📘 Module Académique : Gestion des Identités et des Accès — L'Écosystème d'Identité Microsoft Windows Server 2016

Imaginez une nation moderne : un territoire (le réseau d'entreprise) avec des citoyens (utilisateurs), des fonctionnaires (services et applications), des documents officiels (données), des bâtiments administratifs (serveurs) et des frontières (périmètre réseau).

Interaction dans l'analogie → Mécanisme technique

• Un citoyen (utilisateur) se rend dans sa préfecture (DC) pour obtenir sa carte d'identité (certificat). Cette carte est reconnue dans tout le pays (forêt) et lui permet d'accéder aux bâtiments publics (ressources) selon ses droits (ACL).
• Pour se rendre dans une région voisine (domaine), un passeport (relation d'approbation) est nécessaire. S'il s'agit d'un pays étranger (forêt externe), un accord diplomatique (approbation de forêt) doit être signé.
• Une loi (GPO) votée au niveau national (domaine) s'applique à tous. Une loi votée au niveau local (OU) ne s'applique qu'à ce quartier et peut être plus stricte.

Panne/dysfonctionnement analogique → Bug, attaque ou erreur

• Préfecture inaccessible (DC indisponible) : les citoyens de cette ville ne peuvent plus être authentifiés → migration vers une autre préfecture (basculement) si le réseau le permet (site).
• Falsification de la carte d'identité (attaque DNS Cache Poisoning) : un imposteur peut usurper l'identité d'un site légitime → signature électronique des documents (DNSSEC) pour garantir l'authenticité.
• Pont effondré (lien intersite saturé) : les communications entre deux régions deviennent très lentes → mise en place d'un horaire de circulation restreint (planification de réplication) pour les flux non critiques.
• Citoyen perdant ses documents (mot de passe oublié) : intervention du service des ressources humaines (délégation de réinitialisation de mot de passe) pour émettre un nouveau sésame.

Le système d'identité Windows Server 2016 est un écosystème auto-régulé dont l'objectif est de garantir que les bonnes entités (utilisateurs, services, machines) accèdent aux bonnes ressources, au bon moment, de la bonne manière.

Boucles de régulation

• Boucle primaire (authentification) : Un utilisateur tente d'accéder à une ressource. Le système interroge un DC (via DNS) pour s'authentifier (Kerberos). L'identité est validée. Un jeton d'accès est délivré.
• Boucle de configuration (contrôle) : Les administrateurs définissent des règles (GPO, stratégies d'accès central) qui sont stockées dans AD et répliquées sur les DC. Celles-ci s'appliquent aux utilisateurs et aux ordinateurs lors de leur connexion/démarrage.
• Boucle de résilience (réplication/haute disponibilité) : Les modifications apportées à un DC sont répliquées vers d'autres DC selon la topologie définie par les sites et les liens de site. En cas de panne, les clients sont redirigés vers un autre DC, et les services critiques basculent vers des nœuds secondaires.
• Boucle de sécurité (PKI/RMS) : Pour les transactions sensibles, une PKI émet des certificats. Les utilisateurs peuvent protéger des documents avec AD RMS, ajoutant une couche de droits persistants qui suivent le document.
• Boucle d'extension (fédération) : Pour collaborer avec des partenaires externes, AD FS crée une relation de confiance qui permet une authentification unique (SSO) sans exposer l'annuaire interne.

Points de défaillance critiques

• Perte de tous les DC d'un site : plus d'authentification locale → effet cascade sur tous les services.
• Pollution du cache DNS : redirection des utilisateurs vers des sites frauduleux.
• Compromission de la CA racine PKI : tous les certificats émis deviennent invalides.
• Perturbation du quorum du cluster : un cluster peut s'arrêter complètement pour éviter une corruption des données.
• Expiration des certificats AD FS : blocage de toutes les authentifications fédérées.

Rôle métier/technique

La gestion des identités et des accès sous Windows Server 2016 constitue le système nerveux central de l'infrastructure. Elle ne se contente pas de vérifier les mots de passe ; elle :

• Centralise et normalise toutes les identités (utilisateurs, ordinateurs, services, applications).
• Définit et applique les politiques de sécurité (mots de passe, droits d'accès, configurations).
• Authentifie et autorise les accès aux ressources (fichiers, imprimantes, applications, services réseau).
• Protège et contrôle l'intégrité et la confidentialité des données.
• Étend l'identité au-delà du périmètre interne via la fédération et les accès sécurisés depuis l'extérieur.

