Active Directory Certificate Services : explication et configuration de AD CS

De nombreuses entreprises s’appuient sur Windows Server comme pilier de leur infrastructure informatique. Beaucoup utilisent également des certificats d’infrastructure à clé publique (PKI) pour répondre à diverses exigences de sécurité, notamment la sécurité des serveurs web (SSL), l’authentification basée sur des certificats, les signatures numériques de documents et le chiffrement du courrier électronique (S/MIME). Active Directory Certificate Services (AD CS) est un rôle de Windows Server qui relie ces deux éléments. Dans cet article, nous verrons ce qu’est ADCS, les bonnes pratiques pour l’utiliser et les détails de sa configuration.

Qu’est-ce que Active Directory Certificate Services (AD CS) ?

Active Directory Services est une fonctionnalité des environnements Windows Server qui fournit une infrastructure à clé publique (PKI) pour l’émission et la gestion de certificats numériques. Les certificats sont utilisés pour sécuriser les communications, vérifier l’identité des utilisateurs et des appareils, et faciliter l’échange sécurisé de données dans un réseau. AD CS permet aux entreprises d’émettre, de renouveler, de révoquer et de distribuer des certificats aux utilisateurs, aux ordinateurs et aux services au sein du réseau.

Comme son nom l’indique, Active Directory est un service d’annuaire conçu pour les réseaux de domaines Windows. Active Directory Domain Services (AD DS) constitue la base de toute implémentation d’Active Directory. ADDS stocke des informations sur les utilisateurs, les ordinateurs et les groupes au sein d’un domaine, vérifie leurs informations d’identification et définit les droits d’accès. AD CS a été introduit dans Windows Server 2008 pour délivrer des certificats numériques aux comptes d’ordinateur, d’utilisateur et de périphérique du domaine afin de renforcer la sécurité et de fournir des méthodes d’authentification supplémentaires.

Configuration de AC DS et gestion des certificats

Une gestion et une configuration correctes des certificats sont importantes pour maintenir des PKI sûrs et efficaces au sein d’une entreprise. Voici quelques éléments clés de la gestion et de la configuration des services de certification des services Active Directory (AD CS).

Gestion des modèles de certificats et des politiques d’inscription

Les modèles de certificats définissent les propriétés et l’utilisation des certificats émis par AD CS. Les administrateurs peuvent créer des modèles de certificats personnalisés pour répondre à des exigences de sécurité spécifiques et contrôler les attributs des certificats émis. Un modèle peut être créé pour l’authentification du serveur web tandis qu’un autre est conçu pour l’authentification de l’utilisateur.

Les politiques d’inscription déterminent la manière dont les certificats sont traités et autorisés au sein des PKI (certificats d’infrastructure à clé publique). Ces politiques peuvent être basées sur des critères tels que l’appartenance à un utilisateur ou à un groupe, le type d’appareil ou l’emplacement du réseau, afin de garantir que seules les entités autorisées peuvent demander et obtenir des certificats spécifiques.

Configuration de la révocation et du renouvellement des certificats

Les administrateurs doivent configurer et maintenir la liste des certificats révoqués (CRL) et/ou le protocole OCSP (Online Certificate Status Protocol) afin de fournir des informations en temps réel sur l’état des certificats révoqués et de garantir que ces derniers ne peuvent pas être utilisés pour l’authentification ou le cryptage.

Les bonnes pratiques pour configurer le renouvellement et la révocation sont les suivantes :

• Mettez régulièrement à jour les CRL ou les répondeurs OCSP afin de vous assurer que les clients reçoivent le dernier état.
• Prévoir des périodes de chevauchement pour éviter toute interruption de service.
• Mettre en œuvre le renouvellement bien avant la date d’expiration afin d’éviter les lacunes.
• Contrôler les performances de CRA et de OCSP pour s’assurer qu’ils réagissent rapidement.

Mise en œuvre de la confiance et de la validation des certificats

Dans AD CS, un certificat permet de vérifier que les entités sont bien celles qu’elles prétendent être. Il est délivré à une entité (une autorité de certification appélée AC) par un tiers auquel les autres parties font confiance. Les entreprises doivent configurer les relations de confiance entre les autorités de certification afin que les certificats émis par les autorités de certification de confiance soient reconnus et acceptés sur le réseau.

