Bonnes pratiques de délégation Active Directory

Environ 30 % des intrusions commencent par l'utilisation abusive de comptes valides, selon l'IBM X-Force 2025 Threat Intelligence Index. Les groupes privilégiés intégrés à Active Directory rendent ces identifiants particulièrement dangereux, car ils accordent des droits de lecture et d'écriture à l'échelle du domaine à chacun des comptes qui en font partie.

Un technicien du service d'assistance ajouté au groupe Domain Admins pour des réinitialisations de mots de passe courantes dispose du même accès que l'ingénieur qui gère l'infrastructure AD, quelles que soient les exigences réelles du poste.

La délégation Active Directory comble cet écart en attribuant des autorisations spécifiques aux tâches au niveau de l'unité d'organisation plutôt que par l'appartenance à un groupe privilégié.

Ce guide explique comment construire un modèle de délégation AD, comment appliquer les droits délégués à l'aide de l'Assistant Délégation de contrôle, et les pratiques opérationnelles qui empêchent les autorisations déléguées de s'accumuler en accès incontrôlé.

Qu'est-ce que la délégation Active Directory ?

La délégation Active Directory permet aux administrateurs d'accorder des autorisations élevées spécifiques à une tâche à des utilisateurs ou des groupes sans les ajouter à des groupes privilégiés tels que les administrateurs de domaine ou les opérateurs de comptes.

Ces groupes détiennent une autorité complète à l'échelle du domaine : tout compte membre de Domain Admins peut lire et écrire chaque objet de l'annuaire, quelle que soit l'étroitesse de l'exigence réelle du poste.

La délégation Active Directory applique des entrées de contrôle d'accès (ACE) à une unité d'organisation (OU) ou à une classe d'objets spécifique, en limitant l'autorisation exactement à ce dont le rôle a besoin.

Un technicien du service d'assistance délégué à la réinitialisation des mots de passe dans une unité d'organisation obtient ce droit uniquement dans cette portée. L'autorisation ne s'étend pas aux autres unités d'organisation, et le compte n'apparaît dans aucun groupe privilégié.

Comment élaborer un modèle de délégation AD

Un modèle de délégation définit les rôles administratifs de votre environnement, les droits détenus par chaque rôle et la structure d'OU qui délimite ces droits. Sans lui, les autorisations déléguées s'accumulent de manière informelle et deviennent impossibles à auditer.

Étape 1 : Créer des rôles

Commencez par définir deux niveaux de rôles d'administrateur : les administrateurs de service et les administrateurs de données.

1. Les administrateurs de service gèrent l'infrastructure Active Directory elle-même. Ce niveau comprend les Enterprise Admins, les Domain Admins et tout compte qui assure la réplication AD, les services de domaine ou les comptes de service utilisés par les systèmes critiques. Chaque membre de ce niveau peut affecter chaque objet du domaine, alors maintenez-le aussi restreint que l'environnement le permet.
2. Les administrateurs de données gèrent les objets au sein de l'annuaire sans toucher à l'infrastructure sous-jacente. Organisez ce niveau par périmètre :

• Niveau 1 (administrateurs régionaux) : Gérez les objets utilisateur et groupe au sein d'une région géographique ou d'une unité commerciale définie.
• Niveau 2 (administrateurs de département) : Gérez les comptes utilisateurs au sein d'un département ou d'une fonction spécifique.
• Niveau 3 (service d'assistance) : Effectuez des opérations limitées, telles que la réinitialisation des mots de passe et le déverrouillage des comptes, au sein d'une UO attribuée.

Limitez le nombre de rôles. Chaque rôle supplémentaire crée un ensemble d'autorisations qui doit être documenté, attribué et révisé. La prolifération des rôles est l'une des principales causes de l'accumulation d'accès incontrôlés dans les environnements AD matures.

Étape 2 : Attribuer les responsabilités

Pour chaque rôle, documentez quels droits s'appliquent, sur quelles classes d'objets et dans quelles OU. Mappez chaque attribution selon trois dimensions :

1. Fréquence : à quelle fréquence le rôle effectue la tâche ; cela détermine la cadence de révision et si un outillage automatisé est justifié.
2. Importance : Le fait que la tâche soit critique pour l'activité ou relève d'un travail administratif de routine influe sur les seuils d'approbation pour l'octroi initial.
3. Difficulté : selon que la tâche requiert un jugement technique ou peut être réalisée par un généraliste ; cela détermine les besoins en formation et en intégration.

Utilisez les listes de contrôle d'accès (ACL) standard d'Active Directory pour les opérations courantes et les droits étendus pour les opérations telles que la réinitialisation forcée du mot de passe ou l'application d'une stratégie de groupe. Documentez chaque attribution au moment de la délégation ; les droits non documentés sont invisibles lors des revues d'accès et des audits.

