Active Directory

Sommaire
1. Introduction et vue d'ensemble
Qu'est-ce qu'un annuaire ?
Pourquoi Active Directory ?
Brève histoire

2. Concepts fondamentaux
LDAP, X.500, objets et attributs
Identités et noms distinctifs (DN)

3. Les services de la famille Active Directory

AD DS, AD LDS, AD CS, AD FS, AD RMS

4. Architecture logique
Forêt, arbre, domaine
Unités d'organisation (OU)
Le schéma

5. Architecture physique
Contrôleurs de domaine
Sites et sous-réseaux
Base [Link] et SYSVOL

6. Le rôle central du DNS

7. Les rôles FSMO

8. Le catalogue global

9. La réplication

10. Comptes, groupes et SID

11. L'authentification : Kerberos et NTLM

12. Les stratégies de groupe (GPO)

13. Les relations d'approbation (trusts)

14. Outils d'administration

15. Sécurité, attaques et défense

16. Sauvegarde et restauration

17. Glossaire
1. Introduction et vue d'ensemble
Active Directory (AD) est le service d'annuaire développé par Microsoft pour les réseaux d'entreprise reposant sur Windows. Il constitue la
colonne vertébrale de l'identité et de la gestion centralisée dans la grande majorité des organisations : il stocke les comptes utilisateurs, les
ordinateurs, les groupes, les imprimantes et de multiples autres ressources, tout en contrôlant qui peut accéder à quoi.

1.1 Qu'est-ce qu'un annuaire ?

Un service d'annuaire (directory service) est une base de données hiérarchique spécialisée dans la lecture rapide d'informations relativement stables :
noms, identifiants, adresses, appartenances à des groupes, etc. Contrairement à une base de données transactionnelle classique (optimisée pour de
fréquentes écritures), un annuaire est optimisé pour de très nombreuses lectures et des écritures plus rares. On peut le comparer à un annuaire
téléphonique géant et organisé, interrogeable de mille manières.

1.2 Pourquoi Active Directory ?

Avant AD, chaque serveur Windows gérait ses propres comptes locaux : un utilisateur devait posséder un identifiant différent sur chaque machine. Active
Directory résout ce problème en proposant :
Une authentification centralisée : un seul compte permet d'accéder à toutes les ressources autorisées du domaine (principe du Single Sign-On).
Une administration centralisée : création, modification et suppression des comptes depuis un point unique.
L'application de politiques : configuration et règles de sécurité poussées massivement via les GPO.
Une organisation hiérarchique reflétant la structure de l'entreprise (sites, départements, etc.).
La scalabilité : d'une dizaine à plusieurs millions d'objets.

1.3 Brève histoire

Version Windows Server Apports majeurs

Windows 2000 Server Première version d'Active Directory, remplaçant les domaines NT4.

Windows Server 2003 Forêts, approbations de forêt, renommage de domaine.

Windows Server 2008 / R2 Contrôleurs en lecture seule (RODC), stratégies de mot de passe affinées, corbeille AD (R2).

Windows Server 2012 / R2 Clonage de DC virtualisés, gestion simplifiée (ADAC), Dynamic Access Control.

Windows Server 2016 → 2025 Renforcement de la sécurité (PAM, gMSA, niveaux fonctionnels modernes), intégration cloud (Azure AD / Entra ID).

À noter : Microsoft a renommé « Azure Active Directory » en Microsoft Entra ID. Il s'agit d'un service d'identité cloud distinct de l'Active Directory «
on-premise » décrit ici, même s'ils peuvent être synchronisés (identité hybride).
2. Concepts fondamentaux

2.1 Les racines : X.500 et LDAP

Active Directory s'inspire de la norme d'annuaire X.500 et utilise le protocole LDAP (Lightweight Directory Access Protocol) pour interroger et modifier
l'annuaire. LDAP fonctionne par défaut sur le port 389 (et 636 pour LDAPS, sa version chiffrée par TLS). C'est le langage standardisé que tout client utilise
pour « parler » à l'annuaire.