Une liste de confiance des certificats (CTL) est un mécanisme utilisé par AD CS pour spécifier les autorités de certification (AC) auxquelles une entreprise fait confiance. Il contient une liste de certificats AC de confiance que les clients utilisent pour valider l’authenticité des certificats qui leur sont présentés au cours du processus de validation.

Mise en place et configuration de NDES pour l’enrôlement d’appareils réseau

Network Device Enrollment Services (NDES) facilite l’inscription de certificats pour les périphériques de réseau tels que les routeurs, les commutateurs et les points d’accès sans fil. Une installation et une configuration correctes des NDES rationalisent ce processus et permettent à ces appareils d’obtenir et d’utiliser des certificats pour une authentification et une communication sécurisées.

Pour utiliser NDES, vous devez installer le rôle de service NDES sur votre serveur AD CS et configurer un compte de service pour NDES, soit en tant que compte d’utilisateur spécifié comme compte de service, soit en tant qu’identité de pool d’applications intégré. Configurez ensuite le compte de service NDES avec une autorisation de demande sur l’autorité de certification, configurez un certificat d’agent d’inscription et configurez le fournisseur de clé de signature et/ou le fournisseur de clé de chiffrement.

Avantages de l’utilisation d’Active Directory Certificate Services (AD CS)

Les services Active Directory offrent de nombreux avantages qui renforcent considérablement la sécurité et l’efficacité des réseaux de domaines Windows. 

Voici quelques-uns des principaux avantages :

• Sécurité renforcée grâce aux certificats numériques et au chiffrement

Les certificats fournis par AD CS jouent un rôle essentiel dans la vérification des utilisateurs, des appareils et des services au sein d’un réseau. AD CS garantit que seuls les destinataires autorisés peuvent accéder aux données cryptées, ce qui réduit les risques d’accès non autorisé et de violation des données.

• Gestion et cycle de vie des certificats simplifiés

AD CS optimise la délivrance, le renouvellement et la révocation des certificats. La centralisation de l’administration, des modèles et des politiques d’inscription facilite le traitement efficace des demandes et de la distribution, réduit la charge administrative et permet de gagner du temps.

• Intégration avec Active Directory pour une administration centralisée

L’intégration d’AD CS avec AD DS permet une administration centralisée des certificats, en s’appuyant sur l’infrastructure Active Directory existante. Les administrateurs peuvent gérer efficacement les certificats en même temps que les comptes d’utilisateurs, ce qui garantit des politiques cohérentes dans l’ensemble du domaine.

• Prise en charge de différents types de certificats et de scénarios d’utilisation

Les entreprises peuvent émettre des certificats pour les serveurs web (certificats SSL/TLS) afin de sécuriser les communications en ligne, mettre en œuvre l’authentification par certificat pour améliorer la vérification de l’identité des utilisateurs, utiliser des signatures numériques pour assurer l’intégrité des documents et la non-répudiation, et chiffrer les e-mails à l’aide de certificats S/MIME.

Inconvénients des Active Directory Certificate Services (AD CS)

• Configuration complexe

La mise en place d’AD CS peut être complexe et nécessite une expertise technique des autorités de certification et de l’architecture PKI. Les entreprises doivent investir des ressources substantielles pour la mise en œuvre, la formation, le temps et plus encore.

• Utilisation difficile

La maintenance d’AD CS nécessite une équipe disposant d’une expertise technique en matière de gestion des PKI et cette équipe aurait besoin d’une formation et de ressources supplémentaires pour rester au courant des bonnes pratiques en matière de PKI.

• Coût d’entretien élevé

Bien que les AC Microsoft soient gratuites, les entreprises doivent investir dans la constitution et la formation d’une équipe chargée de gérer AD CS, en plus des exigences matérielles et logicielles.

