Active Directory : domaine, UO, groupes
Comprendre l'annuaire Active Directory, installer un contrôleur de domaine, organiser les comptes en unités d'organisation et en groupes (méthode AGDLP), joindre un poste Windows 11 et dépanner les pannes courantes.
L'essentiel
- Un annuaire range des objets dans une hiérarchie ; LDAP (389) l'interroge, Kerberos (88) authentifie.
- Un objet se désigne par son DN :
CN=Léa Martin,OU=Compta,…,DC=broceliande,DC=lan, du plus précis au plus large. - Domaine < arbre < forêt ; la forêt est la frontière de sécurité ; les approbations internes sont automatiques et transitives.
- Un contrôleur de domaine héberge l'annuaire ; il y en a deux au moins ; cinq rôles FSMO (dont l'émulateur PDC, source de l'heure).
- Installer AD DS ne suffit pas : il faut promouvoir le serveur (
Install-ADDSForest), avec un mot de passe DSRM. - AD ne fonctionne pas sans DNS : les enregistrements SRV annoncent les contrôleurs ; les postes ont pour DNS le contrôleur.
- Une UO range et délègue ; elle ne donne pas de droits. Les comptes d'administration (
adm.) sont séparés. - Groupes : type sécurité (droits) ou distribution (messagerie) ; étendue domaine local, global ou universel.
- AGDLP : Comptes → Globaux → Domaine local → Permissions ; on gère les accès par l'appartenance aux groupes.
- En panne, on contrôle dans l'ordre : DNS, heure, compte, groupes (nouvelle session), puis le contrôleur.
La règle du DNS dans un domaine
Tous les membres du domaine (serveurs et postes) ont pour DNS le contrôleur de domaine (172.16.50.10), et lui seul. Les noms d'Internet sont résolus par le DNS de SRV-01, qui les transmet à un redirecteur (l'adresse du pare-feu 172.16.50.254 ou celle d'un DNS public). Un DNS public saisi sur un poste fait échouer l'ouverture de session.
UO et groupe : ne pas confondre
Une UO range des objets, on ne lui donne pas de droits sur un dossier. Un groupe rassemble des comptes pour leur donner des droits. Un même compte est dans une seule UO mais peut appartenir à plusieurs groupes.
Un compte créé en PowerShell est désactivé
Sans -Enabled $true, New-ADUser crée le compte désactivé, et le salarié reçoit « Votre compte a été désactivé ». La console graphique, elle, active le compte dès que le mot de passe est valide. Quand un salarié part, on désactive son compte, on le range dans une UO d'archive, et on ne le supprime qu'après un délai convenu : un compte supprimé perd son SID, donc tous ses droits.
AGDLP en une phrase
Les comptes vont dans des groupes globaux (par service), les globaux vont dans des groupes domaine local (par droit sur une ressource), et seuls ces derniers figurent dans les permissions. Pour donner ou retirer un accès à quelqu'un, on change son appartenance à un groupe, jamais les permissions du dossier.
Commandes clés
| Pour… | Commandes |
|---|---|
| Créer le domaine | Install-WindowsFeature AD-Domain-Services -IncludeManagementTools · Install-ADDSForest -DomainName broceliande.lan |
| Créer UO, compte, groupe | New-ADOrganizationalUnit · New-ADUser (avec -Enabled $true) · New-ADGroup -GroupScope Global|DomainLocal |
| Gérer les membres | Add-ADGroupMember · Get-ADGroupMember · Remove-ADGroupMember |
| Dépanner un compte | Get-ADUser -Properties Enabled,LockedOut · Enable-ADAccount · Unlock-ADAccount |
| Joindre un poste | Add-Computer -DomainName broceliande.lan -Restart · Test-ComputerSecureChannel |
| Contrôler DNS et contrôleur | nslookup -type=SRV _ldap._tcp.dc._msdcs.broceliande.lan · nltest /dsgetdc: · dcdiag · repadmin /replsummary |
| Heure et groupes de la session | w32tm /query /status · w32tm /resync · whoami /groups |