Authentication Policies

Définition

Les Authentication Policies sont un cadre de sécurité Active Directory, introduit avec Windows Server 2012 R2, permettant d'imposer des contraintes supplémentaires sur l'authentification Kerberos d'un compte, indépendamment des paramètres globaux de la Default Domain Policy, en définissant par exemple une durée de vie de TGT réduite pour les comptes à privilèges élevés, ou des restrictions strictes sur les types de chiffrement Kerberos autorisés lors de l'authentification. Ces politiques constituent le socle technique sur lequel s'appuient également les Authentication Policy Silos, qui les combinent à une restriction de périmètre de connexion pour former une protection cohérente et centralisée sur les comptes sensibles du domaine. L'application d'une Authentication Policy permet notamment de limiter la fenêtre d'exposition d'un ticket Kerberos volé via Pass-the-Ticket, une durée de vie réduite de quelques heures diminuant significativement le temps disponible pour un attaquant avant l'expiration naturelle du ticket compromis. Contrairement aux GPO classiques, appliquées via l'infrastructure de stratégie de groupe et le service SYSVOL, les Authentication Policies sont gérées comme des objets AD spécifiques et évaluées directement par le KDC lors de chaque demande d'authentification, garantissant une application cohérente au niveau du protocole lui-même plutôt que par une configuration côté client susceptible d'être contournée. Leur déploiement reste néanmoins peu répandu, freiné par la complexité de mise en œuvre dans les grandes organisations.