Qu’est-ce qu’Active Directory ? Un tutoriel étape par étape

À mesure que la complexité des ressources réseau s'est accrue, les services d'annuaire sont devenus de plus en plus importants pour la gestion de l'infrastructure informatique. Il n'existe aucun service d'annuaire portant un nom plus grand queActive Directory. Le service d'annuaire de Microsoft s'est imposé comme un outil de base parmi les administrateurs réseau. Dans ce didacticiel Active Directory, nous allons voir ce qu'est Active Directory, comment l'utiliser et Outils Active Directory commeGestionnaire des droits d'accès SolarWindsetGérerEngine AD360. Les sujets à apprendre comprennent :

• Qu’est-ce qu’Active Directory ?
• Que fait Active Directory ?
• Comment configurer Active Directory
• Comment utiliser Active Directory : configuration d'un contrôleur de domaine, création d'utilisateurs d'annuaire
• Événements Active Directory à surveiller
• Relations de confiance (et types de confiance)
• Un aperçu des forêts et des arbres Active Directory
• Création de rapports Active Directory (avec SolarWinds Access Rights Manager)
• Comment trouver la source des verrouillages de compte dans Active Directory

Qu’est-ce qu’Active Directory ?

Active Directory est unservice d'annuaireou un conteneur qui stocke des objets de données sur votre environnement réseau local. Le service enregistre des données surutilisateurs,dispositifs,applications,groupes, etdispositifsdans une structure hiérarchique.

La structure des données permet de retrouver le détail des ressources connectées au réseau à partir d'un seul endroit. Essentiellement, Active Directory agit comme un répertoire téléphonique pour votre réseau afin que vous puissiez rechercher et gérer facilement les appareils.

Que fait Active Directory ?

Il existe de nombreuses raisons pour lesquelles les entreprises utilisent des services d'annuaire comme Active Directory. La raison principale est la commodité. Active Directory permet aux utilisateurs de se connecter et de gérer diverses ressources à partir d'un seul emplacement. Les informations de connexion sont unifiées afin qu'il soit plus facile de gérer plusieurs appareils sans avoir à saisir les détails du compte pour accéder à chaque machine individuelle.

Comment configurer Active Directory (avec RSAT)

Pour commencer, vous devrez d'abord vous assurer que vous avezWindows ProfessionnelouWindows Entrepriseinstallé sinon vous ne pourrez pas installerOutils d'administration de serveur distant. Ensuite, procédez comme suit :

Pour Windows 10 version 1809 :

1. Faites un clic droit sur leCommencerbouton et allez àParamètres > Applications > Gérer les fonctionnalités facultatives > Ajouter une fonctionnalité.
2. Sélectionnez maintenantRSAT : services de domaine Active Directory et outils d'annuaire légers.
3. Enfin, sélectionnezInstallerensuite aller àDémarrer > Outils d'administration Windowspour accéder à Active Directory une fois l'installation terminée.

Pour Windows 8 (et Windows 10 version 1803)

1. Téléchargez et installez la version appropriée des outils d'administration de serveur pour votre appareil : Windows 8 , Windows 10 .
2. Ensuite, cliquez avec le bouton droit surCommenceret sélectionnezPanneau de configuration > Programmes > Programmes et fonctionnalités > Activer ou désactiver des fonctionnalités Windows.
3. Faites glisser vers le bas et cliquez sur leOutils d'administration de serveur distantoption.
4. Cliquez maintenant surOutils d'administration des rôles.
5. Cliquer surOutils AD DS et AD LDSet vérifierOutils AD DSa été vérifié.
6. PresseD'accord.
7. Aller àDémarrer > Outils d'administrationsur leCommencermenu pour accéder à Active Directory.

Comment utiliser Active Directory : Comment configurer un contrôleur de domaine, créer des utilisateurs d'annuaire

Comment configurer un contrôleur de domaine

L'une des premières choses à faire lorsque vous utilisez Active Directory est de configurer un contrôleur de domaine. Un contrôleur de domaine est un ordinateur central qui répondra aux demandes d'authentification et authentifiera les autres ordinateurs du réseau. Le contrôleur de domainestocke les informations de connexion de tous les autres ordinateurset les imprimeurs.