Étape 3 : Définir un modèle de sécurité des unités d'organisation

Concevez une hiérarchie d'OU qui reflète vos limites de délégation avant d'appliquer la moindre autorisation. Placez les comptes à privilèges et administratifs dans des OU distinctes des objets qu'ils gèrent : un compte Domain Admin stocké dans la même OU que les utilisateurs qu'il administre peut être ciblé par une élévation de privilèges au niveau de l'OU.

Au niveau supérieur, créez des OU qui correspondent à votre modèle administratif, qu'il soit géographique, organisationnel ou fonctionnel. Au sein de chaque OU de niveau supérieur, créez des sous-OU qui correspondent aux périmètres d'administration des données.

Pour chaque périmètre, créez un groupe de sécurité dédié et appliquez les droits délégués au groupe plutôt qu'aux comptes individuels.

Cette structure limite l'escalade basée sur l'héritage : un administrateur délégué au niveau d'une sous-OU ne peut pas affecter les objets des OU parentes ou sœurs, sauf s'il a reçu explicitement des droits à ce niveau. Examinez la structure des OU chaque fois que le modèle organisationnel change.

Comment déléguer le contrôle dans Active Directory

L'Assistant Délégation de contrôle dans Utilisateurs et ordinateurs Active Directory (ADUC) est l'outil principal pour appliquer des droits délégués. Il écrit les entrées ACL directement dans l'unité d'organisation ou le conteneur que vous sélectionnez et crée une attribution d'autorisation qui pourra être examinée ultérieurement via l'onglet Sécurité de l'unité d'organisation.

Étape 1 : Ouvrez l'Assistant Délégation de contrôle

Dans ADUC, activez les fonctionnalités avancées dans le menu Affichage si ce n'est pas déjà fait. Accédez à l'OU à laquelle vous souhaitez appliquer la délégation, cliquez dessus avec le bouton droit et sélectionnez « Déléguer le contrôle ». L'assistant applique les droits à l'OU sélectionnée et à son contenu uniquement ; les OU parentes ne sont pas affectées.

Étape 2 : Sélectionner les utilisateurs ou les groupes

Dans le volet Utilisateurs ou Groupes, ajoutez le groupe de sécurité qui représente le rôle d'administrateur recevant les droits délégués.

L'attribution basée sur les groupes vous permet d'ajouter ou de supprimer des accès en modifiant l'appartenance plutôt qu'en modifiant directement l'ACL de l'OU, ce qui rend la structure des autorisations auditable et réversible.

Les droits attribués à des comptes individuels créent des ACE qui persistent au fil des changements de rôle et des départs, sauf si quelqu'un les supprime manuellement.

Étape 3 : Choisir les tâches à déléguer

Sélectionnez « Déléguer les tâches courantes suivantes » pour les opérations standard telles que la création ou la suppression de comptes d'utilisateurs, la réinitialisation des mots de passe, la lecture des informations utilisateur ou la gestion de l'appartenance aux groupes.

Pour les droits ne figurant pas dans la liste prédéfinie, y compris les droits étendus tels que Forcer le changement de mot de passe ou Appliquer la stratégie de groupe, sélectionnez « Créer une tâche personnalisée à déléguer ».

Étape 4 : Définir la portée de la délégation

Pour les tâches personnalisées, définissez les classes d'objets auxquelles la délégation s'applique (objets utilisateur, objets ordinateur ou objets groupe) et si l'autorisation s'applique à l'OU elle-même, aux objets au sein de l'OU, ou aux deux. Restreignez la portée aussi étroitement que l'exigent les responsabilités documentées du rôle.

Étape 5 : Terminer et vérifier

Une fois l'assistant terminé, vérifiez le résultat en cliquant avec le bouton droit sur l'OU dans ADUC, en sélectionnant Propriétés, puis en ouvrant l'onglet Sécurité. Confirmez que l'ACE attendue est répertoriée avec les autorisations et la portée correctes.

Effectuez un test en vous connectant en tant que membre du groupe délégué et en tentant à la fois des opérations autorisées et exclues afin de confirmer que la délégation fonctionne exactement comme prévu.

Bonnes pratiques de délégation Active Directory

Un modèle de délégation et l'Assistant Délégation de contrôle fournissent les fondations techniques. Ces pratiques préservent la sécurité de ces fondations à mesure que l'environnement et l'organisation évoluent.

Documentez chaque délégation au moment de l'attribution

Après chaque exécution de l'Assistant Délégation de contrôle, consignez l'UO, le groupe recevant les droits, les autorisations spécifiques accordées et la justification métier dans un registre d'accès centralisé avant que cet accès ne soit utilisé.

