Active Directory (AD) est la mise en œuvre par Microsoft des services d'annuaire LDAP pour les systèmes d'exploitation Windows.

L'objectif principal d'Active Directory est de fournir des services centralisés d'identification et d'authentification à un réseau d'ordinateurs utilisant le système Windows, macOS ou encore Linux. Il permet également l'attribution et l'application de stratégies ainsi que l'installation de mises à jour critiques par les administrateurs. Active Directory répertorie les éléments d'un réseau administré tels que les comptes des utilisateurs, les serveurs, les postes de travail, les dossiers partagés (en), les imprimantes, etc. Un utilisateur peut ainsi facilement trouver des ressources partagées, et les administrateurs peuvent contrôler leur utilisation grâce à des fonctionnalités de distribution, de duplication, de partitionnement et de sécurisation de l’accès aux ressources répertoriées.

Si les administrateurs ont indiqué les attributs convenables, il sera possible d'interroger l'annuaire pour obtenir, par exemple, « toutes les imprimantes couleur à cet étage du bâtiment ».

Le service d'annuaire Active Directory peut être mis en œuvre sur Windows 2000 Server, Windows Server 2003, Windows Server 2008, Windows Server 2012 (voire hors Microsoft par Samba), Windows Server 2016, Windows Server 2019 et Windows Server 2022 il résulte de l'évolution de la base de compte plane SAM. Un serveur informatique hébergeant l'annuaire Active Directory est appelé « contrôleur de domaine ».

Active Directory stocke ses informations et paramètres dans une base de données distribuée sur un ou plusieurs contrôleurs de domaine, la réplication étant prise en charge nativement^[1]. La taille d'une base Active Directory peut varier de quelques centaines à plusieurs millions d'objets en fonction de la taille des installations.

Historique

Dans les premiers documents de Microsoft mentionnant son existence, Active Directory s'est d'abord appelé NTDS (pour NT Directory Services, soit « Services d'annuaire de NT » en français). On peut d'ailleurs encore trouver ce nom dans la littérature couvrant le sujet ainsi que dans certains utilitaires AD comme NTDSUTIL.EXE par exemple, ou le nom du fichier de base de données NTDS.DIT.

Active Directory fut présenté pour la première fois en 1996, mais sa première utilisation remonte à Windows 2000 Server Édition en 1999. Il fut mis à jour dans Windows Server 2003 pour étendre ses fonctionnalités et améliorer son administration. Des améliorations supplémentaires lui ont depuis été adjointes dans Windows Server 2003 R2, Windows Server 2008, Windows Server 2008 R2 et Windows Server 2012.

Active Directory est le résultat de l'évolution de la base de données de comptes de domaine (principaux de sécurité) SAM (Security Account Manager) et une mise en œuvre de LDAP, protocole de hiérarchie. Sa technologie de stockage est fondée sur le stockage du registre Windows, la base SAM constituant à elle seule une ruche, ce qui physiquement correspond à un fichier portant le nom sam, tout comme les fichiers system et software.

D'un point de vue sémantique, Active Directory est un annuaire LDAP, tout comme l'annuaire d'Exchange 5.5. Exchange 5.5 n'est pas pour autant le seul antécédent technologique à Active Directory. Citons également l'annuaire Novell NDS, qui dès 1993 a constitué un bond technologique en comparaison avec le précédent système NetWare Bindery.

L'annuaire Novell NDS, offrait la possibilité de visualiser toutes les ressources de l'annuaire sous forme graphique; ce modèle sera ensuite repris par les autres concurrents (ex : Microsoft avec Active Directory en 1996). Active Directory peut donc être considéré comme la réponse technologique aux technologies d'annuaire Novell, les deux systèmes étant dérivés de X.500.

