Renforcement

Cet article explique comment le service géré pour Microsoft Active Directory est renforcé pour minimiser les failles de sécurité.

Pas d'accès à l'Internet public

Pour améliorer la sécurité, le service Microsoft AD géré n'est pas exposé à l'Internet public. Le service Microsoft AD géré établit toutes les connexions via une adresse IP privée à partir de réseaux autorisés :

  • Hébergement : chaque instance exécutant Active Directory est hébergée dans son propre VPC, qui isole les utilisateurs les uns des autres.

  • Connexion : vous pouvez utiliser des réseaux autorisés pour vous connecter au service Microsoft AD géré via une adresse IP privée. Le service Microsoft AD géré s'occupe de l'appairage de VPC pour ces connexions.

  • Application de correctifs : le service Microsoft AD géré applique des correctifs Windows à la VM sans utiliser l'accès à l'Internet public. Découvrez comment le service Microsoft AD géré traite l'application de correctifs.

VM protégée

Les VM protégées sont des machines virtuelles (VM) renforcées par un ensemble de paramètres de sécurité conçus pour éliminer les rootkits et les bootkits. Toutes les instances Microsoft AD gérées sont protégées par les fonctionnalités des VM protégées, sans frais supplémentaires.

Image de l'OS

Les VM Microsoft AD gérées proviennent de l'image publique Windows Server 2019 de Compute Engine. Ces images sont dotées de fonctionnalités activées pour les VM protégées et sont optimisées pour une exécution sur l'infrastructure Compute Engine.

Application de correctifs

Le service Microsoft AD géré teste tous les correctifs Windows avant de les appliquer. Le service Microsoft AD géré exécute des vérifications, et valide les cas d'utilisation, la disponibilité, la sécurité et la fiabilité client. Une fois qu'un correctif a passé ces tests, le service Microsoft AD géré l'applique.

Lors des correctifs et des mises à jour, le domaine AD reste disponible. Lorsqu'un contrôleur de domaine (DC) nécessite une opération de maintenance, un nouveau DC exécutant le nouveau correctif validé est ajouté au domaine Active Directory avant que l'ancien DC ne soit rétrogradé. Cela garantit qu'il y a toujours au moins deux contrôleurs de domaine en cours d'exécution à un moment donné. Le processus de mise à jour ne nécessite aucun accès Internet public. Le déploiement complet des correctifs prend généralement quelques jours, car les contrôleurs de domaine sont mis à jour les uns après les autres.

Rotation et chiffrement des identifiants

Le service Microsoft AD géré utilise plusieurs méthodes pour protéger les identifiants. Régulièrement, le service Microsoft AD géré effectue également une rotation des identifiants et les chiffre à l'aide de techniques standards dans l'industrie. Les identifiants créés pour la gestion d'AD ne sont jamais partagés entre les instances. Ces identifiants ne sont accessibles que par une petite équipe d'assistance et par des systèmes automatisés, puis sont détruits lorsque l'instance est supprimée.

Accès restreint en production

Le service Microsoft AD géré emploie plusieurs systèmes et processus pour s'assurer que les ingénieurs Google Cloud disposent d'un accès minimal au domaine Microsoft AD géré. Seuls quelques ingénieurs d'astreinte ont accès aux données de production. Ils n'accèdent à l'environnement de production que pour la récupération d'un domaine ou pour le dépannage avancé. Ces accès nécessitent une justification validée avant de pouvoir procéder, puis sont consignés et audités en interne. La plupart des accès sont automatisés afin qu'ils ne puissent pas accéder aux données AD. Dans de rares cas, il peut être nécessaire que les ingénieurs d'astreinte accèdent à distance aux contrôleurs de domaine. Dans ces cas, les accès à distance utilisent Identity-Aware Proxy (IAP), et non l'Internet public.