Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. NTDS
  4. ntds.dit
FichierRisque : Ne pas toucher
  • Windows Server

ntds.dit C:\Windows\NTDS\ntds.dit

Base de données Active Directory d'un contrôleur de domaine : annuaire complet du domaine, y compris les secrets des comptes ; à protéger absolument.

Mis à jour le Par AltF4 Formation

À quoi ça sert

ntds.dit est la base de données des services de domaine Active Directory (AD DS). Elle contient les objets de l’annuaire du domaine : utilisateurs, groupes, ordinateurs, stratégies liées, attributs et données d’authentification. Chaque contrôleur de domaine en détient une copie, tenue à jour par la réplication. L’emplacement par défaut est choisi dans l’Assistant de configuration AD DS et peut être différent de C:\Windows\NTDS.

Ce qu’il contient

Une base au format ESE (Jet), accessible uniquement par le service d’annuaire. Elle regroupe notamment les secrets d’authentification (condensats de mots de passe) de tous les comptes du domaine. Pour cette raison, ce fichier et toutes ses copies relèvent du niveau de sécurité le plus élevé (niveau 0).

Risques et bonnes pratiques

  • Un ntds.dit déplacé, renommé ou supprimé à la main, et le contrôleur de domaine ne démarre plus correctement. Le déplacement de la base et la défragmentation hors ligne se font avec ntdsutil, service arrêté, après sauvegarde.
  • Le fichier est verrouillé en fonctionnement. Pour le copier, passez par une sauvegarde d’état système (Sauvegarde Windows Server, wbadmin) ou par un instantané cohérent.
  • Protégez ces sauvegardes comme le contrôleur lui-même : chiffrement, accès restreint, conservation maîtrisée. Limitez aussi les ouvertures de session sur les contrôleurs et les droits de sauvegarde et de restauration, qui donnent accès à la base.

Commandes utiles

Fenêtre de terminal
# Emplacement configuré de la base et des journaux (lecture seule)
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Parameters' |
    Select-Object 'DSA Database file', 'Database log files path'


# Contenu du dossier (taille et dates)
Get-ChildItem "$env:windir\NTDS" -Force | Select-Object Name, Length, LastWriteTime


# Sauvegarde de l'état système (en administrateur)
wbadmin start systemstatebackup -backuptarget:E:
Fenêtre de terminal
:: Emplacement et taille de la base et des journaux, vus par ntdsutil
ntdsutil "activate instance ntds" files info quit quit

Signaler une erreur