Active Directory Certificate Services : explication et configuration d’AD CS

Découvrez le guide vidéo consacré à Active Directory Certificate Services : explication et configuration d’AD CS [Vidéo].

Qu’est-ce qu’Active Directory Certificate Services (AD CS) ?

Active Directory Certificate Services est une fonction des environnements Windows Server qui fournit une infrastructure à clés publiques (PKI) pour émettre et gérer des certificats numériques. Les certificats servent à sécuriser les communications, à vérifier l’identité des utilisateurs et des appareils, et à faciliter les échanges de données sécurisés sur un réseau. AD CS permet aux entreprises d’émettre, de renouveler, de révoquer et de distribuer des certificats aux utilisateurs, aux ordinateurs et aux services présents sur le réseau.
Comme son nom l’indique, Active Directory est un service d’annuaire conçu pour les réseaux de domaine Windows. Chaque implémentation d’Active Directory repose sur Active Directory Domain Services (AD DS). AD DS stocke les informations relatives aux utilisateurs, aux ordinateurs et aux groupes d’un domaine, vérifie leurs identifiants et définit les droits d’accès. AD CS a été introduit avec Windows Server 2008 afin d’émettre des certificats numériques pour les comptes d’ordinateurs, d’utilisateurs et d’appareils du domaine, renforçant ainsi la sécurité et offrant des méthodes d’authentification supplémentaires.

Configuration d’AD CS et gestion des certificats

Une gestion et une configuration correctes des certificats sont essentielles pour maintenir une PKI sécurisée et efficace au sein d’une entreprise. Voici quelques éléments clés de la gestion et de la configuration d’Active Directory Certificate Services (AD CS).

Gérer les modèles de certificats et les politiques d’inscription

Les modèles de certificats définissent les propriétés et l’usage des certificats émis par AD CS. Les administrateurs peuvent créer des modèles personnalisés pour répondre à des exigences de sécurité précises et contrôler les attributs des certificats délivrés. Un modèle peut par exemple être créé pour l’authentification des serveurs web, un autre pour l’authentification des utilisateurs.
Les politiques d’inscription déterminent la manière dont les certificats sont traités et autorisés au sein de la PKI. Ces politiques peuvent s’appuyer sur différents critères, comme l’appartenance d’un utilisateur à un groupe, le type d’appareil ou l’emplacement réseau, afin que seules les entités autorisées puissent demander et obtenir des certificats spécifiques.

Configurer la révocation et le renouvellement des certificats

Les administrateurs doivent configurer et tenir à jour la liste de révocation des certificats (CRL) et/ou le protocole OCSP (Online Certificate Status Protocol) afin de fournir en temps réel l’état des certificats révoqués et de garantir que ces derniers ne peuvent plus servir à l’authentification ou au chiffrement.
Voici quelques bonnes pratiques pour configurer le renouvellement et la révocation :

• Mettez régulièrement à jour les CRL ou les répondeurs OCSP pour que les clients disposent toujours du dernier état.
• Prévoyez des périodes de chevauchement pour éviter toute interruption de service.
• Lancez le renouvellement bien avant la date d’expiration pour éviter les ruptures.
• Surveillez les performances des CRA et des répondeurs OCSP pour vérifier la rapidité de leurs réponses.

Mettre en place la confiance et la validation des certificats

Dans AD CS, un certificat atteste que les entités sont bien celles qu’elles prétendent être. Il est délivré à une entité (une autorité de certification) par un tiers auquel les autres parties font confiance. Les entreprises doivent configurer des relations d’approbation entre les autorités de certification afin que les certificats émis par des AC de confiance soient reconnus et acceptés sur l’ensemble du réseau.
Une liste d’approbation de certificats (CTL) est un mécanisme utilisé par AD CS pour désigner les autorités de certification auxquelles une entreprise fait confiance. Elle contient la liste des certificats d’AC approuvés que les clients utilisent pour valider l’authenticité des certificats qui leur sont présentés lors du processus de validation.

