Il y a quelques années, Microsoft proposait une solution de serveur MFA pour les annuaires Active Directory sur site. L'installation du serveur Azure MFA sur site nécessité la mise en place d'une architecture assez complexe.

A partir de 1^er juillet 2019, cette option n'était plus disponible pour les clients qui ne l'avaient pas encore installé. A partir de cette date, les clients qui le souhaitaient doivent utiliser Azure AD MFA basé sur le cloud.

Les clients ayant déjà mis en place peuvent continuer à utiliser la solution.

Ou sont stocké les informations de l'autorité de certification d'entreprise dans Active Directory ?

Dans une autorité de certification d'entreprise, intégré aux services de domaine Active Directory, il existe un certain nombre d'informations enregistré dans l'annuaire.

Parmi ses éléments, nous retrouvons entre autres :

Pour rappel, si vous utilisez encore une ancienne version d'Azure AD Connect 1.0, elle sera mise hors service au 31/08/2022.

https://docs.microsoft.com/fr-fr/azure/active-directory/hybrid/reference-connect-version-history

Il est temps de mettre à jour l'outil de synchronisation des comptes.

Dans un domaine Active Directory les comptes membres du groupe « admins du domaine » ou « administrateurs de l'entreprise » peuvent ajouter un ordinateur à un domaine.

Il est possible de déléguer l'autorisation de joindre un ordinateur au domaine à des personnes ou des groupes. Pour ce faire il faut autoriser le groupe ou l'utilisateur à créer des objets ordinateurs dans le domaine.

L'inscription automatique de certificat permet de générer des certificats utilisateurs ou ordinateurs dans le magasin personnel du demandeur sans qu'une personne n'en fasse spécifiquement une demande.

L'utilisation de l'inscription automatique n'est valable que pour une autorité de certification d'entreprise donc intégrée à Active Directory.

Pour diffuser des certificats automatiquement, il faut :

Microsoft a annoncé la disponibilité générale de l'option de laissez-passer d'accès temporaire (TAP) , en tant que méthode d'authentification supplémentaire.

TAP est un mot de passe limité dans le temps qui permet aux utilisateurs d'enregistrer des méthodes d'authentification sans mot de passe.

L'option est activable dans les méthodes d'authentification.

Le TAP est également une solution permettant de donner un accès temporaire à un compte, si l'utilisateur a oublié ou perdu son moyen d'authentification comme une clé Fido2.

Selon votre politique d'émission de certificat, il peut être intéressant de mettre en place un processus d'approbation avant de délivrer un certificat. La demande d'approbation est une option définit au niveau du modèle de certificat. Une autorité peut donc émettre certains certificats sans approbation alors que d'autres modèles l'exigent. L'approbation doit être réalisée par une personne ayant les permissions de gestion des certificats sur AD CS.

OpenSSL est un outil pratique permettant de créer des demandes et de manipuler des certificats. Il est largement utilisé dans les environnements Linux/ Apache, mais il est également possible de l'installer sur Windows.

Dans cet exemple, nous allons extraire la clé privée et le certificat d'un fichier #PKCS12 avec une extension .pfx.

La première commande avec l'option « -nokeys » permet d'exclure la clé privée de la ligne d'export. 

Il est possible d'exporter un certificat depuis l'autorité de certification sans la clé privée. La clé privée n'est pas enregistrée dans la base de données de l'autorité de certification. Sous Windows, elle est enregistrée avec le certificat dans le magasin personnel du compte utilisateur ou ordinateur dans la session.

Si vous exportez le certificat sans la clé privée, vous pouvez le transmettre à n'importe qui sans corrompre votre environnement.

Selon les paramètres du modèle de certificat utilisé, la clé privée peut être enregistrée comme non-exportable.

Il est possible de migrer une autorité de certificat vers un nouveau serveur. Le nouveau serveur devra utiliser le même nom que l'ancien. Pour remplacer votre autorité vous devez au préalable vous assurez que vous disposez de :

• La sauvegarde de la base de données
• Du certificat de l'autorité AVEC la clé privée
• De la sauvegarde des éléments de configuration

Nous avons vu comment sauvegarder la base de données de l'autorité AD CS. La base de données contient les informations sur les certificats émis, révoqués, mais n'inclut pas les paramètres de l'autorité de certification. Ces paramètres se trouvent dans le registre Windows, sous la clé :

HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration

Microsoft a annoncé des modifications dans le cycle de vie et une simplification de la gestion du changement sur la partie Azure AD. Des nouvelles fonctions peuvent continuer d'apparaître tout au long de l'année, mais les annonces des fonctionnalités dépréciées ou de retrait de produit se feront au mois de mars et septembre de chaque année.

L''API Azure AD Graph sera prolongé jusqu'à la fin de l'année contrairement à l'annonce initiale du 30/06/2022. Les API de gestion des licences sur Azure / Office 365.

Un article intéressant de Jean-Sébastien DUCHENE sur un problème dans les services de découvertes Active Directory sur SCCM/ MCEM de janvier 2022 :

Afficher l'article...

Pour rappel, MCEM (Microsoft Endpoint Configuration Manager) est le nouveau nom de SCCM (System Center Configuration Manager).

Le dossier contenant la base de données d'une autorité de certification est indiqué dans la partie stockage des propriétés de l'autorité.

Le chemin par défaut est « c:\windows\system32\certlog ».

Il s'agit par défaut d'une base de données Microsoft avec une extension « .edb ». La base de données JET utilise des journaux de transactions afin de fournir une protection lors de la restauration.

Un nouveau scénario de synchronisation est disponible en préversion depuis quelques jours.

Il est maintenant possible de synchroniser son environnement sur site avec plusieurs locataires Azure AD et donc vers plusieurs environnement Office 365.

L'architecture comprendra une installation d'Azure AD Connect pour chaque locataire Azure AD.