Qu'est-ce que la sécurité des bases de données : 13 meilleures pratiques

Active Directory (AD) a été introduit en 1999, et comprendre cette technologie centrale est aujourd'hui une exigence clé pour la plupart des administrateurs IT. Dans cette partie du tutoriel, nous fournissons un aperçu des bases de AD, y compris ce qu'est un domaine Active Directory.

Fondamentaux de AD

Qu'est-ce que AD ?

Active Directory est le service d'annuaire utilisé dans les réseaux Microsoft. Un service d'annuaire (ou service de noms) relie les ressources réseau (telles que les volumes, dossiers, fichiers, imprimantes, utilisateurs, groupes et appareils) à leurs adresses réseau respectives et fournit ces informations aux entités du réseau. En d'autres termes, AD est un ensemble de bases de données et de services qui sont utilisés pour organiser, localiser et gérer les ressources réseau.

Que fait AD ?

La base de données Active Directory stocke des informations sur les utilisateurs et les ordinateurs, y compris leurs noms et droits d'accès. Le schéma Active Directory définit les objets qui peuvent être stockés dans l'annuaire.

Les services de domaine Active Directory (AD DS) contrôlent de nombreuses opérations de votre environnement informatique et aident à garantir la sécurité de l'annuaire en gérant les processus suivants :

• Authentification — Garantir que chaque principal de sécurité est bien celui qu'il prétend être, généralement en vérifiant des identifiants tels qu'un identifiant utilisateur et un mot de passe lors d'un processus de connexion.
• Autorisation — Garantir que chaque principal de sécurité ne peut utiliser que les données et services auxquels il est autorisé à accéder.
• Résolution de nom — Permettant aux clients et aux contrôleurs de domaine de se localiser et de communiquer entre eux. AD DS utilise DNS comme sa principale méthode de résolution de nom.
• Gestion centralisée — Contrôler une grande variété de paramètres depuis un seul emplacement via une fonctionnalité appelée Group Policy.

Que comprend AD ?

Une unité fondamentale d'Active Directory est le domaine. Un domaine AD est un groupe logique d'objets qui partagent des paramètres communs d'administration, de sécurité et de réplication. En utilisant les domaines Active Directory, les équipes informatiques peuvent définir des limites administratives et gérer des ensembles d'appareils, de services et de systèmes de manière centralisée.

Un domain controller (DC) est un serveur qui exécute Active Directory Domain Services et utilise les données stockées dans AD pour l'authentification et l'autorisation des utilisateurs, la gestion des groupes, l'administration des politiques et des fonctions supplémentaires. En pratique, les organisations ont généralement plusieurs domain controllers dans des centres de données sur site et/ou dans le cloud. Chaque DC dans un domaine maintient une copie de la base de données AD, et ils synchronisent les données entre eux en utilisant la réplication Active Directory. Les DCs peuvent également stocker le global catalog — un registre en lecture seule de tous les objets dans l'annuaire du domaine et une copie partielle de tous les objets dans tous les autres domaines de la forêt pour faciliter les recherches d'informations sur les objets. Un DC avec cette fonctionnalité activée est appelé un serveur global catalog. Le protocole d'accès principal pour Active Directory est le Lightweight Directory Access Protocol (LDAP).

Comment est géré AD ?

La gestion d'Active Directory peut être effectuée sur les contrôleurs de domaine via des outils natifs, tels que :

• Centre administratif Active Directory
• Domaines et confiances Active Directory
• Sites et services Active Directory
• Utilisateurs et ordinateurs Active Directory
• ADSI Edit
• Module Active Directory pour Windows PowerShell

Ces outils peuvent également être installés sur des postes de travail dans le cadre des Outils d’administration de serveur distant (RSAT) pour permettre aux administrateurs de gérer AD à distance.

