Voici l’ultime FAQ sur Microsoft Active Directory, con莽ue pour r茅pondre 脿 toutes les questions les plus fr茅quentes concernant le traditionnel service d’annuaire sur site. Nous allons explorer de fond en comble l’univers de Microsoft Active Directory – autrement connu sous le nom d’AD ou MAD.
AD est 脿 la fois tr猫s utilis茅 et tr猫s mal compris. D茅velopp茅 par Microsoft 脿 la fin des ann茅es 1990 et souvent appel茅 fournisseur d’identit茅 (IdP), AD est le service d’annuaire sur site le plus connu au monde. Il a inaugur茅 l’猫re de la gestion moderne des identit茅s au d茅but des ann茅es 2000, mais avec l’茅volution rapide du paysage informatique, les administrateurs informatiques et les organisations questionnent maintenant son fonctionnement, sa raison d’锚tre et son importance.
Nous avons identifi茅 certaines des questions les plus courantes sur Active Directory et y avons r茅pondu ci-dessous.
D茅barrassez-vous de votre contr么leur de domaine
D茅couvrez pourquoi et comment une approche de l'informatique sans domaine peut vous aider 脿 moderniser votre environnement.
Principes de base d’Active Directory
Qu’est-ce qu’Active Directory ?
Active Directory est un service d’annuaire / fournisseur d’identit茅 qui permet aux administrateurs de connecter les utilisateurs aux ressources informatiques bas茅es sur Windows. En outre, gr芒ce 脿 AD, les services informatiques peuvent g茅rer et s茅curiser leurs syst猫mes et applications bas茅s sur Windows. Il stocke des informations sur les composantes du r茅seau (par exemple, les utilisateurs, les groupes, les syst猫mes, les r茅seaux, les applications, les actifs num茅riques, etc.) et sur leurs interrelations.
Les administrateurs peuvent utiliser AD pour cr茅er des utilisateurs et leur accorder l’acc猫s aux ordinateurs portables, aux serveurs et aux applications Windows. Ils peuvent 茅galement utiliser AD pour contr么ler simultan茅ment des groupes de syst猫mes, en appliquant les param猫tres de s茅curit茅 et les mises 脿 jour logicielles.
L’acc猫s et les contr么les sont effectu茅s 脿 l’aide du concept de domaine. Le concept de domaine est essentiellement un concept d’inclusion et d’exclusion. Traditionnellement, cette approche 茅tait utilis茅e pour les sites physiques. De nombreuses ressources informatiques 茅taient h茅berg茅es sur site et faisaient donc partie du domaine – c’est-脿-dire du r茅seau interne – et lorsqu’un utilisateur se trouvait sur le site physique, il avait acc猫s 脿 toutes les ressources requises sur site. Si un utilisateur se trouvait hors site, il devait utiliser un VPN afin de simuler une connexion sur site. Cette approche fonctionnait bien lorsque les ressources informatiques et les personnes se trouvaient dans la m锚me proximit茅 physique.
AD fait partie du vaste espace de la gestion des identit茅s et des acc猫s (IAM) et est souvent compl茅t茅 par des solutions d’authentification unique (SSO) ou de MDM (gestion des appareils mobiles), parmi tant d’autres. 黑料海角91入口 Directory Platform est une de ses alternatives bas茅es sur le cloud.
Quand Active Directory a-t-il 茅t茅 lanc茅 ?
Microsoft a pr茅sent茅 Active Directory au monde entier pour la premi猫re fois en 1999 et l’a commercialis茅 en m锚me temps que Windows庐 2000 Server edition.
Quels sont les protocoles utilis茅s par AD ?
Active Directory tire profit des protocoles de r茅seau pour DNS/DHCP et le Lightweight Directory Access Protocol (LDAP), ainsi que de la version Microsoft de Kerberos pour l’authentification.
Nombreux sont ceux qui se demandent pourquoi AD ne prend-il pas en charge davantage de protocoles, tels que SAML et RADIUS. Sans sp茅culer sur leur raisonnement, nous sommes convaincus que l’avenir de l’IAM est constitu茅 d’une approche multiprotocole. La prise en charge de protocoles tels que SAML et RADIUS peut 锚tre r茅alis茅e par le biais de solutions compl茅mentaires de Microsoft et de solutions tierces.
Pourquoi l’Active Directory est-il appel茅 芦 active 禄 ?
Nous pensons qu’AD est appel茅 Active Directory parce qu’il met activement 脿 jour les informations stock茅es dans l’annuaire. Par exemple, lorsqu’un administrateur ajoute ou retire un utilisateur de l’organisation, Active Directory transmet automatiquement cette modification 脿 tous les serveurs d’annuaire. Cela se produit 脿 intervalles r茅guliers, de sorte que les informations restent toujours 脿 jour et synchronis茅es.
Aujourd’hui, ce type de comportement 芦 actif 禄 est esp茅rer de n’importe quel syst猫me informatique. Mais, avant l’猫re des services d’annuaire informatis茅s, le concept d’un annuaire qui se maintient 脿 jour 茅tait plut么t novateur. N’oubliez pas qu’脿 l’茅poque o霉 l’appellation “Active Directory” a 茅t茅 invent茅e, les encyclop茅dies physiques 茅taient encore couramment utilis茅es et le Wikipedia 芦 actif 禄 n’avait pas encore 茅t茅 lanc茅.
