Administrateurs du schéma et Administrateurs de l'entreprise : des groupes qui doivent rester vides
Les groupes Administrateurs du schéma et Administrateurs de l'entreprise donnent un pouvoir sur l'ensemble de la forêt, bien au-delà d'un seul domaine. Ils ne servent pourtant qu'à des opérations rares. Les laisser peuplés en permanence multiplie les comptes dont la compromission suffit à perdre toute la forêt.
Deux groupes à l'échelle de la forêt
Ces deux groupes n'existent que dans le domaine racine de la forêt. Les Administrateurs de l'entreprise sont membres du groupe Administrateurs de chaque domaine de la forêt et peuvent gérer la configuration de la forêt (sites, approbations, autorités de certification d'entreprise). Les Administrateurs du schéma peuvent modifier le schéma, c'est-à-dire la définition même des objets et attributs de l'annuaire. Une modification du schéma est irréversible dans la plupart des cas et se réplique à tous les contrôleurs de domaine de la forêt.
À la création de la forêt, le compte Administrateur intégré du domaine racine est membre de ces deux groupes. C'est souvent le point de départ d'une dérive : on y ajoute ensuite les administrateurs du domaine « au cas où ».
Quand en a-t-on réellement besoin ?
| Groupe | Opérations typiques | Fréquence |
|---|---|---|
| Administrateurs du schéma | extension du schéma (Exchange, Windows LAPS, applications tierces), montée de version de la forêt | quelques fois par an, voire moins |
| Administrateurs de l'entreprise | ajout ou retrait d'un domaine, création d'approbations, installation d'une autorité de certification d'entreprise, certaines opérations de configuration | rare |
L'administration quotidienne d'un domaine se fait avec des comptes de niveau 0 du domaine, pas avec ces groupes. Dans une forêt à domaine unique, les Administrateurs du domaine suffisent pour l'immense majorité des tâches.
Une appartenance temporaire et tracée
Le principe est simple : ces groupes sont vides en temps normal. Pour une opération planifiée, un compte d'administration nominatif y est ajouté, l'opération est réalisée depuis un poste d'administration de niveau 0, puis le compte est retiré. L'ajout et le retrait sont tracés dans le ticket de changement.
Pour éviter les oublis, Active Directory propose la fonctionnalité facultative Privileged Access Management, disponible à partir du niveau fonctionnel de forêt Windows Server 2016. Elle permet d'ajouter un membre avec une durée de vie : à l'expiration, l'appartenance disparaît automatiquement, et les tickets Kerberos émis sont limités à cette durée. Son activation est irréversible ; évaluez-la selon la documentation Microsoft avant de l'activer. À défaut, une tâche planifiée qui vide les groupes et alerte en cas de membre inattendu constitue un filet de sécurité.
Durcir le compte Administrateur intégré
Le compte Administrateur intégré (RID 500) de chaque domaine mérite un traitement particulier, car il ne se verrouille pas par défaut et son identifiant est connu. Le renommer n'apporte pas de protection réelle. Les mesures utiles sont les suivantes :
- un mot de passe long et aléatoire, conservé dans un coffre-fort avec une procédure de récupération d'urgence ;
- l'option « Le compte est sensible et ne peut pas être délégué » ;
- des stratégies de groupe qui lui interdisent l'ouverture de session sur les serveurs membres et les postes de travail : accès réseau, services Bureau à distance, tâche planifiée, service ;
- le retrait de ce compte des groupes Administrateurs du schéma et Administrateurs de l'entreprise, sauf besoin ponctuel ;
- une alerte sur toute utilisation, puisqu'il ne devrait servir qu'en cas d'urgence.
Surveiller les modifications
Toute modification de ces groupes doit déclencher une alerte immédiate. Les groupes Administrateurs du schéma et Administrateurs de l'entreprise étant des groupes universels, les ajouts et retraits génèrent les événements 4756 et 4757 sur les contrôleurs de domaine, à condition que l'audit de la gestion des groupes de sécurité soit activé. Il est aussi judicieux d'auditer les modifications de la partition de schéma (événement 5136 avec l'audit des modifications du service d'annuaire) pour détecter une extension non planifiée.
Vérifiez les chemins indirects. Un groupe vide n'est pas protégé si quelqu'un peut y ajouter des membres. Contrôlez les ACL de ces groupes, de l'objet AdminSDHolder et de la partition de schéma : un droit d'écriture sur l'un d'eux équivaut presque à l'appartenance.
Ce qu'un audit vérifie
- le nombre de membres des groupes Administrateurs du schéma et Administrateurs de l'entreprise, y compris via des groupes imbriqués ;
- la dernière date de connexion et de changement de mot de passe du compte Administrateur intégré ;
- les restrictions d'ouverture de session appliquées à ce compte ;
- l'audit et l'alerte sur les modifications de ces groupes et du schéma ;
- les droits de modification sur ces groupes et sur AdminSDHolder.