2.2 Objets et attributs

Tout dans Active Directory est un objet : un utilisateur, un ordinateur, un groupe, une imprimante, une OU... Chaque objet appartient à une classe définie
par le schéma et possède des attributs (caractéristiques). Par exemple, un objet de classe user possède des attributs tels que sAMAccountName (nom de
connexion), givenName (prénom), mail , memberOf , etc.

2.3 Les noms distinctifs (Distinguished Name)

Chaque objet possède un nom distinctif (DN) unique qui décrit son emplacement complet dans la hiérarchie, lu de la feuille vers la racine. Les
composants courants sont :
CN — Common Name (nom commun de l'objet)
OU — Organizational Unit (unité d'organisation)
DC — Domain Component (composant du nom de domaine)

CN=Marie Dupont,OU=Comptabilite,OU=Paris,DC=entreprise,DC=local

Ce DN se lit ainsi : l'utilisatrice « Marie Dupont » se trouve dans l'OU « Comptabilité », elle-même contenue dans l'OU « Paris », au sein du domaine
[Link] . On distingue aussi le RDN (Relative DN, ici CN=Marie Dupont ) et l'UPN (User Principal Name, du type
[Link]@[Link] ) utilisé pour se connecter.

GUID et SID : au-delà du nom, chaque objet possède un GUID (identifiant globalement unique et immuable, même si l'objet est renommé ou déplacé)
et, pour les principaux de sécurité, un SID (Security Identifier) utilisé dans les contrôles d'accès.
3. Les services de la famille Active Directory
« Active Directory » désigne couramment un ensemble de rôles. Le plus connu est AD DS, mais il en existe plusieurs :

Service Rôle

AD DS Le cœur : l'annuaire de domaine proprement dit (utilisateurs, ordinateurs, authentification, GPO). C'est ce que l'on désigne presque
Domain Services toujours par « Active Directory ».

AD LDS Un annuaire LDAP léger et autonome, sans dépendance au domaine, destiné aux applications ayant besoin d'un magasin d'annuaire
Lightweight Directory dédié.
Services

AD CS Infrastructure à clés publiques (PKI) : émission et gestion de certificats numériques (authentification, chiffrement, signature).
Certificate Services

AD FS Fédération d'identité : permet l'authentification unique (SSO) vers des applications externes ou cloud via des jetons (SAML, OAuth, etc.).
Federation Services

AD RMS Protection des informations : chiffrement et restriction d'usage des documents et e-mails (qui peut lire, imprimer, transférer).
Rights Management
Services

Dans la suite de ce document, sauf mention contraire, « Active Directory » fait référence à AD DS.
4. Architecture logique
La structure logique organise les objets indépendamment de leur localisation physique. Elle repose sur une hiérarchie : forêt → arbre → domaine → OU →
objets.

4.1 Le domaine
Le domaine est l'unité de base d'administration et de réplication. Il regroupe des objets partageant une base de données commune, une politique de
sécurité et des relations d'approbation. Un domaine est identifié par un nom DNS (ex. [Link] ). Toute la base d'un domaine est répliquée entre
ses contrôleurs de domaine.

4.2 L'arbre (tree)

Un arbre est un regroupement d'un ou plusieurs domaines partageant un espace de noms DNS contigu. Par exemple, [Link] ,
[Link] et [Link] forment un même arbre. Les domaines enfants héritent du suffixe du parent et entretiennent
automatiquement des approbations transitives bidirectionnelles avec lui.

4.3 La forêt (forest)

La forêt est le conteneur de sécurité de plus haut niveau : c'est la limite de sécurité ultime d'Active Directory. Elle regroupe un ou plusieurs arbres qui
partagent :
un schéma commun ;
une configuration commune ;
un catalogue global commun ;
des approbations transitives automatiques entre tous les domaines.
Le premier domaine créé dans une forêt est le domaine racine de forêt. Il joue un rôle particulier (il héberge notamment certains rôles FSMO uniques à la
forêt).

Important — la forêt est la frontière de sécurité : contrairement à une idée répandue, le domaine n'est pas une vraie frontière de sécurité. Un
administrateur d'un domaine peut, par divers mécanismes, compromettre les autres domaines de la même forêt. Pour une isolation réelle, il faut des
forêts distinctes.

