsque Kerberos n’est pas utilisable.

Il ne faut cependant pas considérer NTLM comme l’objectif normal d’une architecture Active Directory moderne.

16. Le rôle fondamental du DNS

Active Directory dépend fortement du DNS.

Les postes utilisent DNS pour localiser différents services du domaine, notamment les contrôleurs de domaine.

Un poste du domaine doit donc utiliser les serveurs DNS prévus par l’infrastructure Active Directory.

8.8.8.8

17. Comment le poste trouve-t-il un contrôleur de domaine ?

Active Directory publie dans DNS des enregistrements permettant aux clients de découvrir ses services.

Parmi eux, on rencontre notamment des enregistrements de type :

SRV

Le technicien n’a pas besoin de connaître tous ces enregistrements par cœur, mais doit comprendre que :

DNS est indispensable à la découverte correcte des services Active Directory.

18. Vérifier le domaine du poste

Sous Windows, plusieurs commandes permettent d’obtenir des informations.

Nom de la machine

hostname

Utilisateur connecté

whoami

Exemple :

entreprise\smartin

Informations système

systeminfo

On peut notamment y retrouver des informations concernant le domaine ou le groupe de travail.

19. Variables d’environnement utiles

Depuis l’invite de commandes :

echo %USERDOMAIN%

peut indiquer le domaine associé à la session.

Exemple :

ENTREPRISE

On peut également utiliser :

echo %LOGONSERVER%

pour connaître le serveur utilisé pour l’ouverture de session dans certains contextes.

20. PowerShell

Quelques commandes Windows permettent également d’observer l’environnement sans disposer nécessairement des outils d’administration Active Directory.

Par exemple :

Get-CimInstance Win32_ComputerSystem |
Select-Object Name, Domain, PartOfDomain

Exemple de résultat :

Name         Domain              PartOfDomain
----         ------              ------------
PC-COMPTA-07 entreprise.local    True

21. Les outils RSAT

Les administrateurs et certains techniciens autorisés peuvent disposer des outils d’administration distante Microsoft, appelés RSAT.

Ils permettent notamment d’utiliser :

• Utilisateurs et ordinateurs Active Directory ;
• Centre d’administration Active Directory ;
• console de gestion des stratégies de groupe ;
• modules PowerShell Active Directory.

Leur installation et leur utilisation doivent respecter le rôle du technicien et les droits qui lui sont délégués.

22. Utilisateurs et ordinateurs Active Directory

Une console historique très utilisée est :

dsa.msc

Elle correspond à :

Utilisateurs et ordinateurs Active Directory.

Elle permet notamment de visualiser et administrer :

• les utilisateurs ;
• les groupes ;
• les ordinateurs ;
• les unités d’organisation.

23. Active Directory et les ressources partagées

Active Directory permet de gérer les identités et les groupes utilisés ensuite pour protéger des ressources comme :

• partages réseau ;
• imprimantes ;
• applications ;
• services internes ;
• postes de travail.

Le cours TIP 3.8 a présenté les permissions de partage et NTFS.

Active Directory apporte maintenant la gestion centralisée des utilisateurs et groupes auxquels ces permissions peuvent être attribuées.

24. Active Directory et les stratégies de groupe

Active Directory permet également d’appliquer des stratégies de groupe, ou GPO.

Elles peuvent servir par exemple à :

• configurer certains paramètres Windows ;
• appliquer des règles de sécurité ;
• configurer des lecteurs réseau ;
• déployer certaines configurations ;
• encadrer l’environnement utilisateur.

Nous leur consacrerons TIP 3.14.

25. Ne pas confondre compte local et compte de domaine

Sur un poste membre d’un domaine, il peut exister simultanément :

• des comptes locaux ;
• des comptes du domaine.

Exemple de compte local :

PC-COMPTA-07\AdministrateurLocal

Exemple de compte de domaine :

ENTREPRISE\smartin

Ils ne représentent pas la même identité.

26. Pourquoi joindre un poste au domaine ?

La jonction au domaine permet notamment :

• d’utiliser des identités centralisées ;
• d’appliquer des politiques de sécurité ;
• de faciliter l’accès aux ressources professionnelles ;
• de gérer l’ordinateur comme objet Active Directory ;
• de simplifier certaines opérations d’administration.

Cette opération sera réalisée pas à pas dans TIP 3.10.

27. Active Directory n’est pas une sauvegarde

Active Directory fournit un annuaire et des services d’authentification.

La réplication entre plusieurs contrôleurs de domaine ne doit pas être confondue avec une stratégie de sauvegarde.

Une infrastructure doit disposer d’une stratégie de sauvegarde et de restauration adaptée.

28. La sécurité des comptes

Les comptes Active Directory donnent accès à des ressources professionnelles.

Il faut donc notamment :

• respecter la politique de mots de passe ;
• ne pas partager les comptes nominatifs ;
• désactiver rapidement les comptes qui ne doivent plus être utilisés ;
• attribuer uniquement les droits nécessaires ;
• protéger particulièrement les comptes administratifs.

29. Principe du moindre privilège

Un utilisateur ne doit disposer que des droits nécessaires à son travail.

Par exemple :

Sophie travaille en comptabilité.

Elle peut avoir besoin :

• du partage Comptabilité ;
• d’une imprimante de son service ;
• d’une application métier.

Elle n’a pas pour autant besoin :

• d’être administratrice du domaine ;
• d’accéder aux dossiers RH ;
• de modifier les paramètres du contrôleur de domaine.

30. Le technicien TIP et Active Directory

Le technicien de proximité peut être amené à :

• joindre un poste au domaine ;
• vérifier un objet ordinateur ;
• créer ou modifier un utilisateur selon les droits délégués ;
• désactiver un compte ;
• modifier une appartenance à un groupe ;
• vérifier les accès à une ressource ;
• diagnostiquer un problème d’authentification.

Il intervient cependant dans le cadre des délégations et procédures définies par l’administrateur du domaine.

31. Cas pratique – Poste en groupe de travail

Un poste destiné à un nouvel utilisateur professionnel indique :

Workgroup : WORKGROUP

Les autres postes de l’entreprise appartiennent à :

entreprise.local

32. Cas pratique – Mauvais DNS

Un poste doit rejoindre :

entreprise.local

Mais sa configuration réseau indique :

DNS : 8.8.8.8

33. Cas pratique – Authentifié mais accès refusé

Sophie ouvre correctement sa session sur le domaine.

Elle ne peut cependant pas ouvrir :

\\SRV-FICHIERS\COMPTABILITE

34. TP 1 – Identifier l’environnement d’un poste

hostname

whoami

systeminfo

Get-CimInstance Win32_ComputerSystem |
Select-Object Name, Domain, PartOfDomain

35. TP 2 – Analyser une petite organisation AD

entreprise.local

Quiz – Vérifie tes connaissances