Que sont les groupes Active Directory ? Définition, types et portée

Active Directory est un service d'annuaire développé par Microsoft, qui fonctionne comme un composant central de Windows Server, ce qui en fait l'un des services d'annuaire sur site les plus largement adoptés. AD utilise des groupes pour rationaliser la gestion des comptes d'utilisateurs et des ordinateurs sur plusieurs domaines AD en les organisant ensemble et en accordant des privilèges d'accès universels.

Que sont les groupes Active Directory ?

Un groupe Active Directory représente un ensemble d'objets pouvant inclure des utilisateurs, des appareils et même d'autres groupes englobant diverses entités. Les groupes peuvent être perçus comme des conteneurs qui non seulement accueillent des utilisateurs mais contiennent également des objets supplémentaires en tant que membres. Les utilisateurs sont regroupés stratégiquement selon des critères spécifiques, leur donnant accès à des ressources désignées. Les groupes AD aident à rationaliser la maintenance et l'administration du réseau en permettant la gestion du groupe comme une unité cohérente. Cela signifie qu'au lieu de configurer les paramètres individuellement pour chaque utilisateur ou objet, les ajustements peuvent être appliqués à l'ensemble du groupe, simplifiant ainsi le processus global et optimisant l'efficacité.

Types de groupes Active Directory

Il existe deux types de groupes Active Directory : les groupes de sécurité et les groupes de distribution. Chaque type de groupe a une portée de groupe différente. Le type de groupe détermine la tâche à effectuer, tandis que la portée du groupe détermine l’éligibilité du groupe.

1. Groupes de sécurité : les groupes de sécurité accordent aux utilisateurs l'accès aux ressources partagées. En ajoutant un utilisateur en tant que membre d'un groupe de sécurité, il héritera de toutes les autorisations associées à ce groupe de sécurité. Par exemple, vous pouvez créer un groupe appelé « Marketing » et lui accorder les autorisations nécessaires pour lire et modifier des fichiers dans des dossiers désignés, ainsi que pour exécuter des applications spécifiques. Tout utilisateur membre de ce groupe aura la possibilité d'effectuer ces actions. Veuillez noter que les groupes de sécurité peuvent également fonctionner comme groupes de distribution dans Exchange. Ceux-ci sont appelés groupes de distribution à sécurité activée ou groupes de sécurité à extension messagerie.
2. Groupes de distribution : les groupes de distribution permettent aux administrateurs AD de créer un groupe d'utilisateurs pour envoyer des messages ou des e-mails courants à l'aide de Microsoft Exchange et d'applications similaires. Les administrateurs peuvent diffuser des messages à tous les membres de ces groupes disposant d'une extension de messagerie. Cependant, il est important de noter que ces groupes ne sont pas adaptés pour accorder des droits d'accès aux ressources du réseau en raison de mesures de sécurité inadéquates.

Étendues des groupes Active Directory

Chaque groupe au sein d'Active Directory a une portée spécifique qui détermine le type d'objets qu'il peut contenir et les types de groupes dont il peut être membre. Il existe trois portées principales disponibles :

1. groupes universels
2. groupes mondiaux
3. groupes locaux de domaine

Groupes universels

Les groupes universels sont utilisés pour consolider des groupes sur plusieurs domaines. Les membres de différents domaines de la forêt, y compris les utilisateurs et groupes AD globaux et universels, peuvent rejoindre des groupes universels. Plusieurs groupes universels peuvent être imbriqués dans la même forêt, et un groupe universel peut demander à devenir membre d'un domaine local ou d'un groupe local au sein de la forêt. Les utilisateurs des groupes universels peuvent accéder aux ressources réseau dans n'importe quel domaine de la forêt. Il est recommandé de créer des groupes universels lorsque vous travaillez avec plusieurs domaines. Pour consolider efficacement les groupes, il est recommandé d'ajouter des comptes d'utilisateurs à des groupes à portée globale, puis à imbriquer ces groupes sous un groupe à portée universelle. Cette approche garantit que les changements dans l’adhésion au sein des groupes mondiaux n’affectent pas les groupes à portée universelle. De plus, il permet de contrôler la réplication en déclenchant une réplication à l'échelle de la forêt pour les groupes universels et une réplication au niveau du domaine pour les groupes globaux.