Qui utilise Active Directory ?
En g茅n茅ral, lorsqu’une organisation utilise Active Directory, chaque employ茅 s’en sert tous les jours sans m锚me le savoir. Les gens utilisent Active Directory lorsqu’ils se connectent 脿 leurs machines de travail et lorsqu’ils acc猫dent aux applications, aux imprimantes et aux partages de fichiers.
Mais les principaux utilisateurs d’Active Directory sont les administrateurs. Ces personnes exploitent, g猫rent et configurent AD. Les administrateurs AD comprennent probablement toute l’茅quipe informatique et peuvent 茅galement inclure des membres de l’茅quipe de s茅curit茅, de DevOps ou d’ing茅nierie.
Pratiquement toutes les organisations du monde utilisent une solution telle qu’Active Directory ou un autre fournisseur d’identit茅. 脌 l’茅poque moderne dans laquelle nous vivons, permettre et contr么ler l’acc猫s aux ressources informatiques est l’un des aspects les plus importants du fonctionnement d’une organisation. Les solutions telles que les services d’annuaire permettent d’am茅liorer leur productivit茅.
Pourquoi Active Directory est-il important ?
Que les gens s’en rendent compte ou non, Active Directory fait tourner le monde des affaires depuis le d茅but du si猫cle. AD est en place dans presque toutes les grandes organisations et dans les petites 茅galement. C’est un outil si fondamental (qui ronronne toujours tranquillement en arri猫re-plan) que de nombreuses personnes qui utilisent AD tous les jours ne r茅alisent m锚me pas ce que c’est 鈥� encore moins qu’il est la cl茅 de leur acc猫s s茅curis茅 脿 leur ordinateur portable, aux applications, au r茅seau et m锚me aux fichiers. En bref, un service d’annuaire est ce qui relie les utilisateurs 脿 leurs ressources informatiques, et AD fait cela pour les utilisateurs 脿 leurs ressources Windows depuis pr猫s de deux d茅cennies.
Vous cherchez plus de r茅ponses plus 脿 vos questions ? Nous avons un blog complet qui explique en profondeur pourquoi AD est si important.
D茅finitions d’Active Directory
Que sont les objets d’Active Directory ?
Un objet est le terme g茅n茅rique pour toute unit茅 d’information stock茅e dans la base de donn茅es d’Active Directory. Les objets peuvent inclure des utilisateurs, des ordinateurs portables, des serveurs, et m锚me des groupes d’autres objets (expliqu茅s ci-dessous).
Que sont les groupes Active Directory ?
AD permet aux administrateurs de g茅rer des ensembles d’objets multiples ; ces ensembles sont connus sous le nom de groupes. Gr芒ce aux GPO (objets de strat茅gie de groupe), un administrateur peut apporter une modification 脿 un groupe et faire en sorte que cette modification s’applique 脿 tous les objets de ce groupe. Ils sont souvent utilis茅s pour segmenter les utilisateurs ou les syst猫mes par d茅partement ou autorisation.
En r茅sum茅, la gestion par groupe rend l’administration informatique plus efficace.
Que sont les for锚ts, les arbres et les domaines dans Active Directory ?
Une for锚t est la partie la plus large de la structure logique d’Active Directory, qui comprend 茅galement des objets, des arbres, des domaines et des unit茅s d’organisation (OU). Une for锚t d茅crit un ensemble d’arbres, lesquels d茅signent un ensemble de domaines. Alors, que sont les arbres et les domaines ?
Un domaine est un ensemble d’utilisateurs, d’ordinateurs et de p茅riph茅riques qui font partie de la m锚me base de donn茅es Active Directory. Si une organisation poss猫de plusieurs sites, elle peut avoir un domaine distinct pour chacun d’eux. Par exemple, une organisation internationale pourrait avoir un domaine pour son bureau de Londres, un autre pour son bureau de New York et un troisi猫me pour son bureau de Tokyo.
Un arbre pourrait 锚tre utilis茅 pour regrouper ces trois domaines en tant que branches appartenant au m锚me arbre, pour ainsi dire. Une organisation qui poss猫de plusieurs arbres pourrait alors les regrouper en une for锚t.
Il s’agit d’un concept fondamental d’Active Directory et il peut s’av茅rer compliqu茅. Si vous avez des questions, 茅crivez-nous et nous serons heureux de vous aider 脿 d茅terminer le type de structure AD qui convient 脿 votre organisation.
Qu’est-ce qu’un contr么leur de domaine ?
Un contr么leur de domaine est tout serveur qui ex茅cute les services de domaine Active Directory. Au moins un contr么leur de domaine est n茅cessaire pour utiliser Active Directory, mais la plupart des organisations en ont au moins deux par site. Les grandes organisations multinationales peuvent avoir besoin de dizaines de contr么leurs de domaine sur chacun de leurs sites physiques afin d’assurer la haute disponibilit茅 de leur instance AD. En g茅n茅ral, on pense que les contr么leurs de domaine sont li茅s 脿 un bureau physique, ce qui, dans l’environnement actuel de t茅l茅travail, peut 锚tre un d茅fi.
