Spécification de la stratégie de réplication de mot de passe

La stratégie de réplication de mot de passe est définie par deux attributs Active Directory à valeurs multiples qui contiennent des entités de sécurité (utilisateurs, ordinateurs et groupes). Chaque compte d’ordinateur RODC possède ces deux attributs :

• msDS-Reveal-OnDemandGroup, également appelé Liste autorisée ;
  
  
• msDS-NeverRevealGroup, également appelé Liste refusée.
  
  

Pour simplifier la gestion de la stratégie de réplication de mot de passe, deux autres attributs sont maintenus pour chaque contrôleur de domaine en lecture seule :

• msDS-RevealedList, également appelé Liste révélée ;
  
  
• msDS-AuthenticatedToAccountList, également appelé Liste authentifiée.
  
  

L’attribut msDS-Reveal-OnDemandGroup spécifie les entités de sécurité qui possèdent des mots de passe mis en cache sur un contrôleur de domaine en lecture seule. Par défaut, cet attribut possède une valeur, à savoir le Groupe de réplication dont le mot de passe RODC est autorisé. Étant donné que ce groupe local de domaine ne possède aucun membre par défaut, aucun mot de passe de compte ne peut être mis en cache sur un contrôleur de domaine en lecture seule par défaut.

Cette section explique comment les attributs Liste autorisée, Liste refusée, Liste révélée et Liste authentifiée sont utilisés.

Lorsqu’un contrôleur de domaine en lecture seule effectue une demande pour répliquer le mot de passe d’un utilisateur, le contrôleur de domaine Windows Server 2008 accessible en écriture que le contrôleur de domaine en lecture seule contacte autorise ou refuse la demande. Pour ce faire, le contrôleur de domaine accessible en écriture examine les valeurs de la Liste autorisée et de la Liste refusée du contrôleur de domaine en lecture seule qui présente la demande.

Si le compte dont le mot de passe fait l’objet de la demande du contrôleur de domaine en lecture seule se trouve dans la Liste autorisée (et non dans la Liste refusée) de ce dernier, la demande est autorisée.

L’illustration suivante montre le déroulement de cette opération.

La Liste refusée est prioritaire par rapport à la Liste autorisée.

Par exemple, supposons qu’une organisation a un groupe de sécurité pour administrateurs nommé Admins. L’organisation a aussi un site nommé S1 et un groupe de sécurité nommé Emp_S1 qui contient les employés de ce site. L’organisation a un autre site nommé S2 et un groupe de sécurité nommé Emp_S2 qui contient les employés de ce site.

Le site S2 ne dispose que d’un contrôleur de domaine en lecture seule. Hervé est un administrateur qui travaille sur le site S2. Par conséquent, il appartient à la fois au groupe Emp_S2 et au groupe Admins. Lorsque le contrôleur de domaine en lecture seule du site S2 est installé, les groupes de sécurité répertoriés dans le tableau suivant sont ajoutés à la stratégie de réplication de mot de passe.

Selon la stratégie spécifiée, les informations d’identification qui peuvent être mises en cache sur le contrôleur de domaine en lecture seule du site S2 sont uniquement celles des membres du groupe Emp_S2 qui n’appartiennent pas au groupe Admins. Les informations d’identification des membres des groupes Emp_S1 et Admins ne seront jamais mises en cache sur le contrôleur de domaine en lecture seule. Les informations d’identification des membres du groupe Emp_S2 peuvent être mises en cache sur le contrôleur de domaine en lecture seule. Les informations d’identification d’Hervé ne seront jamais mises en cache sur le contrôleur de domaine en lecture seule.

Cet exemple représente l’option la plus sécurisée. Aucun mot de passe n’est répliqué sur le contrôleur de domaine en lecture seule, à l’exception du compte d’ordinateur de contrôleur de domaine en lecture seule et de son compte spécial krbtgt. Toutefois, l’authentification des utilisateurs et des ordinateurs est tributaire de la disponibilité du réseau étendu. Cet exemple offre l’avantage de ne nécessiter que peu ou aucune modification administrative supplémentaire par rapport aux paramètres par défaut.

Vous pouvez choisir d’ajouter vos propres groupes d’utilisateurs dont la sécurité est primordiale à la Liste refusée. Bien qu’aucun compte ne soit mis en cache par défaut, l’ajout de vos propres groupes d’utilisateurs dont la sécurité est primordiale à la Liste refusée peut protéger ces groupes contre toute inclusion accidentelle dans la Liste autorisée, et par conséquent contre la mise en cache de leurs mots de passe sur le contrôleur de domaine en lecture seule.

