1. Fondements et architecture d’Active Directory

Dans les parcs d’entreprise d’envergure, la centralisation des identités est assurée par Active Directory Domain Services (AD DS). L’annuaire repose sur le standard LDAP, le protocole d’authentification Kerberos et une intégration étroite avec le service DNS :

  • Forêt et Domaines : La forêt constitue la frontière de sécurité ultime. Les domaines organisent l’espace de noms hiérarchique (ex: educasuisse.local).
  • Unités d’organisation (OU) : Conteneurs logiques permettant de structurer le parc (utilisateurs, postes de travail, serveurs) par filiale, département ou fonction géographique (ex: OU=Genève,OU=Utilisateurs,DC=educasuisse,DC=local).

2. Stratégie d’administration des groupes : Le principe AGDLP

Pour éviter l’anarchie dans l’attribution des droits sur les partages et ressources d’entreprise, les administrateurs appliquent rigoureusement la méthodologie recommandée par Microsoft :

Comptes Utilisateurs (A - Accounts)
       |
Groupes Globaux par métier (G - Global Groups)   -> ex: GG_Comptabilite
       |
Groupes de Domaine Local par droit (DL - Domain Local) -> ex: DL_Partage_Compta_RW
       |
Permissions sur la ressource (P - Permissions)   -> Dossier serveurcompta

3. Déploiement et portée des stratégies de groupe (GPO)

Les Group Policy Objects (GPO) appliquent automatiquement des configurations système et de sécurité uniformes sur des milliers d’équipements. L’ordre d’application suit la règle LSDOU :

  1. Local (Stratégie locale de l’ordinateur)
  2. Site (Niveau géographique Active Directory)
  3. Domaine (Stratégie globale du domaine)
  4. Unité d’organisation (OU – niveau le plus précis, prioritaire en cas de conflit)

4. Administration automatisée avec PowerShell

L’exploitation quotidienne d’Active Directory s’effectue via le module PowerShell dédié :

# Création d'un nouvel utilisateur conforme aux standards
New-ADUser -Name "Marc Dupont" `
           -SamAccountName "mdupont" `
           -UserPrincipalName "mdupont@educasuisse.ch" `
           -Path "OU=Collaborateurs,OU=Lausanne,DC=educasuisse,DC=local" `
           -AccountPassword (ConvertTo-SecureString "P@ssw0rdSwiss2026!" -AsPlainText -Force) `
           -Enabled  `
           -PasswordNeverExpires  `
           -ChangePasswordAtLogon 

# Attribution au groupe métier
Add-ADGroupMember -Identity "GG_DevOps" -Members "mdupont"

Bonne pratique d’infrastructure : Aucun contrôleur de domaine (DC) ne doit héberger de rôle applicatif tiers (web, base de données). Déployez toujours au minimum deux contrôleurs de domaine redondants pour garantir la haute disponibilité du service d’authentification.

PreviousNext