B2-17 Active Directory : domaine, UO, groupes

1. L'annuaire et le protocole LDAP

Un annuaire est une base de données spécialisée qui range des objets (personnes, ordinateurs, groupes, imprimantes) dans une hiérarchie, et qui est très rapide à interroger. On y lit souvent, on y écrit rarement. Active Directory (AD) est l'annuaire de Microsoft : il centralise les comptes, les mots de passe et les droits d'une entreprise. Son service s'appelle AD DS (Active Directory Domain Services).

Dans l'annuaire, chaque objet a une adresse unique, son nom distinctif (DN). Il se lit de gauche à droite, du plus précis au plus large. Clique sur chaque morceau.

1.1 Ce que contient un objet

• ClasseLe type de l'objet : user (utilisateur), computer (ordinateur), group (groupe), organizationalUnit (unité d'organisation).
• AttributsLes informations de l'objet : nom, identifiant de connexion, description, appartenance à des groupes… La liste des attributs possibles est fixée par le schéma.
• SIDIdentifiant unique et permanent d'un compte ou d'un groupe. Les droits sur les dossiers s'appuient sur le SID, pas sur le nom : un compte supprimé puis recréé a un autre SID, donc perd ses droits.
• DNL'adresse complète de l'objet dans l'arbre. Elle change quand on déplace l'objet dans une autre unité d'organisation.

2. Domaine, arbre, forêt et approbations

Un domaine est l'unité de base : un ensemble d'objets qui partagent le même annuaire, les mêmes règles de sécurité et le même nom DNS (broceliande.lan). Les domaines s'organisent en niveaux plus larges.

• DomaineUn annuaire, des contrôleurs de domaine, un nom DNS. C'est aussi la limite d'administration : les administrateurs du domaine gèrent tout ce qu'il contient.
• ArbreDes domaines qui partagent un espace de noms DNS continu : rennes.broceliande.lan est un domaine enfant de broceliande.lan.
• ForêtUn ou plusieurs arbres qui partagent le même schéma et le même catalogue global. La forêt est la vraie frontière de sécurité d'Active Directory. Le premier domaine créé est le domaine racine de la forêt.
• ApprobationUn lien de confiance qui permet aux comptes d'un domaine d'utiliser les ressources d'un autre. Dans une forêt, les approbations sont créées automatiquement, à double sens et transitives (si A approuve B et B approuve C, A approuve C).

3. Contrôleur de domaine, catalogue global et rôles FSMO

Un contrôleur de domaine (DC) est un serveur qui héberge une copie de l'annuaire et qui vérifie les mots de passe. Quand tu ouvres une session sur un poste du domaine, c'est lui qui répond. Si le seul contrôleur de domaine est arrêté, plus personne ne peut ouvrir de session : c'est pourquoi on en prévoit deux (partie 11).

3.1 Le catalogue global

Le catalogue global (GC) est un index de toute la forêt : il permet de chercher un utilisateur sans savoir dans quel domaine il est. Pour ouvrir une session, un contrôleur doit pouvoir joindre un catalogue global (appartenance aux groupes universels). Dans un petit domaine, le premier contrôleur est automatiquement catalogue global.

3.2 Les rôles FSMO

L'annuaire est multi-maître : on peut modifier n'importe quel contrôleur. Cinq opérations délicates ne doivent pourtant être faites que par un seul contrôleur à la fois : ce sont les rôles FSMO.

• Maître du schéma (forêt)Seul autorisé à modifier le schéma de l'annuaire.
• Maître d'attribution des noms de domaine (forêt)Ajoute ou retire des domaines dans la forêt.
• Maître des RID (domaine)Distribue aux contrôleurs des paquets de numéros pour fabriquer les SID : sans lui, plus de création de comptes à terme.
• Émulateur PDC (domaine)Source de l'heure du domaine, reçoit en priorité les changements de mot de passe, traite les verrouillages de comptes. Le plus sollicité des cinq.
• Maître d'infrastructure (domaine)Tient à jour les références vers des objets d'autres domaines.

4. Installer AD DS et promouvoir SRV-01

Créer un domaine se fait en deux temps. D'abord on installe le rôle AD DS : les fichiers sont copiés, le serveur n'est pas encore contrôleur. Ensuite on promeut le serveur : il crée la forêt, la base de l'annuaire et il s'annonce dans le DNS. Les prérequis viennent de la fiche B2-15 : nom SRV-01, adresse fixe 172.16.50.10/24, heure juste.

