AD : Active Directory
Infrastructure
AD : Active Directory. « Annuaire actif », par analogie avec l'annuaire d'une grande entreprise qui saurait non seulement qui travaille où, mais aussi qui a le droit d'ouvrir quelle porte.
Rôle : Service d'annuaire de Microsoft qui centralise les comptes, les groupes, les machines et leurs droits dans un domaine Windows. Les contrôleurs de domaine hébergent et répliquent cette base.
Protocoles : AD s'interroge en LDAP, authentifie surtout via Kerberos (NTLM reste présent pour la compatibilité) et dépend fortement du DNS pour que les machines trouvent leurs contrôleurs.
Organisation : Les objets se rangent en domaines, forêts et unités d'organisation, sur lesquelles s'appliquent délégations et stratégies de groupe.
Cible de choix : Qui tient l'AD tient tout le parc : les attaquants le savent, et les comptes d'administration du domaine utilisés pour lire ses mails aussi.
Ce qui arrive si on s'en passe
Sans annuaire central, chaque poste et chaque serveur gère ses propres comptes locaux. Les départs ne sont plus révoqués partout, des comptes orphelins restent actifs avec leurs anciens droits, et les mots de passe identiques se multiplient d'une machine à l'autre. Un mot de passe administrateur local récupéré sur un poste ouvre alors souvent tous les autres. Il devient aussi impossible d'appliquer une politique de mot de passe homogène ou de savoir, en un seul endroit, qui possède quels droits. Un annuaire mal protégé reste cependant une cible unique : sa présence n'a de valeur que si les comptes d'administration du domaine sont rares, séparés et surveillés.
Explication de la marmotte
Dans une entreprise équipée d'ordinateurs Windows, il faut savoir qui est qui et qui a le droit de faire quoi. Plutôt que de créer un compte séparé sur chaque ordinateur, on range tout dans un grand registre central : les personnes, leurs mots de passe, les ordinateurs, les imprimantes, et les autorisations de chacun. Quand quelqu'un se connecte sur n'importe quel poste, le poste demande à ce registre si la personne existe et ce qu'elle a le droit de faire. C'est un peu comme le badge d'un salarié, vérifié à chaque porte par un seul et même service d'accueil.
Où ce terme est utilisé
- Configurer Windows Hello for Business sans mot de passe (13 occurrences)
- Auditer les comptes orphelins Active Directory (12 occurrences)
- Active Directory délégations et chemins d’attaque (10 occurrences)
- Auditer l'héritage des permissions et le droit effectif (9 occurrences)
- Kerberos et KDC dans Active Directory, attaques et durcissement (9 occurrences)
- Comment structurer Active Directory et déléguer sans escalade (6 occurrences)
- L'administration Active Directory en tiers en une page (6 occurrences)
- GPO Active Directory : durcissement, abus et contrôle (5 occurrences)
- DNSSEC : chaîne de confiance, validation et exploitation des clés (4 occurrences)
- Énumérer les métadonnées LDAP anonymes d'un domaine Active Directory (3 occurrences)