Guide de délégation Active Directory 2022

L’environnement commercial actuel devient de plus en plus complexe et les entreprises doivent surveiller de plus en plus d’applications, d’appareils et de catégories d’utilisateurs. Bien sûr, cela signifie également une augmentation des points d’accès et des connexions qui sont des passerelles potentielles pour les cyberattaques.

Avec l’augmentation constante des failles de sécurité, les organisations ont besoin d’une stratégie de gestion de réseau qui les tient informées des autorisations d’accès aux ressources numériques. En fait, les informations d’identification compromises sont impliquées dans  80 % de toutes les violations de données  . Active Directory contient une mine d’informations sur les utilisateurs et les appareils sur le réseau d’une organisation. Par conséquent, la gestion des accès et la délégation des autorisations sont cruciales pour prévenir les abus de droits et le vol de données. C’est pourquoi je recommande un outil comme  Onelogin ou notre outil interne RM3A Acces Manager  (RAM) pour automatiser et simplifier la gestion des accès et finalement minimiser les erreurs de délégation.

Cet article couvre les sujets suivants :

• Qu’est-ce que Active Directory ?
• Qu’est-ce que la délégation d’accès dans Active Directory ?
• Attribuer des autorisations à l’aide de l’assistant d’attribution de contrôle
• Vérifier la délégation des utilisateurs dans Active Directory
• Supprimer la délégation dans Active Directory
• Meilleures pratiques de délégation Active Directory
• Utilisation d’un outil Identity Access Management (IAM) pour la délégation d’accès dans Active Directory

Qu’est-ce que Active Directory ?

Développé par Microsoft pour Windows, Active Directory utilise un base de données structuré pour permettre aux administrateurs informatiques de gérer les comptes d’utilisateurs et l’accès aux ressources du réseau . Il est essentiel que vous protégiez votre domaine Active Directory car les comptes d’utilisateurs privilégiés sont souvent ciblés par les cyber-attaquants pour infiltrer les réseaux d’entreprise.

Sécuriser Active Directory signifie essentiellement utiliser l’ authentification intégrée pour se connecter et autoriser les utilisateurs. Cependant, les administrateurs informatiques peuvent prendre des mesures supplémentaires pour protéger davantage Active Directory après le déploiement :

• Appliquez des mots de passe forts pour les utilisateurs du domaine afin d’éviter les devinettes intelligentes et les attaques par dictionnaire
• Activez les stratégies d’audit pour être informées des actions potentiellement risquées
• Attribuez des droits d’utilisateur à de nouveaux groupes de sécurité pour définir précisément les rôles administratifs des utilisateurs dans le domaine
• Appliquez des verrouillages de compte sur les comptes d’utilisateurs pour empêcher les attaquants de compromettre le domaine avec des tentatives de connexion répétées
• Appliquer l’historique des mots de passe pour les comptes d’utilisateurs
• Restreindre l’accès des utilisateurs, des groupes et des ordinateurs aux ressources partagées avec des paramètres de stratégie de groupe filtrés
• Utiliser des techniques de cryptage renforcées pour protéger les informations de mot de passe de compte sur les ordinateurs locaux, les serveurs et les contrôleurs de domaine

Pour minimiser les failles de sécurité et les abus de privilèges, les administrateurs peuvent utiliser la délégation dans Active Directory. Cette délégation est un élément essentiel de la sécurité et de la conformité. Pour déléguer l’accès, les administrateurs de domaine peuvent accorder aux non-administrateurs de domaine des autorisations spécifiques dans l’ environnement Active Directory que l’on appelle la FORET , telles que l’autorisation de créer, de supprimer et de gérer des comptes d’utilisateurs dans une unité d’organisation (UO) spécifique.

Qu’est-ce que la délégation d’accès dans Active Directory ?

