Active Directory : dé­fi­ni­tion et mode de fonc­tion­ne­ment

Microsoft Active Directory pour les réseaux Windows vous permet de gérer de manière cen­tra­li­sée les res­sources in­for­ma­tiques internes, de modifier les droits et les stra­té­gies et de sur­veil­ler divers services. Nous ex­pli­quons les ca­rac­té­ris­tiques du service d’annuaire et comment fonc­tionne Active Directory de Windows.

Active Directory (AD) est un service d’annuaire développé par Microsoft pour les réseaux Windows. AD joue un rôle important pour les en­tre­prises disposant de res­sources in­for­ma­tiques complexes, de droits d’uti­li­sa­teur et de groupes de travail hié­rar­chiques : en fait, Active Directory peut être considéré comme un carnet d’adresses et un annuaire té­lé­pho­nique, à la dif­fé­rence près qu’il dispose de beaucoup plus d’options dédiées aux ad­mi­nis­tra­teurs pour gérer, modifier, in­ter­ro­ger et struc­tu­rer les données uti­li­sa­teur et objet stockées. L’in­fras­truc­ture in­for­ma­tique d’une or­ga­ni­sa­tion peut être sub­di­vi­sée en « domaines » à l’aide du service d’annuaire de façon à en obtenir une re­pré­sen­ta­tion claire.

Un Active Directory est constitué de trois com­po­sants centraux : schéma, con­fi­gu­ra­tion et domaine. Les domaines qui con­tien­nent toutes les in­for­ma­tions im­por­tantes sur les res­sources TI et les uti­li­sa­teurs et qui cons­ti­tuent le réseau sont la clef de voûte du système. La base de données et ses objets sont tout aussi im­por­tants pour la structure globale. Examinons les dif­fé­rents com­po­sants à la suite.

Comme son nom l’indique, le schéma AD sert de modèle aux clas­si­fi­ca­tions et types d’entrées AD requis et autorisés. Il s’agit notamment des objets, y compris les attributs, les classes et la syntaxe des attributs. Le schéma utilise des dé­fi­ni­tions pour dé­ter­mi­ner quels objets sont dis­po­nibles ou peuvent être mis à dis­po­si­tion dans le réseau.

Tandis que le schéma définit les contenus possibles, la con­fi­gu­ra­tion AD re­pré­sente la structure d’Active Directory et de tous les objets, rôles d’uti­li­sa­teur et partages contenus. Elle regroupe, entre autres, les domaines existants qui sub­di­vi­sent les groupes de travail dans le réseau in­for­ma­tique. Les contenus et les in­for­ma­tions spé­ci­fiques au domaine ne sont dis­po­nibles à leur tour que par le biais des con­trô­leurs de domaine internes du domaine concerné. Ils con­tien­nent un catalogue global contenant toutes les in­for­ma­tions im­por­tantes et des in­for­ma­tions par­tielles sur le schéma, la con­fi­gu­ra­tion et les autres domaines du même réseau. Le catalogue global peut être utilisé pour re­cher­cher et consulter des in­for­ma­tions par­tielles im­por­tantes sur tous les domaines.

Les domaines cons­ti­tuent dans Active Directory la base de la structure hié­rar­chique des objets, des groupes de travail et des uti­li­sa­teurs gérés par les ad­mi­nis­tra­teurs. Tout comme les ré­per­toires et les sous-ré­per­toires, un domaine contient toutes les in­for­ma­tions sur les objets et les attributs qui con­cer­nent uni­que­ment le domaine. Les in­for­ma­tions spé­ci­fiques au domaine ne peuvent être con­sul­tées à partir d’autres domaines que si elles sont contenues dans le catalogue global. Toutes les autres in­for­ma­tions sont dis­po­nibles uni­que­ment sur le con­trô­leur de domaine interne. Un domaine sert donc d’élément struc­tu­rant important, qui délimite les unités de gestion et de réseau sous la forme de divisions réelles, de groupes de travail et de services, et organise les au­to­ri­sa­tions de manière hié­rar­chique. Les noms de domaine sont attribués comme des serveurs DNS clas­siques.

