Approbations de domaines et de forêts : filtrage SID, authentification sélective et vieux liens
Une approbation étend votre périmètre de sécurité à un annuaire que vous ne contrôlez pas. Fusions, acquisitions et projets de migration laissent souvent derrière eux des relations dont plus personne ne connaît l'usage. Voici les paramètres à vérifier.
Sens et transitivité
Le vocabulaire prête à confusion : l'accès circule dans le sens inverse de l'approbation. Si le domaine A approuve le domaine B, les utilisateurs de B peuvent accéder aux ressources de A. Une approbation bidirectionnelle ouvre donc les deux sens.
- Les approbations parent-enfant et racine d'arborescence, internes à une forêt, sont bidirectionnelles et transitives.
- Les approbations de forêt sont transitives entre les domaines des deux forêts concernées, mais pas au-delà.
- Les approbations externes, entre deux domaines précis, ne sont pas transitives.
La forêt est la frontière de sécurité
À l'intérieur d'une forêt, il n'y a pas de filtrage SID entre domaines. Un administrateur d'un domaine enfant peut, par construction, atteindre le domaine racine. C'est pourquoi Microsoft considère la forêt, et non le domaine, comme la véritable frontière de sécurité. Un domaine enfant « isolé » pour un partenaire ne protège rien.
Filtrage SID et historique SID
L'attribut sIDHistory sert lors des migrations à conserver l'accès aux ressources de l'ancien domaine. Mais un SID présent dans cet historique est traité comme une appartenance réelle : si un attaquant contrôle le domaine approuvé, il peut y placer le SID d'un groupe privilégié du domaine approbateur.
Le filtrage SID empêche cela en supprimant, à la frontière, les SID qui n'appartiennent pas au domaine ou à la forêt approuvés. Il est activé par défaut sur les approbations externes (mode « quarantaine ») et de forêt. On le retrouve pourtant désactivé, généralement pour une migration terminée depuis longtemps.
Get-ADTrust -Filter * |
Select-Object Name, Direction, ForestTransitive,
SIDFilteringQuarantined, SIDFilteringForestAware,
SelectiveAuthentication, WhenChanged
Les options se vérifient aussi avec netdom trust. Une approbation de forêt sur laquelle l'historique SID a été autorisé doit être justifiée par une migration en cours.
Règle pratique. Une fois la migration terminée, nettoyez l'attribut sIDHistory des comptes migrés et rétablissez le filtrage SID complet. Un historique SID sans migration en cours est une anomalie.
Authentification sélective
Par défaut, une approbation permet à tous les utilisateurs du domaine approuvé de s'authentifier auprès de toutes les machines du domaine approbateur, les ACL faisant le reste. L'authentification sélective inverse la logique : un utilisateur externe ne peut s'authentifier sur un ordinateur que si le droit « Allowed to Authenticate » lui a été explicitement accordé sur l'objet ordinateur. C'est le bon réglage pour une relation avec un partenaire qui n'a besoin que de quelques serveurs.
Les approbations oubliées
Une approbation vers un partenaire disparu, un domaine décommissionné ou une filiale cédée reste un risque tant qu'elle existe : le domaine distant peut être repris, réinstallé ou compromis sans que vous le sachiez. Chaque approbation doit avoir un propriétaire, un usage documenté et une date de revue.
Ce qu'un audit vérifie
- L'inventaire des approbations, avec sens, type et transitivité.
- L'état du filtrage SID et l'autorisation éventuelle de l'historique SID.
- Les comptes portant un
sIDHistorynon vide. - L'usage de l'authentification sélective pour les partenaires externes.
- Les approbations sans usage identifié.