Structure AD

Maintenant que nous avons abordé les concepts de base de AD, passons en revue la structure de l'Active Directory. L'Active Directory contient plusieurs unités logiques, organisées hiérarchiquement. De la plus petite à la plus grande, elles sont :

• Objets
• Unités organisationnelles (OUs)
• Domaines
• Arbres
• Forêts

Objets

Un objet Active Directory object est l'unité logique la plus petite. Exemples incluent :

• Compte utilisateur
• Compte d'ordinateur
• Groupe
• Imprimante
• Partager

Les objets possèdent un ou plusieurs attributs qui définissent leurs propriétés, limites et format. Les valeurs des attributs peuvent être à valeurs multiples, des chaînes de caractères, des entiers, des booléens (vrai ou faux), ou d'autres types. Les attributs que chaque objet possède sont spécifiés dans le schéma.

Unités organisationnelles (OUs)

Les objets AD au sein d'un domaine peuvent être regroupés dans des conteneurs logiques appelés unités organisationnelles (UO). Les UO sont également des objets, ce qui permet aux administrateurs de créer des UO imbriquées. Tous les objets dans une UO donnée doivent avoir des noms uniques, et chaque objet ne peut se trouver que dans une seule UO à tout moment.

Faites attention de ne pas confondre les UO avec les groupes AD. Un groupe est un ensemble d'objets AD, tels que des utilisateurs, dont l'appartenance au groupe leur accorde certaines permissions. Un utilisateur donné peut être (et l'est généralement) membre de plusieurs groupes. La confusion survient généralement parce que les objets de stratégie de groupe (GPO) peuvent être liés aux UO (mais pas aux groupes), ce qui affecte également ce que les utilisateurs, ordinateurs et autres objets peuvent ou ne peuvent pas faire.

Domaines

Un domaine Active Directory est un groupe logique d'objets (utilisateurs, ordinateurs, UO, etc.) qui est géré par la même équipe administrative et se trouve généralement sur le même réseau physique.

Arbres

Les domaines sont organisés en arbres. Un arbre AD DS est composé de plusieurs domaines reliés par des trusts transitifs bidirectionnels. Chaque domaine dans un arbre AD DS partage un schéma commun et un catalogue global.

Forêts

La forêt Active Directory est le niveau le plus élevé de la hiérarchie. Alors que les domaines représentent des frontières administratives, les forêts sont la principale frontière de sécurité pour AD DS ; on suppose que tous les administrateurs de domaine au sein d'une forêt sont dignes de confiance à un certain degré. Les objets dans des forêts séparées ne sont pas capables d'interagir entre eux à moins que les administrateurs de chacune de ces forêts créent une confiance entre elles.

Structure physique

Abordons brièvement la structure physique de Active Directory. Elle peut être divisée en :

• Hôtes — Appareils connectés au réseau de domaine
• Sous-réseaux — Groupes de réseau avec une plage spécifiée d'adresses IP et un masque de réseau
• Sites — Groupes d'un ou plusieurs sous-réseaux utilisés pour optimiser l'utilisation de la bande passante par le service de réplication DC

Services de Active Directory

Enfin, les services Active Directory se composent de plusieurs services d'annuaire. Nous avons déjà parlé des Active Directory Domain Services (AD DS). AD DS utilise les informations sur les objets stockés dans l'annuaire pour authentifier les utilisateurs et les autoriser à effectuer des actions selon leurs droits d'accès.

Lorsque les gens parlent d'Active Directory, ils font généralement référence aux Services de domaine Active Directory. Cependant, il existe d'autres services Active Directory, y compris :

• Active Directory Lightweight Directory Services (AD LDS) — Fournit des services d'annuaire pour les applications
• Active Directory Certificate Services (AD CS) — Crée et maintient des certificats numériques utilisés dans les systèmes de sécurité qui emploient des technologies de clé publique
• Active Directory Federation Services (AD FS) — Fournit des capacités de connexion unique (SSO) aux systèmes et applications à travers les frontières organisationnelles
• Active Directory Rights Management Services (AD RMS) — Offre un contrôle granulaire sur l'accès aux documents en fournissant des outils de gestion et de développement pour travailler avec insider threat prevention et d'autres technologies de sécurité, telles que le chiffrement, les certificats et l'authentification

Pour plus d'informations

Vous pouvez en apprendre davantage sur les concepts fondamentaux d'Active Directory en lisant notre eBook, What is Active Directory.