👤 C3.2.1 — Annuaires LDAP & AD · Séance 1/2

Accroche (10 min)

Imaginez la situation suivante chez InnovatTech : chaque collaborateur utilise le même mot de passe pour son poste, sa messagerie et l'ERP. Les administrateurs ont créé 3 comptes différents par personne. Un employé quitte l'entreprise et, 6 mois plus tard, on découvre que son compte local VPN était toujours actif. Ce désordre provoque une perte de visibilité et des risques de fuite. L'annuaire centralisé est la réponse à ce chaos : une seule source de vérité pour l'authentification, l'autorisation et les informations de contact.

Section 1 — LDAP et OpenLDAP (~45 min)

Qu'est-ce qu'un annuaire ?

Un annuaire est un service optimisé pour la lecture d'informations structurées sur des objets (personnes, groupes, équipements). Le protocole LDAP (Lightweight Directory Access Protocol, RFC 4510) définit la manière standard d'interroger et modifier ces annuaires.

Structure DIT et Distinguished Name

Un annuaire LDAP est organisé en arbre hiérarchique appelé DIT (Directory Information Tree). Chaque entrée possède un DN (Distinguished Name) unique, formé d'une succession de RDN (Relative Distinguished Names) :

uid=lmartin,ou=commercial,dc=innovattech,dc=fr

Classes d'objets courantes

Commandes LDAP essentielles

# Rechercher tous les utilisateurs
ldapsearch -x -LLL -H ldap://localhost -b "dc=innovattech,dc=fr" "(objectClass=inetOrgPerson)"
# Sortie attendue :
# dn: uid=lmartin,ou=commercial,dc=innovattech,dc=fr
# cn: Léa Martin
# mail: lmartin@innovattech.fr

# Ajouter une entrée depuis un fichier LDIF
ldapadd -x -H ldap://localhost -D "cn=admin,dc=innovattech,dc=fr" -W -f utilisateur.ldif
# Sortie attendue : adding new entry 'uid=lmartin,ou=commercial,dc=innovattech,dc=fr'

# Modifier un attribut
ldapmodify -x -H ldap://localhost -D "cn=admin,dc=innovattech,dc=fr" -W -f modif.ldif

# Générer un mot de passe haché pour OpenLDAP
slappasswd -s "MotDePasse1!"
# Sortie : {SSHA}X5... (à utiliser dans userPassword)

Exemple de fichier LDIF — Créer un utilisateur

dn: uid=lmartin,ou=commercial,dc=innovattech,dc=fr
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
uid: lmartin
cn: Léa Martin
sn: Martin
givenName: Léa
mail: lmartin@innovattech.fr
userPassword: {SSHA}VotreHashSlappasswd

Section 2 — Active Directory (~30 min)

Active Directory repose sur LDAP mais enrichit ce socle avec :

• Kerberos : authentification par tickets (évite la transmission du mot de passe)
• DNS intégré : résolution interne des noms
• GPO (Group Policy Objects) : configuration centralisée des postes
• Réplication multi-DC : haute disponibilité

Kerberos vs NTLM

Commandes PowerShell AD

# Créer un utilisateur AD
New-ADUser -Name "Léa Martin" -SamAccountName "lmartin" `
  -UserPrincipalName "lmartin@innovattech.fr" `
  -AccountPassword (ConvertTo-SecureString "MotDePasse1!" -AsPlainText -Force) `
  -Enabled $true

# Lister les membres d'un groupe
Get-ADGroupMember -Identity "Commerciaux" | Select-Object Name, SamAccountName

# Désactiver un compte (départ employé)
Disable-ADAccount -Identity "mdupont"

# Vérifier les dernières connexions
Get-ADUser -Filter * -Properties LastLogonDate | `
  Sort-Object LastLogonDate -Descending | `
  Select-Object Name, LastLogonDate | `
  Select-Object -First 10

TP — Déployer OpenLDAP et créer la structure InnovatTech (85 min)

Scénario : InnovatTech n'a pas d'annuaire centralisé. Votre mission : déployer OpenLDAP sur debian-srv01, créer la structure (4 OUs), ajouter 5 utilisateurs et 2 groupes.

Étape 1 — Installer OpenLDAP

sudo apt update && sudo apt install -y slapd ldap-utils
sudo dpkg-reconfigure slapd
# DNS domain: innovattech.fr | Organisation: InnovatTech | Admin password: (choisir)

Étape 2 — Vérifier l'installation

ldapsearch -x -LLL -H ldap://localhost -b "dc=innovattech,dc=fr"

Étape 3 — Créer les OUs (structure.ldif)

dn: ou=direction,dc=innovattech,dc=fr
objectClass: organizationalUnit
ou: direction

dn: ou=commercial,dc=innovattech,dc=fr
objectClass: organizationalUnit
ou: commercial

dn: ou=technique,dc=innovattech,dc=fr
objectClass: organizationalUnit
ou: technique

dn: ou=prestataires,dc=innovattech,dc=fr
objectClass: organizationalUnit
ou: prestataires

ldapadd -x -H ldap://localhost -D "cn=admin,dc=innovattech,dc=fr" -W -f structure.ldif

Étape 4 — Créer 5 utilisateurs (utilisateurs.ldif)

dn: uid=lmartin,ou=commercial,dc=innovattech,dc=fr
objectClass: inetOrgPerson
uid: lmartin
cn: Léa Martin
sn: Martin
mail: lmartin@innovattech.fr
userPassword: {SSHA}(généré par slappasswd)

ldapadd -x -H ldap://localhost -D "cn=admin,dc=innovattech,dc=fr" -W -f utilisateurs.ldif

Étape 5 — Créer 2 groupes (groupes.ldif)

dn: cn=techniciens,ou=technique,dc=innovattech,dc=fr
objectClass: groupOfNames
cn: techniciens
member: uid=adupond,ou=technique,dc=innovattech,dc=fr
member: uid=carnoux,ou=technique,dc=innovattech,dc=fr

Étape 6 — Vérifier la structure finale

# Vérifier les OUs
ldapsearch -x -LLL -H ldap://localhost -b "dc=innovattech,dc=fr" "(objectClass=organizationalUnit)"

# Vérifier les utilisateurs
ldapsearch -x -LLL -H ldap://localhost -b "dc=innovattech,dc=fr" "(objectClass=inetOrgPerson)"

# Vérifier les groupes
ldapsearch -x -LLL -H ldap://localhost -b "dc=innovattech,dc=fr" "(objectClass=groupOfNames)"

Synthèse (10 min)

Question : Expliquez en 2 phrases pourquoi Kerberos est plus sécurisé que NTLM pour l'authentification sur un réseau Windows.