Cela semble assez simple, n'est-ce pas ? Si mon AD est en panne, personne ne peut se connecter à son PC, accéder aux ressources du réseau, lancer des applications, etc. mais certains DSI considèrent encore l'AD comme un service de plus dans l'organisation.
Je vais essayer d'expliquer pourquoi la reprise après sinistre de l'Active Directory est si importante, et comment vous pouvez réellement analyser l'importance l'importance qu'il revêt pour votre organisation, en me basant sur mon expérience avec certaines des plus grandes entreprises clientes avec lesquelles j'ai travaillé.
Tout d'abord, permettez-moi de commencer par une déclaration que j'ai entendue de la part d'un de mes collègues chez Microsoft : "Active Directory est comme l'électricité, personne ne l'apprécie tant qu'elle est là, mais dès qu'elle s'arrête de fonctionner, c'est l'enfer". Je pense que c'est l'affirmation la plus juste que j'ai entendue au sujet de la reprise après sinistre d'Active Directory.
Voyons donc quels services Active Directory offre à notre organisation :
- En premier lieu, les services d'authentification les services d'authentification - lorsqu'un utilisateur se rend le matin sur son PC et tape son nom d'utilisateur et son mot de passe, le nom d'utilisateur et le hachage du mot de passe sont envoyés au contrôleur de domaine afin de vérifier qu'ils sont corrects, après quoi l'utilisateur peut accéder à son PC. Ceci étant dit à propos des utilisateurs, il en va de même pour les comptes d'ordinateur. Lorsque vous démarrez un PC membre du domaine, il est authentifié de la même manière qu'un utilisateur.
- Ressources Authentification et autorisation - Une fois que l'utilisateur a obtenu l'accès à son PC, il essaie généralement d'accéder aux ressources du réseau - serveurs de fichiers, serveurs web, sharepoint, DB, etc. L'authentification de ces ressources est gérée par le contrôleur de domaine, soit en utilisant Kerberos (l'utilisateur demande et reçoit alors un ticket lui donnant accès à une ressource spécifique), soit NTLM, les ressources elles-mêmes effectuant alors un "chaînage" et transmettant le nom d'utilisateur et le hachage du mot de passe reçu de l'utilisateur au contrôleur de domaine afin d'authentifier la session. (Note : Vous pouvez trouver plus de détails sur l'authentification NTLM dans un excellent article de GuyTe - http://blogs.technet.com/b/isrpfeplat/archive/2010/11/05/optimizing-ntlm-authentication-flow-in-multi-domain-environments.aspx)
- Traitement de la stratégie de groupe - Bien que le traitement de la stratégie de groupe soit effectué par le client, ce sont les contrôleurs de domaine qui fournissent aux clients (PC et utilisateurs) la liste des objets à traiter.
- DNS - Bien que cela ne soit pas obligatoire, de nombreuses organisations utilisent leurs contrôleurs de domaine pour fournir des services de résolution de noms à leur organisation, à la fois internes pour les serveurs du domaine et externes (résolution de noms Internet par le biais de redirections ou d'indications de racine).
- Référentiel de données des services d'annuaire - L'Active Directory est également un référentiel de données qui peut être utilisé par de nombreuses applications, à commencer par Sharepoint, Exchange et SQL. Il peut également être utilisé par Oracle, CheckPoint, Cisco ou tout autre fournisseurtiers intégrant AD.
Maintenant que nous avons couvert tous les services de base (à un niveau très élevé, car chacun d'entre eux peut faire l'objet d'un livre à lui seul J ), voyons ce qui se passe si notre domaine n'est pas disponible :
- Pas de services d'authentification disponibles - aucun utilisateur ne pourra se connecter à son PC, et les PC eux-mêmes ne pourront pas s'authentifier et accéder aux ressources du réseau.
- Pas d'authentification ni d'autorisation des ressources - même si vous utilisez des informations d'identification mises en cache sur tous vos appareils et que vous êtes en mesure d'accéder à votre poste de travail, vous ne pourrez accéder à aucune des ressources réseau de l'organisation.
- Pas de GPO - Les GPO sont souvent utilisés pour appliquer les paramètres de sécurité aux clients et aux serveurs de l'organisation. Le traitement des GPO n'est pas disponible et aucun paramètre n'est appliqué aux clients, ce qui signifie que si quelqu'un a modifié un paramètre de sécurité (parce qu'il est administrateur local sur son PC), il ne sera pas ramené à la ligne de base de l'organisation.
- Pas de DNS - la résolution de noms (si elle est hébergée sur un DC) n'est pas disponible, ce qui signifie que vos appareils ne peuvent pas accéder au web et/ou à d'autres services sur le réseau.
- Pas d'accès au référentiel de données - En fonction des spécificités de la mise en œuvre, l'application peut soit cesser de fonctionner complètement (comme dans le cas d'Exchange Server), soit voir ses fonctionnalités réduites (par exemple : une solution VPN organisationnelle n'est pas en mesure d'authentifier les utilisateurs d'accès à distance car elle repose sur AD pour les services d'authentification).
Dans un tel scénario, on peut dire que votre entreprise est en panne !
