SISR / Réseaux / Active Directory — groupes et permissions

Active Directory — groupes et permissions

Les groupes sont l'outil central de l'attribution des droits. Bien les utiliser, c'est la différence entre un annuaire administrable et un annuaire ingérable au bout de six mois.

1. Pourquoi passer par des groupes

Règle absolue : on n'attribue jamais un droit directement à un utilisateur. On l'attribue à un groupe, et on met l'utilisateur dans le groupe.

Le principe sous-jacent est le RBAC (Role-Based Access Control) : les droits découlent du rôle dans l'organisation, pas de l'identité de la personne.

2. L'étendue d'un groupe

L'étendue détermine jusqu'où un groupe est utilisable et ce qu'il peut contenir.

Dans une organisation à un seul domaine — le cas de la quasi-totalité des PME et de tous les TP — on n'utilise que des groupes globaux. Les groupes de domaine local ne servent qu'à gérer des comptes venus d'un autre domaine approuvé : sans second domaine, ils n'apportent rien et ajoutent un niveau d'indirection inutile. Les groupes universels, eux, sont répliqués dans le catalogue global de toute la forêt : les multiplier alourdit la réplication pour rien.

La règle pratique tient donc en une ligne : un domaine → des groupes globaux, point.

3. Le type d'un groupe

Dans 99 % des cas, on crée un groupe de sécurité. Un groupe de distribution n'ayant pas de SID, il est tout simplement invisible dans les permissions NTFS : c'est une cause de « ça ne marche pas » difficile à diagnostiquer, parce que rien n'indique l'erreur.

4. Créer un groupe global

1. Gestionnaire de serveur > Outils > Utilisateurs et ordinateurs Active Directory.
2. Clic droit sur l'OU Groupes > Nouveau > Groupe.
3. Nom du groupe : GG_Comptabilite.
4. Étendue du groupe : Globale.
5. Type de groupe : Sécurité.
6. OK.

Puis clic droit sur le groupe > Propriétés > onglet Général pour renseigner la description : à quoi sert ce groupe, qui doit y être. Un groupe sans description devient incompréhensible en quelques mois, y compris pour celui qui l'a créé.

Une convention de nommage

Peu importe la convention retenue, ce qui compte c'est qu'elle soit écrite et respectée. Un nom de groupe doit permettre de deviner sa fonction sans ouvrir ses propriétés.

5. Ajouter des membres

Deux chemins mènent au même résultat.

Depuis le groupe

1. Clic droit sur le groupe > Propriétés > onglet Membres > Ajouter.
2. Saisir le nom de l'utilisateur, cliquer sur Vérifier les noms.
3. OK puis Appliquer.

Depuis l'utilisateur

1. Clic droit sur l'utilisateur > Propriétés > onglet Membre de > Ajouter.
2. Saisir le nom du groupe, Vérifier les noms, OK.

Pour ajouter plusieurs utilisateurs d'un coup : les sélectionner ensemble dans ADUC avec Ctrl, puis clic droit > Ajouter à un groupe.

L'imbrication

Un groupe global peut contenir un autre groupe global du même domaine. C'est utile pour les regroupements hiérarchiques :

GG_Tous_Salaries
├── GG_Comptabilite
├── GG_RH
├── GG_Direction
└── GG_Informatique

On donne alors l'accès au dossier commun à GG_Tous_Salaries, et chaque service en hérite automatiquement. Un nouveau service créé plus tard n'a qu'à être ajouté à ce groupe parent.

Ne pas dépasser deux niveaux d'imbrication. Au-delà, plus personne ne sait pourquoi un utilisateur a un accès, et le diagnostic devient impossible. Pour vérifier les appartenances effectives d'un compte, y compris héritées : Propriétés > Membre de ne montre que les appartenances directes — utiliser whoami /groups sur la session de l'utilisateur pour voir la réalité.

6. Les groupes par défaut

Distinction à ne pas manquer : Tout le monde inclut tous les comptes, y compris anonymes selon la configuration, alors qu'Utilisateurs authentifiés ne contient que les comptes réellement authentifiés — utilisateurs et ordinateurs. Sur un partage, on utilise Utilisateurs authentifiés, jamais Tout le monde.

Les trois groupes les plus sensibles de l'annuaire :

Leur composition doit être minimale, revue régulièrement, et toute modification doit déclencher une alerte. Voir la fiche Sécurisation et audit.

7. La méthode à appliquer

Dans un domaine unique, la chaîne est simple et se retient en trois maillons :

UTILISATEURS  →  GROUPE GLOBAL  →  PERMISSIONS sur la ressource

  Alice                             Modifier
  Bob      →   GG_Comptabilite  →   sur D:\Partages\Comptabilite
  Chloé

1. Créer un groupe global par service ou par fonction.
2. Y placer les utilisateurs concernés.
3. Poser les permissions NTFS sur le dossier en désignant ce groupe global.

Quand un service a besoin de deux niveaux d'accès sur la même ressource — lecture pour les uns, modification pour les autres — on crée deux groupes globaux distincts :

Mise en œuvre détaillée sur les dossiers partagés : voir la fiche Partages et mappage de lecteurs.