Administre les comptes, groupes et droits locaux

L’idée reçue

« Donner le groupe Administrators à un utilisateur règle les problèmes de droits. »

Cela masque la cause et augmente le risque. Un compte reçoit uniquement les groupes et droits nécessaires à sa mission.

01Observe les identités locales

Get-LocalUser |
  Select-Object Name, Enabled, LastLogon, PasswordRequired,
                PrincipalSource, SID

Get-LocalGroup |
  Select-Object Name, Description, SID

Le SID est l’identifiant de sécurité réel. Renommer un compte ne change pas son SID.

02Crée un compte de laboratoire

$password = Read-Host 'Mot de passe temporaire' -AsSecureString
New-LocalUser -Name 'soria-ops' \
  -Password $password \
  -FullName 'SORIA Operations' \
  -Description 'Compte local du laboratoire'

Le mot de passe n’apparaît ni dans l’historique ni dans le fichier de cours.

03Crée un groupe fonctionnel

New-LocalGroup -Name 'SORIA-LogReaders' \
  -Description 'Lecture des journaux du laboratoire'

Add-LocalGroupMember -Group 'SORIA-LogReaders' \
  -Member 'soria-ops'

Le nom du groupe décrit une capacité métier ou technique. Il ne doit pas reproduire automatiquement un rôle très privilégié.

04Vérifie les appartenances

Get-LocalGroupMember -Group 'SORIA-LogReaders'
Get-LocalGroupMember -Group 'Administrators'
whoami /user
whoami /groups

whoami /groups montre les groupes présents dans le token de la session actuelle. Une modification d’appartenance peut nécessiter une nouvelle ouverture de session.

05Distingue groupe et droit utilisateur

Un groupe collecte des identités. Un droit utilisateur autorise une action système, par exemple ouvrir une session localement ou en tant que service. Ces droits sont administrés dans la stratégie de sécurité locale ou par GPO dans un domaine.

secedit /export /cfg C:\SORIA-Labs\Windows-Foundations\inventory\local-security-policy.inf
Select-String -Path C:\SORIA-Labs\Windows-Foundations\inventory\local-security-policy.inf \
  -Pattern '^SeInteractiveLogonRight|^SeServiceLogonRight'

06Audite la stratégie locale avant de la modifier

New-Item -ItemType Directory -Path 'C:\SORIA-Labs\Windows-Foundations\evidence' -Force

secedit /export /cfg C:\SORIA-Labs\Windows-Foundations\evidence\secpol-before.inf

auditpol /get /category:* |
  Out-File 'C:\SORIA-Labs\Windows-Foundations\evidence\audit-policy-before.txt'

net accounts |
  Out-File 'C:\SORIA-Labs\Windows-Foundations\evidence\account-policy-before.txt'

Cette collecte décrit la configuration locale visible avant changement. Elle ne prouve pas à elle seule la stratégie finale d’une machine jointe au domaine.

07Distingue stratégie locale et stratégie effective

poste autonome
→ stratégie locale

poste joint au domaine
→ stratégie locale
→ stratégies de site/domaine/OU
→ filtrage et héritage
→ résultat effectif sur le client

Sur une machine jointe au domaine, vérifie toujours le résultat effectif :

gpresult /scope computer /r
gpresult /h C:\SORIA-Labs\Windows-Foundations\evidence\gpresult-computer.html

Ouvrir la console de stratégie locale montre ce qui est configuré localement, pas nécessairement ce qui gagne après traitement des stratégies de groupe.

08Prépare un changement local réversible

Avant toute modification, écris :

paramètre observé
valeur actuelle
valeur cible
raison métier ou technique
machine pilote
preuve attendue
risque
méthode de retour arrière

Dans le laboratoire, modifie une seule stratégie locale non destructive à la fois. Ne déploie pas une configuration de sécurité globale avec secedit /configure sans fichier de référence, sauvegarde et plan de retour arrière.

09Désactive avant de supprimer

Disable-LocalUser -Name 'soria-ops'
Get-LocalUser -Name 'soria-ops'

La désactivation conserve le SID et facilite l’analyse. La suppression est réservée à la fin du laboratoire, après validation qu’aucun fichier, tâche ou service n’utilise le compte.

10Nettoie

Remove-LocalGroupMember -Group 'SORIA-LogReaders' -Member 'soria-ops'
Remove-LocalUser -Name 'soria-ops'
Remove-LocalGroup -Name 'SORIA-LogReaders'

Challenge autonome

Conçois une matrice de privilèges et une fiche de stratégie locale

Définis trois profils locaux : opérateur, lecteur de journaux et administrateur. Pour chacun, indique groupes, droits nécessaires, actions interdites et preuve de vérification. Ajoute ensuite une fiche avec un paramètre local, sa valeur avant changement, la valeur cible, la preuve attendue et le rollback.

✓Ce que tu retiens

Les comptes représentent des identités, les groupes regroupent des capacités et les droits autorisent des actions système. Une stratégie locale doit être auditée avant modification et, sur un poste joint au domaine, le résultat effectif se vérifie depuis le client.