La deuxième partie de cette série vise à présenter l'interrelation entre l'AD et le Domain Name System (DNS).
Qu'est-ce que le DNS ?
Le DNS, au sens général, est un moyen de résoudre les noms d'hôtes ou de domaines en adresses IP correspondantes.
Dans le contexte AD, le service DNS maintient un espace de noms de travail de domaines et sous-domaines DNS qui aident principalement au processus de recherche. Il aide à identifier et à trouver les diverses ressources dans tout environnement AD privé.
Les serveurs DNS fonctionnent de manière cohérente dans les domaines et sites AD pour permettre la résolution de noms utilisateurs et ordinateurs, parmi d'autres fonctionnalités. Dans la plupart des cas, aucun serveur DNS ne peut à lui seul assurer tous les services essentiels. Les serveurs DNS sont donc logiquement regroupés dans un réseau hiérarchique pour permettre un service DNS transparent dans les réseaux AD.
Comment l'AD utilise-t-il les services DNS ?
La dépendance AD vis-à-vis du DNS peut être comprise à travers les sujets suivants :
-
Processus de localisation des DC
-
Enregistrements de ressources DN
-
Zones DNS et fichiers de zon
-
DNS et LDAP
Processus de localisation des DC
Un contrôleur de domaine (DC) est le serveur primaire d'authentification et d'autorisation dans un environnement AD. Il s'agit du serveur sur lequel est installé le rôle de serveur AD DS.
Pour utiliser les services de base AD, c'est-à-dire pour rechercher, authentifier et autoriser les accès des utilisateurs et modifier tout objet AD, comme les utilisateurs, les groupes ou les ordinateurs, les serveurs DNS sont utilisés pour "localiser" les DC disponibles dans les sites AD respectifs.
Voici une brève description de la manière dont les DC sont localisés :
-
Le protocole DNS, qui fait partie de la couche application de la suite de protocoles TCP/IP, est utilisé pour localiser et contacter le DC le plus proche.
-
L'ordinateur client envoie une requête DNS au serveur DNS pour la résolution DNS. Le serveur DNS est identifié à l'aide des paramètres de configuration TCP/IP de l'ordinateur client
-
Le serveur DNS répond à cette requête avec la liste des enregistrements DNS qui correspondent à la requête. Elle contient généralement la liste de tous les DC disponibles dans le domaine demandé.
-
L'ordinateur client valide cette réponse (appelée enregistrement SRV, ce qui est expliqué dans la section suivante) et sélectionne un DC en fonction de la priorité et du poids attribués à l'enregistrement.
-
Le client envoie une deuxième requête DNS, demandant au serveur DNS de fournir l'adresse IP du DC sélectionné.Le serveur DNS vérifie l'enregistrement A (également expliqué dans la section suivante) et répond à la requête du client avec l'adresse IP correspondante.
Avec cette information, le client contacte le DC et initie la communication.
Enregistrements de ressources DNS
Le serveur DNS est chargé de maintenir différents types d'enregistrements de données dans la base de données DNS.
Parmi les nombreux enregistrements de ressources sauvegardés dans la base de données DNS, les enregistrements de localisation de service (enregistrements SRV) sont de première importance pour le processus de localisation des DC.
Comme présenté brièvement dans la section ci-dessus sur le processus de localisation des DC, l'ordinateur client trie les multiples enregistrements SRV fournis par le serveur DNS en réponse à sa première requête DNS. Chaque enregistrement est associé à un nom d'hôte serveur offrant potentiellement le service requis par le client.
Il peut arriver que plusieurs enregistrements SRV, provenant de tous les sites AD, soient proposés à un client dans un domaine donné pour un service requis. Dans ce cas, les informations de poids et de priorité associées à chaque enregistrement de service sont vérifiées, et l'enregistrement auquel est attribuée une priorité inférieure est choisi.
Pour les enregistrements ayant la même priorité, celui dont le poids relatif est le plus faible est sélectionné pour permettre aux administrateurs d'équilibrer la charge.
L'ordinateur client utilise le nom du serveur hôte associé à l'enregistrement SRV sélectionné pour passer à l'étape suivante qui consiste à obtenir l'adresse IP du DC choisi.
Une fois qu'un DC approprié a été sélectionné, une deuxième requête DNS de l'ordinateur client demande qu'un enregistrement A (enregistrement hôte) soit envoyé par le serveur DNS avec les informations IP du DC sélectionné. Ainsi, les enregistrements A sont les autres enregistrements de ressources essentiels gérés par le DNS pour le processus de localisation des DC.
Zones DNS et fichiers de zone
Les enregistrements SRV et les enregistrements A ne sont pas les seuls enregistrements de ressources conservés sur le serveur DNS. Il existe près de 90 enregistrements de ressources officiels stockés dans la base de données du serveur DNS, dont beaucoup sont également utiles pour les fonctionnalités AD. Avant de présenter d'autres enregistrements de ressources, il est utile de se familiariser avec les zones DNS et les fichiers de zone afin de comprendre comment les enregistrements sont stockés sur le serveur.
