Dans la quasi-totalité des cyberattaques majeures contre les entreprises, un même chemin se répète : l’attaquant prend pied sur un poste de travail, progresse latéralement, puis vise une seule cible — l’Active Directory. Une fois le contrôleur de domaine et les comptes d’administration privilégiés entre ses mains, plus rien ne l’arrête : il peut déployer un rançongiciel sur l’ensemble du parc en quelques minutes. L’AD est le cœur du système d’information ; c’est aussi son point de défaillance unique.
La parade existe, elle est connue, et l’ANSSI la documente précisément : le modèle en tiers. Pourtant, dans beaucoup d’environnements, il reste partiellement appliqué — voire pas du tout. Cet article, et le tableau de bord interactif qui l’accompagne, expliquent pourquoi ce cloisonnement est la défense structurelle la plus efficace contre la compromission de domaine, et comment il se met en œuvre concrètement.
Le principe : cloisonner l’administration en trois niveaux
Le modèle en tiers, formalisé par l’ANSSI dans son guide d’administration sécurisée des systèmes d’information reposant sur Active Directory (le PA-099), répartit les ressources et les comptes d’administration en trois niveaux étanches :
- Tier 0 — l’administration de l’identité. Le cœur : contrôleurs de domaine, base AD (
ntds.dit), comptes Domain Admins et Enterprise Admins, PKI, ADFS, et tout compte ou groupe capable d’en prendre le contrôle. Sa compromission équivaut à la compromission de toute la forêt. - Tier 1 — les serveurs applicatifs. Serveurs membres, applications métier, bases de données et leurs administrateurs.
- Tier 2 — les postes utilisateurs. Le parc bureautique, les utilisateurs finaux, le support de proximité.
La règle d’or est unique : un identifiant d’un niveau supérieur ne doit jamais être exposé sur un niveau inférieur. Si un compte Tier 0 se connecte à un poste utilisateur compromis, son secret peut être volé — et toute l’architecture s’effondre. C’est le principe de la source propre.
Ce que cela implique concrètement
Appliquer le modèle en tiers, ce n’est pas cocher une case, c’est mettre en place un ensemble cohérent de mesures :
- Des comptes d’administration dédiés par niveau : un compte Tier 0, un compte Tier 1, un compte Tier 2, distincts du compte bureautique nominatif. Aucune réutilisation entre niveaux.
- Un poste d’administration durci et isolé (PAW) pour le Tier 0 : sans messagerie ni navigation Internet, réservé aux tâches sensibles.
- Le confinement des secrets : groupe Protected Users, silos d’authentification, flag « le compte est sensible et ne peut être délégué », et Kerberos Armor (FAST) pour protéger les tickets contre le vol et le rejeu.
- L’interdiction des cloisonnements faibles : refus de connexion croisée entre tiers appliqué par GPO, et chasse aux mauvaises pratiques de délégation Kerberos — la délégation non contrainte, en particulier, est un vecteur d’escalade redoutable à proscrire.
Un sujet d’actualité brûlant
Le modèle en tiers n’a jamais été aussi pertinent. La directive NIS2 et sa transposition imposent une administration sécurisée et la maîtrise des accès privilégiés, avec des objectifs concrets (le référentiel ReCyF). Microsoft a engagé la dépréciation de NTLM (annoncée en 2024), accélérant la bascule vers Kerberos et l’authentification moderne. Windows Server 2025 apporte son lot de nouveautés de sécurité AD. Et de nouvelles vulnérabilités liées à la délégation Kerberos continuent d’être publiées, rappelant que l’hygiène de l’AD est un chantier permanent.
Autrement dit : ne pas cloisonner son Active Directory, aujourd’hui, c’est à la fois un risque opérationnel majeur et un écart de conformité.
Un dashboard interactif pour tout visualiser
Plutôt qu’un document statique, nous avons condensé l’ensemble dans un tableau de bord interactif, à explorer ci-dessous : Metsys | Sécurisation Active Directory – Modèle de tiering ANSSI PA-099, ReCyF NIS2 & Windows Server 2025
Vous y trouverez :
- La vue Tiers — les trois niveaux détaillés (ressources, comptes, contrôles, supervision), avec un code couleur selon la criticité.
- Un tableau comparatif des trois tiers sur l’ensemble des critères structurants : comptes dédiés, postes d’administration, authentification, supervision, règles d’isolation.
- Une vue « Délégations Kerberos » — sans doute la plus précieuse : ce qui est interdit (délégation non contrainte, NTLM), ce qui est conditionnel (délégation contrainte KCD, S4U2proxy), et ce qui est recommandé (RBCD, Protected Users, silos d’authentification, Kerberos Armor), avec les vulnérabilités récentes à connaître.
- Les règles de flux — la visualisation des règles d’isolation entre tiers et des connexions interdites.
- Les nouveautés 2024-2026 — dépréciation NTLM, Windows Server 2025, NIS2 / ReCyF et CVE marquantes.
Comment l’utiliser
Naviguez entre les vues via les onglets, filtrez par tier ou par type de ressource dans le menu latéral, utilisez la recherche, et basculez en thème clair ou sombre. Le tableau de bord est responsive et fonctionne sur ordinateur comme sur mobile.
Servez-vous-en comme support de cadrage avec vos équipes, comme grille d’auto-évaluation de votre annuaire, ou comme base pédagogique pour expliquer les enjeux du tiering à des interlocuteurs non spécialistes.
Besoin d’aller plus loin ?
Auditer un Active Directory, concevoir et déployer un modèle en tiers, mettre en place des PAW, des silos d’authentification et une administration sécurisée, ou cadrer votre conformité NIS2 : nos experts cybersécurité et infrastructure vous accompagnent de l’audit à la mise en œuvre.
Echangez avec un expert Metsys : https://www.metsys.fr/contact/