La gestion des certificats num\u00e9riques au sein des r\u00e9seaux d\u2019entreprise s\u2019appuie souvent sur Active Directory Certificate Services (AD CS). Cet outil Windows Server constitue un pilier pour une infrastructure \u00e0 cl\u00e9 publique (PKI), essentielle \u00e0 la s\u00e9curit\u00e9 des \u00e9changes et \u00e0 l\u2019authentification des utilisateurs et des \u00e9quipements. Toutefois, la complexit\u00e9 des services propos\u00e9s, autant au niveau des ports r\u00e9seau utilis\u00e9s que des URL associ\u00e9es, demande une compr\u00e9hension pr\u00e9cise pour \u00e9viter les erreurs de configuration aux cons\u00e9quences lourdes. Ce guide aborde les sp\u00e9cificit\u00e9s des diff\u00e9rents services AD CS, \u00e9claire sur les ports incontournables \u00e0 surveiller, d\u00e9taille les URL indispensables au bon fonctionnement, et propose des rep\u00e8res pour mettre en \u0153uvre les meilleures pratiques, conditions sine qua non d\u2019une infrastructure fiable et durable.<\/p>\n\n
AD Certificate Services demeure un pilier de la s\u00e9curisation en environnement Active Directory. Ma\u00eetriser ses ports, URL et recommandations techniques permet d’\u00e9viter vuln\u00e9rabilit\u00e9s et interruptions de service.<\/p>\n
Une configuration rigoureuse d\u2019AD CS pr\u00e9vient les attaques cibl\u00e9es et assure la p\u00e9rennit\u00e9 de votre infrastructure \u00e0 cl\u00e9 publique.<\/p>\n<\/div><\/p>\n\n
La richesse d\u2019AD CS r\u00e9side dans la diversit\u00e9 de ses composants, chacun remplissant un r\u00f4le sp\u00e9cifique. L’Autorit\u00e9 de Certification (Certification Authority – CA) est au c\u0153ur de l’infrastructure, responsable de l\u2019\u00e9mission et de la r\u00e9vocation des certificats num\u00e9riques. Le portail web (Certification Authority Web Enrollment) offre l\u2019interface pour demander des certificats, bien que son usage soit limit\u00e9 en raison de risques connus, notamment li\u00e9s \u00e0 la vuln\u00e9rabilit\u00e9 PetitPotam. Le r\u00e9pondeur en ligne (Online Responder) facilite la v\u00e9rification de l\u2019\u00e9tat des certificats via le protocole OCSP, avec le conseil de l\u2019isoler sur un serveur d\u00e9di\u00e9 pour maximiser la s\u00e9curit\u00e9.<\/p>\n\n
Par ailleurs, l\u2019Inscription de p\u00e9riph\u00e9riques r\u00e9seau (Network Device Enrollment Service – NDES) \u00e9tend l\u2019\u00e9mission des certificats aux \u00e9quipements tels que VPN ou mobiles, s\u2019appuyant sur le protocole SCEP. Enfin, les services web d\u2019inscription (Certificate Enrollment Web Service) et de strat\u00e9gie d\u2019inscription (Certificate Enrollment Policy Web Service) permettent, via HTTPS, la d\u00e9livrance de certificats \u00e0 des entit\u00e9s hors du domaine, ouvrant ainsi l\u2019acc\u00e8s contr\u00f4l\u00e9 aux r\u00e9seaux externes ou zon\u00e9s.<\/p>\n\n
| Service AD CS<\/th>\n | Nom PowerShell<\/th>\n | Port r\u00e9seau typique<\/th>\n | Note de s\u00e9curit\u00e9<\/th>\n<\/tr>\n<\/thead>\n |
|---|---|---|---|
| Autorit\u00e9 de Certification (CA)<\/td>\n | ADCS-Cert-Authority<\/td>\n | TCP 135, TCP 445, TCP 636 (LDAPS)<\/td>\n | Limiter les acc\u00e8s aux admins, isoler la Root CA hors ligne<\/td>\n<\/tr>\n |
| Portail Web d\u2019inscription<\/td>\n | ADCS-Web-Enrollment<\/td>\n | TCP 80, TCP 443 (HTTPS)<\/td>\n | \u00c9viter son d\u00e9ploiement sur la CA principale, risques PetitPotam<\/td>\n<\/tr>\n |
| R\u00e9pondeur en ligne (OCSP)<\/td>\n | ADCS-Online-Cert<\/td>\n | TCP 80, TCP 443<\/td>\n | Isoler le service hors CA, garantir disponibilit\u00e9 et r\u00e9ponse rapide<\/td>\n<\/tr>\n |