La création d’autorisations déléguées est directement liée à la gestion des accès, qui empêche les utilisateurs d’accéder à des niveaux pour lesquels ils ne sont pas autorisés. La gestion des accès est l’un des moyens les plus importants de protéger les données, permettant une gestion efficace des données utilisateur, des rôles et des groupes, ainsi que des politiques qui doivent être appliquées. La gestion des accès comprend des activités telles que l’analyse des autorisations, le provisionnement des utilisateurs , la surveillance de la sécurité dans Active Directory et l’exécution de rapports configurables avec des informations actuelles et historiques sur les droits d’accès.

Les administrateurs informatiques peuvent déléguer l’administration pour attribuer diverses tâches à différents utilisateurs et groupes . Par exemple, vous pouvez affecter des utilisateurs ordinaires à des tâches administratives simples tandis que les membres des groupes Administrateurs du domaine et Administrateurs de l’entreprise (ces groupes sont décrits plus en détail plus loin dans ce document) sont responsables de l’administration spécifique au domaine.

Les administrateurs peuvent créer des unités organisationnelles pour déléguer le contrôle à un groupe spécifique du domaine. Par exemple, un administrateur peut donner à un utilisateur le contrôle de tous les comptes d’un service spécifique, tel que les ressources humaines. Dans un autre scénario, vous pourriez donner à un utilisateur le contrôle administratif sur certaines des ressources dans les ressources humaines, telles que les comptes d’ordinateur. Vous pouvez également donner à un utilisateur le contrôle administratif de l’unité d’organisation des ressources humaines, mais pas des unités d’organisation qu’elle contient. Le choix des unités d’organisation à créer et de la manière dont les comptes et les ressources partagées sont distribués entre les unités d’organisation dépend de la structure organisationnelle.

Lorsque les administrateurs de domaine savent comment déléguer des privilèges administratifs dans Active Directory, ils peuvent restreindre l’accès autant que possible et minimiser le risque de fuite de données . De plus, en cas de faille de sécurité , l’activité peut être rapidement retracée jusqu’à son origine. Le contrôle administratif peut être donné à un utilisateur ou à un groupe à l’aide de l’assistant d’affectation de contrôle, que je décris plus en détail ci-dessous.

Attribuer des autorisations à l’aide de l’assistant d’attribution de contrôle

Comme son nom l’indique, l’assistant d’affectation de gestion d’objet permet aux administrateurs de déléguer facilement des tâches administratives et des autorisations à des utilisateurs ou à des groupes individuels. Les étapes suivantes détaillent comment affecter ces tâches :

1. Ouvrez Utilisateurs et ordinateurs Active Directory ou Sites et services Active Directory, selon l’objet que vous souhaitez déléguer.
2. Sur la gauche, accédez à l’objet dont vous souhaitez déléguer le contrôle.
3. Cliquez avec le bouton droit sur l’objet. Sélectionnez « Attribuer la gestion des objets ». Cliquez sur Continuer ».
4. Cliquez sur le bouton Ajouter et utilisez le sélecteur d’objet pour sélectionner les utilisateurs ou les groupes auxquels vous souhaitez déléguer le contrôle. Cliquez sur Continuer ».
5. Si la tâche que vous souhaitez déléguer apparaît sous Attribuer les tâches courantes suivantes, sélectionnez-la et cliquez sur Suivant. Si vous ne voyez pas la tâche, sélectionnez Créer des tâches personnalisées à attribuer et cliquez sur Suivant. Dans ce dernier cas, vous devez effectuer deux étapes supplémentaires :
   1. Sélectionnez le type d’objet que vous souhaitez déléguer. Cliquez sur Continuer ».
   2. Sélectionnez les autorisations que vous souhaitez déléguer. Cliquez sur Continuer ».
6. Félicitations ! Vous venez de déléguer avec succès le contrôle d’un objet dans Active Directory à un utilisateur ou à un groupe.

