..........

. . . . . . . . .

Benot HAMET

Prsentation de ActiveDirectory

Brevet de Technicien SuprieurInformatique de gestion

Session 2001 2002

2Prsentation dActiveDirectory

Prambule.....................................................................................4

Introduction ..................................................................................5

Dfinitions ..............................................................................5

Qu'est-ce qu'un service d'annuaire ........................................5

Quel est l'intrt de disposer d'un service d'annuaire ?.........5

Qu'est- ce que Active Directory ?...........................................6

Concepts importants ..................................................................7

Porte.....................................................................................7

Espace de noms ....................................................................7

Objet.......................................................................................7

Conteneur ..............................................................................7

Arbre.......................................................................................7

Nom........................................................................................8

Domaine.................................................................................8

Fort .......................................................................................9

Schma ..................................................................................9

Modle de donnes................................................................9

Fonctionnalits techniques de Active Directory .................10

Service de localisation .........................................................10

Nommage d'objet .................................................................10

Accs AD ..........................................................................10

Protocoles supports : .........................................................10

3Catalogue global ..................................................................11

Propagation des mises jour ..............................................11

Scurit Dlgation...........................................................11

Prsentation technique de la scurit de Windows 2000....11

Rsum .......................................................................................13

Bibliographie ..............................................................................14

4Prambule

Aujourd'hui, les systmes informatiques sont devenus le cur de toutes les entreprises.Par consquents, ils doivent tre fiables, scuriss et disponibles tout en ncessitant demoins en moins de maintenance.

Dans ce contexte, la mise en uvre d'un service d'annuaire permet de rpondre unmaximum de besoin tout en librant les personnels ncessaire la gestion des ressourcesinformatiques pour les assigner des tches plus ??? tout en permettant les utilisateursd'tre plus indpendants dans l'utilisation quotidienne des outils mis leur disposition.

L'utilisation du systme d'exploitation Windows 2000 permet de bnficier d'outilspermettant de rpondre ces contraintes tout en conservant une interface connue par lesutilisateurs. L'un de ces outils est le service d'annuaire Active Directory.

Cependant, l'utilisation du service d'annuaire de Microsoft ncessite sur l'ensemble despostes clients et serveurs du systme d'exploitation Windows 2000 afin de profiter desfonctionnalits offertes. Egalement, l'utilisation de service d'annuaire, quel qu'il soit, n'estenvisageable que pour certaines structures ayant un parc informatique moyen important ( partir d'une cinquantaine de poste) ou clat sur plusieurs sites.

Ainsi l'utilisation de service d'annuaire permet de centraliser l'administration desl'ensemble des ressources, librant de tches rbarbatives les administrateurs, tout enamliorant leur utilisation par les utilisateurs mais cet outils n'est utilisable que pour desstructures disposant d'un parc relativement important ou pour des utilisations spcifiques,telles que l'accs aux donnes internes partir de rseau public.

5Introduction

DfinitionsLe terme Active Directory (AD) est apparu avec le systme d'exploitation Microsoft

Windows 2000. Ce terme recouvre les technologies mises en uvre par Microsoft dans ledveloppement d'outils visant simplifier l'administration de rseaux informatiques basssur le systme d'exploitation Windows 2000 (Professionnel pour les stations et Serveurpour les serveurs).

Dans la pratique, il s'agit d'un service d'annuaire inclut dans l'OS Windows 2000,famille serveur uniquement.

Qu'est-ce qu'un service d'annuaireUn annuaire est une source d'informations utilise pour stocker des donnes propres

certains objets, par exemple l'annuaire tlphonique est un service d'annuaire contenantl'ensemble des abonnes au tlphone et comprenant diverses informations.

Dans un systme d'informatique distribu ou un rseau informatique public commeinternet, il existe de nombreux objets intressants, comme des imprimantes, des serveursde base de donnes, des applications que les utilisateurs veulent pouvoir utiliser etretrouver facilement tandis que les administrateurs veulent contrler leur utilisation. Lamise en uvre d'un service d'annuaire, tel que AD permet de rpondre ces besoins. ADjoue le rle d'annuaire tlphonique mais pour des enregistrements concernant desressources (matrielles et logicielles) connects en rseau.

