Qu’est-ce qu’Active Directory ?
Active Directory est la technologie d’annuaire de Microsoft utilisée pour centraliser les identités, les ordinateurs, les groupes et certains paramètres de sécurité dans une organisation. Le terme désigne souvent Active Directory Domain Services (AD DS), le rôle Windows Server qui fournit domaines, contrôleurs de domaine et authentification intégrée. Il ne faut pas le confondre avec Microsoft Entra ID, service d’identité cloud complémentaire.
Architecture : domaine, forêt, OU et contrôleur de domaine
Un domaine AD est une frontière administrative et de réplication contenant des objets tels que comptes utilisateurs, ordinateurs et groupes. Une forêt regroupe un ou plusieurs domaines partageant schéma, configuration et relations de confiance. Une unité d’organisation (OU) sert à organiser les objets, déléguer des tâches et cibler des GPO : ce n’est pas une frontière de sécurité. Les contrôleurs de domaine (DC) hébergent des copies répliquées de la base NTDS.dit. Plusieurs DC améliorent la continuité d'authentification, à condition que DNS et réplication fonctionnent.
- Poste Windows Compte de domaine
- DNS du domaine Localise les services AD
- Contrôleur AD Vérifie l’identité
- Kerberos Délivre des tickets
- Service interne Applique ses autorisations
Le contrôleur de domaine héberge notamment AD DS et le service Kerberos ; l’accès final dépend des droits accordés à l’utilisateur.
Comment fonctionne l'authentification ?
Lorsqu’un poste joint au domaine ouvre une session, il localise un contrôleur de domaine grâce au DNS, puis utilise généralement Kerberos pour obtenir un ticket initial (TGT) auprès du KDC. Il peut ensuite obtenir des tickets de service pour accéder à SMB, HTTP ou SQL si les SPN et autorisations sont corrects. NTLM subsiste dans certains scénarios de compatibilité, mais doit être réduit. Le service LDAP sert à interroger l’annuaire ; LDAPS ou LDAP avec signature et protection appropriée évitent des échanges insuffisamment sécurisés. Kerberos, LDAP et DNS ont donc des rôles différents.
DNS, sites AD et réplication
Active Directory dépend fortement du DNS : les enregistrements SRV permettent aux postes de découvrir les contrôleurs de domaine et les services Kerberos. Les sites AD représentent la topologie réseau et les sous-réseaux IP, afin d’orienter les clients vers les DC appropriés et de maîtriser la réplication entre sites. La réplication multimaster synchronise la majorité des modifications ; certains rôles FSMO conservent des responsabilités particulières. Une réplication défaillante peut créer des écarts de groupes, mots de passe ou objets, même si un DC semble répondre normalement.
Utilisateurs, groupes et permissions
Les comptes utilisateurs et de service représentent des identités ; les groupes permettent d’attribuer les permissions plus durablement. En environnement Windows, on privilégie l’attribution de droits sur les ressources à des groupes de sécurité, et non directement à chaque personne. Les groupes de portée globale, locale de domaine et universelle ont des usages différents. Les identifiants de sécurité (SID) interviennent dans les contrôles d’accès : renommer un compte ne modifie pas son SID. Les comptes de service managés, notamment gMSA lorsque compatibles, réduisent la gestion manuelle de mots de passe.
Stratégies de groupe (GPO)
Les Group Policy Objects centralisent des paramètres pour les ordinateurs et les utilisateurs : politiques de sécurité, verrouillage, pare-feu, configuration Windows ou scripts. Elles sont liées à des sites, domaines ou OU ; leur application dépend notamment de l’héritage, de l’ordre LSDOU, des filtres de sécurité et éventuellement WMI. La réplication du contenu SYSVOL est distincte de la base AD. Un lien GPO ne garantit pas son application : gpresult /h et les journaux GroupPolicy aident à diagnostiquer la portée, les refus ou l’absence de traitement.