Les utilisateurs individuels et leurs syst猫mes sont connect茅s au contr么leur de domaine par le r茅seau. Lorsque les utilisateurs demandent l’acc猫s 脿 des objets de la base de donn茅es Active Directory, AD traite cette demande et autorise ou emp锚che l’acc猫s 脿 l’objet en question.
Une fois dans le domaine, un utilisateur n’a pas besoin de saisir un autre nom d’utilisateur et un autre mot de passe pour acc茅der aux ressources li茅es au domaine auxquelles il a droit. L’authentification et l’acc猫s se font de mani猫re transparente. C’est la beaut茅 du domaine. Mais ce concept commence 脿 s’effondrer lorsque des ressources non Windows sont introduites. Il pose 茅galement probl猫me si les utilisateurs sont distants et ne sont pas physiquement rattach茅s au domaine. Dans ce cas, l’utilisateur final doit se connecter au r茅seau par VPN et 锚tre authentifi茅 par le contr么leur de domaine afin d’acc茅der 脿 ses ressources Windows sur site.
Notez que Microsoft a 茅galement 茅tendu le concept de domaine 脿 Azure. Les organisations peuvent cr茅er un domaine distinct sur Azure via Azure AD DS. Ce domaine est s茅par茅 et distinct des domaines sur site, bien que les deux puissent 锚tre reli茅s par une vari茅t茅 de technologies de connexion, notamment Azure AD Connect et Azure AD.
Il convient 茅galement de noter qu’il existe un nouveau concept appel茅 Domainless Enterprise (entreprise sans domaine), qui consiste 脿 茅liminer le concept de domaine, tout en conservant l’id茅e d’un acc猫s s茅curis茅 et sans friction aux ressources informatiques, o霉 qu’elles se trouvent. Ce concept est particuli猫rement utile pour les organisations qui exploitent des applications Web, une infrastructure en cloud et des plateformes non Windows (macOS, Linux).
Qu’est-ce que les services de domaine Active Directory (AD DS) ?
AD DS configure essentiellement la base de donn茅es d’objets qui sert de fondement 脿 la gestion d’AD. AD DS n’est pas le seul r么le de serveur associ茅 脿 Active Directory, mais on pourrait dire que c’est le r么le de serveur qui correspond le plus directement 脿 la fonctionnalit茅 de base que les gens associent 脿 AD.
Comment fonctionne Active Directory ?
Lorsque les services de domaine Active Directory sont install茅s sur un serveur, celui-ci devient un contr么leur de domaine. Ce serveur stocke la base de donn茅es Active Directory, qui contient une hi茅rarchie d’objets et leur relation les uns avec les autres.
Active Directory est g茅r茅 par un administrateur au moyen d’une interface graphique client lourd qui ressemble au gestionnaire de fichiers de Windows (photo ci-dessus). Cette application fonctionne sur un serveur Windows et n’est pas une application moderne bas茅e sur un navigateur. Les administrateurs peuvent pointer, cliquer et faire glisser des objets dans AD et ajuster leurs param猫tres en cliquant sur le bouton droit de la souris et en acc茅dant au menu d茅roulant.
AD peut 茅galement 锚tre contr么l茅 par la ligne de commande et par des outils qui exploitent PowerShell, le langage de Microsoft pour l’automatisation et les t芒ches API.
Qu’est-ce qu’Azure庐 Active Directory ?
La plus grande id茅e pr茅con莽ue concernant Azure AD est qu’il s’agit d’une version autonome d’Active Directory dans le cloud. Mais la v茅rit茅 est qu’Azure AD n’a pas du tout 茅t茅 con莽u 脿 cet effet. Au contraire, Azure AD a 茅t茅 cr茅茅 dans le but d’茅tendre l’instance Active Directory existante au cloud, pas de le remplacer.
Pour mieux comprendre la relation entre AD et AAD, le diagramme de l’architecture de r茅f茅rence de Microsoft peut s’av茅rer utile.
Le concept peut repr茅senter beaucoup de travail avec de nombreuses pi猫ces mobiles : synchronisez votre AD sur site avec Azure AD Connect et vous pouvez connecter votre base de donn茅es existante d’identit茅s et de groupes d’utilisateurs aux ressources en cloud d’Azure. Bien entendu, vous avez besoin d’Azure AD et, si vous souhaitez cr茅er un domaine dans Azure, vous aurez 茅galement besoin du produit Azure AD DS.
Azure AD peut r茅aliser beaucoup de t芒ches qu’Active Directory est incapable d’accomplir par lui-m锚me (par exemple, il dispose d’un composant int茅gr茅 d’authentification unique pour les applications Web) – et la plateforme Azure de Microsoft couvre une fonctionnalit茅 si large que vous pouvez la consid茅rer comme le concurrent Microsoft d’Amazon Web Services. Mais cela ne signifie pas qu’Azure AD peut faire tout ce qu’Active Directory sur site peut faire.
Qu’est-ce qu’Azure AD Connect ?
Azure AD Connect est un outil utilis茅 pour f茅d茅rer les identit茅s Active Directory sur site vers des ressources h茅berg茅es au sein de la plateforme Azure, tout ceci, par le biais d’Azure Active Directory. Ces ressources peuvent inclure des syst猫mes, des serveurs et des applications Office 365鈩� et Azure.
AD : ce qu’il est et ce qu’il n’est pas
Active Directory est-il un syst猫me d’authentification unique (SSO) ?
