AD DS avancé : confiances, ESAE, réplication et partitions

Le répertoire fonctionne seul jusqu'à ce qu'arrive ce que le design initial n'avait pas prévu : une acquisition, une forêt privilégiée à isoler, un réplica qui cesse d'arriver sans que personne ne crie. Alors apparaît la couche avancée d'AD DS, qui s'occupe de quatre fronts : les confiances entre forêts, l'environnement administratif renforcé ESAE, la santé de la réplication et les partitions qui répliquent des choses différentes. Ce qui suit vient du module « Administer advanced AD DS features » de Microsoft Learn.

Confiances : quand on élargit la limite

Les confiances élargissent la limite de sécurité de la forêt pour les fusions, acquisitions ou consolidations. Le cas typique est une fusion : deux organisations qui vont cohabiter des mois ou des années sans unifier les répertoires, avec des gens de la seconde maison qui doivent lire des documents de la première. Avec une confiance bien placée, les utilisateurs d'une organisation accèdent aux ressources de l'autre sans dupliquer de comptes ni empiler de mots de passe, et chaque administration continue d'administrer son affaire. La question de conception n'est pas si la confiance se crée, mais dans quelle direction et avec quelle transitivité, car cela décide qui voit qui. Avant d'en créer une, il vaut regarder ce qui existe déjà : dans une forêt multidomaines les domaines forment par défaut une structure en arbre et ont des confiances transitives bidirectionnelles avec leurs domaines adjacents, mais pas avec tous les domaines de la forêt. Les voisins oui, les étrangers non.

Les types de confiance, avec leur marque de transitivité :

flowchart TD
    T[Type de confiance] --> E[Externe : non transitive, vers une autre forêt]
    T --> D[De domaine : vers un domaine avec Kerberos V5 et des services de répertoire qui ne sont pas AD DS]
    T --> B[De forêt : complète ou sélective, transitive et bidirectionnelle, ressources partagées]
    T --> A[Raccourci : non transitive, entre domaines non adjacents d'une même forêt]

Externe. Non transitive, unidirectionnelle ou bidirectionnelle, vers une autre forêt.
De domaine. Transitive ou non, vers un domaine qui utilise Kerberos V5 avec des services de répertoire qui ne sont pas AD DS.
De forêt. Complète ou sélective, transitive et bidirectionnelle : les deux forêts partagent des ressources.
De raccourci. Non transitive, entre deux domaines non adjacents d'une même forêt, pensée pour réduire le temps d'authentification.

C'est la transitivité qui décide de la portée. Une confiance de forêt bidirectionnelle fait que tous les domaines des deux forêts se font mutuellement confiance, car à son établissement elle crée effectivement une relation entre chaque paire de domaines. Une confiance externe ne fait rien de cela : elle ne se propage pas.

Comment en créer une, dans l'ordre

D'abord la résolution de noms DNS entre les forêts, sans raccourcis : zones secondaires, zones stub ou transfert conditionnel. Dans le déploiement d'exemple, le transfert conditionnel a été configuré sur chaque contrôleur de domaine. Ce n'est qu'ensuite que la confiance se crée avec le module Domaines et confianzas d'Active Directory ; pour deux forêts qui ont besoin d'un accès mutuel, deux confiances unidirectionnelles suffisent, une par forêt.

ESAE : la forêt qui prend soin de ceux qui veillent

L'Enhanced Security Administrative Environment (ESAE) est une forêt AD administrative dédiée qui héberge les comptes et groupes privilégiés ainsi que les postes de travail administratifs. Sa relation avec la production est une confiance unidirectionnelle avec authentification sélective : la forêt de production fait confiance à la forêt ESAE, et l'authentification sélective contrôle exactement quels ressources de la forêt de confiance l'autre peut utiliser.

Les comptes privilégiés sont des comptes verrouillés : on utilise un compte standard de la forêt ESAE élevé en production, et ce compte ne peut pas se connecter sur les hôtes ESAE. Si le serveur de production est compromis, le compte n'emmène pas la forêt administrative avec lui.

L'authentification sélective est l'autre moitié du design : elle n'active pas toute la forêt réceptrice, elle active exactement les ressources dont l'autre forêt a besoin. La production fait confiance à ESAE, mais seulement sur ce qui a été convenu, et cette précision est ce qui permet à la confiance d'exister sans devenir une porte large.

Les restrictions du design font partie du contrat : forêt à domaine unique et confiances unidirectionnelles seulement. Et le durcissement des serveurs ESAE empile le système d'exploitation le plus récent avec mise à jour automatique, lignes de base Security Compliance Manager, démarrage sécurisé, BitLocker, Credential Guard, Device Guard, blocage des périphériques USB et réseaux isolés sans accès Internet. Un environnement qu'on ne peut pas toucher d'où vit le travail quotidien.

