Active Directory: Recomandări și lucruri de evitat

După cum probabil știți, Active Directory este un serviciu proprietar dezvoltat de către Microsoft, care facilitează administrarea utilizatorilor, a permisiunilor și a setărilor de securitate într-un mod centralizat. De asemenea, acesta extinde funcționalitățile unui server de fișiere obișnuit.

În acest material o să vă furnizăm câteva recomandări, dar și ce lucruri ar trebui evitate. Le-am actualizat în noiembrie 2026, pentru că o parte dintre bunele practici s-au schimbat din 2021, când am scris articolul.

Recomandare: Creați politica de securitate în așa fel încât parolele să fie schimbate atunci când există semne că au fost compromise, nu la fiecare 30 de zile.

Când discutăm de securitate, ne referim implicit și la parole. În 2021, o practică destul de comună era să implementați o politică de AD care face ca parolele să trebuiască schimbate la fiecare 30 de zile.

Atunci o recomandam ca pe o metodă simplă și eficientă de a păstra integritatea parolelor dumneavoastră. Între timp, recomandarea s-a schimbat: din 2019, Microsoft nu mai include expirarea periodică a parolelor în configurațiile sale de securitate de bază, iar ghidul NIST pentru autentificare spune că parolele nu trebuie schimbate periodic, ci doar atunci când există dovezi că au fost compromise. Schimbarea forțată la 30 de zile îi face pe utilizatori să aleagă parole previzibile, de pildă aceeași parolă cu altă cifră la final. Mai eficiente sunt parolele lungi, verificarea lor față de listele de parole compromise și autentificarea în doi pași (MFA).

Lucru de evitat: Nu permiteți setarea parolelor de complexitate redusă.

O parolă sigură e obligatoriu să fie compusă din minimum 12 caractere și să conțină litere mari, mici, cifre și simboluri. Lungimea contează însă mai mult decât combinația de caractere: ghidul NIST din 2025 cere minimum 15 caractere pentru parolele folosite fără un al doilea factor de autentificare, iar o frază de acces din patru-cinci cuvinte e mai greu de spart decât o parolă scurtă, cu simboluri. De asemenea, nu permiteți setarea de parole care conțin o parte din numele utilizatorului din AD și blocați parolele des folosite sau apărute în scurgeri de date. Microsoft Entra Password Protection face acest lucru și pentru Active Directory-ul instalat pe serverele firmei.

Recomandare: Publicați în AD multifuncționalele și aplicațiile necesare fiecărui departament.

Integrarea multifuncționalelor și a aplicațiilor necesare pentru munca de zi cu zi cu Active Directory, în funcție de departamente, va oferi un nivel de standardizare care va preîntâmpina anumite probleme. De asemenea, această abordare este foarte utilă pentru companiile cu un flux mare de angajați, întrucât procedurile de on-boarding și off-boarding ale angajaților (pregătirea calculatoarelor și conturilor pentru cei care vin, închiderea acceselor celor care pleacă) se vor implementa foarte ușor.

Lucru de evitat: Nu lăsați stații de lucru neincluse în Active Directory.

Se spune că o infrastructură este la fel de sigură precum este cel mai vulnerabil element al acesteia. Neintegrarea anumitor stații de lucru în Active Directory poate reprezenta o breșă mare de securitate, întrucât pe stațiile respective nu se aplică în timp real regulile configurate la nivel de companie. Laptopurile care lucrează mai mult de acasă pot fi înscrise în Microsoft Entra ID și administrate cu Intune, ca regulile firmei să li se aplice și fără conexiune VPN.

Recomandare: Configurați SSO (Single-Sign-On) pentru întreaga infrastructură.

SSO permite utilizatorilor să folosească o singură parolă pentru a accesa toate serviciile și platformele interne pe care le folosește compania dumneavoastră. Acest lucru va preveni situațiile în care utilizatorii își uită parolele și implicit va întări și securitatea la nivelul companiei. Pentru că o singură parolă deschide atunci toate serviciile, combinați SSO cu autentificarea în doi pași (MFA).

Recomandare: Folosiți grupuri pentru definirea permisiunilor.

Pentru a fi mai ușor de gestionat permisiunile, recomandarea este să le configurați la nivel de grupuri, nu să adăugați utilizatorii individual. Un grup reprezintă de obicei un întreg departament sau o divizie a unui departament.

În acest fel, întreg departamentul va avea aceleași drepturi.

Ce diferență este între Active Directory și Microsoft Entra ID?

Active Directory rulează pe serverele firmei, iar Microsoft Entra ID, cum se numește Azure Active Directory din 2023, este serviciul de identitate din cloud al Microsoft, folosit de Microsoft 365. Multe firme le folosesc împreună: conturile se creează în Active Directory și se sincronizează în Entra ID cu Microsoft Entra Connect, astfel încât angajații folosesc aceeași parolă pe calculator, în e-mail și în Teams. Firmele fără server local pot lucra doar cu Entra ID și Intune.

Ce trebuie să mai verificați în Active Directory în 2026?

Pe lângă recomandările de mai sus, verificați șase lucruri: autentificarea în doi pași, conturile de administrator, parolele administratorilor locali, conturile vechi, versiunea serverelor și backupul.

• Autentificarea în doi pași (MFA) pentru accesul de la distanță (VPN, e-mail, Microsoft 365) și pentru toate conturile de administrator. Directiva NIS2 o enumeră printre măsurile de securitate cerute firmelor care intră sub incidența ei (în România, OUG 155/2024).
• Conturi separate pentru administratori: administratorii lucrează zilnic cu un cont obișnuit și folosesc contul de administrator doar pentru administrare.
• Parole diferite pentru administratorul local al fiecărui calculator, cu Windows LAPS, inclus în Windows din aprilie 2023. Așa, o parolă aflată de un atacator pe un calculator nu le deschide și pe celelalte.
• Conturile inactive și ale celor care au plecat se dezactivează imediat, nu la sfârșitul anului.
• Versiunea controlerelor de domeniu: Windows Server 2012 și 2012 R2 nu mai primesc actualizări din 10 octombrie 2023, iar Windows Server 2016 iese din suport pe 12 ianuarie 2027. Detalii în articolul despre problema tehnologiilor end of life (EOL).
• Backupul controlerelor de domeniu, cu restaurări testate. Fără el, o eroare sau un ransomware poate bloca autentificarea în toată firma. Vedeți și Backup as a Service.

RezolvIT este o companie de Externalizare IT care reușește cu brio să susțină companiile cu care lucrează, fie că ne referim la Securitate IT și la securizarea laptopurilor de muncă folosite acasă, fie la facilitatea angajaților să își desfășoare activitatea remote. Pregătim calculatoarele și conturile angajaților noi și închidem accesele celor care pleacă. Dacă vreți să verificăm Active Directory-ul firmei, cereți un Audit IT gratuit.