On pourrait dire d’Active Directory qu’il 茅tait le SSO avant m锚me que le SSO n’existe. Nous entendons par l脿 qu’il peut offrir une exp茅rience d’authentification unique aux utilisateurs en centralisant l’acc猫s 脿 toutes les ressources Windows au sein de la base de donn茅es. Ces ressources sont toutes pr茅sentes sur site ou du moins connect茅es au domaine.
Cela dit, ce que l’industrie consid猫re conventionnellement comme le SSO (authentification unique pour applications Web) est tr猫s diff茅rent d’AD. En fait, le SSO conventionnel est n茅 de l’incapacit茅 d’AD 脿 authentifier les utilisateurs dans les applications Web au milieu des ann茅es 2000. Aujourd’hui, de nombreuses organisations compl猫tent encore leur Active Directory par un outil de SSO pour applications Web bas茅 sur un navigateur.
Cependant, de nouvelles exigences commerciales ont amen茅 le concept de SSO 脿 s’茅tendre d茅sormais aux appareils, aux r茅seaux, aux serveurs de fichiers, et plus encore, de sorte que le concept moderne de SSO va au-del脿 du simple acc猫s aux ressources Windows ou m锚me aux applications Web. Le concept de True SSO est encore plus 茅tendu et tr猫s pertinent pour les organisations modernes o霉 les utilisateurs et leurs ressources informatiques peuvent se trouver partout dans le monde.
Active Directory est-il un logiciel ?
Oui, Active Directory est un logiciel d茅velopp茅 par Microsoft qui est install茅, maintenu et mis 脿 jour sur du mat茅riel serveur bas茅 sur Windows. Le logiciel AD est conc茅d茅 sous licence par le biais d’un concept appel茅 CAL (licences d’acc猫s client), entre autres m茅canismes. L’octroi de licences pour le logiciel AD peut 锚tre assez complexe, il est donc pr茅f茅rable de discuter avec un revendeur Microsoft.
En outre, le logiciel et le mat茅riel AD ne constituent pas une solution compl猫te. Vous devrez vous procurer d’autres composants pour faire fonctionner AD, notamment des solutions de s茅curit茅, de haute disponibilit茅, de sauvegarde, de VPN, etc.
Active Directory est-il un serveur ?
Pas exactement. Cela dit, Active Directory a besoin d’un serveur Windows pour fonctionner. Un serveur ex茅cutant le logiciel Active Directory Domain Services est appel茅 contr么leur de domaine, qu’il s’agisse d’un mat茅riel physique situ茅 sur place ou d’un serveur virtuel.
Active Directory est-il une base de donn茅es ?
Il serait plus exact de dire qu’Active Directory 芦 contient 禄 une base de donn茅es. La base de donn茅es Active Directory est le magasin de tous les utilisateurs, groupes, syst猫mes, imprimantes et politiques du r茅seau. Ces 茅l茅ments sont connus sous le nom d’objets et peuvent 锚tre manipul茅s par les administrateurs qui utilisent Active Directory.
Active Directory est-il open source ?
Non. Active Directory a 茅t茅 d茅velopp茅 de mani猫re priv茅e par Microsoft et son code n’a pas 茅t茅 mis 脿 la disposition du public comme un outil open source. La principale alternative open source 脿 Active Directory est OpenLDAP (les autres incluent FreeIPA, Samba, 389 Directory, et d’autres). Vous pouvez en savoir plus sur la diff茅rence entre OpenLDAP et AD.
Active Directory est-il LDAP ?
Active Directory n’est pas LDAP, mais il utilise LDAP. AD est un service d’annuaire capable de communiquer via le protocole LDAP et de g茅rer l’acc猫s aux ressources bas茅es sur LDAP. Le protocole principal d’AD est une version Microsoft de Kerberos.
Fonctionnalit茅 d’Active Directory
De quoi avez-vous besoin pour faire fonctionner Active Directory ?
En g茅n茅ral, pour faire fonctionner AD, vous avez besoin d’un serveur, d’une sauvegarde, d’un espace dans un centre de donn茅es et de VPN. Il ne s’agit l脿 que des 茅l茅ments de base, mais pour la plupart des organisations, vous devez 茅galement prendre en compte la s茅curit茅, l’茅quilibrage des charges / la haute disponibilit茅, la sauvegarde des donn茅es, etc. Vous aurez 茅galement besoin d’un administrateur informatique suffisamment comp茅tent sur le plan technique pour installer, g茅rer et maintenir AD.
Cela dit, les exigences mat茅rielles et logicielles n茅cessaires au fonctionnement d’Active Directory sont propres 脿 chaque organisation. Voici quelques aspects dont vous devez tenir compte pour d茅terminer ce dont vous aurez besoin pour faire fonctionner AD :
- le nombre d’utilisateurs
- le nombre de syst猫mes
- le niveau de m茅moire vive requis
- les besoins en bande passante du r茅seau
- la capacit茅 de stockage des fichiers et les exigences de performance
- la puissance de traitement
Une 茅valuation pr茅cise de votre environnement informatique est cruciale pour une utilisation efficace d’Active Directory, et prendre des raccourcis pourrait entra卯ner des probl猫mes de performance 脿 terme. Pour plus d’informations, vous pouvez consulter . Vous voudrez 茅galement parler aux revendeurs Microsoft des licences, car elles peuvent 锚tre complexes. Ces exigences en mati猫re de licence peuvent inclure le logiciel du serveur, les licences d’acc猫s client, etc.
