RSAT : Remote Server Administration Tools
Infrastructure
RSAT est l’ensemble d’outils Windows permettant d’administrer à distance des rôles et services de serveur, notamment Active Directory, DNS et DHCP. Il ajoute des consoles graphiques, des commandes PowerShell et des modules spécialisés, mais ne constitue pas une dépendance obligatoire pour chaque opération réseau.
Administration distante : RSAT permet de gérer des serveurs depuis un poste d’administration, sans installer les rôles serveur eux-mêmes sur ce poste. Les outils disponibles dépendent de la version de Windows et des composants sélectionnés.
Active Directory : Dans un environnement Active Directory, RSAT fournit notamment les consoles et modules PowerShell pour interroger ou modifier les utilisateurs, groupes, ordinateurs, domaines et niveaux fonctionnels.
Pas obligatoire pour LDAP : Une connexion LDAP peut fonctionner sans RSAT avec une bibliothèque ou une API compatible, par exemple System.DirectoryServices.Protocols en PowerShell. RSAT fournit surtout des outils pratiques autour de l’annuaire, pas le protocole LDAP lui-même.
Ce qui arrive si on s'en passe
L'installation de RSAT sur un poste ne change rien aux droits effectifs : les consoles n'accordent aucun privilège, elles exposent seulement les interfaces. La garde à l'entrée reste le contrôle d'accès de l'annuaire, groupes d'administration délégués et authentification forte, et non la présence ou l'absence des outils. La couche de détection doit journaliser les opérations d'annuaire côté service, jamais côté console cliente, puisqu'un poste sans RSAT peut produire les mêmes appels via LDAP ou une session distante. La réponse collective consiste à restreindre les stations capables d'ouvrir des sessions administratives, à séparer les postes d'administration des postes bureautiques, et à révoquer les appartenances de groupe plutôt qu'à désinstaller un outillage qui n'a jamais constitué la frontière de sécurité.
Comment le mettre en place
Pour vérifier que RSAT n'est pas une dépendance obligatoire, monter un labo minimal : un contrôleur de domaine de test et deux postes membres, l'un avec les outils RSAT installés, l'autre sans. Depuis le poste dépourvu de RSAT, tenter les mêmes opérations d'annuaire via une session PowerShell distante ouverte sur le contrôleur, ou via des requêtes LDAP directes. Constater que les lectures et écritures aboutissent malgré l'absence de consoles locales. Retirer ensuite la fonctionnalité RSAT du premier poste et rejouer les scripts qui importaient explicitement le module ActiveDirectory : ceux-ci échoueront à l'import, pas au réseau. La distinction prouvée est nette : RSAT conditionne l'outillage local, jamais l'accessibilité du service.
Explication de la marmotte
Imagine une personne chargée de gérer un grand carnet d’adresses partagé par toute une entreprise. Elle doit créer des comptes, ranger les équipes, retrouver un ordinateur ou vérifier les règles d’accès, mais le carnet reste dans une autre pièce. RSAT fournit les outils pour faire ce travail depuis son propre ordinateur, sans déplacer le carnet ni installer toute la pièce. On peut parfois obtenir les mêmes informations avec d’autres outils, mais RSAT rend les tâches courantes beaucoup plus simples.