Active Directory — présentation
Sommaire
Première fiche du cours Active Directory. De quoi s'agit-il, à quoi ça sert, et avec quels mots en parler.
1. Qu'est-ce que l'Active Directory
Active Directory (AD) est un annuaire LDAP créé par Microsoft. Il centralise l'identification et l'authentification des objets d'un système d'information : utilisateurs, ordinateurs, groupes, imprimantes, serveurs.
Un annuaire, au sens informatique, est une base de données optimisée pour la lecture : on y écrit rarement, on y lit en permanence. C'est exactement le profil d'usage d'un référentiel d'identités, consulté à chaque ouverture de session et à chaque accès à une ressource.
Son rôle dans le SI
- Gérer les accès aux ressources : applications, fichiers, imprimantes.
- Imposer une authentification avant tout accès.
- Déterminer, via les permissions, l'autorisation ou le refus.
- Appliquer des stratégies de configuration et de sécurité aux postes et aux comptes.
Un peu d'histoire
| Élément | Détail |
|---|---|
| Nom d'origine | NTDS (NT Directory Services), hérité de Windows NT |
| Apparition sous ce nom | Windows Server 2000 |
| Aujourd'hui | Toujours au cœur de la majorité des systèmes d'information d'entreprise |
| Déclinaison cloud | Microsoft Entra ID, anciennement Azure AD |
Entra ID n'est pas « l'AD dans le cloud » : c'est un service d'identité différent, sans OU, sans GPO au sens classique et sans Kerberos de la même façon. Beaucoup d'organisations font cohabiter les deux, avec une synchronisation entre l'annuaire local et le service cloud.
2. Le vocabulaire
| Terme | Définition |
|---|---|
| Annuaire | Base de données centralisée des objets du SI, optimisée pour la lecture |
| Domaine | Frontière d'administration et d'authentification. Exemple : gameon.local |
| Contrôleur de domaine (DC) | Serveur qui héberge l'annuaire et authentifie les utilisateurs |
| Objet | Toute entité de l'annuaire : utilisateur, ordinateur, groupe, imprimante |
| Classe | Type d'un objet, défini dans le schéma |
| Attribut | Propriété d'un objet : nom, e-mail, téléphone, système d'exploitation |
| Unité d'organisation (OU) | Conteneur hiérarchique qui organise l'annuaire, comme un dossier |
| Groupe | Conteneur d'utilisateurs ou d'ordinateurs, servant à attribuer des droits |
| GPO | Stratégie de groupe : ensemble de paramètres appliqués automatiquement |
| Schéma | Définition de toutes les classes et de tous les attributs possibles |
| Forêt | Ensemble de domaines partageant un schéma commun |
| NTDS.dit | Le fichier de base de données qui contient tout l'annuaire |
| SYSVOL | Partage contenant les GPO et les scripts de connexion |
Ne pas confondre les deux conteneurs :
| Unité d'organisation | Groupe | |
|---|---|---|
| Sert à | Organiser et appliquer des GPO | Attribuer des droits sur des ressources |
| Un objet peut appartenir à | Une seule OU à la fois | Plusieurs groupes |
| Analogie | Un dossier | Une étiquette |
Erreur très fréquente : vouloir appliquer une GPO à un groupe. Une GPO se lie à un site, un domaine ou une OU — jamais directement à un groupe. On peut cependant filtrer son application par groupe de sécurité, ce qui est autre chose.
3. Pourquoi un annuaire
| Intérêt | Ce qu'il apporte |
|---|---|
| Administration centralisée | Comptes, ordinateurs, permissions et stratégies se gèrent depuis un point unique |
| Authentification unifiée | Un seul compte donne accès à tout le SI : postes, serveurs, applications compatibles |
| Identification des objets | Chaque objet est unique dans l'annuaire, donc localisable et gérable |
| Référentiel central | Base commune pour l'authentification, les GPO, le déploiement de logiciels et les politiques de sécurité |
| Traçabilité | Les connexions et les accès sont journalisés au même endroit |
L'argument le plus fort en sécurité tient en une phrase : désactiver un compte coupe immédiatement tous les accès. Sans annuaire, il faudrait passer sur chaque machine et chaque application. C'est la réponse attendue sur la procédure de départ d'un salarié.
