Sécurisation d'Active Directory : qui peut ajouter des ordinateurs au domaine ? Uniquement l'administrateur du domaine ?
"Seuls les administrateurs de domaine peuvent ajouter des ordinateurs au domaine." Je ne peux pas compter combien de fois j’ai entendu ces mots. Mais lors de l'installation d'un nouveau domaine, un compteur est configuré et ce compteur permet à chaque utilisateur du domaine d'ajouter jusqu'à 10 ordinateurs au domaine. Ce sont les paramètres par défauts. Le paramètre peut être modifié et doit être pris en compte dans le concept de sécurité informatique.
Le ms-DS-MachineAccountQuota
Le paramètre peut être trouvé dans dsa.msc (activez les fonctionnalités avancées !) Ouvrez dsa.msc (Utilisateurs et ordinateurs Active Directory). Si ce n’est pas déjà activé, activez les fonctionnalités avancées. Ensuite, ouvrez les propriétés de votre domaine (clic droit), cliquez sur l'éditeur d'attribut et accédez à l'attribut ms-DS-MachineAccountQuota. Êtes-vous surpris? Chaque utilisateur (utilisateur du domaine) peut ajouter jusqu'à 10 ordinateurs.
Ou exécutez un simple One-Liner dans PowerShell. Ne vous souciez pas du nom de domaine. Nous l'appelons depuis Get-ADDomain.
Get-ADObject ((Get-ADDomain).distinguishedname) -Properties ms-DS-MachineAccountQuota
Qui a ajouté client01 au domaine ?
Qui a ajouté client01 au domaine ? Petra est un utilisateur du domaine et a ajouté client01 au domaine. Nous pouvons le voir en exécutant un simple one-liner. Ok, je dois admettre que c'est un trois lignes. Nous examinons l'attribut ms-DS-CreatorSID du compte d'ordinateur.
Get-ADComputer client01 -Properties mS-DS-CreatorSID | Select-Object -Expandproperty mS-DS-CreatorSID | Select-Object -ExpandProperty Value | Foreach-Object {Get-ADUser -Filter {SID -eq $_}}
Modification de la valeur par défaut
Une valeur de 0 signifie que les utilisateurs du domaine ne sont pas autorisés à ajouter des comptes d'ordinateur.
Ouvrez les propriétés du domaine et double-cliquez sur ms-DS-MachineAccountQuota. Modifiez la valeur. Le nombre représente le nombre d'ordinateurs que vous souhaitez que les utilisateurs puissent ajouter au domaine. Je recommande de le changer à 0.
Ou utilisez PowerShell. Encore une fois : ne vous inquiétez pas du nom de domaine. Il sera rempli automatiquement.
Set-ADDomain (Get-ADDomain).distinguishedname -Replace @{"ms-ds-MachineAccountQuota"="0"}
L'impact
L'utilisateur est informé que le nombre maximum est atteint. L'erreur suivante s'est produite lors de la tentative de connexion de l'ordinateur au domaine :