4.4 Les unités d'organisation (OU)

Les OU sont des conteneurs servant à organiser les objets à l'intérieur d'un domaine. Elles remplissent deux fonctions essentielles :
La délégation d'administration : on peut confier la gestion d'une OU (réinitialiser les mots de passe, créer des comptes...) à une personne, sans lui
donner les droits sur tout le domaine.
L'application des GPO : les stratégies de groupe se lient à des OU, ce qui permet de cibler précisément des ensembles d'utilisateurs ou d'ordinateurs.
On structure généralement les OU selon la géographie, les départements, ou le type d'objet — souvent une combinaison.

4.5 Le schéma
Le schéma est la définition formelle de tous les types d'objets (classes) et d'attributs que l'annuaire peut contenir. C'est en quelque sorte le « plan » de la
base. Il est unique et partagé par toute la forêt. Étendre le schéma (par exemple lors de l'installation d'Exchange) ajoute de nouvelles classes/attributs ;
cette opération est irréversible et doit être mûrement préparée.
5. Architecture physique
La structure physique décrit où et comment l'annuaire est réellement stocké et répliqué sur le réseau.

5.1 Les contrôleurs de domaine (DC)

Un contrôleur de domaine est un serveur Windows qui héberge une copie de la base AD du domaine et traite les demandes d'authentification.
Caractéristiques clés :
AD utilise un modèle multimaître : la plupart des modifications peuvent se faire sur n'importe quel DC en écriture, puis se répliquent vers les autres.
Il est fortement recommandé d'avoir au moins deux DC par domaine pour la tolérance de panne.
Un RODC (Read-Only Domain Controller) héberge une copie en lecture seule, utile dans les sites distants peu sécurisés (agences).

5.2 La base de données : [Link]

Les données d'Active Directory sont stockées dans un fichier nommé [Link] (situé par défaut dans C:\Windows\NTDS\ ), reposant sur le moteur de base
de données ESE (Extensible Storage Engine). Ce fichier contient tous les objets du domaine, y compris les empreintes de mots de passe — ce qui en fait
une cible majeure pour les attaquants.

5.3 SYSVOL
SYSVOL est un dossier partagé ( \\domaine\SYSVOL ) présent sur chaque DC. Il contient les scripts de connexion et les fichiers des stratégies de groupe.
Son contenu est répliqué entre DC (via DFS-R sur les versions modernes, anciennement FRS).

5.4 Sites et sous-réseaux

Un site représente un ou plusieurs sous-réseaux IP bien connectés (typiquement un emplacement géographique : un bâtiment, un data center). Les sites
servent à :
Optimiser la réplication : intense et fréquente à l'intérieur d'un site, planifiée et compressée entre sites (reliés par des « liens de site »).
Diriger les clients vers le DC le plus proche pour l'authentification et la recherche de ressources.

Élément Rôle

Site Regroupement logique de sous-réseaux bien connectés.

Subnet Associe une plage IP à un site.

Site link Définit la connectivité, le coût et la planification de réplication entre sites.

KCC Knowledge Consistency Checker : génère automatiquement la topologie de réplication.

6. Le rôle central du DNS
Active Directory dépend totalement du DNS (Domain Name System). Sans DNS fonctionnel et correctement configuré, AD ne peut pas fonctionner. Le
DNS sert à localiser les services et les contrôleurs de domaine.

6.1 Les enregistrements SRV

Les clients ne « devinent » pas où se trouvent les DC : ils interrogent le DNS pour des enregistrements de type SRV (service) qui indiquent quels serveurs
offrent quels services (authentification Kerberos, LDAP, catalogue global...) et dans quel site.

_ldap._tcp.dc._msdcs.[Link] → liste des contrôleurs de domaine

_kerberos._tcp.[Link] → serveurs Kerberos (KDC)
_gc._tcp.[Link] → serveurs de catalogue global

6.2 Zones intégrées à AD

On configure généralement des zones DNS intégrées à Active Directory : les données DNS sont alors stockées dans l'annuaire lui-même et répliquées
automatiquement entre DC, avec mise à jour dynamique et sécurisée. C'est l'architecture recommandée.

