Peu importe leur taille, la plupart des entreprises utilisent Active Directory pour gérer les permissions et contrôler l’accès aux ressources critiques du réseau. Mais de quoi s’agit-il exactement, et comment peut-il aider les organisations ?
Active Directory™ fait partie des sujets de discussion courants en entreprise. Parfois, les interlocuteurs y font référence avec le terme « AD ». Il s’agit du logiciel de Microsoft qui organise les informations d’un annuaire et en contrôle l’accès. Découvrez-en un peu plus sur ce système.
En bref :
- Active Directory est l’annuaire Microsoft qui gère utilisateurs et accès.
- Windows Server 2025 chiffre par défaut le trafic LDAP.
- Depuis juillet 2026, Kerberos n’utilise plus RC4 par défaut.
- NTLM sera désactivé par défaut dans le prochain Windows Server.
Qu’est-ce que Active Directory ?
Active Directory (AD) est un service d’annuaire qui fonctionne sur Microsoft Windows Server. Sa fonction principale consiste à permettre aux administrateurs de gérer les permissions et de contrôler l’accès aux ressources du réseau.
Dans Active Directory, les données sont stockées sous forme d’objets. Ceux-ci comprennent les utilisateurs, les groupes, les applications et les périphériques. Ils sont classés en fonction de leur nom et de leurs attributs.
Active Directory permet aussi de gérer de manière centralisée la configuration des ordinateurs et des utilisateurs. Ces derniers doivent s’authentifier une seule fois. Ils accèdent ensuite de manière transparente à toutes les ressources du domaine pour lesquelles ils sont autorisés.
Il faut toutefois souligner que les systèmes active directory sont vulnérables à plusieurs types de menaces. Leur rôle central dans l’autorisation des utilisateurs en fait en effet une cible de choix.
Comment fonctionne-t-il ?
Active Directory Domain Services (AD DS) constitue un élément central d’Active Directory. Il fournit le principal mécanisme d’authentification des utilisateurs et détermine les ressources du réseau auxquelles ils peuvent accéder.
Il prend aussi en charge des fonctions complémentaires, comme l’authentification unique (SSO), les certificats de sécurité, LDAP et la gestion des droits d’accès.
AD DS organise les données dans une structure hiérarchique composée des domaines, des arbres et des forêts. Un domaine représente un groupe d’objets tels que des utilisateurs, des groupes et des appareils, qui partagent la même base de données AD.
Un arbre regroupe un ou plusieurs domaines dans une hiérarchie logique. La forêt, elle, est le plus haut niveau d’organisation dans AD et rassemble un groupe d’arbres.
Utilisation de l’Active Directory
Outre Active Directory Domain Services, AD fournit une poignée d’autres services essentiels. En voici quelques-uns, avec leurs usages :
- Lightweight Directory Services ou AD LDS. Il s’agit d’un service d’annuaire LDAP (Lightweight Directory Access Protocol). Il ne fournit qu’un sous-ensemble des fonctionnalités d’AD DS, ce qui le rend plus polyvalent en termes de lieu d’exécution.
- Services de certificats. Ils permettent de créer, gérer et partager des certificats de chiffrement, grâce auxquels les utilisateurs échangent des informations en toute sécurité sur Internet.
- Active Directory Federation Services ou ADFS. Il s’agit d’une solution d’authentification unique (SSO) pour AD. Les employés accèdent ainsi à plusieurs applications avec un seul ensemble d’identifiants, ce qui simplifie l’expérience utilisateur. Microsoft recommande toutefois de migrer ces applications vers Microsoft Entra ID.
Services de gestion des droits ou AD RMS. Cet ensemble d’outils aide les organisations à protéger leurs données, grâce au chiffrement, aux certificats et à l’authentification. Il couvre une gamme d’applications et de types de contenu, tels que les e-mails et les documents Word.
Pour les nouveaux projets, Microsoft oriente cependant ses clients vers Microsoft Purview Information Protection, sa solution cloud de protection des données.