Tous les autres ordinateurs se connectent au contrôleur de domaine afin que l'utilisateur puisse authentifier chaque appareil à partir d'un seul emplacement. L’avantage est que l’administrateur n’aura pas à gérer des dizaines d’identifiants de connexion.

Le processus de configuration d'un contrôleur de domaine est relativement simple.Attribuez une adresse IP statique à votre contrôleur de domaineet installer les services de domaine Active DirectoryouAJOUTE . Suivez maintenant ces instructions :

1. OuvrirGestionnaire de serveuret cliquezRécapitulatif des rôles > Ajouter des rôles et des fonctionnalités.
2. Cliquez surSuivant.
3. SélectionnerServices de bureau à distanceinstallationsi vous déployez un contrôleur de domaine dans une machine virtuelle ou sélectionnezinstallation basée sur les rôles ou les fonctionnalités.
4. Sélectionnez un serveur danspool de serveurs.
5. SélectionnerService de domaine Active Directorys dans la liste et cliquez surSuivant.
6. Laissez les fonctionnalités cochées par défaut et appuyez surSuivant.
7. Cliquez surRedémarrez automatiquement le serveur de destination si nécessaireet cliquezInstaller. Fermez la fenêtre une fois l'installation terminée.
8. Une fois le rôle ADDS installé, une notification s'affichera à côté duGérermenu. PressePromouvoir ce serveur en contrôleur de domaine.
9. Cliquez maintenantAjouter une nouvelle forêtet entrez unNom de domaine racine. PresseSuivant.
10. Sélectionnez leNiveau fonctionnel du domainevous désirez et entrez un mot de passe dans leTapez le mode de restauration des services d'annuaire (mot de passe DSRM)section. Cliquez surSuivant.
11. Lorsque la page Options DNS s'affiche, cliquez surSuivantencore.
12. Entrez un domaine dans leNom de domaine NetBioscase (de préférence la même que le nom de domaine racine). PresseSuivant.
13. Sélectionnez un dossier pour stocker votre base de données et vos fichiers journaux. Cliquez surSuivant.
14. PresseInstallerpour finir. Votre système va maintenant redémarrer.

Ajouter un contrôleur de domaine à un domaine existant dans Windows Server 2016

Les démarches pour ajout d'un contrôleur de domaine à un domaine existant dans Active Directory sont les mêmes, quel que soit le système d'exploitation dont vous disposez. Toutefois, ces consignes ont été organisées lors d'un exercice sur Windows Serveur 2016 . C'est toujours une bonne idée d'avoir au moins deux contrôleurs de domaine dans votre domaine AD au cas où l'un d'entre eux tomberait en panne.

Le deuxième contrôleur de domaine est un ordinateur distinct de celui identifié pour votre premier contrôleur de domaine. Ce deuxième ordinateur doit être configuré avec Windows Serveur 2016 . Obtenez-le entièrement corrigé et attribuez-lui une adresse IP avant de démarrer la configuration AD sur cette machine. Suivez ensuite ces étapes :

