USN (Update Sequence Number)

Définition

L'USN (Update Sequence Number) est un compteur entier sur 64 bits maintenu localement par chaque contrôleur de domaine Active Directory pour suivre chronologiquement l'ensemble des modifications apportées à la base d'annuaire NTDS.dit. Chaque écriture sur un attribut d'un objet AD incrémente l'USN du DC qui effectue la modification, et cette valeur est stockée à la fois sur l'attribut modifié (uSNChanged) et sur l'objet lui-même. Lors de la réplication multi-maître entre contrôleurs de domaine, chaque DC conserve un vecteur USN par partenaire de réplication, appelé Up-to-Dateness Vector, qui lui permet de ne demander que les modifications postérieures à la dernière valeur connue, évitant ainsi les cycles de réplication inutiles et les conflits de convergence. Ce mécanisme est central au bon fonctionnement de la réplication AD et sert également de base à la détection d'anomalies : un USN Rollback, provoqué par exemple par la restauration non autoritaire d'un DC virtualisé sans utilisation de l'attribut invocationID, peut entraîner un désalignement des USN et des incohérences graves de réplication, incluant potentiellement des recréations de mots de passe obsolètes. Les outils comme repadmin /showutdvec permettent aux administrateurs de diagnostiquer l'état de synchronisation entre contrôleurs de domaine à partir de ces valeurs USN.

Fonctionnement technique

Chaque objet AD a un uSNCreated (USN à la création) et uSNChanged (USN de la dernière modification). Chaque DC maintient une table des High Watermark Vector (HWM) pour chaque partenaire de réplication. Réplication : 'Donne-moi tous les objets dont ton USN est > mon HWM pour toi'.

USN Rollback

Cause : Restauration d'un DC depuis snapshot sans procédure correcte
Symptôme : Le DC restauré a des USN inférieurs à ce que les partenaires ont déjà répliqué
Impact : Les modifications récentes ne sont pas répliquées = incohérence AD

Résolution USN Rollback

Détecter : Event ID 2103 NTDS Replication
Solution : déméter le DC, nettoyer les métadonnées, re-promouvoir

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis