Active Directory organise les identités et les accès de nombreuses entreprises. Sa sécurité dépend aussi des postes, des comptes et des pratiques qui permettent de l’administrer. Protéger uniquement les contrôleurs de domaine laisse une partie du problème hors du champ.
Comprendre les déplacements possibles
L’ANSSI décrit des compromissions qui commencent sur des postes de travail puis progressent par déplacements latéraux et élévations de privilèges. Un cloisonnement insuffisant et de mauvaises pratiques d’administration peuvent faciliter cette progression.
Examiner les dépendances de confiance
Repérez les comptes très privilégiés, les équipements depuis lesquels ils sont utilisés et les services qui en dépendent. Les comptes techniques et les outils de déploiement méritent une attention particulière : leur fonction peut leur donner une portée importante.
Construire une trajectoire
Exemple fictif : le même compte sert au support utilisateur et à l’administration de l’annuaire. La première étape consiste à documenter les tâches concernées, puis à organiser leur séparation. Le changement doit être testé pour éviter de bloquer les opérations essentielles.
Le regard Aztechnix
Une revue utile produit des actions hiérarchisées : usages à séparer, accès à retirer, chemins à cloisonner et contrôles à mettre en place. Les modifications doivent être validées avec les responsables d’exploitation. Une recommandation générique appliquée sans étude peut perturber des dépendances réelles ; l’objectif est une réduction du risque vérifiée, compatible avec le fonctionnement du système.
Source et méthode
ANSSI — Administration sécurisée des SI reposant sur AD. Source consultée le 1er novembre 2026. Synthèse et recommandations pratiques : Aztechnix. Les mises en situation sont fictives ; elles ne constituent pas des références clients.