Faut-il mettre à niveau votre forêt AD existante vers Active Directory de Windows Server 2016 (également appelé AD 2016), ou vaut-il mieux la laisser telle quelle ? Malgré l'engouement et l'effervescence actuels autour de l'adoption des services cloud, il n'en reste pas moins qu'Active Directory continue de constituer le fondement de tout cela. Outre sa position dominante de longue date en tant que source d’identité sur site, la grande majorité des entreprises de taille moyenne à grande à travers le monde utilise un modèle d’identité hybride, alimenté par AD, pour leurs services cloud. Il s’agit donc d’une question importante.
L'une des principales raisons pour lesquelles les services informatiques n'ont pas mis à niveau leur environnement Active Directory vers Windows Server 2016 à partir de systèmes d'exploitation en phase de support intermédiaire, tels que Windows Server 2012 ou R2, est qu'ils estiment qu'il n'existe pas de « fonctionnalité phare » claire et convaincante, telle que la corbeille Active Directory, pour justifier cette mise à niveau. Si vous faites partie de ces personnes, vous devriez examiner de plus près Windows Server 2016.
Partons de scénarios – des exemples concrets, tant sur le plan métier que technique, d’environnements et de besoins auxquels vous pourriez également être confrontés – pour examiner les principales améliorations apportées à la sécurité d’Active Directory et du système d’exploitation dans Windows Server depuis la version 2008 R2. L’un de ces scénarios correspond-il à la situation de votre entreprise ?
Si vous virtualisez vos DC
La virtualisation est désormais couramment utilisée depuis de nombreuses années, mais la virtualisation des contrôleurs de domaine (DC) a souvent pris du retard par rapport à d’autres charges de travail, et ce pour deux bonnes raisons : l’intégrité et la sécurité. Si vous avez virtualisé tout ou partie de vos contrôleurs de domaine, sachez que le système d’exploitation Windows Server 2016 et Active Directory (AD) offrent désormais des améliorations majeures en matière d’intégrité et de sécurité, dont vous devriez tirer parti sans tarder.
L'un des problèmes liés à la virtualisation d'une application telle qu'AD, qui assure le suivi de son état, réside dans le fait que, s'il est restauré à partir d'un instantané de machine virtuelle pris précédemment, le contrôleur de domaine restauré ne se rend pas compte qu'il n'est plus synchronisé avec les autres contrôleurs de domaine. Cette situation peut entraîner de graves erreurs de divergence au sein de votre domaine ou de votre forêt. Windows Server 2012 a introduit une fonctionnalité à la fois dans AD et dans Hyper-V, le VM-GenID, qui indique essentiellement à AD qu’il a été restauré à partir d’un instantané et lui demande de prendre les mesures appropriées pour se protéger.
Une fois averti de la restauration à partir d'un instantané, le contrôleur de domaine (DC) vide son pool de RID et réinitialise l'ID d'invocation (le numéro de version de la base de données AD) afin d'éviter tout problème de divergence. (Il n'est toutefois pas recommandé de restaurer régulièrement les contrôleurs de domaine à partir d'instantanés.) VMware, Xen et d'autres fournisseurs de solutions de virtualisation ont également adopté cette méthode ; vos contrôleurs de domaine ne doivent donc pas nécessairement tourner sous Hyper-V.
Si vos contrôleurs de domaine (DC) fonctionnent sous Windows Server 2012 ou 2012 R2 et que vous ne les avez toujours pas virtualisés en raison de préoccupations de sécurité liées à leurs serveurs hôtes, Windows Server 2016 vous propose une fonctionnalité importante. Ce tout dernier système d’exploitation résout un problème de sécurité fondamental inhérent à toute machine virtuelle : toute personne disposant de droits d’administrateur sur la machine hôte peut simplement copier les fichiers de la machine virtuelle depuis l’hôte et les pirater à sa guise. Un contrôleur de domaine est une cible de choix pour ce type d’attaque, car il contient bien sûr les identifiants et mots de passe de tous les employés de l’entreprise. La fonctionnalité « Shielded VMs » protège les machines virtuelles contre les administrateurs compromis ou malveillants, tels que les administrateurs de stockage, de sauvegarde, etc., en chiffrant le disque et l’état des machines virtuelles, de sorte que seuls les administrateurs de la machine virtuelle ou du locataire puissent y accéder.
