Déployez et configurez les meilleures pratiques pour le contrôleur de domaine

Les administrateurs informatiques travaillent avec et autour de Active Directory depuis l'introduction de la technologie dans Windows 2000 Server. Windows 2000 Server a été lancé le 17 février 2000, mais de nombreux administrateurs ont commencé à travailler avec Active Directory fin 1999, lorsqu'il a été publié pour la fabrication (RTM) le 15 décembre 1999.

Il existe de bonnes pratiques à respecter lors du déploiement des DCs. Beaucoup de ces pratiques sont documentées. Mais peu d'organisations mettent ces pratiques en œuvre.

Comment déployer et configurer un contrôleur de domaine

Nous allons passer outre les bonnes pratiques bien connues telles que la maintenance de la base de données Active Directory sur un ensemble de broches de disque, les fichiers journaux sur des broches de disque séparées et le système d'exploitation sur son propre ensemble de broches de disque.

Certaines des bonnes pratiques moins mises en œuvre pour les contrôleurs de domaine sont :

Exécutez l'installation de Server Core du système d'exploitation.

De nombreux administrateurs évitent le changement, surtout pour des systèmes tels que AD DS qui sont incroyablement stables. Ainsi, lorsqu'un nouvel administrateur propose de passer à l'installation de Server Core, il est souvent accueilli par des regards glacials. Mais la réalité est que la plupart des administrateurs gèrent AD DS à distance en lançant ADUC ou PowerShell sur leur ordinateur client ou administratif. Tous les outils de gestion principaux, y compris le Centre d'administration Active Directory (ADAC) et Windows PowerShell, fonctionnent presque identiquement lorsqu'ils sont utilisés localement sur un DC ou à distance depuis un ordinateur client ou un ordinateur administratif. Ainsi, en passant à l'installation de Server Core, l'expérience administrative n'est pas dégradée. Et, vous bénéficiez d'améliorations de sécurité et de quelques petites améliorations de performance.

N'exécutez pas d'autres logiciels ou services sur un DC.

Il y a de cela une dizaine d'années, la plupart des organisations utilisaient des serveurs physiques car la virtualisation en était à ses débuts. Ainsi, lorsqu'il était nécessaire de mettre en place un nouveau serveur de fichiers, serveur DHCP ou serveur d'impression, les administrateurs se tournaient souvent vers un serveur existant. Un DC était souvent utilisé également. Avançons rapidement à 2015 où la virtualisation est devenue la norme par défaut et où la provision automatisée permet de livrer une nouvelle VM en quelques minutes et l'ancienne méthode n'est plus aussi convaincante. Maintenant, lorsque vous avez besoin d'un emplacement pour un serveur de fichiers, serveur DHCP, serveur d'impression ou tout autre serveur d'application, vous pouvez provisionner une nouvelle VM. Ou mieux encore, vous pouvez provisionner une nouvelle VM en tant que serveur utilitaire. Un serveur utilitaire est un serveur qui héberge toutes les applications et services trop petits pour justifier un serveur dédié. Cela permet à vos DCs de se concentrer sur un service dédié, ce qui apporte plus de stabilité.

Ajustez l'ordre de démarrage et définissez un mot de passe BIOS.

Bien que tous vos DC en lecture-écriture doivent se trouver dans un centre de données sécurisé, de nombreuses personnes IT et non-IT ont accès à ce centre de données. Par exemple, les électriciens sous contrat qui travaillent sur le système de refroidissement ont accès au centre de données. De plus, il y a probablement des techniciens réseau, des techniciens de câblage et des responsables IT avec un accès au centre de données. Quiconque a un accès physique à un DC peut accéder physiquement à un DC en seulement quelques minutes via une console dans le centre de données. Il existe des images de démarrage freeware spécialisées que vous pouvez utiliser pour démarrer et réinitialiser des mots de passe, installer des logiciels malveillants ou accéder aux données du disque, en supposant que le disque n'est pas chiffré. Pour éviter cela, effectuez les configurations suivantes :

• Assurez-vous que tous les supports amovibles ne font pas partie de l'ordre de démarrage du BIOS. Au lieu de cela, seul le disque dur où le système d'exploitation est installé devrait faire partie de l'ordre de démarrage. Cela est également vrai pour vos serveurs hôtes de virtualisation, si vous avez des DC virtuels.
• Définissez un mot de passe BIOS fort. Si vous ne définissez pas de mot de passe BIOS, quelqu'un peut modifier l'ordre de démarrage, démarrer sur le support d'installation de Windows Server ou de nombreux kits d'outils gratuits, effectuer une réparation pour accéder à l'invite de commande. Une fois à l'invite de commande, ils peuvent semer le chaos et réinitialiser rapidement les mots de passe des comptes de domaine.
• Gardez les contrôleurs de domaine dans une armoire verrouillée. Bien qu'un mot de passe BIOS constitue une couche de sécurité, si l'attaquant est un tant soit peu compétent, il saura probablement comment réinitialiser le BIOS de manière à ce que la configuration soit remise à zéro et le mot de passe supprimé. Souvent, cela nécessite d'accéder à la carte mère. Vous pouvez réduire le risque d'une telle attaque en gardant les contrôleurs de domaine dans une armoire verrouillée. Certains serveurs permettent également l'utilisation de verrous de châssis. Dans des environnements hautement sécurisés, vous devriez opter pour les deux.

Standardisez la configuration de tous les contrôleurs de domaine.

Vous devriez essayer d'harmoniser les paramètres de configuration pour chaque DC. Vous pouvez réaliser une partie de cela en utilisant l'automatisation de construction via des outils de déploiement tels que System Center Configuration Manager. Les éléments d'intérêt pour les DCs sont les paramètres de taille du journal des événements pour s'assurer que vous disposez de tailles suffisamment grandes pour capturer les informations d'audit et de sécurité, les paramètres de démarrage tels que le délai d'attente pour la sélection du système d'exploitation sur les serveurs physiques, les versions et paramètres du firmware et du BIOS, et la configuration matérielle. Bien sûr, il y a beaucoup d'autres éléments de configuration à standardiser en utilisant Group Policy. L'objectif principal est de configurer les DCs de manière identique.

Vous trouverez plus d'informations sur les bases de Active Directory dans notre AD tutorial for beginners.