Positionnement dans les modèles de référence

• Modèle OSI / TCP/IP : Le système d'identité s'étend de la couche Application (protocoles Kerberos, LDAP sur TCP 389/636, DNS sur UDP 53, DHCP sur UDP 67/68) jusqu'aux couches supérieures.
• Modèle Zero Trust : Fournit les outils pour implémenter vérification explicite (Kerberos, certificats), moindre privilège (ACL, DAC), et présomption de brèche (audit, RMS).
• Modèle ITIL : Couvre directement la Gestion des Incidents, des Problèmes, des Changements, de la Sécurité, et de la Continuité.

Frontières et interfaces

• Interne : Interfaces avec les services d'infrastructure (DNS, DHCP).
• Externe : Interfaces avec les partenaires via AD FS et le Proxy d'application web.
• Applicative : Interfaces avec les applications via les bibliothèques d'authentification Windows, les API de gestion (PowerShell, WMI).

Principes philosophiques directeurs

• Centralisation avec délégation : Le contrôle ultime est central (Administrateurs de l'entreprise), mais la gestion quotidienne peut être déléguée.
• Moindre privilège : Toute entité doit recevoir uniquement les droits minimaux nécessaires à l'accomplissement de ses tâches.
• Sécurité par défaut (Fail-Secure) : En cas de défaillance d'un mécanisme de contrôle, le système doit refuser l'accès par défaut.
• Durabilité et non-répudiation : Les actions importantes doivent être traçables et inaltérables (journaux d'événements).
• Standardisation par les politiques : Les configurations (GPO) sont définies une fois de manière centralisée et appliquées automatiquement.

A. Mécanisme d'Authentification Kerberos

Fonctionnement nominal :

• Demande de TGT : Le client envoie sa demande au KDC (Key Distribution Center), service intégré au DC. La demande contient l'horodatage du client, chiffré avec le hash du mot de passe de l'utilisateur.
• Validation et émission du TGT : Le KDC déchiffre la demande. Si l'horodatage est valide, il crée un TGT (ticket chiffré avec la clé secrète du KDC).
• Demande de TGS : L'utilisateur envoie sa requête au KDC avec le TGT et un Authenticator, ainsi que le nom du service demandé.
• Émission du ticket de service : Le KDC valide et génère un Ticket de Service (TGS) chiffré avec la clé secrète du service demandé.
• Présentation du TGS au service : Le client présente le TGS au service, qui le déchiffre et accorde l'accès.

Conditions de validité : Synchronisation horaire (tolérance 5 minutes), compte actif dans AD, SPN enregistré pour le service.

Limites : Expiration du TGT, désynchronisation horaire, non disponibilité du KDC, attaque Pass-the-Ticket.

B. Mécanisme de Réplication Active Directory (Multimaster)

Fonctionnement nominal :

• Modification : Un administrateur modifie un attribut sur DC1. La modification est écrite dans ntds.dit. Le numéro de version (uSNChanged) est incrémenté.
• Notification : DC1 envoie une notification à ses partenaires de réplication.
• Récupération : Un DC partenaire (DC2) demande les modifications depuis le dernier USN qu'il possède.
• Transfert et application : DC1 envoie les modifications. DC2 les applique. Les conflits sont résolus via les attributs de version, GUID et horodatage.

Conditions de validité : Topologie générée par le KCC, résolution DNS fonctionnelle, niveau fonctionnel de domaine adéquat.

Limites : Conflits de réplication (résolus par version > GUID), USN roulé en arrière (restauration inappropriée), liens intersites lents.

AD DS

• Protocole : LDAP (Lightweight Directory Access Protocol) : port TCP 389, TCP 636 (LDAPS). GC : port TCP 3268, 3269 (LDAPS).
• Base de données : %SYSTEMROOT%\NTDS\ntds.dit. Fichiers de log : edb.log, edb000X.log, edb.chk.
• Rôles FSMO : Forêt : Schema Master, Domain Naming Master. Domaine : RID Master, PDC Emulator, Infrastructure Master. Commande netdom query fsmo.
• Outils : dsa.msc, dsmgmt.msc, gpmc.msc, repadmin.exe, ntdsutil.exe.
• PowerShell : Module Active Directory : Get-ADUser, New-ADUser, Get-ADGroup, Move-ADObject, Set-ADUser.

Stratégies de Groupe (GPO)

• Stockage : \\domaine\SYSVOL\domaine\Policies\{GUID}. Répertoire SYSVOL répliqué entre DC.
• Modèles : admx (centralisés) vs adm. Magasin central : \\domaine\SYSVOL\domaine\Policies\PolicyDefinitions.
• Traitement : Ordre : Local, Site, Domaine, OU. Héritage et blocage. Filtrage : Sécurité (groupes), WMI.
• Outils : gpmc.msc, gpedit.msc, gpupdate /force, gpresult /h rapport.html.
• Préférences : Mappages de lecteurs, raccourcis, imprimantes, paramètres de registre, options d'alimentation. Ciblage au niveau de l'élément (plage IP, site AD).

