📂 AD avancé — FSMO, Kerberos et délégation

🎯 Objectifs pédagogiques

• Comprendre les 5 rôles FSMO dans Active Directory et leur impact opérationnel.
• Savoir transférer ou forcer (seize) un rôle FSMO, diagnostiquer la réplication AD et forcer la réplication.
• Comprendre les principes Kerberos (AS/TGS, TGT, PAC) et les risques associés (Golden Ticket).
• Configurer la délégation de contrôle pour un groupe helpdesk (reset mdp, gestion comptes OU Users).
• Découvrir la mise en place d'un contrôleur de domaine Samba4 et les commandes de base (samba-tool).

📖 1 — FSMO : rôles et responsabilités

Active Directory repose sur un modèle de réplication multi-maître, mais certaines opérations sensibles ne peuvent être gérées que par un seul contrôleur de domaine à la fois. Ces rôles uniques sont appelés FSMO (Flexible Single Master Operations). Il en existe 5 au total, répartis entre niveau forêt et niveau domaine.

Les 5 rôles FSMO

📖 2 — Transfert et seize des rôles FSMO

Vérifier l'emplacement actuel des rôles

# Via PowerShell
netdom query fsmo

# Ou via les cmdlets AD
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster

Transfert en ligne (online transfer) — via PowerShell

Le transfert est l'opération normale lorsque le DC source est disponible :

# Transférer PDCEmulator, RIDMaster et InfrastructureMaster vers win-srv01
Move-ADDirectoryServerOperationMasterRole -Identity win-srv01 `
  -OperationMasterRole PDCEmulator, RIDMaster, InfrastructureMaster

# Transférer tous les rôles (forêt + domaine) vers win-srv01
Move-ADDirectoryServerOperationMasterRole -Identity win-srv01 `
  -OperationMasterRole SchemaMaster, DomainNamingMaster, PDCEmulator, RIDMaster, InfrastructureMaster

Forçage du rôle — Seize (ntdsutil)

Si le DC titulaire est hors ligne de façon irrémédiable, on utilise ntdsutil pour forcer la prise du rôle :

ntdsutil
> roles
> connections
> connect to server win-srv02
> quit
> seize PDC
> seize RID master
> quit
> quit

Outils alternatifs

• ntdsutil : outil en ligne de commande Windows pour les opérations avancées sur AD.
• Active Directory Users and Computers (ADUC) : permet de transférer le rôle PDC Emulator via GUI.
• Active Directory Domains and Trusts : pour Domain Naming Master.
• Active Directory Schema (MMC snap-in) : pour Schema Master.

📖 3 — Réplication AD et diagnostic

Concepts de réplication

Active Directory utilise un modèle de réplication multi-maître : chaque DC peut accepter des modifications, qui sont ensuite propagées aux autres DCs. Les composants clés sont :

• Sites & Services : définit la topologie de réplication (liens de sites, coûts, intervalles).
• KCC (Knowledge Consistency Checker) : génère automatiquement la topologie de réplication optimale en intra-site et inter-site.
• Partitions AD : Domain, Schema, Configuration, Applications — chacune est répliquée indépendamment.

Commandes de diagnostic

# Vérifier l'état de réplication global
repadmin /showrepl all

# Synthèse des erreurs
repadmin /replsummary

# Forcer la réplication sur toutes les partitions, tous DCs
repadmin /syncall /AdeP

Erreurs courantes et résolutions

📖 4 — Kerberos : principes et implications de sécurité

Kerberos est le protocole d'authentification par défaut dans Active Directory. Il est basé sur des tickets à durée limitée et un tiers de confiance (le KDC — Key Distribution Center, hébergé sur les DCs AD).

Processus d'authentification Kerberos

Golden Ticket — attaque avancée

Un Golden Ticket est un TGT forgé par un attaquant qui a obtenu le hash du compte krbtgt (par exemple via un dump NTDS.dit). Il permet :

• De forger un TGT valide pour n'importe quel utilisateur (y compris un administrateur de domaine inexistant).
• D'accéder à toutes les ressources du domaine sans authentification réelle.
• Une persistance quasi indétectable pouvant durer des mois (tant que le hash krbtgt n'est pas renouvelé).

📖 5 — Délégation du contrôle

La délégation de contrôle permet d'accorder des droits d'administration granulaires à des groupes ou utilisateurs sur une OU spécifique, sans leur donner des droits d'administration globale sur le domaine. C'est la mise en œuvre du principe du moindre privilège.

