La gestion des mots de passe utilisateur

Introduction

Afin d’entrer dans un domaine Active Directory quelconque et de profiter des ressources disponibles, un compte d’utilisateur a besoin d’être authentifié. L’authentification dont il est question passe, entre autres, par un mot de passe. C’est un fait, un compte d’utilisateur Active Directory doit avoir un mot de passe pour accéder à une infrastructure Active Directory et donc utiliser les différentes ressources existantes, si bien sûr les permissions adéquates sont définies. Un mot de passe est une chaîne de caractères « sécurisée » et associée à un compte d’utilisateur, mais aussi une condition sine qua non d’accès à plus de sécurité dans un écosystème Active Directory.

Toute infrastructure Active Directory a sa propre politique de mot de passe, et en fonction de celle-ci, c’est-à-dire finalement le contexte induit par un domaine comme contoso.com, nous apprendrons dans ce chapitre à définir un mot de passe utilisateur, obtenir la stratégie de mot de passe résultante pour un compte d’utilisateur, prévenir le changement ou l’expiration d’un mot de passe, forcer le changement de mot de passe lors de la prochaine ouverture de session, et enfin rechercher des comptes d’utilisateurs...

Définir un mot de passe utilisateur

Windows PowerShell rend possible la définition des mots de passe de comptes d’utilisateurs Active Directory de manière tout à fait aisée. En effet, la possibilité de modifier un mot de passe en utilisant Windows PowerShell ouvre des perspectives très intéressantes d’un point de vue de l’automatisation. Ce qui est sûr est que le module Active Directory PowerShell ne serait pas ce qu’il est s’il n’avait pas, dans son arsenal, une commande telle que Set-ADAccountPassword.

Obtenir la stratégie de mot de passe résultante pour un compte d’utilisateur Active Directory

Une des grandes forces du service d’annuaire Active Directory est sa capacité à proposer aux administrateurs la possibilité de créer des stratégies de mots de passe affinées différentes les unes des autres dans un même domaine. Historiquement, cela n’a pas toujours été le cas, car, au sein d’un domaine Active Directory et dans les versions 2000 et 2003 de Windows Server, une seule stratégie de mot de passe et de verrouillage de compte était possible. Il fallait donc passer par d’autres mécanismes comme celui du filtrage de mot de passe.

Le système de stratégie de mot de passe affinée est une véritable bénédiction pour les administrateurs Active Directory dans la mesure où la gestion des mots de passe, réalité que nous ne pouvons pas éviter, doit être menée de la meilleure des façons. En effet, la possibilité de construire des stratégies de mot de passe différentes selon un périmètre bien précis permet une gestion plus fine et plus flexible en la matière.

Empêcher le changement ou l’expiration d’un mot de passe

Une politique de sécurité liée à une infrastructure Active Directory doit comporter des modalités de gestion des mots de passe. Parmi ces modalités se trouve celle consistant à régler la fréquence de changement des mots de passe, ou, dans certains cas, à empêcher strictement ce type de changement pour des comptes d’utilisateurs bien précis. Une autre modalité est celle qui consiste à empêcher l’expiration du mot de passe dans certains cas.

De telles modalités dépendent entièrement de contextes aussi différents qu’il existe des infrastructures différentes. Dans tous les cas, la cmdlet Set-ADAccountControl constitue un excellent moyen de réaliser ces modalités à partir du matériau Windows PowerShell.

Forcer le changement d’un mot de passe lors de la prochaine ouverture de session

Pour s’assurer qu’un utilisateur est la seule personne à connaître son mot de passe, il est possible de forcer le changement de son mot de passe lors de la prochaine ouverture de session. Cela constitue un moyen efficace pour permettre plus de confidentialité concernant la notion de compte d’utilisateur d’une manière générale.

PS> Get-ADUser -Filter {Name -eq 'Allison Brown'}  
-Properties 'PasswordLastSet' 
 
 
DistinguishedName : CN=Allison Brown,OU=Accounts,DC=contoso,DC=com 
Enabled           : True 
GivenName         : Allison 
Name              :...

Trouver des comptes d’utilisateurs Active Directory dont les mots de passe n’expirent jamais

Pour des raisons diverses et variées, pouvant par exemple être d’ordre statistique, il arrive souvent que des informaticiens dont la charge est de gérer tout ou partie d’une infrastructure Active Directory doivent effectuer des recherches à propos de comptes d’utilisateurs, entre autres objets. Lorsque cela arrive, de multiples outils existent pour les aider à accomplir leurs opérations de recherche d’objets Active Directory. Il y a parmi ces outils la commande Search-ADAccount, dont le principe est justement d’obtenir un ou plusieurs comptes d’utilisateurs Active Directory, mais pas seulement.