Comptes utilisateurs, droits et UAC

Un compte utilisateur est l'identité avec laquelle une personne ouvre une session sur un poste : un nom, un secret (mot de passe, code PIN, clé) et des droits, le plus souvent hérités des groupes dont le compte est membre. Bien gérer les comptes, c'est appliquer le principe du moindre privilège : chacun reçoit les droits dont il a besoin pour travailler, et pas un de plus. Ce chapitre explique les types de comptes de Windows 11 et de Linux, leur gestion en interface et en ligne de commande, le contrôle de compte d'utilisateur (UAC), sudo, LAPS et les droits sur les fichiers.

Les comptes d'un poste Windows

Un poste Windows connaît quatre sortes de comptes (le choix à l'installation) : le compte local, qui n'existe que sur ce poste ; le compte Microsoft, personnel ; le compte professionnel Entra ID, géré dans le cloud ; le compte de domaine Active Directory, géré sur les contrôleurs de domaine. En entreprise, les utilisateurs se connectent avec un compte de domaine ou Entra ID : un seul compte pour tous les postes et toutes les applications, désactivé en un clic au départ de la personne.

Chaque compte a un type :

Windows crée aussi des comptes intégrés : Administrateur (désactivé par défaut depuis Windows Vista), Invité (désactivé), et des comptes de service utilisés par le système lui-même (SYSTEM, LOCAL SERVICE, NETWORK SERVICE), qui n'ouvrent jamais de session.

Les groupes locaux regroupent les droits. Les plus utiles :

Dans un domaine, on ne met pas les utilisateurs un par un dans ces groupes : on y place des groupes du domaine (par exemple, le groupe du support de niveau 2 dans « Administrateurs » des postes), par stratégie de groupe. Le cours Windows Server détaille cette organisation.

Gérer les comptes locaux

En interface : Paramètres > Comptes > Autres utilisateurs pour ajouter un compte et changer son type, ou la console Utilisateurs et groupes locaux (lusrmgr.msc, éditions Professionnel et supérieures) pour tout voir.

En ligne de commande, l'ancienne commande net fonctionne partout ; PowerShell est plus complet :

# Lister les comptes locaux et leur état
Get-LocalUser | Select-Object Name, Enabled, LastLogon

# Créer un compte standard pour la stagiaire de l'accueil (le mot de passe est demandé au clavier)
$motDePasse = Read-Host -AsSecureString "Mot de passe initial"
New-LocalUser -Name "accueil-stage" -FullName "Stagiaire accueil" -Password $motDePasse
Add-LocalGroupMember -Group "Utilisateurs" -Member "accueil-stage"

# Qui est administrateur de ce poste ? (le SID marche quelle que soit la langue de Windows)
Get-LocalGroupMember -SID "S-1-5-32-544"

# Désactiver un compte au départ de la personne, sans le supprimer
Disable-LocalUser -Name "accueil-stage"

:: Les équivalents avec la commande net, dans une invite de commandes administrateur
net user
net user accueil-stage * /add
net localgroup Administrateurs
net user accueil-stage /active:no

Le nom des groupes dépend de la langue de Windows : « Administrateurs » sur un poste français, « Administrators » sur un poste anglais. Un script qui doit marcher partout utilise l'identifiant de sécurité (SID) du groupe : S-1-5-32-544 pour Administrateurs, S-1-5-32-545 pour Utilisateurs.

Pour savoir avec quels droits tu travailles : whoami affiche ton compte, whoami /groups tes groupes, et whoami /priv tes privilèges.

Le contrôle de compte d'utilisateur (UAC)

Le contrôle de compte d'utilisateur (UAC, User Account Control) est le mécanisme de Windows qui fait tourner les programmes sans droits d'administration, même quand l'utilisateur est administrateur, et qui demande une confirmation avant chaque action qui modifie le système. Il est apparu avec Windows Vista en 2007.

