La gestion des comptes de service

Introduction

Dans l’écosystème d’une infrastructure Active Directory, il peut exister un certain nombre d’applications ayant des fonctions bien spécifiques. Parmi ces fonctionnalités, certaines vont être liées à des services dont les attributions résident notamment dans l’interaction avec d’autres sources de données, comme c’est le cas d’applications interrogeant une multitude d’informations provenant de l’Active Directory. Les modalités d’interaction de tels services sont évidemment différentes d’un service à un autre, mais un des éléments qu’ils ont en commun est la nécessité d’agir avec ce que l’on nomme des « comptes de service ».

Un compte de service, dans sa définition la plus stricte, est ce qui fournit un contexte de sécurité à un service. Donc, les comptes de service sont des éléments essentiels au fonctionnement des services Windows d’une manière générale. Historiquement, la notion de compte de service est une idée qui a connu une évolution propre au cours de l’histoire des technologies Microsoft. Au départ, les comptes de service étaient des comptes existant au niveau de machines locales avec des modalités de partage par diverses applications...

La notion de compte de service en lien avec Active Directory

Évoquer la notion de compte de service ne va pas sans définir ce qu’est la notion de service elle-même. En effet, un service est une couche logicielle existant au niveau du système d’exploitation et au niveau applicatif, et qui a la particularité d’être exécutée en tâche de fond. Ainsi, un service permet à des programmes de fonctionner en accomplissant des tâches propres reliées à d’autres tâches dites principales.

Un service - et c’est une règle de base pour l’ensemble des services Windows - a besoin, pour fonctionner correctement, qu’un compte de service lui soit affecté, qu’il y ait un caractère d’exclusivité ou non. Cette association est indispensable pour qu’un service accomplisse sa ou ses tâches de manière adéquate, puisqu’un compte de service est ce qui va fournir à un service donné ce qui est communément appelé un « contexte de sécurité ».

Active Directory a incontestablement étendu la notion de compte de service et lui a donné une portée plus large que celle que les comptes de services ont historiquement toujours eue. Du point de vue de la gestion d’applications tierces évoluant dans un environnement structurellement...

Lister les comptes de service existant au sein d’un domaine

Connaître les comptes de service existant au sein d’un domaine Active Directory permet de mieux cartographier les applications fonctionnant à l’intérieur même de ce domaine. Nous nous intéressons aux modes d’interactions qui peuvent éventuellement exister entre différentes applications, mais aussi aux liens de communication avec la technologie Active Directory. Également, le processus de découverte des comptes de service existant dans une infrastructure Active Directory requiert Windows PowerShell ; c’est un choix de la part de Microsoft pour des raisons qu’il n’est pas utile d’évoquer ici, mais il faut savoir que manipuler des comptes de service dits « automatiquement gérés et de domaine » exige Windows PowerShell pour travailler dans les meilleures conditions.

Créer un compte de service géré automatiquement

Au cours du processus d’administration des éléments d’une infrastructure Active Directory, il arrivera certainement que des opérations de création de comptes de service doivent être réalisées. Dans ce cas, les administrateurs auront à organiser cette opération en quatre étapes :

Articuler l’ensemble de ces quatre étapes exigera l’utilisation de quatre commandes que nous décrirons de manière synthétique dans la section suivante.