Contrôleur de domaine

Les contrôleurs de domaine au centre d'un réseau Windows

Lorsqu'un utilisateur se connecte à un PC de l'entreprise avec un compte de domaine, imprime sur une imprimante partagée ou ouvre un serveur de fichiers, un composant décide discrètement de l'autorisation ou du refus de l'utilisateur : le système de gestion des données. contrôleur de domaine.

Il stocke les identités des utilisateurs, vérifie les mots de passe et applique les règles de sécurité pour l'ensemble du domaine Windows.
Si les contrôleurs de domaine s'arrêtent, les connexions sont bloquées et les ressources partagées deviennent difficiles à atteindre, même si les données existent toujours sur le disque.

Concepts de base : Domaine, répertoire et authentification

A domaine est une frontière de sécurité qui regroupe les utilisateurs, les ordinateurs et les ressources sous un même ensemble de règles.
Le répertoire qui les décrit est le suivant Services de domaine Active Directory (AD DS).

A contrôleur de domaine (DC) est un serveur Windows qui exécute AD DS et répond aux demandes d'authentification.
Il détient une copie inscriptible de la base de données de l'annuaire et répond aux questions des clients : “Qui est cet utilisateur ?” et “Que peut faire cet utilisateur ?”.”

Ce que fait un contrôleur de domaine au quotidien

Les contrôleurs de domaine effectuent plusieurs tâches essentielles chaque fois qu'une personne utilise le réseau.

Fonctions principales :

• Valider les informations d'identification lors de la connexion interactive et de l'authentification unique

• Délivrer des tickets Kerberos et gérer les jetons de sécurité

• Appliquer la stratégie de groupe aux utilisateurs et aux ordinateurs

• Stocker et répliquer des objets AD tels que des utilisateurs, des groupes et des OU.

• Enregistrer les événements de sécurité que les auditeurs pourront examiner ultérieurement

Les DC étant situés sur le chemin de confiance, ils influencent directement la manière dont les utilisateurs atteignent en toute sécurité les serveurs de fichiers, les applications et les systèmes de sauvegarde.

Contrôleur de domaine, Active Directory et DNS : Leur relation

Contrôleur de domaine vs. Active Directory

Active Directory est le service d'annuaire et la base de données.
Un contrôleur de domaine est le serveur qui héberge ce service pour un domaine.

AD DS représente les informations, le schéma et les règles, tandis que les contrôleurs de domaine sont les machines qui stockent et répliquent ces informations et répondent aux demandes des clients.

Contrôleur de domaine vs. serveur DNS

Les contrôleurs de domaine s'appuient sur DNS pour localiser les services.
Dans de nombreux environnements, la même instance de Windows Server exécute à la fois AD DS et DNS.

Le rôle DNS traduit les noms d'hôtes en adresses IP et publie des enregistrements de service (SRV) qui aident les clients à trouver les contrôleurs de domaine.
Le DC gère les identités ; le service DNS s'occupe de la résolution des noms.

Types de contrôleurs de domaine

Les administrateurs utilisent plusieurs types fonctionnels de contrôleurs de domaine, même si le système d'exploitation sous-jacent reste Windows Server.

Les catégories les plus courantes sont les suivantes

• Contrôleur de domaine inscriptible : DC standard qui accepte les changements et les reproduit.

• Contrôleur de domaine en lecture seule (RODC) : Contient des données d'annuaire en lecture seule, souvent pour les succursales dont la sécurité physique est plus faible.

• Les titulaires du rôle de FSMO : DCs qui ont des rôles spéciaux tels que PDC Emulator, RID Master, ou Schema Master.

• Serveur du catalogue général : Stocke une réplique partielle de chaque objet de la forêt pour des recherches et des connexions rapides.

Les choix de conception dépendent de la sécurité, de la qualité du réseau étendu et du nombre de sites exploités par l'organisation.

Planifier le nombre de contrôleurs de domaine dont vous avez besoin

En général, vous déployez au moins deux contrôleurs de domaine par domaine pour assurer la redondance.
Si un serveur tombe en panne, l'autre continue d'authentifier les utilisateurs et d'appliquer la politique.

Facteurs qui influencent le nombre de DC :

• Nombre d'utilisateurs et d'ordinateurs

• Nombre de sites physiques et de liaisons WAN

• Connexion et chargement de l'application

• Tolérance aux temps d'arrêt

Les petites organisations utilisent souvent deux DC sur un même site.
Les environnements plus vastes ajoutent des DC par site et répartissent les rôles FSMO afin d'éviter les points de défaillance uniques.

Contrôleurs de domaine et protection des données

Les contrôleurs de domaine ne stockent pas les documents des utilisateurs, mais ils contrôlent qui peut accéder à ces documents.
En cas de défaillance d'un DC, les serveurs de fichiers peuvent rester en ligne alors que les utilisateurs du domaine ne peuvent pas s'authentifier.

Du point de vue de la récupération, vous planifiez :

• Sauvegardes de l'état du système de chaque contrôleur de domaine

• Procédures testées pour la restauration d'un DC et la gestion des rollbacks USN

• Protection des zones DNS intégrées à AD

Au niveau des terminaux, des outils tels que Amagicsoft Récupération de données Lorsque les utilisateurs perdent des fichiers locaux ou partagés, le DC continue d'assurer le contrôle de l'identité et de l'accès.
Ensemble, la récupération des identités et la récupération des fichiers constituent un plan de résilience complet.