Qu'est-ce qu'Active Directory ? Explications et usages pour les entreprises en 2026

Si vous avez déjà travaillé dans un bureau où vous ouvriez chaque matin votre session Windows avec votre compte professionnel, vous avez utilisé Active Directory sans le savoir. Depuis plus de vingt-cinq ans, Active Directory est le moteur discret de la gestion des identités et des accès dans pratiquement tous les réseaux d'entreprise. Dans cet article, nous expliquons ce qu'est exactement Active Directory, comment il se situe par rapport à Microsoft Entra ID, son pendant moderne, à quoi il sert encore en 2026 et quels risques il comporte.

Qu'est-ce qu'Active Directory ?

Active Directory est le service d'annuaire de Microsoft pour les domaines Windows. Un service d'annuaire est en fait l'annuaire téléphonique central de votre réseau : il recense les utilisateurs, ordinateurs, imprimantes, groupes et dossiers existants, qui a accès à quoi, et qui est qui sur le réseau. Microsoft a présenté Active Directory en 1999 et l'a lancé avec Windows 2000 Server le 17 février 2000. Il a remplacé l'ancien modèle de Primary Domain Controller de Windows NT.

Son socle technique repose sur trois protocoles que l'on retrouve souvent dans la pratique :

• LDAP (Lightweight Directory Access Protocol, versions 2 et 3) pour consulter et modifier les objets de l'annuaire.
• Kerberos pour l'authentification, avec des tickets qui évitent que les mots de passe circulent sans cesse sur le réseau.
• DNS pour le nommage et la localisation des contrôleurs de domaine.

Le serveur qui héberge l'annuaire s'appelle un contrôleur de domaine (domain controller). Dans un réseau bien conçu, il y en a toujours au moins deux, pour que les connexions ne s'arrêtent pas si l'un d'eux tombe en panne.

À quoi sert Active Directory ?

Active Directory remplit trois fonctions dont toute organisation a besoin, mais qui deviennent ingérables sans système centralisé :

1. L'authentification. Qui êtes-vous ? Votre collaborateur se connecte une fois ; le contrôleur de domaine vérifie le mot de passe, l'associe à un compte et délivre un ticket Kerberos. À partir de là, il n'a plus besoin de ressaisir ses identifiants pour accéder aux serveurs, dossiers ou imprimantes du domaine.
2. L'autorisation. Qu'avez-vous le droit de faire ? Active Directory gère qui a accès à quel dossier, quel serveur, quelle application et quelle imprimante. Cela ne se fait pas utilisateur par utilisateur, mais par groupes.
3. Les stratégies. À quoi doit ressembler votre poste de travail ? Avec les stratégies de groupe (Group Policy), vous déployez des règles de façon centralisée : le bureau, le mappage des lecteurs réseau, les paramètres de sécurité, l'installation de logiciels et des centaines d'autres réglages.

Dans une PME de vingt collaborateurs disposant de son propre serveur de fichiers, la différence est énorme : sans Active Directory, un administrateur devrait définir manuellement les droits et les paramètres pour chaque compte, chaque serveur et chaque poste de travail.

Les briques de base : domaine, OU, utilisateurs et groupes

Active Directory s'organise selon une structure logique. La plus grande unité est la forêt (forest) ; en dessous se trouvent les domaines (domains), puis une arborescence hiérarchique d'unités d'organisation (organizational units, ou OU). Concrètement, une OU est un dossier : un service, un site ou une fonction.

Au sein de cette structure vivent les objets qui comptent vraiment :

• Les comptes utilisateurs, avec nom, mot de passe, adresse e-mail et attributs.
• Les comptes d'ordinateurs pour chaque poste de travail ou serveur membre du domaine.
• Les groupes, qui permettent de regrouper des droits. Une organisation typique repose sur un groupe de rôle (tous les collaborateurs administratifs) que l'on place ensuite dans un groupe de ressources (accès au dossier Finances).
• Les comptes de service pour les applications qui communiquent avec d'autres systèmes.

