Account Operators Group

Définition

Account Operators est un groupe intégré (built-in) d'Active Directory conçu historiquement pour déléguer l'administration courante des comptes utilisateurs, groupes et ordinateurs sans accorder les privilèges complets de Domain Admins. Ses membres peuvent créer, modifier et supprimer la plupart des objets utilisateur, groupe et ordinateur du domaine, à l'exception notable des objets protégés par le mécanisme AdminSDHolder, comme les comptes déjà membres de groupes à privilèges élevés. Ce périmètre en apparence limité recèle néanmoins un vecteur d'escalade de privilèges significatif : un membre d'Account Operators peut créer un nouvel objet ordinateur ou utilisateur, lui accorder des droits spécifiques via ACL, puis exploiter cette création pour établir un chemin vers des privilèges plus élevés, par exemple en configurant une délégation Kerberos sur un objet qu'il contrôle intégralement. De plus, Account Operators dispose par défaut du privilège de connexion locale interactive sur les contrôleurs de domaine, une capacité rarement nécessaire en usage légitime et représentant un risque disproportionné en cas de compromission du compte. Les recommandations de sécurité Active Directory, notamment celles de l'ANSSI, préconisent de vider ce groupe et de lui substituer une délégation de contrôle plus fine et ciblée via l'assistant de délégation, limitée strictement aux unités d'organisation et attributs réellement nécessaires à l'administration déléguée souhaitée.