Erreur fréquente : configurer les cartes réseau des postes clients pour pointer vers un DNS public (comme [Link] ) au lieu des DC internes. Cela
empêche la localisation des contrôleurs de domaine et casse l'authentification. Les clients d'un domaine doivent toujours utiliser les serveurs DNS
internes.
7. Les rôles FSMO
Bien qu'AD soit multimaître, certaines opérations sensibles ne peuvent pas se faire simultanément sur plusieurs DC sans risque de conflit. Microsoft les
confie donc à des rôles uniques appelés FSMO (Flexible Single Master Operations). Il existe cinq rôles : deux au niveau de la forêt, trois au niveau de
chaque domaine.

7.1 Rôles au niveau de la forêt (uniques dans toute la forêt)

Rôle Fonction

Schema Master Seul DC autorisé à modifier le schéma de la forêt.

Maître de schéma

Domain Naming Master Contrôle l'ajout et la suppression de domaines dans la forêt.

Maître d'attribution des noms

7.2 Rôles au niveau du domaine (uniques par domaine)

Rôle Fonction

RID Master Distribue des blocs d'identifiants relatifs (RID) aux DC pour générer des SID uniques.

PDC Emulator Référence de temps du domaine, traite les changements de mot de passe en priorité, gère le verrouillage des comptes et la compatibilité
héritée. C'est le rôle le plus sollicité.

Infrastructure Maintient les références aux objets situés dans d'autres domaines.
Master

Bon à savoir : en cas de panne définitive du détenteur d'un rôle FSMO, on procède à une saisie (seize) du rôle vers un autre DC. Le PDC Emulator est
généralement le rôle le plus critique à restaurer rapidement.
8. Le catalogue global
Le catalogue global (Global Catalog, GC) est un service hébergé par certains DC. Il contient :
une réplique complète des objets de son propre domaine ;
une réplique partielle (un sous-ensemble d'attributs les plus recherchés) de tous les objets de tous les domaines de la forêt.
Il permet ainsi des recherches rapides à l'échelle de la forêt sans interroger chaque domaine. Le GC écoute sur le port 3268 (et 3269 en LDAPS). Il est
également indispensable à l'ouverture de session (résolution de l'appartenance aux groupes universels) et à des applications comme Exchange.
9. La réplication
La réplication garantit que tous les contrôleurs de domaine possèdent une copie cohérente des données. AD utilise une réplication multimaître à
convergence : les modifications faites sur un DC se propagent aux autres jusqu'à ce que tous soient identiques.

9.1 Les partitions répliquées

Partition Contenu Étendue

Schema Définition des classes/attributs Toute la forêt

Configuration Topologie (sites, DC, services) Toute la forêt

Domain Objets du domaine (users, computers...) Domaine concerné

Application Données applicatives (ex. DNS) Variable

9.2 Mécanismes anti-conflits

Pour décider quelle version d'un attribut l'emporte en cas de modifications concurrentes, AD s'appuie sur :
USN (Update Sequence Number) : compteur croissant propre à chaque DC.
Des vecteurs de mise à jour (high-watermark, up-to-dateness vector) pour ne répliquer que les changements nécessaires.
Des règles de résolution de conflit basées sur l'horodatage et le numéro de version des attributs.
La réplication intra-site est quasi immédiate (déclenchée par notification), tandis que la réplication inter-sites est compressée et planifiée selon le coût
des liens de site.
10. Comptes, groupes et SID

10.1 Les types de comptes

Comptes utilisateurs : représentent les personnes (ou des services).
Comptes d'ordinateurs : chaque machine jointe au domaine possède son propre compte et mot de passe (changé automatiquement).
Comptes de service gérés (MSA / gMSA) : comptes dont le mot de passe est géré automatiquement par AD, idéaux pour les services applicatifs.

10.2 Le SID
Le SID (Security Identifier) identifie de manière unique chaque principal de sécurité. C'est lui — et non le nom — qui est utilisé dans les contrôles d'accès
(ACL). Un SID se compose de l'identifiant du domaine suivi d'un RID propre à l'objet :

S-1-5-21-3623811015-3361044348-30300820-1013
└┬┘ └────────── identifiant du domaine ──────────┘ └─┬─┘
révision RID

10.3 Les groupes : étendue et type

Les groupes simplifient l'attribution des droits. On distingue le type (sécurité, pour les permissions ; ou distribution, pour les listes de diffusion) et
l'étendue :

Étendue Peut contenir Utilisation typique

Domaine local Comptes/groupes de toute la forêt Attribuer des permissions sur une ressource précise.