Active Directory revoit complètement le stockage des informations de sécurité du domaine, de la structure de la base jusqu'au niveau sémantique. Tout d'abord, le moteur de base de données retenu pour sa mise en œuvre est le moteur de stockage extensible ESENT, dérivé de ESE98 également connu sous le nom de Jet Blue, pour lever l'ambiguïté avec les bases de données Microsoft Access utilisant le moteur Jet Red. Le prédécesseur d'ESE98, ESE97, était le moteur de base de données utilisé pour l'annuaire Exchange 5.5. La différence principale entre ESENT et ESE98 est la taille des pages utilisées et la taille des journaux de transaction.

Active Directory est également conçu pour garantir un niveau de performance et de sécurité adéquat : la base de données ESENT est journalisée et répond à la contrainte ACID. Le moteur est conçu pour supporter des bases dimensionnées pour stocker des millions d'objets.

Structure

Objets

Active Directory est un service d'annuaire utilisé pour stocker des informations relatives aux ressources réseau sur un domaine.

Une structure Active Directory (AD) est une organisation hiérarchisée d'objets. Les objets sont classés en trois grandes catégories : les ressources (par exemple les imprimantes), les services (par exemple le courrier électronique) et les utilisateurs (comptes utilisateurs et groupes). L'AD fournit des informations sur les objets, il les organise et contrôle les accès et la sécurité.

Chaque objet représente une entité unique — utilisateur, ordinateur, imprimante ou groupe — ainsi que ses attributs. Certains objets peuvent également être des conteneurs pour d'autres objets. Un objet est identifié de manière unique dans l'AD par son nom et possède son propre jeu d'attributs — les caractéristiques et les informations que l'objet peut contenir — défini par un schéma, qui détermine également le type d'objets qui peuvent être stockés dans l'AD.

Chaque objet attribut peut être utilisé dans plusieurs classes d'objets de schéma différents. Ces objets de schéma existent pour permettre au schéma d'être étendu ou modifié si nécessaire. Cependant, comme chaque objet de schéma est intégral à la définition des objets de l'AD, la désactivation ou la modification de ces objets peut avoir de graves conséquences car elle entraîne des modifications fondamentales dans la structure de l'AD. Un objet de schéma, lorsqu'il est modifié, est automatiquement propagé dans Active Directory et une fois créé, il ne peut plus être supprimé (il peut seulement être désactivé). Pour cette raison, une modification du schéma doit être mûrement réfléchie et planifiée^[2].

Le nombre de types d'objets disponibles dans un Active Directory n'est pas limité, en voici quelques exemples:

• OU (Organisational Unit): L'unité d'organisation

Dans l'arborescence, ce sont des conteneurs qui permettent de créer une hiérarchie d'objets au sein d'un domaine. Ces OU sont principalement utilisées pour permettre la délégation de droits et pour l'application de GPO. Les OU sont parfois confondues avec les groupes, qui sont des objets et non des conteneurs.

• Ordinateur
• Utilisateur

Types de groupes et règles d'affectation d'utilisateurs

• Groupe : il est principalement destiné à établir des listes d'utilisateurs pour leur attribuer des droits ou des services. On distingue trois types de groupes :
  • Le groupe local : il peut contenir des utilisateurs de son domaine et ne peut être placé que sur des ressources de son domaine.
  • Le groupe global : au sein d'un domaine, il est principalement utilisé pour affecter des droits à des ressources dans un domaine. Il peut comprendre des utilisateurs, des groupes globaux ou universels de tous les domaines de l'annuaire.
  • Le groupe universel : disponible depuis la version 2000, permet d'inclure des groupes et utilisateurs d'autres domaines.

Active Directory étant un annuaire objet, la notion de schéma définit les contraintes concernant la dérivation et l'héritage des objets, sensiblement de la même manière qu'en programmation objet. Cela introduit également la notion d'extension, permettant d'ouvrir l'annuaire à toutes sortes d'applications souhaitant stocker des objets personnalisés au niveau du ou des domaines constituant la forêt Active Directory.

