Chaque organisation poss猫de une structure bien d茅finie qui d茅finit les r么les et les responsabilit茅s des employ茅s dans les diff茅rents d茅partements tels que les ventes, le marketing et l’informatique. Afin d鈥檜tiliser efficacement les ressources de l’entreprise et rester productives, les organisations doivent 茅laborer des mesures de contr么le d’acc猫s.
L’authentification Active Directory (AD) est l’une des mesures que vous pouvez utiliser pour g茅rer les utilisateurs, les applications et les autres actifs au sein de l’entreprise. Une fois d茅ploy茅e, l’authentification Active Directory peut simplifier l’administration informatique et am茅liorer la posture de s茅curit茅 globale de l’entreprise. Apprenez-en davantage sur l’authentification AD, son fonctionnement et comment 黑料海角91入口 peut vous aider 脿 am茅liorer ses op茅rations.
Qu’est-ce que l’authentification Active Directory?
L’authentification AD est un syst猫me fonctionnant sur Windows qui authentifie et autorise les utilisateurs, les terminaux et les services 脿 Active Directory. Les 茅quipes informatiques peuvent utiliser l’authentification AD pour rationaliser la gestion des utilisateurs et des droits tout en b茅n茅ficiant d鈥檜n contr么le centralis茅 des p茅riph茅riques et des configurations des utilisateurs gr芒ce 脿 la fonction 芦 Politique de groupe 禄 d鈥橝D.
Elle offre 茅galement une fonctionnalit茅 d’authentification unique (SSO), permettant aux utilisateurs de s’authentifier une seule fois et d’acc茅der ensuite de mani猫re transparente 脿 toutes les ressources de l’entreprise dans le domaine pour lequel ils sont autoris茅s. L’authentification AD succ猫de 脿 LAN Manager (LM) et NT LAN Manager (NTLM), des protocoles qui 茅taient facilement exploitables.
Par exemple, LM utilisait un sch茅ma cryptographique fragile que les processeurs modernes pouvaient facilement craquer. Bien que NTLM – qui a succ茅d茅 脿 LM – ait apport茅 quelques am茅liorations de s茅curit茅 autour de la force de la cryptographie, il ne pouvait pas fournir les services d’authentification mutuelle et d’authentification par carte 脿 puce. En raison de ces faiblesses, Microsoft a remplac茅 les protocoles LM et NTLM par AD 脿 partir des syst猫mes d’exploitation (OS) Windows 2000 Server.
Comment fonctionne l’authentification dans Active Directory?
Active Directory est un processus qui prend en charge deux normes : Kerberos et Lightweight Directory Access Protocol (LDAP).
1. Protocole Kerberos
Dans une authentification AD bas茅e sur Kerberos, les utilisateurs ne se connectent qu’une seule fois pour avoir acc猫s aux ressources de l’entreprise. Plut么t que de transmettre les informations de connexion sur le r茅seau, comme c’est le cas avec les protocoles LM et NTLM, le syst猫me Kerberos g茅n猫re une cl茅 de session pour l’utilisateur. La cl茅 de session g茅n茅r茅e est valable pour une p茅riode d茅termin茅e, ce qui offre une certaine souplesse aux utilisateurs en mati猫re d’authentification.
Outre la cl茅 de session, le syst猫me Kerberos g茅n猫re 茅galement un jeton contenant toutes les politiques et tous les droits d’acc猫s associ茅s 脿 l’utilisateur. Cela garantit que les utilisateurs n’acc猫dent qu’aux ressources auxquelles ils sont autoris茅s.
Si un client veut se connecter au serveur AD ou au contr么leur de domaine (DC) dans ce cas, il doit s’authentifier aupr猫s d’un centre de distribution de cl茅s (KDC), qui est un tiers de confiance. Le KDC se compose de deux serveurs : le serveur d’authentification (AS) et le serveur d’octroi de tickets (TGS). Le serveur d’authentification chiffre les informations de connexion des clients en utilisant la cl茅 secr猫te de leur mot de passe. C’est ainsi que l’AS authentifie les clients sur le r茅seau.
Apr猫s avoir authentifi茅 l’utilisateur, l’AS lui envoie un ticket d’acc猫s (TGT), qui est crypt茅 avec une autre cl茅 secr猫te. Lorsque le client re莽oit le TGT, il le transmet au TGS avec une demande d’autorisation pour acc茅der 脿 la ressource cible sur le serveur. Le TGS d茅chiffre alors le TGT avec sa cl茅 secr猫te qu’il partage avec l’AS.
Ensuite, le TGS 茅met un jeton au client qu’il chiffre avec une autre cl茅. La troisi猫me cl茅 secr猫te est partag茅e entre le serveur cible et le TGS. Enfin, le client transmet le jeton re莽u au serveur cible. Lorsque le serveur cible re莽oit le jeton, il le d茅chiffre avec la cl茅 partag茅e par le TGS pour permettre au client d’acc茅der aux ressources pendant une dur茅e limit茅e (session).
2. Le protocole LDAP (Lightweight Directory Access Protocol)
LDAP est un protocole open source et multiplateforme qui fournit des services d’authentification AD. Il existe deux options associ茅es 脿 l’authentification bas茅e sur LDAP dans AD :
- Authentification simple. Dans le cadre d’une authentification simple, LDAP s’appuie sur les identifiants de connexion pour cr茅er une requ锚te au serveur. Il prend 茅galement en charge les requ锚tes anonymes et non authentifi茅es vers les ressources de l’entreprise.
- Couche de s茅curit茅 et authentification simple (SASL). L’approche SASL utilise d’autres services d’authentification tels que Kerberos pour se connecter au serveur LDAP. Les 茅quipes informatiques peuvent utiliser cette m茅thode pour renforcer la s茅curit茅 car elle s茅pare les m茅thodes d’authentification des protocoles d’application.