4.1 Les choix de l'assistant, un par un

• Opération de déploiementAjouter une nouvelle forêt pour le tout premier contrôleur ; Ajouter un contrôleur de domaine à un domaine existant pour le second (partie 11).
• Nom de domaine racinebroceliande.lan. Ce nom est quasiment impossible à changer ensuite : réfléchis avant (partie 13). Le nom NetBIOS proposé est BROCELIANDE.
• Niveau fonctionnelIl fixe les fonctions de l'annuaire et la version minimale des contrôleurs de domaine acceptés. Choisis Windows Server 2025 pour la forêt et le domaine : tous les contrôleurs seront des Windows Server 2025. On ne peut pas descendre de niveau.
• Options du contrôleurCases cochées : Serveur DNS et Catalogue global. Contrôleur en lecture seule (RODC) n'est pas proposé pour le premier contrôleur.
• Mot de passe DSRMDSRM : mot de passe du mode de restauration de l'annuaire, à conserver dans le coffre de mots de passe de l'entreprise.
• Délégation DNS et cheminsL'avertissement « délégation DNS impossible » est normal avec un domaine en .lan : il n'y a pas de zone parente. Les chemins par défaut conviennent : C:\Windows\NTDS et C:\Windows\SYSVOL.

4.2 La même chose en PowerShell

5. Le DNS intégré et les enregistrements SRV

Active Directory ne fonctionne pas sans DNS. Un poste ne connaît pas l'adresse du contrôleur de domaine : il la demande au DNS, grâce à des enregistrements spéciaux de type SRV que le contrôleur crée tout seul au démarrage.

5.1 Ce que le contrôleur publie

Ces enregistrements sont dans la zone broceliande.lan et dans le sous-domaine _msdcs. La zone est intégrée à Active Directory : elle est stockée dans l'annuaire lui-même et répliquée avec lui, et les postes y inscrivent leur adresse eux-mêmes en mise à jour dynamique sécurisée.

La création des zones et des enregistrements à la main est vue en B2-11 · DNS ; le service DHCP qui distribue l'adresse du DNS aux postes, en B2-10 · DHCP.

6. Les unités d'organisation (UO)

Une unité d'organisation (UO) est un dossier de l'annuaire. Elle sert à trois choses : ranger les objets, déléguer l'administration (« le technicien de Rennes gère les comptes de Rennes et rien d'autre »), et appliquer des stratégies de groupe à un ensemble d'objets (fiche B2-18 · GPO). L'arborescence reflète donc la façon dont l'entreprise est administrée.

6.1 Les règles de conception

• Par site, puis par typeUne UO par site (Siege, Rennes) pour déléguer à un technicien local, puis Utilisateurs et Postes dedans : on n'applique pas les mêmes stratégies aux personnes et aux machines.
• Par service pour les personnesSous Utilisateurs, une UO par service (Direction, Compta, Entrepot) quand les services se gèrent différemment.
• Les comptes d'administration à partUn technicien a deux comptes : jules.bernard pour son travail quotidien et adm.jbernard pour administrer. Le second vit dans l'UO Admins, n'ouvre jamais le courrier et ne navigue pas sur Internet : s'il est volé, c'est le domaine entier qui est perdu.
• Peu de niveauxTrois ou quatre niveaux suffisent. Une arborescence trop profonde devient impossible à maintenir.

Par défaut, New-ADOrganizationalUnit active la protection contre la suppression accidentelle : pour supprimer une UO, il faut d'abord décocher cette case (onglet Objet de la console, affichage avancé).

7. Comptes utilisateurs et comptes d'ordinateurs

Chaque personne a un compte utilisateur, chaque machine membre du domaine a un compte d'ordinateur. Voici les attributs que tu renseignes à la création d'un utilisateur, dans la console Utilisateurs et ordinateurs Active Directory ou en PowerShell.

• Nom complet (name, cn)Léa Martin. C'est le nom de l'objet dans l'UO : il doit être unique dans l'UO.
• Nom d'ouverture de session (userPrincipalName)lea.martin@broceliande.lan : la forme moderne, du type adresse de messagerie.
• Nom d'ouverture de session antérieur (sAMAccountName)lea.martin, utilisé dans la forme BROCELIANDE\lea.martin. Limité à 20 caractères, il doit être unique dans le domaine.
• Mot de passe et options (userAccountControl)« L'utilisateur doit changer le mot de passe à la prochaine ouverture de session » (à cocher pour un nouveau compte), « le mot de passe n'expire jamais » (réservé aux comptes de service), « le compte est désactivé ».
• Description, service, téléphoneInformations pour l'annuaire : une description claire (« Comptable, siège ») fait gagner du temps au dépannage.
• Membre de (memberOf)Les groupes auxquels le compte appartient : c'est eux qui donnent les droits (partie 8).

