Qu’est ce qu’un AD : le guide complet d’Active Directory pour débutants

Qu’est-ce qu’Active Directory et à quoi ça sert ?

Active Directory est le service d’annuaire de Microsoft conçu pour les réseaux Windows. Son objectif est simple : centraliser, en un seul endroit, la gestion des identités et des accès (IAM) de tous les utilisateurs, ordinateurs et ressources d’une organisation.

Concrètement, plutôt que de créer un compte séparé sur chaque machine, l’administrateur le crée une seule fois dans AD. Ce compte devient alors la clé d’accès de la personne à l’ensemble du système d’information. C’est ce qui explique une adoption massive : environ 90 % des entreprises mondiales s’appuient aujourd’hui sur Active Directory.

Les bénéfices concrets au quotidien

• Service d’annuaire Microsoft : référence centrale des utilisateurs et ressources du réseau.
• Identités et accès centralisés : un seul compte pour toutes les ressources autorisées.
• Authentification unique (SSO) : l’utilisateur se connecte une fois et accède à ses applications.
• Administration réseau simplifiée : les droits se pilotent depuis une console unique.
• Réduction des coûts support : moins d’interventions et de mots de passe oubliés à gérer.
• Évolutivité : AD accompagne la croissance, jusqu’à des milliers d’utilisateurs.

En résumé, Active Directory transforme une multitude de machines isolées en un système d’information cohérent, où chaque personne dispose exactement des accès dont elle a besoin, ni plus ni moins.

Comment Active Directory est-il structuré ?

Active Directory repose sur une hiérarchie logique qui organise les ressources d’un réseau Windows selon plusieurs niveaux imbriqués, de la forêt jusqu’à l’unité organisationnelle.

La hiérarchie logique : forêt, arbre, domaine et unité organisationnelle

• Forêt : limite de sécurité ultime, regroupe tous les domaines et partage le même schéma.
• Arbre : regroupe plusieurs domaines liés par un espace de noms DNS commun.
• Domaine : limite de gestion administrative, contient sa propre base d’objets et ses politiques.
• Unité organisationnelle (OU) : conteneur souple pour organiser les objets par service ou par site.

Cette structure s’appuie sur trois partitions distinctes : le schéma, la configuration et le domaine. Le schéma définit chaque objet, y compris un identifiant unique de 128 bits qui garantit sa traçabilité sur l’ensemble de la forêt.

Les relations d’approbation entre domaines

Les domaines d’une même forêt communiquent grâce à des relations d’approbation. Elles peuvent être unidirectionnelles (un domaine fait confiance à l’autre dans un seul sens), bidirectionnelles (confiance mutuelle) ou transitives (la confiance se propage indirectement entre domaines).

Ces approbations permettent à un utilisateur authentifié dans un domaine d’accéder aux ressources d’un autre domaine sans ressaisir ses identifiants, ce qui simplifie la vie des équipes réparties sur plusieurs entités. C’est l’un des piliers du SSO dans les grandes organisations.

Sécurité et menaces Active Directory

Active Directory constitue une cible privilégiée pour les ransomwares et les tentatives d’escalade de privilèges. Les attaquants cherchent à compromettre un simple compte utilisateur avant de remonter vers les comptes à hauts privilèges. Résultat : les organisations subissent 4 fois plus de violations malgré une bonne hygiène des identités, car l’annuaire reste le point d’entrée le plus convoité du système d’information.

Les failles les plus exploitées proviennent souvent de délégations sans contrainte ou d’ACL mal configurées. Le Kerberoasting et le Pass-the-Hash figurent parmi ces techniques qui abusent des mécanismes d’authentification légitimes. Pour s’en protéger, appliquez le principe du moindre privilège et renommez le compte Administrateur par défaut, trop souvent ciblé en priorité.

Le durcissement des contrôleurs de domaine passe par des mises à jour régulières, une révision stricte des ACL et la désactivation des services non essentiels. L’usage de gMSA (comptes de service gérés par groupe) avec rotation automatique des mots de passe réduit fortement la surface d’attaque. Enfin, surveiller les journaux d’authentification permet de détecter une activité anormale avant qu’elle ne devienne critique.

Quels sont les composants d’Active Directory ?

Composants logiques et objets de l’annuaire

L’annuaire Active Directory repose sur des composants logiques qui organisent les ressources de l’entreprise de façon hiérarchique, indépendamment de leur emplacement physique. Parmi ces éléments, on retrouve la forêt, les arbres, les domaines et les unités organisationnelles, déjà évoqués pour leur rôle dans la structure. Vient s’y ajouter un ensemble d’objets, c’est-à-dire les entités concrètes que l’annuaire stocke et décrit.

