Confiances dans Active Directory

Les administrateurs informatiques travaillent avec et autour de Active Directory depuis l'introduction de la technologie dans Windows 2000 Server. Windows 2000 Server a été lancé le 17 février 2000, mais de nombreux administrateurs ont commencé à travailler avec Active Directory fin 1999 lorsqu'il a été publié pour la fabrication (RTM) le 15 décembre 1999.

Qu'est-ce que la confiance dans AD ?

Une trust est une relation entre des forêts et/ou domaines.

Dans une forêt AD, tous les domaines se font confiance car une two way transitive trust est créée lorsque chaque domaine est ajouté. Cela permet à l'authentification de se transmettre d'un domaine à tout autre domaine dans la même forêt.

Vous pouvez créer des trusts outside of the forest également avec d'autres forêts et domaines AD DS ou des royaumes Kerberos v5.

À l'époque de Windows NT 4.0, il n'y avait ni forêt ni structure hiérarchique. Si vous aviez plusieurs domaines, vous deviez créer manuellement des approbations entre eux. Avec Active Directory, vous avez automatiquement des approbations transitives bidirectionnelles entre les domaines dans la même forêt. À l'époque de Windows NT 4.0, vous deviez également utiliser NetBIOS pour établir des approbations !

Heureusement, les choses ont beaucoup évolué et maintenant nous disposons de fonctionnalités supplémentaires de confiance, en particulier autour de la sécurisation des trusts avec l'authentification sélective et le filtrage des SID.

Chaque confiance dans un domaine est stockée en tant qu'objet trustedDomain object (TDO) dans le System container. Ainsi, pour trouver et lister toutes les confiances et les types de confiance dans un domaine nommé contoso.com, exécutez la commande Get-ADObject –SearchBase “cn=system,dc=contoso,dc=com” –Filter * -Properties trustType | where {$_.objectClass –eq “trustedDomain”} | select Name,trustType Windows PowerShell command.

Il y a 4 valeurs valides pour l'attribut trustType. Cependant, seule la valeur 1 (indiquant une confiance avec un domaine NT) et la valeur 2 (indiquant une confiance avec un domaine Active Directory) sont courantes. Il y a beaucoup d'autres bonnes informations sur les confiances stockées dans l'objet trustedDomain.

Dans un domaine nommé contoso.com, exécutez la commande Get-ADObject –SearchBase “cn=system,dc=contoso,dc=com” –Filter * -Properties * | where {$_.objectClass –eq “trustedDomain”} | FL Windows PowerShell pour examiner toutes les trust properties.

Vous pouvez également voir de nombreuses propriétés fondamentales d'une confiance en exécutant la commande Get-ADTrust –Filter *.

Propriétés de confiance

Le tableau ci-dessous présente les trust properties et une description de chaque propriété.

D'un point de vue de l'évolutivité, il y a quelques aspects concernant les trusts dont vous devriez être conscient:

• Nombre maximal de trusts pour l'authentification Kerberos.

Si un client dans un domaine de confiance tente d'accéder à une ressource dans un domaine faisant confiance, le client ne peut pas s'authentifier si le chemin de véracité a plus de 10 liens de confiance. Dans des environnements avec un grand nombre de confiances et des chemins de confiance longs, vous devriez mettre en place des trusts raccourcis pour améliorer la performance et assurer la fonctionnalité d'authentification Kerberos.

• La performance se détériore après 2 400 trusts.

Dans des environnements vraiment grands et complexes, vous pouvez avoir un nombre énorme de trusts. Après avoir atteint 2,400 trusts, tout trust supplémentaire ajouté à votre environnement pourrait avoir un impact significatif sur les performances, en particulier en ce qui concerne l'authentification.

Vous trouverez plus d'informations sur les bases de Active Directory dans notre AD tutorial for begginners.