DNS

• Zones : Primaire, Secondaire, Stub, GlobalNames, Recherche inversée.
• Enregistrements : A/AAAA, CNAME, MX, SRV, SOA, NS, PTR.
• Sécurité : Cache Locking (Set-DnsServerCache -LockingPercent), Pool de sockets, DNSSEC (signature de zone).
• Outils : dnsmgmt.msc, dnscmd, ipconfig /flushdns, nslookup.

DHCP

• Bail : 8 jours par défaut. Renouvellement à 50%.
• Haute disponibilité : Basculement (Failover) : Mode "Serveur de secours" (95/5) ou "Équilibrage de la charge".
• Options : Réservation (basée sur MAC), Filtre MAC, Stratégies.
• Outils : dhcpmgmt.msc, netsh dhcp, Get-DhcpServerv4Scope.

AD CS (PKI)

• Types de CA : Autonome (CA racine/intermédiaire), Entreprise (intégrée AD).
• Services de rôle : Autorité de certification, Inscription Web, Répondeur en ligne (OCSP), Inscription périphérique réseau (NDES/SCEP), Service Web d'inscription, Service Web Stratégie d'inscription.
• Modèles : certtmpl.msc. Création/Duplication. Permissions d'inscription.
• Gestion : certsrv.msc, certlm.msc, certmgr.msc.

AD RMS

• Cluster : Un seul cluster racine par forêt. URL d'accès (SSL).
• Modèles de stratégie : Définissent les droits (Lecture, Modifier, Imprimer), dates d'expiration, groupes cibles.
• Exclusion : Utilisateurs, applications, versions de référentiel sécurisé.

AD FS

• Architecture : Fournisseur de revendications (authentification), Partie de confiance (application).
• Proxy : WAP (Web Application Proxy) : reverse proxy, pré-authentification AD FS.
• Certificats : SSL, signature de jetons, déchiffrement.
• Outils : Microsoft.IdentityServer.msc, Set-ADFSProperties, Install-WebApplicationProxy.

Penser en chaînes causales

Exemple concret : "Je veux changer la politique de mot de passe par défaut pour la rendre plus stricte."

• Impact primaire : La nouvelle politique s'applique à tous. Les mots de passe faibles seront refusés.
• Impact secondaire : Les comptes de service (ex: svc_adrms) peuvent être affectés. Anticipation : Identifier les comptes de service. Leur appliquer une GPO différente via filtrage de sécurité, ou créer une stratégie de mots de passe affinée (fine-grained).
• Impact tertiaire : La nouvelle politique peut causer des échecs lors de la création de nouveaux comptes via certaines applications. Anticipation : Tester dans un environnement de validation. Communiquer avec les équipes de développement.
• Impact quaternaire : L'émulateur PDC gère les changements de mot de passe. Anticipation : Vérifier la disponibilité et le rôle de l'émulateur PDC.

Diagnostiquer par hypothèses réfutables

1. Établir le périmètre : Le problème est-il global ou local ?
2. Recueillir les preuves objectives : Journaux, rapports (gpresult /h), commandes (repadmin /showrepl, dcdiag), captures réseau.
3. Formuler des hypothèses mutuellement exclusives : DNS (résolution), réseau (firewall), KDC, Kerberos (horloge).
4. Tester une hypothèse : Commencer par la plus simple (nslookup, telnet <DC> 389).
5. Réfuter ou confirmer : Si nslookup renvoie la bonne IP, l'hypothèse A est fausse. Si telnet échoue, l'hypothèse B devient probable.
6. Isoler la cause racine : Tester avec un autre client. Vérifier les règles de pare-feu.
7. Résoudre et valider : Corriger et vérifier que le problème est résolu.

Lire les signaux faibles

• Dans les logs : Événement 5723 (Kerberos) = mauvais SPN. 4013 (DNS) = DC attendant configuration DNS. 1202 (GPO) = problèmes de permissions sur SYSVOL.
• Dans les métriques : Augmentation soudaine des requêtes DNS vers les serveurs racine = mauvaise configuration des redirecteurs. Latence de réplication croissante = saturation du lien.
• Dans les comportements : Lenteurs intermittentes à l'ouverture de session = DC surchargé ou topologie de réplication inefficace.

