Meilleures pratiques de délégation Active Directory

Meilleures pratiques de délégation Active Directory

Déléguer le contrôle de parties spécifiques du réseau permet aux utilisateurs d'accéder aux données nécessaires pour leur travail. Cependant, offrir un accès illimité à tout le monde peut représenter des risques de cybersécurité importants pour une organisation. La délégation Active Directory peut restreindre efficacement l'accès uniquement à ce dont les utilisateurs ont besoin.

Suivez les meilleures pratiques de délégation Active Directory ci-dessous pour protéger votre réseau.

Qu'est-ce que la délégation Active Directory ?

La délégation Active Directory (AD) vous permet d'autoriser les utilisateurs à effectuer des tâches nécessitant des permissions élevées — sans les ajouter à des groupes hautement privilégiés tels que Domain Admins et Account Operators. Pour déléguer le contrôle dans Active Directory, vous pouvez utiliser l'Assistant de délégation de contrôle dans la console de gestion Microsoft (MMC) Active Directory Users and Computers (ADUC).

Comment développer un modèle de délégation AD

Il est préférable d'adopter une approche pratique pour déléguer des droits. N'oubliez pas que la simplicité équivaut à la maintenabilité, et un modèle de délégation durable vous rapportera énormément en vous permettant de contrôler correctement et efficacement les permissions déléguées dans Active Directory.

Étape 1 : Créer des rôles

La première étape dans le développement d'un modèle de délégation Active Directory est de créer un ensemble de rôles d'administrateur et de leur attribuer les responsabilités appropriées. Limitez-vous à un petit nombre de rôles gérable pour un contrôle pratique de la délégation. Trouver le bon équilibre peut être difficile car avoir trop de rôles ajoute de la complexité et des charges de gestion, mais avoir trop peu de rôles ne permettra pas une séparation efficace des rôles.

Les meilleures pratiques suggèrent d'utiliser les rôles suivants :

Administrateurs de service :

• Les administrateurs d'entreprise sont responsables de l'administration des services de haut niveau dans l'entreprise. Ce groupe ne devrait contenir aucun membre permanent.
• Les administrateurs de domaine sont responsables de l'administration des services de haut niveau dans le domaine. Ce groupe ne doit contenir qu'un petit nombre d'administrateurs de confiance et facile à gérer.
• Les administrateurs de niveau 4 sont responsables de l'administration des services à travers le domaine. Les droits d'accès accordés permettent de gérer uniquement les services et fonctionnalités nécessaires et servent de point d'escalade pour les administrateurs de données.

Administrateurs de données :

• Les administrateurs de niveau 1 sont responsables de la gestion générale des objets d'annuaire, y compris la réinitialisation des mots de passe, la modification des propriétés des comptes utilisateurs, etc.
• Les administrateurs de niveau 2 sont responsables de la création et de la suppression sélectives des comptes d'utilisateurs et d'ordinateurs pour leur emplacement ou organisation.
• Les administrateurs régionaux sont responsables de la gestion de la structure des unités organisationnelles (OU) et ont reçu les autorisations pour créer la plupart des objets au sein de leur OU.
• Les administrateurs de niveau 3 gèrent tous les administrateurs de données et servent de points d'assistance et d'escalade de haut niveau pour tous les administrateurs régionaux.

Étape 2 : Attribuer des responsabilités

Ensuite, développez un ensemble de cas d'utilisation pour aider à identifier ce que chaque rôle peut et ne peut pas faire. Des cas d'utilisation bien préparés vous aideront à expliquer les rôles aux parties prenantes de votre organisation et à garantir une attribution de rôle adéquate. Lors de la définition des responsabilités, catégorisez-les par fréquence, importance et difficulté.

Les listes de contrôle d'accès (ACL) sur les conteneurs Active Directory définissent quels objets peuvent être créés et comment ces objets sont gérés. La délégation de droits implique des opérations de base sur les objets, telles que la capacité de voir un objet, de créer un objet enfant d'une classe spécifiée, ou de lire les informations d'attribut et de sécurité sur des objets d'une classe spécifiée. Outre ces opérations de base, Active Directory définit des Droits Étendus, qui permettent des opérations telles que Envoyer en tant que et Gérer la Topologie de Réplication.

Automatisez le processus de test pour garantir que chaque rôle fonctionne comme prévu.

Étape 3 : Définir un modèle de sécurité d'OU

Une fois vos rôles et responsabilités établis, vous devriez définir votre modèle d'unité d'organisation (OU) et de groupe de sécurité. Une OU de niveau supérieur (ou une série d'OUs) devrait être créée directement sous le domaine pour contenir tous les objets. Cette OU de niveau supérieur a le but spécifique de définir le périmètre de gestion avancé pour les administrateurs de niveau 4. Avec une OU de niveau supérieur, les droits sur le service d'annuaire peuvent commencer au niveau de l'OU plutôt qu'au niveau du domaine.

Sous les unités organisationnelles de premier niveau, vous devriez créer des hiérarchies de sous-unités organisationnelles distinctes pour représenter chaque région ou unité commerciale avec une équipe de gestion des données distincte. Chaque sous-unité organisationnelle régionale devrait avoir une hiérarchie d'unités organisationnelles standard et non extensible pour gérer les objets d'annuaire.

Enfin, pour empêcher les administrateurs d'augmenter leurs privilèges, créez des sous-groupes d'administrateurs séparés — un groupe d'Admins de niveau 1, un groupe d'Admins de niveau 2 et un groupe d'Admins régionaux pour chaque sous-hiérarchie d'OU — et placez les comptes appropriés dans chaque groupe. Placer ces comptes dans des OU séparées permet de restreindre la gestion à leur niveau ou en dessous.

