Les relations d’approbations entre multiples forêts

Du point de vue de la sécurité de l’information,
un domaine est davantage
une réplication ou une limite administrative
qu’une limite de sécurité. Avec
un peu de travail, un membre du
groupe Administrators, Domain Admins
ou Enterprise Admins du domaine
racine peut s’ouvrir l’accès à 
n’importe quel ordinateur de la forêt.
Le seul moyen d’isoler vraiment les ressources
consiste à  les placer dans une
forêt séparée.
n’avoir qu’une forêt, il nous faut reformuler:
maintenir le nombre de forêts à 
un minimum absolu ; n’autoriser des
forêts supplémentaires que si elles respectent
des critères stricts et si elles
sont approuvées par un comité d’examen. Pour en savoir plus sur les
normes permettant de décider quand
il faut créer des forêts, voir le white paper
Microsoft « Design Considerations
for Delegation of Administration in
Active Directory » (http://www.microsoft.
com/windows2000/techinfo/planning/
activedirectory/addeladmins.asp).
Ce white paper explique clairement les
limites de sécurité entre OU, domaines
et forêts et fournit un processus pour
déterminer si une business unit devrait
être dans sa ou son propre OU, domaine
ou forêt, séparée de la forêt centrale.
Quand peut-on justifier une forêt
séparée ? Les exigences se divisent en
plusieurs catégories. L’exigence la plus
connue pour établir une forêt séparée
est le besoin d’assurer l’autonomie administrative
(du genre « je ne vous fais
pas confiance »). Une autre se manifeste
quand une business unit majeure
met en oeuvre sa propre forêt Win2K,
très probablement de manière beaucoup
plus volontariste que la forêt de
production IT de la société. Comme
cette forêt va vivre un certain temps, il
faut s’en accomoder. Une autre situation
est liée au schéma de forêt.
Rappelons que le schéma (c’est-à -dire,
la définition de la structure d’AD) est
partagé dans toute la forêt. Si vous devez
changer le schéma fréquemment
(pour un test de logiciel de type AD par
exemple), vous devrez le faire dans
une forêt séparée afin de ne modifier
votre schéma de production que si
c’est vraiment nécessaire.
L’isolation des actifs est une autre
raison importante d’avoir une forêt séparée.
Par exemple, des agences dans
le domaine judiciaire doivent garder
l’information séparée des autres
agences. Dans le même esprit, des
sous-traitants de la défense auxquels
on ne confie des contrats que sur un
critère de compétence doivent présenter
une isolation totale vis-à -vis des influences
extérieures. Et certaines activités,
comme la banque, peuvent être
lourdement pénalisées en cas de partage
ou de divulgation d’informations.