Lois invariantes du domaine

Équations mentales

Checklists cognitives pour les opérations critiques

Avant de promouvoir un DC :

• ☐ La résolution DNS du domaine est fonctionnelle (vérifier les enregistrements SRV).
• ☐ La machine a une adresse IP statique et est membre du domaine.
• ☐ Le compte utilisé a les droits nécessaires.
• ☐ Le niveau fonctionnel cible est validé (il ne peut être abaissé).
• ☐ Le mot de passe DSRM est sécurisé et documenté.

Avant de déployer une nouvelle GPO :

• ☐ La GPO a été testée sur un groupe pilote.
• ☐ Le résultat gpresult sur le pilote est conforme.
• ☐ L'impact sur les performances a été évalué.
• ☐ Les permissions de sécurité sur la GPO sont correctes.

Retour à l'analogie centrale

Carte heuristique textuelle des concepts clés

• CŒUR : ACTIVE DIRECTORY DS : Objets (Utilisateurs, Ordinateurs, Groupes), Structure (Forêt > Domaines > OU), Réplication (KCC, Sites, Liens), Rôles FSMO, Authentification Kerberos.
• CONTRÔLE : STRATÉGIES DE GROUPE (GPO) : Contenu (Stratégies, Préférences), Application (LSDOU, Héritage), Gestion (GPMC, gpupdate).
• RÉSEAU & INFRASTRUCTURE : DNS (Zones, DNSSEC), DHCP (Baux, Basculement), IPAM.
• SÉCURITÉ & PROTECTION : PKI (AD CS), Gestion des droits (AD RMS).
• FÉDÉRATION (AD FS) : Revendications, Parties de confiance, Proxy WAP, SSO.
• HAUTE DISPONIBILITÉ : NLB, Clusters de basculement (Quorum, CSV).
• RÉSILIENCE : Sauvegarde (Windows Server Backup, Azure Backup), Clichés instantanés, Corbeille AD, ntdsutil.

Concepts adjacents indispensables

• PowerShell DSC (Desired State Configuration) : Infrastructure en code (IaC). Permet de déclarer l'état souhaité d'un serveur (rôles AD, DNS, GPO) et de l'appliquer de manière idempotente.
• Azure AD Connect : Pont entre AD DS sur site et Azure AD. Synchronisation des identités, gestion du mot de passe en écriture, SSO vers Office 365.
• AD LDS (Lightweight Directory Services) : Version allégée d'AD DS, sans domaines ni GPO. Pour fournir un annuaire indépendant pour des applications.

Approfondissements théoriques

• Complexité algorithmique de la réplication : Le KCC implémente un algorithme de graphe pour générer une topologie de réplication connexe avec un nombre minimal de connexions, respectant des contraintes de redondance.
• Limites physiques de la PKI : La sécurité repose sur la longueur de clé. Avec l'avènement potentiel de l'informatique quantique, les clés RSA 2048 bits pourraient être vulnérables. Algorithmes post-quantiques et ECC deviennent des considérations.

Perspective "vendor-neutral"

• Annuaire : Active Directory DS ↔ FreeIPA, OpenLDAP + MIT Kerberos.
• Gestion centralisée : GPO ↔ Ansible, Puppet, Chef.
• PKI : AD CS ↔ OpenCA, EJBCA.
• Fédération : AD FS (WS-Federation, SAML) ↔ Shibboleth, Keycloak.
• DNS : Serveur DNS Microsoft ↔ BIND9, PowerDNS.
• Haute disponibilité : Clusters de basculement ↔ Pacemaker + Corosync.

Évolution future et tendances

• Passage au cloud hybride : L'identité n'est plus uniquement on-premise. Unification via Azure AD, gestion des appareils via Intune.
• Authentification sans mot de passe : Windows Hello for Business, FIDO2, clés de sécurité.
• Infrastructure as Code : Déploiement programmatique et déclaratif (PowerShell DSC, Terraform).
• Zero Trust Network Access (ZTNA) : Remplacer les VPN. WAP et Azure AD Application Proxy comme précurseurs.

Liens vers d'autres disciplines

• Programmation : Scripts PowerShell pour l'automatisation AD, application des principes SOLID.
• Hardware : Sécurité des PKI (HSM, TPM), performance des clusters (réseau dédié, stockage SAN).
• Droit : Conformité RGPD (droit à l'oubli, traçabilité des accès). Logs AD, stratégies de rétention, protection via AD RMS.
• Économie : Choix on-premise vs cloud (CAPEX vs OPEX). Haute disponibilité comme assurance contre le coût des temps d'arrêt.