Pour sécuriser davantage votre environnement, DRA permet de limiter les pouvoirs octroyés aux groupes de sécurité intégrés de Microsoft Windows. La possibilité de modifier l'adhésion à un groupe, les propriétés des groupes de sécurité intégrés ou les propriétés des membres de groupes peut avoir des implications importantes en termes de sécurité. Par exemple, si vous pouvez modifier le mot de passe d'un utilisateur dans le groupe Opérateurs de serveur, vous pouvez ensuite vous connecter sous l'identité de cet utilisateur et exercer les pouvoirs délégués à ce groupe de sécurité intégré.
Pour éviter ce problème de sécurité, DRA fournit une stratégie qui vérifie les pouvoirs dont vous disposez pour un groupe de sécurité intégré natif et ses membres. Cette validation vérifie que les actions demandées n'augmentent pas ces pouvoirs. Une fois cette stratégie activée, un assistant administrateur qui est membre d'un groupe de sécurité intégré, tel le groupe Opérateurs de serveur, ne peut gérer que les autres membres du même groupe.
Vous pouvez limiter les pouvoirs des groupes de sécurité intégrés de Microsoft Windows suivants à l'aide de stratégies DRA :
Opérateurs de compte
Administrateurs
Opérateurs de sauvegarde
Éditeurs de certificats
Administrateurs DNS
Administrateurs de domaine
Administrateurs d'entreprise
Propriétaires de créateur de stratégie de groupe
Opérateurs d'impression
Administrateurs de schéma
REMARQUE :DRA fait référence aux groupes de sécurité intégrés par leur identificateur interne. Par conséquent, il prend en charge ces groupes même s'ils sont renommés. Cette fonction permet à DRA de prendre en charge des groupes de sécurité intégrés portant des noms différents selon les pays. Par exemple, DRA fait référence aux groupes Administrators et Administrateurs avec le même identificateur interne.
DRA utilise une stratégie pour limiter les pouvoirs que les groupes de sécurité intégrés natifs et leurs membres peuvent exercer. Cette stratégie, nommée $SpecialGroupsPolicy, limite les actions qu'un membre d'un groupe de sécurité intégré natif peut effectuer sur d'autres membres ou d'autres groupes de sécurité intégrés natifs. DRA active cette stratégie par défaut. Si vous ne souhaitez pas limiter les actions sur les groupes de sécurité intégrés natifs et leurs membres, vous pouvez désactiver cette stratégie.
Lorsque cette stratégie est activée, DRA utilise les tests de validation suivants pour déterminer si une action est autorisée sur un groupe de sécurité intégré natif ou ses membres :
Si vous êtes un administrateur Microsoft Windows, vous pouvez effectuer des actions sur les groupes de sécurité intégrés natifs et leurs membres pour lesquels vous disposez des pouvoirs appropriés.
Si vous êtes membre d'un groupe de sécurité intégré, vous pouvez effectuer des actions sur le même groupe de sécurité intégré et ses membres, pour autant que vous possédiez les pouvoirs appropriés.
Si vous n'êtes pas membre d'un groupe de sécurité intégré, vous ne pouvez pas modifier un groupe de sécurité intégré ni ses membres.
Par exemple, si vous êtes membre des groupes Opérateurs de serveur et Opérateurs de compte et que vous disposez des pouvoirs appropriés, vous pouvez effectuer des actions sur les membres du groupe Opérateurs de serveur, les membres du groupe Opérateurs de compte ou les membres de ces deux groupes. En revanche, vous ne pouvez pas effectuer des actions sur un compte utilisateur qui est à la fois membre du groupe Opérateurs d'impression et du groupe Opérateurs de compte.
DRA vous empêche d'effectuer les actions suivantes sur les groupes de sécurité intégrés natifs :
Clonage d'un groupe
Création d'un groupe
Suppression d'un groupe
Ajout d'un membre à un groupe
Suppression d'un membre d'un groupe
Déplacement d'un groupe vers une unité organisationnelle
Modification des propriétés d'un groupe
Copie d'une boîte aux lettres
Suppression d'une boîte aux lettres
Clonage d'un compte utilisateur
Création d'un compte utilisateur
Suppression d'un compte utilisateur
Déplacement d'un compte utilisateur vers une unité organisationnelle
Modification des propriétés d'un compte utilisateur
DRA limite également les actions de sorte que vous ne puissiez pas acquérir des pouvoirs sur un objet. Par exemple, lorsque vous ajoutez un compte utilisateur à un groupe, DRA vérifie que cela ne vous octroie pas des pouvoirs supplémentaires sur le compte utilisateur parce qu'il est membre de ce groupe. Cette validation aide à protéger contre une escalade des pouvoirs.