Active Directory c’est quoi : définition simple, composants et rôle en entreprise

Qu’est-ce qu’Active Directory ?

Définition simple d’Active Directory

Active Directory est le service d’annuaire de Microsoft inclus dans Windows Server. Il centralise l’identification et l’authentification de tous les utilisateurs et machines d’un réseau de domaine Windows. Autrement dit, il stocke dans une base unique les objets du réseau : comptes utilisateurs, ordinateurs, imprimantes, groupes et ressources partagées.

Concrètement, quand un salarié ouvre sa session le matin, c’est Active Directory qui vérifie son identité et lui donne accès aux bons dossiers. Sa première appellation était NTDS, pour NT Directory Services. À l’échelle mondiale, 90 % des entreprises s’appuient sur cette technologie pour gérer leurs identités.

Les technologies sur lesquelles repose Active Directory

Active Directory n’est pas un produit isolé : c’est un ensemble de protocoles standards qui travaillent ensemble pour authentifier et localiser les ressources du réseau.

• Annuaire LDAP centralisé pour stocker et interroger les objets du réseau
• Authentification Kerberos pour prouver l’identité sans transmettre le mot de passe
• Résolution DNS intégrée pour localiser les serveurs et services du domaine

C’est cette combinaison qui permet à un utilisateur de s’authentifier une seule fois et d’accéder ensuite à toutes les ressources autorisées.

Structure et composants d’Active Directory

Composants logiques : OU, domaines, forêts et arborescences

Active Directory organise ses objets selon une hiérarchie logique qui facilite l’administration. Cette structure repose sur plusieurs niveaux emboîtés, du plus petit au plus grand.

• Unité d’organisation (OU) : conteneur hiérarchique pour appliquer des GPO
• Forêt : limite de sécurité par défaut des approbations entre domaines
• Domaine et arborescence : domaines imbriqués partageant un espace de noms
• Approbation de forêt : introduite avec Windows Server 2003

Chaque objet réseau possède un SID, identifiant unique codé sur 128 bits. Les OU servent à regrouper les utilisateurs et ordinateurs pour y appliquer des stratégies de groupe ciblées.

Composants physiques et schéma d’annuaire

La partie physique d’Active Directory repose sur les contrôleurs de domaine (DC). Ces serveurs hébergent la base d’annuaire et traitent les demandes d’authentification du domaine.

Cette base est divisée en trois partitions : le schéma, la configuration et le domaine. Le schéma définit les classes et attributs disponibles pour chaque objet. La réplication entre contrôleurs assure la cohérence des données sur l’ensemble du réseau.

Active Directory s’appuie sur 5 rôles FSMO (maîtres d’opérations), répartis entre les contrôleurs pour gérer les tâches critiques de l’annuaire.

Sécuriser Active Directory

Active Directory constitue la clé de voûte du système d’information : 90 % des entreprises mondiales en dépendent pour authentifier leurs utilisateurs et appliquer leurs politiques de sécurité. Cette centralisation en fait une cible de choix pour les ransomwares et les tentatives d’escalade de privilèges. Un compte utilisateur compromis peut suffire à un attaquant pour progresser jusqu’aux contrôleurs de domaine s’il n’existe aucun garde-fou.

La bonne nouvelle : quelques règles simples réduisent considérablement la surface d’attaque. Elles reposent sur un principe unique, ne donner à chaque identité que ce dont elle a strictement besoin.

Voici les mesures prioritaires à mettre en place :

• Moindre privilège systématique : chaque compte reçoit uniquement les droits nécessaires à sa mission.
• Renommer le compte administrateur par défaut et créer des comptes admin dédiés, distincts des comptes nominatifs.
• Comptes de service en gMSA : rotation automatique du mot de passe, suppression des secrets stockés en clair.

Ces trois actions couvrent l’essentiel des recommandations issues des retours d’incident. Elles s’accompagnent de deux réflexes complémentaires : tenir à jour les contrôleurs de domaine et désactiver sur ces serveurs tous les services non essentiels. Un contrôleur de domaine qui n’héberge rien d’autre qu’AD est bien plus difficile à compromettre qu’un serveur polyvalent.

Sécuriser Active Directory n’est pas un projet ponctuel, c’est une hygiène quotidienne. Auditez régulièrement les groupes privilégiés, supprimez les comptes orphelins et vérifiez que chaque administrateur dispose bien d’un compte nominatif traçable.

À quoi sert Active Directory en entreprise ?

