Histoire et développement d’Active Directory
Microsoft a proposé un aperçu d’Active Directory en 1999 et l’a commercialisé un an plus tard avec Windows 2000 Server. Microsoft a continué à développer de nouvelles fonctionnalités avec chaque version successive de Windows Server.
Windows Server 2003 comprenait une mise à jour notable permettant d’ajouter des forêts et la possibilité d’éditer et de modifier la position des domaines au sein des forêts. Les domaines sous Windows Server 2000 ne pouvaient pas prendre en charge les mises à jour AD plus récentes exécutées dans Server 2003.
Windows Server 2008 a introduit AD FS. En outre, Microsoft a rebaptisé l’annuaire pour la gestion des domaines AD DS, et AD est devenu un terme générique pour les services d’annuaire qu’il prenait en charge.
Windows Server 2016 a mis à jour AD DS pour améliorer la sécurité d’AD et migrer les environnements AD vers des environnements de cloud ou de cloud hybride. Les mises à jour de sécurité comprenaient l’ajout de PAM.
PAM surveillait l’accès à un objet, le type d’accès accordé et les actions effectuées par l’utilisateur. PAM a ajouté des forêts AD bastion pour fournir un environnement forestier isolé et sécurisé supplémentaire. Windows Server 2016 a mis fin à la prise en charge des périphériques sur Windows Server 2003.
En décembre 2016, Microsoft a publié Azure AD Connect pour joindre un système Active Directory sur site à Azure Active Directory (Azure AD) afin de permettre le SSO pour les services cloud de Microsoft, tels qu’Office 365. Azure AD Connect fonctionne avec des systèmes exécutant Windows Server 2008, Windows Server 2012, Windows Server 2016 et Windows Server 2019.
Domaines vs. workgroup
Le groupe de travail est le terme utilisé par Microsoft pour désigner les machines Windows connectées sur un réseau peer-to-peer. Les groupes de travail constituent une autre unité d’organisation pour les ordinateurs Windows dans les réseaux. Les groupes de travail permettent à ces machines de partager des fichiers, un accès à Internet, des imprimantes et d’autres ressources sur le réseau. Le réseau pair-à-pair supprime la nécessité d’un serveur pour l’authentification. Il existe plusieurs différences entre les domaines et les groupes de travail :
Les domaines, contrairement aux groupes de travail, peuvent héberger des ordinateurs provenant de différents réseaux locaux.
Les domaines peuvent être utilisés pour héberger beaucoup plus d’ordinateurs que les groupes de travail. Les domaines peuvent inclure des milliers d’ordinateurs, contrairement aux groupes de travail, dont la limite supérieure est généralement proche de 20.
Dans les domaines, au moins un serveur est un ordinateur, ce qui permet de contrôler les autorisations et les fonctions de sécurité pour chaque ordinateur du domaine. Dans les groupes de travail, il n’y a pas de serveur et les ordinateurs sont tous des pairs.
Les utilisateurs d’un domaine ont généralement besoin d’identifiants de sécurité tels que des logins et des mots de passe, contrairement aux groupes de travail.
Principaux concurrents d’Active Directory
Les autres services d’annuaire sur le marché qui offrent des fonctionnalités similaires à AD incluent Red Hat Directory Server, Apache Directory et OpenLDAP.
Red Hat Directory Server gère l’accès des utilisateurs à plusieurs systèmes dans les environnements Unix. Comme AD, Red Hat Directory Server inclut l’identification de l’utilisateur et l’authentification basée sur des certificats pour restreindre l’accès aux données de l’annuaire.
Apache Directory est un projet open source qui s’exécute sur Java et fonctionne sur tout serveur LDAP, y compris les systèmes sous Windows, macOS et Linux. Apache Directory comprend un navigateur de schémas et un éditeur et navigateur LDAP. Apache Directory prend en charge les plugins Eclipse.
