Renforcer un domaine managé Microsoft Entra Domain Services

Par défaut, Microsoft Entra Domain Services permet l’utilisation de chiffrements comme NTLM v1 et TLS v1. Certaines applications héritées peuvent avoir besoin de ces chiffrements, mais étant considérés comme faibles, vous pouvez les désactiver si vous n’en avez pas l’utilité. Si vous disposez d’une connectivité hybride locale reposant sur Microsoft Entra Connect, vous pouvez aussi désactiver la synchronisation des hachages de mot de passe NTLM.

Cet article explique comment renforcer un domaine managé à l’aide d’un paramètre tel que :

• Désactiver les chiffrements NTLM v1 et TLS v1
• Désactiver la synchronisation de hachage de mot de passe NTLM
• Désactiver la possibilité de modifier les mots de passe avec le chiffrement RC4
• Activer le blindage Kerberos
• Signature LDAP
• Liaison du canal LDAP

Prérequis

Pour effectuer ce qui est décrit dans cet article, vous avez besoin des ressources suivantes :

• Un abonnement Azure actif.
  • Si vous n’avez pas d’abonnement Azure, créez un compte.
• Un client Microsoft Entra associé à votre abonnement, soit synchronisé avec un annuaire sur site, soit avec un annuaire cloud uniquement.
  • Si nécessaire, créez un client Microsoft Entra ou associez un abonnement Azure à votre compte.
• Un domaine managé Microsoft Entra Domain Services activé et configuré dans votre locataire Microsoft Entra.
  • Si nécessaire, créez et configurez un domaine managé Microsoft Entra Domain Services.

Utiliser les paramètres de sécurité pour renforcer votre domaine

1. Connectez-vous au portail Azure.

2. Recherchez et sélectionnez Microsoft Entra Domain Services.

3. Choisissez votre domaine managé, par exemple aaddscontoso.com.

4. Sur le côté gauche, sélectionnez Paramètres de sécurité.

5. Cliquez sur Activer ou Désactiver pour les paramètres suivants :

   • Mode TLS 1.2 uniquement
   • Authentification NTLM v1
   • Synchronisation de mot de passe NTLM
   • Chiffrement Kerberos RC4
   • Blindage Kerberos
   • Signature LDAP
   • Liaison du canal LDAP

   

Affecter la conformité Azure Policy pour l’utilisation de TLS 1.2

En plus des paramètres de sécurité, Microsoft Azure stratégie a un paramètre de conformité pour appliquer l’utilisation du protocole TLS 1.2. La stratégie n’a aucun impact tant qu’elle n’est pas affectée. Quand la stratégie est affectée, elle apparaît en Conformité :

• Si l’affectation est Audit, la conformité indique si l’instance de Domain Services est conforme.
• Si l’affectation est Refuser, la conformité empêche la création d’une instance de Domain Services si TLS 1.2 n’est pas exigé et empêche toute mise à jour d’une instance de Domain Services jusqu’à ce que TLS 1.2 soit exigé.

Auditer les échecs NTLM

Bien que la désactivation de la synchronisation de mot de passe NTLM améliore la sécurité, de nombreuses applications et de nombreux services ne sont pas conçus pour fonctionner sans elle. Par exemple, la connexion à une ressource par son adresse IP, telle que la gestion de serveur DNS ou le protocole RDP, échoue avec l’erreur Accès refusé. Si vous désactivez la synchronisation de mot de passe NTLM et que votre application ou service ne fonctionne pas comme prévu, vous pouvez vérifier les échecs d’authentification NTLM en activant l’audit de sécurité pour la catégorie d’événements Ouverture/fermeture de session>Auditer l’ouverture de session, où NTLM est spécifié en tant que package d’authentification dans les détails de l’événement. Pour plus d’informations, consultez Activer les audits de sécurité pour Microsoft Entra Domain Services.

Utiliser PowerShell pour renforcer votre domaine

Si nécessaire, installez et configurez Azure PowerShell. Veillez à vous connecter à votre abonnement Azure à l’aide de l’applet de commande Connect-AzAccount.

De plus, si nécessaire, installez le Kit de développement logiciel (SDK) PowerShell Microsoft Graph. Veillez à vous connecter à votre client Microsoft Entra à l'aide de la cmdlet Connect-MgGraph.

Pour désactiver les suites de chiffrement faible et la synchronisation de hachage d’informations d’identification NTLM, connectez-vous à votre compte Azure, puis obtenez la ressource Domain Services en utilisant la cmdlet Get-AzResource :

Login-AzAccount

$DomainServicesResource = Get-AzResource -ResourceType "Microsoft.AAD/DomainServices"

Ensuite, définissez DomainSecuritySettings pour configurer les options de sécurité suivantes :

1. Désactivez la prise en charge de NTLM v1.
2. Désactiver la synchronisation des hachages de mots de passe NTLM à partir de votre instance Active Directory locale.
3. Désactivez TLS v1.

$securitySettings = @{"DomainSecuritySettings"=@{"NtlmV1"="Disabled";"SyncNtlmPasswords"="Disabled";"TlsV1"="Disabled";"KerberosRc4Encryption"="Disabled";"KerberosArmoring"="Disabled"}}

Enfin, appliquez les paramètres de sécurité définis au domaine managé à l’aide de l’applet de commande Set-AzResource. Spécifiez la ressource Domain Services de la première étape ainsi que les paramètres de sécurité de l’étape précédente.

Set-AzResource -Id $DomainServicesResource.ResourceId -Properties $securitySettings -ApiVersion “2021-03-01” -Verbose -Force

L’application des paramètres de sécurité au domaine managé prend quelques instants.

Étapes suivantes

Pour en savoir plus sur le processus de synchronisation, consultez Synchronisation des objets et des informations d’identification dans un domaine managé.