Comme un serveur Microsoft Exchange, la base de données d’Active Directory est basée sur le moteur Microsoft Jet. Elle est basée sur des objets et est struc­tu­rée de manière hié­rar­chique. Les objets re­pré­sen­tent les en­re­gis­tre­ments res­pec­tifs et les stra­té­gies de groupe pour les res­sources in­for­ma­tiques. Leurs pro­prié­tés sont appelées attributs et leurs types sont définis en con­sé­quence. Les objets sont divisés en ca­té­go­ries « Comptes » (par ex. : comptes de service et d’uti­li­sa­teur pour les employés, les groupes ou les pé­ri­phé­riques) et « Res­sources » (par ex. : partage d’ap­pli­ca­tions et de services).

On distingue les objets à leur tour entre les « con­te­neurs », qui con­tien­nent d’autres objets pré­dé­fi­nis ou au­to­dé­fi­nis, et les « non-con­te­neurs », qui ne con­tien­nent aucun autre objet et sont également appelés nœuds terminaux/feuilles.

Quatre standards fon­da­men­taux sont utilisés pour permettre une com­mu­ni­ca­tion unifiée entre les or­di­na­teurs, les ap­pli­ca­tions, les services, les ré­per­toires AD et les domaines :

• LDAP (Light­weight Directory Access Protocol) : protocole pour les requêtes unifiées soumises aux ré­per­toires Active Directory
• Protocole Kerberos : protocole pour l’au­then­ti­fi­ca­tion cen­tra­li­sée et unifiée et les droits d’accès des uti­li­sa­teurs sur les serveurs AD
• SMB (Server Message Block) : protocole pour les droits d’accès tels que les stra­té­gies de groupe ou les scripts de connexion aux fichiers dans le réseau AD et les serveurs
• DNS (Domain Name System) : système pour l’adressage uni­for­misé des noms d’or­di­na­teurs et des domaines dans Active Directory

Au premier abord, il est difficile de discerner Active Directory entre toutes les ar­bo­res­cences. Au-delà de ce qui peut s’ap­pa­ren­ter à un mauvais jeu de mots, la structure globale d’AD est ef­fec­ti­ve­ment appelée forêt et peut contenir plusieurs arbres sous forme de domaines racines et de sous-domaines d’un espace DNS. Les con­te­neurs organisés en domaines sont con­si­dé­rés comme l’unité la plus élé­men­taire. Les domaines fédérés re­pré­sen­tent la structure or­ga­ni­sa­tion­nelle et les res­sources de l’en­tre­prise, mais peuvent toutefois être con­fi­gu­rés in­dé­pen­dam­ment des struc­tures physiques et logiques de l’en­tre­prise. On peut ainsi regrouper plusieurs sites dans un domaine ou gérer dif­fé­rents domaines sur un site.

Les in­for­ma­tions dis­po­nibles pour tous les uti­li­sa­teurs AD sont :

• le schéma,
• la con­fi­gu­ra­tion,
• les in­for­ma­tions de domaine dans le catalogue global.

Les données spé­ci­fiques au domaine, en revanche, ne sont ac­ces­sibles que par l’in­ter­mé­diaire des con­trô­leurs de domaine internes men­tion­nés plus haut. Un domaine possède gé­né­ra­le­ment deux con­trô­leurs, ce qui empêche la perte de données grâce à la ré­pli­ca­tion mul­ti­maître, c’est-à-dire le con­trô­leur de sau­ve­garde et les copies AD.

Tour d’horizon des avantages d’Active Directory pour les réseaux Windows complexes en en­tre­prise :

• gestion et con­fi­gu­ra­tion cen­tra­li­sées des partages, des droits et des stra­té­gies pour les uti­li­sa­teurs, les groupes, les services et les ap­pli­ca­tions
• pro­tec­tion contre les pannes et la perte de données grâce à la ré­pli­ca­tion mul­ti­maître au sein de la structure de domaine
• re­pré­sen­ta­tion et con­fi­gu­ra­tion cen­tra­li­sée de la structure or­ga­ni­sa­tion­nelle des réseaux in­for­ma­tiques Windows
• extension et mise à l’échelle flexibles des struc­tures de domaine
• pro­tec­tion de l’in­for­ma­tion par dé­li­mi­ta­tion hié­rar­chique entre les divisions, les services et les groupes de travail ayant des droits d’accès dif­fé­rents
• com­pa­ti­bi­lité avec d’autres services d’annuaire
• réduction des coûts et des tâches grâce à une ad­mi­nis­tra­tion cen­tra­li­sée