Windows Active Directory (Cours 1)

Premier jeu de slides (2019)

Généralités

Historique

Au début -> MS-DOS: première version: 1981

En 1993 -> Première version de Windows NT commercialisée (Windows NT 3.1)
Le but (souhait) de Microsoft pour NT: être le plus portable possible

NT: Apporte de la sécurité:

• Authentification obligatoire
• Audit de sécurité, journalisation
• Protection de la mémoire
• Système de contrôle d'accès discrétionaire (imposé par l'administration américaine à Microsoft)

Windows 2000 (NT 5.0): apparition de l'Active Directory, début d'utilisation de protocoles non-propriétaires

Windows NT

En plus de ce qui a été décrit dans la partie précédente:

• Multi-utilisateurs
• Multitâche préemptif
• Fonctionnalités serveur
• Portable

Architecture

CISC

• x86 -> 4 jeux d'instructions ("rings") -> 4 niveaux de privilèges différents

https://fr.wikipedia.org/wiki/Anneau_de_protection

Ring	Utilisation
3	Appli
2	Services
1	Drivers
0	Noyau

RISC

• Alpha -> 2 jeux d'instructions
  Trois possibilités:

Ring	Utilisation
3	Applications, services, drivers
0	Noyau
=> Le plus sécurisé mais le moins performant
[color=lightgrey]

Ring	Utilisation
3	Applications, services
0	Noyau, drivers
=> Entre les deux => ce que Windows NT fait
[color=darkgrey]

Ring	Utilisation
3	Applications, services
0	Noyau, drivers, services
=> Le plus performant mais le moins sécurisé
[color=grey]

Sessions

• Apparu sous Windows NT 4 TSE (Terminal Server Edition)
• Permet à plusieurs utilisateurs de se connecter en simultané sur un même système

Modèle de sécurité

Contrôle d'accès discrétionnaire
Chaque objet a un descripteur de sécurité (SD): définit quels types d'accès sont autorisés de la part des différentes entités

Lorsqu'on s'identifie: un jeton est créé => permet de définir le contexte de sécurité de cette entité

SID utilisateur créé à partir du SID machine + RID

SID et Active Directory

• Installation de Windows Server 2016
  => SID serveur
• Installation Active Directory
  => SID domaine = SID serveur
  => SID domain controller = SID domaine + RID domain controller
• Création d'un compte utilisateur, groupe, ordinateur
  => SID user 1 = SID domain + RID user 1 (ex. 1000)
  => SID group = SID domain + RID group (ex. 1002)
  => SID computer = SID computer + RID group (ex. 1003)
  => SID user 2 = SID domain + RID user 2 (ex. 1004)

On ne réutilise pas un RID qui a appartenu à un autre compte (même s'il a été supprimé)

Il est important de renommer le compte administrateur d'origine (RID 500) => compte non verrouillable, on peut brute force

Jeton d'accès

=> Permet d'identifier l'utilisateur pendant la durée de la session
=> Quels sont les droits de l'utilisateur sur la machine