Vérifier la délégation des utilisateurs dans Active Directory

Les données sont extrêmement dynamiques, tout comme la responsabilité des données. Par conséquent, les niveaux d’autorisation doivent être contrôlés en permanence. Voici comment vérifier la délégation des autorisations dans Active Directory :

1. Sous Utilisateurs et ordinateurs, sélectionnez le menu Affichage et assurez-vous que les fonctionnalités avancées sont cochées. Cette option affiche l’onglet Sécurité lorsque vous sélectionnez Propriétés à l’étape suivante.
2. Cliquez avec le bouton droit sur l’unité d’organisation dont vous souhaitez vérifier la délégation d’utilisateur. Sélectionnez « Propriétés » puis sélectionnez l’onglet « Sécurité ». De là, passez à l’onglet « Avancé ».
3. Une liste de toutes les autorisations déléguées pour cette unité d’organisation doit apparaître ici.

Supprimer la délégation dans Active Directory

En plus d’ajouter et d’afficher régulièrement des délégations dans Active Directory, les administrateurs doivent également supprimer les autorisations déléguées. Pour ce faire, procédez comme suit :

1. Sous Utilisateurs et ordinateurs, sélectionnez le menu Affichage et assurez-vous que les fonctionnalités avancées sont cochées. Cette option affiche l’onglet Sécurité lorsque vous sélectionnez Propriétés à l’étape suivante.
2. Cliquez avec le bouton droit sur l’unité d’organisation avec les autorisations déléguées que vous souhaitez supprimer. Sélectionnez « Propriétés » puis sélectionnez l’onglet « Sécurité ».
3. Sélectionnez « Avancé ». Faites défiler jusqu’au groupe avec les autorisations appropriées. Sous Accès, l’autorisation Réinitialiser le mot de passe doit être répertoriée.
4. Pour supprimer cette autorisation, sélectionnez-la et cliquez sur Supprimer.

Meilleures pratiques de délégation Active Directory

Suivez ces bonnes pratiques pour garantir la stabilité et l’efficacité à long terme de la sécurité d’Active Directory et tirer le meilleur parti de la délégation.

Créez les rôles d’ administrateur recommandés suivants et attribuez-leur les tâches appropriées :

1. Administrateurs de services :
   1. Administrateurs de l’organisation : responsables du niveau supérieur de l’administration des services dans l’ensemble de l’organisation.
   2. Administrateurs de domaine : responsables du niveau supérieur d’administration du domaine. Ce groupe doit être composé d’une poignée d’administrateurs de confiance.
   3. Administrateurs de niveau 4 : responsables de l’administration des services dans le domaine et ne reçoivent que les autorisations nécessaires pour leurs tâches quotidiennes.
2. Administrateurs de données :
   1. Administrateurs de niveau 1 : responsables de la gestion générale des objets de l’annuaire, tels que les réinitialisations de mot de passe et les modifications de compte d’utilisateur.
   2. Administrateurs de niveau 2 : responsables de la création et de la suppression sélectives de comptes d’utilisateurs et d’ordinateurs.
   3. Administrateurs de niveau 3 : responsable de la gestion de tous les administrateurs de données.
   4. Administrateurs régionaux : responsables de la gestion de la structure de l’unité d’organisation locale avec le pouvoir de créer la plupart des objets au sein de leur unité d’organisation.

Effectuer des examens périodiques des rôles d’administrateur. De cette façon, vous pouvez déterminer si des droits sont abusés :

• Utilisez l’authentification multifacteur comme couche de sécurité supplémentaire. Les mots de passe faibles sont souvent une cause majeure d’attaques de données. Des exemples d’authentification multifacteur sont une combinaison de mots de passe avec un code de vérification sur les appareils mobiles, les notifications push, la reconnaissance faciale ou une empreinte digitale.

• Définir le modèle de sécurité OE . Assurez-vous que les unités d’organisation sont correctement implémentées et affectées aux bons objets (utilisateurs, groupes, ordinateurs).

