Réinitialisation d'un mot de passe dans Active Directory

Contexte et besoins

Toujours sur l’Active Directory du lab interne ANSSI, domaine LAB.LOCAL, je rejoue le scénario le plus fréquent du support utilisateur : un collaborateur a oublié son mot de passe. Côté procédure, ce ticket arrive par téléphone ou par GLPI, le technicien vérifie l’identité du demandeur, puis réinitialise le mot de passe avec un mot de passe temporaire que l’utilisateur devra changer au premier login.

L’objectif de cette intervention est triple : connaître la manipulation ADUC complète, savoir la rejouer en PowerShell pour scripter, et formaliser le protocole de communication du nouveau mot de passe. Cible : l’utilisateur Jean Dupont créé dans l’article précédent, dont le compte est verrouillé après cinq tentatives ratées de connexion.

Rappel théorique sur l’authentification AD

Cycle de vie d’un mot de passe

Quand un utilisateur ouvre une session, le client négocie un TGT Kerberos auprès du KDC du domaine. Ce TGT est dérivé du hash du mot de passe, jamais du mot de passe en clair : l’AD ne stocke pas le mot de passe lui-même mais son hash (NT-OWF par défaut, c’est-à-dire MD4 du mot de passe Unicode).

Quand on réinitialise un mot de passe avec un compte privilégié, on remplace ce hash par celui du nouveau mot de passe. C’est différent d’un changement classique, qui exige le mot de passe actuel pour être validé.

Verrouillage de compte

Le verrouillage est régi par la Account Lockout Policy du domaine :

• Account lockout threshold : nombre de tentatives ratées avant verrouillage (5 sur le lab).
• Account lockout duration : durée du verrouillage automatique (30 minutes).
• Reset account lockout counter after : délai avant que le compteur de tentatives revienne à zéro (30 minutes aussi).

Côté attribut, c’est lockoutTime qui change. Quand un admin déverrouille manuellement, lockoutTime est remis à 0.

Communication du mot de passe

Le nouveau mot de passe ne doit jamais être transmis par :

• mail non chiffré ;
• SMS ;
• chat d’entreprise non chiffré.

Bonnes pratiques : téléphone interne avec rappel sur un numéro déjà connu, remise en face-à-face si possible, ou portail SSPR (Self-Service Password Reset) pour les cas simples. C’est la posture demandée par les guides ANSSI sur la gestion des identités.

Topologie

L’architecture est la même que pour l’intervention précédente : un contrôleur de domaine virtualisé et mon poste d’admin sur le segment d’administration du lab.

Prérequis

• Le compte utilisateur Jean Dupont (jean.dupont) déjà créé sur LAB.LOCAL.
• Un compte d’administration disposant des droits Reset Password sur le container Users.
• Console ADUC ou module PowerShell ActiveDirectory disponible.

Diagnostic préalable

Avant tout, je vérifie l’état réel du compte. Un utilisateur qui « n’arrive plus à se connecter » peut avoir trois causes : mot de passe oublié, compte verrouillé, compte désactivé. Le geste à faire n’est pas le même.

Get-ADUser -Identity "jean.dupont" -Properties LockedOut,Enabled,PasswordExpired,AccountLockoutTime,LastBadPasswordAttempt |
    Format-List Name,Enabled,LockedOut,PasswordExpired,AccountLockoutTime,LastBadPasswordAttempt

Sortie :

Name                   : Jean Dupont
Enabled                : True
LockedOut              : True
PasswordExpired        : False
AccountLockoutTime     : 03/02/2025 14:12:08
LastBadPasswordAttempt : 03/02/2025 14:11:55

Diagnostic : compte actif (Enabled: True), mais verrouillé (LockedOut: True) suite à des tentatives ratées rapprochées. Le mot de passe n’est pas expiré : l’utilisateur l’a probablement oublié et a tenté plusieurs combinaisons. Je dois donc déverrouiller ET réinitialiser, parce que le déverrouillage seul lui donnera 5 nouvelles tentatives avec un mot de passe qu’il ne se rappelle pas.

Réinitialisation via ADUC

Sur le DC, j’ouvre Utilisateurs et ordinateurs Active Directory, je localise Jean Dupont dans Users, clic droit → Réinitialiser le mot de passe.