Attributs des objets utilisateur

- 512 Compte activé
- 514 Compte désactivé
- 544 Compte activé, aucun mot de passe requis
- 546 Compte désactivé, aucun mot de passe requis
- 66048 Compte activé, mot de passe n'expire jamais
- 66050 Compte désactivé, mot de passe n'expire jamais
- 66080 Compte activé, mot de passe non requis et n'expirant jamais
- 66082 Compte désactivé, mot de passe non requis et n'expirant jamais
- 262656 Compte activé, carte à puce requise
- 262658 Compte désactivé, carte à puce requise
- 262688 Compte activé, carte à puce requise, aucun mot de passe requis
- 262690 Compte désactivé, carte à puce requise, aucun mot de passe requis
- 328192 Compte activé, carte à puce requise, mot de passe n’expirant jamais
- 328194 Compte désactivé, carte à puce requise, mot de passe n’expirant jamais
- 328224 Compte activé, carte à puce requise, mot de passe non requis et n'expirant jamais
- 328226 Compte désactivé, carte à puce requise, mot de passe non requis et n'expirant jamais

Rôles uniques

Certaines fonctions - on parle de rôles - ne peuvent être attribués chacun qu'à un seul serveur à la fois, qui devient alors le maître d'opérations (Operations master en anglais) pour un ou plusieurs rôles. L'ensemble de ces rôles, appelés en anglais FSMO (pour Flexible Single Master Operations), peuvent donc être répartis sur un ou plusieurs contrôleurs de domaine. Ils sont au nombre de 5^[4] :

Nomenclature

Active Directory prend en charge l'utilisation de noms UNC (\), URL (/), et LDAP pour l'accès aux objets. En interne, AD utilise la version LDAP de la structure de noms de X.500.

Chaque objet possède un identifiant unique, le nom unique (DN pour Distinguished name), ainsi un objet imprimante appelé HPLaser3 dans l'OU Marketing et faisant partie du domaine foo.org aura comme DN : CN=HPLaser3,OU=Marketing, DC=foo, DC=org où CN est le nom commun (Common Name en anglais) et DC un composant de domaine. Un DN peut être constitué de bien plus de quatre éléments. L'objet peut ainsi également posséder un nom canonique (Canonical name), généralement le DN inversé, sans identifiants, et utilisant la barre oblique (slash) comme séparateur : foo.org/Marketing/HPLaser3. Afin d'identifier l'objet à l'intérieur de son conteneur, AD utilise un nom unique relatif (RDN pour Relative distinguished name) : CN=HPLaser3. Chaque objet possède également un identifiant global unique (GUID, pour Globally Unique Identifier) qui est une chaîne de caractères de 128 bits unique et non modifiable, utilisé par AD pour les opérations de recherche et de réplication. Certains objets possèdent également un nom utilisateur principal (UPN, pour User principal name), se présentant sous la forme nom_objet@nom_domaine.

Relations d'approbation

Afin de permettre aux utilisateurs d'un domaine d'accéder aux ressources d'un autre domaine, AD utilise un mécanisme de relations d'approbation.

Les relations d'approbation au sein d'une même forêt sont automatiquement créées au moment de la création des domaines. Les limites par défaut des relations d'approbation sont fixées au niveau de la forêt, et non du domaine, elles sont implicites, et automatiquement transitives pour tous les domaines d'une même forêt. Toutes les relations d'approbation au sein d'une forêt sont bidirectionnelles et transitives. Cependant, afin de se connecter à d'autres forêts ou à des domaines non-AD, AD met en œuvre d'autres types de relations d'approbation : les approbations de type raccourci (shortcut) (jointures de deux domaines appartenant à des arborescences différentes, transitives, uni ou bidirectionnelles), forêt (forest) (transitives, uni ou bidirectionnelles), royaume (realm) (transitives ou intransitives, uni ou bidirectionnelles) ou externe (intransitives, uni ou bidirectionnelles).