Le principe : à l'ouverture de session d'un administrateur, Windows crée deux jetons d'accès. Le jeton filtré, sans les droits d'administration, sert à tous les programmes. Le jeton complet n'est utilisé que pour un programme qui le demande, après la fenêtre de confirmation, affichée sur un bureau sécurisé (l'écran s'assombrit) qu'aucun autre programme ne peut piloter.

Ce que voit l'utilisateur dépend de son type de compte :

• Un administrateur reçoit une demande de consentement : « Voulez-vous autoriser cette application à apporter des modifications à votre appareil ? » avec Oui ou Non.
• Un utilisateur standard reçoit une demande d'informations d'identification : il doit taper le nom et le mot de passe d'un compte administrateur. C'est cette demande qu'un technicien remplit, sur place ou à distance, pour installer un logiciel.

Les programmes ont aussi un niveau d'intégrité : bas (onglets du navigateur isolés), moyen (programmes normaux), élevé (programmes élevés), système (services). Un processus de niveau moyen ne peut pas modifier un processus de niveau élevé : un logiciel malveillant lancé par l'utilisateur ne peut pas piloter une console d'administration ouverte à côté.

Le curseur de l'UAC (Panneau de configuration > Comptes d'utilisateurs > Modifier les paramètres du contrôle de compte d'utilisateur) a quatre positions :

Windows 11 renforce ce mécanisme avec la protection de l'administrateur : chaque élévation utilise un compte d'administration caché, créé et géré par le système, et se confirme par Windows Hello. Désactivée par défaut, elle s'active par stratégie de groupe ou par Intune ; les lignes de base de sécurité de Microsoft pour Windows 11 l'activent depuis la mise à jour d'octobre 2026. Depuis la version 24H2, Windows 11 propose aussi une commande sudo, désactivée par défaut (Paramètres > Système > Pour les développeurs), qui lance une commande élevée depuis un terminal non élevé.

Le moindre privilège et LAPS

Un utilisateur qui travaille avec un compte administrateur donne ces droits à tout ce qu'il lance : un logiciel malveillant reçu par courriel peut désactiver l'antivirus, s'installer comme service et lire les fichiers des autres. Retirer les droits d'administration des utilisateurs bloque une grande partie des attaques courantes. Les règles d'un parc bien tenu :

• Les utilisateurs ont un compte standard.
• Les techniciens et administrateurs ont deux comptes : un compte standard pour la messagerie et le Web, et un compte d'administration (par exemple admin-sarah) utilisé seulement pour les tâches qui l'exigent, jamais pour naviguer.
• Les besoins ponctuels d'élévation (un développeur qui installe un outil) passent par un outil de gestion des privilèges ou par un compte d'administration personnel limité à son poste, jamais par l'ajout permanent au groupe Administrateurs.
• Le compte administrateur local de chaque poste a un mot de passe différent sur chaque poste.

Ce dernier point est crucial. Si les 48 postes de Ravelle Conseil partagent le même mot de passe d'administrateur local, un attaquant qui le récupère sur un seul poste (dans un script oublié, ou en extrayant son empreinte) se connecte à tous les autres : c'est un mouvement latéral.

Windows LAPS (Local Administrator Password Solution) règle ce problème. Intégré à Windows depuis la mise à jour d'avril 2023, il change automatiquement et régulièrement le mot de passe d'un compte administrateur local, un mot de passe aléatoire différent par poste, et le sauvegarde, chiffré, dans Active Directory ou dans Microsoft Entra ID. Seules les personnes autorisées peuvent le lire, et chaque lecture est journalisée. On le configure par stratégie de groupe ou par Intune.

# Lire le mot de passe administrateur local géré par LAPS du poste PC-0042 (droits nécessaires)
Get-LapsADPassword -Identity "PC-0042" -AsPlainText

# Forcer un changement immédiat, par exemple après une intervention (sur le poste lui-même)
Reset-LapsPassword

Les comptes sous Linux

Sous Linux, chaque compte est une ligne du fichier /etc/passwd ; l'empreinte du mot de passe est dans /etc/shadow, lisible seulement par root, et les groupes dans /etc/group.

sarah:x:1001:1001:Sarah Martin,,,:/home/sarah:/bin/bash

Les champs, séparés par : : le nom, x (le mot de passe est dans /etc/shadow), l'identifiant numérique de l'utilisateur (UID), celui de son groupe principal (GID), la description, le dossier personnel et le shell. Le compte root (UID 0) a tous les droits.