Soutenir vos clients dans un monde hybride
Bien sûr, une entreprise ne se résume pas à ses serveurs. Les clients avec lesquels les utilisateurs interagissent sont tout aussi importants. Auparavant, le service informatique n'avait à se soucier que des clients Windows joints au domaine, mais aujourd'hui, les utilisateurs professionnels ont le choix entre une grande variété de solutions. Au fil des différentes versions, Active Directory s'est adapté pour prendre en charge cette diversité accrue.
Si votre entreprise s'engage dans la « transformation numérique » via les services cloud – en particulier Azure Active Directory avec des clients Windows 10 –, il existe un cas de figure dans lequel vous devrez vous pencher de plus près sur AD 2016. Pour mieux comprendre ce cas de figure, commençons par un bref aperçu de la prise en charge des appareils dans AD.
Active Directory a toujours pris en charge les appareils Windows reliés à un domaine. À partir de Windows Server 2012 R2, AD a également permis à un utilisateur d'enregistrer un appareil mobile tel qu'un téléphone intelligent (on peut considérer qu'il s'agit d'une jonction légère). Cette capacité de jonction en milieu de travail confère à l'appareil une présence dans AD et l'associe à un utilisateur. Cette association confère à l'appareil un degré de confiance supérieur à celui d'un appareil inconnu, ce qui lui permet de bénéficier d'une authentification unique et d'un accès à des ressources réseau plus sûres.
Le grand frère d'AD dans le cloud – Azure AD – prend également en charge ces deux types d'appareils. Vous pouvez les intégrer directement au service cloud à l’aide de la fonctionnalité « Azure AD Join » pour les appareils Windows 10 et de l’enregistrement Intune pour les appareils iOS, Android et Mac OS. Cette architecture déjà complexe devient encore plus déroutante dans un environnement hybride comprenant des clients Windows 7 et 8 sur site ; Azure AD peut être informé de leur présence via une intégration hybride Azure AD, nécessaire pour appliquer des politiques d’accès conditionnel tenant compte des appareils.
Envisagez-vous d’utiliser Windows Hello for Business pour bénéficier d’une authentification sécurisée allant au-delà des mots de passe ? Dès son installation, Hello vous permet de déverrouiller votre appareil Windows 10 à l’aide d’un identifiant biométrique ou d’un code PIN. Hello for Business est un cadre d’authentification multifactorielle (MFA) plus étendu qui utilise des clés asymétriques (stockées dans le module de sécurité de l’appareil) pour authentifier l’utilisateur. Il existe un scénario d’authentification multifactorielle (MFA) dans un environnement hybride Active Directory sur site / Azure AD où vous avez besoin à la fois d’AD 2016 et d’AD FS 2016. Je reviendrai sur les raisons d’envisager une mise à niveau vers AD FS 2016 dans un prochain article de blog.
Une meilleure sécurité
Au-delà des améliorations apportées à Active Directory, la mise à jour vers le système d’exploitation sous-jacent Windows Server 2016 vous apportera des avantages en matière de sécurité. Si vous utilisez encore la version 2008 R2, la mise à niveau vous permettra de bénéficier d’une interface utilisateur pour la corbeille d’Active Directory, ce qui en facilitera grandement l’utilisation. Vous pourrez également commencer à combler une faille de sécurité de longue date : les mots de passe obsolètes et immuables de vos comptes de service. Les comptes de service gérés par groupe (gMSA) mettent automatiquement à jour le mot de passe de ces comptes à votre place, même s'ils sont utilisés dans un cluster.
Si vous utilisez déjà la version 2012 R2, Windows Server 2016 apporte quelques améliorations en matière de sécurité qu’il convient de prendre en compte. Windows Defender Credential Guard et Remote Guard protègent les identifiants NTLM et Kerberos dans Active Directory contre le vol par des attaquants et leur utilisation dans le cadre d’attaques de type « pass-the-hash ». Windows Defender Application Control protège l’intégrité du système d’exploitation de base en n’autorisant l’exécution que de certaines applications (ce que l’on appelle également la « liste blanche ») – une excellente mesure de sécurité pour un serveur exécutant une charge de travail dédiée telle qu’Active Directory.
Gestion des accès privilégiés pour AD
Si vous avez pour consigne de sécuriser rigoureusement vos comptes d'administration Active Directory, Active Directory 2016 introduit également la gestion des accès privilégiés (PAM). Associée à undéploiement MIM dédié, la PAM consiste en une forêt « rouge » spéciale et hautement sécurisée que vous créez et qui contrôle les groupes d'administration d'une forêt Active Directory cible.
