Relever les niveaux fonctionnels du domaine et de la forêt : méthode et bénéfices de sécurité
Les niveaux fonctionnels sont souvent vus comme une formalité administrative que l'on reporte indéfiniment. Ils conditionnent pourtant l'accès à des protections importantes : Kerberos AES, corbeille Active Directory, groupe Protected Users, stratégies d'authentification. Nous rencontrons encore des forêts bloquées à des niveaux vieux de plus de quinze ans.
Ce qu'est un niveau fonctionnel
Le niveau fonctionnel du domaine, et celui de la forêt, indiquent la version minimale de Windows Server que peuvent exécuter les contrôleurs de domaine. Ils n'ont aucun lien avec la version des postes clients ou des serveurs membres. En relevant le niveau, vous garantissez à l'annuaire qu'aucun contrôleur plus ancien n'est présent, ce qui lui permet d'activer des fonctionnalités que ces anciens contrôleurs ne sauraient pas gérer.
Les niveaux disponibles aujourd'hui vont de Windows Server 2008 à Windows Server 2016, puis Windows Server 2025, qui introduit un nouveau niveau après une longue période sans changement. Les versions 2019 et 2022 n'ont pas apporté de niveau propre : leurs contrôleurs fonctionnent au niveau 2016.
Ce que chaque niveau apporte pour la sécurité
- 2008 : prise en charge d'AES pour Kerberos, stratégies de mot de passe affinées, réplication de SYSVOL par DFSR ;
- 2008 R2 (forêt) : possibilité d'activer la corbeille Active Directory ; garantie du mécanisme d'authentification ;
- 2012 : prise en charge côté contrôleur des revendications, de l'authentification composée et du blindage Kerberos (FAST) ;
- 2012 R2 : protections côté contrôleur du groupe Protected Users, stratégies et silos d'authentification ;
- 2016 : renouvellement automatique des secrets NTLM des comptes exigeant une carte à puce, fonctionnalités de gestion des accès privilégiés au niveau de la forêt ;
- 2025 : prérequis pour certaines évolutions récentes de la base de l'annuaire, comme la fonctionnalité optionnelle de pages de base de données de 32 Ko.
En pratique, le seuil minimal que nous recommandons est le niveau 2016 : il garantit la présence de l'ensemble des protections modernes côté contrôleur. Le niveau 2025 suppose que tous les contrôleurs de domaine soient en Windows Server 2025, ce qui est un objectif à planifier plutôt qu'un prérequis immédiat.
Les comptes anciens. Un compte dont le mot de passe a été défini avant le passage au niveau 2008 peut ne pas disposer de clés AES. Avec la dépréciation progressive de RC4, ces comptes, souvent des comptes de service, sont les premiers à poser problème. Leur inventaire fait partie du projet.
Les prérequis
- Inventaire complet des contrôleurs de domaine, y compris ceux qui ont disparu sans rétrogradation propre : leurs métadonnées doivent être nettoyées, sinon l'annuaire continue de les considérer comme présents.
- Remplacement des contrôleurs anciens par des contrôleurs dans une version prise en charge, puis rétrogradation des anciens.
- Migration de la réplication de SYSVOL de FRS vers DFSR si elle n'a pas été faite. FRS est obsolète, et les versions récentes de Windows Server ne peuvent pas être promues dans un domaine qui l'utilise encore. Cette migration se fait en plusieurs états successifs et réversibles jusqu'au dernier.
- Santé de la réplication : aucun relèvement de niveau ne doit être tenté sur une forêt dont la réplication présente des erreurs.
- Vérification des dépendances : appliquances ou produits tiers qui interagissent avec l'annuaire, en particulier ceux qui se présentent comme contrôleurs de domaine ou synchronisent les mots de passe.
Le relèvement lui-même
On relève d'abord le niveau de chaque domaine, puis celui de la forêt, qui ne peut pas dépasser le niveau le plus bas de ses domaines. L'opération elle-même est rapide et se réplique comme n'importe quelle modification. Il faut cependant la considérer comme irréversible : le retour arrière n'est possible que dans des cas limités, et plus du tout une fois certaines fonctionnalités activées, comme la corbeille. Disposez d'une sauvegarde récente et validée de l'état du système des contrôleurs avant d'agir.
Le relèvement n'active pas tout automatiquement. La corbeille Active Directory s'active séparément, le blindage Kerberos et les stratégies d'authentification se configurent par stratégie de groupe, et l'appartenance à Protected Users reste à organiser. Le niveau fonctionnel ouvre des portes ; c'est le projet de durcissement qui doit les franchir.
Ce qu'un audit vérifie
- Les niveaux fonctionnels de chaque domaine et de la forêt.
- Les versions de système des contrôleurs de domaine et la présence de métadonnées de contrôleurs disparus.
- Le mécanisme de réplication de SYSVOL et l'état de la migration vers DFSR.
- L'état de santé de la réplication.
- Les comptes privilégiés ou de service sans clés AES.
- L'activation effective des fonctionnalités permises par le niveau atteint.