1. Ouvrir Gestionnaire de serveur , clique sur le Gérer option sur le ruban de menu et sélectionnez Ajouter des rôles et des fonctionnalités .
2. Dans l'écran d'accueil de l'assistant, cliquez sur Suivant .
3. Dans le Type d'installation l'écran, sélectionnez le Installation basée sur des rôles ou des fonctionnalités bouton radio et cliquez sur Suivant .
4. Dans Sélection du serveur laissez le seul serveur de la liste en surbrillance et appuyez sur Suivant .
5. Dans le Rôles de serveur écran, vérifiez le Services de domaine Active Directory boîte. Une boîte de dialogue apparaît. Clique sur le Ajouter des fonctionnalités bouton.
6. De retour dans l'écran principal de sélection des fonctionnalités, cliquez sur le bouton Suivant bouton.
7. Cela passe par le Caractéristiques écran. Cliquez simplement sur le Suivant bouton. Dans le ADDS écran, cliquez sur le Suivant bouton.
8. Enfin, cliquez sur le Installer bouton. Une fois le processus d'installation terminé, vous verrez un avis vous indiquant que des étapes supplémentaires sont requises. Cliquez sur le lien qui dit Promouvoir ce serveur en contrôleur de domaine . Cela fait apparaître le Configuration du déploiement écran.
9. Quitter le Ajouter un contrôleur de domaine à un domaine existant bouton radio actif. Au bas de la liste des options, vous verrez . Clique sur le Changement bouton à côté de cela.
10. Saisissez le nom d'utilisateur et le mot de passe du compte administrateur sur l'instance AD ​​que vous avez configurée pour la première fois. Ce nom d'utilisateur doit être au formatAdministrateur. Cliquez sur D'ACCORD .
11. Au retour de la popup de connexion, vous verrez que le Domaine Le champ a été renseigné avec le domaine que vous avez saisi pour le compte utilisateur. Clique sur le Suivant bouton.
12. Décidez si vous souhaitez en faire un contrôleur de domaine en lecture seule (RODC). Si c'est le cas, cochez cette case dans le Possibilités écran, sinon, vérifiez à la fois le Serveur dns et Catalogue global des boites.
13. Entrez un Mot de passe DSRM et confirmez-le. Clique sur le Suivant bouton. Vous verrez un avertissement mais cliquez simplement sur le Suivant bouton à nouveau.
14. Dans Options additionelles choisissez votre contrôleur de domaine d'origine pour le Répliquer à partir de : champ. Cliquer sur Suivant .
15. Laissez tous les chemins dans leurs paramètres par défaut et cliquez sur Suivant . Dans le Options de révision écran, cliquez sur Suivant .
16. Le système effectuera une vérification des prérequis. Si cela se déroule de manière satisfaisante, le Installer Le bouton deviendra actif. Cliquez dessus.
17. Attendez la fin de l'installation. L'ordinateur va redémarrer. Connectez-vous à la machine.

Revenez à votre ordinateur contrôleur de domaine d'origine et ouvrez Utilisateurs et ordinateurs Active Directory et vous verrez que votre nouveau DC y est répertorié dans le Contrôleurs de domaine dossier.

Création d'utilisateurs Active Directory

Utilisateursetdes ordinateurssont les deux objets les plus élémentaires que vous devrez gérer lors de l'utilisation d'Active Directory. Dans cette section, nous allons voir comment créer de nouveaux comptes d'utilisateurs. Le processus est relativement simple et le moyen le plus simple de gérer les utilisateurs consiste à utiliser leUtilisateurs et ordinateurs Active Directoryou l'outil ADUC fourni avec leOutils d'administration de serveur distantouRSATpaquet. Vous pouvez installer ADUC en suivant les instructions ci-dessous :

Installez ADUC sur Windows 10 version 1809 et supérieure :

1. Faites un clic droit sur leCommencerbouton et cliquezParamètres > Applications,puis cliqueGérer les fonctionnalités facultatives > Ajouter une fonctionnalité.
2. SélectionnerRSAT : services de domaine Active Directory et outils d'annuaire légers.
3. SélectionnerInstalleret attendez la fin de l'installation.
4. Aller àDémarrer > Outils d'administration Windowspour accéder à la fonctionnalité.

Installez ADUC sur Windows 8 et Windows 10 version 1803 ou inférieure :

1. Téléchargez et installez les outils d'administration de serveur distant pour votre version de Windows. Vous pouvez le faire à partir de l'un de ces liens ici :
   Outils d'administration de serveur distant pour Windows 10 , Outils d'administration de serveur distant pour Windows 8 , ou Outils d'administration de serveur distant pour Windows 8.1 .

1. Faites un clic droit surDémarrer > Panneau de configuration > Programmes > Programmes et fonctionnalités > Activer ou désactiver les fonctionnalités Windows.
2. Faites défiler vers le bas et sélectionnezOutils d'administration de serveur distant.
3. DévelopperOutils d'administrateur de rôle > Outils AD DS et AD LDS.
4. VérifierOutils AD DSet appuyez surD'accord.
5. Aller àDémarrer > Outils d'administrationet sélectionnezUtilisateurs et ordinateurs Active Directory.

