Administration Systèmes » Windows Server » Active Directory » Restreindre l’ajout de machines au domaine

Active Directory

Restreindre l’ajout de machines au domaine

05/12/2012 Florian B. 3 Commentaires Sécurité

I. Présentation
Lors de la création d’un domaine, deux objets de stratégies de groupe (GPO) sont créés :

- Default Domain Policy (s’applique au domaine),

- Default Domain Controllers Policy (s’applique au(x) contrôleur(s) de domaine).
Dans la seconde, le paramètre « Ajouter des stations de travail au domaine » est défini et permet
à tous les utilisateurs authentifiés sur le domaine d’ajouter et de retirer des machines du domaine.

Autant vous dire que c’est d’une part un trou de sécurité et d’autre part cela peut engendrer une
perte de contrôle si n’importe quel utilisateur authentifié sur le domaine peut ajouter et retirer des
postes du domaine.

A la fin de la création du domaine, il est essentiel de modifier ce paramètre afin de le restreindre

uniquement à certains groupes, comme par exemple le groupe des Administrateurs. Ce qui semble
beaucoup plus logique et raisonnable.

Dans ce tutoriel nous allons voir où trouver ce paramètre dans les stratégies de groupe et nous allons
le paramétrer.
II. Paramétrage
Sur votre serveur, accédez à la console « Gestion des stratégies de groupe » en cliquant sur
« Démarrer » puis « Outils d’administration ».

Développez l’arborescence de votre domaine, jusqu’à trouver « Objets de stratégie de groupe ».

C’est dans cette section que vous trouverez l’intégralité de vos objets GPO.

Afin de modifier l’objet « Default Domain Controllers Policy » faites clic droit dessus puis
« Modifier… ».

Vous devez maintenant développer l’arborescence de la manière suivante :

« Configuration ordinateur », « Stratégies », « Paramètres Windows », « Paramètres de

sécurité », « Stratégies locales » puis « Attribution des droits utilisateurs ». Une fois que vous
y êtes, vous devriez voir le paramètre « Ajouter des stations de travail au domaine » comme je
vous l’ai dit dans la présentation.
Double cliquez dessus, sélectionnez « Utilisateurs authentifiés » et cliquez sur « Supprimer »
pour supprimer cette autorisation.

Il faut désormais ajouter le groupe « Administrateurs » dans la liste. Cliquez sur « Ajouter un
utilisateur ou un groupe » et saisissez « Administrateurs » et cliquez sur « OK ».
Note : Attention aux fautes de frappe !

Vous pouvez éventuellement cliquez sur « Parcourir » afin de rechercher dans l’Active
Directory le groupe que vous souhaitez ajouter pour l’autoriser.
Il ne vous reste plus qu’à cliquer sur « Appliquer » et « OK » pour valider le paramétrage. Vous
pouvez fermer les différentes fenêtres ouvertes.
Avec ce simple paramètre, vous venez d’accroître la sécurité de votre domaine.