La version AD 2016 intègre des mises à jour concernant les groupes de sécurité, appelés « entités fantômes », qui permettent de « répliquer » les groupes d’administrateurs de la forêt cible vers la forêt rouge via une nouvelle forme de relation de confiance entre forêts. Lorsqu'un compte d'administrateur de la forêt « rouge » est ajouté à un groupe d'administrateurs « mis en miroir » dans cette forêt, il se voit attribuer le même SID que le groupe d'administrateurs et bénéficie ainsi des mêmes droits. Grâce à cette fonctionnalité, les comptes d'administrateurs sont supprimés de la forêt cible et n'existent plus que dans la forêt « rouge » sécurisée.
AD 2016 comporte également des mises à jour du protocole Kerberos qui permettent de limiter dans le temps l'appartenance à un groupe (stockée dans le champ PAC du ticket Kerberos). Lorsqu'ils sont combinés avec les mandants fantômes et le workflow de demande d'accès intégré à MIM, les administrateurs peuvent demander et se voir accorder des droits d'administration (via l'appartenance à un groupe) pour une période de temps spécifiée. À l'expiration de cette période, ces droits sont automatiquement révoqués.
Raisons de rester là où vous êtes
Franchement, il n'y a pas beaucoup de raisons de rester sur un niveau AD bas.
Si vous disposez d'une forêt de test sur un réseau isolé, fonctionnant sur des contrôleurs de domaine physiques et ne prenant pas en charge les périphériques clients, vous pouvez peut-être attendre encore un peu.
Le budget est peut-être un problème en ce moment. Votre direction doit avoir une vue d'ensemble : la plupart des entreprises possèdent bien moins de cinquante DC. Le coût des licences, de la mise à niveau et du déploiement de nouvelles fonctionnalités sur ces serveurs est insignifiant par rapport au coût d'une intrusion par l'obtention d'informations d'identification de domaine à partir d'anciennes versions d'AD.
La compatibilité AD avec des applications très anciennes, ou avec d’anciens logiciels clients embarqués fonctionnant sur du matériel très coûteux, tel que des équipements de fabrication informatisés, peut s’avérer plus épineuse. Mais la version 2008 R2 ne sera plus viable très longtemps : la fin du support (avec le SP1 installé, précisons-le) est prévue pourle 14 janvier 2020. Cela ne laisse plus qu’un an et quatre mois. La fin du support signifie que Microsoft ne fournira plus de mises à jour de sécurité – un service essentiel dans le monde actuel, où les vulnérabilités et les correctifs se livrent à un véritable jeu du chat et de la souris. Les forêts 2012 et 2012 R2 disposent d’un délai plus long : le 10 octobre 2023. (Notez que 2012 et R2 ont toutes deux la même date de fin de support.)
Recommandations
Mes recommandations sont les suivantes :
- Si vos DC fonctionnent sous 2008 R2, quel que soit le scénario ci-dessus, vous devez planifier vos mises à niveau et effectuer des tests de compatibilité des applications dès maintenant.
- Pour les utilisateurs de la version 2012 ou 2012 R2, les améliorations apportées à la virtualisation et à la sécurité de base du système d’exploitation justifient une mise à niveau. Vous aurez également tout intérêt à collaborer avec les équipes d’ingénierie serveur et de sécurité, en tant que partie prenante, afin de piloter le déploiement des améliorations de sécurité de la version 2016 dans l’image de déploiement standardisée de la plateforme. Les problèmes de compatibilité des applications devraient être mineurs.
- À moins que vous ne releviez du cas particulier de l'offre hybride « Hello for Business », les améliorations apportées à la gestion des appareils ne constitueront pas un argument de poids en faveur d'Active Directory 2016.
Si l’on examine attentivement les avantages d’une mise à niveau vers AD 2016 par rapport au maintien de la configuration actuelle, hormis la question de la compatibilité des applications, il n’y a en réalité aucune raison valable de ne pas procéder à cette mise à niveau. La principale raison invoquée pour ne pas le faire est sans doute la complaisance : le système fonctionne bien tel quel. Or, les améliorations apportées à la sécurité, tant au niveau du système d’exploitation de base que d’AD, renforceront considérablement la protection de votre organisation contre les attaquants. C’est pourquoi vous devriez commencer dès aujourd’hui à planifier vos mises à niveau.