Bien entendu, si vous disposez de syst猫mes, d’applications, de serveurs de fichiers et d’une infrastructure r茅seau non Windows, vous devrez 茅galement acheter des modules compl茅mentaires tels que le SSO pour les applications Web, l’authentification multifactorielle, la gestion des acc猫s privil茅gi茅s, la gouvernance et l’audit, etc.
Quelles sont les limites d’Active Directory ?
Oui, il existe des limites avec Active Directory. Qu’il s’agisse du nombre maximum d’objets ou de GPO appliqu茅es, Active Directory a ses restrictions. En voici quelques-unes :
- Un contr么leur de domaine peut cr茅er 芦 un peu moins 禄 de 2,15 milliards d’objets au cours de sa vie.
- Les utilisateurs, groupes et comptes d’ordinateur (principaux de s茅curit茅) peuvent 锚tre membres d’un maximum d’environ 1 015 groupes.
- Vous pouvez appliquer une limite de 999 objets de strat茅gie de groupe (GPO) 脿 un compte d’utilisateur ou 脿 un compte d’ordinateur.
- Vous devez 茅viter d’effectuer plus de 5 000 op茅rations par transaction LDAP lorsque vous 茅crivez des scripts ou des applications pour une transaction LDAP.
Vous pouvez en savoir plus sur les limites d’Active Directory . D’un point de vue pratique, il existe des limitations dues 脿 la capacit茅 du mat茅riel serveur, 脿 la bande passante, 脿 la latence des performances, etc. Les administrateurs informatiques devront comprendre l’ensemble de leur infrastructure pour comprendre comment leurs utilisateurs sont affect茅s par ces types de limitations.
Pourquoi sauvegarder Active Directory ?
Prenez un moment pour r茅fl茅chir 脿 tous les efforts que vous avez d茅ploy茅s pour cr茅er un environnement informatique s没r et transparent. Vous avez r茅ussi 脿 fournir aux utilisateurs un acc猫s optimal 脿 toutes les ressources informatiques dont ils ont besoin pour travailler. Vous avez mis en place tous les bons GPO. Votre structure logique est impeccable.
Sans sauvegarde, vous courez le risque de devoir tout recommencer.
Non seulement tout remettre en place est une corv茅e, mais le reste de l’entreprise sera consid茅rablement retard茅 dans sa reprise de travail. Les employ茅s ne pourront pas acc茅der 脿 leurs ressources informatiques tant que vous n’aurez pas reconstruit votre configuration Active Directory. Par cons茅quent, une strat茅gie de sauvegarde de votre instance Active Directory peut vous faire gagner beaucoup de temps et d’茅nergie en cas de panne ou de catastrophe. Pour obtenir des conseils sur les 茅l茅ments 脿 prendre en compte dans votre plan de reprise apr猫s sinistre, pensez 脿 lire ce .
Bien s没r, la sauvegarde d’AD n’est qu’un des sc茅narios de catastrophe que vous devrez prendre en compte. Les connexions Internet peuvent 锚tre coup茅es, le mat茅riel peut tomber en panne, des erreurs humaines peuvent survenir, etc. Tous ces 茅l茅ments doivent 茅galement 锚tre pris en compte. Comme le savent les administrateurs informatiques, les services d’authentification doivent fonctionner 脿 100%, 24h/24.
Quand doit-on remplacer Windows Server ?
D’ordre g茅n茅ral, la dur茅e de vie estim茅e d’un serveur est d’environ cinq ans. Apr猫s cela, vous 锚tes en sursis. Si vous utilisez encore Windows Server 2003 ou Windows Server 2008, vous devez absolument penser 脿 acqu茅rir un nouveau contr么leur de domaine. L’EOL de Windows Server 2003 a eu lieu en juillet 2015 et l’EOL de Windows Server 2008 a eu lieu le 14 janvier 2020.
Existe-t-il de bonnes pratiques de s茅curit茅 pour Active Directory ?
Oui. Lors de la mise en place d’une infrastructure Active Directory, il existe certaines bonnes pratiques qui peuvent vous aider 脿 maintenir une s茅curit茅 forte et 脿 茅viter les probl猫mes de configuration. Voici quelques recommandations :
- Modifiez les param猫tres de s茅curit茅 par d茅faut : Les attaquants ont une bonne connaissance des param猫tres de s茅curit茅 par d茅faut dans AD, il est donc pr茅f茅rable de les modifier ().
- Utilisez les principes du moindre privil猫ge dans les r么les et groupes AD : En donnant aux employ茅s le minimum d’acc猫s dont ils ont besoin pour faire leur travail, vous r茅duisez la surface d’attaque des intrus ().
- Contr么lez les privil猫ges d’administration et limitez les comptes du groupe Admin du domaine : Comme au point pr茅c茅dent, vous voulez minimiser le nombre de personnes ayant un acc猫s de superutilisateur ().
- N’utilisez pas un contr么leur de domaine comme s’il s’agissait d’un ordinateur : En d’autres termes, n’installez pas de logiciels ou d’applications sur un contr么leur de domaine. Il est pr茅f茅rable qu’un contr么leur de domaine soit un serveur d茅di茅 uniquement 脿 cette fonction. En g茅n茅ral, les administrateurs suivent le concept d’un seul serveur, d’une seule fonction ().