Installer et configurer NDES pour l’inscription des appareils réseau

Le service Network Device Enrollment Services (NDES) facilite l’inscription des certificats pour les équipements réseau tels que les routeurs, les commutateurs et les points d’accès sans fil. Une installation et une configuration correctes de NDES simplifient ce processus et permettent à ces appareils d’obtenir et d’utiliser des certificats pour une authentification et des communications sécurisées.
Pour utiliser NDES, vous devez installer le service de rôle NDES sur votre serveur AD CS et configurer un compte de service pour NDES, soit sous la forme d’un compte utilisateur désigné comme compte de service, soit via l’identité du pool d’applications intégrée. Configurez ensuite le compte de service NDES avec l’autorisation de demande sur l’AC, créez un certificat d’agent d’inscription et paramétrez le fournisseur de clés de signature et/ou le fournisseur de clés de chiffrement.

Note rapide sur les protocoles d’inscription modernes :

Si le protocole SCEP (Simple Certificate Enrollment Protocol) reste la norme pour l’inscription des appareils (notamment via un MDM utilisant NDES), les environnements PKI modernes adoptent de plus en plus EST (Enrollment over Secure Transport). EST offre une sécurité et des fonctions supérieures à SCEP, et les entreprises qui gèrent des systèmes d’exploitation variés finiront peut-être par chercher des solutions intégrant la prise en charge d’EST à leur environnement AD CS.

Les avantages d’Active Directory Certificate Services (AD CS)

Active Directory Certificate Services offre de nombreux atouts qui renforcent sensiblement la sécurité et l’efficacité des réseaux de domaine Windows.
Voici quelques-uns des principaux avantages :

• Une sécurité renforcée grâce aux certificats numériques et au chiffrement

Les certificats fournis par AD CS jouent un rôle déterminant dans la vérification des utilisateurs, des appareils et des services d’un réseau. AD CS garantit que seuls les destinataires autorisés peuvent accéder aux données chiffrées, ce qui limite les accès non autorisés et les risques de violation de données.

• Une gestion et un cycle de vie des certificats simplifiés

AD CS simplifie l’émission, le renouvellement et la révocation des certificats. L’administration centralisée, les modèles et les politiques d’inscription facilitent le traitement et la distribution des demandes, réduisent la charge administrative et font gagner du temps.

• Une intégration à Active Directory pour une administration centralisée

L’intégration d’AD CS à AD DS permet une administration centralisée des certificats en s’appuyant sur l’infrastructure Active Directory existante. Les administrateurs peuvent gérer efficacement les certificats en parallèle des comptes utilisateurs, avec des politiques cohérentes sur tout le domaine.

• La prise en charge de nombreux types de certificats et cas d’usage

Les entreprises peuvent émettre des certificats pour les serveurs web (certificats SSL/TLS) afin de sécuriser les communications en ligne, mettre en place une authentification par certificat pour renforcer la vérification de l’identité des utilisateurs, utiliser des signatures électroniques garantissant l’intégrité des documents et la non-répudiation, et chiffrer les e-mails à l’aide de certificats S/MIME.

Les inconvénients d’Active Directory Certificate Services (AD CS)

• Une installation complexe

L’installation d’AD CS peut s’avérer complexe et exige une expertise technique des autorités de certification et de l’architecture PKI. Les entreprises doivent y consacrer des ressources importantes : implémentation, formation, temps, etc.

• Une utilisation exigeante

AD CS nécessite une équipe dotée d’une expertise technique en gestion de PKI pour en assurer la maintenance, et cette équipe aura besoin de formations et de ressources supplémentaires pour rester à jour sur les bonnes pratiques PKI.

• Un coût de maintenance élevé

Même si les AC Microsoft sont gratuites, les entreprises doivent investir dans la constitution et la formation d’une équipe chargée d’AD CS, en plus des besoins matériels et logiciels.

• L’exploitation des failles de cross-site scripting

Le cross-site scripting (XSS) désigne une vulnérabilité de sécurité des applications web qui permet à des attaquants d’injecter des scripts dans des pages web. Ce script permet aux pirates d’accéder à des informations sensibles, voire de mener des actions comme modifier le contenu d’un site ou rediriger les utilisateurs vers des sites malveillants. Le composant Web Enrollment d’AD CS ne valide pas correctement les données saisies par les utilisateurs, ce qui le rend vulnérable aux attaques XSS.

En raison des vulnérabilités fréquentes associées au composant Web Enrollment d’AD CS, la bonne pratique du secteur consiste à ne pas installer ce service de rôle. Privilégiez des alternatives modernes comme le service Network Device Enrollment Service (NDES) pour SCEP/MDM, ou l’inscription automatique des certificats via une stratégie de groupe, plutôt que l’interface Web Enrollment.