| Inscription p\u00e9riph\u00e9riques r\u00e9seau (NDES)<\/td>\n | ADCS-Device-Enrollment<\/td>\n | TCP 80, TCP 443<\/td>\n | S\u00e9parer physiquement du serveur CA, contr\u00f4ler les acc\u00e8s NDES<\/td>\n<\/tr>\n |
| Services d\u2019inscription Web et de strat\u00e9gie d\u2019inscription<\/td>\n | ADCS-Enroll-Web-Svc \/ ADCS-Enroll-Web-Pol<\/td>\n | TCP 443 (HTTPS)<\/td>\n | H\u00e9berger en DMZ pour acc\u00e8s machines externes, authentification forte<\/td>\n<\/tr>\n<\/tbody>\n<\/table><\/figure>\n\nURLs essentielles pour la gestion des certificats dans AD CS<\/h2>\n\nLe fonctionnement d\u2019Active Directory Certificate Services n\u00e9cessite l\u2019acc\u00e8s \u00e0 diverses URL, connues pour leur r\u00f4le central dans les op\u00e9rations d\u2019\u00e9mission et de gestion des certificats. Parmi celles-ci, l\u2019URL du portail web d\u2019inscription permet aux utilisateurs de soumettre des requ\u00eates manuelles, bien que sa limite aux anciens mod\u00e8les de certificat rende ce service obsol\u00e8te dans plusieurs contextes.<\/p>\n\n Les services web d\u2019inscription et de strat\u00e9gie d\u2019inscription utilisent des URL s\u00e9curis\u00e9es en HTTPS pour faciliter les op\u00e9rations \u00e0 distance, particuli\u00e8rement pour les machines hors domaine. Ces points d\u2019acc\u00e8s doivent imp\u00e9rativement \u00eatre prot\u00e9g\u00e9s par des contr\u00f4les rigoureux d\u2019authentification et d\u2019autorisation, notamment lorsqu\u2019ils se situent en zone d\u00e9militaris\u00e9e (DMZ).<\/p>\n\n Enfin, le r\u00e9pondeur en ligne (OCSP) dispose \u00e9galement d\u2019une URL d\u00e9di\u00e9e qui re\u00e7oit les requ\u00eates de v\u00e9rification de certificat num\u00e9rique. La disponibilit\u00e9 et la rapidit\u00e9 de ce service sont cruciales pour \u00e9viter la validation de certificats r\u00e9voqu\u00e9s, un \u00e9l\u00e9ment majeur dans le maintien de la s\u00e9curit\u00e9 de l\u2019infrastructure.<\/p>\n\n Bonnes pratiques pour s\u00e9curiser la configuration d\u2019AD Certificate Services<\/h2>\n\nUne installation d\u2019Active Directory Certificate Services n\u00e9cessite une vigilance accrue concernant la configuration, afin d\u2019\u00e9viter les failles qui ont \u00e9t\u00e9 exploit\u00e9es dans le pass\u00e9, comme celles r\u00e9v\u00e9l\u00e9es par la vuln\u00e9rabilit\u00e9 PetitPotam. Tout d\u2019abord, la s\u00e9paration des r\u00f4les sur diff\u00e9rents serveurs est recommand\u00e9e : la Root CA doit rester hors ligne, tandis que les services comme OCSP et NDES doivent fonctionner sur des machines isol\u00e9es.<\/p>\n\n Ensuite, la gestion pr\u00e9cise des ports r\u00e9seau est indispensable. Il faut ouvrir uniquement les ports n\u00e9cessaires \u00e0 chaque service et limiter les acc\u00e8s via des r\u00e8gles de pare-feu strictes. En particulier, HTTPS doit \u00eatre privil\u00e9gi\u00e9 syst\u00e9matiquement pour toutes les communications sensibles.<\/p>\n\n La configuration des templates de certificats demande aussi une attention particuli\u00e8re. Une d\u00e9finition trop permissive des droits d\u2019\u00e9mission ou des usages autoris\u00e9s peut ouvrir la porte \u00e0 des attaques d\u2019usurpation. Par ailleurs, activer le mapping fort des certificats sur les contr\u00f4leurs de domaine accro\u00eet la r\u00e9sistance aux d\u00e9tournements d\u2019identit\u00e9.<\/p>\n\n Enfin, l\u2019approbation manuelle des demandes de certificat peut ajouter un niveau de contr\u00f4le suppl\u00e9mentaire, bien que son usage soit parfois per\u00e7u comme contraignant.<\/p>\n\n |