Active Directory : construction et meilleures pratiques

Active Directory est le noyau principal de l’infrastructure informatique de chaque entreprise dans le monde et la première couche pour construire la sécurité, la conformité, l’automatisation pour les utilisateurs et les ordinateurs. Pour créer la bonne infrastructure, il n’est pas nécessaire d’être un magicien mais il est important de connaître quelques petites astuces pour éviter les problèmes de configuration et de sécurité.

Qu’est-ce qu’Active Directory ?

Active Directory a été créé il y a plus de 18 ans avec Windows 2000 Server pour consolider un modèle introduit dans Windows NT4. L’idée d’AD est de disposer d’une base de données contenant toutes les informations sur les utilisateurs, les groupes, les ordinateurs et autres éléments afin de simplifier l’accès aux ressources. Comme une base de données, les applications et les rôles Windows sont capables de lire les propriétés, les autorisations et bien d’autres détails.

Une caractéristique importante d’Active Directory est la possibilité d’étendre le schéma pour ajouter de nouvelles colonnes, propriétés et valeurs. Certaines applications, comme Exchange Server, utilisent Active Directory pour ajouter leurs composants et fonctionnalités afin de lire les propriétés et d’éviter d’avoir à utiliser différents systèmes.

Avant de commencer la configuration, il est nécessaire d’apprendre quelques termes relatifs à Active Directory, car ils font partie du modèle, et il est essentiel de les connaître pour créer la bonne configuration et comprendre comment résoudre les problèmes.

Forêt
Lorsque vous créez le premier contrôleur de domaine, il est nécessaire de créer le nom de la forêt qui est également le premier nom de domaine (ex. contoso.com). Le nom de la forêt est unique et ne doit pas être modifié, sauf s’il s’agit d’un modèle simple et qu’il n’y a pas de modifications apportées par d’autres logiciels comme Exchange Server. Une forêt ne peut pas communiquer avec une autre forêt à moins qu’il n’y ait un Trust ; c’est la méthode pour établir une connexion entre différentes entreprises ou lorsqu’il y a une fusion entre différentes infrastructures. Le Trust permet aux systèmes de lire les informations à travers les domaines et d’attribuer des permissions sans créer les objets deux fois.

Domaine
Le nom de domaine est le cœur de tout. Lorsque vous construisez le premier contrôleur de domaine, vous choisissez le nom de domaine et cette étiquette sera ajoutée à toutes les ressources de votre infrastructure. La modification du nom de domaine est prise en charge, sauf s’il s’agit d’un modèle complexe ou d’une application qui ne prend pas en charge cette tâche, comme Exchange Server. Pour diviser la gestion ou créer une zone logique séparée, il est possible de créer un nom de domaine enfant (ex. it.contoso.com) ; chaque sous-domaine doit avoir un contrôleur de domaine distinct et la gestion lui est déléguée. Dans ce cas, la confiance entre le domaine principal et le sous-domaine est créée automatiquement et cela permet de lire les informations à travers les zones.

FSMO

Le Flexible Single Master Operation sont les 5 rôles sur lesquels tourne l’ensemble de AD. Lorsque vous voulez ajouter un nouveau contrôleur de domaine, synchroniser l’heure ou créer de nouveaux éléments (ex. groupes ou utilisateurs), un de ces rôles est appelé en action. Par défaut les rôles FSMO sont créés dans le premier DC mais peuvent être répartis sur deux ou trois machines (en fonction de votre infrastructure). Les 5 rôles sont :

• Schema Master (Forêt)
• Domain Naming Master (Forêt)
• Contrôleur de domaine primaire (domaine)
• Maître de l’infrastructure (domaine)
• RID (domaine)

Si vous perdez un contrôleur de domaine avec l’un de ces rôles, certaines fonctionnalités peuvent être limitées. Par exemple, sans le contrôleur de domaine primaire, l’infrastructure n’est pas en mesure de recevoir les mises à jour des mots de passe lorsque ceux-ci sont modifiés pour l’ordinateur et pour les comptes d’utilisateur. Pour plus d’informations sur les rôles FSMO et sur la manière d’optimiser le placement, consultez l’article de Microsoft : Placement et optimisation de FSMO sur les contrôleurs de domaine Active Directory.

(Anglais, Espagnol, Portugais - du Brésil)