• Utilisateurs et ordinateurs : comptes de connexion et postes rattachés au domaine
• Groupes et imprimantes : ensembles de droits et ressources partagées
• Schéma : définit les classes et attributs de chaque objet
• Catalogue global : centralise tous les objets AD DS de la forêt

Chaque objet est identifié de manière unique par un identifiant de 128 bits, garantissant qu’aucun doublon ne puisse exister dans l’annuaire. Le schéma agit comme un dictionnaire de référence, et le catalogue global comme un index interrogeable depuis n’importe quel domaine.

Composants physiques : contrôleurs de domaine et réplication

Sur le plan physique, Active Directory s’incarne dans les contrôleurs de domaine, des serveurs qui hébergent chacun une copie complète de l’annuaire. Pour absorber la charge et assurer la disponibilité, plusieurs contrôleurs coexistent généralement au sein d’une même organisation.

Ces serveurs synchronisent leurs données par le biais de la réplication. Seules les modifications sont transmises entre eux, ce qui limite fortement la consommation de bande passante et maintient la cohérence des identités sur l’ensemble du réseau.

Quels sont les différents services Active Directory ?

Active Directory n’est pas un bloc monolithique. Microsoft le décline en plusieurs services complémentaires, chacun répondant à un besoin précis : authentification quotidienne, accès fédéré, émission de certificats ou annuaire allégé pour une application métier.

AD DS, le socle de l’annuaire

Active Directory Domain Services est le service principal et celui que l’on désigne le plus souvent quand on parle simplement d’AD. Il stocke les objets de l’annuaire et fournit les protocoles d’authentification que sont LDAP, Kerberos, DNS et le SSO.

Sans AD DS, aucune ouverture de session centralisée ni aucune stratégie de groupe ne serait possible. C’est lui qui s’appuie sur un identifiant unique de 128 bits pour distinguer chaque objet du schéma.

AD FS, AD CS et AD LDS, les services spécialisés

AD FS (Active Directory Federation Services) étend l’authentification au-delà du réseau interne. Il permet un accès fédéré et sécurisé à des applications externes, avec un SSO transparent pour l’utilisateur.

AD CS (Certificate Services) gère l’émission et le renouvellement des certificats numériques utilisés pour le chiffrement et la signature. Enfin, AD LDS propose une version allégée de l’annuaire, sans domaine ni forêt, pensée pour une application qui a besoin de son propre annuaire indépendant.

Quel est le rôle d’un contrôleur de domaine ?

Le contrôleur de domaine est le serveur qui héberge la base de données Active Directory. C’est lui qui stocke les comptes, les groupes et les objets de l’annuaire. Il ne se contente pas de conserver ces informations : il répond aux requêtes d’authentification envoyées par les postes et les utilisateurs du réseau.

Concrètement, lorsqu’un collaborateur ouvre sa session le matin, c’est le contrôleur de domaine qui vérifie son mot de passe et lui accorde l’accès aux ressources autorisées. Il héberge également le KDC (Kerberos Key Distribution Center), le composant chargé de délivrer les tickets d’authentification Kerberos utilisés sur le réseau.

Dans une entreprise, on déploie généralement plusieurs contrôleurs de domaine. Chacun détient une copie complète de l’annuaire et participe à la réplication des données. Cette redondance garantit la continuité de service si l’un des serveurs tombe en panne, et les 5 rôles FSMO peuvent être répartis entre eux pour équilibrer la charge.

FAQ Active Directory

Active Directory et LDAP sont-ils la même chose ?

Non, Active Directory est un service d’annuaire Microsoft tandis que LDAP est un protocole d’accès aux annuaires. AD utilise LDAP pour interroger ses données, mais LDAP peut aussi servir avec d’autres annuaires.

Azure AD et Microsoft Entra ID désignent-ils le même service ?

Oui, Azure AD et Microsoft Entra ID désignent le même service. Microsoft a renommé Azure Active Directory en Entra ID en 2023, sans changer les fonctionnalités ni les abonnements.

Qu’est-ce que le protocole Kerberos dans Active Directory ?

Kerberos est le protocole d’authentification par défaut d’Active Directory. Il délivre des tickets chiffrés aux utilisateurs, évitant de transmettre leur mot de passe à chaque ressource du réseau.

À quoi sert une unité organisationnelle dans AD ?

Une unité organisationnelle sert à organiser les objets d’un domaine et à leur appliquer des stratégies de groupe. Elle permet aussi de déléguer l’administration d’un sous-ensemble sans donner tous les droits.

Peut-on utiliser Active Directory dans le cloud ?

Oui, Active Directory peut fonctionner dans le cloud via Azure AD Domain Services ou des contrôleurs de domaine hébergés sur des machines virtuelles Azure. Ces solutions offrent authentification et jointure de domaine à distance.

Comment fonctionne la réplication entre contrôleurs de domaine ?

La réplication entre contrôleurs de domaine synchronise les modifications de l’annuaire via des partenaires définis. Chaque contrôleur reçoit les mises à jour, ce qui garantit une base cohérente sur tout le réseau.