• Exploitation de scripts intersites

Le cross-site scripting (XSS) est une vulnérabilité de sécurité des applications web dans laquelle les attaquants injectent des scripts dans les pages web. Ce script permet aux pirates d’accéder à des informations sensibles et même d’effectuer des actions telles que la modification du contenu des sites web ou la redirection des utilisateurs vers des sites web malveillants. L’inscription Web d’AD CS ne valide pas correctement les entrées de l’utilisateur, ce qui la rend vulnérable aux attaques XSS.

• Problèmes de compatibilité

L’intégration d’AD CS avec les appareils et applications existants peut parfois s’avérer difficile pour les infrastructures informatiques hybrides. Par exemple, les politiques de groupe (GPO) de Microsoft ne sont pas compatibles avec les appareils macOS ou Linux, de sorte que les utilisateurs doivent trouver des solutions de contournement telles que les logiciels RMM ou MDM.

Bonnes pratiques pour Active Directory Certificate Services (AD CS)

Pour garantir le bon fonctionnement et la sécurité des services Active Directory, il est essentiel d’adopter les bonnes pratiques suivantes :

Sécuriser l’infrastructure AD CS

Pour sécuriser votre infrastructure AD CS, veillez à :

• Limiter l’accès administratif : Restreindre cet accès aux comptes dédiés à la gestion des PKI et imposer les membres du groupe des administrateurs locaux via une GPO.
• Utiliser la liste blanche des applications: Utilisez AppLocker ou un outil tiers de liste blanche d’applications pour configurer les services et les applications autorisés à fonctionner sur les AC. Cela ajoutera une couche supplémentaire de sécurité en empêchant l’exécution d’applications non autorisées.
• Mettre en place un accès à distance sécurisé : C’est essentiel dans un monde où les environnements de travail sont à la fois distants et hybrides.

Mettre en œuvre des procédures de sauvegarde et de récupération

Une sauvegarde et une restauration correctes d’AD CS sont essentielles pour garantir la disponibilité, l’intégrité et la sécurité de votre infrastructure de certificats. 

Parmi les bonnes pratiques, on peut citer les suivantes :

• Sauvegarder régulièrement : La sauvegarde fréquente de la base de données AD CS, des clés privées et des données de configuration garantit la capacité de récupération en cas de défaillance matérielle et d’autres événements catastrophiques.
• Stocker les sauvegardes hors site : Stocker les copies de sauvegarde en toute sécurité sur un site distant afin de se prémunir contre les sinistres survenant sur place.
• Tester la restauration : Tester périodiquement le processus de restauration pour vérifier l’intégrité des sauvegardes et la capacité à récupérer efficacement les données perdues.

Effectuer un suivi et une maintenance réguliers

Des processus de maintenance et de contrôle appropriés garantiront le fonctionnement optimal des composants d’AD CS et permettront de résoudre rapidement les problèmes potentiels. Voici quelques conseils pour vous aider à y parvenir :

• Implémenter l’enregistrement des événements : L’examen régulier des journaux d’événements vous aidera à identifier les problèmes potentiels ou les failles de sécurité et à y répondre rapidement.
• Surveiller l’expiration des certificats : La mise en place d’alertes permet de s’assurer que les renouvellements de certificats sont effectués à temps.
• Implémenter la vérification de la révocation : Veillez à ce que les clients vérifient la révocation des certificats au moyen de CRL ou OCSP, afin d’éviter d’utiliser des certificats compromis.
• Effectuer une surveillance de l’intégrité : Surveiller l’état des composants d’AD CS, tels que l’autorité de certification et les services web, afin de détecter et de résoudre les éventuels problèmes de performance ou de fiabilité.

Assurer la conformité avec les normes du secteur

Pour vous assurer que vous respectez les normes et les bonnes pratiques du secteur, suivez les lignes directrices suivantes :

• Élaborer une politique en matière de PKI : Créer et appliquer une politique de PKI claire qui définit l’objectif et l’utilisation des certificats au sein de l’entreprise.
• Utiliser des modèles de certificats : Les modèles garantissent une utilisation cohérente et appropriée des certificats dans l’ensemble de l’entreprise.
• Effectuer des audits de conformité : Des audits réguliers devraient permettre d’évaluer la conformité d’AD CS avec les normes du secteur et les pratiques de sécurité internes.
• Former les employés : Former les administrateurs et les autres employés aux bonnes pratiques, aux risques de sécurité et à leur rôle dans le maintien d’un environnement de PKI sécurisé.