Cas d'usage : Helpdesk — réinitialisation de mots de passe

Via le Delegation of Control Wizard (GUI)

1. Ouvrir Active Directory Users and Computers.
2. Faire un clic droit sur l'OU ciblée (ex : OU=Users,DC=innovattech,DC=local) → Delegate Control…
3. Cliquer sur Next, puis ajouter le groupe Helpdesk.
4. Sélectionner les tâches prédéfinies :
   • Reset user passwords and force password change at next logon
   • Read and write all user information (ou uniquement les attributs nécessaires)
5. Valider. Tester avec un compte membre du groupe Helpdesk.

Via PowerShell

# Créer le groupe Helpdesk si inexistant
New-ADGroup -Name Helpdesk -GroupScope Global -GroupCategory Security
Add-ADGroupMember -Identity Helpdesk -Members 'nomDuTechnicien'

# Obtenir le Distinguished Name de l'OU cible
$ou = "OU=Users,DC=innovattech,DC=local"

# Récupérer le SID du groupe Helpdesk
$groupSID = New-Object System.Security.Principal.SecurityIdentifier (Get-ADGroup Helpdesk).SID

# Déléguer le droit "Reset Password" via ADSI
$acl = Get-Acl "AD:\$ou"
$resetPwd = [GUID]"00299570-246d-11d0-a768-00aa006e0529"   # GUID de Reset Password
$rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule(
    $groupSID,
    [System.DirectoryServices.ActiveDirectoryRights]::ExtendedRight,
    [System.Security.AccessControl.AccessControlType]::Allow,
    $resetPwd,
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::Descendents,
    [GUID]"bf967aba-0de6-11d0-a285-00aa003049e2"  # GUID de la classe User
)
$acl.AddAccessRule($rule)
Set-Acl -AclObject $acl "AD:\$ou"

📖 6 — Samba4 : contrôleur de domaine Linux

Samba4 peut jouer le rôle de contrôleur de domaine Active Directory compatible, pour des scénarios Linux-only ou hybrides. Il implémente le protocole MS-ADTS et est compatible avec les clients Windows.

Provision d'un domaine de test

sudo samba-tool domain provision \
  --use-rfc2307 \
  --realm=TEST.LOCAL \
  --domain=TEST \
  --adminpass='ChangeMe123!'

Commandes samba-tool utiles

🔬 TP S2 — Transfert FSMO, réplication et délégation

Partie 1 — Transfert des rôles FSMO

# Étape 1 : vérifier l'emplacement actuel des rôles
netdom query fsmo
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster

# Étape 2 : transférer vers win-srv02
Move-ADDirectoryServerOperationMasterRole -Identity win-srv02 `
  -OperationMasterRole PDCEmulator, RIDMaster, InfrastructureMaster

# Transférer également les rôles forêt :
Move-ADDirectoryServerOperationMasterRole -Identity win-srv02 `
  -OperationMasterRole SchemaMaster, DomainNamingMaster

# Étape 3 : vérifier le résultat
netdom query fsmo
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster

Partie 2 — Réplication forcée et diagnostic

# Forcer la réplication sur toutes les partitions, tous DCs
repadmin /syncall /AdeP

# Vérifier l'état global de réplication
repadmin /showrepl all

# Synthèse des erreurs
repadmin /replsummary

Partie 3 — Délégation pour le groupe Helpdesk

# Créer le groupe Helpdesk et ajouter un technicien
New-ADGroup -Name Helpdesk -GroupScope Global -GroupCategory Security
Add-ADGroupMember -Identity Helpdesk -Members 'sAMAccountNameDuTechnicien'

Ensuite, via Active Directory Users and Computers, clic droit sur OU=Users,DC=innovattech,DC=local → Delegate Control… → sélectionner le groupe Helpdesk → tâche : Reset user passwords and force password change at next logon.

Test : se connecter avec un compte membre de Helpdesk et tenter de réinitialiser le mot de passe d'un utilisateur de l'OU Users. Documenter les captures d'écran.

Partie 4 — Samba4 (optionnel)

# Provision d'un domaine Samba4 de test
sudo samba-tool domain provision \
  --use-rfc2307 --realm=TEST.LOCAL --domain=TEST --adminpass='ChangeMe123!'

# Créer un utilisateur de test
samba-tool user add alice --given-name=Alice --surname=Dupont

Critères de réussite TP S2

• ✅ Les rôles FSMO ont été transférés (ou simulation complète documentée) et vérifiés via netdom query fsmo.
• ✅ La réplication forcée via repadmin /syncall /AdeP s'est exécutée et les erreurs ont été analysées.
• ✅ Le groupe Helpdesk dispose uniquement des droits escomptés sur l'OU Users et peut réinitialiser des mots de passe sans droits d'administration globale.

📎 Annexes — Commandes de référence

📝 QCM — Testez vos connaissances