Fiche mémo Annuaire et identités

Annuaires : principes

Service centralisé d'identités : stocker informations utilisateurs, groupes, ordinateurs ; authentifier une fois pour accéder partout.

Avantages : mot de passe unique, gestion en un endroit, audit centralisé, secrets en coffre, révocation immédiate.

Coûts : complexité, point de défaillance si le serveur tombe.

LDAP : protocole d'annuaire

RFC 4511 (2006, Proposed Standard) : accès en lecture/écriture au protocole d'annuaire. Port 389 (clair), 636 (TLS/LDAPS, non standardisé : non vérifié).

DN (Distinguished Name) : identité d'une entrée dans l'arbre.

cn=alice,ou=Personnes,dc=corp,dc=example,dc=test

Composants courants : cn (common name), ou (organizational unit), dc (domain component), o (organization), c (country).

Schéma. Classes d'objets : inetOrgPerson (personne), groupOfNames (groupe). Attributs : cn, mail, userPassword (haché), memberOf (groupe d'appartenance).

Opérations courantes.

Cours : opérations de lecture seule (Search, Compare).

Filtre. Syntaxe : (&(objectClass=inetOrgPerson)(uid=alice)) ; opérateurs & (ET), | (OU), ! (NON).

Active Directory : structure Windows

Annuaire Microsoft pour réseaux Windows. Hiérarchie : Forêt > Domaines > UO > Utilisateurs/Ordinateurs/Groupes.

• Domaine : groupe d'utilisateurs/machines administrés ensemble, servi par contrôleur de domaine (DC). Exemple : corp.example.test.
• Forêt : regroupement de domaines, un schéma, un catalogue global.
• OU (Unité d'organisation) : division pour gestion et Group Policy Objects (GPO).
• Utilisateur : compte, mot de passe haché.
• Ordinateur : compte machine.
• Groupe : collection pour les permissions (Domain Admins, Domain Users, etc.).
• GPO (Group Policy) : paramètres (logiciels, pare-feu, etc.) appliqués à des utilisateurs ou machines. Détails non vérifiés.

Kerberos en principe

RFC 4120 (2005, Proposed Standard) : protocole d'authentification réseau sans envoi de mot de passe sur le réseau. Port 88 (TCP/UDP).

Acteurs : client, KDC (centre de distribution de clés), serveur.

Flux : client demande TGT au KDC, reçoit jeton valable quelques heures ; pour chaque serveur, demande service ticket (ST) au KDC sans renvoyer mot de passe.

Avantage : mot de passe jamais sur le réseau.

Détails (TGT/ST, chiffrement) non vérifiés.

Microsoft Entra ID : identité cloud

Service SaaS d'identité Microsoft. Concepts :

• Tenant : instance isolée (comparable à un domaine cloud).
• Utilisateurs et groupes : créés dans le tenant ou synchronisés depuis AD DS.
• Accès conditionnel : politiques d'accès basées sur contexte (lieu, appareil, risque).

Avantages sur AD DS : accès depuis n'importe où, intégration cloud, gestion d'identités externes.

SSO : SAML et OpenID Connect

Idée. L'utilisateur se connecte une fois auprès d'un fournisseur d'identité (IdP) et accède à plusieurs applications sans réenvoyer ses identifiants.

SAML 2.0 (OASIS, 2008, résumé technique consulté) : flux XML, assertion signée, protocole SP ← → IdP ← → Client via navigateur.

OpenID Connect (OIDC) (Core 1.0 + erratum 2, 15 décembre 2023) : couche d'identité sur OAuth 2.0, jeton id_token JWT avec champs iss, sub, aud, exp, iat, nonce.

Choix : SAML courant en entreprise ; OIDC moderne et compact.

MFA et Conditional Access

MFA : au moins deux facteurs (mot de passe + SMS/app/clé physique FIDO2). Résiste au vol de mot de passe.

Conditional Access (Entra ID) : politiques si-alors basées sur signaux (identité, lieu, appareil, risque) ; décisions (bloquer, MFA, conformité) ; rapport (mode surveillance).

Exemple : « Lieu inconnu → bloquer sauf MFA ». Licence Microsoft Entra ID P1.

Comptes de service

Comptes non interactifs pour logiciels. Risques : mot de passe en dur, droits excessifs, pas de revue.

Défenses :

• Mot de passe fort, en Trousseau ou coffre (pas en dur).
• Scope réduit (une app, une BD, pas l'annuaire).
• Rotation régulière.
• Audit des actions.
• LAPS : rotation automatique des mots de passe locaux.
• MSI en cloud : Azure gère l'authentification.

Défense : pass-the-hash et comptes privilégiés

Pass-the-hash (PTH) : attaquant utilise le haché volé du mot de passe pour s'authentifier sans le connaître.

Défenses : - Kerberos plutôt que NTLM. - Groupe Protected Users. - MFA. - NTLMv2 minimum (jamais v1).

Énumération/spray : essais multiples user/password.

Défenses : - Limitation d'essais → verrouillage temporaire. - MFA ralentit l'automatisation. - Mots de passe forts.

Comptes admin : cibles de choix.

Défenses : - Comptes séparés admin/utilisateur. - PAM (Privileged Access Management) ou bastion. - Audit complet.

Lecture LDAP (syntaxe)

Bind (authentification) :

ldapsearch -x -H ldap://ldap.example.test:389 -D "cn=admin,dc=corp,dc=example,dc=test" -w '<PASSWD-FACTICE>'

• Contexte : Terminal ; annuaire synthétique.
• Droits : utilisateur.
• Effet : lecture seule (aucune exécution ici).
• Vérification : -x (simple bind), -H ldap:// (serveur), -D (DN), -w (mot de passe).
• Retour arrière : sans objet.

Recherche (syntaxe) :

ldapsearch -x -H ldap://ldap.example.test:389 -D "cn=admin,dc=corp,dc=example,dc=test" -w '<PASSWD-FACTICE>' -b "dc=corp,dc=example,dc=test" "(&(objectClass=inetOrgPerson)(uid=alice))"

• -b : base DN (racine).
• Filtre : (&(objectClass=inetOrgPerson)(uid=alice)).