Active Directory

Active Directory : 25 ans d’identité centrale dans les réseaux Windows

Active Directory est un service d’annuaire de Microsoft qui gère de manière centralisée les utilisateurs, les ordinateurs, les groupes et les politiques de sécurité dans les réseaux de domaine Windows. Cet article traite de l’évolution du système, depuis les premiers codes chez 3Com jusqu’à la variante cloud Microsoft Entra ID, et s’adresse aux administrateurs qui souhaitent comprendre le contexte de leurs outils quotidiens.

PRÉREQUIS

• Connaissances de base de Windows Server et de l’architecture de domaine
• Aucun environnement Active Directory actif n’est nécessaire ; cet article est historique et conceptuel
• La connaissance de LDAP et de DNS est utile mais pas requise

Le code le plus ancien identifiable qui a mené à Active Directory est apparu vers 1988 ou 1989 chez 3Com. L’entreprise travaillait sur des logiciels réseau, notamment un service d’annuaire destiné à gérer les ressources réseau et les utilisateurs dans un environnement intégré. En 1990, 3Com a arrêté ses initiatives de logiciels réseau et le code de l’annuaire a été transféré à Microsoft dans le cadre d’un rachat ou d’une collaboration.

Microsoft a poursuivi le développement en interne sous le nom de NT Directory Services, abrégé NTDS. Ce nom perdure encore dans le système actuel : la base de données d’Active Directory s’appelle NTDS.DIT et l’utilitaire de maintenance s’appelle NTDSUTIL.EXE. Le « NT » fait référence à Windows NT, l’architecture de système d’exploitation que Microsoft a développée dans les années nonante pour les environnements professionnels.

PREMIÈRE VERSION : WINDOWS 2000 SERVER

En 1999, Microsoft a annoncé Active Directory dans le cadre du futur Windows 2000 Server. Cette année-là, une version d’aperçu a été publiée pour permettre aux organisations de tester le système. La version officielle a suivi le 17 février 2000, lorsque Windows 2000 Server avec Active Directory est devenu disponible pour les environnements de production. En 2025, Microsoft a confirmé que le système avait 25 ans, ce qui correspond au lancement au printemps 2000.

Windows 2000 Server était la première version de Windows Server à inclure Active Directory. Avant cela, les réseaux devaient utiliser Windows NT 4.0 et le modèle de domaine NT, plus limité en termes d’évolutivité et de gestion. Active Directory a introduit une structure hiérarchique basée sur LDAP (Lightweight Directory Access Protocol). Les organisations pouvaient configurer des domaines dans un modèle de forêt avec des relations d’approbation entre domaines. Le système prenait en charge les stratégies de groupe, permettant aux administrateurs d’appliquer des paramètres de manière centralisée sur des milliers d’ordinateurs et d’utilisateurs.

EXTENSIONS : 2003 À 2008 R2

Windows Server 2003 a apporté les approbations de forêt. Cette fonction permettait des relations de confiance entre différentes forêts Active Directory, simplifiant l’intégration des réseaux d’entreprises fusionnées ou de partenaires. Des fonctions de gestion améliorées pour les groupes et les utilisateurs ont également été ajoutées.

Windows Server 2008 a introduit le contrôleur de domaine en lecture seule (RODC). Un RODC ne contient qu’une copie en lecture seule de la base de données Active Directory. Cela rend plus sûr le placement de contrôleurs de domaine dans des environnements à sécurité physique réduite, comme les succursales ou les bureaux distants. Les administrateurs peuvent déterminer quels hachages de mots de passe sont répliqués vers le RODC, protégeant ainsi mieux les comptes sensibles.

Windows Server 2008 R2 a ajouté la corbeille Active Directory. Avant cela, la récupération d’objets supprimés comme des utilisateurs ou des groupes était un processus complexe nécessitant souvent une restauration à partir d’une sauvegarde. Avec la corbeille, les administrateurs peuvent restaurer facilement les objets supprimés, y compris tous leurs attributs et leurs appartenances aux groupes.

