Configurer le connecteur Active Directory : LDAP, LDAPS et Negotiate
Auditer un annuaire ne demande ni compte à privilèges, ni agent, ni fenêtre de maintenance. Cela demande une lecture LDAP et les bonnes attentes. Voici comment fonctionne le connecteur Active Directory, ce qu'il réclame, et ce qu'il ne fait délibérément pas.
Ce que fait réellement le connecteur
Le connecteur Active Directory ouvre une session LDAP en lecture seule vers un contrôleur de domaine et interroge l'annuaire comme le ferait n'importe quel poste joint au domaine. Aucun agent n'est installé, aucune extension de schéma n'est appliquée, rien n'est écrit. Chaque opération est une recherche : utilisateurs, groupes, stratégies de groupe, approbations, modèles de certificat, délégations, politiques de mots de passe.
Cela compte pour la conversation que vous aurez avec l'équipe du client. « Il faut installer quelque chose sur un contrôleur de domaine » est une demande qui met trois semaines à être validée. « Il faut lire l'annuaire depuis un poste, avec un compte qui n'a pas plus de droits qu'un utilisateur standard » est une demande qui se règle dans l'après-midi.
Port 389 ou port 636
| Port | Protocole | Quand l'utiliser |
|---|---|---|
| 389 | LDAP avec Negotiate | Le défaut. Le trafic est signé et scellé par la couche Negotiate : les identifiants ne traversent jamais le réseau en clair. |
| 636 | LDAPS | Quand la politique du client impose TLS sur le réseau, ou quand un équipement s'intercale entre le poste et le contrôleur. Exige un certificat valide sur le contrôleur de domaine. |
LDAPS ne se choisit pas dans l'interface : c'est un réglage du settings.json du client. C'est délibéré — c'est une décision prise une fois avec l'équipe réseau, pas un interrupteur qu'on bascule en cours d'audit.
Quel compte utiliser
Deux options, et le choix vient généralement de la politique du client plutôt que d'une préférence.
- L'authentification intégrée — la session tourne sous le compte Windows déjà ouvert sur le poste d'audit. Rien à transmettre, rien à stocker. Idéal pour un audit interne, ou quand un compte de domaine temporaire est fourni à l'auditeur.
- Un compte dédié — saisi sous la forme
DOMAINE\utilisateuravec son mot de passe, chiffré sur le poste par DPAPI en portée machine. Idéal quand l'audit s'exécute depuis une machine hors domaine, ou quand le client veut un compte nominatif et révocable qu'il puisse suivre dans ses journaux.
Aucun droit privilégié n'est requis. Un utilisateur standard du domaine peut lire l'annuaire. Certains contrôles lisent des descripteurs de sécurité, qu'un utilisateur standard peut également lire. Si un contrôle remonte « non évalué » pour une raison d'accès, le rapport le dit plutôt que de conclure — on ne tire pas de conclusion de ce qu'on n'a pas pu lire.
À vérifier avant de commencer
- La joignabilité réseau — le poste doit atteindre un contrôleur de domaine sur 389 ou 636. Un VPN en tunnel partagé qui exclut le sous-réseau des contrôleurs est l'échec silencieux classique.
- La résolution de noms — le nom de domaine doit résoudre. Auditer depuis une machine qui utilise un résolveur DNS public échoue avant même l'authentification.
- Le compte — un utilisateur standard, mais activé, avec un mot de passe non expiré.
- Le périmètre — un domaine par audit. Une forêt multi-domaines s'audite un domaine à la fois, ce qui est d'ailleurs la façon dont les constats seront discutés.
Tester avant de faire confiance
Enregistrer les paramètres n'active pas le connecteur. Seul un test de connexion concluant le fait, et la distinction n'est pas cosmétique : un audit reposant sur un annuaire injoignable produirait un score faussement rassurant. Le test ouvre la session, lit le contexte de nommage du domaine et rapporte ce qu'il a trouvé. En cas d'échec, l'erreur est restituée telle quelle — c'est ce qui permet de distinguer un problème réseau d'un problème d'identifiants ou de certificat.
Apprendre l'outil sans domaine
Vous n'avez pas besoin d'un Active Directory pour découvrir le produit. Saisir simulation comme nom de domaine active un mode hors ligne qui rejoue un annuaire fictif complet : groupes privilégiés peuplés, comptes de service aux mots de passe anciens, délégations ACL, quatre approbations contrastées, une autorité de certification et deux modèles. Tous les contrôles s'exécutent réellement, sur des réponses préenregistrées. C'est la bonne façon de préparer une démonstration, de produire des captures ou de former un consultant avant sa première mission.
Une limite à connaître : l'annuaire simulé est figé, donc deux audits successifs donnent le même résultat. La détection de dérive et la courbe de tendance n'ont rien à y montrer.
Ce que le connecteur ne fait pas
- Il n'écrit pas. Aucune remédiation, aucune modification de groupe, aucun changement de GPO. Les scripts de correction qu'il peut générer sont livrés avec toutes les commandes modifiantes commentées.
- Il ne lit pas le contenu des fichiers. L'annuaire, c'est de la configuration, pas de la donnée. Partages, boîtes aux lettres et documents sont hors périmètre.
- Il ne surveille pas. Un audit est une photographie, prise délibérément, pas un service de détection continue.
- Il n'audite pas Entra ID. Un parc hybride a besoin des deux connecteurs — l'annuaire et le tenant — parce qu'une compromission respecte rarement la frontière entre les deux.