Thème choisi : Tiering Active Directory & cloisonnement des privilèges
Ma veille technologique est directement ancrée dans ma pratique professionnelle. Le thème que j'ai choisi — le Tiering Active Directory et le cloisonnement des privilèges — n'est pas un sujet théorique : c'est une problématique que j'ai rencontrée concrètement lors de mon stage de 2ème année au SIS 67, dans le cadre du déploiement du bastion Apache Guacamole. Cette veille m'a permis de comprendre les enjeux, d'anticiper les contraintes et de prendre des décisions techniques éclairées.
Section 2 — Fiche thématique
Tiering Active Directory & cloisonnement des privilèges
Pourquoi ce sujet ?
L'Active Directory est le cœur de l'authentification dans la quasi-totalité des organisations utilisant des environnements Windows. Sa compromission équivaut à la prise de contrôle totale du système d'information. Au SIS 67, j'ai été confronté à cette réalité lors du déploiement de Guacamole : mon compte administratif appartenait au groupe Protected Users, ce qui bloquait l'authentification NTLM et m'a contraint à analyser en profondeur les mécanismes d'authentification Kerberos et les contraintes imposées par le modèle de Tiering en place.
Le modèle classique : ses limites
Dans un environnement sans cloisonnement, un administrateur utilise le même compte pour gérer les postes utilisateurs, les serveurs applicatifs et les contrôleurs de domaine. Cette pratique, encore courante, expose l'ensemble du SI à un risque majeur : si ce compte est compromis à n'importe quel niveau, l'attaquant obtient les clés du domaine. C'est ce que l'on appelle une attaque par pass-the-hash ou pass-the-ticket — technique qui consiste à récupérer le condensat d'un mot de passe en mémoire pour s'authentifier sans connaître le mot de passe réel.
Le modèle à 3 niveaux (Tier 0 / Tier 1 / Tier 2)
Microsoft recommande depuis plusieurs années de segmenter les privilèges administratifs en trois niveaux d'isolation stricte, chacun correspondant à un périmètre de ressources et à des comptes dédiés.
Tier 0 — Contrôle du domaine
Ce niveau regroupe les actifs les plus critiques : les contrôleurs de domaine, les serveurs d'autorité de certification (PKI), les outils de gestion de l'identité (ADFS, Azure AD Connect). Les comptes Tier 0 ne doivent jamais se connecter à des machines de niveaux inférieurs. Une compromission à ce niveau signifie la perte totale du domaine.
Tier 1 — Serveurs applicatifs et infrastructure
Ce niveau couvre les serveurs de fichiers, les serveurs applicatifs, les hyperviseurs, les équipements de supervision. Les administrateurs Tier 1 interviennent uniquement sur ces ressources, avec des comptes distincts de leurs comptes Tier 0 et de leurs comptes utilisateurs standards.
Tier 2 — Postes de travail et utilisateurs
Ce niveau correspond aux postes de travail des utilisateurs finaux et au support N1/N2. Les comptes Tier 2 n'ont aucun droit sur les ressources des niveaux supérieurs.
Le principe fondamental est simple : aucun flux d'authentification ne doit remonter vers un niveau supérieur. Un compte administrateur Tier 2 ne peut jamais être utilisé pour accéder à un serveur Tier 1 ou Tier 0. Ce cloisonnement casse les chemins d'attaque latéraux qui permettent à un attaquant de progresser dans le SI après une première compromission.
Le groupe Protected Users
Le groupe Protected Users est un groupe de sécurité introduit dans Windows Server 2012 R2 qui applique automatiquement un ensemble de restrictions de sécurité renforcées aux comptes qui en sont membres. Ces restrictions incluent notamment : l'interdiction de l'authentification NTLM, l'interdiction de délégation Kerberos non contrainte, et la réduction de la durée de vie des tickets Kerberos. C'est précisément l'appartenance de mon compte à ce groupe qui a bloqué l'authentification dans Guacamole lors du stage, la version de FreeRDP utilisée ne supportant pas encore pleinement Kerberos.
Les PAW — Privileged Access Workstations
Une PAW est un poste de travail dédié exclusivement aux tâches d'administration, physiquement et logiquement isolé du réseau utilisateur standard. Son usage est recommandé par Microsoft et l'ANSSI pour les administrateurs Tier 0 et Tier 1. Elle réduit la surface d'attaque en empêchant qu'un administrateur utilise la même machine pour naviguer sur le web, lire ses mails et gérer les contrôleurs de domaine. Au SIS 67, le projet Guacamole s'inscrivait dans cette logique : centraliser les accès d'administration depuis un bastion contrôlé, traçable et isolé, sans exposer directement les serveurs cibles.
Ce que j'en retiens
Le modèle de Tiering n'est pas une contrainte bureaucratique — c'est une architecture de défense en profondeur. Comprendre ses principes m'a permis de mieux appréhender pourquoi certaines configurations étaient bloquées en stage, de dialoguer plus efficacement avec l'équipe système, et d'anticiper les évolutions futures du projet Guacamole. C'est exactement ce type de veille — liée à une pratique réelle — qui permet de progresser techniquement.