Une bonne règle de base : n'attribuez jamais de droits à des personnes, toujours à des groupes. Sinon, six mois plus tard, plus personne ne sait qui avait le droit de faire quoi.

Quels ports et quelle infrastructure ?

Active Directory s'appuie sur un certain nombre de ports réseau fixes. Il est important de les connaître, pas seulement pour les administrateurs, mais aussi pour quiconque réfléchit aux pare-feu et à la segmentation du réseau :

• 88 pour l'authentification Kerberos.
• 389 pour LDAP, et 636 pour LDAPS (via TLS).
• 445 pour le trafic SMB (fichiers et SYSVOL).
• 135 pour le RPC Endpoint Mapper, avec les ports RPC dynamiques 49152 à 65535.

Dans la plupart des environnements de PME, le trafic AD se trouve dans un segment de réseau interne qui n'est pas directement accessible depuis Internet. Ce n'est pas un luxe, c'est une exigence minimale. Laisser par mégarde son port LDAP ouvert vers l'extérieur, c'est aller au-devant des problèmes.

La différence entre Active Directory et Microsoft Entra ID

Tout le monde y est confronté tôt ou tard : il existe aussi quelque chose qui s'appelle Microsoft Entra ID (connu jusqu'en 2023 sous le nom d'Azure Active Directory). Les noms se ressemblent, mais il s'agit de deux choses différentes.

• Active Directory Domain Services (AD DS) fonctionne sur site. Il tourne sur un Windows Server dans votre réseau, utilise LDAP et Kerberos, et il est optimisé pour les postes de travail Windows situés sur le même réseau.
• Microsoft Entra ID est la version cloud de la gestion des identités. Il tourne dans les datacenters de Microsoft, gère l'accès à Microsoft 365, aux applications SaaS et aux applications web, et utilise des protocoles modernes comme OAuth 2.0, OpenID Connect et SAML.

Point important : Entra ID n'a pas d'unités d'organisation, pas de stratégies de groupe et pas de Kerberos au sens classique. Ce n'est pas une version plus récente d'AD, mais une autre plateforme avec un autre objectif.

Dans la pratique, nous observons trois scénarios dans les PME :

1. AD uniquement sur site. Des entreprises avec de nombreux serveurs Windows, leur propre serveur de fichiers et un usage limité du cloud.
2. Hybride. AD reste dans le réseau pour les postes de travail et les serveurs internes, mais les utilisateurs sont synchronisés vers Entra ID via Microsoft Entra Connect. Vous pouvez ainsi vous connecter avec votre compte professionnel aussi bien à votre lecteur réseau qu'à Microsoft 365. C'est de loin la configuration la plus répandue.
3. Cloud uniquement. Plus d'AD sur site : tout passe par Entra ID et Microsoft Intune. Pour la plupart des PME, c'est la cible à terme, mais la transition n'est rentable que si vos anciennes applications le permettent.

Notre guide sur la mise en place d'un poste de travail moderne approfondit ce choix, et le guide serveur ou cloud vous aide à décider entre rester en l'état ou poursuivre la migration.

Quand avez-vous encore besoin d'Active Directory en 2026 ?

La question est légitime, vu la part du travail qui se fait désormais dans le cloud. En bref, l'AD classique reste surtout nécessaire si vous :

• Disposez de votre propre serveur de fichiers ou serveur d'applications sur lequel les utilisateurs ont besoin de droits.
• Utilisez d'anciens logiciels métier qui ne prennent en charge que l'authentification Windows (logiciels de comptabilité, ERP ou progiciels sectoriels, par exemple).
• Utilisez les stratégies de groupe pour configurer rigoureusement postes de travail et serveurs.
• Souhaitez gérer des imprimantes, des lecteurs réseau ou des systèmes hérités via le domaine.