• Des problèmes de compatibilité

Intégrer AD CS aux appareils et applications existants peut parfois s’avérer délicat dans une infrastructure informatique hybride. Les stratégies de groupe Microsoft (GPO), par exemple, ne sont pas compatibles avec les appareils macOS ou Linux : les utilisateurs doivent donc trouver des solutions de contournement, comme un logiciel RMM ou MDM.

Bonnes pratiques pour Active Directory Certificate Services (AD CS)

Pour garantir un fonctionnement fluide et sécurisé d’Active Directory Certificate Services, il est indispensable d’adopter les bonnes pratiques suivantes :

Sécuriser l’infrastructure AD CS

Pour sécuriser votre infrastructure AD CS, veillez à :

• Limiter les accès administratifs : réservez ces accès à des comptes dédiés à la gestion de la PKI et imposez la composition du groupe des administrateurs locaux via une GPO.
• Utiliser une liste blanche d’applications : servez-vous d’AppLocker ou d’un outil tiers de liste blanche d’applications pour définir les services et applications autorisés à s’exécuter sur les AC. Cela ajoute une couche de sécurité supplémentaire en empêchant l’exécution d’applications non autorisées.
• Mettre en place un accès à distance sécurisé : c’est indispensable à l’heure du travail à distance et hybride.

Pour réduire le risque de compromission de l’AC racine (qui serait catastrophique), les spécialistes de la sécurité recommandent vivement de dépasser la PKI à un seul niveau. Cela suppose de créer une hiérarchie :

• AC racine (hors ligne) : c’est l’ancre de confiance ultime. Elle doit être mise hors ligne immédiatement après l’installation, conservée en sécurité (dans un coffre, par exemple) et ne jamais être connectée au réseau. Son unique rôle est de signer le certificat de l’AC subordonnée.
• AC émettrice (en ligne) : ce serveur est en ligne et délivre les certificats aux utilisateurs et aux appareils. Il est subordonné à l’AC racine. En cas de compromission, les dégâts restent limités, car l’AC racine demeure sécurisée et peut émettre un nouveau certificat d’AC émettrice.
• Hiérarchie : cette séparation des rôles garantit que, même si l’AC émettrice en ligne est compromise, la confiance fondamentale (la clé privée de l’AC racine) reste protégée.

Mettre en place des procédures de sauvegarde et de restauration

Une sauvegarde et une restauration correctes d’AD CS sont essentielles pour garantir la disponibilité, l’intégrité et la sécurité de votre infrastructure de certificats.
Voici quelques bonnes pratiques clés :

• Sauvegardez régulièrement : en sauvegardant fréquemment la base de données AD CS, les clés privées et les données de configuration, vous vous assurez de pouvoir vous remettre d’une panne matérielle ou d’autres événements catastrophiques.
• Stockez les sauvegardes hors site : conservez les copies de sauvegarde en sécurité sur un site distant pour vous protéger des sinistres survenant sur site.
• Testez la restauration : testez régulièrement le processus de restauration pour vérifier l’intégrité des sauvegardes et votre capacité à récupérer efficacement les données perdues.

Assurer une surveillance et une maintenance régulières

Des processus de maintenance et de surveillance adaptés garantissent le fonctionnement optimal des composants AD CS et aident à traiter les problèmes potentiels au plus tôt. Voici quelques conseils pour y parvenir :

• Activez la journalisation des événements : en consultant régulièrement les journaux d’événements, vous identifierez et traiterez rapidement tout problème ou faille de sécurité potentiels.
• Surveillez l’expiration des certificats : la mise en place d’alertes permet de s’assurer que les renouvellements de certificats ont lieu à temps.
• Mettez en place la vérification des révocations : assurez-vous que les clients vérifient la révocation des certificats via les CRL ou OCSP, afin d’éviter l’utilisation de certificats compromis.
• Surveillez l’état de santé : surveillez l’état des composants AD CS, comme l’autorité de certification et les services web, afin de détecter et de corriger les problèmes potentiels de performance ou de fiabilité.

