Authentication Policy Silos

Définition

Les Authentication Policy Silos sont une fonctionnalité de sécurité Active Directory, introduite avec Windows Server 2012 R2, permettant de restreindre l'usage des comptes à privilèges élevés à un périmètre de machines strictement défini, en s'appuyant sur le cadre des Authentication Policies pour appliquer des contraintes cryptographiques et temporelles supplémentaires lors de chaque authentification. Un silo regroupe explicitement des comptes utilisateurs, des comptes ordinateurs et des comptes de service, et n'autorise l'authentification réussie d'un compte membre que depuis une machine également membre du même silo, empêchant structurellement qu'un compte Domain Admin ne puisse se connecter, même accidentellement, à un poste de travail standard non inclus dans le périmètre défini. Cette fonctionnalité constitue l'implémentation technique native la plus proche du principe du Tier Model recommandé par Microsoft, en rendant impossible au niveau du protocole Kerberos lui-même une connexion croisée entre niveaux de confiance distincts, plutôt que de reposer uniquement sur des mesures organisationnelles ou des restrictions GPO contournables. Les Authentication Policy Silos peuvent également imposer des durées de vie de TGT réduites pour les comptes membres, renforçant la fenêtre d'exposition en cas de vol de ticket. Malgré ces avantages, leur déploiement reste peu répandu en pratique, en raison de la complexité de configuration et des risques de verrouillage accidentel des comptes administratifs légitimes en cas d'erreur de périmétrage.