Notions d'Active Directory : domaine, utilisateurs et GPO

Imaginez une entreprise de 300 salariés. Chacun a un identifiant, un mot de passe, des droits sur certains dossiers et certaines imprimantes. Quand quelqu'un arrive, change de service ou part, il faut mettre tout à jour partout. Faire cela machine par machine serait un cauchemar. Active Directory est la réponse apportée par l'écosystème Windows : un annuaire central qui gère les identités et les règles de toute l'organisation.

Vous avez découvert la sécurité d'un poste Windows isolé dans la leçon précédente. Voyons maintenant comment des centaines de postes sont administrés de façon cohérente. Nous restons au niveau des principes : la gestion pratique d'un annuaire demande un cours à part entière.

Qu'est-ce qu'Active Directory ?

Active Directory (AD) est un service d'annuaire de Microsoft. Il stocke dans une base centralisée des objets : utilisateurs, groupes, ordinateurs, imprimantes, partages. Il permet à tous les ordinateurs de l'organisation de s'appuyer sur la même source de vérité pour répondre à deux questions : qui êtes-vous ? (authentification) et qu'avez-vous le droit de faire ? (autorisation).

La métaphore la plus simple est celle d'un immeuble de bureaux avec une réception centrale : au lieu qu'un badge soit géré séparément par chaque porte, une seule base décide qui entre où, et chaque porte la consulte.

Le vocabulaire fondamental

• Un domaine est un ensemble d'objets gérés ensemble, partageant le même annuaire et les mêmes règles de sécurité, avec un nom DNS (par exemple entreprise.local dans nos exemples).
• Un contrôleur de domaine (DC, Domain Controller) est un serveur qui héberge l'annuaire et répond aux demandes d'authentification. Les entreprises en ont plusieurs, qui se répliquent entre eux, pour la disponibilité.
• Une forêt regroupe un ou plusieurs domaines. Elle constitue la frontière de sécurité la plus large du modèle AD.
• Une unité d'organisation (OU) est un « dossier » à l'intérieur d'un domaine, qui permet d'organiser les objets (par service, par site) et de leur appliquer des règles différentes.
• Un groupe rassemble des utilisateurs (ou d'autres groupes) pour attribuer des droits en une seule fois : « Comptabilité », « Administrateurs du domaine ».

Un exemple d'arborescence :

entreprise.local            (domaine)
 ├─ OU=Utilisateurs
 │   ├─ OU=Comptabilité    (comptes de Léa, Karim…)
 │   └─ OU=Direction
 ├─ OU=Ordinateurs
 │   ├─ OU=Postes
 │   └─ OU=Serveurs
 └─ OU=Groupes

Comment un utilisateur se connecte

Quand vous ouvrez une session sur un ordinateur du domaine, la machine ne vérifie pas elle-même votre mot de passe : elle interroge un contrôleur de domaine. Les deux protocoles concernés sont :

• Kerberos, le protocole d'authentification principal. Il repose sur un principe de tickets : après une vérification initiale, le contrôleur de domaine remet un ticket que votre machine présente ensuite pour accéder aux différents services, sans renvoyer votre mot de passe à chaque fois. Comme dans un parc d'attractions : on vous donne un bracelet à l'entrée, et il suffit de le montrer à chaque attraction.
• NTLM, un protocole plus ancien, conservé pour la compatibilité, et considéré comme moins sûr. Les organisations qui font les choses sérieusement cherchent à en réduire l'usage.

L'annuaire lui-même se consulte avec LDAP, le protocole standard d'accès aux annuaires. Et surtout, AD repose sur le DNS : les postes retrouvent leurs contrôleurs de domaine grâce à des enregistrements DNS spéciaux. Si le DNS ne fonctionne pas bien, rien ne marche. Vous le voyez : ce que vous avez appris dans le premier chapitre sert directement ici.

