Gestion d’Active Directory

Gérer un Active Directory, ce n’est pas installer un serveur une fois pour toutes puis l’oublier. C’est un travail d’entretien quotidien : ouvrir des comptes quand quelqu’un arrive, les fermer quand il part, ranger les objets pour s’y retrouver, et veiller à ce que personne n’ait plus de droits que nécessaire. L’annuaire vit au rythme de l’entreprise. Bien tenu, il passe inaperçu. Négligé, il devient le premier point faible du système d’information.

La gestion d’Active Directory, de quoi parle-t-on vraiment

Active Directory (AD) est l’annuaire de Microsoft pour les réseaux Windows d’entreprise. Il centralise les comptes des utilisateurs, les ordinateurs, les groupes et les règles qui s’appliquent à tout ce petit monde. Quand un salarié saisit son identifiant le matin, c’est l’AD qui vérifie qui il est et ce qu’il a le droit d’ouvrir. Un seul annuaire, une seule identité, valable sur l’ensemble des ressources du domaine.

Il faut distinguer deux choses souvent confondues. Installer le rôle qui fait tourner l’annuaire — les services de domaine, ou AD DS — se fait une fois, au montage de l’infrastructure. La gestion, elle, ne s’arrête jamais : ce sont les gestes réguliers d’administration une fois que l’annuaire tourne. C’est de cette seconde partie qu’il est question ici.

Un mot pour éviter une confusion fréquente. Active Directory désigne l’annuaire installé sur vos serveurs, dans vos murs. Entra ID, l’ancien Azure AD, est le service d’identité de Microsoft dans le cloud, avec sa propre logique. Les deux se ressemblent de loin mais ne s’administrent pas de la même façon. Cet article porte sur l’Active Directory classique, sur site.

Les objets que l’on administre

Avant de manipuler quoi que ce soit, il faut savoir ce que contient l’annuaire. Tout y est représenté sous forme d’objets, et trois familles reviennent en permanence.

Le dernier point mérite qu’on s’y arrête, parce qu’il structure tout le reste. On n’attribue pas un accès directement à une personne. On crée un groupe — « Comptabilité », par exemple — on lui donne les droits sur les dossiers concernés, puis on y place les personnes du service. Le jour où quelqu’un change de poste, on le retire d’un groupe, on l’ajoute à un autre, et ses accès suivent. Gérer par les groupes plutôt que par les individus, c’est la première habitude qui fait gagner du temps et évite les oublis.

Les tâches quotidiennes de l’administrateur

Le cœur du métier tient dans quelques opérations répétées. Elles paraissent simples, mais leur régularité fait toute la qualité d’un annuaire. La création de comptes accompagne chaque arrivée : un identifiant cohérent avec les autres, un mot de passe initial à changer à la première connexion, un rattachement aux bons groupes selon la fonction.

Les départs demandent autant de soin, et la façon de les traiter fait souvent la différence entre un annuaire propre et un annuaire à risque.

Entre l’arrivée et le départ, le quotidien est fait de réinitialisations de mots de passe oubliés, d’ajustements d’appartenance aux groupes quand les missions évoluent, et de mises à jour d’informations. Rien de spectaculaire. Mais un annuaire où ces gestes sont faits proprement et sans retard reste lisible et sûr ; un annuaire négligé accumule les comptes fantômes et les droits qui traînent.

Structurer l’annuaire

unités d’organisation et délégation

Un annuaire à plat, où tous les objets sont mélangés, devient vite ingérable dès qu’on dépasse quelques dizaines de comptes. C’est là qu’interviennent les unités d’organisation, ou OU. Ce sont des conteneurs qui permettent de ranger les objets : par service, par site géographique, par type de machine, selon ce qui a du sens pour votre structure.

Ce rangement n’est pas cosmétique. Il sert deux objectifs concrets. D’abord, appliquer des règles différentes selon les groupes d’objets, ce que permettent les stratégies de groupe abordées plus loin. Ensuite, déléguer l’administration. Sur une OU donnée, vous pouvez accorder à une personne le droit de réinitialiser les mots de passe de son service, sans lui ouvrir l’administration complète de l’annuaire. Le responsable d’une agence gère ses propres comptes, sans pouvoir toucher au reste.

Cette délégation ciblée est l’une des idées les plus utiles et les plus souvent oubliées. Elle évite de tout centraliser sur une poignée d’administrateurs débordés, tout en gardant chaque droit dans un périmètre maîtrisé.

Les stratégies de groupe pour appliquer des règles à grande échelle

Configurer les postes un par un n’a aucun sens dès qu’ils se comptent par dizaines. Les stratégies de groupe, les fameuses GPO, servent exactement à cela : définir un paramètre une fois et l’appliquer automatiquement à tout un ensemble de comptes ou de machines.

Une GPO peut imposer une politique de mots de passe, verrouiller certains réglages du poste, déployer un lecteur réseau, restreindre l’accès à des fonctions, ou installer un logiciel de façon centralisée. Elle s’applique en fonction de l’endroit où se trouvent les objets dans l’annuaire — le plus souvent au niveau d’une OU. C’est le lien direct avec la structuration : bien ranger ses objets, c’est se donner les moyens de leur appliquer les bonnes règles sans effort.

Sécuriser Active Directory au quotidien

L’annuaire concentre les identités : il est la cible privilégiée en cas d’attaque. Prendre le contrôle d’un compte d’administration du domaine, c’est prendre le contrôle de tout. La sécurité n’est donc pas une option qu’on ajoute à la fin, elle fait partie de la gestion courante.

Le principe qui guide le reste est celui du moindre privilège : chacun ne dispose que des droits strictement nécessaires à son travail, ni plus. Les comptes à privilèges élevés méritent une attention particulière. On évite de les utiliser pour les tâches ordinaires, on limite leur nombre, et on sépare le compte d’administration du compte de tous les jours d’une même personne.

Deux habitudes complètent l’ensemble. Surveiller les changements sensibles — créations de comptes à privilèges, modifications d’appartenance aux groupes d’administration — permet de repérer vite ce qui sort de l’ordinaire. Et tenir l’hygiène des comptes de service, ces comptes utilisés par des applications, souvent créés puis oubliés avec des droits trop larges : les recenser, les restreindre et renouveler leurs mots de passe fait partie du travail de fond.

Les outils pour gérer l’AD sans s’éparpiller

L’outil historique reste la console « Utilisateurs et ordinateurs Active Directory », souvent abrégée ADUC. C’est l’interface graphique de référence pour les gestes courants : créer un compte, réinitialiser un mot de passe, gérer un groupe, déplacer un objet d’une OU à une autre. Pour l’administration au fil de l’eau, elle suffit largement.

Dès que les opérations se répètent, PowerShell prend le relais. Créer une série de comptes à partir d’un fichier, désactiver d’un coup les comptes inactifs depuis plusieurs mois, produire un état des appartenances aux groupes : ce sont des scripts de quelques lignes, rejouables et fiables. L’automatisation ne remplace pas la compréhension de l’annuaire, elle évite les erreurs de la saisie manuelle répétée.

Des solutions tierces existent pour aller plus loin — audit, reporting, gestion déléguée en libre-service. Elles ont leur intérêt dans les grandes structures, mais elles ne dispensent jamais des bases. Un annuaire bien organisé, des groupes propres, des droits maîtrisés et quelques scripts : c’est cela qui tient un Active Directory dans la durée, bien plus que n’importe quel logiciel ajouté par-dessus un annuaire mal tenu.