Groupes mondiaux

Les groupes globaux sont couramment utilisés pour attribuer des autorisations à des utilisateurs ayant des responsabilités professionnelles similaires, comme un groupe pour tous les membres du service des ressources humaines. Les groupes globaux sont également utiles pour gérer les objets nécessitant une maintenance quotidienne. Les modifications apportées aux comptes au sein des groupes globaux ne sont pas répliquées dans le catalogue global, ce qui les rend adaptées à de telles fins. L'imbrication de groupes globaux au sein du même domaine est possible, et un groupe global peut également faire partie d'un groupe local ou universel de domaine d'un autre domaine.

Groupes locaux de domaine

Les groupes locaux de domaine sont bien adaptés à la gestion des autorisations sur les ressources spécifiques au domaine. Par exemple, vous pouvez créer un groupe AD appelé MarketingPrinter avec une portée locale de domaine et lui accorder l'accès à une imprimante spécifique accessible à l'équipe marketing. Plusieurs groupes globaux peuvent être ajoutés à ce groupe local de domaine, permettant aux membres de ces groupes globaux d'accéder à l'imprimante. Les administrateurs réseau créent des groupes locaux à l'aide de la console de gestion Microsoft (MMC) et de la base de données locale Security Account Manager. Les membres de ces groupes ne peuvent accéder aux ressources que sur l'ordinateur local. Les groupes locaux peuvent inclure des groupes locaux de domaine du même domaine et des groupes globaux et universels d'autres domaines de la forêt. Ils fonctionnent indépendamment des contrôleurs de domaine, ce qui les distingue des groupes locaux de domaine dans AD.

Autres groupes

Groupes dynamiques - Les groupes dynamiques simplifient la gestion des groupes en ajoutant ou en supprimant automatiquement des utilisateurs en fonction de critères spécifiques. Par exemple, un groupe dynamique peut inclure des utilisateurs de tous les domaines appartenant à un service particulier. Des scripts PowerShell et des outils tiers sont utilisés pour créer des groupes dynamiques car aucun outil intégré n'est disponible.

Groupes d'identité spéciaux - Les groupes d'identité spéciaux sont similaires aux groupes de sécurité mais avec une gestion automatique des membres. Une fois qu'un utilisateur accède à une ressource ou se connecte à un système, il fait partie de ces groupes. La portée du groupe, la vue des membres et les modifications ne sont pas disponibles pour ces groupes. Des exemples de groupes d'identité spéciaux incluent la connexion anonyme, les utilisateurs authentifiés, le propriétaire créateur et le service local.

Comment Lepide peut aider à sécuriser les groupes Active Directory

Lepide aide à sécuriser les groupes Active Directory en fournissant des fonctionnalités permettant de suivre et d'auditer les modifications apportées à l'adhésion aux groupes. Il peut vous montrer qui a ajouté ou supprimé des membres d'un groupe, quand cela a été fait et d'où. Cela permet de garantir que seules les modifications autorisées sont apportées aux groupes et que toute modification non autorisée peut être rapidement identifiée et étudiée.

Lepide peut également aider à sécuriser les groupes Active Directory en fournissant des alertes en temps réel pour les modifications apportées à l'adhésion au groupe. Cela signifie que vous pouvez être immédiatement averti lorsqu'un groupe est modifié, afin que vous puissiez prendre des mesures pour enquêter sur le changement et vous assurer qu'il est autorisé.

De plus, Lepide peut aider à sécuriser les groupes Active Directory en fournissant des rapports sur les modifications d'appartenance aux groupes. Ces rapports peuvent être utilisés pour suivre les tendances des changements dans l'appartenance à un groupe au fil du temps et pour identifier tout modèle pouvant indiquer une activité suspecte.

Si vous souhaitez en savoir plus, demandez une démo avec l'un de nos experts ou démarrez votre propre essai gratuit dès aujourd'hui.