LesautrescomposantsActiveDirectory

QuatreautresprincipalesfonctionnalitsenrapportaveclActiveDirectorysontdisponiblessousWindowsServer2008. IlsagitdeADLDS,ADFS,ADRMSetADCS.

1.ActiveDirectoryLightweightDirectoryServices(ouADLDS)
LerleADLDSdisponiblesousWindowsServer2008estlenouveaunomdelADAMquiavaitfaitsonapparitionavec WindowsServer2003R2. Ilsagitdune versionpuredelActiveDirectoryDomainServices(ADDS)quireposesurlesmmesfondamentaux (savoirunerplicationmultimatres,unannuairedivisenpartitions,etc.)maisquinestockeaucuncomposantsde scuritdeWindows(commelescomptesutilisateursetordinateursdudomaine),lesstratgiesdegroupe,etc. LerleADLDSpermetainsiderpertorierdesinformationsncessairesauxapplicationsdansunannuairecentralis plutt quindividuellement dans chaque application. Les avantages de ne pas ncessairement intgrer les applicationsdanslADDSsontdivers.
q

Une application ncessitantlamisejourduschmapourrasefairesurlADLDSpluttquesurlADDS,ce quiviteradesrisquesinutilesdecorruptionduschma. UneapplicationaccessiblesurunextranetouparVPNnexposerapaslensembledudomaineADDSsiellea pourannuairederfrenceunannuaireADLDS.

noterquilestpossibledavoirplusieursinstancesADLDSsurunmmeserveur,demmequilestpossibledavoir lerleADLDSinstallsurunWindowsServer2008possdantlerledeADDS.Leseulprrequisseraquelesports dcoutedesdiffrentesinstancesdevronttrediffrents.

2.ActiveDirectoryFederationServices(ouADFS)
Le composant Active Directory Federation Services permet de mettre en place une solution daccsscuriseentre diffrentes platesformes Windows ou nonWindows lors daccs des applications Web (sur un extranet par exemple). LutilittypiquedelamiseenplacedunADFSauseindevotresocitestdepermettreunclientayantrcemment sign uncontratetseconnectantdepuisunautrerseau(casdunB2C),unesocitpartenaire(casdunB2B)ou une fdration interentreprises (multiforts) daccder aux ressources de votre rseau dune faonsimpleetsans avoirsauthentifiersurvotrebasedecomptesutilisateurs. Une relation dapprobation est en effet cre entre le rseau partenaire et le vtre afin de projeter lidentitdes utilisateursetleursdroitsdaccsdepuisleurrseauverslespartenairesapprouvs.Lutilisateurnauraainsipas entrernouveausesidentifiants(principedelauthentificationuniqueappeleaussiSSOpourSingleSignOn). Il faut savoirgalement que cette solution est limite uniquement aux accsviadesapplicationsWeb(enHTTPS) maiscesdernirestantdeplusenpluspuissantes,vospossibilitssonttrslarges.Cestlecasparexempleavec lintgrationdeSharepointServer2007oudeADRMSquenousprsenteronsunpeuplustard. Afindepouvoirmettreen uvrelADFS,uncertainnombredefonctionnalitsetdeservicesdevrontavoirtmisen placeaupralable.
q

LeRleADDSouADLDSdevratreinstallsuraumoinsundesrseauximpliqus. Serveurdefdrationdecomptes/ressources. ServeurWebADFS. Client.

