L’Active Directory est-il en phase terminale ?

Après avoir enterré la NDS de Novell NetWare et envoyé au cimetière Windows NT DS, elle s’est déployée dans tous les environnements d’entreprise.

Aujourd’hui encore, elle assure quotidiennement l’authentification des utilisateurs et des applications, l’intégration des postes Windows, l’application des stratégies de groupe et, plus largement, une grande partie de la gestion des identités et des ressources d’un système d’information.

Cependant, si elle constitue une composante dorsale des systèmes d’information d’entreprise, permettez-moi d’affirmer que, malgré sa résilience légendaire, cette solution a pris quelques rides…

Maintenir un Active Directory dans des conditions de sécurité optimales : un véritable défi

Certes, le cloud, le Zero Trust sont passés par là, mais force est de constater que l’Active Directory n’a pas évolué depuis plusieurs années. Je ne m’attarderai pas sur les outils de gestion Active Directory sous Windows Server, qui n’ont pas changé d’un iota depuis 26 ans, alors même que les fonctionnalités du système d’exploitation sous-jacent se sont nettement améliorées.

À ce jour, l’environnement d’authentification AD repose toujours sur Kerberos, 26 années également au compteur, et non sur l’authentification moderne. Absence de solution d’authentification multi facteurs, pas de règles d’accès conditionnel, pas d’analyse comportementale des connexions, une authentification encore basée sur des mots de passe : maintenir un Active Directory dans des conditions de sécurité optimales est un véritable défi, tant certaines fonctionnalités de sécurité apparaissent aujourd’hui obsolètes.

Une greffe technologique avec Entra ID

Une solution réside peut-être dans une greffe technologique avec Entra ID via les fonctionnalités de Microsoft Entra Private Access for Active Directory domain controllers.

La maintenance (MCS/MCO) d’une ou plusieurs forêts Active Directory demande parfois quelques soins intensifs lors d’opérations telles que la mise à jour du schéma, la vérification des réplications ou l’installation de correctifs de sécurité sur l’ensemble des contrôleurs de domaine, etc., pour in fine maintenir en vie un service d’annuaire et d’authentification vieillissant.

Depuis l’avènement d’Entra ID, on constatera aisément que Microsoft n’investit plus autant dans cette solution. L’éditeur de Redmond se contente désormais de maintenir à bout de patchs cet annuaire hérité d’un lointain passé, en supprimant notamment certains protocoles ou mécanismes de chiffrement obsolètes, comme récemment RC4.

À ce jour, sauf erreur de ma part, aucun projet de type « Entra ID local » n’est annoncé par Microsoft, qui oriente doucement ses clients vers une intégration de plus en plus aboutie autour d’Entra ID, renforçant par là même la dépendance aux services connectés.

Le vieillissement d’une technologie ne se mesure pas uniquement à son code. Il se mesure aussi à son écosystème et aux compétences disponibles pour l’exploiter. La connaissance technique s’efface, petit à petit. Peu de jeunes ingénieurs sont réellement formés à cet environnement par leurs organismes de formation, qui orientent leurs cursus vers des solutions SaaS fortement sollicitées par les entreprises. À terme, cette raréfaction des compétences pourrait devenir presque aussi problématique que le vieillissement technologique lui-même.

Le centre de gravité de l’innovation s’est déplacé

Les éditeurs de solutions tierces, quant à eux, suivent le marché et développent de moins en moins pour l’environnement Active Directory, même si certaines solutions historiques subsistent encore. Pour eux, le centre de gravité de l’innovation s’est nettement déplacé.

26 années d’Active Directory dans les entreprises ne vont pas s’effacer de sitôt. En cause : la forte dépendance applicative. En d’autres termes, l’agonie du patient AD sera longue. Reste à savoir si, techniquement, il est réellement possible de s’en passer.

Dans un monde 100 % Microsoft, peut-être.

Dans un système d’information hétérogène… pas sûr.