Comment créer de nouveaux utilisateurs avec ADUC

1. Ouvrez leGestionnaire de serveur, allez auOutilsmenu et sélectionnezUtilisateurs et ordinateurs Active Directory.
2. Développez le domaine et cliquez surUtilisateurs.
3. Faites un clic droit sur le volet de droite et appuyez surNouveau > Utilisateur.
4. Lorsque la boîte Nouvel objet-utilisateur s'affiche, entrez unPrénom,Nom de famille,Nom de connexion de l'utilisateur,et cliquezSuivant.
5. Entrez un mot de passe et appuyez surSuivant.
6. Cliquez surFinition.
7. Le nouveau compte utilisateur se trouve dans leUtilisateurssection de l'ADUC.

Événements Active Directory à surveiller

Comme toutes les formes d’infrastructure, Active Directory doit être surveillé pour rester protégé. La surveillance du service d'annuaire est essentielle pour prévenir les cyberattaques et offrir la meilleure expérience utilisateur final à vos utilisateurs.

Ci-dessous, nous allons énumérer certains des événements réseau les plus importants auxquels vous devriez prêter attention. Si vous constatez l’un de ces événements, vous devez enquêter plus en profondeur dès que possible pour vous assurer que votre service n’a pas été compromis.

Un aperçu des forêts et des arbres Active Directory

Forêt et arbres sont deux termes que vous entendrez beaucoup lorsque vous explorerez Active Directory. Ces termes font référence à la structure logique d'Active Directory. En bref, unl'arbre est une entité avec un seul domaine ou groupe d'objetsqui est suivi par les domaines enfants.Une forêt est un groupe de domainesmettre ensemble. Quandplusieurs arbres sont regroupés ils deviennent une forêt.

Les arbres de la forêt se connectent les uns aux autres grâce à unrelation de confiance,ce qui permet à différents domaines de partager des informations. Tousles domaines se feront automatiquement confianceafin que vous puissiez y accéder avec les mêmes informations de compte que vous avez utilisées sur le domaine racine.

Chaque forêt utilise une base de données unifiée. Logiquement, la forêt se situe au plus haut niveau de la hiérarchie et l’arbre se situe au bas. L'un des défis auxquels sont confrontés les administrateurs réseau lorsqu'ils travaillent avec Active Directory est la gestion des forêts et la sécurité de l'annuaire.

Par exemple, un administrateur réseau sera chargé de choisir entre unconception de forêt uniqueouconception multi-forêts. La conception à forêt unique est simple, peu coûteuse et facile à gérer, avec une seule forêt couvrant l’ensemble du réseau. En revanche, une conception multi-forêts divise le réseau en différentes forêts, ce qui est bon pour la sécurité mais rend l'administration plus compliquée.

Relations de confiance (et types de confiance)

Comme mentionné ci-dessus, les fiducies sont utilisées pour faciliter la communication entre les domaines. Les fiducies permettent l'authentification et l'accès aux ressources entre deux entités. Les fiducies peuvent être de nature unidirectionnelle ou bidirectionnelle. Au sein d'une fiducie, les deux domaines sont divisés en un domaine de confiance et un domaine de confiance.

Dans une fiducie à sens unique, lele domaine de confiance accède aux détails d'authentificationdu domaine de confiance afin que l'utilisateur puisse accéder aux ressources de l'autre domaine. Dans une approbation bidirectionnelle, les deux domaines accepteront les détails d’authentification de l’autre. Tousles domaines au sein d'une forêt se font confiance automatiquement, mais vous pouvez également configurer des approbations entre des domaines dans différentes forêts pour transférer des informations.

Vous pouvez créer des fiducies via leAssistant Nouvelles approbations. LeAssistant Nouvelle approbationest un assistant de configuration qui vous permet de créer de nouvelles relations d'approbation. Ici vous pouvez voir leNom de domaine,Type de confiance, etTransitifstatut des fiducies existantes et sélectionnez le type de fiducie que vous souhaitez créer.

Types de confiance

Il existe une gamme de types de confiance dans Active Directory. Nous les avons répertoriés dans le tableau ci-dessous :

Création de rapports Active Directory avec SolarWinds Access Rights Manager (ESSAI GRATUIT)

La génération de rapports sur Active Directory est essentielle pour optimiser les performances et rester conforme à la conformité réglementaire. L'un des meilleurs outils de reporting Active Directory estGestionnaire de droits d'accès SolarWinds (ARM). L'outil a été créé pour accroître la visibilité sur la façon dont les informations d'identification de l'annuaire sont utilisées et gérées. Par exemple, vous pouvez afficher les comptes dont les configurations ne sont pas sécurisées et les abus d'identifiants qui pourraient indiquer une cyberattaque.