LE CLOUD : AZURE ACTIVE DIRECTORY

En octobre 2013, Microsoft a lancé Azure Active Directory, désormais connu sous le nom de Microsoft Entra ID. Cette variante cloud gère les utilisateurs et l’accès aux applications cloud comme Microsoft 365, Azure et les applications SaaS. Azure AD est techniquement un produit différent de l’Active Directory traditionnel, mais il constitue une suite logique de la plateforme d’identité de Microsoft. De nombreuses organisations utilisent une approche hybride : l’Active Directory sur site se synchronise avec Azure AD via Azure AD Connect.

ARCHITECTURE ET PROTOCOLE

Active Directory est construit sur LDAP comme protocole de base. L’annuaire suit une hiérarchie de type X.500 avec des domaines, des arborescences et des forêts. Une forêt est le conteneur supérieur ; à l’intérieur se trouvent des domaines reliés entre eux par des approbations. Chaque contrôleur de domaine exécute le service d’annuaire complet et réplique les modifications vers d’autres contrôleurs de domaine via un modèle de réplication multi-maître. DNS est essentiel : les contrôleurs de domaine enregistrent des enregistrements SRV que les clients utilisent pour trouver le contrôleur de domaine approprié.

Les stratégies de groupe fonctionnent via des GPO (Group Policy Objects) liés à des sites, des domaines ou des unités d’organisation. Les administrateurs peuvent ainsi appliquer de manière centralisée des politiques de mots de passe, l’installation de logiciels, l’exécution de scripts et des centaines d’autres paramètres. Cela fait d’Active Directory l’un des systèmes les plus utilisés pour la gestion de configuration Windows à grande échelle.

SÉCURITÉ ET IDENTITÉ

Kerberos est le protocole d’authentification standard dans Active Directory. Le système utilise également NTLM pour la compatibilité ascendante, mais Microsoft le déconseille en raison de ses faiblesses. Depuis Windows Server 2012, Active Directory offre une gestion des accès privilégiés via une architecture de forêt administrative. Cela isole les comptes à hauts privilèges du reste du réseau.

En 2025, Active Directory reste un composant critique dans la plupart des réseaux basés sur Windows. Le système s'est adapté, passant de serveurs physiques à des environnements virtuels, puis au cloud. L'intégration avec Intune et Conditional Access garantit qu'Active Directory ou Microsoft Entra ID reste au cœur de la gestion moderne des identités et des accès.

VÉRIFICATION

Vérifiez qu'un contrôleur de domaine fonctionne correctement :

Get-ADDomainController -Filter * | Select-Object Name, Domain, OperationMasterRole

Cette commande nécessite le module Active Directory pour Windows PowerShell, disponible sur les systèmes avec RSAT (Remote Server Administration Tools) installé.

PROBLÈMES FRÉQUENTS

1. NTDS.DIT croît sans limite : La base de données contient des objets supprimés jusqu'à l'expiration des tombstones (180 jours par défaut). Effectuez une défragmentation hors ligne avec `ntdsutil` pour réduire la taille de la base de données. Cela nécessite un contrôleur de domaine hors ligne.

2. Problèmes de réplication : Vérifiez avec `repadmin /replsummary` que tous les contrôleurs de domaine répliquent correctement. Les erreurs DNS sont la cause la plus courante ; vérifiez que tous les contrôleurs de domaine enregistrent les bons enregistrements SRV.

3. Mise en cache des mots de passe RODC : Un RODC ne stocke pas les hachages de mots de passe par défaut. Si les utilisateurs d'une succursale ne peuvent pas se connecter, ajoutez-les au `Allowed RODC Password Replication Group` pour activer la mise en cache pour ces comptes.

L'architecture NTDS originale des années nonante constitue toujours la base du système, et la question est de savoir combien de temps Microsoft continuera à prendre en charge la variante sur site, parallèlement à l'accent croissant mis sur Entra ID.