Annuaire (d'identités)
Annuaire (en anglais directory service) : service central qui stocke les comptes, les groupes et souvent les clés SSH d'une organisation, et que chaque machine interroge au lieu de gérer ses propres comptes.
Les familles courantes sont LDAP (OpenLDAP, 389 Directory Server), FreeIPA (LDAP, Kerberos, autorité de certification, règles sudo et contrôle d'accès par hôte intégrés) et Active Directory, très présent chez les collectivités. Sous Linux, le client moderne est SSSD, branché à la fois sur NSS (libnss-sss, pour que id ou ls -l voient les comptes) et sur PAM (pam_sss, pour l'authentification). Le départ d'une personne se traite alors une seule fois, dans l'annuaire ; chaque machine le constate à l'expiration de son cache (entry_cache_timeout, 5 400 secondes par défaut) ou tout de suite après sudo sss_cache -u <compte>.
Un annuaire est un service critique de plus. Le canal doit être chiffré et le serveur authentifié (ldaps:// ou StartTLS, ldap_tls_reqcert = demand) : un faux annuaire pourrait déclarer un compte d'UID 0. Les requêtes passent par un compte de lecture dédié, jamais par un compte d'administration de l'annuaire (recommandation R70 du guide BP-028 de l'ANSSI). Le cache permet de travailler pendant une coupure, mais retarde la révocation, d'où l'intérêt d'un compte de secours local. Enfin, un binaire lié statiquement ne charge pas les modules NSS et ne voit pas les comptes de l'annuaire.