- Appliquez r茅guli猫rement des correctifs 脿 AD : Les attaquants peuvent aussi facilement exploiter des applications, des syst猫mes d’exploitation et des microprogrammes non corrig茅s sur les serveurs AD. 脡vitez de leur donner ce point d’appui en appliquant r茅guli猫rement des correctifs ().
- Surveiller et auditer la sant茅 d’AD : Cela vous permettra de r茅soudre plus rapidement les pannes et autres probl猫mes ().
- D茅finissez une convention d’appellation d猫s le d茅but : Cela vous permettra de garder AD organis茅 au fur et 脿 mesure que vous 茅voluez ().
- Nettoyez AD r茅guli猫rement : Supprimez assid没ment les utilisateurs, ordinateurs et comptes de groupes obsol猫tes. Cela contribuera 脿 maintenir la s茅curit茅 et l’organisation ().
- Assurez-vous que l’heure de votre domaine soit correcte : Avoir la bonne heure sur tous les contr么leurs de domaine, les serveurs membres et les machines est important pour l’authentification Kerberos et pour s’assurer que les changements sont distribu茅s correctement ().
Comment s茅curiser Active Directory ?
Bon nombre des meilleures pratiques 茅num茅r茅es ci-dessus vont dans ce sens : maintenez votre instance AD 脿 jour et corrig茅e, et utilisez les principes du moindre privil猫ge. N’utilisez pas votre contr么leur de domaine pour autre chose que les r么les requis pour les services de domaine.
En ce qui concerne la s茅curit茅 physique, vous pouvez envisager de verrouiller la salle des serveurs, d’installer des alarmes 脿 tous les points d’acc猫s, de placer les locaux sous vid茅osurveillance et de mettre en place des alarmes d’inondation et des syst猫mes de pr茅vention des incendies.
Vous devrez 茅galement former tous les utilisateurs qui ont acc猫s 脿 AD sur les mani猫res de l’utiliser en toute s茅curit茅. Lisez notre guide d茅taill茅 au sujet de la formation 脿 la s茅curit茅, Formation en s茅curit茅 101 : L’essentiel sur l’茅ducation des employ茅s.
Bien entendu, pour de nombreuses organisations, le concept de s茅curit茅 physique peut 锚tre confi茅 脿 un fournisseur de services en cloud, s’il en utilise un.
Comment assurer la haute disponibilit茅 avec AD ?
Il n’existe pas de formule universelle pour assurer la haute disponibilit茅 (HA) de votre instance Active Directory. Chaque organisation a des besoins et des normes de disponibilit茅 diff茅rents. Mais la redondance est un incontournable pour tous, sauf pour les administrateurs les moins enclins 脿 prendre des risques. L’approche la plus courante dans les PME consiste 脿 disposer d’un contr么leur de domaine direct dans l’environnement de production, puis d’un deuxi猫me pouvant servir de bascule. Cette strat茅gie g茅n茅rale de redondance peut 锚tre mise 脿 l’茅chelle pour les grandes organisations et les entreprises.
Un certain nombre de composants mat茅riels et d’infrastructure r茅seau sont n茅cessaires pour garantir la haute disponibilit茅. De nombreuses organisations se tournent vers le cloud et font appel 脿 des fournisseurs de cloud pour les aider 脿 r茅soudre les probl猫mes de haute disponibilit茅 et d’茅quilibrage de charge.
Active Directory peut-il fonctionner avec des Mac ?
Techniquement, oui, Active Directory fonctionne avec les appareils Mac. Mais les capacit茅s de gestion des utilisateurs et des syst猫mes d’AD sont limit茅es avec les Mac par rapport aux fonctionnalit茅s des syst猫mes Windows. Un contr么le approfondi et automatis茅 des syst猫mes Mac n’est possible qu’avec l’aide d’extensions d’annuaire tierces ou de MDM (gestionnaires de p茅riph茅riques mobiles). Le contr么le 茅troit des utilisateurs, y compris le provisionnement, le d茅provisionnement et la modification des autorisations, est 茅galement difficile sur les Mac lorsqu’on utilise AD.
Pourquoi apprendre 脿 utiliser Active Directory ?
Savoir comment utiliser AD est une comp茅tence pr茅cieuse, qui s’applique largement aux organisations du monde entier. L’apprentissage d’AD est particuli猫rement utile si vous souhaitez travailler dans le secteur informatique et prendre en charge les p茅riph茅riques Windows, les services en Azure Cloud, Sharepoint et de nombreux autres logiciels et plateformes d’entreprise.
Cela dit, il est possible de faire carri猫re dans l’informatique sans jamais apprendre AD. Les organisations modernes, tourn茅es vers le cloud, 茅vitent compl猫tement l’AD sur site et passent directement aux services d’annuaire cloud. . L’Universit茅 黑料海角91入口 peut 茅galement vous aider 脿 apprendre les concepts relatifs 脿 une plateforme d’annuaire en cloudet 脿 l’entreprise sans domaine.
脡valuer Active Directory
Active Directory est-il gratuit ?
