Introduction

La méthode AGDLP est un principe de gestion des droits d’accès aux ressources partagées d’une entreprise, préconisé par Microsoft, basé sur les groupes de sécurité d’Active Directory et leurs étendues.

Cette méthode consiste à affecter des utilisateurs (Account), dans des groupes globaux (Global), ajouter ces groupes globaux dans des groupes de domaine local (Domain Local) et pour terminer, attribuer aux groupes de domaine local des permissions NTFS sur les ressources (Permissions), les permissions NTFS étant les autorisations attribuées sur un objet dossier ou fichier.

Intérêts de la méthode AGDLP

Voici les principaux arguments qui font qu’essayer AGDLP, c’est l’adopter :

Structurer correctement les accès sur un serveur de fichiers.

Gestion simple et rapide des permissions à l’aide de groupes et d’appartenances à ceux-ci : si un utilisateur (ou un groupe défini d’utilisateurs) doit avoir un accès à telle ou telle ressource, il n’y aura qu’à l’ajouter dans le groupe Global adéquate.

Gain de temps pour les administrateurs systèmes : une fois en place, il n’y aura plus à toucher aux droits définis sur les ressources.

Sécurité accrue : pas de propagation massive en cas d’infection du serveur de fichiers si les permissions NTFS sont correctement gérées. (Impérativement éviter de donner des permissions NTFS aux groupes types « Tout le monde » ou « Utilisateurs du domaine », etc… et privilégier les permissions à la racine de la ressource.)

Définition des étendues de groupes

L’étendue d’un groupe définit les objets qui peuvent en être membre ainsi que l’emplacement où ils peuvent être utilisés, c’est-à-dire seulement dans le domaine où il a été créé ou dans toute la forêt. Il existe 3 étendues de groupe de sécurité :

Groupe de domaine local (GL): il peut contenir des utilisateurs, des groupes globaux et universels de tous les domaines de la forêt et des groupes de domaine local de son propre domaine. Il peut seulement être utilisé pour fixer des permissions à des ressources dans le domaine dans lequel il a été créé.

Groupe global (GG): il peut contenir des comptes utilisateurs et des groupes globaux du même domaine et tous les autres objets d’un domaine approuvé. Il peut être utilisé dans toute la forêt pour donner des permissions aux ressources de son propre domaine mais aussi celles sur les domaines de la forêt qui ont une relation d’approbation.

Groupe universel (GU): il peut contenir des comptes utilisateurs, des groupes globaux et universels de n’importe quel domaine de la forêt. Ce groupe a une portée maximale puisqu’il est accessible dans l’ensemble de la forêt.

Dénomination des groupes

Le nom d’un groupe doit être le plus précis possible. D’un simple coup d’œil, il faut pouvoir identifier son utilité et son étendue. Voici un exemple de dénomination possible que j’applique personnellement :

⇒ Pour les groupes Globaux : GG_ Rôle-ou-Service

Exemples :

GG_Commerciaux : nous savons que ce groupe est un groupe « Global » (GG) et qu’il doit logiquement contenir tous les utilisateurs du service Commercial puisqu’il s’appelle “Commerciaux”.
GG_Gestionnaires_Plannings: nous savons que ce groupe est un groupe « Global » (GG) et qu’il contient tous les utilisateurs qui gèrent les plannings des employés.

⇒ Pour les groupes de Domaine Local : GDL_ nom-de-la-ressource_Permissions

Exemples :

GL_Compta_RO: nous savons que ce groupe est un groupe « de Domaine Local » (GL) et qu’il contient le ou les groupes globaux d’utilisateurs qui ont le droit de lire uniquement (RO pour ReadOnly) les fichiers contenus dans le répertoire « Compta ».
GL_Compta_RW : nous savons que ce groupe est un groupe « de Domaine Local » (GL)et qu’il contient le ou les groupes globaux d’utilisateurs qui eux, ont le droit d’écrire (RW pour Read&Write) dans le répertoire « Compta ».

Exemple d’application de droits d’accès aux ressources partagées

Prenons un exemple plus concret pour illustrer cette méthode.

