Production¶

Le lab montre HGPM sur un domaine fait pour lui. Cette page donne l'ordre à suivre sur un vrai domaine : chaque étape avec ce qu'elle fait, qui la lance et comment la vérifier. Les rôles sont ceux du modèle de sécurité : le Tier 0 (les administrateurs du domaine et les approbateurs), le Tier 1 et le Tier 2 (les techniciens, qui créent des GPO qui attendent une approbation).

Avant de commencer¶

Gardez les consoles d'un domaine sur la même version de HGPM : la configuration d'une console plus récente est ignorée par une plus ancienne.

Les étapes¶

La posture, chaque jour¶

Test-PSGPOSecurityPosture dit qui peut créer, modifier et lier des GPO hors du Tier 0 et du circuit (durcissement). Il ne fait que lire : planifiez-le avec un compte sans groupe, chaque jour, avec -SystemLog ; le SIEM alerte sur l'événement 4001 (un constat High).

# Une fois, en administrateur du domaine
New-ADServiceAccount -Name hgpm-posture -DNSHostName hgpm-posture.contoso.com -PrincipalsAllowedToRetrieveManagedPassword 'ADMIN-SERVER$'
Install-ADServiceAccount hgpm-posture                                     # sur ADMIN-SERVER
Register-PSGPOEventSource                                                 # sur ADMIN-SERVER, en administrateur

# Chaque jour, en tant que gMSA : -LogonType Password sans mot de passe, Windows le récupère
$action = New-ScheduledTaskAction -Execute 'pwsh.exe' -Argument '-NoProfile -Command "Import-Module HGPM; Test-PSGPOSecurityPosture -SystemLog | Out-Null"'
$principal = New-ScheduledTaskPrincipal -UserId 'CONTOSO\hgpm-posture$' -LogonType Password
Register-ScheduledTask -TaskName 'HGPM posture' -Action $action -Principal $principal -Trigger (New-ScheduledTaskTrigger -Daily -At 6am)

# Une fois, sur un contrôleur de domaine Samba, en root
samba-tool user add hgpm-posture --random-password
samba-tool domain exportkeytab /root/hgpm-posture.keytab --principal=hgpm-posture
# Copié sur l'ordinateur du contrôle, pour le seul compte hgpm
sudo install -o hgpm -g hgpm -m 600 hgpm-posture.keytab /etc/hgpm/hgpm-posture.keytab

# Chaque jour
echo '0 6 * * * hgpm kinit -k -t /etc/hgpm/hgpm-posture.keytab hgpm-posture && pwsh -NoProfile -Command "Import-Module HGPM; Test-PSGPOSecurityPosture -Server dc.contoso.com -SystemLog | Out-Null"' | sudo tee /etc/cron.d/hgpm-posture

La recette¶

Avant que les techniciens l'utilisent, comme dans le lab :

1. Un technicien du Tier 1 crée une GPO sur une UO de son tier : elle attend une approbation, ne s'applique à personne, et l'approbateur la voit dans En attente d'approbation.
2. L'approbateur l'approuve avec ses groupes de filtrage : Domain Admins en est propriétaire, le technicien ne fait que la lire (ou modifie ses paramètres avec EditSettings).
3. Le technicien essaie une UO du Tier 2 : elle est grisée, le lien est refusé.
4. L'outil Journal d'audit montre les modifications, Vérifiées ; le SIEM reçoit les événements de source HGPM.

Durcir le déploiement¶

• Seul le Tier 0 écrit SYSVOL\<domaine>\PSGPOTools : la configuration décide des rôles.
• Gardez Workflow.Creators et Workflow.Approvers séparés ; jamais un groupe de tous les comptes.
• Ne donnez aucun autre usage aux approbateurs, à Domain Admins et aux purgeurs : ils sont du Tier 0.
• Planifiez avec un gMSA ou un compte dédié et son keytab (mode 600), jamais avec le mot de passe d'un Domain Admin dans une tâche planifiée.
• Vérifiez la posture chaque jour (ci-dessus) : un droit donné à côté du circuit, puis oublié, donne les contrôleurs de domaine à un compte hors du Tier 0.
• Auditez aussi les contrôleurs de domaine (Windows et Samba) : une modification faite avec un autre outil que HGPM est dans leurs journaux, pas dans le sien.
• Envoyez le journal du système au SIEM : il garde une copie de chaque modification hors de portée des techniciens.

Retour arrière¶

Les GPO, leurs liens et leurs approbations restent tels qu'ils sont : ils sont au domaine, comme GPMC les laisse.