L'Assistant ne produit aucun journal qui lui soit propre ; il applique des ACE au descripteur de sécurité de l'OU sans enregistrer l'action, l'approbateur ni la justification de l'octroi. Les ACE non documentées deviennent invisibles lors des revues d'accès et des audits, et après un changement de personnel, elles perdent leur seule source de contexte.

Un tableur, un ticket ITSM ou un système IAM dédié remplissent tous cet objectif. Ce qui compte, c'est que la documentation existe avant que l'accès ne soit utilisé et qu'elle couvre la justification métier, et pas seulement la portée technique.

Attribuez des droits délégués aux groupes de sécurité, et non aux comptes individuels

Lorsque des droits sont attribués à un compte individuel, ils persistent dans l'ACL de l'OU même après que cette personne quitte l'organisation, change de rôle ou voit son compte désactivé.

L'ACE reste rattaché au SID du compte et ne se supprime pas automatiquement lors des étapes standard de départ.

Les droits attribués à un groupe de sécurité sont révoqués en retirant le compte du groupe lors du départ, ce qui s'inscrit dans les workflows IAM standard, crée une piste d'audit claire et s'adapte à mesure que l'équipe grandit ou évolue.

Les modifications d'appartenance aux groupes génèrent des événements dans le journal de sécurité ; les modifications directes d'ACE sur les unités d'organisation nécessitent des paramètres de stratégie d'audit spécifiques pour produire des preuves équivalentes.

Appliquez le principe du moindre privilège à chaque délégation

N'accordez que les droits dont chaque rôle a besoin pour accomplir ses tâches documentées, en utilisant la portée d'OU la plus restreinte et l'ensemble d'autorisations le plus spécifique requis par le travail.

Le principe du moindre privilège appliqué à la délégation consiste à limiter les droits à la sous-UO concernée plutôt qu'à l'UO parente, et à sélectionner des droits étendus spécifiques plutôt qu'un accès en écriture étendu. Il implique également de diviser les tâches composées en délégations distinctes plutôt que d'accorder des autorisations plus larges pour couvrir plusieurs cas.

Après avoir appliqué une délégation, testez-la en vous connectant en tant que membre du groupe délégué et en confirmant que seules les opérations prévues réussissent et que les opérations exclues échouent.

Examinez les autorisations déléguées au moins une fois par trimestre

Planifiez des revues d'accès périodiques pour recenser les ACE sur les OU sensibles et confirmer que chaque entrée reflète toujours un besoin métier actuel.

Ouvrez l'onglet Sécurité sur l'OU cible (visible uniquement lorsque les fonctionnalités avancées sont activées dans ADUC) et vérifiez les entrées explicites et héritées. Supprimez toute ACE appartenant à un groupe sans membres actifs ni objectif documenté.

La détection des autorisations déléguées dans Active Directory à grande échelle nécessite PowerShell ou un outil dédié ; l'interface native ADUC affiche l'état actuel des autorisations mais n'enregistre rien sur le moment où une ACE a été créée ni sur son auteur.

Les revues trimestrielles détectent la dérive des autorisations avant qu'elle ne s'accumule dans l'arriéré d'accès non documentés qui rend les environnements difficiles à auditer.

Utilisez des comptes distincts pour les opérations privilégiées

Exigez des administrateurs qu'ils utilisent un compte d'administration dédié lorsqu'ils effectuent des tâches déléguées, distinct du compte qu'ils utilisent pour la messagerie et le travail quotidien.

Le compte standard gère l'activité courante et présente le profil de risque d'un identifiant d'utilisateur ordinaire ; le compte administrateur n'est activé que lorsqu'une opération à privilèges élevés est requise et ne doit pas avoir accès à la messagerie, à la navigation web ni à aucun poste de travail traitant du contenu non fiable.

Une stratégie de gestion des comptes à privilèges qui sépare les comptes administrateurs des identifiants d'usage quotidien est l'un des contrôles les plus efficaces contre les déplacements latéraux basés sur les identifiants.

L'isolation du périmètre des privilèges limite ce qu'un attaquant peut obtenir en compromettant un seul identifiant et rend l'activité des comptes à privilèges vérifiable indépendamment du comportement habituel des utilisateurs.

Évoluez vers un accès juste-à-temps pour les délégations à privilèges élevés

Pour les rôles les plus privilégiés, éliminez complètement l'accès délégué permanent et remplacez-le par un accès juste-à-temps qui accorde des permissions élevées uniquement pendant la durée d'une tâche approuvée et les révoque automatiquement à la fin de celle-ci.

Un accès délégué permanent signifie que chaque compte doté de ces droits est exposé en permanence au vol d'identifiants, au phishing ou aux déplacements latéraux, quelle que soit la fréquence réelle d'utilisation du compte.

