Glossaire
Modèle en tiers d'Active Directory
Modèle d'administration qui sépare Tier 0 (identité), Tier 1 (serveurs) et Tier 2 (postes) pour ne jamais exposer d'identifiants privilégiés sur des systèmes moins sûrs.
Le modèle en tiers d'Active Directory répartit les systèmes et les comptes d'administration selon le contrôle qu'ils exercent sur l'environnement. Le Tier 0 regroupe le plan d'identité : contrôleurs de domaine, AD CS, AD FS, synchronisation d'annuaire et tout ce qui les contrôle. Le Tier 1 regroupe les serveurs membres et les applications, et le Tier 2 les postes de travail et les appareils des utilisateurs. La règle veut que les comptes ne se connectent qu'aux systèmes de leur propre tier, afin qu'un poste de travail compromis ne détienne jamais d'identifiants capables de contrôler les serveurs ou le domaine.
Il se met en œuvre avec des comptes d'administration distincts, des stratégies de groupe de restriction d'ouverture de session (droits d'interdiction d'ouverture de session), le groupe Protected Users, des postes d'accès privilégié et, éventuellement, des stratégies et silos d'authentification. Le modèle d'accès d'entreprise de Microsoft étend la même idée aux plans de contrôle du cloud.
Voir Modèle en tiers et Protected Users dans Active Directory.