Garantir la conformité aux normes du secteur

Pour vous assurer de respecter les normes et les bonnes pratiques du secteur, suivez ces recommandations :

• Élaborez une politique PKI : créez et appliquez une politique PKI claire qui définit la finalité et l’usage des certificats au sein de l’entreprise.
• Utilisez des modèles de certificats : les modèles garantissent un usage cohérent et approprié des certificats dans toute l’entreprise.
• Réalisez des audits de conformité : des audits réguliers doivent évaluer la conformité d’AD CS aux normes du secteur et aux pratiques de sécurité internes.
• Formez vos collaborateurs : sensibilisez les administrateurs et les autres collaborateurs aux bonnes pratiques, aux risques de sécurité et à leur rôle dans le maintien d’un environnement PKI sécurisé.

Comment configurer Active Directory Certificate Services (AD CS)

La première étape pour créer une PKI sécurisée et efficace avec AD CS consiste à l’installer et à le configurer. Voici un aperçu du processus, des prérequis à l’installation pas à pas, avec les points de configuration importants à prendre en compte.

Prérequis pour l’installation d’AD CS

Avant de lancer l’installation d’AD CS, vérifiez que les conditions suivantes sont réunies :

• Windows Server : vous devez disposer d’un système d’exploitation Windows Server avec les dernières mises à jour installées.
• Active Directory Domain Services (AD DS) : AD CS est étroitement lié à AD DS. Assurez-vous que votre réseau dispose d’un environnement AD DS existant avec au moins un contrôleur de domaine.
• Adresse IP statique : attribuez une adresse IP statique au serveur qui hébergera les composants AD CS. Cela garantit des communications réseau stables pour les services de certificats.
• Privilèges administratifs : vous devez disposer de privilèges administratifs sur le serveur pour installer AD CS.

Installer AD CS sur un Windows Server, étape par étape

Voici les étapes à suivre pour installer Active Directory Certificate Services :

1. Lancez le Gestionnaire de serveur : vous le trouverez dans le menu Démarrer.
2. Ajoutez des rôles et des fonctionnalités : rendez-vous dans « Gérer » et cliquez sur « Ajouter des rôles et des fonctionnalités ».
3. Choisissez le type d’installation : sélectionnez « Installation basée sur un rôle ou une fonctionnalité » dans l’« Assistant Ajout de rôles et de fonctionnalités », puis cliquez sur « Suivant ».
4. Sélectionnez le serveur : vérifiez que le serveur cible est bien sélectionné et cliquez sur « Suivant ».
5. Sélectionnez les rôles et fonctionnalités du serveur : faites défiler la liste et sélectionnez « Services de certificats Active Directory ». Cliquez sur « Ajouter des fonctionnalités » dans l’assistant, puis sur « Suivant ».
6. Sélectionnez les services de rôle : choisissez les services de rôle AD CS que vous souhaitez installer et cliquez sur « Suivant ».
7. Installez AD CS : vérifiez vos sélections, cochez « Redémarrer automatiquement le serveur de destination, si nécessaire » et cliquez sur « Installer ».
8. Configurez AD CS : une fois l’installation terminée, cliquez sur « Fermer ». Cliquez sur le drapeau de notification dans le Gestionnaire de serveur, repérez le message invitant à lancer la configuration post-déploiement et cliquez sur le lien pour démarrer la configuration.

Options et points à considérer pendant la configuration

En adaptant la configuration d’AD CS à vos exigences de sécurité et à vos besoins opérationnels, vous pouvez créer un environnement PKI conforme aux normes qui renforce la posture de sécurité de votre réseau. Voici quelques options à envisager :

• Stockage des clés : lors de l’installation, vous pouvez choisir de stocker la clé privée dans le Microsoft Strong Cryptographic Provider ou dans une BNT (boîte noire transactionnelle) pour renforcer la sécurité.
• Paramètres de révocation : configurez la fréquence et la méthode de publication des CRL (CRL ou OCSP) pour que les clients reçoivent à temps l’état de révocation.
• Modèles de certificats : configurez les modèles de certificats nécessaires aux différents cas d’usage de votre entreprise.
• Sauvegarde de l’AC : mettez en place un plan de sauvegarde pour protéger la clé privée de l’AC et les données de configuration.
• Configuration de la sécurité : sécurisez correctement le serveur d’AC en limitant les accès administratifs et en activant l’audit.