Quel est l'intrt de disposer d'un service d'annuaire ?On peut se poser la question de l'intrt d'un tel service puisqu'il existe des logiciels

pouvant aisment rpondre aux besoins exprims savoir la localisation simple desressources par l'utilisateur, le contrle de l'utilisation par les administrateurs.

L'intrt rside d'une part dans l'intgration l'OS ; il ne s'agit donc pas d'unesurcouche logicielle applique pour tel besoin spcifique, cela entrane une plus grandestabilit. De plus, cette intgration permet d'effectuer des conomies d'argent puisquecette surcouche aurait t achete en plus du systme d'exploitation, conomies de tempsde maintenance et de d'indisponibilit des serveurs pour l'installation

Enfin, ce service permet la centralisation de l'administration de lensemble des ressourcesrseau, ce qui tait difficile avec l'utilisation de logiciels tiers.

Un service d'annuaire peut :

9 Appliquer les consignes de scurit dfinies par les administrateurs

9 Distribuer un annuaire de nombreux ordinateurs sur le rseau

9 Dupliquer un annuaire pour le rendre accessible un nombre accrud'utilisateurs tout en augmentant le temps de disponibilit

9 Partitionner un annuaire pour permettre l'enregistrement d'un trs grandnombre d'objets.

Un service d'annuaire est la fois un outils d'administration et un outils destin l'utilisateur final des ressources informatiques. Il constitue la plaque tournante de toutsystme distribu important.

6Qu'est- ce que Active Directory ?Active Directory est le service d'annuaire fourni par Windows 2000 Server. Il tend

les fonctionnalits des services d'annuaire prcdemment fournis par Microsoft et offre enoutre des fonctionnalits entirement nouvelles, rendant aise la navigation parmid'importants volumes d'informations et facilite leur gestion et leur intgration grce l'utilisation de standard (LDAP, Kerberos, X500, TCP/IP)

7Concepts importants

Certains termes (ou concepts) utiliss pour dcrire AD sont nouveaux, d'autres non et dans ce cas, il peut exister diffrentes dfinitions ; il est donc important de les remettredans le contexte Active Directory.

PorteLa porte d'AD est vaste ; il peut inclure tout objet isol (imprimante, poste de travail,

fichier), tout serveur ou tout domaine d'un rseau tendu (WAN) il peut aussi inclureplusieurs rseaux tendus associs. La porte d'AD peut donc aller d'un ordinateur isol de multiples rseaux informatiques associs.

Espace de nomsActive Directory est essentiellement un espace de noms, comme c'est le cas de tout

service d'annuaire. N'importe quelle zone dlimite au sein de laquelle un nom donn peuttre rsolu constitue un espace de noms. La rsolution de nom consiste passer d'un nom l'objet ou l'information que ce nom reprsente.

ObjetUn objet est un ensemble d'attributs nomm et circonscrit qui reprsente un lment

concret, comme un utilisateur, une imprimante ou une application. Les attributscomportent des donnes (comme par exemple, le nom, le prnom d'un utilisateur oul'emplacement d'une imprimante) qui dcrivent le sujet identifi par l'objet.

Figure 1 - Un objet utilisateur et ses attributs

ConteneurUn conteneur est semblable un objet dans la mesure o il possde des attributs et

fait partie de l'espace de noms de l'AD. Toutefois, il ne reprsente rien de concret ; cen'est qu'un rceptacle pour un ensemble d'objets ou pour d'autres conteneurs.

ArbreL'arbre est employ, dans le contexte d'AD, pour dcrire une hirarchie d'objets et de

conteneurs ; les feuilles de l'arbre sont en gnral des objets. Les nuds de l'arbre(endroits d'o partent les branches) sont des conteneurs.

Un arbre montre comment des objets sont relis entre eux, c'est--dire le chemin d'accsd'un objet un autre.

