Fonctionnalités de sécurité de Windows Server 2008 – part.2

L'une des problématiques de sécurité que l'on rencontre très souvent en entreprise est que, jusqu'à aujourd'hui, il était difficile d'appliquer plusieurs stratégies autour des mots de passe (force du mot de passe, verrouillage, etc.) dans le même domaine. En effet, nativement, les versions d'Active Directory de Windows 2000 Server et Windows Server 2003 n'offraient la possibilité de créer qu'une seule stratégie autour des mots de passe par domaine (au niveau de la stratégie de domaine par défaut). Pour vaincre cette limitation, il fallait soit créer d'autres domaines ou soit utiliser des outils tiers, ce qui pouvait avoir des implications et un cout sérieux. En termes de sécurité, pourquoi les entreprises ont-elles besoin d'avoir des stratégies de mots de passe différentes ? Et bien, c'est parce que tous les comptes d'utilisateurs n'ont pas le même rôle et la même importance: les utilisateurs ayant des rôles et des responsabilités d'administrateurs nécessitent une complexité de mot de passe plus forte pour résister à une attaque d'usurpation de mot de passe et également, certains comptes techniques ou de services, qui pilotent des applications sensibles nécessitent qu'on adapte leur comportement à la criticité ou la fonctionnalité de l'application.

Pour résoudre cette problématique, Active Directory version Windows Server 2008 introduit la possibilité de créer plusieurs stratégies de mots de passe par domaine. Cette fonctionnalité, appelée stratégie de mots de passes affinée (Fine-Grained Password Policy), a comme principal pré requis la nécessité d'élever le niveau fonctionnel du domaine en Windows Server 2008 (puisque de nouvelles classes d'objets font leur apparition). Ensuite comment ça marche ? Un administrateur du domaine crée un objet PSO (Password Settings Objects) qui définit une stratégie de mots de passe particulière puis applique ce PSO à des utilisateurs ou à des groupes de sécurité. En cela, une stratégie de mot de passe affinée ne s'applique pas directement à une Unité d'Organisation ou à un compte d'ordinateur.

Dans la pratique, mettre en place une stratégie affinée n'est pas à la portée de tout le monde. Tout d'abord, seul un administrateur de domaine ayant des compétences LDAP peut s'y aventurer car c'est avec ADSIEDIT que vous allez créer l'objet PSO (parler le langage LDAP s'impose). Dans ADSIEDIT, développez vôtre domaine jusqu'au nœud CN=System puis CN=Password Settings Container. Là, vous pourrez alors créer un nouvel objet PSO et vous devrez y renseigner tous les paramètres relatifs à la stratégie affinée que vous voulez appliquer (force du mot de passe etc.).

 

L'image vous montre le contenu d'un objet PSO. Les attributs sont modifiés pour bâtir la nouvelle stratégie. Il faut connaitre leur signification.

Une fois créé, vous allez appliquer le PSO à des utilisateurs ou des groupes globaux. Pour se faire, vous allez utiliser le snap-in Utilisateurs et Ordinateurs Active Directory, passer l'affichage du snap-in en mode Fonctionnalités avancées et développer vôtre domaine jusqu'au nœud System puis Password Settings Container. Vous verrez alors apparaître le PSO que vous avez créé auparavant. En ouvrant les Propriétés de ce PSO et en allant dans l'onglet Editeur d'attributs, vous serez alors à même de modifier l'attribut msDS-PsoAppliesTo qui va vous permettre de lier le PSO à un groupe global par exemple.

L'image vous montre le lien établi entre un PSO et un groupe global.

Cette fonctionnalité va contribuer à un accroissement de la sécurité car elle permet de gérer le contrôle d'accès par rôle et non de façon globale. Son implémentation, même si elle reste un peu complexe, va porter ses fruits et améliorer le service très rapidement.