Les GPO : des règles appliquées à grande échelle

Une stratégie de groupe (Group Policy Object, GPO) est un ensemble de réglages que l'on applique automatiquement à des utilisateurs ou à des ordinateurs. Les GPO sont l'outil principal de standardisation et de durcissement d'un parc Windows. Exemples de réglages :

• exiger un mot de passe d'une longueur minimale et verrouiller le compte après plusieurs échecs ;
• forcer le verrouillage de l'écran après quelques minutes d'inactivité ;
• désactiver l'exécution de supports amovibles non autorisés ;
• configurer le pare-feu, déployer des logiciels, mapper des lecteurs réseau, définir la page d'accueil du navigateur ;
• activer la journalisation d'événements de sécurité précis.

Une GPO se lie à un site, à un domaine ou à une unité d'organisation, et s'applique aux objets contenus dans ce conteneur. L'ordre d'application est important : en cas de conflit, la dernière appliquée l'emporte, de la plus générale à la plus spécifique. Les postes récupèrent régulièrement les GPO auprès du contrôleur de domaine et les appliquent au démarrage et à l'ouverture de session. On force une mise à jour avec :

gpupdate /force
gpresult /r

La seconde commande affiche les GPO effectivement appliquées à votre session : c'est l'outil de diagnostic de base quand un réglage ne se comporte pas comme prévu.

Pourquoi Active Directory est un enjeu de sécurité

Puisque AD détient les identités de toute l'organisation, il est la cible privilégiée des attaquants : quiconque obtient un contrôle élevé sur l'annuaire contrôle quasiment tout le parc. Cela explique que l'on parle de « sécuriser le domaine » comme d'un chantier à part entière. Quelques erreurs de configuration courantes, à connaître du point de vue du défenseur :

• Trop de comptes à privilèges élevés, ou des administrateurs qui utilisent leur compte d'administration pour lire leur messagerie.
• Des mots de passe faibles ou jamais changés sur des comptes de service.
• Des comptes inutilisés (anciens salariés, comptes de test) qui restent actifs.
• Des protocoles anciens (NTLM, versions obsolètes de partage de fichiers) toujours autorisés.
• Aucune segmentation entre postes de travail et contrôleurs de domaine.
• Une journalisation insuffisante, qui empêche de détecter ce qui se passe.

Les bonnes pratiques qui y répondent : modèle d'administration par niveaux (comptes distincts pour administrer les postes, les serveurs et les contrôleurs de domaine), authentification multifacteur pour les comptes privilégiés, mots de passe robustes, revue régulière des comptes, et supervision des événements sensibles. L'ANSSI publie en français des guides détaillés sur la sécurisation d'Active Directory, accessibles depuis cyber.gouv.fr.

Dans le cours d'apprenti white hat, nous reviendrons sur la structure d'AD de façon plus avancée, côté test d'intrusion et côté durcissement. Pour l'instant, retenez les fondations.

Construire un petit domaine dans votre laboratoire (facultatif)

Si votre machine a assez de ressources, vous pouvez créer un mini-domaine de test : une VM Windows Server (version d'évaluation officielle) sur le réseau interne labo-interne, avec le rôle « Services AD DS », puis un poste client Windows qui rejoint le domaine. Les étapes dépassent le cadre de ce cours, mais la documentation de l'éditeur est très détaillée. Prenez des snapshots avant chaque grosse étape. Si vous manquez de ressources, l'exercice « sur papier » ci-dessous vous apporte l'essentiel.

À vous de jouer

Exercice (sur papier). Une association de 40 personnes décide de centraliser ses comptes avec un domaine asso.local. Elle compte trois services : accueil, comptabilité et bénévoles.

1. Dessinez une arborescence d'unités d'organisation adaptée.
2. Proposez trois GPO utiles, en précisant à quel niveau vous les liez.
3. Citez deux erreurs de configuration à éviter pour les comptes d'administration.

Pour administrer des dizaines de machines et interroger l'annuaire, on ne clique pas partout : on automatise. L'outil de référence sous Windows s'appelle PowerShell.