AD LDS (anciennement ADAM)

AD LDS (pour Active Directory Lightweight Directory Services), anciennement nommé ADAM (pour Active Directory Application Mode), est une version plus légère d'Active Directory spécifiquement destinée à une utilisation au niveau applicatif. Développé sur la même base de code qu'Active Directory, AD LDS fournit les mêmes fonctionnalités qu'AD, ainsi qu'une API identique, mais il ne requiert pas la création de domaines et ne nécessite pas de contrôleur de domaine pour fonctionner.

Tout comme Active Directory, AD LDS fournit un espace de stockage utilisé pour stocker les données d'annuaire (le Data Store) ainsi qu'un service d'annuaire muni d'une interface de service d'annuaire LDAP. À la différence d'Active Directory, plusieurs instances d'AD LDS peuvent être exécutées simultanément sur le même serveur, chaque instance étant spécifiquement adaptée aux besoins des applications auxquelles elle est destinée et utilisant le service d'annuaire AD LDS.

Utilisation en entreprise

Domaines et sous-domaines Active directory

À partir d'une certaine taille de l'entreprise on observe généralement que chaque service gère son propre annuaire des employés. Mais il manque souvent l'information que l'autre service possède, si bien que dans un souci d'homogénéisation, la DSI se trouve obligée de concevoir un système complexe de passerelles ascendantes et descendantes entre les annuaires.

Beaucoup sont tentés de mettre enfin en place un système de référence auquel auraient accès tous les services intéressés, en consultation comme en modification. Cette volonté survient notamment au moment de la mise en place d'une solution d'ITSM.

L'Active Directory est généralement pressenti car il est largement répandu quelle que soit la taille de l'organisation.

Mais des obstacles majeurs viennent contrecarrer cette intention.

• Peut-on confier un outil d'administration à des mains non qualifiées ?
• Comment maintenir un annuaire propre alors que les champs localisation, service, fonction, etc. sont des champs de saisie libre ?
• Comment guider les personnes qui saisissent les données essentielles, nom, login, email, matricule selon une charte que vous avez définie ; quel séparateur entre le nom et le prénom ? Accents ou pas ? Majuscule sur le nom ? quelle forme doit avoir le logon, et l'Email ? Quel était le dernier matricule ?
• Des référentiels de type localisations, services, fonctions sont souvent bien maintenus par les services concernés. Ne pourrait-on pas s'appuyer sur ces données pour renseigner l'Active Directory ?
• Peut-on limiter les accès et les droits pour chaque service concerné ?
• Comment visualiser les incohérences de l'Active Directory, absence de renseignements, utilisateurs ayant quitté l'entreprise mais dont le compte est toujours actif, etc. ?
• Comment exporter facilement une liste précise de comptes utilisateurs à destination d'autres annuaires ?

Intégration d'Unix dans Active Directory

De nombreux éditeurs proposent des solutions d'intégration à Active Directory pour les plates-formes Unix (UNIX, GNU/Linux, Mac OS X, ainsi que nombre d'applications Java et UNIX). On peut citer ADmitMac de Thursby Software Systems, Vintela Authentication Services de Quest Software, DirectControl de Centrify et Likewise de Centeris Software. Microsoft propose également un produit gratuit, les Windows Services for UNIX. Les versions récentes des systèmes d'exploitation Linux et Unix fournissent des niveaux d'interopérabilité variés avec Active Directory comme la prise en charge des stratégies de groupe^[5]. Une alternative possible est d'utiliser un autre service d'annuaire comme 389 Directory Server (ex-Netscape Directory Server) capable d'effectuer une synchronisation bidirectionnelle avec Active Directory et fournir ainsi une intégration "déviée" consistant à faire s'authentifier sur 389DS les machines Unix et Linux tout en conservant l'authentification Active Directory native pour les machines Windows.

Notes et références

Voir aussi