« Un compte Domain Admins est sûr si son mot de passe est complexe. »
Le poste source, les cibles, les sessions, les protocoles et les groupes déterminent aussi l’exposition.
01Cartographie comptes et groupes
column -s, -t "$lab/source/ad/admin-accounts.csv"
column -s, -t "$lab/source/ad/privileged-groups.csv"Le compte quotidien n’appartient à aucun groupe privilégié. Les comptes administratifs partent de win-mgmt-01. Le compte de secours est gouverné séparément.
02Définis le chemin autorisé
compte administratif → win-mgmt-01 → cible autoriséeUn poste utilisateur n’est pas une source d’administration. Une restriction sans source de secours contrôlée peut cependant créer un verrouillage opérationnel.
03Observe les frontières d’authentification
column -s, -t "$lab/source/ad/authentication-boundaries.csv"Le mode audit précède l’enforcement. Les cibles, le fallback et le test sont nommés. Le but n’est pas seulement de refuser, mais de prouver que le chemin légitime reste utilisable.
04Utilise Protected Users avec discernement
Les comptes humains compatibles peuvent bénéficier de protections renforcées. Les comptes de service et ordinateurs ne doivent pas être ajoutés mécaniquement : leurs mécanismes d’authentification peuvent devenir incompatibles.
05Inventorie sans exposer
Le PowerShell utilise Get-ADGroupMember pour produire un comptage de membres. Il ne modifie aucun groupe et ne stocke aucun secret.
06Analyse le test négatif
NEG-06 place un compte quotidien dans un groupe à fort impact. Le résultat attendu est BLOCKED avec privileged-path-or-account-violation.
07Prépare l’urgence
Le compte break-glass est hors usage quotidien, protégé, surveillé et associé à un responsable. Son test ne doit pas devenir une porte permanente.
Dessine le chemin privilégié
Représente compte, source, cibles, groupes, politique, test de refus, test autorisé, secours et propriétaire. Justifie chaque exception.
✓À retenir
La protection AD repose sur la séparation des identités, des postes sources, des cibles et du secours, pas seulement sur un groupe ou un mot de passe.