Active Directroy DS

Qu’est ce que la base de données AD DS ?

La base de données AD DS est le magasin central de tous les objets de domaine, tels que les comptes d’utilisateur, les comptes d’ordinateur et les groupes. AD DS

Qu’est ce qu’une partition AD ?

Une partition, ou contexte de nommage, est une partie de la base de données AD DS. Bien que la base de données se compose d’un fichier nommé Ntds.dit, les différentes partitions contiennent des données différentes. Par exemple, la partition de schéma contient une copie du schéma Active Directory.

Qu’est ce qu’un schéma Active Directory ?

Un schéma est l’ensemble des définitions des types d’objets et des attributs que vous utilisez pour définir les objets créés dans AD DS.

Qu’est ce qu’un domaine Active Directory ?

Un domaine est un conteneur d’administration logique pour les objets tels que les utilisateurs et les ordinateurs.

Qu’est ce qu’une Arborescence de domaine ?

Une arborescence de domaine est une collection hiérarchique de domaines qui partagent un domaine racine commun et un espace de noms DNS (Domain Name System) contigu

Qu’est ce qu’une forêt AD ?

Une forêt est un regroupement d’un ou de plusieurs domaines qui ont une racine AD DS commune, un schéma commun et un catalogue global commun.

Qu’est ce qu’un OU AD ?

Une unité d’organisation est un objet conteneur pour les utilisateurs, les groupes et les ordinateurs qui fournit un cadre pour déléguer les droits administratifs et l’administration en liant des objets Stratégies de groupe (GPOs).

Qu’est ce qu’un conteneur AD ?

Un conteneur est un objet qui fournit une infrastructure organisationnelle à utiliser dans AD DS. Vous pouvez utiliser les conteneurs par défaut, ou vous pouvez créer des conteneurs personnalisés. Vous ne pouvez pas lier des GPO à des conteneurs.

Qu’est ce qu’un contrôleur de domaine AD ?

Un contrôleur de domaine contient une copie de la base de données AD DS. Pour la plupart des opérations, chaque contrôleur de domaine peut traiter les modifications et les répliquer vers tous les autres contrôleurs de domaine du domaine.

Qu’est ce qu’un Serveur du catalogue global ?

Un serveur de catalogue global est un contrôleur de domaine qui héberge le catalogue global, qui est une copie partielle en lecture seule de tous les objets dans une forêt multi-domaines. Le catalogue global accélère les recherches d’objets qui peuvent être stockés sur des contrôleurs de domaine d’un autre domaine de la forêt.

QU’est ce que le Contrôleur de domaine en lecture seule (RODC) ?

Un contrôleur de domaine en lecture seule est une installation spéciale et en lecture seule de AD DS. Les RODC sont courants dans les filiales où la sécurité physique n’est pas optimale, le support informatique est moins avancé que dans les centres d’entreprise principaux, ou les applications métier doivent s’exécuter sur un contrôleur de domaine.

Qu’est ce qu’un site AD ?

Un site est un conteneur pour les objets AD DS, tels que les ordinateurs et les services spécifiques à un emplacement physique. Il s’agit d’une comparaison avec un domaine, qui représente la structure logique des objets, tels que les utilisateurs et les groupes, en plus des ordinateurs.

QU’est ce qu’un sous réseau AD ?

Un sous-réseau est une portion des adresses IP du réseau d’une organisation attribuée aux ordinateurs dans un site. Un site peut avoir plus d’un sous-réseau.

Quels objets existent uniquement dans le domaine racine de la forêt ?

• Le rôle de contrôleur de schéma.

• Le rôle de maître d’attribution des noms de domaine.

• Le groupe Administrateurs de l’entreprise.

• Le groupe Administrateurs du schéma.

Quels objets existent dans chaque domaine (y compris la racine de la forêt)  ?

• Rôle maître d’ID relatif (RID).

• Rôle maître d’infrastructure.

• Rôle maître d’émulateur de contrôleur de domaine principal.

• Groupe Administrateurs de domaine.

Quelles sont les 5 rôles FSMO ?

• Contrôleur de schéma (unique forêt) : Il s’agit du contrôleur de domaine dans lequel vous apportez toutes les modifications de schéma.

• Maître d'opérations des noms de domaine (unique forêt) : Il s’agit du contrôleur de domaine que vous devez contacter lorsque vous ajoutez ou supprimez un domaine ou que vous modifiez le nom d’un domaine.

• Maître d'infrastructure (domaine) : Ce rôle gère les références d’objets interdomaines (par exemple, lorsqu’un groupe d’un domaine possède un membre d’un autre domaine). Dans ce cas, le maître d’infrastructure gère la préservation de l’intégrité de cette référence

• Maître RID (domaine) : Pour s’assurer que deux contrôleurs de domaine n’attribuent pas le même SID à deux objets différents, le maître RID alloue des blocs de RID à chaque contrôleur de domaine dans le domaine à utiliser lors de la génération de SID.