Globale Comptes/groupes du même domaine Regrouper des utilisateurs par fonction.

Universelle Comptes/groupes de toute la forêt Regrouper à l'échelle de la forêt (stockée dans le GC).

Stratégie AGDLP : bonne pratique classique consistant à placer les comptes (Accounts) dans des groupes Globaux, eux-mêmes membres de groupes
de Domaine Local, auxquels on attribue les Permissions.

10.4 Groupes privilégiés à surveiller

Certains groupes confèrent des pouvoirs étendus et sont des cibles prioritaires : Domain Admins, Enterprise Admins, Schema Admins, Administrators,
Account Operators, Backup Operators. Leur composition doit être strictement limitée et auditée.
11. L'authentification : Kerberos et NTLM
L'authentification consiste à prouver son identité ; l'autorisation détermine ensuite les accès. AD utilise principalement deux protocoles.

11.1 Kerberos (protocole par défaut)

Kerberos repose sur un système de tickets délivrés par le KDC (Key Distribution Center), rôle tenu par les contrôleurs de domaine. Le principe évite de
transmettre le mot de passe sur le réseau. Déroulement simplifié :
1. L'utilisateur s'authentifie auprès du service AS du KDC, qui lui renvoie un TGT (Ticket Granting Ticket), chiffré.
2. Pour accéder à un service, le client présente son TGT au service TGS du KDC et obtient un ticket de service spécifique.
3. Le client présente ce ticket de service au serveur cible, qui accorde l'accès sans recontacter le KDC.
Kerberos est plus sûr et plus performant que NTLM, mais exige une synchronisation horaire fiable (tolérance par défaut : 5 minutes) — d'où l'importance
du PDC Emulator comme source de temps.
Chaque service est identifié par un SPN (Service Principal Name), qui associe un service à un compte. Une mauvaise gestion des SPN ouvre la voie à
certaines attaques (Kerberoasting).

11.2 NTLM (hérité)

NTLM est l'ancien protocole, basé sur un mécanisme défi/réponse. Il est conservé pour la compatibilité (connexions par adresse IP, machines hors
domaine, applications anciennes) mais présente des faiblesses connues (vulnérable au pass-the-hash, au relais NTLM). Les organisations cherchent à le
désactiver autant que possible.

Sécurité : les empreintes de mots de passe (hashes) NTLM stockées et les tickets Kerberos sont au cœur de nombreuses attaques. Réduire la surface
NTLM et protéger les identifiants en mémoire (Credential Guard) sont des mesures essentielles.
12. Les stratégies de groupe (GPO)
Les GPO (Group Policy Objects) sont le mécanisme central de configuration et de sécurisation centralisées. Une GPO regroupe des centaines de paramètres
applicables aux utilisateurs et/ou aux ordinateurs.

12.1 Ce que permettent les GPO

Imposer des règles de sécurité (complexité des mots de passe, verrouillage d'écran, pare-feu).
Déployer des logiciels, scripts de démarrage/connexion, imprimantes, lecteurs réseau.
Configurer le bureau, le menu Démarrer, le navigateur, les restrictions logicielles.
Appliquer des paramètres de registre de manière contrôlée.

12.2 Liaison et ordre d'application

Une GPO est liée à un niveau de la hiérarchie. L'ordre d'application suit l'acronyme LSDOU :
1. Local (stratégie locale de la machine)
2. Site
3. Domaine
4. OU (de la plus haute à la plus profonde)
En cas de conflit, la dernière stratégie appliquée l'emporte (donc l'OU la plus proche de l'objet, en règle générale). Des options modifient ce
comportement :

Option Effet

Enforced (appliquée) Force la GPO à l'emporter et empêche son écrasement par les niveaux inférieurs.

Block Inheritance (bloquer l'héritage) Empêche les GPO des niveaux supérieurs de s'appliquer (sauf celles marquées Enforced).

