Ingénieur Systèmes Microsoft Senior N3 – Identité & Socle Windows Server - Freelance

Banque en ligne (millions de clients, forte croissance), environnement de production critique et réglementé (ANSSI, PCI-DSS), parc d'environ 500 serveurs Windows. L'équipe Systèmes Microsoft conçoit et sécurise la couche identité (Active Directory, authentification, accès, durcissement) et le socle Windows Server associé, en dernier niveau d'escalade (N3) avant l'éditeur. Virtualisation/stockage/sauvegarde relèvent de l'équipe Infrastructure ; Entra ID (hors Connect) relève de l'équipe Poste de Travail.

Le poste :

Ingénieur concepteur (build 80-90%) : conçoit, formalise, défend puis implémente et exploite lui-même l'architecture. Autonomie complète, maîtrise du "pourquoi" derrière chaque mécanisme, transversalité sur tout le périmètre, force de proposition, documentation et montée en compétence des N1/N2.

Missions principales

• Conception et évolution des architectures AD, ADFS, PKI et du socle Windows Server ; pilotage des migrations de DC.

• Durcissement de l'annuaire et remédiation des écarts de sécurité.

• Industrialisation du provisioning serveurs et automatisation des remédiations récurrentes.

• Intégration des applications à l'authentification d'entreprise ; définition des standards techniques et ingénierie documentaire (DAT, DEX, procédures).

• Traitement des incidents complexes (N3) et pilotage des escalades éditeur.

• Pilotage du patch management mensuel, gestion de l'obsolescence et des changements en production (CAB, rollback).

• Exploitation de Defender (périmètre serveur) et de la couche logicielle Citrix (VDA, NetScaler VPX).

• Gestion du cycle de vie des comptes/objets AD, supervision des services critiques, autonomisation des N1/N2.

Compétences obligatoires (éliminatoires)

• Active Directory & sécurité de l'annuaire : architecture multi-forêt, DC, réplication, RODC, FSMO, GPO avancées ; migration de DC (buffer servers, metadata cleanup) ; durcissement (tiering T0/T1/T2, ACL/délégations, AdminSDHolder/SDProp, Protected Users, PAW, JIT/PIM, bastion) ; chemins de compromission (DCSync, Kerberoasting, Pass-the-Hash) et audit PingCastle/Oradad (référentiels ANSSI/CIS) ; durcissement cryptographique (RC4→AES, LDAPS).

• Socle Windows Server : Windows Server 2012 R2 à 2025 (conception, durcissement, rôles, GPO) ; patch management (WSUS, vagues, rollback) ; cycle de vie et obsolescence.

• Industrialisation & automatisation : installation non assistée (image/fichier de réponse) ; PowerShell/DSC (code idempotent, versionné) ; Terraform, Chocolatey ; logique d'industrialisation vs automatisation.

• Authentification & certificats : Kerberos (TGT/TGS, KDC, SPN, comptes de service) ; ADFS (Relying Party Trusts, Claims Rules, SAML/OAuth2/OIDC, WAP) ; PKI/ADCS (Root CA offline, CA subordonnées, templates, SCEP/NDES, CRL/OCSP).

Périmètre associé : Entra ID Connect, DNS, partages CIFS/SMB, Citrix (VDA, NetScaler VPX, StoreFront, FAS), supervision Zabbix.