Exemple concret : intégrer un nouveau salarié
Dans une PME de 80 postes, l’administrateur crée le compte de la nouvelle recrue, l’affecte aux groupes correspondant à son service puis place son ordinateur dans l’OU adéquate. À l’ouverture de session, l’utilisateur est authentifié par un DC, reçoit les stratégies compatibles et accède aux partages autorisés. Lors d’un départ, le compte est désactivé, les accès et sessions sont révoqués selon les systèmes concernés et les données sont conservées selon la politique interne. Cet exemple illustre la différence entre identité, appartenance à un groupe et autorisation effective sur une ressource.
Diagnostic : les contrôles indispensables
Si un utilisateur ne peut plus se connecter, vérifier successivement l’heure du poste, la configuration DNS, la connectivité vers les DC, l’état du compte, les groupes et les erreurs Kerberos. Les commandes nslookup -type=SRV _ldap._tcp.dc._msdcs.domaine, nltest /dsgetdc:domaine, dcdiag et repadmin /replsummary fournissent des indices complémentaires. Pour les GPO, utiliser gpresult /r ou gpresult /h. Éviter de modifier massivement DNS, SPN ou réplication avant d’avoir isolé le composant défaillant. Certaines commandes nécessitent des droits d’administration et doivent être adaptées au domaine réel.
Sécurité et durcissement
Protéger en priorité les contrôleurs de domaine, comptes Domain Admins et Enterprise Admins, et chemins d’administration. Prévoir des comptes administratifs séparés, MFA sur les points d’accès compatibles, postes d’administration dédiés, délégations minimales et surveillance des groupes privilégiés. Réduire NTLM et les protocoles anciens par étapes testées ; protéger LDAP avec la signature et les protections adaptées. Surveiller les changements de GPO, la délégation Kerberos et les accès aux sauvegardes. AD constitue une cible critique : la compromission d’un DC peut compromettre l’ensemble du domaine.
Sauvegarde, restauration et continuité
La sauvegarde d’Active Directory doit permettre une récupération cohérente des contrôleurs de domaine, notamment via une sauvegarde System State compatible. Disposer de plusieurs DC ne remplace pas une sauvegarde : suppression d’objets, compromission et corruption peuvent être répliquées. Documenter la récupération d’objets, la corbeille AD lorsqu’elle est activée, la restauration non autoritaire ou autoritaire selon le cas, et les procédures de reprise de forêt. Tester ces procédures hors production. Éviter de restaurer simplement un ancien snapshot de DC sans vérifier les mécanismes et recommandations applicables à la version de l’hyperviseur et de Windows Server.
Active Directory, Entra ID et synchronisation hybride
AD DS est historiquement destiné aux identités et ressources du réseau d’entreprise ; Microsoft Entra ID fournit des identités cloud, des applications SaaS et des mécanismes d’accès conditionnel. Microsoft Entra Connect Sync ou Cloud Sync peuvent synchroniser des identités selon l’architecture retenue, sans transformer automatiquement une GPO ou un contrôleur de domaine en fonctionnalité cloud. Des postes joints à Entra ID et administrés par Intune suivent des mécanismes distincts d’un poste joint au domaine AD. Le choix dépend des applications héritées, besoins réseau, exigences de sécurité et stratégie de migration.
Questions fréquentes et erreurs à éviter
Active Directory est-il obligatoire pour Microsoft 365 ? Non : une organisation cloud peut utiliser Entra ID sans AD DS local. Un second DC remplace-t-il les sauvegardes ? Non, car les modifications indésirables peuvent se répliquer. Peut-on gérer les postes uniquement avec une OU ? Non, l’OU organise la portée, tandis que les GPO, permissions et outils de gestion définissent les actions. Enfin, résoudre une panne d’authentification en remplaçant le DNS interne des postes par un DNS public casse fréquemment la découverte des contrôleurs de domaine : les clients doivent utiliser une résolution compatible avec la zone AD.