SUP-04 — Administration des identités et résolution des incidents d'accès Active Directory

Résumé destiné aux recruteurs

SUP-04 présente les activités d’administration et de support des accès Active Directory exercées au MCN : recherche et diagnostic des comptes utilisateurs, analyse d’objets Active Directory, résolution de problèmes d’accès et support aux utilisateurs. La fiche transforme ces pratiques en une démarche explicite : qualifier le symptôme, vérifier le compte et son état, contrôler l’appartenance aux groupes et les permissions, examiner les GPO, puis diagnostiquer DNS ou l’authentification lorsque cela est pertinent.

Contexte et objectifs

Un refus d’accès peut être interprété à tort comme un simple problème de mot de passe. Il peut pourtant dépendre de l’état du compte, de l’identité utilisée, de l’appartenance à un groupe, d’une permission de ressource, d’une stratégie de groupe, de la résolution DNS ou de l’authentification. Une intervention fiable sépare ces hypothèses et conserve une trace de la vérification menée.

Les objectifs sont de :

• Rechercher les comptes et objets concernés sans exposer de données nominatives.
• Vérifier l’état d’un compte et les attributs utiles au diagnostic, dans le cadre autorisé.
• Relier l’identité à ses groupes de sécurité et les groupes à l’autorisation attendue.
• Distinguer une permission de ressource d’une stratégie de configuration GPO.
• Vérifier le chemin DNS/authentification seulement lorsque le symptôme l’exige.
• Valider la résolution avec l’utilisateur et documenter le résultat.

Responsabilités documentées et environnement technique

Architecture A — Active Directory conceptuel

Authentification, comptes et groupes

Active Directory Domain Services centralise l’identité des utilisateurs, ordinateurs et groupes d’un domaine. Lors d’une authentification, l’identité, l’état du compte, la résolution du domaine et les mécanismes d’authentification participent au résultat. Après authentification, les groupes de sécurité contribuent au jeton d’accès utilisé pour évaluer les permissions sur les ressources.

Le diagnostic ne consiste pas à modifier systématiquement un compte. Il confirme d’abord le compte concerné, son état, le contexte de connexion et les groupes attendus. Toute action de cycle de vie ou de privilège relève des processus, des approbations et des délégations autorisés ; cette page ne revendique aucune modification IAM précise.

Architecture B — Gestion des autorisations

Principes de moindre privilège

• Accorder seulement le niveau d’accès nécessaire au besoin métier validé.
• Privilégier l’attribution par groupe de sécurité plutôt qu’une permission individuelle quand le modèle d’autorisation le permet.
• Séparer la recherche/diagnostic d’objet de la décision d’attribution de droits.
• Conserver une preuve de la demande et de l’approbation suivant la procédure de l’organisation.
• Vérifier l’effet réel de la permission sur la ressource sans exposer son contenu.

Architecture C — Application des GPO

Une GPO est liée à un domaine, un site ou une unité d’organisation selon le modèle d’administration. Son application dépend notamment de la localisation de l’objet, de l’héritage, du filtrage de sécurité et du contexte ordinateur ou utilisateur. Une stratégie non reçue ne démontre pas à elle seule un défaut de GPO : le diagnostic vérifie également le poste, l’identité, la connectivité et le résultat de stratégie disponible.

Architecture D — Diagnostic d’un incident d’accès

Méthode de diagnostic des accès

1. Identifier le problème : message observé, ressource demandée, poste et moment du symptôme.
2. Identifier le compte et la ressource : éviter d’analyser un homonyme, un ancien compte ou une mauvaise cible.
3. Vérifier l’état du compte : disponibilité, cohérence des informations utiles et contexte de connexion, conformément aux droits reçus.
4. Vérifier les groupes : comparer l’appartenance observée avec le besoin d’accès approuvé.
5. Vérifier les permissions : établir si le groupe a bien le droit attendu sur la ressource, sans confondre autorisation et appartenance.
6. Vérifier les GPO : examiner la portée, le filtrage et le résultat de stratégie lorsqu’une configuration de poste ou d’utilisateur est en cause.
7. Diagnostiquer DNS/authentification quand les indices pointent vers le domaine, la découverte de service ou la connexion.
8. Résoudre dans le périmètre autorisé : appliquer ou faire appliquer le correctif documenté, avec les approbations requises.
9. Valider avec l’utilisateur : confirmer l’accès attendu et documenter les contrôles, la cause et le résultat.

RSAT, SuperConsole AD et outils d’administration

Documentation de référence rapide

Compétences démontrées

Résultats vérifiables et limites

• Les réalisations documentées couvrent la recherche et le diagnostic de comptes, le diagnostic d’objets Active Directory, la résolution de problèmes d’accès et le support aux utilisateurs.
• Les quatre schémas sont produits depuis des sources Mermaid et exportés en SVG ; le domaine corp.example et toutes les ressources sont fictifs.
• Aucun contrôleur, nom de domaine MCN, groupe, permission, GPO, modification IAM, métrique ou donnée utilisateur réelle n’est publié.
• Les indicateurs opérationnels ne sont pas publiés afin de préserver les données de gestion et de sécurité.