Étape 4 : Contrôlez comment les droits délégués sont utilisés

La clé d'un modèle de délégation réussi est de faire respecter le principe du moindre privilège. En pratique, cela signifie que chaque principal de sécurité (tel qu'un utilisateur ou un compte de service) doit pouvoir effectuer uniquement les tâches requises pour ses rôles et rien de plus. Tous les administrateurs doivent se connecter en tant qu'utilisateurs moyens et utiliser leurs droits privilégiés uniquement lorsque c'est nécessaire.

Pour réaliser cela sans demander à l'utilisateur de se déconnecter puis de se reconnecter, utilisez le service de connexion secondaire (Runas.exe). Cela permet aux utilisateurs d'élever leurs privilèges en fournissant des informations d'identification alternatives lors de l'exécution de scripts ou d'autres exécutables sur des serveurs et des postes de travail.

Comment déléguer les privilèges d'administrateur dans Active Directory

L'Assistant Délégation de contrôle offre un moyen facile de déléguer des permissions dans Active Directory. Par exemple, supposons que vous voulez que les membres du groupe Help Desk puissent créer, supprimer et gérer des comptes d'utilisateurs dans l'unité d'organisation All Users de votre domaine AD. Pour cela, vous devez effectuer les étapes suivantes :

1. Ouvrez la console Utilisateurs et ordinateurs Active Directory.
2. Cliquez avec le bouton droit sur l'OU All Users et choisissez Delegate Control. Cliquez sur le bouton Next dans l'assistant Delegation of Control Wizard.
3. Cliquez sur le bouton Ajouter dans la page Utilisateurs ou Groupes de l'assistant.
4. Dans la boîte de dialogue Select Users, Computers, or Groups, saisissez le nom du groupe (Help Desk), cliquez sur le bouton Check Names pour vérifier que le nom est correct, et cliquez sur OK.
5. Assurez-vous que le nom du groupe sélectionné figure désormais sur la liste de la page Utilisateurs ou Groupes, et cliquez sur Suivant.
6. Sélectionnez Create, delete, and manage user accounts sur la page des tâches à déléguer et cliquez sur Suivant.
7. Vérifiez les informations de la dernière page de l'assistant et cliquez sur Finish.

Vous pouvez confirmer que les permissions ont été correctement définies en vérifiant l'onglet Sécurité des propriétés de l'OU cible.

Considérations lors de la délégation de permissions spécifiques

La délégation dans Active Directory permet aux organisations d'accorder des autorisations que les utilisateurs n'auraient généralement pas sans les ajouter à des groupes privilégiés. Cependant, les entreprises doivent prendre en compte quelques éléments lors de la délégation des permissions.

Par exemple, une bonne conception d'Unité Organisationnelle (OU) joue un rôle crucial dans la délégation AD. Ensuite, avec cette OU ou cet ensemble d'OUs, établissez des niveaux pour la sécurité. Dans chaque niveau, vous devriez accorder l'accès le moins privilégié. L'accès à privilèges minimaux limite ce que les utilisateurs peuvent faire au strict nécessaire pour leur travail. L'accès à privilèges minimaux est la clé de la cybersécurité d'une organisation, car il réduit le nombre de personnes ayant accès aux données critiques.

Par exemple, une organisation peut restreindre les permissions de réinitialisation de mot de passe ou de déverrouillage, accorder des permissions pour modifier uniquement les numéros de téléphone, déléguer la gestion de l'appartenance à des groupes dans Active Directory à des utilisateurs spécifiques, et ainsi de suite.

Il est également dans le meilleur intérêt d'une entreprise d'éviter d'utiliser des groupes intégrés (y compris les Enterprise Admins ou Domain Admins) car ces groupes peuvent avoir des permissions robustes et étendues. Au lieu de cela, déléguer les permissions de l'Active Directory en niveaux et effectuer des audits réguliers de l'accès privilégié est préférable.

Meilleures pratiques de délégation AD

Suivez ces directives pour utiliser Active Directory Domain Services avec succès et déléguer de manière appropriée.

• Pour que la délégation soit réussie, les unités d'organisation (OU) doivent être conçues et mises en œuvre correctement, et les objets appropriés (utilisateurs, groupes, ordinateurs) doivent y être placés.
• N'utilisez pas de groupes intégrés ; les privilèges au sein du domaine sont généralement trop larges. Au lieu de cela, de nouveaux groupes devraient être créés qui sont conçus uniquement pour la délégation.
• Utilisez des UO imbriquées. Il y aura différents niveaux d'administrateurs de données au sein de AD. Certains se verront déléguer le contrôle sur un type de données entier, comme les serveurs — et d'autres pourraient se voir attribuer seulement un sous-ensemble d'un type de données, comme les serveurs de fichiers. Cette hiérarchie est établie en créant des UO et des sous-UO, avec l'administration déléguée au sommet ayant plus de privilèges que ceux plus bas dans la structure des UO.
• Effectuez des audits réguliers pour voir qui s'est vu déléguer des privilèges administratifs à différents niveaux dans AD.
• Effectuez des audits annuels sur qui dispose de quels contrôles délégués Active Directory.
• Auditez votre environnement à la recherche d’activités suspectes pouvant indiquer une compromission ou une mauvaise utilisation des droits délégués, telles que des tentatives d’élévation de privilèges pour contrôler des objets informatiques, d’accès à des données sensibles via le réseau, ou de modification ou suppression des paramètres de sécurité (comme les exigences de mot de passe).
• Envisagez de passer d'un modèle de délégation qui repose sur des privilèges permanents à une stratégie de Privileged Access Management (PAM) avec un accès juste-à-temps. De cette manière, vous pouvez éviter les abus ou l'utilisation malveillante des droits d'accès permanents, améliorer le contrôle de l'utilisation des privilèges et réduire considérablement la surface de votre attaque.