Centralisez et sécurisez votre annuaire Active Directory

Pour avoir accès à l’annuaire à proprement parler, Microsoft met à disposition un nouvel outil depuis Windows Server 2012 ! Il s’agit du Centre d’administration Active Directory. Cet outil centralise toutes les possibilités d’administration courante telles que la réinitialisation d’un mot de passe (nombreux sont les utilisateurs qui, au retour de congé, oublient leur mot de passe) ou la recherche au sein de l'annuaire.

Par ailleurs, de nouvelles fonctionnalités sont présentes : le contrôle d’accès dynamique ou les politiques d’authentification.

Je vous invite donc à lire la documentation de Microsoft à leur sujet !

Un autre outil est disponible, Utilisateurs et ordinateurs Active Directory. Cet outil permet d’afficher une représentation graphique de l’annuaire.

Ces deux outils se trouvent dans le menu Windows (anciennement menu démarrer), dans le répertoire Outils d’administration. Pour ne pas aller trop vite, je vous propose de vous focaliser sur les types d’objets suivants : Utilisateurs, Unités organisationnelles.

Vous allez donc mettre en œuvre les tâches suivantes :

• Créer une unité organisationnelle pour chaque entité de l’entreprise (service ou département)

• Créer des objets Utilisateurs pour chaque personnel de l’entreprise

Je vous propose d’utiliser le second outil, il est, encore aujourd’hui, le plus utilisé en entreprise. Il est très simple d’utilisation : pour créer une unité organisationnelle pour la Direction, il vous suffit de cliquer sur le nom du domaine et de sélectionner « nouveau » puis « Unité d’Organisation » et de fournir un nom. Vous avez sûrement remarqué qu’il est possible de cocher une option lors de ce processus. Elle permet de mettre en place une protection contre la suppression accidentelle.

Cette option a été ajoutée par Microsoft à partir de la version 2008R2. Elle évite de supprimer une UO accidentellement, c’est intéressant quand une UO accueille de nombreux groupes, utilisateurs, ressources…

N'oubliez donc pas d'activer cette option !

Pour créer un objet utilisateur, là aussi rien de plus simple : cliquer sur le nom de l’Unité Organisationnelle dans lequel vous souhaitez ajouter un utilisateur puis sélectionnez « nouveau » et enfin « Utilisateur ». Sur ce type d’objet, il faut remplir une fiche d’identification qui permet de fournir les informations complètes sur un utilisateur.

Vous noterez que pour les utilisateurs, vous devez ajouter plus d’information avec notamment un nom d’ouverture de session et dans la fenêtre suivante, un mot de passe. Il est important en matière de sécurité d’initialiser ce mot de passe et d’obliger l’utilisateur à le changer.

Plus vous mettrez d’information sur vos utilisateurs, plus votre annuaire sera intéressant. Vous verrez, dans les propriétés de ce type d’objets que de nombreuses autres informations sont disponibles par défaut (là aussi il s’agit d’information fournie par le schéma de la base de données de l’Active Directory).

Généralement, en entreprise, il est intéressant de référencer des informations comme le lien de responsabilité (qui est le/la responsable de cet utilisateur dans l’entreprise). Il est également courant de spécifier sur quel ordinateur (ou groupe d’ordinateur) cet utilisateur peut s’authentifier.

Maintenant que vous avez créé des objets, vous pouvez utiliser l’outil Utilisateurs et Ordinateurs pour identifier la hiérarchie de vos objets.

Vous remarquerez ainsi que de nombreux objets sont créés par défaut par Microsoft. Ils servent à gérer l’annuaire. Notamment, vous allez identifier facilement les serveurs qui ont été promus comme contrôleur de domaine, ils se trouvent dans l’UO Domain Controllers.

Unité d’organisation Domain Controllers

De même, dans l’UO Users, se trouvent les utilisateurs définis par défaut avec des groupes standards. Ils peuvent faciliter la configuration de droits spécifiques (groupes : utilisateurs authentifiés) ou, nous y reviendrons, générer un peu de travail supplémentaire en termes de sécurisation (Administrateurs, …).

Il se trouve dans une Unité Organisationnelle particulière, créée par défaut lors de la mise en place d’Active Directory (cela fait partie du schéma de l’annuaire). Vous y retrouvez bien vos deux serveurs, ils sont tous les deux « catalogue global » et font partie du même site.

L’outil Sites et services Active Directory

Je vous laisse créer l’arborescence de notre entreprise fictive Gift S.A. à votre rythme !

À ce stade, il est intéressant de s’occuper de vos postes clients. C’est ce que vous allez faire dans le chapitre suivant !

En résumé

• L’outil Utilisateurs et Ordinateurs Active Directory est un client graphique pour l’AD

• La création d’une Unité Organisationnelle se fait uniquement avec un nom

• Il existe une protection sur les Unités Organisationnelles pour éviter la suppression accidentelle

• La création d’un objet Utilisateur se fait en fournissant un nom complet obligatoirement