Nouveau mot de passe         : ●●●●●●●●●●●●●●
Confirmer le mot de passe    : ●●●●●●●●●●●●●●

[X] L'utilisateur doit changer le mot de passe à la prochaine ouverture de session

État de verrouillage du compte sur ce contrôleur de domaine : Déverrouillé

[X] Déverrouiller le compte de l'utilisateur

Explications ligne par ligne :

• Nouveau mot de passe : mot de passe temporaire, qui doit respecter la politique de complexité du domaine. Je génère 14 caractères mixtes via mon gestionnaire de mots de passe : c’est plus sûr qu’un mot de passe « tapé au clavier » par habitude (Welcome2025! et autres dérivés sont les premiers testés en attaque).
• L'utilisateur doit changer le mot de passe à la prochaine ouverture de session : coché. Indispensable : le mot de passe que je tape passe par le ticket, par mon esprit, par la confirmation orale, il doit être éphémère.
• Déverrouiller le compte de l'utilisateur : coché. Sans ça, mon reset enregistre un nouveau hash mais le compte reste LockedOut: True jusqu’à la fin de la fenêtre de verrouillage (30 minutes par défaut). Cocher la case remet lockoutTime à 0 immédiatement.
• L’indication État de verrouillage : Déverrouillé qu’on voit sur la capture confirme que le déverrouillage a déjà été appliqué pendant que je remplissais le formulaire : ADUC met à jour cet indicateur en temps réel.

Je clique sur OK. La fenêtre se ferme, le mot de passe est remplacé. ADUC affiche un message de confirmation.

Vérification dans les propriétés du compte

Pour m’assurer que tout est cohérent, j’ouvre les Propriétés de Jean Dupont, onglet Compte.

Je vérifie que :

• la case Déverrouiller le compte n’est plus cochée (= compte n’est plus verrouillé) ;
• l’option L’utilisateur devra changer le mot de passe à la prochaine ouverture est bien cochée ;
• l’option Le mot de passe n’expire jamais reste décochée ;
• l’option Enregistrer le mot de passe en utilisant un chiffrement réversible reste décochée ;
• la date d’expiration du compte est inchangée (toujours fin avril 2026).

Réinitialisation via PowerShell

Pour scripter le geste, voici l’équivalent PowerShell.

# 1) Vérifier l'état du compte avant action
Get-ADUser -Identity "jean.dupont" -Properties LockedOut,Enabled,PasswordExpired |
    Format-List Name,Enabled,LockedOut,PasswordExpired

# 2) Préparer le nouveau mot de passe (saisi de manière sécurisée)
$Nouveau = Read-Host -AsSecureString "Mot de passe temporaire"

# 3) Réinitialiser le mot de passe
Set-ADAccountPassword -Identity "jean.dupont" -NewPassword $Nouveau -Reset

# 4) Forcer le changement à la prochaine ouverture de session
Set-ADUser -Identity "jean.dupont" -ChangePasswordAtLogon $true

# 5) Déverrouiller le compte
Unlock-ADAccount -Identity "jean.dupont"

# 6) Vérifier l'état après action
Get-ADUser -Identity "jean.dupont" -Properties LockedOut,PasswordExpired,PasswordLastSet |
    Format-List Name,LockedOut,PasswordExpired,PasswordLastSet

Explications ligne par ligne :

• Read-Host -AsSecureString : le mot de passe est saisi à l’invite et stocké en SecureString. Il n’apparaît jamais en clair dans l’historique PowerShell.
• Set-ADAccountPassword -Reset : le switch -Reset est crucial. Sans lui, la commande attend l’ancien mot de passe (cas du Change Password utilisateur). Avec, l’admin peut forcer le nouveau hash.
• Set-ADUser -ChangePasswordAtLogon $true : force le flag pwdLastSet=0. Équivalent à la case ADUC.
• Unlock-ADAccount : remet lockoutTime à 0. Cmdlet idempotent : si le compte n’est pas verrouillé, ne fait rien.
• Le diagnostic en étape 6 doit retourner LockedOut: False, PasswordExpired: False, et un PasswordLastSet à vide (signal du flag change at next logon).

Communication du mot de passe

C’est la partie qui ne se voit pas dans les outils mais qui fait toute la différence.

Problèmes rencontrés et solutions

Compétences du bloc 1 mobilisées

Bilan

L’opération en elle-même est triviale en quelques clics, mais c’est l’enchaînement qui fait la qualité du support : vérification de l’identité → diagnostic réel (verrouillé ? désactivé ? mot de passe expiré ?) → reset + déverrouillage cohérents → communication sûre → traçabilité. Manquer une étape (typique : réinitialiser sans déverrouiller, ou transmettre le mot de passe par mail) transforme un ticket de 3 minutes en incident de sécurité potentiel.

Trois points retenus pour mes prochains tickets :

• toujours faire le diagnostic avant le geste — réinitialiser un mot de passe sur un compte qui était juste verrouillé crée un mot de passe inconnu dont l’utilisateur n’a pas besoin ;
• la version PowerShell est plus rapide à enchaîner et laisse une trace dans l’historique, ce qui aide pour la documentation du ticket ;
• la communication du mot de passe est une compétence à part entière, pas un détail.

Sources

• Microsoft Learn — Set-ADAccountPassword , Microsoft.
• Microsoft Learn — Unlock-ADAccount , Microsoft.
• Microsoft Learn — Account Lockout Policy , Microsoft.
• ANSSI — Recommandations relatives à l’authentification multifacteur et aux mots de passe , ANSSI.
• ANSSI — Recommandations de sécurité relatives à Active Directory , ANSSI.