Notez que le compte d’administrateur de contrôleur de domaine en lecture seule délégué n’est pas ajouté automatiquement à la Liste autorisée. En guise de pratique recommandée, vous devez ajouter le compte d’administrateur de contrôleur de domaine en lecture seule délégué à la Liste autorisée afin de vous assurer qu’un administrateur délégué est toujours en mesure d’ouvrir une session sur le contrôleur de domaine en lecture seule, que la connexion de réseau étendu à un contrôleur de domaine accessible en écriture soit disponible ou non.

Cet exemple constitue le mode d’administration le plus simple ; il élimine la dépendance envers la disponibilité du réseau étendu pour l’authentification des utilisateurs et des ordinateurs. Dans cet exemple, vous remplissez la Liste autorisée pour tous les contrôleurs de domaine en lecture seule avec des groupes qui représentent une partie significative de la population d’utilisateurs et d’ordinateurs. La Liste refusée empêche la mise en cache des mots de passe des groupes d’utilisateurs dont la sécurité est primordiale, tels que le groupe Admins du domaine. En revanche, les mots de passe de la plupart des autres utilisateurs peuvent être mis en cache sur demande. Vous pouvez choisir d’ajouter vos propres groupes d’utilisateurs dont la sécurité est primordiale à la Liste refusée.

Cette configuration est surtout appropriée pour les environnements dans lesquels la sécurité physique du contrôleur de domaine en lecture seule n’est pas en danger. Par exemple, vous pourriez configurer la stratégie de réplication de mot de passe de cette manière pour un contrôleur de domaine en lecture seule que vous avez déployé dans un emplacement sécurisé principalement pour tirer parti de ses faibles exigences en matière d’administration et de réplication.

	Important
	Vous devez également ajouter les comptes d’ordinateurs des utilisateurs à la Liste autorisée afin que ces utilisateurs puissent ouvrir une session à la filiale lorsque le réseau étendu est hors connexion.

Cet exemple limite les comptes qui peuvent être mis en cache. En général, vous définissez cette option de manière distincte pour chaque contrôleur de domaine en lecture seule ; chacun d’eux dispose d’un ensemble spécifique de comptes d’utilisateurs et d’ordinateurs qu’il est autorisé à mettre en cache. Cet exemple s’applique le plus souvent à un ensemble d’utilisateurs qui travaillent à un emplacement physique particulier.

L’avantage est qu’un ensemble d’utilisateurs sera en mesure d’ouvrir une session sur le réseau et d’être authentifié par le contrôleur de domaine en lecture seule dans la filiale si le réseau étendu est hors connexion. Parallèlement, le champ d’exposition des mots de passe est limité par le nombre réduit d’utilisateurs dont le mot de passe peut être mis en cache.

Il n’y a aucune charge administrative associée au remplissage de la Liste autorisée et de la Liste refusée dans cet exemple. Il n’existe aucune méthode automatisée par défaut permettant de lire les comptes dans la liste connue d’entités de sécurité qui se sont authentifiées auprès d’un contrôleur de domaine en lecture seule spécifique, et il n’existe aucune méthode par défaut permettant de remplir la Liste autorisée avec ces comptes. Vous pouvez utiliser la commande repadmin /prp move pour déplacer ces comptes vers un groupe figurant dans la Liste autorisée, ou utiliser des scripts ou des applications telles que ILM pour générer un processus.

Bien qu’il soit possible d’ajouter des comptes d’utilisateurs ou d’ordinateurs directement à la Liste autorisée, il est plutôt conseillé de créer un groupe de sécurité pour chaque contrôleur de domaine en lecture seule, de l’ajouter à la Liste autorisée, puis d’ajouter des comptes d’utilisateurs et d’ordinateurs au groupe de sécurité. De cette façon, vous pouvez utiliser des outils de gestion de groupes standard tels que le composant logiciel enfichable Utilisateurs et ordinateurs Active Directory ou les outils en ligne de commande Dsadd et Dsmod pour gérer les comptes qui peuvent être mis en cache sur le contrôleur de domaine en lecture seule.

La commande repadmin /prp move nécessite de spécifier un groupe de sécurité. Si le groupe de sécurité que vous spécifiez n’existe pas, elle le crée et l’ajoute à la Liste autorisée.

Comme dans l’exemple précédent, vous devez également ajouter les comptes d’ordinateurs appropriés à la Liste autorisée.