8Figure 2 - Reprsentation d'un arbre

NomChaque objet dans AD est identifi par un nom ; il existe deux sortes de noms

diffrentes :

9 Nom uniqueChaque objet dans Active Directory possde un nom unique (DistinguishedName). Le nom unique identifie le domaine qui contient l'objet, ainsi que lechemin d'accs complet permettant d'y accder travers la hirarchie desconteneurs (exemple de nom unique :/O=Internet/DC=COM/DC=Microsoft/CN=Users/CN=James Smith, ce DNcorrespond l'utilisateur James Smith dans le domaine microsoft.com)

Figure 3 - Reprsentation graphique d'un nom unique

9 Nom relatif distinct

Le nom relatif distinct (Relative Distinguished Name) d'un objet est lapartie du nom qui constitue un attribut de l'objet proprement parler. Dansl'exemple prcdent, le nom relatif distinct de l'objet utilisateur est JamesSmith.

DomaineUn domaine est dfini par une limite de scurit unique dans le cadre d'un rseau

informatique tournant sous Windows NT (NT 4.0 ou 2000).

Active Directory est constitu d'un ou plusieurs domaines ; un domaine peut recouvrirplusieurs sites physiques. Chaque domaine ayant sa propre politique de scurit et sespropres relations d'approbation avec les autres domaines. Lorsque plusieurs domainessont connects par des relations d'approbation et partagent un mme schma, une mmeconfiguration et un mme catalogue global, on obtient un arbre de domaine. ActiveDirectory est un arbre ou un ensemble de plusieurs arbres ; il y a deux faons de visualiserun arbre :

9 Reprsentation par le biais des relations d'approbation

On peut dessiner un arbre en reprsentant les domaines individuellement etleurs relations d'approbation mutuelles. Windows 2000 tablit des relations

9d'approbation entre domaines en se basant sur le protocole de scuritKerberos. L'approbation Kerberos est transitive et hirarchique, c'est direque si le domaine A approuve le domaine B et que B approuve C alors Aapprouve galement C.

Figure 4 - Reprsentation d'un arbre en terme de relation d'approbation

9 Reprsentation par le biais de l'espace de nomsOn peut aussi dessiner les arbres en fonction de leur espace de nom. On peutdterminer le nom relatif distinct d'un objet en suivant son chemin d'accsjusqu' l'espace de noms de son arbre. Cette reprsentation est utile pour lareprsentation hirarchique des objets de manire logique.

Figure 5 - Reprsentation d'un arbre sous la forme d'un espace de nom

FortUne fort est constitue d'un ou plusieurs arbre(s) ne constituant pas un espace de

nom contigu. Tous les arbres d'une fort partagent le mme schma, une mmeconfiguration et un mme catalogue global. Ils s'accordent une confiance mutuelle parl'intermdiaire des relations Kerberos. Une fort existe en tant qu'ensemble d'objets derfrences croises et de relation d'approbation, et ne ncessite pas de nommage distinctif.

SchmaLe schma AD est implment comme un ensemble d'lments de classes d'objets

stocks dans l'annuaire. Le schma peut tre mis jour dynamiquement, c'est direqu'une application peut tendre le schma en lui ajoutant de nouveaux attributs et denouvelles classes et les utiliser immdiatement. Ces modifications sont protges par deslistes de contrle d'accs (ACL) comme toute les ressources rseaux gres.

Modle de donnesLe modle de donnes de Active Directory est driv du modle de donnes de la

norme X.500. L'annuaire contient des objets reprsentant des lments de diffrents typesdcrits par des attributs. Le schma dfinit l'univers des objets pouvant tre stocks dansl'annuaire ; pour chaque classe d'objet, le schma dfinit les attributs qu'un lment de laclasse doit possder ainsi que ses attributs facultatifs.

10

Fonctionnalits techniques de Active Directory

AD est troitement intgr au systme de nom de domaine (DNS). Le DNS estl'espace de nom distribu utilis sur Internet pour rsoudre les noms d'ordinateurs et deservices en adresse TCP/IP. La plupart des rseau intranet des entreprises utilisent DNScomme service de rsolution de noms. Active Directory utilise le DNS comme service delocalisation. Ceci permet AD de trouver naturellement sa place dans desenvironnements inter- intranet. Les clients trouvent rapidement et facilement les serveursd'annuaire.