Vous trouverez davantage dinformations sur le concept dAD FS cette adresse : http://technet.microsoft.com/fr fr/library/bb821278.aspx

ENI Editions - All rigths reserved

- 1-

3.ActiveDirectoryRightsManagementServices(ouADRMS)
AD RMS (Active Directory Right Management) est un rle permettant de limiter la diffusion et protger des fichiers, courrierslectroniquesousitesWebdevotresocit. AD RMS fonctionne avec des applications compatibles RMS comme le systme Microsoft Office 2003 Professionnel, MicrosoftOffice2007,InternetExplorer7.0,etc. Le principe dutilisation des fonctionnalits de lAD RMS repose sur le principe quune licence de publication est dlivreunfichier.Lutilisateurindiquealorsunensemblededroitsetdeconditionsspcifiquespourcedocument. Ces proprits le suivront alors afin de le protgeraucoursdesoncycledediffusion.Vousserezainsicapablede contrler les actions possibles sur un fichier ou son contenu, de dfinir une dure de validit (pour un devis par exemple),etc. Ainsi,lorsquelefichierdiffusestouvertpourlapremirefoisparuneapplicationcompatibleADRMS,cettedernire contacte le serveur AD RMS ayantmis la licence de publication associeaufichierafindedemanderlautorisation daccdersoncontenu. LeserveurADRMSvrifiealorssilutilisateurestbienautoris visualiserlefichieretsitelestlecas,ilenvoieune licence dutilisation au demandeur afin de lui permettre daccderaucontenududocument.Lutilisateurpeutalors ouvrirlefichierlaidedelapplicationcompatibleRMS.

4.ActiveDirectoryCertificateServices(ouADCS)
Afindtrecomplet,ilestimportantdvoquerleseulrlequenousnavonspasencorevuetquiestintimementli lActive Directory. Il sagit du service de certificats Active Directory (connu aussi sous le nom Active Directory CertificationServerouADCS). Il vous permettra dinstaller une autorit de certification sur votre rseau dentrepriseafindepouvoirdlivrerdes certificatsdefaonaisevosutilisateursetordinateurs.CesdernierspourrontainsiaccderdessitesWebviale protocoleSSLsansncessiterlachatdecertificats(souventcoteux)auprsduneautoritdecertificationpublique. LavantagecertaindavoiruneautoritdecertificationdentreprisebasesurWindowsServer2008estlefaitquele processus dinscription et de renouvellement des certificats est grandement facilit de part lintgration de cette autoritdanslActiveDirectory. Ilexistedeuxtypesdautoritdecertifications.
q

Autorit de certification dentreprise : ncessitequeleserveurpossdantlerleADCSsoitintgrdans lActive Directory et permet ainsi de profiter de nombreuses fonctionnalits supplmentaires et dtre administrevialesstratgiesdegroupe. Autorit de certification autonome:quipeuttreinstalleaussibiensurunserveurmembreounonmais quineprofiterapasdefonctionnalitssupplmentaires.

La mise en place de cette solution dpassant le cadre de ce livre, voici nanmoins quelquesunesdesprincipales fonctionnalitsdsormaisdisponiblessousWindowsServer2008concernantcerle.
q

Linscriptiondescertificatsenpassantparvotrenavigateuratamliorecarellereposesurunnouveau contrlenommCertEnroll.dll. Prise en charge du protocole NDES (NetworkDeviceEnrollmentService)afindepermettreauxpriphriques rseaux(routeurs,commutateurs,etc.)dobtenirdescertificatsX.509. Prise en charge du protocole OSCP ( Online Certificate Status Protocol) afin damliorer la gestion des rvocationsdescertificats. Lemodledecertificatenversion3disponibledanslesautoritsdecertificatsdentrepriseprenddsormais enchargelacryptographienouvellegnration(CNGSuiteB). UnenouvelleconsoleMMCnommePKIViewestdsormaisdisponibleafindadministrerplusefficacementles certificatstoutaulongdeleurcycledevie.

Vous venez de dcouvrir au travers de ce chapitre lensemble des solutions didentit et daccs proposes par Windows Server 2008. Vous pouvez ainsi aborder au mieux les besoins en termes daccsdesressourcesaussi bienpourmettreenplaceunesolutionSSO(SingleSignOnou"identificationunique")quepourcontrlerladiffusion defichiersdevotreentreprise.

- 2-

ENI Editions - All rigths reserved