• Maître d'émulateur de contrôleur de domaine principal (domaine) : L’émulateur PDC de chaque domaine fournit la référence horaire du domaine et se synchronise avec celui du domaine racine de la forêt, lequel doit utiliser une source externe fiable. Il reçoit par défaut les modifications des GPO et les changements urgents de mot de passe, auxquels les autres contrôleurs de domaine peuvent se référer avant la réplication.

Quels sont les deux types groupes dans un domaine AD ?

Sécurité : Les groupes de sécurité sont activés pour la sécurité, et vous les utilisez pour attribuer des autorisations à diverses ressources.

Distribution : Les applications de messagerie utilisent généralement des groupes de distribution, qui ne sont pas activés pour la sécurité.

Quelles sont les étendues de groupe ?

Domain Local : regroupe des membres de différents domaines pour leur attribuer des droits sur des ressources du domaine où le groupe existe.

Global : regroupe des membres d’un même domaine pour leur attribuer des droits dans toute la forêt.

Universelle : regroupe des membres de plusieurs domaines pour leur attribuer des droits dans toute la forêt.

Quelles recommandations sur le nombre de DC ?

Pour la plupart des entreprises, considérez deux contrôleurs de domaine par région géographique comme le minimum absolu pour garantir une haute disponibilité et des performances optimales.

Que permet de faire la corbeille AD ?

Restaurer des objets supprimés, mais ne permet pas de revenir en arrière sur les modifications apportées

Comment restaurer un annuaire AD ?

Pour restaurer, on utilise une sauvegarde qui contient l’État du système, puis on démarre le contrôleur en mode DSRM pour pouvoir réparer AD DS.

• Restauration non autoritaire : le contrôleur restauré reprend sa place comme une copie en retard. Il récupère auprès des autres contrôleurs leurs changements récents. C’est adapté si ce contrôleur est endommagé, mais que les autres ont une copie correcte.

• Restauration faisant autorité : on désigne certains objets restaurés comme étant la version à conserver et à répliquer vers les autres contrôleurs. C’est utile, par exemple, pour récupérer un compte supprimé dont la suppression s’est déjà propagée partout.

Pour une récupération de forêt, il faut pouvoir restaurer au moins un contrôleur de domaine par domaine

sMSA et gMSA

Compte de service géré autonome (sMSA). AD gère automatiquement son mot de passe, mais il est associé à un seul serveur : on l’utilise quand le service ne tourne que sur une machine.

Un compte de service géré de groupe (gMSA) est un compte Active Directory réservé à un service ou à une application. AD gère automatiquement son mot de passe, et les serveurs autorisés le récupèrent sans qu’un administrateur ait à le saisir ou à le renouveler manuellement. Microsoft Learn

Le « groupe » signifie qu’un même compte peut être utilisé par plusieurs serveurs qui exécutent le même service, par exemple plusieurs serveurs Web derrière un répartiteur de charge.

Qu’est ce qu’une GPO ?

Un objet de stratégie de groupe est un objet qui contient un ou plusieurs paramètres de stratégie s’appliquant à un ou plusieurs paramètres de configuration pour un utilisateur ou un ordinateur.

Ordre de traitement des objets de stratégie de groupe

Dans la stratégie de groupe, la règle par défaut est que la dernière stratégie (la stratégie la plus spécifique) appliquée prévaut.

• Objets de stratégie de groupe locaux.

• Objets de stratégie de groupe liés à un site.

• Objets de stratégie de groupe liés à un domaine.

• Objets de stratégie de groupe liés à une unité d'organisation.

• Objets de stratégie de groupe liés à une unité d’organisation enfant.

Qu’est ce ue qu’une FGPP ?

Une stratégie de mot de passe affinée (FGPP) permet à Active Directory d’appliquer des stratégies de mot de passe distinctes à différents groupes à l’aide de PSO (Password Settings Object)

Différence centre Kerberos et NTLM

• Aucune authentification mutuelle : Kerberos permet l’authentification mutuelle, ce qui signifie que le client et le serveur peuvent vérifier mutuellement leur identité. NTLM ne permet pas la vérification de l’identité du serveur par le client.

• Vulnérabilité aux attaques par rejeu : Kerberos inclut des fonctionnalités telles que l’authentificateur pour empêcher les attaques par rejeu, auxquelles NTLM est sensible.

• Dépendance à l’égard de l’approbation : Dans un environnement multidomaine, Kerberos ne nécessite pas l’approbation mutuelle de tous les domaines, car il utilise les approbations existantes pour trouver un chemin d’accès à la cible. Le modèle d’approbation de NTLM est moins flexible.

• Délégation d’informations d’identification : Kerberos a introduit la délégation des informations d’identification, qui permet un accès aux ressources plus sécurisé et plus efficace. NTLM ne dispose pas de cette fonctionnalité.