Lors de la mise en place de délégations Active Directory, le ciblage et la gestion des droits sur les unités d’organisation semblent, en théorie, relativement simples. Les permissions sont correctement attribuées, les groupes sont en place, et pourtant certaines actions échouent systématiquement avec des erreurs de type Access Denied. Dans ce contexte, le diagnostic peut rapidement devenir frustrant, car les droits semblent cohérents et conformes aux attentes.
Ce type de situation est fréquemment lié à l’option “Protect object from accidental deletion”, souvent activée par défaut sur les OU sensibles. Cette protection est une bonne pratique, mais son impact réel est souvent sous-estimé, notamment lors de la mise en œuvre de délégations.
Concrètement, cette option ne se limite pas à empêcher une suppression accidentelle via l’interface graphique. Lorsqu’elle est activée, Active Directory ajoute automatiquement des entrées explicites de type Deny dans les ACL de l’OU. Ces entrées bloquent des actions critiques comme la suppression de l’OU, la suppression d’objets enfants ou certains déplacements dans l’arborescence.
Le point clé à comprendre est que, dans Active Directory, un Deny explicite prévaut toujours sur un Allow, quel que soit le niveau de privilège accordé par ailleurs. Ainsi, même une délégation correctement configurée peut être partiellement inefficace tant que ces ACE de protection sont présentes. Le résultat est souvent une erreur peu explicite, sans lien apparent avec la protection active.
C’est précisément ce comportement qui explique pourquoi certaines délégations semblent « ne pas fonctionner”, alors que les permissions sont correctes sur le papier. Sans analyse des paramètres de sécurité avancés, il est facile de conclure à une erreur de configuration, alors que le blocage est en réalité intentionnel.
La résolution passe par une analyse systématique des ACL de l’OU concernée. Dans certains cas, il est nécessaire de désactiver temporairement la protection afin d’effectuer l’opération prévue, puis de la réactiver une fois la modification terminée. Cette approche permet de conserver le niveau de sécurité attendu tout en évitant les blocages inutiles.
Avec cette compréhension, les délégations deviennent plus prévisibles, les erreurs Deny plus faciles à expliquer, et l’administration Active Directory globalement plus fiable. La protection contre la suppression reste un mécanisme essentiel, à condition d’en connaître les impacts réels et de l’intégrer consciemment dans les scénarios d’administration.