Active Directory

ADCS Enrollment Web Services - Simple and secure by Design but Business compliant [Benoît SAUTIERE / Exakis / MVP] Le rôle ADCS est présent depuis Windows NT 4.0.

Avec Windows 2000, il a fait son entrée dans l’annuaire Active Directory avec son mode “Enterprise”. Problème, ce mode de fonctionnement implique que les clients soumettent leurs demande de certificats en passant par DCOM et non les RPC. A l’heure de Windows 7/Windows 2008 R2, l’utilisation de RPC/DCOM pour soumettre ses demandes de certificats, c’est pas ce qu’il y a de mieux pour sécuriser le rôle ADCS. Pourtant, on dispose bien d’un site web d’enregistrement de demande de certificats mais c’est pour traiter des demande manuelle.

Avec Windows 7 / Windows 2008 R2, on dispose de deux Web Services pour adresser cette problématique: Certificate Enrollment Policy Web Service Certificate Enrollment Web Service Pourquoi deux Web Services? Le “Certificate Enrollment Web Service” a lui la charge de recevoir les demandes de certificats pour les soumettre à l’autorité de certification et de retourner les résultats. Stratégie d’enrôlement par défaut. Authentification des utilisateurs - de LDAP à Kerberos - CAS et Kerberos - Esup Portail. Pascal Aubry et François Dagorn (IFSIC / université de Rennes 1) Introduction Cet article explique comment il est possible de migrer l'authentification des utilisateurs de l'université de Rennes 1 depuis la solution actuelle basée sur l'annuaire LDAP vers une solution basée sur Kerberos, avec les objectifs suivants : Supprimer les failles de sécurité actuelles observées avec l'authentification LDAP.

Proposer un mécanisme d'authentification autre que LDAP pour Windows 7. Disposer d'une authentification SSO depuis la session utilisateur sur les postes clients jusqu'aux applications web. Nous commençons par décrire la situation actuelle, puis évoquons les solutions possibles. 1. 1.1 Architecture L'architecture informatique de l'université de Rennes 1 est aujourd'hui constituée de : postes clients (Windows XP, Linux et Mac OS X). 1.2 Authentification Les clients Unix se basent sur le module PAM pam_ldap. 2. 2.1 Pour plus de sécurité 2.2 A cause de l'apparition de Windows 7. Poste Linux, Kerberos et Active Directory - Aepik.net, LDAP, SSO et logiciels libres. Cet article décrit une configuration pas à pas d'un poste client GNU/Linux (Fedora Core 4) pour disposer d'une authentification sécurisée auprès d'un serveur Windows 2000/2003 Server disposant d'un annuaire Active Directory.

Le principe de fonctionnement ne sera pas détaillé ici, mais vous pouvez consulter la présentation du protocole Kerberos disponible sur mon blog. Préliminaire Il est nécessaire d'avoir une vue globale sur le principe de fonctionnement du mécanisme qui va être mis en place. L'authentification sur un serveur Windows 2000/2003 Server s'effectue grâce à Active Directory.

Cet annuaire répond aux standards du protocole LDAP (il est ainsi aisé de parcourir l'annuaire Active Directory à l'aide d'un explorateur LDAP). Tout au long de cet article, je vais mettre en oeuvre un client LDAP ainsi qu'un client Kerberos. L'objectif est bien entendu de faire intéragir ces deux mécanismes entre eux. Installation des outils Kerberos Synchronisation du temps. Active Directory Maximum Limits Scalability Capacity. This topic describes Active Directory scalability and other limitations, as well as recommendations that apply when you are designing or implementing an Active Directory infrastructure.

These limitations include the following: Maximum Number of Objects Each domain controller in an Active Directory forest can create a little bit less than 2.15 billion objects during its lifetime. Each Active Directory domain controller has a unique identifier that is specific to the individual domain controller. These identifiers, which are called Distinguished Name Tags (DNTs), are not replicated or otherwise visible to other domain controllers. Because new domain controllers start with low initial DNT values (typically, anywhere from 100 up to 2,000), it may be possible to work around the domain controller lifetime creation limit—assuming, of course, that the domain is currently maintaining less than 2 billion objects. Maximum Number of Security Identifiers Group Memberships for Security Principals.