Selective Authentication

Définition

L'authentification sélective (Selective Authentication) est un mode de configuration des relations d'approbation inter-forêts Active Directory qui restreint finement quels comptes utilisateurs d'une forêt approuvée peuvent s'authentifier sur des ressources précises de la forêt locale. Par défaut, un trust inter-forêts autorise l'authentification globale : tout utilisateur de la forêt de confiance peut tenter de s'authentifier sur n'importe quelle ressource, seule l'autorisation NTFS ou applicative filtrant ensuite l'accès. L'authentification sélective inverse cette logique en imposant une autorisation explicite préalable : l'administrateur doit accorder le droit « Allowed to Authenticate » sur chaque objet ordinateur ou service cible, via les propriétés de sécurité de l'objet dans Active Directory Users and Computers. Cette granularité réduit fortement la surface d'attaque en cas de compromission d'une forêt partenaire, notamment dans les architectures multi-forêts issues de fusions-acquisitions ou de séparations d'environnements de production et de test. L'ANSSI recommande explicitement l'activation de l'authentification sélective pour tout trust inter-forêts dans son guide de sécurisation Active Directory, en particulier lorsque le niveau de confiance envers la forêt distante est incertain. La configuration s'effectue lors de la création du trust ou a posteriori via l'onglet Authentication du trust dans les outils d'administration de domaine et forêt.