Services Active Directory
Plusieurs services différents composent Active Directory. Le service principal est le service de domaine, mais Active Directory comprend également les services d’annuaire léger (AD LDS), le protocole d’accès à l’annuaire léger (LDAP), les services de certificat (AD CS), les services de fédération (AD FS) et les services de gestion des droits (AD RMS). Chacun de ces autres services étend les capacités de gestion d’annuaire du produit.
Lightweight Directory Services a la même base de code qu’AD DS, partageant des fonctionnalités similaires, comme l’interface de programme d’application. AD LDS, cependant, peut s’exécuter en plusieurs instances sur un seul serveur et conserve les données d’annuaire dans un magasin de données utilisant le Lightweight Directory Access Protocol.
Lightweight Directory Access Protocol est un protocole d’application utilisé pour accéder aux services d’annuaire et les maintenir sur un réseau. LDAP stocke des objets, tels que des noms d’utilisateur et des mots de passe, dans des services d’annuaire, tels qu’Active Directory, et partage ces données d’objet sur le réseau.
Les services de certificats génèrent, gèrent et partagent des certificats. Un certificat utilise le cryptage pour permettre à un utilisateur d’échanger des informations sur Internet en toute sécurité avec une clé publique.
Active Directory Federation Services authentifie l’accès des utilisateurs à plusieurs applications, même sur des réseaux différents, en utilisant l’authentification unique (SSO). Comme son nom l’indique, le SSO ne demande à l’utilisateur de se connecter qu’une seule fois, plutôt que d’utiliser plusieurs clés d’authentification dédiées pour chaque service.
Les services de gestion des droits contrôlent les droits et la gestion des informations. AD RMS crypte le contenu, tel que les e-mails ou les documents Microsoft Word, sur un serveur pour en limiter l’accès.
Principales caractéristiques des services de domaine Active Directory
Active Directory Domain Services utilise une structure hiérarchisée composée de domaines, d’arbres et de forêts pour coordonner les éléments en réseau.
Les domaines sont le plus petit des principaux niveaux, tandis que les forêts sont le plus grand. Différents objets, tels que des utilisateurs et des périphériques, qui partagent la même base de données se trouveront sur le même domaine. Un arbre est un ou plusieurs domaines regroupés avec des relations de confiance hiérarchiques. Une forêt est un groupe de plusieurs arbres. Les forêts fournissent des frontières de sécurité, tandis que les domaines — qui partagent une base de données commune — peuvent être gérés pour des paramètres tels que l’authentification et le cryptage.
Un domaine est un groupe d’objets, tels que des utilisateurs ou des périphériques, qui partagent la même base de données AD. Les domaines disposent d’un domain name system.
Un arbre est un ou plusieurs domaines regroupés. L’arborescence utilise un espace de noms contigu pour rassembler la collection de domaines dans une hiérarchie logique. Les arbres peuvent être considérés comme des relations de confiance où une connexion sécurisée, ou confiance, est partagée entre deux domaines. Il est possible de faire confiance à plusieurs domaines, un domaine pouvant faire confiance à un deuxième, et le deuxième domaine à un troisième. En raison de la nature hiérarchique de cette configuration, le premier domaine peut faire implicitement confiance au troisième domaine sans avoir besoin d’une confiance explicite.
Une forêt est un groupe de plusieurs arbres. Une forêt se compose de catalogues partagés, de schémas d’annuaire, d’informations sur les applications et de configurations de domaine. Le schéma définit la classe et les attributs d’un objet dans une forêt. En outre, les serveurs de catalogue global fournissent une liste de tous les objets d’une forêt. Selon Microsoft, la forêt est la frontière de sécurité d’Active Directory.
Les unités organisationnelles (OU) organisent les utilisateurs, les groupes et les périphériques. Chaque domaine peut contenir sa propre OU. Cependant, les OU ne peuvent pas avoir d’espaces de noms séparés, car chaque utilisateur ou objet dans un domaine doit être unique. Par exemple, il est impossible de créer un compte utilisateur avec le même nom d’utilisateur.
Les conteneurs sont similaires aux OU, mais les objets de stratégie de groupe ne peuvent pas être appliqués ou liés aux objets de conteneur.
