Glossaire
Modèle de tiering
Le modèle de tiering AD sépare l'administration en Tier 0, 1 et 2 selon le rayon d'impact, pour que les identifiants privilégiés restent sur des systèmes sûrs.
Le modèle de tiering est l'approche de segmentation de l'administration d'Active Directory proposée par Microsoft. Le Tier 0 regroupe tout ce qui contrôle l'identité elle-même — contrôleurs de domaine, AD CS, AD FS, Entra Connect, systèmes de sauvegarde et comptes qui les administrent. Le Tier 1 couvre les serveurs et les applications ; le Tier 2, les postes de travail et les appareils des utilisateurs finaux. La règle fondamentale est directionnelle : un compte d'un tier supérieur ne doit jamais ouvrir de session sur un système d'un tier inférieur, car tout identifiant exposé sur une machine compromise n'est pas plus sûr que cette machine. Microsoft décrit désormais cette approche dans le cadre plus large de l'Enterprise Access Model, qui ajoute les plans d'accès cloud et utilisateurs.
C'est important, car la plupart des compromissions de domaine suivent le même schéma : un identifiant privilégié est récupéré sur une machine qui n'aurait jamais dû le détenir. Faire respecter les tiers avec des comptes d'administration distincts, des GPO de restriction d'ouverture de session, des postes de travail à accès privilégié et des silos de stratégies d'authentification transforme ce chemin, qui ne tenait qu'à une seule erreur, en quelque chose que l'environnement bloque par conception. Commencez par inventorier précisément le Tier 0 ; le reste du modèle en dépend.