Il s’agit d’une id茅e pr茅con莽ue tr猫s r茅pandue. Si AD est techniquement inclus dans Windows Server, les serveurs sur lesquels il fonctionne ne le sont certainement pas, et Microsoft gagne intelligemment de l’argent avec les clients AD par le biais de licences pour Windows Server. Le co没t des CAL (Client Access License) garantit que les organisations utilisant AD continueront 脿 payer Microsoft mois apr猫s mois.
Mais les CAL ne sont qu’un co没t de surface. Nous avons cr茅茅 un guide de budg茅tisation pour Active Directory qui inclut le co没t de l’infrastructure associ茅e, du logiciel Windows Server, de la liaison Mac et Linux庐, de la f茅d茅ration d’identit茅, de la maintenance et de l’administration, et de la s茅curit茅. Le co没t d’AD varie largement d’une organisation 脿 l’autre, mais il n’est jamais totalement gratuit.
Comment puis-je calculer le co没t r茅el d’Active Directory ?
Nous disposons d’une 茅quation assez simple pour estimer le co没t d’AD :
Co没ts d’Active Directory = serveurs + logiciels + h茅bergement + sauvegarde + s茅curit茅 + surveillance + VPN + administration informatique + logiciel tiers + authentification multifactorielle + gouvernance
Cela dit, le co没t r茅el de l’AD pour votre cas d’utilisation sp茅cifique n’est pas aussi simple. Si vous souhaitez acc茅der 脿 notre calculateur de retour sur investissement des services d’annuaire, vous pouvez en faire la demande ici.
Quelle est la taille des organisations qui ont besoin d’AD ?
Plus une entreprise est grande, plus elle est susceptible d’utiliser Active Directory. Les entreprises, les universit茅s et les organisations gouvernementales ont toutes besoin de services d’annuaire afin de g茅rer efficacement et en toute s茅curit茅 l’acc猫s 脿 leurs milliers de ressources informatiques.
Si les petites organisations peuvent se passer d’Active Directory (certaines utilisent Google Workspace ou des solutions de SSO comme r茅pertoire d’utilisateurs), de nombreuses petites 茅quipes choisissent tout de m锚me de mettre en 艙uvre AD afin d’am茅liorer la s茅curit茅 et l’efficacit茅 de leur syst猫me. En g茅n茅ral, c’est lorsqu’une organisation atteint une vingtaine de membres que les personnes responsables de l’ensemble de l’infrastructure informatique commencent 脿 penser qu’il est temps de mettre en place des services d’annuaire.
Au fur et 脿 mesure que les organisations se d茅veloppent, le co没t et la complexit茅 de l’exploitation d’AD peuvent augmenter de fa莽on spectaculaire. De nombreuses organisations informatiques ont cherch茅 diff茅rents moyens de r茅soudre ce probl猫me et ont finalement cherch茅 des alternatives 脿 Active Directory.
Quels sont les avantages et les inconv茅nients d’Active Directory ?
Pour parler en termes d’avantages simples, Active Directory offre les avantages suivants :
- Un plus grand contr么le administratif sur les ressources de Windows
- Efficacit茅 accrue pour les utilisateurs et les administrateurs
- Syst猫mes, r茅seaux et donn茅es Windows plus s没rs
- Des rapports fiables et d茅taill茅s pour l’audit et la conformit茅
Mais Active Directory est 茅galement important dans la mesure o霉 il pr茅sente des inconv茅nients :
- Fonctionnalit茅 r茅duite avec les syst猫mes Mac et Linux
- Difficile 脿 configurer et 脿 g茅rer
- N茅cessite du mat茅riel sur site
- Co没ts initiaux 茅lev茅s
- Connectivit茅 limit茅e aux applications et infrastructures en cloud
Quand Active Directory est-il n茅cessaire ?
La plupart des fonctions d’Active Directory peuvent 锚tre r茅alis茅es sur un syst猫me individuel autre qu’Active Directory. Par exemple, la configuration d’un nouvel utilisateur pour un ordinateur portable ou l’茅tablissement d’un certain param猫tre de s茅curit茅 peuvent 锚tre effectu茅s manuellement 脿 partir du syst猫me d’exploitation. Mais le mot cl茅 est manuel. Active Directory est n茅cessaire lorsqu’une organisation a atteint une taille telle que l’administration manuelle de ses syst猫mes et de ses ressources informatiques n’est plus possible. La capacit茅 d’AD 脿 effectuer des t芒ches de gestion de groupes d’utilisateurs et de syst猫mes Windows, 脿 grande 茅chelle, est ce qui en a fait un incontournable pour les grandes organisations.
Une autre raison pour laquelle Active Directory peut s’av茅rer n茅cessaire est si une organisation est soumise 脿 des exigences d’audit et de conformit茅. Les exigences rigoureuses en mati猫re de s茅curit茅 impos茅es par des r茅glementations telles que HIPAA, PCI et GDPR 芦 forcent souvent la main 禄 d’organisations qui, autrement, n’auraient peut-锚tre pas besoin d’Active Directory.
Alors que de plus en plus d’organisations se tournent vers le cloud, exploitent des applications Web, utilisent des plateformes modernes, etc., le besoin d’AD s’estompe, bien que la n茅cessit茅 d’une solution holistique de gestion des identit茅s et des acc猫s soit plus cruciale que jamais.
Ai-je besoin d’AD pour r茅ussir notre audit ?
