AD DS de près : ce que contient le répertoire de votre réseau

Derrière tout « on ne me laisse pas ouvrir le dossier », il y a un répertoire : Active Directory Domain Services (AD DS) est le stockage central des utilisateurs, des ordinateurs et des groupes d'un réseau Windows, et le mécanisme par lequel on y applique configuration et sécurité. Avant de toucher aux contrôleurs de domaine, aux stratégies ou aux délégations, il vaut savoir ce qu'il y a dans cette base de données et comment elle est organisée. Ce qui suit vient du module « Introduction to AD DS » de Microsoft Learn.

Ce que c'est et ce qu'il contient

La base de données d'AD DS est le stockage central des objets du domaine : comptes d'utilisateurs, ordinateurs, groupes, et tout ce qui en dépend. Par-dessus ce stockage, deux choses sont offertes : un répertoire hiérarchique interrogeable et une méthode pour appliquer configuration et sécurité. Cela permet aussi l'installation et l'administration des applications, l'administration de la sécurité, l'accès distant et la délivrance de certificats.

Le point pratique, c'est que le répertoire est la source de vérité du réseau : si une application a besoin de savoir qui est untel ou à quel groupe il appartient, elle interroge ici et non dans un fichier perdu sur chaque serveur.

Composants logiques : ce qu'il y a dans la base

Les composants logiques sont les pièces qui existent à l'intérieur de la base de données, sans câble ni baie pour les mélanger :

Partition ou contexte de nomenclature. Parties de la base Ntds.dit : schéma, configuration et domaine. Chaque contrôleur réplique celles qui le concernent.
Schéma. Les définitions : quels types d'objets existent et quels attributs ils ont. Modifier le schéma, c'est modifier le vocabulaire de tout le répertoire.
Domaine. Le conteneur administratif logique : l'unité dans laquelle vivent les comptes et les groupes que vous administrez.
Arbre de domaines. Collection hiérarchique avec racine commune et DNS contigu.
Forêt. Collection de domaines qui partagent racine, schéma et catalogue global.
Unité d'organisation (UO). Conteneur qui accepte la délégation et le liage de GPO (objet de stratégie de groupe : la règle appliquée à un ensemble d'objets).
Conteneur. Cadre d'organisation qui n'accepte pas les GPO.

flowchart TD
    F[Forêt Contoso] --> T1[Arbre contoso.com]
    F --> T2[Arbre adatum.com]
    T1 --> D1[Contoso.com : racine avec les rôles de schéma et de nomenclature]
    D1 --> OU1[UO Finances]
    D1 --> OU2[UO Ordinateurs]
    OU1 --> GPO[GPO liée]
    D1 --> C[Conteneur CN=Computers : sans GPO]

La différence entre l'UO et le conteneur est celle qui revient le plus souvent en pratique : l'UO accepte les GPO et la délégation ; le conteneur, non. Et on ne peut pas créer d'UO à l'intérieur d'un conteneur : la hiérarchie se construit donc avec des UO dès le départ.

Composants physiques : où ça vit

Le physique, c'est ce qu'on touche sur un serveur :

Contrôleur de domaine. Copie de la base avec réplication multi-maître : n'importe quel contrôleur accepte les écritures et les propage.
Stockage de données. Le fichier Ntds.dit, technologie Jet, dans C:\Windows\NTDS.
Serveur de catalogue global. Copie partielle en lecture seule de tous les objets de la forêt ; accélère les recherches d'objets qui se trouvent sur des contrôleurs d'un autre domaine.
RODC (contrôleur de domaine en lecture seule). Installation en lecture seule pensée pour les agences avec une sécurité physique faible.
Site et sous-réseau. Le site est un conteneur lié à l'emplacement physique ; le sous-réseau l'ancre au réseau.

flowchart LR
    DC[Contrôleur de domaine] --> DB[Ntds.dit dans C:\\Windows\\NTDS]
    DC --> GC[Catalogue global : copie partielle en lecture seule]
    DC --> RODC[RODC : lecture seule pour les agences]
    Site[Site] --- Sub[Sous-réseau]
    DC -. réplication multi-maître .-> DC2[Un autre contrôleur]

Le catalogue global est la pièce qui guérit la monotonie de la recherche dans une forêt multi-domaines : sur tous les objets de la forêt, il garde assez pour répondre sans sauter de domaine en domaine.

Utilisateurs, groupes et comptes de service

Un utilisateur d'AD DS reçoit un compte avec un nom, un mot de passe et des appartenances à des groupes, créé depuis la console d'administration d'Active Directory, Utilisateurs et ordinateurs d'Active Directory, Windows Admin Center, PowerShell ou dsadd.