Dans une entreprise, il existe un partage pour le service Direction qui contient des fichiers/dossiers sensibles. Il est bien évident que toutes l’entreprise ne doit pas avoir accès à cette ressource mais seulement les membres de la Direction. En revanche, il arrive fréquemment que le directeur, Mr Alain DUPONT, demande à une secrétaire, Mme Laura MARTIN, de relire certains de ses documents. Elle a donc elle aussi besoin d’un accès à ce partage mais seulement en lecture car le directeur ne veut pas que ses documents soient modifiés.

Si nous décortiquons ces informations, cela nous donnera :

2 utilisateurs : Alain DUPONT et Laura MARTIN
2 services différents : Direction et Secrétariat
1 répertoire accessible pour les 2 services : partage « Direction »
1 accès en lecture/écriture pour le service Direction
1 accès en lecture pour le service Secrétariat

Pour ce cas précis, voici une illustration des groupes que nous pouvons créer et des droits que nous pouvons appliquer tout en respectant le principe de la méthode AGDLP :

Sujet TP 2 : gestion des droits avec AGDLP

Pour l'ensemble de ce TP (hormis la partie "Pré-requis"), vous rédigerez une procédure illustrée permettant d'expliquer la mise en place de vos points de configuration et des captures d'écran permettant de prouver leur fonctionnement.

Pré-requis

Créer l’arborescence suivante sur le volume E :

Créer les partages suivants :

Informatique (partage visible, mappage lecteur I: )
Strasbourg (partage visible, mappage lecteur S: )
Personnel (partage caché, ajouter un « $ » à la fin du nom de partage)

Créer l’arborescence ci-dessous dans Active Directory.

Créer les groupes globaux :

GG_Direction
GG_ServiceInformatique
GG_ServiceJuridique
GG_ServiceCommercial

Créer les groupes locaux :

GL_Informatique _RO
GL_Informatique_RW
GL_STB_ServiceCommercial_RO
GL_STB_ServiceCommercial_RW
GL_STB_ServiceJuridique_RO
GL_STB_ServiceJuridique_RW

Créer les utilisateurs :

Bill GATES (Direction)
Corinne LEMAITRE (Juridique)
Walter WHITE (Commercial)
Korben DALLAS (Informatique)

Partie 1 : configuration classique

Configurer les droits des utilisateurs pour suit :

Bill a accès en lecture/écriture à tous les dossiers
Corinne a accès en lecture/écriture au dossier « Service juridique » et en lecture seule au dossier « Service commercial »
Walter a accès en lecture/écriture au dossier « Service commercial »

Partie 2 : Configuration spécifique 1 : le cas de Korben

Korben (qui d’après son manager est très bordélique) a accès en lecture/écriture au contenu de chaque dossier enfant du dossier « Informatique », mais ne peut pas modifier les dossiers enfants (support, production, …)

Pour configurer les droits de Korben, vous devrez utiliser la configuration avancée des droits NTFS. Grâce à cela, vous pourrez pour un groupe, configurer plusieurs droits spéciaux qui se cumuleront.

Vous devrez tenir compte de 5 paramètres :

Le type (autorisation ou refus)
L’étendue d’application (2 options)
Les autorisations
L’héritage

Partie 3 : Configuration spéficique 2 : le nouveau commercial

Un nouveau commercial est arrivé dans l’entreprise : Saul GOODMAN. Le responsable informatique a remarqué que Saul a pris l’habitude de copier tout le dossier CLIENTS du dossier Secteur Commercial sur son poste nomade, lorsqu’il part en clientèle pour la journée.

Afin de l’en dissuader, le responsable informatique vous demande de configurer les droits de la manière suivante :

il peut traverser le dossier CLIENTS (niveau 1 de l’arborescence)
il peut traverser les dossiers des clients (niveau 2 de l’arborescence)
il ne peut pas copier le dossier CLIENT et les dossiers des clients sur son poste
il peut lire/modifier le contenu des dossiers des clients (niveau 3 de l’arborescence)
il peut copier le contenu des dossiers des clients sur son poste

Partie 4 : création du lecteur personnel de Korben

Dans active directory, pour l’utilisateur Korben, connecter le lecteur P : à son dossier personnel qui devra se créer automatiquement dans le dossier « E:ProfilsPersonnel »Ouvrir la session sur le poste client pour vérifier le mappage du lecteur et les droits d’accès.

Indice : la configuration se fait dans le compte AD de Korben > Profil > Connecter à ... chemin de partage