Surveiller la réplication avant qu'elle ne se plaigne

La réplication n'annonce pas : il faut la regarder. Les ressources clés sont CPU, disque, mémoire et réseau, avec le Gestionnaire des tâches, le Moniteur de ressources, l'Observateur d'événements et le Moniteur de performances ; ce dernier conserve des données historiques avec des ensembles de collecteurs, ce qui permet de comparer aujourd'hui au mois dernier. Parmi les compteurs du service NTDS, Kerberos Authentications/sec et NTLM Auths/sec ressortent : ils mesurent la charge d'authentification que le répertoire absorbe.

Pour la topologie et les rapports, il y a l'intégration d'AD DS avec System Center Operations Manager, avec des tableaux de bord pour les liens de site, les objets de connexion et les objets de connexion rompus, plus des rapports de réplication, de bande passante et de latence.

Une règle de travail relie tout cela : les compteurs disent combien d'authentification passe et l'observateur d'événements dit quand quelque chose s'est cassé, mais seule la comparaison historique des ensembles de collecteurs montre si un réplica va plus lentement que la semaine dernière. C'est l'indicateur qu'il vaut mieux avoir en alerte, avant qu'un site entier ne cesse de résoudre des identifiants.

En ligne de commande, PowerShell couvre l'ensemble avec Get-ADReplicationConnection, Get-ADReplicationFailure, Get-ADReplicationPartnerMetadata, Get-ADReplicationSite, Get-ADReplicationSiteLink, Get-ADReplicationSiteLinkBridge et Get-ADReplicationSubnet. Et il reste deux outils de survie : Repadmin.exe génère des rapports et analyse la réplication, pendant que Dcdiag.exe réalise des contrôles du contrôleur de domaine. Quand il faut répondre à quoi a échoué et où, ces deux-là sont la réponse rapide.

Les quatre partitions

Chaque partition d'AD DS est une unité de réplication avec sa propre topologie, et c'est là que réside la subtilité : elles répliquent des choses différentes, à des gens différents, avec des cadences différentes.

flowchart LR
    P[Partition AD DS] --> C[Configuration : structure de la forêt, répliquée à tous]
    P --> S[Schéma : définitions et règles, à tous]
    P --> DM[Domaine : aux DC de ce domaine]
    P --> AP[Application : DomainDnsZones et ForestDnsZones, cadence personnalisable]

Configuration. Créée avec le premier contrôleur ; définit la structure de la forêt et se réplique à tous.
Schéma. Définitions et règles des classes et attributs ; aussi à tous.
Domaine. Créée avec le domaine ; se réplique aux contrôleurs de ce domaine.
Application. Informations d'application et non de domaine, mise à jour plus fréquente ou avec une durée de réplication personnalisable. DomainDnsZones et ForestDnsZones, qui portent les zones DNS intégrées de la forêt, naissent ici : si la cadence de ces zones doit s'ajuster, elle s'ajuste sans toucher le reste des partitions.

Pour les applications avec leur propre base de données, ntdsutil permet de créer des partitions personnalisées, vérifier leur existence et les supprimer. Et dans le coin des derniers recours : le mode de restauration des services de répertoire permet de réinitialiser le mot de passe de l'administrateur quand personne d'autre ne peut entrer.

Ce qui se décide en premier

L'ordre de travail réapparaît tout seul : d'abord la carte (quelles forêts doivent faire confiance auxquelles et dans quel sens), ensuite la couche privilégiée (ce qui vit dans ESAE et quel compte s'élève), et seulement ensuite la santé : compteurs et cmdlets pour voir que le réplica arrive, et les partitions pour comprendre ce qui devrait arriver. Diagnostiquer à l'envers fait qu'une réplication tombée ressemble à un problème DNS, ce qui est l'erreur la plus chère à poursuivre. Les quatre pièces se touchent : une confiance fraîchement créée dépend du DNS entre forêts, l'ESAE dépend des confiances unidirectionnelles et de l'authentification sélective, la réplication est ce qui porte tout cela d'un site à l'autre, et les partitions expliquent ce qui devrait voyager. Garder les quatre dans la même conversation, c'est éviter de diagnostiquer la mauvelle moitié.

Limite de cette source : elle décrit des designs, des types et des outils, et n'apporte ni volumes de réplication mesurés ni temps de convergence entre sites ; le dimensionnement concret d'une forêt aux agences dispersées reste donc impossible à juger ici.

*Source : le module « Administer advanced AD DS features » de Microsoft Learn.*