SISR / Réseaux / Active Directory — architecture

Active Directory — architecture

Comment l'annuaire est stocké, répliqué et structuré. C'est la partie qui explique les décisions d'architecture et les points de sécurité.

1. Les contrôleurs de domaine

Un contrôleur de domaine est un serveur promu pour gérer un domaine Active Directory. Ses rôles :

• Authentifier les utilisateurs et les ordinateurs ;
• Identifier les objets de l'annuaire ;
• Appliquer les stratégies de groupe ;
• Stocker une copie complète de l'annuaire.

Le premier DC créé donne naissance au premier domaine, à la première forêt et au premier site. Sans contrôleur de domaine, le domaine devient inutilisable.

Le contrôleur en lecture seule (RODC)

Un RODC (Read-Only Domain Controller) héberge une copie de l'annuaire en lecture seule, avec mise en cache d'une sélection de comptes. Il se déploie sur les sites distants où la sécurité physique est faible : il permet l'authentification locale tout en limitant l'impact d'une compromission, puisqu'un attaquant n'y trouve ni l'annuaire complet ni les empreintes de tous les comptes.

2. La base NTDS.dit

Conséquence de sécurité majeure : voler une sauvegarde de NTDS.dit revient à voler l'annuaire entier, exploitable hors ligne, sans jamais toucher au réseau de production. C'est pourquoi les sauvegardes de contrôleurs de domaine se chiffrent et s'isolent, et pourquoi obtenir un accès administrateur sur un DC équivaut à la compromission complète du domaine. Sur ce constat repose toute la gestion des comptes à privilèges.

3. La réplication

• Au moins deux contrôleurs pour la disponibilité et la continuité de service.
• Chaque DC conserve une copie identique de l'annuaire, répliquée régulièrement.
• Un numéro de version par attribut permet de détecter les changements.
• Les requêtes se répartissent entre les DC, ce qui améliore les temps de réponse.

Exemple du mécanisme : l'attribut mail de l'utilisateur Florian passe de la version 4 à la version 5. Lors de la réplication, le DC récepteur compare — s'il détient la version 4, il met à jour ; s'il détient déjà la 5, il ignore. La réplication est donc différentielle : seuls les attributs modifiés circulent, pas l'annuaire entier.

La topologie de réplication se consulte dans Sites et services Active Directory (dssite.msc). Au sein d'un même site, la réplication est quasi immédiate ; entre sites distants, elle est planifiée pour ménager la bande passante.

4. SYSVOL et NETLOGON

SYSVOL est répliqué entre tous les contrôleurs par DFSR depuis Windows Server 2008, qui a remplacé l'ancien mécanisme FRS des versions 2000 et 2003. DFSR est plus fiable, plus performant et ne réplique que les blocs modifiés.

Ce que cela implique : déposer un script dans NETLOGON sur un DC le rend disponible sur tous les autres, et donc pour tous les postes du domaine, sans configuration supplémentaire.

5. Domaine, arbre et forêt

FORÊT
├── ARBRE 1 : gameon.local
│   ├── paris.gameon.local
│   └── lyon.gameon.local
└── ARBRE 2 : autremarque.local
    └── dev.autremarque.local

Le découpage en sous-domaines sert les entreprises multi-sites : il segmente la gestion et la sécurité. Les relations entre domaines s'appellent des relations d'approbation ; au sein d'une même forêt, elles sont créées automatiquement, bidirectionnelles et transitives.

Point de sécurité déterminant : la forêt, et non le domaine, est la véritable frontière de sécurité. Deux domaines d'une même forêt partagent le schéma et se font mutuellement confiance ; compromettre l'un met l'autre en danger. Pour isoler réellement deux entités — par exemple après un rachat — il faut deux forêts distinctes.

6. Schéma et partitions

Le schéma

Le schéma définit l'ensemble des classes et attributs disponibles. C'est la base commune de tout annuaire AD. Il est évolutif : certaines applications l'étendent, Exchange par exemple, en ajoutant de nouveaux attributs aux objets utilisateur.

Sa modification est réservée au groupe Administrateurs du schéma. C'est une opération irréversible et globale à la forêt : on n'y touche pas à la légère.

Les partitions

Le catalogue global est une copie partielle, en lecture seule, de tous les objets de tous les domaines de la forêt. Il ne contient que les attributs les plus consultés, ce qui permet de répondre rapidement à une recherche portant sur l'ensemble de la forêt sans interroger chaque domaine.

7. Le niveau fonctionnel

Le niveau fonctionnel définit les fonctionnalités AD disponibles dans un domaine ou une forêt. Il correspond à une version de Windows Server et garantit la compatibilité avec les contrôleurs les plus anciens.

Règle d'ordre : le niveau de forêt doit être inférieur ou égal aux niveaux de domaine. On augmente donc d'abord les domaines, puis la forêt. Le niveau de forêt est le plus critique.

Pour le consulter ou l'élever : Gestionnaire de serveur > Outils > Domaines et approbations Active Directory > clic droit sur le domaine > Augmenter le niveau fonctionnel du domaine. Pour la forêt, clic droit sur Domaines et approbations Active Directory à la racine.

L'opération est à sens unique depuis l'interface graphique : on ne peut pas redescendre. Un retour arrière n'est possible qu'en PowerShell, sous conditions strictes et sur des versions récentes. Avant d'élever un niveau, on vérifie donc qu'aucun contrôleur ancien ne devra être ajouté par la suite.