Active Directory sert d’abord à centraliser la gestion de tous les utilisateurs, ordinateurs et ressources du réseau. Au lieu de configurer chaque poste un par un, l’administrateur agit depuis une seule console. Résultat : moins d’erreurs, moins de temps perdu et un parc informatique homogène, même sur plusieurs milliers de machines.

C’est aussi le pilier du SSO (authentification unique). L’utilisateur saisit un seul identifiant et un seul mot de passe pour accéder à sa session, sa messagerie, ses fichiers partagés ou ses applications métier. Ce mécanisme s’accompagne souvent du MFA : mot de passe plus validation push, SMS ou application mobile. Les 90 % d’entreprises mondiales qui s’appuient sur AD y gagnent une expérience utilisateur fluide et un support allégé.

Autre rôle clé : appliquer des GPO (stratégies de groupe) à grande échelle. Un mot de passe complexe imposé, un écran qui se verrouille, une imprimante déployée automatiquement : tout se pilote depuis l’annuaire. L’attribution des droits passe par des groupes de sécurité, y compris pour l’authentification par badge sur les imprimantes multifonctions.

Les autres services Active Directory (AD DS, AD FS, AD CS)

Active Directory n’est pas un bloc monolithique. Il regroupe plusieurs services complémentaires, chacun répondant à un besoin précis. Le principal reste AD DS (Active Directory Domain Services), qui traite les demandes d’authentification du domaine. C’est lui qui stocke les comptes et vérifie chaque connexion.

À côté, AD FS (Active Directory Federation Services) étend la confiance au-delà du réseau local. Il permet la fédération d’identités et le SSO vers des applications cloud ou des partenaires externes. L’utilisateur s’authentifie une seule fois pour accéder à des ressources hors du domaine.

AD CS (Active Directory Certificate Services) gère une autorité de certification interne : émission, renouvellement et révocation de certificats. Il sécurise les échanges internes, le Wi-Fi d’entreprise ou les VPN. Enfin, AD LDS (Lightweight Directory Services, ex-ADAM) propose une version allégée pour un usage applicatif, sans dépendre d’un domaine complet.

Ces services partagent un point commun : ils s’appuient tous sur l’annuaire et les protocoles standards comme LDAP et Kerberos. Les déployer séparément évite de surcharger le service principal et cloisonne les risques.

Avantages et bénéfices d’Active Directory

L’administration centralisée reste le bénéfice le plus concret : un seul point de gestion pour les comptes, les groupes et les politiques de sécurité. Résultat, moins de temps passé sur des tâches répétitives et une vision claire de qui accède à quoi. Ce point explique en grande partie pourquoi 90 % des entreprises mondiales s’appuient sur Active Directory.

L’évolutivité est l’autre atout majeur. Une organisation peut démarrer avec un domaine unique, puis ajouter des domaines, des forêts et de la réplication sans repenser toute son infrastructure. Les 5 rôles FSMO, répartis sur des contrôleurs dédiés, garantissent la cohérence de l’annuaire à mesure que le parc grandit.

Enfin, la sécurité renforcée découle directement de cette centralisation : authentification unique, politiques homogènes et application du principe du moindre privilège. Côté utilisateurs, l’expérience est plus fluide, avec un seul identifiant pour accéder aux ressources. Côté support, les journaux centralisés accélèrent le diagnostic et réduisent le temps d’intervention.

Active Directory vs LDAP : quelle différence ?

La confusion vient souvent du fait qu’Active Directory et LDAP sont employés ensemble, mais ils ne jouent pas le même rôle. LDAP (Lightweight Directory Access Protocol) est un protocole de communication : c’est le langage standardisé qui permet d’interroger et de modifier un annuaire. Active Directory, lui, est un annuaire complet développé par Microsoft. Autrement dit, LDAP n’est pas un annuaire, et AD n’est pas un protocole.

Concrètement, Active Directory utilise LDAP pour dialoguer avec les applications, mais il ajoute bien plus : authentification Kerberos, résolution DNS, application de GPO, gestion des contrôleurs de domaine. Un outil comme OpenLDAP, Red Hat DS ou IBM Directory Server repose aussi sur LDAP, sans proposer l’écosystème Windows d’AD.

Le protocole LDAPv3 gère deux modes d’authentification : simple (identifiant et mot de passe en clair) et SASL (mécanisme négocié plus robuste). Cette différence explique pourquoi AD reste un service complet alors que LDAP se limite à un langage d’interrogation, cible privilégiée d’outils automatisés comme Mimikatz.