Active Directory 2026 : Cap sur Microsoft Entra ID et Server 2025
L’écosystème Active Directory connaît sa plus grande mutation avec la généralisation de Windows Server 2025, disponible depuis novembre 2024. Cette version introduit un nouveau niveau fonctionnel de domaine et de forêt.
Ce niveau débloque notamment une base de données AD aux pages de 32 Ko, contre 8 Ko jusqu’ici, pour repousser les limites de stockage des objets. Windows Server 2025 chiffre aussi par défaut le trafic LDAP après une authentification SASL, et prend en charge TLS 1.3.
Par ailleurs, les organisations ne se contentent plus d’un annuaire local. Elles déploient des architectures hybrides unifiées avec Microsoft Entra ID (anciennement Azure AD).
Cette convergence technologique permet de répondre aux impératifs du modèle Zero Trust. En 2026, la gestion des identités ne repose plus seulement sur le mot de passe, mais aussi sur des signaux contextuels en temps réel.
Grâce à l’intégration d’Entra ID, les administrateurs peuvent appliquer des politiques d’accès conditionnel strictes aux applications cloud. Ces règles ne suffisent pas pour autant contre les attaques par « Pass-the-Hash ». Sur site, celles-ci exigent un durcissement propre à AD, comme la protection des comptes à privilèges.
De surcroît, l’adoption des passkeys (FIDO2) dans les environnements hybrides réduit amplement la surface d’attaque liée au phishing. Cette transition vers une identité cloud-first définit la nouvelle norme de gouvernance informatique. La robustesse d’AD DS, elle, garde sa place pour les ressources sur site.
Principaux défis quant à sa gestion
Aujourd’hui, la gestion d’Active Directory (AD) présente plusieurs défis pour les entreprises, notamment en matière de cybersécurité, de mise à jour et de gestion des identités.
Les cyberattaques ciblent de plus en plus les systèmes d’authentification. AD constitue donc une cible de choix pour les pirates qui cherchent à accéder aux données sensibles.
Il importe donc de renforcer les mesures de sécurité. En particulier la mise en place de l’authentification multifactorielle (MFA) et du contrôle d’accès basé sur les rôles (RBAC).
La gestion des mises à jour d’AD s’avère également complexe. En effet, les administrateurs doivent garantir la compatibilité entre les différentes versions d’AD et les applications tierces. Ils doivent également minimiser les interruptions de service.
Par ailleurs, avec l’essor des environnements de travail hybrides et l’adoption croissante de solutions cloud, les entreprises font face à une complexité accrue dans la gestion des identités et des accès.
Les administrateurs doivent jongler entre les comptes locaux et les ressources cloud, comme Microsoft Entra ID, tout en assurant une expérience fluide et sécurisée. Les défis actuels portent ainsi sur trois axes : la sécurité, la compatibilité et la gestion unifiée des identités.
Active Directory et la mise à jour du PAC de Kerberos
Microsoft a déployé un changement significatif lors de son « Patch Tuesday du 8 avril 2025« , qui a touché tous les environnements Active Directory. Cette mise à jour a rendu obligatoire la validation du Privilege Attribute Certificate (PAC), pour renforcer la sécurité de l’authentification Kerberos.
Ce mécanisme de validation corrige les failles CVE-2024-26248 et CVE-2024-29056. Il prévient les attaques par élévation de privilèges et vérifie l’intégrité des informations d’autorisation contenues dans les tickets Kerberos.
Le déploiement s’est fait en trois étapes. Un mode de compatibilité est apparu en avril 2024, puis l’application par défaut a suivi quelques mois plus tard. Depuis avril 2025, le retour au mode de compatibilité n’est plus possible.
Les systèmes non mis à jour ne reconnaissent plus la nouvelle structure des requêtes. Leurs authentifications Kerberos échouent donc, ce qui peut bloquer l’accès à certains services.