# Créer un compte (Debian et Ubuntu : adduser pose les questions et crée le dossier personnel)
sudo adduser julien

# Ajouter julien au groupe sudo : il pourra administrer la machine
sudo usermod -aG sudo julien

# Voir les groupes d'un compte
id julien

# Verrouiller un compte au départ de la personne, puis le supprimer avec son dossier plus tard
sudo usermod -L julien
sudo deluser --remove-home julien

Sur Ubuntu, le compte root n'a pas de mot de passe : on administre avec sudo, qui exécute une seule commande avec les droits de root, après avoir demandé ton propre mot de passe. Chaque utilisation est journalisée (/var/log/auth.log, ou journalctl _COMM=sudo). Les règles sont dans /etc/sudoers, qu'on modifie uniquement avec sudo visudo (qui vérifie la syntaxe avant d'enregistrer) ; on préfère ajouter un fichier dans /etc/sudoers.d/. Exemple de moindre privilège : les membres du groupe support peuvent seulement redémarrer le service d'impression.

# /etc/sudoers.d/support : créé avec « sudo visudo -f /etc/sudoers.d/support »
%support ALL=(root) /usr/bin/systemctl restart cups

sudo -l affiche ce que ton compte a le droit de faire. Le cours Linux : administration va plus loin sur les comptes et les groupes.

Les droits sur les fichiers

Sous Linux, chaque fichier a un propriétaire, un groupe, et trois séries de droits : pour le propriétaire (u), pour le groupe (g) et pour les autres (o). Chaque série combine lecture (r, valeur 4), écriture (w, valeur 2) et exécution (x, valeur 1 ; pour un dossier, le droit d'y entrer).

$ ls -l bilan-2026.ods
-rw-r----- 1 sarah compta 48213 oct. 29 09:12 bilan-2026.ods

Le premier caractère est le type (- fichier, d dossier), puis rw- pour sarah (lecture et écriture), r-- pour le groupe compta (lecture), --- pour les autres (rien). En octal : 6 (4 + 2), 4, 0, soit 640.

chmod 640 bilan-2026.ods          # rw-r----- en octal
chmod o-rwx prive.txt             # retirer tous les droits aux autres
chmod u+x sauvegarde.sh           # rendre un script exécutable par son propriétaire
sudo chown sarah:compta bilan-2026.ods   # changer le propriétaire et le groupe

Sous Windows, les droits sur les fichiers du système de fichiers NTFS s'appellent des autorisations et forment une liste de contrôle d'accès (ACL) : pour chaque utilisateur ou groupe, des droits autorisés ou refusés. Les autorisations de base : contrôle total, modification, lecture et exécution, affichage du contenu du dossier, lecture, écriture. Elles s'héritent du dossier parent, et un refus l'emporte sur une autorisation. On les voit dans les Propriétés > Sécurité d'un dossier, ou avec icacls :

:: Afficher les autorisations, puis donner « Modification » au groupe de la comptabilité,
:: héritée par les sous-dossiers (CI) et les fichiers (OI)
icacls D:\Partages\Compta
icacls D:\Partages\Compta /grant "RAVELLE\GG_Compta:(OI)(CI)M"

Sur un dossier partagé en réseau, les droits de partage et les autorisations NTFS se cumulent : c'est le plus restrictif des deux qui s'applique. Le cours Windows Server détaille les partages et les autorisations NTFS.

Exercices

$motDePasse = Read-Host -AsSecureString "Mot de passe"
New-LocalUser -Name "formation" -Password $motDePasse
Add-LocalGroupMember -Group "Utilisateurs" -Member "formation"
Get-LocalGroupMember -SID "S-1-5-32-544"
Disable-LocalUser -Name "formation"