Security Filtering Restreint l'application d'une GPO à certains utilisateurs/groupes/ordinateurs.

WMI Filtering Conditionne l'application à des critères matériels/logiciels (ex. version d'OS).

Les clients rafraîchissent les GPO au démarrage/à l'ouverture de session puis périodiquement (environ toutes les 90 minutes). La commande gpupdate
/force force une réévaluation immédiate ; gpresult /r affiche les stratégies appliquées.
13. Les relations d'approbation (trusts)
Une approbation (trust) permet aux utilisateurs d'un domaine d'accéder aux ressources d'un autre domaine. Au sein d'une même forêt, les approbations
entre domaines sont créées automatiquement, et sont transitives et bidirectionnelles.

13.1 Caractéristiques d'une approbation

Direction : unidirectionnelle (A approuve B) ou bidirectionnelle.
Transitivité : si A approuve B et B approuve C, alors A approuve C (approbation transitive).

13.2 Principaux types d'approbation

Type Description

Parent-enfant Créée automatiquement entre un domaine parent et son enfant dans un arbre.

Tree-root Créée automatiquement entre la racine d'un nouvel arbre et la racine de forêt.

Forest trust Approbation entre deux forêts distinctes, pour partager des ressources entre organisations.

External Approbation ponctuelle, non transitive, vers un domaine précis (souvent hérité/NT).

Shortcut Raccourci optimisant l'authentification entre deux domaines éloignés d'une même forêt.

Attention : les approbations élargissent la surface d'attaque. Pour limiter les risques de franchissement, on active le SID Filtering et l'authentification
sélective sur les approbations sensibles, en particulier inter-forêts.
14. Outils d'administration

14.1 Consoles graphiques (RSAT)

Outil Usage

ADUC — Active Directory Users and Computers Gestion quotidienne des utilisateurs, groupes, ordinateurs et OU.

ADAC — Active Directory Administrative Center Console moderne ; corbeille AD, stratégies de mot de passe affinées, historique PowerShell.

AD Sites and Services Gestion des sites, sous-réseaux, liens et réplication.

AD Domains and Trusts Gestion des approbations et des niveaux fonctionnels.

GPMC — Group Policy Management Console Création, liaison et gestion des GPO.

DNS Manager Administration des zones DNS.

14.2 Ligne de commande et PowerShell

Le module PowerShell ActiveDirectory est l'outil privilégié pour l'automatisation. Quelques exemples :

# Créer un utilisateur
New-ADUser -Name "Marie Dupont" -SamAccountName "mdupont" `
-UserPrincipalName "[Link]@[Link]" `
-Path "OU=Comptabilite,DC=entreprise,DC=local" `
-AccountPassword (Read-Host -AsSecureString) -Enabled $true

# Rechercher tous les comptes désactivés

Search-ADAccount -AccountDisabled -UsersOnly

# Ajouter un membre à un groupe

Add-ADGroupMember -Identity "GG_Compta" -Members "mdupont"

# Lister les détenteurs des rôles FSMO

Get-ADForest | Select SchemaMaster, DomainNamingMaster
Get-ADDomain | Select PDCEmulator, RIDMaster, InfrastructureMaster

Outils en ligne de commande historiques utiles : dcdiag (diagnostic des DC), repadmin (état de la réplication), nltest , dsquery / dsget .
15. Sécurité, attaques et défense
Active Directory étant le « passe-partout » de l'organisation, sa compromission équivaut souvent à la compromission totale du système d'information. Cette
section présente, à des fins défensives et de sensibilisation, les grandes familles de risques et les contre-mesures.

15.1 Familles d'attaques connues (vue conceptuelle)

Technique Principe (haut niveau)

Pass-the-Hash Réutilisation d'une empreinte de mot de passe volée pour s'authentifier sans connaître le mot de passe en clair.

Kerberoasting Extraction de tickets de service pour tenter de casser hors ligne les mots de passe de comptes de service mal protégés.

Pass-the-Ticket Réutilisation de tickets Kerberos volés.

Attaque DCSync Abus de privilèges de réplication pour récupérer des secrets de l'annuaire.

Énumération / reconnaissance Cartographie des comptes, groupes et relations (souvent via des chemins de privilèges).