Vous travaillez uniquement avec Microsoft 365 et des applications SaaS, et vos postes de travail sont gérés via Intune ? Dans ce cas, la justification d'un AD sur site est nettement moins forte. Mais le passage au tout-cloud ne se règle pas un vendredi après-midi : il touche les imprimantes, les scanners, les anciennes applications, les scripts et les habitudes.

Selon les chiffres de l'office statistique néerlandais (CBS), en 2024, 71 % des entreprises néerlandaises de plus de dix salariés utilisaient des services cloud, contre 49 % des entreprises de deux à dix salariés. Le cloud est donc la norme, mais beaucoup de ces entreprises disposent en parallèle d'un environnement AD toujours en service.

Sécurité : pourquoi Active Directory est une cible de choix

Active Directory est une cible prisée des attaquants, et ce n'est pas un hasard. Dans environ 95 % des entreprises du Fortune 500 et du Fortune 1000, il fait office de source de vérité pour les identités. Celui qui compromet l'AD tient, en règle générale, toute l'entreprise entre ses mains. Selon le Verizon Data Breach Investigations Report 2025, 74 % des intrusions impliquaient des identités compromises.

Fin 2025, Microsoft a publié des recommandations détaillées portant sur six menaces critiques pour Active Directory Domain Services :

• Des vulnérabilités non corrigées. Des failles de sécurité connues dans les contrôleurs de domaine ou les clients, qui n'ont pas été corrigées à temps.
• Les attaques par relais d'authentification. L'exploitation de NTLM et de Kerberos pour se faire passer pour un autre utilisateur.
• Le Kerberoasting. Des attaques visant les comptes de service dotés de mots de passe faibles, souvent par force brute hors ligne.
• Des privilèges trop étendus. Des comptes disposant de plus de droits que strictement nécessaire, souvent un héritage du passé.
• La délégation non contrainte (unconstrained delegation). Une ancienne fonctionnalité de Kerberos encore trop souvent activée, qui expose des AD entiers.
• Les attaques Golden Ticket. La falsification de tickets Kerberos à l'aide du hachage KRBTGT volé, qui permet à un attaquant de se faire passer sans limite pour n'importe quel utilisateur.

Voici les mesures concrètes que nous mettons en place dans chaque environnement de PME : abandonner NTLM partout où c'est possible, imposer la signature SMB, utiliser des Group Managed Service Accounts (gMSA) plutôt que des comptes de service gérés manuellement, renouveler le mot de passe KRBTGT tous les 180 jours et verrouiller les chemins menant aux droits d'administrateur de domaine grâce à un modèle d'administration par niveaux (tiered administration). Notre checklist cybersécurité pour les PME et notre guide sur la sécurité zero trust détaillent ces mesures.

Les erreurs fréquentes dans les environnements AD des PME

Dans les PME, nous retrouvons sans cesse les mêmes erreurs, souvent nées à l'époque où l'entreprise était encore petite :

1. Une poignée de personnes sont devenues Domain Admin et personne ne leur a jamais retiré ces droits. C'est un facteur de risque majeur.
2. Les mots de passe des comptes de service restent inchangés pendant des années. Le Kerberoasting devient alors un jeu d'enfant.
3. Une structure d'OU qui n'a plus rien à voir avec l'organisation. Les stratégies de groupe s'emmêlent et personne n'ose faire le ménage.
4. Pas de second contrôleur de domaine. Un seul en panne, et tout le bureau est à l'arrêt.
5. Des correctifs appliqués « un jour ou l'autre ». Jusqu'au jour où une faille est effectivement exploitée.

Un bilan de santé annuel de l'AD réalisé par un prestataire externe permet de repérer ces erreurs avant qu'elles ne deviennent un incident. Consultez aussi notre guide sur la gestion des correctifs pour la discipline de mise à jour, et notre guide de mise en œuvre de la MFA pour ce qu'il reste à mettre en place autour d'AD.

Questions fréquentes sur Active Directory

Qu'est-ce qu'Active Directory, en termes simples ?