• Migrez d’un  environnement sur site vers le cloud . Au lieu de consacrer du temps et de l’argent à protéger les centres de données sur site contre les pirates, les organisations peuvent considérablement améliorer leur sécurité en migrant vers un fournisseur de services cloud. Contrairement à la croyance populaire, le passage au cloud s’accompagne d’une sécurité accrue sous la forme de gestion des correctifs , de chiffrement, d’intégrations et d’exigences d’accès sécurisé.

• Implémentez un modèle de délégation de moindre privilège pour protéger adéquatement votre environnement informatique. Vous pouvez utiliser l’assistant Affecter la gestion des objets pour ce faire.

• À l’instar du modèle de délégation de moindre privilège, une philosophie de confiance zéro qui oblige les utilisateurs et les applications non seulement à prouver leur identité, mais également à suivre certaines mesures de sécurité avant de quitter le réseau est utile. Cela est particulièrement vrai lorsque de nombreux employés travaillent à distance depuis l’extérieur du réseau de l’entreprise.

• Effectuez des vérifications régulières pour identifier les comptes inactifs. Les changements commerciaux sont inévitables. La gestion d’innombrables comptes dans un tel environnement entraîne inévitablement des erreurs de délocalisation et de déprovisionnement. Cela crée des comptes orphelins qui contiennent des données utilisateur et ne sont pas attribués à un utilisateur, que les pirates peuvent potentiellement utiliser pour obtenir des informations d’identification et de fausses identités.

• Centralisez votre système . Avec autant d’utilisateurs, d’applications, de bases de données, de portails et d’appareils dans une organisation, il est facile d’oublier des éléments critiques à mesure que l’organisation se développe. Investir dans une solution de gestion des identités et des accès donne aux organisations la visibilité à 360 degrés dont elles ont besoin pour voir qui a accès à quoi, tout en mettant en œuvre les meilleures pratiques ci-dessus.

Utilisation d’un outil Identity Access Management (IAM) pour la délégation d’accès dans Active Directory

Comme vous pouvez le constater, la configuration du contrôle d’accès pour Active Directory est une tâche exigeante et complexe pour les administrateurs informatiques, qui doivent gérer l’accès de milliers de comptes d’utilisateurs, définir des politiques de service et configurer d’autres composants. Avec un outil de gestion des accès robuste comme  RM3A ACCES Manager  , ce processus peut être considérablement simplifié. RAM est une plate-forme centralisée qui offre aux administrateurs des processus plus simples pour gérer les droits d’accès , s’intègre à Active Directory et fournit des solutions automatisées et basées sur le cloud pour simplifier les tâches manuelles et les opérations de maintenance.

En bref, les IAM surveillent qui accède au système, définissent les niveaux d’autorisation et les rôles des utilisateurs, et surveillent l’activité du compte pour empêcher les abus de droits. RAM fait toutes ces choses et plus encore. Spécialement conçu pour simplifier la gestion des accès, ce logiciel se différencie des autres solutions IAM en associant la configuration des autorisations des utilisateurs à une sécurité réseau améliorée.. Cela étend les fonctionnalités d’Active Directory pour fournir plus de contrôle sur les informations d’identification des utilisateurs. En analysant les autorisations d’accès, les administrateurs peuvent déterminer qui a accès à quoi, quand quelque chose a été accédé et quelles modifications ont été apportées. Les administrateurs peuvent utiliser RAM pour mettre en œuvre le principe du moindre privilège, qui accorde aux utilisateurs les privilèges minimaux dont ils ont besoin pour effectuer leurs tâches quotidiennes et minimiser le risque de failles de sécurité. Une fois que les administrateurs ont défini les catégories de données, le logiciel peut automatiquement déléguer et provisionner les droits d’accès des utilisateurs selon les besoins.

RAM génère également des rapports personnalisés afin que vous puissiez démontrer la conformité à diverses exigences réglementaires . Les administrateurs peuvent créer des rapports hautement personnalisables et faciles à comprendre pour les parties prenantes internes et les auditeurs externes.