Active Directory

Un article de Wikipédia, l'encyclopédie libre.

Active Directory est un annuaire au sens informatique et technique chargé de répertorier tout ce qui touche au réseau comme le nom des utilisateurs, des imprimantes, des serveurs, des dossiers partagés, etc. L'utilisateur peut ainsi trouver facilement des ressources partagées, et les administrateurs peuvent contrôler leurs utilisations grâce à des fonctionnalités de distribution, de duplication, de partitionnement et de sécurisation des accès aux ressources répertoriées.

Il est possible d'interroger l'annuaire pour obtenir une liste des objets possédant des attributs, en formulant par exemple une requête du type : « Trouver toutes les imprimantes couleur de l'étage 2 ».

[modifier] Historique

Active Directory est le résultat de l'évolution de la base de données de comptes du domaine (principaux de sécurité) SAM (Security Account Manager) et une implémentation de LDAP, protocole d'accès à l'annuaire éponyme, lui-même dérivé de X.500. SAM est une base de données sommaire et plane (sans notion de hiérarchie). La technologie de stockage est fondée sur le stockage du registre Windows, la base SAM constituant à elle seule une ruche, ce qui physiquement correspond à un fichier portant le nom sam, tout comme les fichiers system et software.

Active Directory revoit complètement le stockage des informations de sécurité du domaine, de la structure de la base jusqu'au niveau sémantique.

Tout d'abord, le moteur de base de données retenu est ESENT, également connu sous le nom de Jet Blue, pour lever l'ambiguite avec les bases de données Microsoft Access utilisant le moteur Jet Red. Le prédécesseur d'ESE98 n'était autre que ESE97, le moteur de base de données utilisé pour l'annuaire Exchange 5.5. La différence principale entre ESENT et ESE98 est la taille des pages utilisées et la taille des journaux de transaction.

Au niveau sémantique, Active Directory est un annuaire LDAP, tout comme l'annuaire d'Exchange 5.5. Exchange 5.5 n'est pas pour autant le seul antécédent technologique à Active Directory, citons également l'annuaire Novell NDS, qui a constitue également un saut technologique en comparaison avec le précédent système Bindery.

Active Directory peut donc être considéré comme la réponse technologique aux technologies d'annuaire Novell, les deux systèmes étant dérivés de X.500.

[modifier] Architecture

Il s'agit d'un annuaire Microsoft présent sur Windows 2000 Server et Windows 2003, résultant de l'évolution de la base de compte plane SAM. Un serveur informatique hébergeant l'annuaire Active Directory est appelé « contrôleur de domaine ».

Active Directory introduit la notion de hiérarchie, inhérente aux annuaires objets dérivés de X.500, sous la forme d'une arborescence. Active Directory exploite cette notion de hiérarchie intensivement, puisque l'entité de sécurité appelé « domaine » est également hiérarchisée dans un ensemble de domaines partageant un espace de nom commun, appelé « arborescence », enfin, l'entité de plus haut niveau regroupant des arborescences de domaines constitue la forêt Active Directory.

En tant qu'annuaire objet, la notion de schéma est également présente pour définir les contraintes concernant la dérivation et l'héritage des objets, sensiblement de la même manière qu'en programmation objet. Cela introduit également la notion d'extension, permettant d'ouvrir l'annuaire à toutes sortes d'applications souhaitant stocker des objets personnalisés au niveau du ou des domaines constituant la forêt Active Directory.

Active Directory est également constitué afin de garantir un niveau de performance et de sécurité adéquat : la base de données ESE98 est journalisée et répond à la contrainte ACID. Le moteur est également dimensionné pour stocker des millions d'objets.

Contrairement à SAM, Active Directory permet une réplication multi-maitre, c'est-à-dire que chaque contrôleur de domaine peut être le siège de modifications (ajout, modification, suppression) de l'annuaire, sous réserve de permission accordée par ACL, qui seront répliquées sur les autres contrôleurs de domaine. SAM ne disposait que d'une seule base en écriture, les autres répliquats étant en lecture seule.

Le mécanisme de réplication de ces modifications peut profiter de RPC (liaisons TCP/IP rapides et disponibles) ou SMTP dans les autres cas. La topologie de réplication est générée automatiquement mais elle peut être personnalisée par l'administrateur, tout comme sa planification.

À noter que les ensembles d'espaces de nom correspondant aux arborescences d'Active Directory formant la forêt Active Directory sont superposables à l'espace de nom formé par les zones DNS. DNS est un service indispensable pour le bon fonctionnement de toute l'architecture Active Directory, localisation des contrôleurs de domaine, réplication, etc.

Une arborescence Active Directory est composée de :

La forêt : ensemble de tous les sous domaines Active Directory.
L'arbre : domaine et toutes ramifications. Par exemple, dans l'arbre domaine.tld, sous1.domaine.tld, sous2.domaine.tld et photo.sous1.domaine.tld sont des sous-domaines de domaine.tld.
Le domaine : constitue les feuilles de l'arborescence. photo.sous1.domaine.tld peut-être un domaine au même titre que domaine.tld.

Le modèle de données Active Directory est dérivé du modèle de données de la norme X.500 : l'annuaire contient des objets représentant des éléments de différents types décrits par des attributs. Les stratégies de groupe (GPO) sont des paramètres de configuration appliqués aux ordinateurs ou aux utilisateurs lors de leur initialisation, ils sont également gérés dans Active Directory.

Le protocole principal d'accès aux annuaires est LDAP^[1] qui permet d'ajouter, de modifier et de supprimer des données enregistrées dans Active Directory, et qui permet en outre de rechercher et de récupérer ces données. N'importe quelle application cliente conforme à LDAP peut être utilisée pour parcourir et interroger Active Directory ou pour y ajouter, y modifier ou y supprimer des données.

L'Active Directory permet de hiérarchiser les utilisateurs et les ordinateurs en groupes et sous groupes afin de faciliter l'administration des droits et restrictions utilisateurs. C'est aussi Active Directory qui se charge de stocker tous les comptes utilisateurs et de gérer l'authentification des utilisateurs sur le domaine Windows.

[modifier] Alternatives à l'Active Directory

Parmi les nombreuses fonctionnalités du logiciel libre SaMBa fonctionnant sous de nombreuses variantes d'Unix, il y a aussi un émulateur de contrôleur de domaine Windows NT4.

Le logiciel libre Linbox Directory Server, propose également une interface Web de gestion d'un contrôleur de domaine SaMBa et de l'annuaire LDAP.

Commerciale :
- Novell eDirectory Server, fonctionnant également sous Linux et utilisant SaMBa ;
- Apple OpenDirectory, intégré aux versions « Server » du système d'exploitation d'Apple, basé sur OpenLDAP et SaMBa.