Active Directory est l'annuaire central dans lequel les réseaux Windows recensent les utilisateurs, les ordinateurs sur lesquels ils peuvent se connecter, les groupes auxquels ils appartiennent et ce qu'ils ont le droit d'ouvrir. En vous connectant une seule fois à votre poste de travail, vous obtenez automatiquement, via Active Directory, l'accès aux lecteurs réseau, aux imprimantes et aux applications internes sur lesquels vous avez des droits.

Active Directory et Microsoft Entra ID, est-ce la même chose ?

Non. Active Directory Domain Services fonctionne sur site, dans votre réseau, et utilise Kerberos et LDAP. Microsoft Entra ID (anciennement Azure Active Directory) fonctionne dans le cloud et utilise des protocoles modernes comme OAuth et SAML pour Microsoft 365 et les applications SaaS. De nombreuses PME disposent des deux et les synchronisent via Microsoft Entra Connect.

Qui a besoin d'Active Directory ?

Pratiquement toute organisation qui dispose de son propre serveur Windows, d'un serveur de fichiers, d'anciens logiciels métier, ou qui souhaite configurer ses postes de travail de façon centralisée avec les stratégies de groupe. Si vous travaillez uniquement dans Microsoft 365, sans serveurs propres ni anciens logiciels, une configuration 100 % cloud avec Entra ID et Intune peut suffire.

Combien de contrôleurs de domaine faut-il ?

Au moins deux, même dans la plus petite PME. Avec un second contrôleur de domaine, les connexions continuent de fonctionner si l'un d'eux tombe en panne à la suite d'un incident, d'une mise à jour ou d'une coupure de courant. Un environnement avec un seul contrôleur, c'est une panne annoncée : seule la date reste inconnue.

Active Directory est-il sûr ?

Sur le plan technique, Active Directory est sûr, mais c'est l'élément le plus attaqué de l'écosystème Windows. Des attaques comme le Kerberoasting, le Golden Ticket ou le relais NTLM ne sont possibles que si la configuration est négligée. Avec une administration par niveaux, des gMSA, la MFA, une réinitialisation du KRBTGT tous les 180 jours et une application rigoureuse des correctifs, le risque reste maîtrisable.

Puis-je me passer d'Active Directory et tout faire dans le cloud ?

Parfois oui, mais rarement du jour au lendemain. Si vous avez un serveur de fichiers, des applications locales ou des imprimantes qui passent par le domaine, vous devez d'abord les remplacer. Un poste de travail 100 % cloud avec Microsoft Entra ID et Intune fonctionne très bien pour les entreprises tertiaires modernes, mais la transition est un projet qui comprend des tests, de la formation et un abandon progressif de l'existant. Nous accompagnons ces projets par étapes, pour que le travail continue.

Conclusion

Active Directory n'est pas une vieille relique, mais le socle sur lequel de nombreuses PME néerlandaises travaillent encore aujourd'hui. Bien configuré, il apporte une administration centralisée, une intégration rapide des nouveaux collaborateurs, des droits prévisibles et un environnement contrôlable. Laissé à l'abandon, il accumule droits trop étendus et comptes de service oubliés, et devient une cible attrayante pour le Kerberoasting et les attaques Golden Ticket. L'avenir appartient de plus en plus à Microsoft Entra ID et aux postes de travail 100 % cloud, mais pour la plupart des PME, la configuration hybride restera la norme pendant encore quelques années.

Vous voulez savoir dans quel état de santé se trouve votre Active Directory, ou vous envisagez de passer à une plateforme d'identité hybride ou 100 % cloud ? TRON Group réalise des bilans de santé AD, fait le ménage dans les droits obsolètes et les comptes de service, configure proprement Microsoft Entra Connect et accompagne les migrations vers le poste de travail moderne, sans avoir à fermer boutique pendant les travaux. Appelez-nous au +31 85 303 5869 ou consultez notre page Cybersécurité pour découvrir ce que nous pouvons faire pour votre gestion des identités et des accès.