Notes
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Windows Server 2008 introduit un nouveau type de contrôleur de domaine, le contrôleur de domaine en lecture seule (RODC). Il s’agit d’un contrôleur de domaine à utiliser dans les succursales où un contrôleur de domaine complet ne peut pas être installé. L’objectif est de permettre aux utilisateurs des succursales de se connecter et d’effectuer des tâches telles que le partage de fichiers et d’imprimantes, même en l’absence de connectivité réseau avec les sites hub.
Le RODC ne modifie pas la façon d’utiliser le schéma. Toutefois, il est convient de noter que le schéma prend en charge un jeu d’attributs partiels en lecture seule (RO-PAS), également appelé jeu d’attributs filtrés par RODC, qui est un jeu d’attributs spécial qui n’est PAS répliqué sur des RODC pour des raisons de sécurité. Le RO-PAS est défini dans le schéma via l’attribut searchFlags.
Jeu d’attributs filtrés par RODC
Certaines applications qui utilisent les services de domaine Active Directory en tant que magasin de données peuvent contenir des données de type informations d’identification (notamment des mots de passe, des informations d’identification ou des clés de chiffrement) qui ne doivent pas être stockées sur un contrôleur de domaine en lecture seule si ce dernier est volé ou compromis. Pour ce type d’application, vous pouvez ajouter l’attribut au jeu d’attributs filtrés par RODC pour l’empêcher de répliquer vers des RODC dans la forêt, et marquer l’attribut comme confidentiel, ce qui élimine la possibilité de lire les données pour les membres du groupe Utilisateurs authentifiés (y compris les RODC).
Ajout d’attributs au jeu d’attributs filtrés par RODC
Le jeu d’attributs filtrés par RODC est un jeu d’attributs dynamique qui n’est pas répliqué sur des RODC dans la forêt. Vous pouvez configurer le jeu d’attributs filtrés par RODC sur un contrôleur de schéma qui exécute Windows Server 2008. Lorsque les attributs ne peuvent pas être répliqués vers des RODC, ces données ne peuvent pas être exposées inutilement si un RODC est volé ou compromis.
Vous ne pouvez pas ajouter d’attributs critiques système au jeu d’attributs filtrés par RODC. Un attribut est critique pour le système s’il est nécessaire au bon fonctionnement d’AD DS, de l’autorité de sécurité locale (LSA), du gestionnaire de comptes de sécurité (SAM) et de tout fournisseur de services de sécurité spécifique à Microsoft, tel que le protocole d’authentification Kerberos. Dans les versions de Windows Server 2008 ultérieures à la version Bêta 3, un attribut critique pour le système a une valeur d’attribut schemaFlagsEx (valeur de l’attribut schemaFlagsEx & 0x1 = TRUE).
Pour obtenir des instructions pas à pas sur l’ajout d’attributs au jeu d’attributs filtrés par RODC, consultez Annexe D du guide pas à pas pour les RODC.
Marquage des attributs comme confidentiels
En outre, il est recommandé de marquer également comme confidentiel tous les attributs que vous configurez dans le cadre du jeu d’attributs filtrés par RODC. Pour marquer un attribut comme confidentiel, vous devez supprimer son autorisation de lecture pour le groupe Utilisateurs authentifiés. Le fait de marquer l’attribut comme confidentiel constitue une garantie supplémentaire contre un RODC compromis en supprimant les autorisations nécessaires pour lire les données de type informations d’identification.