Les zones DNS sont des dérivés de l'espace de noms DNS qui sont gérés et contrôlés par l'administrateur AD, et elles sont utilisées pour stocker et répliquer des données DNS modifiables. Les zones DNS intégrées à l'Active Directory sont des sections de la partition de répertoire de la base de données AD appelée partition d'application.
Au sens physique, ces zones contiennent des données ou des informations liées au DNS sous la forme de fichiers texte, ou fichiers "zone". Les enregistrements de données DNS pour les domaines et sous-domaines représentés par la zone DNS sont stockés dans ces fichiers texte.
Dans l'architecture logique AD, ces zones représentent des groupes d'objets conteneur contenant plusieurs autres objets AD. Chaque nom unique stocké dans l'AD est identifié par un objet de nœud DNS unique. Les enregistrements DNS sont des attributs à valeurs multiples attribués à ces objets.
Les zones DNS peuvent être classées comme suit :
-
Les zones primaires qui stockent les copies maîtres des données de la zone.
-
Les zones secondaires qui stockent une copie en lecture seule des données de la zone
-
Les zones d'attente ne contenant que des enregistrements de ressources limités pour identifier les serveurs faisant autorité
-
Les zones intégrées AD-DNS dont les données DNS sont stockées dans la base de données AD et qui utilisent le modèle de réplication AD pour modifier les données DNS sur un DC particulier et les faire refléter sur tous les DC de la forêt AD.
En conclusion, le processus de localisation des DC, les enregistrements de ressources DNS, les zones DNS et les fichiers de zone sont liés de la manière suivante :
-
Considérons le rôle de serveur DNS installé sur le DC dans un environnement AD type, ad.practice.com.
-
Deux zones DNS primaires intégrées à l'AD sont créées. Elles sont appelées zones de recherche directe
-
Dans le cas de l'exemple de configuration AD mentionné ci-dessus, deux zones de recherche directe sont créées par défaut, à savoir _msdcs.ad.practice.com et ad.practice.com. Toutes deux sont créées dans la partition d'application de la base de données de l'annuaire AD
-
Ces zones contiennent des informations sous forme d'enregistrements de ressources qui permettent de nombreuses fonctionnalités AD-DNS, notamment le processus de localisation des DC, l'identification des sites AD et la résolution de noms lors de la recherche d'objets
-
Ces fichiers de zone comportent plusieurs types d'enregistrements de ressources. Les enregistrements SRV utilisés dans le processus de localisation des DC se trouvent dans ces fichiers de zone pour localiser les DC qui offrent des services tels que le service Netlogon
-
Les autres enregistrements importants utilisés sont les enregistrements A, qui sont des enregistrements d'hôte contenant l'adresse IP du DC sélectionné et sont envoyés comme réponse par tout ordinateur client sous forme de requête DNS
-
Les enregistrements de nom canonique, ou enregistrements CNAME, sont d'autres enregistrements importants conservés dans les fichiers de zone. Les alias pour les serveurs et les autres ressources réseau connectées, telles que les imprimantes, peuvent être configurés comme une substitution d'un autre domaine ou nom d'hôte.
La section suivante traite de la manière dont les données AD sont récupérées et modifiées. Cette section a pour seul but de comprendre comment le Lightweight Directory Access Protocol (LDAP) est utilisé pour communiquer avec les services AD et comment le LDAP dépend du DNS.
DNS et LDAP
Chaque objet AD est identifié par des normes de dénomination uniques.
La résolution de ces DN (Distinguished Names) en adresses IP s'effectue à l'aide du LDAP. Ce protocole est utilisé dans les environnements AD pour rechercher chacun des objets AD et modifier ou gérer la communication avec le service d'annuaire sans nécessairement connaître l'emplacement exact ou l'adresse IP des ressources. Cela est possible grâce à l'intégration des services AD avec le DNS.
Le processus d'authentification LDAP utilise les entrées DNS stockées dans la base de données du serveur LDAP, qui est appelée agent de système d'annuaire, ou DSA. En deux étapes d'authentification, le DN et ensuite le mot de passe sont résolus et vérifiés. Si les informations d'identification fournies correspondent à celles stockées dans la base de données LDAP, le serveur authentifie et autorise l'utilisateur à accéder aux différentes ressources du réseau.
Vous pouvez constater que les interdépendances entre l'AD et le DNS sont assez importantes. Les rouages de l'AD sont construits de manière complète sur le cadre du DNS. Les sections ci-dessus mettent en évidence certains des domaines de cette interrelation en termes pratiques, mais vous pouvez étudier ce sujet encore plus en détail.
Les données DNS sont très exposées aux menaces de sécurité. Les zones DNS intégrées à l'AD sont sensibles à diverses tentatives d'infiltration de sécurité. Les attaques par déni de service, l'usurpation et le détournement DNS sont quelques-unes des nombreuses façons dont les cyberattaquants compromettent le serveur DNS d'une entreprise. L'Active Directory doit être surveillé de près, et l'intégration AD-DNS doit être réalisée efficacement pour garantir la sécurité. Une attaque sur l'architecture AD-DNS, si elle n'est pas empêchée ou du moins gérée efficacement, peut être gravement préjudiciable à la stratégie de sécurité d'une entreprise.