Résoudre les problèmes courants liés à AD CS

Même lorsqu’AD CS a été configuré avec soin, des problèmes peuvent survenir. Voici quelques conseils pour identifier, diagnostiquer et résoudre les problèmes AD CS les plus courants :

Identifier les problèmes de configuration courants

• Erreurs de modèle de certificat : les problèmes d’émission et d’inscription de certificats peuvent simplement venir de modèles mal configurés.
• Les services d’AC ne démarrent pas : examinez les journaux d’événements à la recherche de messages d’erreur. La cause peut être une corruption de la base de données, des autorisations insuffisantes ou des conflits de ports.
• Configuration de la révocation : vérifiez que les CRL ou les répondeurs OCSP sont correctement configurés et accessibles par les clients.
• Échecs de révocation de certificats : cela peut provenir de points de distribution de CRL ou de répondeurs OCSP inaccessibles, ou de problèmes de validation de la chaîne de certification.

Diagnostiquer les problèmes d’inscription et de validation

• Échecs d’inscription : vérifiez les autorisations sur les modèles de certificats et les agents d’inscription. Assurez-vous que les clients peuvent communiquer avec l’AC et accéder aux URL d’inscription.
• Certificats expirés : vérifiez que les certificats ne sont pas arrivés à expiration et mettez en place une surveillance pour alerter les administrateurs des expirations à venir.
• Certificats révoqués : recherchez la raison de la révocation et assurez-vous que les clients peuvent accéder à des CRL ou à des répondeurs OCSP à jour.
• Erreurs de validation de la chaîne de certification : vérifiez que toute la chaîne de certificats est intacte et valide. Contrôlez la présence des certificats intermédiaires et racines dans le magasin de certificats racines de confiance.
• Problèmes côté client : vérifiez la synchronisation horaire, la connectivité réseau et la configuration du pare-feu sur le poste client.

Peut-on encore utiliser AD CS après une migration vers Azure AD (Microsoft Entra ID) ?

Oui, les équipes informatiques peuvent continuer à utiliser AD CS même après une migration vers Azure AD (Microsoft Entra ID). Les certificats d’AD CS sécurisent les communications, authentifient les appareils et permettent un accès sécurisé aux ressources, que les identités soient gérées dans Azure AD ou dans un Active Directory sur site. Azure AD peut automatiser l’inscription des certificats afin de simplifier les processus des équipes informatiques.

AD CS fonctionne-t-il avec la gestion des appareils mobiles (MDM) ?

Oui, les logiciels MDM utilisent généralement des certificats pour l’authentification des appareils, le chiffrement et la sécurité des appareils mobiles.

AD CS peut fonctionner avec des solutions MDM, car la plupart des fournisseurs proposent un connecteur AD CS qui permet aux solutions cloud telles qu’un MDM de communiquer avec le serveur AD CS. Ces connecteurs sont particulièrement utiles pour les appareils non Windows, comme ceux d’Apple ou sous Android. Les techniciens peuvent ajouter des AC personnalisées, puis les déployer et les gérer depuis leur solution MDM.

Une intégration fluide avec un logiciel MDM garantit que les appareils sont correctement authentifiés et sécurisés, ce qui renforce la sécurité globale des données et des appareils au sein de l’entreprise.

Vous souhaitez sécuriser, gérer et prendre en charge vos appareils mobiles depuis n’importe où ? Consultez la FAQ MDM de NinjaOne pour trouver les réponses aux questions les plus fréquentes sur le MDM.

Conclusion

Active Directory Certificate Services (AD CS) joue un rôle important dans le durcissement de la sécurité des réseaux de domaine Windows. AD CS associe la PKI à l’infrastructure Active Directory que les équipes connaissent déjà et permet aux entreprises d’émettre et de gérer des certificats numériques, de sécuriser les communications et de vérifier l’identité des utilisateurs et des appareils du réseau. Parmi les avantages d’AD CS : une sécurité améliorée grâce au chiffrement et à l’authentification par certificat, une gestion des certificats simplifiée et une administration centralisée dans Active Directory.
Pour en tirer tous ces bénéfices, AD CS doit être géré et configuré correctement, ce qui implique de respecter un ensemble de bonnes pratiques : mettre en place des procédures de sauvegarde et de restauration, surveiller AD CS et assurer une maintenance régulière. En suivant ces recommandations et les autres conseils de cet article, et en développant vos compétences en résolution de problèmes, vous maintiendrez une infrastructure AD CS fiable et sécurisée qui contribue à la résilience globale de votre écosystème informatique.