Microsoft recommande plusieurs actions. Tout d’abord, vérifier que tous les contrôleurs de domaine et les postes clients utilisent des versions compatibles et à jour de Windows.
Il faut aussi s’assurer que les correctifs de sécurité mensuels sont régulièrement appliqués sur l’ensemble des contrôleurs de domaine. Pour les entreprises qui possèdent un grand nombre de contrôleurs de domaine, une stratégie de déploiement progressif est conseillée.
Une surveillance attentive des journaux d’événements demeure utile pour repérer les appareils en échec.
Fin du RC4 et de NTLM : ce qui change pour Active Directory en 2026
Après le PAC, Microsoft s’attaque au chiffrement RC4 dans Kerberos. Cet algorithme ancien facilite le « Kerberoasting », une attaque qui consiste à dérober des tickets de service pour casser les mots de passe hors ligne.
Pour corriger la faille CVE-2026-20833, l’éditeur a procédé par étapes. Les mises à jour de janvier 2026 ont d’abord ajouté des événements d’audit. En avril, les contrôleurs de domaine sont passés à AES par défaut.
Depuis la mise à jour de juillet 2026, le retour en arrière n’est plus possible. RC4 ne fonctionne que pour les comptes explicitement configurés, une exception que Microsoft déconseille. Les comptes de service, imprimantes ou applications Linux liées à AD sans clés AES risquent donc des échecs d’authentification.
NTLM suit le même chemin. Microsoft prévoit de désactiver NTLM par défaut dans la prochaine grande version de Windows Server. D’ici là, les fonctions IAKerb et Local KDC, attendues au second semestre 2026, réduiront les cas où Windows se rabat encore sur ce protocole.
Active Directory ou Entra ID : quelle stratégie adopter en 2026 ?
Pour la plupart des entreprises, la question n’est pas de choisir l’un ou l’autre. Le modèle hybride domine largement. AD DS gère les ressources sur site, tandis qu’Entra ID sécurise l’accès aux applications cloud.
Le lien entre les deux passe par Microsoft Entra Connect Sync, ou par Entra Cloud Sync, plus léger. Ces outils synchronisent les comptes locaux vers le cloud, pour que chaque employé garde une seule identité.
Le calendrier pousse aussi à moderniser l’annuaire. Le support étendu de Windows Server 2016 prend fin le 12 janvier 2027. Les contrôleurs de domaine qui tournent encore sous cette version ne recevront plus de correctifs de sécurité.
Migrer vers Windows Server 2025 devient donc la priorité. Ce passage suppose au minimum un niveau fonctionnel Windows Server 2016 pour le domaine et la forêt. Il permet aussi de profiter du chiffrement LDAP par défaut et des nouveaux outils anti-NTLM.
FAQ
Active Directory (AD DS) est un service d’annuaire installé sur site, tandis que Microsoft Entra ID, anciennement Azure AD, est un service d’identité cloud. En 2026, la majorité des entreprises combinent les deux dans un modèle hybride.
Windows Server 2025 introduit un nouveau niveau fonctionnel de domaine et de forêt, avec une base de données aux pages de 32 Ko. Il chiffre aussi par défaut le trafic LDAP après une authentification SASL, et prend en charge TLS 1.3.
Microsoft a rendu obligatoire la validation du Privilege Attribute Certificate (PAC) pour corriger les failles CVE-2024-26248 et CVE-2024-29056. Depuis avril 2025, le retour au mode de compatibilité n’est plus possible.
Depuis la mise à jour de juillet 2026, les contrôleurs de domaine émettent les tickets Kerberos en AES par défaut. RC4 ne fonctionne plus que pour les comptes explicitement configurés, ce qui peut bloquer d’anciens comptes de service ou appareils.
Oui, à condition d’être couplé à Microsoft Entra ID. Cela permet d’ajouter l’accès conditionnel et l’authentification multifactorielle (MFA). Un durcissement propre à AD demeure toutefois nécessaire pour protéger les ressources sur site.
- Partager l'article :