Pour les services, le compte traditionnel est un calvaire : il faut changer le mot de passe à la main et suivre les SPN (noms de service qui identifient un service pour Kerberos). C'est là qu'interviennent les comptes de service gérés :

MSA. Simplifie l'administration des mots de passe et des SPN face à un compte local ou de domaine.
gMSA. Étend cela à plusieurs serveurs (grands équilibrateurs de charge, clusters, IIS). Exige une clé racine KDS (Add-KdsRootKey –EffectiveImmediately sur un contrôleur) et se crée avec New-ADServiceAccount en indiquant PrincipalsAllowedToRetrieveManagedPassword pour les ordinateurs autorisés à récupérer le mot de passe.
dMSA (Windows Server 2025). Remplace les comptes de service traditionnels par un compte machine à clés gérées et aléatoires, désactive les mots de passe d'origine et lie l'authentification à l'identité de l'appareil. Évite la collecte d'identifiants qui affecte les comptes de service traditionnels, et aussi les gMSA : même si elles tournent le mot de passe toutes seules, ce mot de passe n'est pas lié à la machine et peut être volé.

Les groupes, de leur côté, centralisent les permissions. Le type définit les capacités : sécurité (activés pour la sécurité, attribuent des permissions, utilisés dans les ACL) ou distribution (courrier électronique). La portée définit l'étendue des permissions et qui peut en être membre : domaine local (permissions uniquement sur l'ordinateur local), global (permissions partout dans la forêt, membres uniquement de son domaine) et universel (permissions et membres dans toute la forêt, typique des réseaux multidomaines).

Forêt, domaine et relations de confiance

La forêt est à la fois la limite de sécurité et la limite de réplication : hors de la forêt, pas d'accès, les domaines se font mutuellement confiance automatiquement, et la configuration, le schéma et le catalogue global se répliquent sur toute la forêt. Le domaine est à son tour la limite de réplication de ses objets (modèle multi-maître) et l'unité administrative : c'est là que vivent l'administrateur de la forêt et les administrateurs de domaine avec contrôle total. C'est aussi lui qui fournit l'authentification (vérifier les identifiants à la connexion) et l'autorisation (décider de l'accès aux ressources).

Le domaine offre une marge énorme : près de 2 milliards d'objets, si bien que presque toutes les organisations s'en tirent avec un seul.

Les relations de confiance permettent l'accès dans les environnements avec plusieurs domaines au milieu. Dans une forêt multidomaines, les confiances transitives bidirectionnelles se créent seules : si A fait confiance à B et B fait confiance à C, alors A fait confiance à C. Les types principaux sont parent-enfant et arbre-racine (toutes deux transitives et bidirectionnelles), externe (non transitive, pour NT 4.0, une autre forêt ou des migrations), realm Kerberos (pour les services de répertoire externes), forêt complète ou sélective (transitive) et raccourci (non transitive, créée seulement par l'administrateur pour raccourcir les authentifications). La configuration reste enregistrée en tant qu'objet de confiance de domaine dans le conteneur système.

UO contre conteneur

Les unités d'organisation se créent pour deux motifs : appliquer une GPO à un ensemble d'objets et déléguer le contrôle administratif de leur contenu. Elles représentent des départements, des régions ou ce qu'il faut administrer, admettent leur propre administrateur et un partitionnement COM+, et admettent le liage direct de GPO.

Les conteneurs génériques (Domaine, Intégrés, Ordinateurs, Principaux de sécurité étrangers, Utilisateurs, Comptes de service gérés, plus l'UO Contrôleurs de domaine que crée l'installation) n'acceptent ni GPO liées ni subdivision. C'est pourquoi le conteneur par défaut CN=Computers ne convient pas pour organiser les ordinateurs : il vaut mieux créer ses propres UO pour les utilisateurs et les ordinateurs. La hiérarchie n'a pas de limite technique, même si la convention vise à ne pas dépasser 10 niveaux (la plupart des structures en utilisent cinq ou moins), et certaines applications imposent leurs propres limites de profondeur.

Avec quoi on l'administre

Quatre outils, avec des usages différents : le centre d'administration d'Active Directory (IGI sur PowerShell qui remplace Utilisateurs et ordinateurs : comptes, UO, plusieurs domaines dans une instance, requêtes, stratégies de mot de passe, corbeille de restauration et contrôle d'accès dynamique), Windows Admin Center (console web pour les serveurs et Windows 10, qui ne s'installe pas sur un contrôleur de domaine), RSAT (outils distants depuis Ajout de programmes) et PowerShell avec Active Directory : la base Utilisateurs et ordinateurs, avec Sites et Services pour la réplication et la topologie et Domaines et confiances pour les relations et les niveaux fonctionnels, plus le complément Schéma, qui n'est pas enregistré par défaut.

Ce qui se décide en premier

Si le répertoire est en cours de modélisation, l'ordre des décisions ressemble à celui de n'importe quel schéma : d'abord quels objets et attributs existent (schéma), ensuite où ils vivent (domaine et UO, avec la délégation en tête), et seulement ensuite quelles stratégies s'appliquent à chaque ensemble. Choisir les outils avant cette structure est ce qui produit des répertoires que personne n'ose plus toucher après coup.

Limite de cette source : elle décrit la structure et les outils, et n'apporte ni chiffres de dimensionnement de réplication ni latences par site ; la topologie concrète d'un grand environnement reste donc impossible à juger ici.

*Source : le module « Introduction to AD DS » de Microsoft Learn.*