8. Les groupes : étendue et type

Un groupe rassemble des comptes (et d'autres groupes). On lui donne des droits une fois, tous ses membres en bénéficient. Un groupe a deux caractéristiques indépendantes : son type et son étendue.

8.1 Le type : sécurité ou distribution

• SécuritéLe groupe a un SID : on peut l'utiliser dans les permissions d'un dossier, d'une imprimante. C'est le choix par défaut pour tout ce qui touche aux droits.
• DistributionLe groupe sert uniquement de liste de diffusion de messagerie. Il n'a pas de SID : impossible de s'en servir dans une permission.

8.2 L'étendue : qui peut être membre, où le groupe est visible

8.3 Quelle étendue choisir ?

9. La stratégie AGDLP : donner des droits proprement

Donner un droit sur un dossier à chaque utilisateur, un par un, devient ingérable en quelques mois. La méthode de Microsoft tient dans un sigle : Accounts, Global groups, Domain Local groups, Permissions. Les comptes vont dans un groupe global par service, ce groupe va dans un groupe domaine local qui représente un droit, et c'est ce groupe domaine local qui reçoit la permission sur le dossier. Exemple : le partage \\SRV-01\Compta.

9.1 Pourquoi deux groupes et pas un seul ?

Le groupe global répond à « qui ? » (les gens du service), le groupe domaine local répond à « quoi ? » (quel droit sur quelle ressource). Cette séparation permet de combiner : la direction a besoin de lire le dossier de la compta, il suffit d'ajouter GG_Direction dans DL_Compta_R, sans toucher au dossier ni aux comptables.

Le partage lui-même et les permissions NTFS sont détaillés dans B2-13 · Partage de fichiers. Ici, retiens seulement que la permission est donnée au groupe DL_.

10. Joindre un poste Windows 11 au domaine

Un poste ne profite de l'annuaire qu'après avoir joint le domaine. La jonction crée son compte d'ordinateur et établit le canal sécurisé avec le domaine. Elle exige une édition Pro, Entreprise ou Éducation de Windows 11 : l'édition Famille ne sait pas rejoindre un domaine.

10.1 La procédure

1. Régler le DNS du poste sur 172.16.50.10 (propriétés de la carte réseau, ou option 6 du DHCP). Vérifie : nslookup broceliande.lan répond avec l'adresse du contrôleur.
2. Vérifier l'heure et le fuseau du poste : un écart de plus de 5 minutes fera échouer Kerberos.
3. Joindre le domaine : Paramètres → Comptes → Accès professionnel ou scolaire → Se connecter → Joindre cet appareil à un domaine Active Directory local, ou sysdm.cpl → Modifier. Saisis broceliande.lan et un compte autorisé.
4. Redémarrer, puis choisir Autre utilisateur et saisir BROCELIANDE\lea.martin.
5. Ranger le compte d'ordinateur dans l'UO Postes de son site (s'il est tombé dans CN=Computers).

11. Un second contrôleur et la réplication

Avec un seul contrôleur, une panne ou une mise à jour de SRV-01 empêche toute ouverture de session. On ajoute donc un second contrôleur de domaine, par exemple SRV-02 (172.16.60.10) à Rennes, qui sert aussi si la liaison avec le siège tombe. Les deux contrôleurs sont égaux : chacun contient l'annuaire complet. La réplication recopie automatiquement les changements de l'un à l'autre.

• Site ADUn site regroupe des réseaux bien reliés : 172.16.10.0/24 à 172.16.50.0/24 pour le siège, 172.16.60.0/24 pour Rennes. Un poste de Rennes s'authentifie auprès du contrôleur de Rennes, sans traverser la liaison WAN.
• Pour le DNSLa zone étant intégrée à l'annuaire, le second contrôleur la reçoit avec lui. Il devient serveur DNS : les postes de Rennes l'utilisent comme DNS principal, SRV-01 en secours.
• Pour les FSMOUn rôle FSMO peut être transféré proprement vers un autre contrôleur (Move-ADDirectoryServerOperationMasterRole). Si un contrôleur disparaît sans retour possible, on saisit ses rôles sur un autre.
• Pas un remplaçant de la sauvegardeLa réplication copie aussi les erreurs : un compte supprimé disparaît des deux contrôleurs. Il faut une sauvegarde de l'état système du contrôleur de domaine et la corbeille Active Directory.

12. Les outils d'administration

Tu peux tout faire de deux façons : avec des consoles graphiques, pratiques pour un geste isolé, ou avec le module PowerShell ActiveDirectory, indispensable pour répéter une opération (créer trente comptes) et pour la documenter. Ces outils s'installent avec le rôle AD DS sur le contrôleur ; sur un poste d'administration Windows 11, il faut ajouter les outils RSAT.

