Default Domain Policy

Définition

La Default Domain Policy est une GPO créée automatiquement lors de l'installation du premier contrôleur de domaine d'un domaine Active Directory, définissant par défaut les paramètres de sécurité fondamentaux applicables à l'ensemble des comptes du domaine, en l'absence de politique plus spécifique définie ailleurs. Elle configure notamment la politique de mots de passe globale — longueur minimale, complexité exigée, durée de vie maximale et historique de réutilisation interdit — la politique de verrouillage de compte après un nombre défini de tentatives d'authentification échouées, ainsi que certains paramètres de la politique Kerberos comme la durée de vie maximale des tickets TGT et TGS. Cette GPO reste liée directement à la racine du domaine, ce qui lui confère une portée maximale sur l'ensemble des objets, sauf application de politiques différenciées via des FGPP (Fine-Grained Password Policy) pour des populations spécifiques. Bien que Microsoft déconseille explicitement de modifier la Default Domain Policy pour y ajouter des paramètres supplémentaires, préférant la création de GPO dédiées pour un durcissement plus granulaire et traçable, elle reste néanmoins l'objet de référence pour évaluer la robustesse de base de la politique de mots de passe d'un domaine lors d'un audit de sécurité, une politique par défaut trop permissive constituant fréquemment un facteur aggravant dans les attaques par force brute ou par cassage de hachages capturés.