Authentification des p茅riph茅riques Linux via Active Directory
AD fonctionne de mani猫re transparente avec les syst猫mes et services bas茅s sur Windows. Celui-ci dominait peut-锚tre le march茅 des syst猫mes d’exploitation dans les ann茅es 1990, mais il nous est forc茅 d’admettre qu’aujourd’hui les choses ont chang茅. Linux et macOS font d茅sormais partie int茅grante de toute infrastructure informatique. Comme les entreprises continuent 脿 exploiter diff茅rents syst猫mes d’exploitation, la pression pour fournir une gestion centralis茅e des acc猫s devient r茅elle.
Il existe deux m茅thodes principales pouvant 锚tre utilis茅es pour connecter les appareils bas茅s sur Linux 脿 AD.
LDAP
Cette approche exige que les 茅quipes informatiques reconfigurent les appareils bas茅s sur Linux pour exploiter le module d’authentification enfichable (PAM) de LDAP. L’authentification AD 茅tant largement ax茅e sur le protocole Kerberos, les 茅quipes informatiques doivent g茅rer manuellement l’ensemble du processus d’authentification.
Samba
Il s’agit d’un outil d’interop茅rabilit茅 standard de Windows pour les syst猫mes Linux. Les 茅quipes informatiques peuvent utiliser Samba comme interm茅diaire pour prendre en charge l’authentification AD dans les machines Linux. Par exemple, les 茅quipes informatiques peuvent utiliser le service pour cr茅er des domaines, configurer un serveur d’impression partag茅 et configurer PAM pour permettre aux utilisateurs de s’authentifier aupr猫s des services install茅s localement.
Authentification des Macs avec Active Directory
Les 茅quipes informatiques peuvent utiliser un connecteur LDAP et AD pour configurer les Macs leur permettant d’acc茅der aux d茅tails des comptes de base dans les infrastructures AD DS (Active Directory Domain Services). Ces outils permettent aux 茅quipes informatiques d’exploiter l’authentification AD pour permettre aux utilisateurs d’acc茅der aux ressources de l’entreprise 脿 partir de leurs Macs lors du d茅ploiement. Le connecteur AD peut 茅galement fournir un SSO f茅d茅r茅 en mettant en correspondance les identit茅s AD avec les r么les de gestion des identit茅s et des acc猫s (IAM) de macOS.
Par exemple, le connecteur AD peut g茅n茅rer tous les attributs n茅cessaires pour authentifier les appareils macOS aupr猫s de l’infrastructure AD. Toutefois, les machines 茅quip茅es de macOS 10.12 ou d’une version ult茅rieure ne peuvent rejoindre un domaine AD sans services de domaine Windows Server 2008 ou plus r茅cents. Pour utiliser AD sur de tels appareils, les 茅quipes informatiques doivent activer une cryptographie faible, ce qui met en p茅ril la s茅curit茅 de l’organisation.
Les limites de l’authentification Active Directory
Dans les ann茅es 1990 et au d茅but des ann茅es 2000, la plupart des outils et des syst猫mes de gestion des p茅riph茅riques 茅taient essentiellement bas茅s sur des syst猫mes d’exploitation Windows sur site, et l’authentification AD fonctionnait bien dans ces environnements informatiques. Cependant, le paysage actuel des syst猫mes d’exploitation est de plus en plus h茅t茅rog猫ne, avec l’apparition de plateformes Linux et macOS ainsi que d’infrastructures cloud.
Par cons茅quent, fournir des contr么les et une gestion des acc猫s dans un environnement informatique h茅t茅rog猫ne est devenu un v茅ritable casse-t锚te pour les 茅quipes informatiques des entreprises. Si l’authentification AD traditionnelle permet de g茅rer l’IAM, elle est loin d’锚tre efficace. Dans la plupart des cas, les 茅quipes informatiques sont contraintes d’utiliser LDAP pour authentifier les p茅riph茅riques Linux et macOS aupr猫s d’AD, for莽ant ainsi l’int茅gration et la gestion d’une couche de s茅curit茅 suppl茅mentaire.
Essentiellement, les organisations se retrouvent avec de multiples 芦 mini-annuaires 禄 offrant des services d’authentification et d’autorisation plut么t qu’avec une seule plateforme d’annuaire centralis茅e. Outre les syst猫mes d’exploitation h茅t茅rog猫nes, le taux d’adoption des applications SaaS (Software-as-a-Service) et d’autres services clouds est mont茅 en fl猫che ces derni猫res ann茅es.
Cette adoption s’accompagne de son propre lot de d茅fis dans le paysage IAM. Par exemple, la plupart des applications SaaS ont tendance 脿 锚tre cloisonn茅es, ce qui complique leur gestion du point de vue des autorisations. De plus, l’int茅gration des utilisateurs dans un environnement SaaS est longue et fastidieuse car elle implique des utilisateurs provenant de plusieurs d茅partements diff茅rents.
Exploitez 黑料海角91入口 Directory pour 茅tendre l’authentification Active Directory dans des environnements informatiques h茅t茅rog猫nes
黑料海角91入口 est une plateforme d’annuaire cloud compl猫te que les entreprises peuvent exploiter pour pallier les insuffisances de l’authentification AD dans les environnements informatiques h茅t茅rog猫nes. Vous pouvez utiliser la plateforme d’annuaire 黑料海角91入口 pour 茅tendre l’authentification AD 脿 pratiquement toutes les ressources informatiques de l’entreprise. Vous pouvez 茅galement utiliser 黑料海角91入口 pour 茅tendre AD au cloud ou 茅liminer compl猫tement les DC sur site.