Utiliser un outil tiers commeGestionnaire des droits d'accès SolarWindsest bénéfique car il vous fournit des informations et des fonctionnalités auxquelles il serait beaucoup plus difficile, voire impossible, d'accéder directement via Active Directory.

Avantages:

• Facilite la gestion AD grâce aux visualisations et aux rapports
• Fournit un aperçu clair des autorisations et des structures de fichiers grâce à un mappage et des visualisations automatiques
• Les rapports préconfigurés facilitent la démonstration de la conformité
• Tous les problèmes de conformité sont signalés après l'analyse et associés à des actions correctives.
• Les administrateurs système peuvent personnaliser les droits d'accès et le contrôle dans Windows et d'autres applications

Les inconvénients:

• SolarWinds Access Rights Manager est une plate-forme approfondie conçue pour les administrateurs système dont l'apprentissage complet peut prendre du temps.

En plus de générer des rapports, vous pouvezsupprimer automatiquement les comptes inactifs ou expirésque ciblent les cybercriminels.Gestionnaire des droits d'accès SolarWindscommence à 3 444 $ (2 829 £). Il y a aussi30 jours d'essai gratuitversion que vous pouvez télécharger.

SolarWinds Access Rights Manager Téléchargez un essai GRATUIT de 30 jours

Voir également: Gestion des droits d'accès

Comment trouver la source des verrouillages de compte dans Active Directory

Le moyen le plus simple de détecter les verrouillages de compte dans Active Directory consiste à utiliser l'Observateur d'événements, intégré à Windows. Active Directory génère des messages d'événements Windows pour chacune de ses actions. Votre première tâche consiste donc à rechercher le bon journal des événements.

1. Ouvrez une fenêtre PowerShell en appuyant simultanément sur les touches Windows et R. Dans la fenêtre contextuelle Exécuter, tapez PowerShell et appuyez sur ENTRÉE.
2. Sur la ligne de commande, tapez (get-addomain).pdcemulator
3. Notez l'adresse du contrôleur de domaine PCD Emulator, qui sera affichée sur la ligne suivante.
4. Taper sortie pour fermer la fenêtre PowerShell.
5. La visionneuse de journal d'événements standard intégrée au système d'exploitation Windows vous aidera à trouver les verrouillages de compte.
6. Accédez au DC nommé émulateur PDC.
7. Ouvrez l'Observateur d'événements en développant Outils d'administration Windows dans le menu Démarrer et en cliquant sur le Observateur d'événements entrée dans ce sous-menu.
8. Dans l'Observateur d'événements, développez le Journaux Windows nœud dans l’arborescence du menu de gauche. Cliquer sur Sécurité . La liste des événements de sécurité apparaîtra dans le panneau central de l'Observateur d'événements.
9. Dans le panneau de droite de l'Observateur d'événements, cliquez sur Filtrer le journal actuel , ce qui ouvrira une fenêtre contextuelle.
10. Dans le ID d'événement champ remplacer avec 4740 .
11. Sélectionnez un horizon temporel dans le Connecté liste déroulante en haut du formulaire.
12. Vous pouvez éventuellement saisir un nom d'utilisateur ou un nom d'hôte si vous recherchez spécifiquement un verrouillage sur un utilisateur ou une ressource spécifique.
13. Presse D'ACCORD .
14. Double-cliquez sur l'entrée du journal qui concerne l'utilisateur ou la ressource qui vous intéresse et qui a un horodatage qui correspond au moment où vous pensez que le verrouillage s'est produit. Cela ouvrira le rapport d'événement.

Le rapport d'événement vous montrera l'utilisateur qui a été verrouillé, l'ordinateur sur lequel l'événement s'est produit et la source ou la raison du verrouillage.

Gestion Active Directory avec ManageEngine AD360 (ESSAI GRATUIT)

GérerEngine AD360est un recueil de systèmes de gestion ManageEngine Active Directory ainsi qu'un service de sauvegarde et de récupération. Ce package représente un bon exemple des outils disponibles pour automatiser les tâches de gestion entourant l'utilisation d'Active Directory. Il est capable de s'interfacer avec les implémentations AD pour SharePoint , Microsoft 365 , Azur , et AWS , ainsi que le système Active Directory que vous avez dans votre Serveur Windows système opérateur.