Cela d茅pend vraiment de vos besoins en mati猫re de conformit茅 : 锚tes-vous confront茅 脿 un audit PCI, HIPAA, SOX, SSAE 16 ou ISO ? La r茅ponse courte est que vous n’avez jamais besoin d’AD pour passer un audit. D’une mani猫re g茅n茅rale, les services d’annuaire peuvent 锚tre tr猫s utiles pour assurer la conformit茅 car ils peuvent (1) s茅curiser les identit茅s, (2) limiter l’acc猫s aux ressources et aux donn茅es critiques et (3) simplifier les processus d’audit, de journalisation et de reporting. Cela dit, Active Directory n’est qu’une des nombreuses solutions d’annuaire qui peuvent contribuer 脿 renforcer votre s茅curit茅.
D茅couvrez comment 黑料海角91入口 contribue 脿 la s茅curit茅 et 脿 la conformit茅.
Quand ne devriez-vous pas utiliser Active Directory ?
Active Directory est id茅al pour les environnements informatiques sur site, enti猫rement bas茅s sur Windows. Si votre environnement informatique ne correspond pas 脿 ce mod猫le, vous devriez envisager de chercher des alternatives 脿 Active Directory. Par exemple, si vous utilisez des syst猫mes Mac庐 et Linux庐, des applications Web, des serveurs en cloud, des r茅seaux sans fil ou des serveurs de fichiers non Windows, vous aurez besoin de solutions compl茅mentaires afin d’int茅grer ces ressources 脿 Active Directory. 脌 long terme, cela finira par augmenter les co没ts et r茅duire la productivit茅.
Alors que de nombreuses organisations passent au cloud, la possibilit茅 d’utiliser des plateformes d’annuaire clouds modernes augmente. Celles-ci peuvent apporter de l’agilit茅 aux organisations et leur permettre de r茅aliser d’importantes 茅conomies.
Existe-t-il des alternatives 脿 AD ?
Oui, il existe quelques alternatives 脿 Microsoft Active Directory. Tout d茅pend de ce que vous voulez. Certaines organisations consid猫rent la gestion manuelle des utilisateurs et des syst猫mes comme une alternative viable 脿 AD. La gestion manuelle est faisable jusqu’脿 un certain point, mais elle n’est tout simplement pas 茅volutive.
Le concurrent conventionnel d’AD est OpenLDAP鈩�. Il peut 锚tre consid茅rer comme l’alternative open source 脿 AD. Mais OpenLDAP n’est pas une vraie alternative 脿 AD. Il s’agit d’un service d’annuaire, mais il ne rivalise pas avec AD, fonctionnalit茅 par fonctionnalit茅, et le niveau global d’expertise technique pour configurer et maintenir une instance OpenLDAP est exigeant. Plus pr茅cis茅ment, OpenLDAP n’aide pas 脿 g茅rer les syst猫mes (par exemple, comme les capacit茅s GPO d’AD).
Plus r茅cemment, il existe des outils Web IAM qui offrent un certain degr茅 d’IAM. Ce sont les SSO du monde entier, ainsi que des acteurs majeurs comme Google et sa plateforme Google Workspace pour les entreprises et les organisations. Cela dit, les approches de l’IAM bas茅es sur les navigateurs ont toujours 茅chou茅 lorsqu’il s’agit de l’ensemble des fonctionnalit茅s des v茅ritables services d’annuaire (c’est-脿-dire la gestion des utilisateurs et des syst猫mes). Il serait exag茅r茅 d’appeler le SSO ou Google Workspace une alternative 脿 AD, mais si vous 锚tes d’accord avec un ensemble de fonctionnalit茅s limit茅, c’est possible.
Vous pouvez 茅galement envisager des solutions MDM. L脿 encore, elles offrent des fonctionnalit茅s similaires 脿 celles d’AD, mais ne constituent pas de v茅ritables services d’annuaire. Elles peuvent g茅rer les syst猫mes, mais ont du mal 脿 g茅rer les utilisateurs.
Enfin, il y a les services d’annuaire en cloud, illustr茅s par notre propre plateforme d’annuaire cloud. Pensez 脿 黑料海角91入口 comme 脿 Active Directory et LDAP r茅imagin茅s pour l’informatique moderne. Les fonctionnalit茅s multiples de 黑料海角91入口 comprennent la gestion robuste des syst猫mes bas茅s sur les groupes pour laquelle les services d’annuaire sont reconnus en connectant en toute s茅curit茅 l’identit茅 d’un utilisateur unique 脿 son poste de travail (qu’il s’agisse de Windows, Mac ou Linux), ses fichiers, ses r茅seaux et ses applications – sans avoir besoin d’un contr么leur de domaine.
Vous cherchez toujours des r茅ponses ? Qu’avons-nous oubli茅 ?
Nous souhaitons que ce guide fasse autorit茅, alors si vous avez d’autres questions auxquelles nous n’avons pas r茅pondu, n’h茅sitez pas 脿 nous en faire part. Nous serons heureux de r茅pondre 脿 toutes autres questions sur les DA ou modifier une r茅ponse si vous pouvez nous 茅clairer davantage sur l’une d’entre elles. Ainsi, nous pourrons vraiment faire de ce document une FAQ ultime.
Vous avez des questions sur 黑料海角91入口 ou sur les services d’annuaire cloud? Nous avons des r茅ponses pour vous.
