Qu’est-ce qu’Active Directory ?
Active Directory (AD) est le service d’annuaire de Microsoft, introduit avec Windows 2000 Server. Il centralise la gestion des identités (utilisateurs, ordinateurs, groupes) et des ressources d’un réseau d’entreprise, avec une authentification unique (SSO) et une gestion centralisée de la configuration des postes.
Un annuaire est une base de données hiérarchique optimisée pour la lecture, organisée en objets (utilisateur, ordinateur, groupe, imprimante…) dotés d’attributs. AD s’appuie sur le protocole LDAP (Lightweight Directory Access Protocol) pour l’interrogation et la modification de cet annuaire.
Les briques logiques d’AD
| Notion | Définition |
|---|---|
| Domaine | Unité de base d’administration : ensemble d’objets partageant une même base d’annuaire et des politiques de sécurité communes |
| Arborescence (tree) | Ensemble de domaines partageant un espace de noms DNS contigu (ex. sio.lab, formation.sio.lab) |
| Forêt (forest) | Ensemble d’une ou plusieurs arborescences ; c’est la frontière de sécurité ultime d’AD |
| Unité d’organisation (OU) | Conteneur permettant d’organiser les objets d’un domaine (par service, site, classe…) et d’y appliquer des GPO ou des délégations spécifiques |
| Relation d’approbation (trust) | Lien de confiance permettant à des utilisateurs d’un domaine d’accéder à des ressources d’un autre domaine |
Les contrôleurs de domaine (DC)
Un contrôleur de domaine (Domain Controller) est un serveur qui héberge une copie de la base AD et traite les requêtes d’authentification et d’annuaire. Plusieurs DC peuvent coexister dans un même domaine pour la redondance et la répartition de charge, avec réplication automatique de la base entre eux.
Un contrôleur de domaine héberge généralement aussi un serveur DNS, car AD utilise le DNS pour la localisation des services (enregistrements SRV : les postes clients interrogent le DNS pour trouver un contrôleur de domaine disponible).
Objets et outils d’administration
| Objet / Outil | Rôle |
|---|---|
| Utilisateur (User) | Compte représentant une personne : identifiants de connexion, appartenance à des groupes, attributs (nom, service, boîte mail…) |
| Ordinateur (Computer) | Objet représentant un poste membre du domaine, avec son propre compte machine |
| Groupe (Group) | Regroupe des utilisateurs ou ordinateurs pour simplifier l’attribution de droits (groupes de sécurité) ou de listes de diffusion |
| GPO (Group Policy Object) | Ensemble de règles de configuration appliquées automatiquement aux utilisateurs/ordinateurs d’un domaine ou d’une OU (fond d’écran imposé, restrictions, déploiement logiciel…) |
| ADUC (Active Directory Users and Computers) | Console MMC classique pour administrer utilisateurs, groupes et OU |
| ADAC (Active Directory Administrative Center) | Console d’administration plus moderne, basée sur PowerShell |
| dsa.msc / gpmc.msc | Raccourcis pour lancer respectivement ADUC et la console de gestion des stratégies de groupe |
Kerberos : l’authentification dans AD
Depuis Windows 2000, AD utilise Kerberos (RFC 4120) comme protocole d’authentification par défaut (NTLM reste disponible pour la compatibilité historique, mais est considéré comme moins sûr).
| Étape | Élément échangé | Rôle |
|---|---|---|
| 1 | TGT (Ticket Granting Ticket) | Obtenu auprès du KDC (Key Distribution Center, hébergé sur le DC) après l’authentification initiale de l’utilisateur, à l’ouverture de session |
| 2 | Ticket de service | Demandé au service TGS (Ticket Granting Service) du KDC en présentant le TGT, pour accéder à une ressource précise (ex. un partage de fichiers) |
| 3 | Présentation du ticket de service | Le client présente ce ticket au serveur de la ressource, qui l’accepte sans revalider le mot de passe |
LDAP : interroger l’annuaire
LDAP (port 389, ou 636 en LDAPS chiffré) permet de rechercher et modifier des objets dans l’annuaire. Chaque objet est identifié par un Distinguished Name (DN), construit à partir de la hiérarchie de domaines et d’OU.
# Exemple de DN pour un utilisateur :
CN=Dupont Jean,OU=Etudiants,OU=BTS-SIO,DC=sio,DC=lab
# Requête LDAP en ligne de commande (Linux) :
$ ldapsearch -x -H ldap://192.168.1.10 -b "DC=sio,DC=lab" "(sAMAccountName=jdupont)"Manipulation : premiers pas
# Promouvoir un serveur Windows Server en contrôleur de domaine (PowerShell) :
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName "sio.lab"
# Créer un utilisateur en ligne de commande :
New-ADUser -Name "Jean Dupont" -SamAccountName jdupont -Enabled $true
# Joindre un poste Windows au domaine :
Add-Computer -DomainName "sio.lab" -Restart© 2026 Bruno Jousseaume. Ce cours est publié sous licence CC BY-NC-SA 4.0 : vous pouvez le partager et l’adapter en citant l’auteur et un lien vers cette page, sans usage commercial, et en partageant vos adaptations sous la même licence.