Comprendre les éléments de sécurité reconnus, 1ere partie

Le tableau 1 contient la liste des éléments de sécurité reconnus que l’on trouve dans Windows 2003, Windows XP Service Pack 2 (SP2) et Windows 2000. Le tableau 2 énumère les nouveaux éléments de sécurité reconnus que Microsoft a introduits dans Windows 2003. Un astérisque indique ceux qui sont également supportés dans XP SP2. Pour chaque élément de sécurité reconnu, le tableau donne également le SID correspondant. Vous pouvez aussi trouver la liste de tous les SID Windows bien connus dans l’article Microsoft « Well-known security identifiers in Windows operating systems ». J’explique la plupart des éléments de sécurité reconnus figurant dans le tableau 1 et le tableau 2, dans la 2e partie de cet article.

Dans Windows 2003, Microsoft a ajouté les éléments de sécurité reconnus Local Service, Network Service, Digest Authentication, NTLM Authentication, Remote Interactive Logon, SChannel Authentication, Restricted Code, Other Organization et This Organization. Ces nouveaux éléments n’apparaissent dans l’AD (Active Directory) que quand le DC (domain controller) qui contient le rôle Operations Master de l’émulateur PDC, utilise Windows 2003. Dans un domaine qui contient à la fois des DC Windows 2003 et Win2K, il faut d’abord transférer le rôle Operations Master sur un DC Windows 2003. Cette information est documentée dans l’article Microsoft « Local Service and other well-known éléments de sécurité do not appear on your Windows Server 2003 domain controller ». Cette limitation devrait peu influencer votre infrastructure d’AD parce que beaucoup des nouvelles fonctions qui utilisent les nouveaux éléments de sécurité reconnus Windows 2003, nécessitent le niveau fonctionnel de Windows 2003.

Vous pouvez voir la plupart des éléments de sécurité reconnus dans les listes des tableau 1 et tableau 2 (par exemple, Everyone, Authenticated Users) en tant que groupes de éléments de sécurité reconnus. Contrairement aux groupes classiques, l’OS – pas un administrateur – contrôle automatiquement leur appartenance, subordonnée à certaines conditions. Ainsi, dans XP et Win2K, l’OS attribue automatiquement un utilisateur au groupe Interactive si l’utilisateur se trouve en personne devant l’ordinateur où réside la ressource, ou si l’utilisateur est connecté à cet ordinateur via une connexion RDP. Dans Windows 2003, l’utilisateur est ajouté au groupe Remote Interactive Logon.

Vous pouvez aussi désigner ces groupes de éléments de sécurité reconnus sous le nom de groupes dynamiques, parce que l’OS détermine leur appartenance de manière dynamique. Il ne faut pas les confondre avec les groupes basés sur des requêtes LDAP dynamiques que Microsoft a introduits dans l’Authorization Manager (AzMan) de Windows 2003.

Les éléments de sécurité reconnus présentent une caractéristique intéressante : c’est la manière dont ils sont répliqués entre les instances d’AD. Bien qu’ils puissent s’appliquer à des milliers d’objets d’AD, seuls leurs noms sont répliqués, pas leurs appartenances. Par conséquent, vous ne pouvez pas utiliser des outils de requête et d’administration d’AD classiques pour interroger leurs appartenances. En raison de la manière dont sont utilisés les éléments de sécurité reconnus, vous n’avez pas besoin de stocker leurs appartenances. Leur rôle majeur est de fournir un SID que vous pourrez ajouter au jeton d’accès d’un utilisateur quand celui-ci se connecte à un système ou accède à une ressource. La présence d’un élément de sécurité reconnu particulier dans le jeton d’accès octroie à l’utilisateur certains privilèges sur le système ou la ressource. Pour visualiser le contenu d’un jeton d’accès, utilisez l’outil WhoAmI avec le commutateur /all (WhoAmI est livré avec Windows 2003 et avec le Microsoft Windows 2000 Resource Kit), ou un outil gratuit tel que SecTok (téléchargeable à http://www.joeware.net), comme le montre la figure 1.