Niveaux fonctionnels de forêt et de domaine : ce que chaque niveau apporte réellement à la sécurité
Nous rencontrons encore régulièrement des domaines dont les contrôleurs tournent sous une version récente de Windows Server, mais dont le niveau fonctionnel est resté figé une décennie en arrière. Résultat : plusieurs protections majeures sont disponibles sur le papier, mais inactives côté contrôleur de domaine.
À quoi sert un niveau fonctionnel
Le niveau fonctionnel du domaine et celui de la forêt indiquent la version minimale de Windows Server que tous les contrôleurs de domaine sont censés exécuter. Tant que ce niveau n'est pas relevé, Active Directory doit rester compatible avec les plus anciens contrôleurs possibles et n'active donc pas certains comportements. Le niveau fonctionnel ne concerne que les contrôleurs de domaine : il n'impose rien aux postes de travail ni aux serveurs membres, qui continuent de fonctionner quel que soit leur système.
Un point souvent mal compris : mettre à jour tous les contrôleurs vers Windows Server 2022 ou 2025 ne relève pas automatiquement le niveau fonctionnel. C'est une action d'administration distincte, qui doit être décidée et planifiée.
Ce que chaque niveau débloque
| Niveau | Apports notables pour la sécurité |
|---|---|
| Windows Server 2008 R2 | Prérequis de la corbeille Active Directory (niveau forêt), garantie du mécanisme d'authentification |
| Windows Server 2012 R2 | Protections côté contrôleur de domaine pour le groupe Protected Users, stratégies d'authentification et silos de stratégies d'authentification |
| Windows Server 2016 | Rotation automatique des secrets NTLM des comptes à carte à puce obligatoire, gestion des accès privilégiés (PAM) au niveau forêt, chiffrement des mots de passe Windows LAPS |
| Windows Server 2025 | Nouveau niveau fonctionnel ; il conditionne certaines nouveautés de cette version, par exemple les pages de base de données de 32 Ko |
Le cas de Protected Users est emblématique. Côté client, les membres de ce groupe ne mettent plus en cache certains secrets. Mais les protections appliquées par le contrôleur de domaine (refus de l'authentification NTLM, refus de DES et RC4 en pré-authentification Kerberos, durée de vie des TGT réduite, interdiction de la délégation) exigent un domaine au niveau Windows Server 2012 R2 au minimum. En dessous, le groupe offre une protection partielle, ce qui donne un faux sentiment de sécurité.
Windows Server 2025 et les niveaux minimaux
Windows Server 2025 introduit un nouveau niveau fonctionnel de domaine et de forêt. Promouvoir un contrôleur sous cette version impose lui-même un niveau fonctionnel minimal de la forêt et du domaine ; consultez la documentation Microsoft actuelle pour connaître les exigences exactes avant de planifier votre migration. Autre prérequis fréquemment oublié : la réplication de SYSVOL doit utiliser DFS-R et non plus l'ancien service FRS, abandonné depuis plusieurs versions.
Relever le niveau sans casse
Le relèvement est en pratique une opération à sens unique : un retour arrière n'est possible que dans des cas limités, et jamais une fois certaines fonctionnalités facultatives activées. Il faut donc le préparer.
- Inventorier tous les contrôleurs de domaine, y compris ceux des sites distants et les RODC, et vérifier leur version.
- Rechercher les objets contrôleurs orphelins : un ancien DC mal rétrogradé bloque le relèvement ou fausse l'inventaire.
- Contrôler l'état de la réplication et de SYSVOL avant toute modification.
- Identifier les applications qui s'appuient sur RC4, NTLM ou la délégation pour des comptes que vous prévoyez d'ajouter à Protected Users.
- Relever d'abord le niveau du domaine, puis celui de la forêt, idéalement en commençant par un environnement de test ou un domaine secondaire.
Le vrai risque n'est pas le relèvement. Relever le niveau fonctionnel ne modifie pas le comportement des comptes ordinaires. Ce sont les fonctionnalités activées ensuite (Protected Users, stratégies d'authentification) qui peuvent casser des usages anciens : déployez-les progressivement, compte par compte.
Ce qu'un audit vérifie
- le niveau fonctionnel actuel de la forêt et de chaque domaine, comparé à la version des contrôleurs ;
- la présence de contrôleurs obsolètes ou d'objets orphelins qui empêchent le relèvement ;
- l'usage effectif de Protected Users et des stratégies d'authentification pour les comptes privilégiés ;
- le mode de réplication de SYSVOL et l'état des fonctionnalités facultatives, comme la corbeille.