DFL : Domain Functional Level
Infrastructure
DFL : Domain Functional Level. « Niveau fonctionnel du domaine », par analogie avec la vitesse d'un convoi, fixée par le véhicule le plus lent.
Principe : Dans un domaine AD, le niveau fonctionnel détermine quelles fonctionnalités sont disponibles. Il ne peut pas dépasser la version de Windows Server du plus ancien contrôleur de domaine.
Lisible par tous : Le niveau est exposé sous forme d'entier dans l'entrée racine de l'annuaire, lisible en LDAP sans authentification. Il trahit donc la version minimale des DC, et par ricochet les protections probablement absentes.
Monter, rarement descendre : Relever le niveau suppose d'avoir retiré les anciens contrôleurs, et le retour en arrière est très limité. Beaucoup de domaines restent ainsi bloqués des années à un niveau d'une autre époque, par fidélité à un serveur que plus personne n'ose éteindre.
Forêt : Il existe aussi un niveau fonctionnel de forêt, qui suit la même logique à l'échelle de toute la forêt AD.
Ce qui arrive si on s'en passe
Un domaine laissé à un niveau fonctionnel ancien prive tout l'annuaire des fonctionnalités introduites depuis, simplement parce qu'un vieux contrôleur de domaine refuse de prendre sa retraite. Ce niveau étant lisible en LDAP sans authentification, n'importe qui sur le réseau apprend la version minimale des contrôleurs et en déduit les protections probablement absentes, ce qui lui épargne de longues heures de reconnaissance. Le retour en arrière étant très limité, la montée se remet d'année en année. Le domaine avance ainsi à la vitesse du véhicule le plus lent du convoi, qui a en outre la délicatesse d'afficher sa plaque d'immatriculation.
Explication de la marmotte
Dans une grande entreprise, un service central garde la liste de tous les comptes et de toutes les machines. Ce service tourne sur plusieurs ordinateurs, parfois d'âges très différents. Pour que tous se comprennent, on règle l'ensemble sur le niveau du plus vieux : comme une randonnée en groupe, qui avance au rythme du marcheur le plus lent. Tant que le vieil ordinateur reste là, les nouveautés proposées par les versions récentes restent verrouillées pour tout le monde.