L'accès juste-à-temps réduit la fenêtre pendant laquelle une identifiant compromis peut exploiter des droits délégués, diminue l'empreinte ACE que les revues trimestrielles doivent couvrir, et génère un enregistrement d'approbation et de session qui renforce les preuves d'audit pour les environnements réglementés.

Éléments à prendre en compte lors de la délégation d'autorisations spécifiques

Chaque type d'autorisation ci-dessous comporte des implications de sécurité que l'Assistant Délégation de contrôle ne met pas en évidence.

Réinitialisation du mot de passe et déverrouillage du compte

Vérifiez d'abord la limite de l'OU. Un rôle délégué pour réinitialiser les mots de passe dans une OU qui contient des comptes Domain Admin ou des comptes de service détient un chemin de réinitialisation d'identifiants vers un accès de niveau zéro ; la portée des autorisations est techniquement correcte, mais la portée de l'OU ne l'est pas. Vérifiez que l'OU ne contient que des comptes d'utilisateurs standard avant d'appliquer la délégation.

Gestion de l'appartenance aux groupes

Auditez les groupes concernés pour les membres protégés (Admins du domaine, Admins de l'entreprise, Opérateurs de compte) avant d'appliquer cette délégation.

Le processus SDProp d'Active Directory réapplique les ACE AdminSDHolder à ces comptes toutes les 60 minutes, écrasant silencieusement la délégation personnalisée.

Toute délégation appliquée à ces comptes ne tiendra pas, et la simple tentative de l'appliquer est un signal à investiguer.

Autorisations des objets de stratégie de groupe

La délégation de stratégie de groupe est divisée en trois droits (créer, modifier et lier), et le droit de liaison ne devrait pas être accordé avec les autres par défaut.

Lier une GPO applique immédiatement ses paramètres à chaque objet de l'UO cible et de ses enfants. Traitez le droit de liaison comme une attribution distincte et élevée nécessitant sa propre approbation.

Gestion des comptes d'ordinateur

Définissez ms-DS-MachineAccountQuota sur zéro avant de déléguer la gestion des comptes d'ordinateur ; sa valeur par défaut de 10 permet à tout utilisateur authentifié de joindre des ordinateurs au domaine sans aucune délégation.

Notez également que la délégation standard des comptes d'ordinateur inclut l'accès en écriture au SPN ; excluez ce droit de l'attribution à moins que le rôle ne l'exige spécifiquement, car l'accès en écriture au SPN crée une exposition au Kerberoasting.

Paramètres de délégation d'authentification Kerberos

La délégation Kerberos est un attribut distinct de la délégation de contrôle d'Active Directory ; elle n'est pas définie via l'Assistant Délégation de contrôle et est facile à négliger lors des examens de délégation.

Lors de l'audit des comptes délégués, vérifiez si certains disposent également d'une délégation Kerberos non contrainte. Si c'est le cas, traitez ce compte comme Tier 0 quelle que soit son OU, car un service compromis avec une délégation non contrainte expose chaque TGT que le contrôleur de domaine lui a transmis.

Comment Netwrix facilite la délégation Active Directory

La délégation Active Directory répartit le contrôle dans l'environnement, et chaque autorisation distribuée constitue une faille potentielle si elle n'est ni examinée ni documentée.

Les rôles accumulent des droits au fil du temps, les groupes récupèrent des membres qu'ils ne devraient pas détenir, et les ACE appliquées pour un projet spécifique restent sur les OU bien après la fin de ce projet.

Sans une visibilité continue sur les modifications des autorisations, les équipes de sécurité ne peuvent pas maintenir la posture d'accès que le modèle de délégation est censé appliquer.

La gouvernance des accès délégués nécessite de détecter les modifications d'autorisations en temps réel, d'identifier les dérives avant qu'elles ne deviennent exploitables et de produire des preuves défendables pour les revues d'accès et les audits de conformité.

Netwrix Auditor surveille les modifications des autorisations AD en temps réel et produit la piste d'audit avant-après qui soutient les revues d'accès et les preuves réglementaires.

Netwrix Access Analyzer cartographie les accès effectifs via les groupes imbriqués et l'héritage des unités d'organisation afin de révéler les droits délégués excessifs ou obsolètes avant qu'ils ne deviennent des constats d'audit.

Ensemble, ils offrent aux équipes de sécurité une visibilité continue à la fois sur les changements en cours et sur l'état des accès que ces changements produisent.

Demandez une démo pour découvrir comment Netwrix peut vous aider à gouverner la délégation Active Directory, à détecter les dérives d'autorisations et à maintenir une piste d'audit défendable.