Active Directory : krbtgt le compte qui fait peur

# Exemple avec Mimikatz (à des fins pédagogiques)
# Extraction du hash krbtgt sur un DC compromis
lsadump::lsa /patch

# Forge d'un Golden Ticket valable 10 ans pour "Administrateur"
kerberos::golden /user:Administrateur /domain:mondomaine.local 
  /sid:S-1-5-21-... /krbtgt:<HASH_NTLM> /endin:87600

# Module Windows requis
pip install pywinrm
ansible-galaxy collection install ansible.windows

# Activation de WinRM (si pas déjà fait via GPO)
Enable-PSRemoting -Force
winrm set winrm/config/service/auth '@{Basic="true"}'
winrm set winrm/config/service '@{AllowUnencrypted="false"}'

# inventory/production.yml
all:
  children:
    domain_controllers:
      hosts:
        dc01.mondomaine.local:
          ansible_host: 192.168.1.10
        dc02.mondomaine.local:
          ansible_host: 192.168.1.11
      vars:
        ansible_user: "MONDOMAINE\\ansible_svc"
        ansible_password: "{{ vault_ansible_password }}"
        ansible_connection: winrm
        ansible_winrm_transport: kerberos
        ansible_winrm_server_cert_validation: validate
        ansible_port: 5986

# Chiffrement du vault
ansible-vault create group_vars/all/vault.yml
# Contenu :
# vault_ansible_password: "VotreMotDePasseServiceAnsible"

# roles/krbtgt_rotation/defaults/main.yml

# Délai entre les deux rotations (en secondes)
# 36000 = 10 heures (recommandation Microsoft)
# Pour les tests, vous pouvez descendre à 60 secondes
krbtgt_rotation_delay: 36000

# Mode : 'simulate' (dry-run) ou 'reset' (rotation réelle)
krbtgt_operation_mode: "simulate"

# Chemin temporaire sur le DC pour le script
krbtgt_script_dest: "C:\\Windows\\Temp\\New-KrbtgtKeys.ps1"

# Domaine cible (sera détecté automatiquement si vide)
krbtgt_domain: ""

# roles/krbtgt_rotation/tasks/main.yml
---

# ─── Pré-vérifications ───────────────────────────────────────────────────────

- name: Vérifier que le module ActiveDirectory est disponible
  ansible.windows.win_powershell:
    script: |
      if (-not (Get-Module -ListAvailable -Name ActiveDirectory)) {
          throw "Module ActiveDirectory non disponible. Installez RSAT."
      }
      Write-Output "OK"      
  register: ad_module_check
  changed_when: false

- name: Identifier le PDC Emulator du domaine
  ansible.windows.win_powershell:
    script: |
      $pdc = (Get-ADDomain).PDCEmulator
      Write-Output $pdc      
  register: pdc_emulator
  run_once: true
  changed_when: false

- name: Afficher le PDC Emulator identifié
  ansible.builtin.debug:
    msg: "PDC Emulator : {{ pdc_emulator.output[0] }}"
  run_once: true

# ─── Déploiement du script ───────────────────────────────────────────────────

- name: Copier le script New-KrbtgtKeys.ps1 sur le DC
  ansible.windows.win_copy:
    src: New-KrbtgtKeys.ps1
    dest: "{{ krbtgt_script_dest }}"
  when: inventory_hostname == pdc_emulator.output[0].split('.')[0]

# ─── Vérification de l'état actuel ──────────────────────────────────────────

- name: Vérifier la date du dernier changement de mot de passe krbtgt
  ansible.windows.win_powershell:
    script: |
      $krbtgt = Get-ADUser krbtgt -Properties PasswordLastSet, msDS-KeyVersionNumber
      $result = @{
          PasswordLastSet   = $krbtgt.PasswordLastSet.ToString("yyyy-MM-dd HH:mm:ss")
          KeyVersionNumber  = $krbtgt.'msDS-KeyVersionNumber'
          DaysSinceChange   = ((Get-Date) - $krbtgt.PasswordLastSet).Days
      }
      Write-Output ($result | ConvertTo-Json)      
  register: krbtgt_current_state
  run_once: true
  changed_when: false
  delegate_to: "{{ pdc_emulator.output[0] }}"

- name: Afficher l'état actuel du compte krbtgt
  ansible.builtin.debug:
    msg: "{{ krbtgt_current_state.output[0] | from_json }}"
  run_once: true

# ─── Première rotation ───────────────────────────────────────────────────────

- name: "Première rotation krbtgt (mode: {{ krbtgt_operation_mode }})"
  ansible.windows.win_powershell:
    script: |
      $params = @{
          OperationMode = "{{ krbtgt_operation_mode }}"
          DomainFQDN    = (Get-ADDomain).DNSRoot
      }
      & "{{ krbtgt_script_dest }}" @params      
  register: rotation_first
  run_once: true
  delegate_to: "{{ pdc_emulator.output[0] }}"
  when: krbtgt_operation_mode == "reset"

- name: Log de la première rotation
  ansible.builtin.debug:
    msg: "{{ rotation_first.output }}"
  run_once: true
  when: krbtgt_operation_mode == "reset"

# ─── Vérification de la réplication avant d'attendre ────────────────────────

- name: Forcer la réplication AD vers tous les DCs
  ansible.windows.win_powershell:
    script: |
      repadmin /syncall /AdeP
      Start-Sleep -Seconds 30
      repadmin /showrepl      
  register: repl_check_1
  run_once: true
  delegate_to: "{{ pdc_emulator.output[0] }}"
  when: krbtgt_operation_mode == "reset"