Comment configurer Active Directory Certificate Services (AD CS) ?

La première étape de la création d’une infrastructure de clés publiques sécurisée et efficace avec AD CS consiste à l’installer et à la configurer. Voici un aperçu du processus, des conditions préalables à l’installation étape par étape, ainsi que des considérations importantes en matière de configuration.

Conditions préalables à l’installation d’AD CS

Avant de commencer l’installation d’AD CS, assurez-vous que les conditions suivantes sont remplies :

• Serveur Windows : Vous devez disposer d’un système d’exploitation Windows Server avec les dernières mises à jour installées.
• Active Directory Domain Services (AD DS) : AD CS est étroitement lié à AD DS. Assurez-vous que votre réseau dispose d’un environnement AD DS existant avec au moins un contrôleur de domaine.
• Adresse IP statique : Attribuez une adresse IP statique au serveur qui hébergera les composants AD CS. Cela permet d’assurer une communication réseau stable pour les services de certificats.
• Privilèges administratifs : Vous devez disposer de droits d’administration sur le serveur pour installer AD CS.

Guide étape par étape pour l’installation d’AD CS sur un serveur Windows

Voici les étapes de l’installation des services de certificats Active Directory :

1. Lancer le Gestionnaire de serveur : Vous le trouverez dans le menu Démarrer.
2. Ajouter des rôles et des fonctionnalités : Naviguez vers « Gérer » et cliquez sur « Ajouter des rôles et des fonctionnalités »
3. Choisissez le type d’installation : Choisissez « Installation basée sur les rôles ou les fonctionnalités » dans « Assistant d’ajout de rôles et de fonctionnalités » et cliquez sur « Suivant »
4. Sélectionnez le serveur: Assurez-vous que le serveur cible est sélectionné et cliquez sur « Suivant »
5. Sélectionner les rôles et les fonctionnalités du serveur : Faites défiler vers le bas et sélectionnez « Active Directory Certificate Services ». Cliquez sur « Ajouter des fonctionnalités » dans l’assistant, puis sur « Suivant ».
6. Sélectionnez les services de rôle : Choisissez les services de rôle AD CS que vous souhaitez installer et cliquez sur « Suivant »
7. Installer AD CS : Vérifiez vos choix, sélectionnez « Redémarrer le serveur de destination automatiquement si nécessaire » et cliquez sur « Installer »
8. Configurer AD CS : Une fois l’installation terminée, cliquez sur « Fermer » Sélectionnez le drapeau de notification dans l’application Gestionnaire de serveur, trouvez le message pour commencer la configuration post-déploiement et cliquez sur le lien pour commencer la configuration.

Options de configuration et considérations à prendre en compte lors de l’installation

En adaptant la configuration d’AD CS à vos exigences de sécurité spécifiques et à vos besoins opérationnels, vous pouvez créer un environnement PKI qui répond aux normes de conformité et renforce la sécurité de votre réseau. Voici quelques options à envisager :

• Stockage des clés : Lors de l’installation, vous pouvez choisir de stocker la clé privée dans le Microsoft Strong Cryptographic Provider ou dans un Hardware Security Model (HSM) pour plus de sécurité.
• Paramètres de révocation : Configurez la fréquence et la méthode de publication des CRL (CRL ou OCSP) pour garantir aux clients des mises à jour opportunes de l’état de révocation.
• Modèles de certificats : Configurez les modèles de certificats qui seront nécessaires pour les différents cas d’utilisation dans votre entreprise.
• Sauvegarde CA : Mettre en œuvre un plan de sauvegarde de la clé privée de l’autorité de certification (AC) et des données de configuration.
• Configuration de la sécurité : Sécuriser correctement le serveur de l’autorité de certification en limitant l’accès administratif et en activant l’audit.