4. Groupe de travail ou domaine
| Groupe de travail | Domaine | |
|---|---|---|
| Base de comptes | SAM locale, propre à chaque machine | NTDS.dit centralisée sur les contrôleurs |
| Un utilisateur | Doit avoir un compte sur chaque ordinateur | Un seul compte pour tout le domaine |
| Ouverture de session | Locale à la machine | Unique, donne accès selon les permissions |
| Administration | Lourde dès que les postes se multiplient | Centralisée : permissions, mots de passe, GPO |
| Disponibilité | Aucune réplication | Réplication entre contrôleurs |
| Mise en place | Simple, sans compétences particulières | Demande un serveur et de la méthode |
| Adapté à | Petits réseaux domestiques ou isolés | Toute organisation structurée |
Illustration chiffrée à réutiliser : pour 50 postes et 50 utilisateurs, un groupe de travail impose de créer et maintenir jusqu'à 2 500 comptes locaux. Un domaine en demande 50. Et le jour où un mot de passe change, il change une fois.
5. Les objets de l'annuaire
| Classe | Ce qu'elle représente | Attributs typiques |
|---|---|---|
| Utilisateur | Un compte de connexion | Nom, prénom, login, mot de passe, e-mail, service |
| Ordinateur | Un poste ou un serveur joint au domaine | Nom, système d'exploitation, version |
| Groupe | Un ensemble de comptes | Nom, étendue, type, membres |
| Unité d'organisation | Un conteneur d'organisation | Nom, description, GPO liées |
| Contact | Une personne externe, sans compte de connexion | Nom, e-mail |
| Imprimante, dossier partagé | Des ressources publiées dans l'annuaire | Nom, emplacement réseau |
Chaque objet appartient à une classe, et chaque classe possède un jeu d'attributs défini dans le schéma. Le schéma est unique pour toute la forêt : c'est le dictionnaire commun qui dit ce qu'un objet peut être et ce qu'il peut porter comme informations.
6. Les consoles d'administration
Tout s'administre en graphique depuis le contrôleur de domaine, via le Gestionnaire de serveur > Outils.
| Console | Raccourci | À quoi elle sert |
|---|---|---|
| Utilisateurs et ordinateurs Active Directory (ADUC) | dsa.msc |
Créer et gérer les utilisateurs, groupes, ordinateurs et OU. C'est la console du quotidien. |
| Gestion des stratégies de groupe (GPMC) | gpmc.msc |
Créer, modifier et lier les GPO |
| Sites et services Active Directory | dssite.msc |
Topologie physique, réplication entre sites |
| Domaines et approbations | domain.msc |
Relations entre domaines, niveaux fonctionnels |
| Gestionnaire DNS | dnsmgmt.msc |
Zones et enregistrements DNS du domaine |
| Centre d'administration Active Directory | dsac.exe |
Console moderne ; contient la corbeille AD et les stratégies de mot de passe affinées |
Pour afficher les fonctions avancées dans ADUC — onglet Éditeur d'attributs, conteneurs système — il faut activer Affichage > Fonctionnalités avancées. Ce réglage n'est pas actif par défaut et beaucoup d'options semblent manquantes tant qu'on ne l'a pas coché.
À retenir
- AD = annuaire LDAP Microsoft, identification et authentification centralisées
- Un annuaire est optimisé pour la lecture, pas pour l'écriture
- Ancien nom NTDS, depuis Windows Server 2000 | cloud : Entra ID
- Groupe de travail = base SAM locale | domaine = NTDS.dit centralisée
- 50 postes × 50 utilisateurs : 2 500 comptes locaux contre 50 en domaine
- Désactiver un compte → tous les accès coupés immédiatement
- OU = organiser et appliquer des GPO | groupe = attribuer des droits
- Un objet est dans une seule OU mais peut être dans plusieurs groupes
- Une GPO se lie à un site, domaine ou OU — jamais à un groupe
- Consoles : ADUC (dsa.msc), GPMC (gpmc.msc), DNS (dnsmgmt.msc)
- ADUC : activer Affichage > Fonctionnalités avancées