- name: Vérifier que la réplication ne présente pas d'erreurs
  ansible.windows.win_powershell:
    script: |
      $errors = repadmin /showrepl 2>&1 | Select-String "fail|error" -CaseSensitive:$false
      if ($errors) {
          Write-Warning "Erreurs de réplication détectées :"
          $errors | ForEach-Object { Write-Warning $_.Line }
          # On log mais on ne bloque pas - l'admin doit investiguer
      } else {
          Write-Output "Réplication OK"
      }      
  register: repl_errors
  run_once: true
  delegate_to: "{{ pdc_emulator.output[0] }}"
  changed_when: false

# ─── Attente inter-rotation ──────────────────────────────────────────────────

- name: "Attente de {{ krbtgt_rotation_delay }} secondes entre les deux rotations"
  ansible.builtin.pause:
    seconds: "{{ krbtgt_rotation_delay }}"
  run_once: true
  when: krbtgt_operation_mode == "reset"

# ─── Seconde rotation ────────────────────────────────────────────────────────

- name: "Seconde rotation krbtgt (invalidation définitive des anciens tickets)"
  ansible.windows.win_powershell:
    script: |
      $params = @{
          OperationMode = "{{ krbtgt_operation_mode }}"
          DomainFQDN    = (Get-ADDomain).DNSRoot
      }
      & "{{ krbtgt_script_dest }}" @params      
  register: rotation_second
  run_once: true
  delegate_to: "{{ pdc_emulator.output[0] }}"
  when: krbtgt_operation_mode == "reset"

- name: Log de la seconde rotation
  ansible.builtin.debug:
    msg: "{{ rotation_second.output }}"
  run_once: true
  when: krbtgt_operation_mode == "reset"

# ─── Vérification post-rotation ──────────────────────────────────────────────

- name: Vérifier le nouveau numéro de version Kerberos (msDS-KeyVersionNumber)
  ansible.windows.win_powershell:
    script: |
      $krbtgt = Get-ADUser krbtgt -Properties PasswordLastSet, msDS-KeyVersionNumber
      $result = @{
          PasswordLastSet  = $krbtgt.PasswordLastSet.ToString("yyyy-MM-dd HH:mm:ss")
          KeyVersionNumber = $krbtgt.'msDS-KeyVersionNumber'
      }
      Write-Output ($result | ConvertTo-Json)      
  register: krbtgt_new_state
  run_once: true
  changed_when: false
  delegate_to: "{{ pdc_emulator.output[0] }}"

- name: Résumé post-rotation
  ansible.builtin.debug:
    msg:
      - "=== Rotation krbtgt terminée ==="
      - "Nouvel état : {{ krbtgt_new_state.output[0] | from_json }}"
      - "Pensez à documenter cette rotation dans votre CMDB."
  run_once: true

# ─── Nettoyage ───────────────────────────────────────────────────────────────

- name: Supprimer le script du DC après utilisation
  ansible.windows.win_file:
    path: "{{ krbtgt_script_dest }}"
    state: absent
  when: inventory_hostname == pdc_emulator.output[0].split('.')[0]

# site.yml
---
- name: Rotation du mot de passe krbtgt Active Directory
  hosts: domain_controllers
  gather_facts: false

  vars_files:
    - group_vars/all/vault.yml

  pre_tasks:
    - name: Afficher le mode d'exécution
      ansible.builtin.debug:
        msg: >
          Mode : {{ krbtgt_operation_mode | upper }}
          {% if krbtgt_operation_mode == 'simulate' %}
          (DRY-RUN - aucune modification ne sera effectuée)
          {% else %}
          ⚠️  ROTATION RÉELLE - les mots de passe seront changés
          {% endif %}          
      run_once: true

  roles:
    - role: krbtgt_rotation

# Vérification sans aucune modification
ansible-playbook site.yml \
  --ask-vault-pass \
  -e "krbtgt_operation_mode=simulate"

# Rotation avec délai complet de 10h entre les deux passes
ansible-playbook site.yml \
  --ask-vault-pass \
  -e "krbtgt_operation_mode=reset" \
  -e "krbtgt_rotation_delay=36000"

# Délai de 60 secondes - UNIQUEMENT en environnement de test
ansible-playbook site.yml \
  --ask-vault-pass \
  -e "krbtgt_operation_mode=reset" \
  -e "krbtgt_rotation_delay=60"

# Sur chaque DC, vérifier que le numéro de version est identique
Get-ADReplicationUpToDatenessVectorTable -Target "dc01.mondomaine.local"

# Vérification du kvno krbtgt sur tous les DCs
repadmin /showobjmeta * "CN=krbtgt,CN=Users,DC=mondomaine,DC=local" | 
  Select-String "pwdLastSet|msDS-KeyVersionNumber"

- name: Notification de fin de rotation
  community.general.slack:
    token: "{{ vault_slack_token }}"
    channel: "#soc-alerts"
    msg: |
      ✅ *Rotation krbtgt terminée*
      Domaine : {{ ansible_domain }}
      Date : {{ ansible_date_time.iso8601 }}
      KeyVersionNumber : {{ krbtgt_new_state.output[0] | from_json | json_query('KeyVersionNumber') }}      
  run_once: true
  delegate_to: localhost

# inventory/production.yml
all:
  children:
    domain_infra:
      hosts:
        dc-infra-01.infradomaine.local:
      vars:
        ansible_user: "INFRA\\ansible_svc"
        # ...

    domain_users:
      hosts:
        dc-users-01.userdomaine.local:
      vars:
        ansible_user: "USERS\\ansible_svc"
        # ...