Service de localisationLes serveurs AD publient leurs adresses de telle sorte que les clients puissent les

trouver partir de leur seul nom de domaine ; ils sont publis dans le DNS via desenregistrements de ressources de service il s'agit d'un mappage entre le nom d'unservice et le serveur le proposant. Son nom a la forme suivante:

service.protocole.domaine

Active Directory utilise le protocole Lightweight Directory Access Protocol (LDAP)pour publier les ressources, via TCP.

Comme les adresses IP sont sujettes modification, les serveurs AD vrifientpriodiquement leurs donnes.

Nommage d'objetChaque objet possde un nom unique (DN). Ce DN contient assez d'informations

pour que le client puisse rcuprer l'objet dans l'annuaire et peut parfois tre long, et estsujet modification ; des fins de simplification des recherches, AD dfinit 2 propritspratiques :

9 Un Globally Unique Identifer, nombre cod sur 128 bits, qui ne change pas etest attribu la cration de l'objet. Il ne change pas mme si l'objet change deDN ou est dplac.

9 Un User Principal Name, plus court et plus convivial que le DN ; il s'agit d'unDN "abrg". Par exemple, pour l'utilisateur James Smith de l'arbremicrosoft.com, son DN est/O=Internet/DC=COM/DC=Microsoft/CN=Users/CN=James Smith tandis queson UPN peut tre j.smith@microsoft.com.

Active Directory ne permet pas que 2 objets distincts possdent le mme nom relatifdistinct, et comme le DN est compos partir de ce nom relatif il y a unicit des GUID.

Accs ADL'accs l'annuaire s'effectue partir de protocoles cbls ; ces protocoles dfinissent

les formats des messages et des interactions client/serveur.

Protocoles supports :9 LDAP : est le protocole central de AD. Il s'agit d'un standard de protocole rseau

conu pour fournir un accs des services d'annuaire. L'utilisation de cestandard permet une interoprabilit entre AD et les annuaires concurrents ouapplications tierces utilisant galement LDAP (NDS de Novell par exemple).

11

LDAP est dcrit selon 4 modles de base :

Information Nommage Fonctionnalits Scurit

La combinaison de ces modles introduit une nomenclature dcrivant toutes lesentres et leurs attributs, et fournit des mthodes d'interrogation et demanipulation des valeurs.

9 MAPI RPC : interfaces d'appels de procdure distante (Remote Procedure Call)grant les interfaces MAPI (Message Application Programming Interface).

9 X.500 : protocole dfinissant plusieurs protocoles non implments dans AD(daprs des recommandation du Comit Consultatif International Tlphoniqueet Tlgraphique pour les services dannuaire distribu) (Directory AccessProtocol accs aux annuaires ; Directory System Protocol systme d'annuaire; Dircetory Information Shadowing Protocol rplication d'annuaire ; DOP gestion de liaison oprationnelle). Ils ne sont pas implments parce queprsentant peu d'intrt, peu implments, requiert le modle rseau ISO/OSI(alternative TCP/IP) peu implment ou LDAP offre les fonctionnalits deDAP et DSP.

Catalogue globalLe catalogue global permet aux utilisateurs et aux applications de trouver des objets

dans l'arbre de domaine AD, pour peu qu'ils connaissent un ou plusieurs attributs del'objet recherch. Le systme de duplication de AD gnre automatiquement ce catalogueet la topologie de duplication.

Propagation des mises jourLe systme de duplication de l'annuaire n'utilise pas l'horodatage c'est dire une

synchronisation temporelle des serveurs pour propager les modifications l'ensembledes serveurs d'annuaire de l'arbre de domaine ; il utilise des numros de squence de mise jour (USN) qui sont incrments chaque modification. Lors de la rplication chaqueserveur reoit l'ensemble des USN, qui est suprieur la dernire valeur reue, de sespartenaires de duplication. Dans la mesure o l'USN de la table est mis jour au coursd'une opration groupe lors de la duplication, la reprise aprs chec est simple il suffitde ritrer la demande pour les USN suprieurs la dernire entre valide.