15.2 Bonnes pratiques de défense

Modèle de niveaux (tiering) : séparer strictement les comptes d'administration (Tier 0 = AD/DC, Tier 1 = serveurs, Tier 2 = postes) pour éviter
qu'une compromission de poste atteigne les DC.
Postes d'administration dédiés (PAW) : administrer AD uniquement depuis des machines durcies et isolées.
Moindre privilège : limiter au minimum les membres des groupes privilégiés ; utiliser des accès juste-à-temps (JIT/PAM).
Comptes de service gérés (gMSA) avec mots de passe longs gérés automatiquement.
Mots de passe robustes et stratégies affinées ; surveiller les comptes avec SPN.
Désactiver les protocoles faibles (NTLMv1, SMBv1) et privilégier LDAPS et la signature LDAP.
Protéger les identifiants en mémoire : Credential Guard, RDP en mode Restricted Admin.
Audit et journalisation centralisés (SIEM), surveillance des modifications sensibles et des ouvertures de session.
Sauvegardes hors ligne et plan de reprise testé (forest recovery).
Maintien à jour des systèmes et application rapide des correctifs critiques.

Principe directeur : protéger en priorité le « Tier 0 » (contrôleurs de domaine, comptes Domain/Enterprise Admins, fichier [Link]). Tout chemin
permettant à un compte non privilégié d'atteindre ce niveau doit être identifié et coupé.
16. Sauvegarde et restauration

16.1 La sauvegarde de l'état système

La sauvegarde d'AD passe par la System State d'au moins un contrôleur de domaine, qui inclut la base [Link], le registre, SYSVOL et les composants
nécessaires. On la réalise avec Windows Server Backup ou une solution tierce, à intervalle régulier et en conservant des copies hors ligne.

16.2 Les types de restauration

Type Description

Non-autoritaire Restaure un DC qui se met ensuite à jour par réplication auprès des autres. Cas courant de remise en service d'un DC.

Autoritaire Marque des objets restaurés comme prioritaires pour qu'ils se propagent aux autres DC. Sert à récupérer des objets supprimés (via ntdsutil ).

Corbeille AD Si activée, permet de restaurer simplement des objets supprimés avec leurs attributs, sans restauration autoritaire.

DSRM Directory Services Restore Mode : mode de démarrage spécial du DC, protégé par un mot de passe dédié, pour les opérations de récupération.

Conseil : activer la corbeille Active Directory (irréversible une fois activée, mais sans inconvénient) facilite grandement la récupération d'objets
supprimés par erreur. La planification d'une procédure complète de forest recovery reste indispensable pour les sinistres majeurs.
17. Glossaire

Terme Définition courte

AD DS Active Directory Domain Services, le service d'annuaire de domaine.

DC Domain Controller : serveur hébergeant l'annuaire et l'authentification.

LDAP Protocole d'interrogation et de modification de l'annuaire.

DN / RDN Distinguished Name (chemin complet) / Relative DN (composant local).

UPN User Principal Name, identifiant de connexion façon e-mail.

SID / RID Identifiant de sécurité / sa partie relative propre à l'objet.

GUID Identifiant unique et immuable d'un objet.

OU Organizational Unit, conteneur d'organisation et de délégation.

FSMO Cinq rôles à maître unique pour les opérations sensibles.

GC Global Catalog, index de recherche à l'échelle de la forêt.

GPO Group Policy Object, objet de stratégie de groupe.

KDC / TGT Key Distribution Center / Ticket Granting Ticket (Kerberos).

SPN Service Principal Name, identifiant d'un service pour Kerberos.

[Link] Fichier de base de données d'Active Directory.

SYSVOL Partage répliqué contenant GPO et scripts.

RODC Read-Only Domain Controller, DC en lecture seule.

Trust Relation d'approbation entre domaines ou forêts.

Entra ID Service d'identité cloud de Microsoft (ex-Azure AD), distinct d'AD DS.

Pour aller plus loin : les niveaux fonctionnels (domaine et forêt), la conception multi-forêts, le modèle de tiering détaillé, la PKI (AD CS) et l'identité
hybride avec Entra ID Connect constituent les prolongements naturels de ce document.

— Fin du document —