Avantages:

• Paquet d'outils AD
• Applique l'authentification multifacteur
• Audite les objets AD pour améliorer la gestion des groupes
• Détecte les comptes inactifs
• Analyse du comportement des utilisateurs

Les inconvénients:

• Vous n'aurez peut-être besoin que d'un seul des outils de composants

ManageEngine AD360 est disponible sur un30 jours d'essai gratuit.

ManageEngine AD360 Commencez un essai GRATUIT de 30 jours

Tutoriel Active Directory : les bases

Active Directory est l'un des meilleurs outils pour gérer les ressources de votre réseau. Dans cet article, nous n’avons fait qu’effleurer la surface du potentiel de cet outil. Si vous utilisez Active Directory, n'oubliez pas qu'il s'agit d'un point d'entrée potentiel pour les cyberattaquants. Prendre note des événements clés de l'annuaire et utiliser un moniteur d'annuaire contribuera grandement à minimiser le risque d'attaque malveillante et à protéger la disponibilité de votre service.

FAQ sur Active Directory s

Quelle est la différence entre un Active Directory et un contrôleur de domaine ?

Active Directory est un système d'authentification. UN domaine est un ensemble d'objets, qui sont des utilisateurs, des ordinateurs et des appareils dont les droits d'accès sont tous gérés dans la même base de données Active Directory. Le contrôleur de domaine est le système de gestion de l'authentification qui implémente les fonctions Active Directory sur les objets de la base de données du domaine.

Comment activer l'audit de sécurité d'Active Directory ?

Pour démarrer l'audit de sécurité dans Active Directory :

1. Se connecter à Serveur Windows en tant qu'administrateur.
2. Aller à Commencer , cliquer sur Outils administratifs , et sélectionnez Console de gestion des stratégies de groupe .
3. Aller au domain/OU à auditer.
4. Faites un clic droit sur le Objet de stratégie de groupe , et choisissez Modifier . Cela ouvrira l'éditeur de gestion des stratégies de groupe.
5. Dans le menu arborescent de gauche, développez La configuration d'un ordinateur , alors Stratégies , développer Paramètres Windows , alors Les paramètres de sécurité , et enfin Politiques locales . Cliquer sur Politiques d'audit.
6. Dans le panneau principal de l'Éditeur, cliquez sur Auditer l'accès aux objets et sélectionnez à la fois le Succès et Échec choix.
7. Cliquer sur Auditer l'accès au service d'annuaire et sélectionnez à la fois le Succès et Échec choix.

Quelle est la différence entre Active Directory et LDAP ?

LeProtocole d'accès à l'annuaire léger(LDAP) est une norme ouverte qui décrit comment les droits d'accès peuvent être gérés.Active Directoryest un système de gestion des droits d'accès, écrit par Microsoft. Active Directory est une évolution des concepts définis dans LDAP.

Que sont Active Directory et l’authentification unique et quelles sont les différences entre eux ?

Authentification unique(SSO) permet à chaque utilisateur d'accéder à plusieurs systèmes avec une seule procédure d'authentification.Active Directory(ANNONCE) est un système de gestion des droits d'accès pouvant mettre en œuvre un environnement SSO.

Puis-je installer Active Directory sur les systèmes d’exploitation clients ?

Non. Active Directory est une fonction serveur et elle est intégrée au système d'exploitation Windows Server. Logiquement, tout client exécutant Active Directory deviendrait un serveur.

Que devez-vous rechercher dans les outils Active Directory ?

Nous avons examiné le marché des logiciels de surveillance Active Directory et analysé les options en fonction des critères suivants :

• Une interface qui offre un moyen plus simple d'organiser Active Directory
• Fonctions de reporting pour l'audit
• La possibilité de surveiller de nombreuses instances AD
• Suivi de la réplication, de la synchronisation, de la sauvegarde et de la migration
• Identification rapide du statut du compte
• Un essai gratuit qui offre une période d'évaluation sans frais
• Rapport qualité-prix grâce à un outil qui se rentabilise en termes d'amélioration de l'efficacité