Résolution des problèmes courants liés à AD CS

Même si AD CS a été configuré avec soin, des problèmes peuvent encore survenir. Voici quelques conseils pour vous aider à identifier, dépanner et résoudre certains problèmes AD CS courants :

Identifier les problèmes de configuration courants

• Erreurs dans le modèle de certificat : Les problèmes liés à la délivrance et à l’inscription des certificats peuvent résulter d’une mauvaise configuration des modèles de certificats.
• Les services CA ne démarrent pas : Examinez les journaux d’événements pour y trouver des messages d’erreur. Il peut s’agir d’une corruption de la base de données, d’une autorisation inadéquate ou de conflits de ports.
• Configuration de la révocation : Vérifiez que les CRL ou les répondeurs OCSP sont configurés correctement et accessibles aux clients.
• Échecs de révocation de certificats : Cela peut être dû à des points de distribution de CRL ou des répondeurs OCSP inaccessibles, ou à des problèmes de validation de la chaîne de certificats.

Résolution des problèmes d’enrôlement et de validation

• Échecs d’enrôlement : Vérifier l’autorisation des modèles de certificats et des agents d’enrôlement. Assurez-vous que les clients peuvent communiquer avec l’autorité de certification et accéder aux URL d’enrôlement.
• Certificats expirés : Vérifiez que les certificats n’ont pas expiré et mettez en place une surveillance pour alerter les administrateurs des expirations à venir.
• Certificats révoqués : Examinez la raison de la révocation et assurez-vous que les clients peuvent accéder à des CRL ou à des répondeurs OCSP à jour.
• Erreurs de validation de la chaîne de certificats : Vérifiez que l’ensemble du certificat de la chaîne est intact et valide. Vérifier la présence des certificats intermédiaires et des certificats racine dans le magasin de certificats racine de confiance.
• Questions relatives au client : Vérifiez la synchronisation de l’heure, la connectivité du réseau et la configuration du pare-feu du côté du client.

Puis-je encore utiliser AD CS après avoir migré vers Azure AD (Microsoft Enterprise ID) ?

Oui, les équipes informatiques peuvent toujours utiliser AD CS même après avoir migré vers Azure AD (Microsoft Enterprise ID). Les certificats d’AD CS sécurisent les communications, authentifient les appareils et permettent un accès sécurisé aux ressources, que les identités soient gérées dans Azure AD ou dans Active Directory sur site. Azure AD peut automatiser l’inscription des certificats afin d’améliorer les flux de travail des équipes informatiques.

AD CS fonctionne-t-il avec la gestion des appareils mobiles (MDM) ?

Oui, les logiciels MDM utilisent généralement des certificats pour l’authentification, le chiffrement et la sécurité des appareils mobiles.

AD CS peut fonctionner avec des solutions MDM car la plupart des fournisseurs proposent un connecteur AD CS qui permet aux solutions en nuage telles que MDM de communiquer avec le serveur AD CS. Ces connecteurs sont particulièrement utiles lorsqu’il s’agit d’appareils non Windows tels qu’Apple et Android. Les techniciens peuvent ajouter des AC personnalisées, les déployer et les gérer par le biais de leur solution MDM.

L’intégration optimale avec un logiciel MDM garantit que les appareils sont correctement authentifiés et sécurisés, ce qui renforce la sécurité globale des données et des appareils au sein de l’entreprise.

Conclusion

Active Directory Certificate Services (AD CS) joue un rôle important dans le renforcement de la sécurité des réseaux de domaines Windows. AD CS intègre les PKI à l’infrastructure familière d’Active Directory et permet aux entreprises d’émettre et de gérer des certificats numériques, de sécuriser les communications et de vérifier l’identité des utilisateurs et des appareils au sein du réseau. Les avantages d’AD CS sont notamment une sécurité accrue grâce au chiffrement et à l’authentification par certificat, une gestion simplifiée des certificats et une administration centralisée dans Active Directory.

Pour obtenir ces avantages, AD CS doit être géré et configuré correctement, ce qui implique le respect d’un ensemble de bonnes pratiques, notamment la mise en œuvre de procédures de sauvegarde et de restauration, la surveillance d’AD CS et la réalisation d’une maintenance régulière. En suivant ces lignes directrices et d’autres suggérées dans cet article et en renforçant vos compétences en matière de dépannage, vous pouvez maintenir une infrastructure AD CS fiable et sécurisée qui contribue à la résilience globale de votre écosystème informatique.