Retour aux projets Projets / Active Directory
SAE S5 · BUT 3ème année S1 2024 – 2025 Université de Lorraine

Active Directory
Mise en place & redondance des services d'authentification

Déploiement d'une infrastructure Active Directory redondante sous Windows Server, avec configuration des GPO de sécurité, gestion des utilisateurs et surveillance via l'Observateur d'événements.

2
Contrôleurs de domaine
100%
Redondant
AD
+ DNS + GPO
🔒
Cybersécurité
Active Directory Logo
Microsoft Active Directory — Windows Server
Comprendre le sujet

C'est quoi l'Active Directory ?

L'Active Directory (AD) est un service d'annuaire développé par Microsoft. Il constitue le cœur du système d'information d'une entreprise en centralisant la gestion des utilisateurs, des ordinateurs et des droits d'accès au sein du réseau.

Concrètement, c'est lui qui répond à une question fondamentale à chaque connexion : "Qui es-tu et à quoi as-tu le droit d'accéder ?". Il assure trois fonctions essentielles :

🔑
Authentification
Vérification de l'identité des utilisateurs et machines à la connexion via le protocole Kerberos
🛡️
Autorisation
Contrôle des droits d'accès aux ressources — dossiers partagés, applications, imprimantes
📋
Politiques GPO
Application centralisée des règles de sécurité sur tous les postes du domaine simultanément
💡

Pourquoi c'est critique ? Si l'AD tombe, personne ne peut se connecter. Plus d'accès aux fichiers, aux mails, aux applications. C'est pourquoi la redondance est indispensable en entreprise.

Réalisations

Ce que j'ai mis en place

01
Gestion des utilisateurs AD

Déploiement Active Directory & DNS

Installation et configuration du rôle AD DS sur Windows Server. Création du domaine ttg.local, configuration du DNS intégré, mise en place des Unités d'Organisation (OU) pour structurer utilisateurs et machines par rôle.

Windows Server AD DS DNS OU
02
GPO domaine

Configuration des GPO de sécurité

Mise en place des Group Policy Objects (GPO) au niveau du domaine. Configuration de la Default Domain Policy avec filtrage de sécurité restreint aux utilisateurs authentifiés, garantissant que les politiques ne s'appliquent qu'aux comptes légitimes.

GPO Group Policy Sécurité domaine
03
Politique de mot de passe

Politique de mots de passe renforcée

Configuration stricte : antériorité maximale 42 jours, antériorité minimale 1 jour, historique de 24 mots de passe mémorisés, complexité activée, longueur minimale 7 caractères, chiffrement réversible désactivé.

Password Policy GPO Cybersécurité
04
Observateur d'événements

Surveillance via l'Observateur d'événements

Analyse des journaux système Windows pour contrôler le bon fonctionnement de l'infrastructure. Identification des événements critiques, erreurs de service et suivi du démarrage des services réseau — pratique essentielle pour la détection d'incidents de sécurité.

Event Viewer Logs système Détection incidents
05
AD1
Principal
⟷
AD2
Réplique
Réplication automatique

Architecture redondante — 2 contrôleurs de domaine

Déploiement de deux contrôleurs de domaine (AD1 et AD2) avec réplication automatique de l'annuaire. En cas de panne du contrôleur principal, AD2 prend le relais automatiquement — les utilisateurs continuent à s'authentifier sans interruption.

Redondance Réplication AD Haute disponibilité
06
🛡️
Surface d'attaque réduite

Sécurisation & isolation des services

Isolation des services critiques d'authentification et restriction des accès réseau pour limiter la surface d'attaque. Bien que certains tests avancés n'aient pas pu être réalisés en conditions réelles, la sécurisation par conception a été appliquée tout au long du projet.

Isolation réseau Réduction surface attaque
Cybersécurité

L'AD, une cible privilégiée des attaquants

Comprendre les menaces pour mieux défendre — une approche indispensable en administration système.

⚠️ Menace

Pass-the-Hash / Pass-the-Ticket

Un attaquant ayant compromis un poste peut voler les condensats NTLM ou tickets Kerberos pour se déplacer latéralement dans le réseau sans connaître les mots de passe en clair.

Contre-mesure → Politique de mdp stricte + comptes limités
⚠️ Menace

Escalade de privilèges

Un compte compromis peut tenter d'obtenir les droits d'un administrateur du domaine pour prendre le contrôle total de l'AD et de toutes les machines du réseau.

Contre-mesure → GPO restrictives + OU séparées par rôle
⚠️ Menace

Déni de service sur l'AD

Rendre le contrôleur de domaine indisponible paralyse l'ensemble du réseau. Sans authentification possible, aucun utilisateur ne peut travailler.

Contre-mesure → Architecture redondante AD1 + AD2
✅ Défense

Journalisation & détection

L'Observateur d'événements permet de détecter les tentatives d'authentification suspectes, les modifications non autorisées de GPO et les anomalies système.

Mise en œuvre → Analyse logs Event Viewer en continu
✅ Défense

Principe du moindre privilège

Chaque utilisateur ne dispose que des droits strictement nécessaires à ses missions. Les comptes administrateurs sont séparés des comptes utilisateurs courants.

Mise en œuvre → OU dédiées + filtrage GPO par groupe
⚡ Limite identifiée

Tests en conditions réelles non réalisés

Par contrainte de temps et d'accès au matériel, certains tests de sécurité avancés n'ont pas pu être menés. L'identification de cette limite fait partie de la démarche professionnelle.

Perspective → Tests de pénétration interne à envisager
Technologies

Stack utilisée

🪟
Windows Server
OS
🏢
Active Directory
Annuaire
📋
GPO
Politique
🌐
DNS
Résolution
🔑
Kerberos
Auth
📊
Event Viewer
Supervision
🛡️
NTLM
Protocole
☁️
VMware
Virtualisation
Bilan

Ce que ce projet m'a apporté

🧠

Vision systémique

Comprendre qu'un service d'authentification n'est pas qu'un outil technique — c'est un élément critique dont la disponibilité conditionne l'activité entière d'une organisation.

🔒

Réflexe sécurité

Adopter une approche "security by design" : penser aux menaces dès la conception. Les GPO, la redondance et la journalisation sont des réponses à des risques réels et documentés.

⚙️

Pratiques professionnelles

Configuration cohérente et reproductible, documentation des choix techniques, démarche proche de ce qu'on retrouve en entreprise dans les équipes IT et cybersécurité.