Scurit DlgationLe modle de scurit de Active Directory est celui de Windows 2000, utilisant une

authentification par contrleur de domaine approuv, la dlgation dapprobation entre lesservices et le contrle daccs par objet. Les fonctionnalits centrales de scurit incluentlintgration avec Active Directory, la prise en charge du protocole Kerberos pourlauthentification des utilisateurs, les certificats de cls publiques (PKI) pour lesutilisateurs externes, le systme Encrypting File System pour la protection des donneslocales et lutilisation du protocole IPSec pour la mise en uvre de communicationsscurises en utilisant des rseaux publics (VPN).

Prsentation technique de la scurit de Windows 2000Les services de scurit distribus de Windows 2000 prennent en

charge les conditions ncessaires essentielles. La scurit est base surlauthentification des utilisateurs louverture des sessions et lautorisationqui seffectue suivant les listes de contrle daccs (ACL) des objets et lesentres de lannuaire AD. Ceci permet aux utilisateurs daccder denimporte quel poste du rseau aux ressources auxquelles ils sont autorissdaccder et dutiliser.

12

Active Directory joue un rle majeur dans la scurit des rseauxen offrant un emplacement central pour enregistrer les utilisateurs,matriels, applications et donnes rseaux ; il enregistre galement lesinformations ncessaires lauthentification et lautorisation desutilisateurs pour garantir laccs aux ressources. Egalement, il est intgraux services de scurisation de Windows, tels que Kerberos, EFS ou IPSec.

Le protocole Kerberos fournit une authentification mutuelle plusrapide et une approbation transitive pour lauthentification partir denimporte quel point daccs du rseau.

Tous les objets de l'annuaire sont protgs par des Access Control List (ACL) quidterminent qui a droit quoi. Elle est stocke avec l'objet qu'elle protge.

Active Directory permet une fonctionnalit importante au niveau scuritaire ; il s'agit dela dlgation. La dlgation permet aux administrateurs d'accorder des droits spcifiquessur des conteneurs et des sous-arbres des utilisateurs ou groupes. Cela permet ladlgation de tches d'administrations.

13

Rsum

Lintroduction dActive Directory est une amlioration majeure de lOS Windows2000. Il permet de centraliser et de simplifier ladministration rseau en enregistrant en unpoint unique lensemble des informations ncessaires aux administrateurs des systmesinformatiques ainsi quen intgrant les fonctions de scurit ncessaire la bonne marchedes rseaux.

Egalement, la dlgation permet de soulager les administrateurs dans leurs tchesquotidiennes, ils peuvent ainsi se concentrer sur les points importants du rseau(scurisation, disponibilit).

Enfin, lutilisation des standards permet une intgration de lannuaire AD avec les autresservices dannuaire et applications tierces dj mis en uvre au sein de lentreprise.

14

Bibliographie

Sites web de Microsoft

www.microsoft.com/france/technet/produits/win2000s

www.microsoft.com/france/windows/2000/server

www.microsoft.com/france/technet/themes/secur

www.microsoft.com/France/technet

ainsi que les sites anglais correspondants

Site web du magazine Systems Journal

www.mysystemsjournal.com

TechProGuild "Windows NT / 2000 Administrator Report" (11/2000)

Prsentation de Active DirectoryPrambuleIntroductionDfinitionsQu'est-ce qu'un service d'annuaireQuel est l'intrt de disposer d'un service d'annuaire ?Qu'est- ce que Active Directory ?

Concepts importantsPorteEspace de nomsObjetConteneurArbreNomDomaineFortSchmaModle de donnes

Fonctionnalits techniques de Active DirectoryService de localisationNommage d'objetAccs ADProtocoles supports :

Catalogue globalPropagation des mises jourScurit DlgationPrsentation technique de la scurit de Windows 2000

RsumBibliographie