[Active Directory] 4 Implémentation de comptes d'utilisateurs, de groupes et d'ordinateurs
Le service d’annuaire Active Directory distingue trois types de comptes de sécurité :
- Le compte d’utilisateur permet à un utilisateur physique d’ouvrir une session unique sur le domaine et d’accéder aux ressources partagées.
- Le compte d’ordinateur permet d’identifier un ordinateur physique par le biais d’un mécanisme d’authentification. Il est possible d’activer l’audit de l’accès d’un compte d’ordinateur aux ressources du domaine.
- Le compte de groupe permet de simplifier l’administration en regroupant des comptes d’utilisateurs, d’ordinateurs ou bien d’autres comptes de groupes.
4.1 Implémentation de comptes d’utilisateurs
4.1.1 Présentation du nom d’utilisateur principal
Un nom d’utilisateur principal ou UPN (User Principal Name) est un nom d’ouverture de session. Il doit être unique au sein de la forêt. Il se décompose en deux parties séparées par le caractère @ :
- Le préfixe UPN
- Le suffixe UPN
Par exemple l’utilisateur Loïc THOBOIS situé dans le domaine egilia.com ouvre sa session en utilisant le nom d’utilisateur principal suivant : loic.thobois@egilia.com où loic.thobois représente le préfixe UPN et egilia.com le suffixe UPN.
Le nom d’utilisateur principal n’est pas modifié lors du déplacement du compte d’utilisateur vers un autre domaine car ce nom est unique dans la forêt. De plus Il peut être utilisé en tant qu’adresse électronique car il a le même format qu’une adresse de messagerie standard.
Un utilisateur peut toujours ouvrir une session à l’aide du nom d’ouverture de session d’utilisateur pré-windows 2000 (dans notre exemple EGILIA\loic.thobois). En outre, Active Directory autorise l’assignation de suffixes UPN supplémentaires à une foret Active Directory.
4.1.2 Le Routage des suffixes UPN
Il est possible d’ajouter ou de supprimer des suffixes UPN dans la forêt grâce à la console Domaines et approbations (accessible en tapant domain.msc dans la boite de dialogue exécuter) ou bien par le biais d'un script. Seul un membre du groupe administrateurs de l’entreprise est autorisé à modifier les suffixes UPN.
La console Domaines et approbations permet aussi d’activer le routage des suffixes UPN. Le routage des suffixes UPN est un mécanisme fournissant une résolution de noms UPN inter forêts. Ainsi il est possible de définir quels suffixes UPN les utilisateurs de la forêt 1 pourront utiliser pour s’authentifier dans la forêt 2. Bien entendu, les relations d’approbations appropriées (approbation de forêt) doivent être définies pour permettre le routage des suffixes UPN.