Active Directory : l’annuaire central des réseaux Windows

Active Directory est le service d’annuaire de Microsoft, apparu avec Windows Server 2000. Concrètement, c’est la base qui répertorie et organise tout ce qui existe sur un réseau d’entreprise sous Windows : les comptes utilisateurs, les postes de travail, les serveurs, les imprimantes, les applications, et jusqu’aux droits d’accès associés à chacun. Sans lui, un administrateur devrait gérer chaque machine et chaque compte séparément, poste par poste.

L’annuaire repose sur des standards ouverts plutôt que sur une technologie propriétaire isolée : TCP/IP pour le transport, DNS pour la résolution de noms, LDAP pour interroger l’annuaire, et Kerberos pour l’authentification. Cette base sur des protocoles connus explique pourquoi Active Directory s’intègre avec des outils tiers, et pas seulement avec des logiciels Microsoft.

Un annuaire au sens large

Le terme « annuaire » prête parfois à confusion : on pense d’abord aux personnes, nom, prénom, numéro de téléphone. Active Directory va bien au-delà. Il référence aussi les serveurs, les imprimantes réseau, les bases de données et n’importe quel objet qu’on juge utile de suivre. Chaque objet possède ses propres attributs et ses propres droits d’accès, gérés depuis un point central plutôt que dispersés sur chaque machine.

Ce qu’Active Directory permet de faire

Active Directory recense toutes les informations concernant le réseau, qu’il s’agisse des utilisateurs, des machines ou des applications. Il devient de fait le moyeu central de toute l’architecture réseau, celui qui permet à un utilisateur de retrouver et d’accéder à n’importe quelle ressource identifiée par le service, où qu’elle se trouve sur le réseau.

Pour les administrateurs, c’est aussi un outil de gestion et de représentation globale : voir d’un coup d’œil l’ensemble des ressources et des droits qui leur sont associés. Active Directory fournit à ce titre des outils pour gérer la répartition de l’annuaire sur plusieurs sites, sa duplication entre contrôleurs de domaine, la sécurisation des accès et le partitionnement de l’annuaire par service ou par filiale.

Domaines, arborescence et forêt

Active Directory organise ses objets en domaines, l’unité de base de la structure. Plusieurs domaines liés entre eux forment une arborescence, et plusieurs arborescences reliées par des relations d’approbation forment une forêt. Cette structure hiérarchique est ce qui permet à Active Directory de gérer aussi bien un réseau de quelques ordinateurs qu’un groupe d’entreprises réparties sur plusieurs pays, avec des règles de sécurité qui peuvent différer d’un domaine à l’autre tout en restant reliées.

À l’intérieur d’un domaine, les objets se rangent dans des unités d’organisation, souvent calquées sur l’organigramme de l’entreprise (un service, un site, une filiale). C’est à ce niveau que sont appliquées les stratégies de groupe, ces règles qui définissent par exemple quels logiciels sont installés automatiquement ou quelles restrictions s’appliquent au poste d’un utilisateur.

Pourquoi Active Directory ne fonctionne pas sans DNS

Sans un DNS correctement configuré, Active Directory ne fonctionne tout simplement pas : les contrôleurs de domaine s’en servent pour se localiser entre eux, et les postes clients pour retrouver le contrôleur de domaine le plus proche. Un problème de résolution DNS mal diagnostiqué se traduit souvent, en pratique, par des utilisateurs qui n’arrivent plus à ouvrir de session ou à accéder à des ressources partagées, alors que le vrai problème n’a rien à voir avec leurs identifiants.

Pour aller plus loin

La documentation officielle de Microsoft détaille en profondeur le fonctionnement interne du service, notamment son Architecture Active Directory, utile pour qui veut comprendre les mécanismes de réplication et de recherche d’objets dans le détail.