AdminCount Attribute

Définition

AdminCount est un attribut binaire des objets utilisateur et groupe dans Active Directory, positionné à la valeur 1 lorsqu'un compte est ou a été membre, directement ou indirectement, d'un groupe protégé considéré à privilèges élevés, comme Domain Admins, Enterprise Admins, Schema Admins ou Administrators, ce marquage étant appliqué automatiquement par un processus en arrière-plan appelé SDProp (Security Descriptor Propagator), exécuté toutes les soixante minutes par défaut sur le contrôleur de domaine détenant le rôle PDC Emulator. Lorsqu'un compte est marqué AdminCount=1, le processus SDProp copie sur cet objet une liste de contrôle d'accès (ACL) de référence stockée sur l'objet AdminSDHolder, remplaçant toute ACL personnalisée précédemment configurée et bloquant l'héritage des permissions depuis l'unité d'organisation parente, dans le but de garantir une protection homogène et centralisée des comptes sensibles contre les modifications de permissions non autorisées. Un aspect souvent méconnu, mais critique en audit de sécurité, est que ce marquage persiste même après le retrait effectif du compte du groupe à privilèges : un compte anciennement administrateur de domaine, retiré du groupe depuis plusieurs années, conserve son attribut AdminCount=1 et l'ACL restrictive associée, ce qui en fait un indicateur précieux d'audit historique. L'identification des comptes marqués AdminCount=1 mais non actuellement membres d'un groupe privilégié constitue une vérification standard des audits Active Directory.