Sur le papier, votre Active Directory est propre. Dans la réalité, il garde souvent des comptes d’anciens collaborateurs, des groupes vides et des droits que plus personne ne sait justifier.
Combien de comptes dormants compte votre annuaire ? Combien de membres dans le groupe Domain Admins ? La plupart des équipes n’ont qu’une idée approximative de la réponse, et certaines ne l’ont pas du tout. Non par négligence : sans PowerShell et sans des heures de scripts, l’information n’est tout simplement pas à portée de main.
Un AD bien rangé n’est pas un AD propre
Des unités d’organisation bien découpées, chaque entité à sa place, chaque objet dans la bonne OU : c’est une bonne base, mais elle n’empêche pas les oublis. Trois familles d’objets s’accumulent sans bruit au fil des années.
- Les comptes dormants et les mots de passe qui n’expirent jamais : des portes d’entrée que personne ne surveille plus.
- Les droits excessifs et les admins fantômes : des accès privilégiés dont plus personne ne connaît l’usage.
- Les groupes vides et les objets obsolètes : les restes d’un test, d’un projet ou d’un départ, jamais nettoyés.
Le replay de l’atelier
Hugo Briand, responsable de l’équipe gestion des identités chez LAZAR SOFT, montre comment faire remonter ces objets oubliés dans ADManager Plus, sans écrire une ligne de script, puis comment garder l’annuaire propre dans la durée avec ADAudit Plus.
Ce que montre la démonstration
ADManager Plus sait administrer et modifier l’annuaire, mais l’atelier s’attache à son autre versant : le reporting et la gouvernance. L’onglet Reports classe les rapports par type d’objet, utilisateurs, mots de passe, groupes, ordinateurs, OU, et chacun se lance sur le domaine et les OU de votre choix.
Comptes dormants et mots de passe expirés
À 05:07 dans le replay
Premier réflexe conseillé : les rapports de mots de passe. Ils font remonter les utilisateurs dont le mot de passe n’expire jamais, ceux qui ne peuvent pas le modifier eux-mêmes, et ceux dont le mot de passe a expiré ou va bientôt expirer. Le rapport des utilisateurs inactifs fonctionne sur un seuil que vous fixez, en nombre de jours, et affiche la durée exacte d’inactivité de chaque compte.
Et ensuite. Depuis le résultat, on sélectionne les comptes et on agit directement, à l’unité ou en masse.
Droits excessifs et admins fantômes
Qui peut vraiment faire quoi
Les mêmes rapports répondent aux questions qui fâchent : qui est aujourd’hui membre de Domain Admins ou d’Enterprise Admins, quels comptes administrateurs n’ont jamais été utilisés, quels comptes désactivés restent membres de groupes sensibles, quels comptes de service disposent de droits d’administration, et quels utilisateurs ont reçu une délégation sur des OU sensibles.
À noter. Ce dernier rapport demande un peu plus de paramétrage que les autres.
Groupes vides, objets obsolètes : le ménage jamais fait
À 06:25 dans le replay
Le rapport des groupes sans membres mélange des groupes intégrés, créés par Active Directory lui-même, et des groupes bien plus suspects, comme un ancien groupe de test. Sa date de création et sa dernière modification suffisent souvent à trancher : identiques, le groupe a probablement été oublié. Même logique pour les ordinateurs inactifs depuis une durée donnée, à supprimer ou à retrouver.
Le bon réflexe. Avant de supprimer, identifier qui a créé l’objet et lui poser la question.
Une vue d’ensemble quand on ne sait pas où chercher
À 10:48 dans le replay
Les rapports répondent à une question précise. Pour une photographie globale, l’onglet Governance propose un Identity Risk Assessment sur Active Directory et Microsoft 365 : un score de sécurité, son évolution dans le temps, et des règles de bonne pratique natives, classées par type d’objet et par niveau de criticité.
Par où commencer. Afficher d’abord tout ce qui est critique, puis élevé, puis moyen, et concentrer la remédiation sur le haut de la liste.
Export en 2 clics, sans une ligne de PowerShell
À 17:39 dans le replay
Chaque rapport s’exporte en PDF, pour une réunion ou un rapport d’information, ou en CSV, XLS et XLSX pour des données que l’on retravaille. Un rapport peut aussi être planifié : reçu par email, stocké, ou envoyé vers un outil ITSM pour devenir un ticket à traiter.
Pour aller plus loin. Les vérifications peuvent être déléguées aux managers et responsables de service, sans leur donner de droits avancés, grâce aux campagnes de recertification des accès. Un sujet que LAZAR SOFT traitera dans un prochain webinar.
Photographie et surveillance : deux besoins, deux outils
ADManager Plus fait du reporting à froid : il scanne l’annuaire et en restitue la configuration à un instant donné. Il montre qu’un compte a un mot de passe qui n’expire jamais, pas qui a coché l’option.
Le reporting à chaud, c’est le rôle d’ADAudit Plus. Il trace les actions réalisées sur Active Directory, Microsoft 365, Exchange et SharePoint sur site, les serveurs et baies de fichiers. Il peut envoyer périodiquement la liste des changements survenus dans une OU, alerter immédiatement par email ou par ticket quand une action sensible a lieu, et signaler la première utilisation d’un privilège grâce à son analyse comportementale. Une fois le ménage fait, c’est lui qui empêche l’annuaire de se dégrader à nouveau.
Pour ne pas jongler entre deux interfaces, AD360 réunit les deux outils sous une seule licence et une seule console web. L’architecture reste adaptable : un seul serveur, ou plusieurs selon que l’accès se fait depuis le réseau utilisateur ou le réseau d’administration.
La checklist des 10 rapports
À lancer sur votre AD dès aujourd’hui
- Comptes utilisateurs inactifs depuis X jours
- Comptes avec mot de passe n’expirant jamais
- Comptes désactivés toujours membres de groupes sensibles
- Membres actuels de Domain Admins et Enterprise Admins
- Comptes administrateurs jamais connectés
- Historique des changements sur les groupes à privilèges
- Groupes vides
- Ordinateurs et objets AD sans activité depuis X jours
- Comptes de service avec droits d’administration
- Utilisateurs avec délégation sur des OU sensibles
Le rapport 6 relève d’ADAudit Plus, les neuf autres d’ADManager Plus. Si plusieurs de ces questions restent sans réponse chiffrée, l’état des lieux est le premier chantier.
ADManager Plus, ADAudit Plus et AD360 existent en version d’essai de 30 jours. De quoi mesurer l’état réel de votre annuaire avant tout engagement, et définir avec nos équipes par où commencer selon vos ressources et la criticité de ce que vous découvrez.
LAZAR SOFT
Que cache vraiment votre Active Directory ?
Nos équipes avant-vente répondent aux questions de mise en oeuvre sur l’ensemble du catalogue ManageEngine.