12.1 Les cmdlets à connaître

• LireGet-ADUser, Get-ADGroup, Get-ADComputer, Get-ADOrganizationalUnit, Get-ADGroupMember. Avec -Filter * ou -Identity, et -Properties pour les attributs non affichés par défaut.
• CréerNew-ADUser, New-ADGroup, New-ADOrganizationalUnit.
• ModifierSet-ADUser, Add-ADGroupMember, Remove-ADGroupMember, Move-ADObject, Set-ADAccountPassword.
• ExploiterEnable-ADAccount, Disable-ADAccount, Unlock-ADAccount, Search-ADAccount -LockedOut, Remove-ADUser.

13. Bonnes pratiques de nommage

Un annuaire vit des années et passe entre plusieurs techniciens. Des noms réguliers rendent les recherches, les scripts et le dépannage possibles. Fixe les règles avant de créer le premier objet, et note-les dans la documentation.

14. Vérifier et dépanner

14.1 La méthode : cinq questions, dans cet ordre

1. Le DNS du poste est-il le contrôleur de domaine ? ipconfig /all, puis nslookup broceliande.lan. C'est la cause numéro un.
2. L'heure du poste est-elle proche de celle du contrôleur (5 minutes au plus) ? w32tm /query /status.
3. Le compte est-il actif, déverrouillé, au mot de passe valide ? Get-ADUser … -Properties Enabled, LockedOut, PasswordExpired.
4. Les groupes sont-ils les bons, et la session est-elle récente ? whoami /groups après une nouvelle ouverture de session.
5. Le contrôleur répond-il, et réplique-t-il ? nltest /dsgetdc:, dcdiag, repadmin /replsummary, journaux de l'Observateur d'événements.

14.2 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique. Six tickets arrivent les uns après les autres : lis le message, observe le relevé, puis choisis la cause.

Adresse IPv4. . . . . . . . . : 172.16.60.150
Masque de sous-réseau . . . . : 255.255.255.0
Passerelle par défaut . . . . : 172.16.60.254
Serveurs DNS. . . . . . . . . : 1.1.1.1

Portable de la direction : 14:41 (fuseau Paris)
SRV-01 (contrôleur)       : 14:09 (fuseau Paris)
Journal Sécurité de SRV-01 : Kerberos KRB_AP_ERR_SKEW

PS> Get-ADUser gwenn.lebras -Properties Enabled | Select Name, Enabled
Name        Enabled
----        -------
Gwenn Le Bras  False

PS> Add-ADGroupMember -Identity GG_Direction -Members DL_Direction_RW
Add-ADGroupMember : Le groupe ne peut pas être membre de ce groupe
(l'étendue du groupe membre est incompatible)

C:\> whoami /groups | findstr GG_
(aucune ligne)
SRV-01 : Get-ADGroupMember GG_Compta → ... Océane Guillou ...

PS> Get-ADDefaultDomainPasswordPolicy | Select LockoutThreshold, LockoutDuration
LockoutThreshold : 5        LockoutDuration : 00:30:00
Compte verrouillé : karim.roux
Nom de l'ordinateur appelant : TEL-KARIM

15. À l'examen et en entreprise

16. L'essentiel

1. Un annuaire range des objets dans une hiérarchie ; LDAP (389) l'interroge, Kerberos (88) authentifie.
2. Un objet se désigne par son DN : CN=Léa Martin,OU=Compta,…,DC=broceliande,DC=lan, du plus précis au plus large.
3. Domaine < arbre < forêt ; la forêt est la frontière de sécurité ; les approbations internes sont automatiques et transitives.
4. Un contrôleur de domaine héberge l'annuaire ; il y en a deux au moins ; cinq rôles FSMO (dont l'émulateur PDC, source de l'heure).
5. Installer AD DS ne suffit pas : il faut promouvoir le serveur (Install-ADDSForest), avec un mot de passe DSRM.
6. AD ne fonctionne pas sans DNS : les enregistrements SRV annoncent les contrôleurs ; les postes ont pour DNS le contrôleur.
7. Une UO range et délègue ; elle ne donne pas de droits. Les comptes d'administration (adm.) sont séparés.
8. Groupes : type sécurité (droits) ou distribution (messagerie) ; étendue domaine local, global ou universel.
9. AGDLP : Comptes → Globaux → Domaine local → Permissions ; on gère les accès par l'appartenance aux groupes.
10. En panne, on contrôle dans l'ordre : DNS, heure, compte, groupes (nouvelle session), puis le contrôleur.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

17. Quiz noté

18. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

19. Au labo : le domaine broceliande.lan