BTS SIO option SISR Lycée Godefroy de Bouillon Clermont-Ferrand

Transcription

1 Active Directory sous Windows Server SAHIN Ibrahim BTS SIO option SISR Lycée Godefroy de Bouillon Clermont-Ferrand

2 Sommaire I - Introduction ) Systèmes d exploitation utilisés ) Objectifs ) Pré-requis... Erreur! Signet non défini. II - Installation d Active Directory... 4 III - Création d UO, de groupes, comptes et partages Active Directory ) Création de profils obligatoires et d UO ) Profils itinérants IV - Paramétrage du poste client Windows XP V DHCP VI Terminal Server Environnement VII Création d un domaine enfant VIII Stratégies de groupes (GPO)... 16

3 I - Introduction 1) Systèmes d exploitation utilisés Windows Server 2003, Windows Server 2008, Windows XP. 2) Objectifs Créer un contrôleur principal de domaine «Active Directory» pour gérer plus facilement les utilisateurs et ordinateurs du réseau. Intégrer un client Windows XP au domaine. Compléter le serveur AD en installant le service DHCP (Dynamic Host Configuration Protocol) afin que les clients du domaine puissent récupérer une configuration IP automatiquement. Créer ensuite un deuxième contrôleur qui gérera cette fois un domaine enfant appartenant au domaine principal. Valider les approbations entre les deux domaines. Vérifier que la gestion des objets et GPO Active Directory puisse se faire de n importe lequel des deux domaines. 3) Pré-requis Un poste est installé en Windows Server 2008 et un deuxième poste est installé en XP.

4 II - Installation d Active Directory Sur le serveur Windows Server 2008, faire Démarrer => Exécuter : dcpromo. L assistant d installation se lance : Ce contrôleur sera utilisé pour un nouveau domaine et dans une nouvelle forêt :

5 Il faut ensuite choisir un nom DNS pour le domaine, j ai choisis isahin.local isahin.local Le nom Netbios logique du domaine sera isahin. NTDS est le répertoire par défaut où seront stockées toutes les bases de données des contrôleurs d un domaine.

6 Le répertoire SYSVOL est un répertoire partagé sur le contrôleur de domaine où seront stockés les scripts utilisateurs (ouverture de session ) Le contrôleur de domaine sera également serveur DNS (Domain Name Server) afin que les postes du domaine puissent utiliser la résolution de noms en adresses IP.

7 Pour la suite de l installation, sélectionner les autorisations compatibles Windows 2003 ou supérieur et choisir un mot de passe de restauration (possibilité de ne pas en mettre) Un résumé des options va s afficher, et le domaine va s installer. Le contrôleur de domaine devra avoir une adresse IP fixe, dans le cas contraire le message suivant apparaitra au moment de la configuration DNS du domaine : Lors de la configuration en IP fixe, il est important que l adresse de serveur DNS soit la même que celle du contrôleur, le but étant qu il soit serveur DNS pour lui-même et qu il puisse donc résoudre son nom de domaine. Mes paramètres IP sont donc les suivants : A la fin de l installation d Active Directory, il est nécessaire de redémarrer le serveur.

8 III - Création d UO, de groupes, comptes et partages Active Directory 1) Création de profils obligatoires et d UO (Unité Organisationnelle) Après le redémarrage, dans l interface de gestion du serveur, cliquer sur Gérer les utilisateurs et ordinateurs Active Directory. Dans la fenêtre qui est apparue, faire un clic droit sur le nom du domaine, puis Nouveau => Unité d Organisation. J ai décidé d appeler cette UO «Groupes». Créer ensuite dans cette UO un nouveau groupe en faisant clic droit, Nouveau => Groupe. J ai créé deux groupes nommé GR1 et GR2. J ai fait de même pour ajouter deux comptes d utilisateurs dans une nouvelle UO appelée Utilisateurs. Les noms des utilisateurs sont user1 et user2 avec les mots de passe u1 et u2. Par défaut, la stratégie du contrôleur de domaine refuse les mots de passe simples, ainsi que ceux inférieurs à 7 caractères. Remarque : Si le protocole LDAP à une grande utilité sur ce réseau, il est conseillé de remplir un maximum d attributs lors de la création de groupes ou d utilisateurs. isahin.local

9 Il est possible de modifier cela en faisant Démarrer =>Programmes =>Outils d administration => Stratégie de sécurité du domaine. Dans l arborescence Paramètres de sécurité => Stratégies de comptes => Stratégies de mot de passe, on peut définir le niveau de complexité du mot de passe ainsi que le nombre minimal de caractères. Pour que la stratégie modifiée soit appliquée directement, il est nécessaire de faire Démarrer => Exécuter : gpupdate /force. Une fois les utilisateurs créés, nous pouvons désormais les intégrer dans les groupes GR1 et GR2, en faisant un clic droit sur l utilisateur, Ajouter au groupe, taper le nom du groupe, puis OK. User1 et user2 sont désormais placés respectivement dans les groupes GR1 et GR2. Nous allons maintenant créer un répertoire partagé sur le serveur dont le groupe 1 a uniquement les droits de lecture et user1 a des droits de lecture et d écriture. Pour ajouter des droits sur un répertoire, je fais un clic droit, Propriétés et dans l onglet Partage, je clique sur Autorisations, Ajouter => user1 puis OK. Je fais de même pour GR1.

10 Il suffit ensuite de cocher les cases Lecture, Modification et Ecriture pour user1, et les cases de lecture seulement pour le groupe GR1. 2) Profils itinérants Ces profils permettent aux utilisateurs de posséder un bureau et des répertoires itinérants, c'est-à-dire qu ils peuvent récupérer les paramètres, icônes, documents etc depuis n importe quelle machine membre du domaine. Les profils seront stockés dans un répertoire défini et partagé sur le contrôleur de domaine. Le chemin du profil se définit de la façon suivante : \\nom-du-dc\profils$\%username%.

11 Remarque : %username% est une variable d environnement. Attention : il n est pas possible de basculer entre un Windows xp vers un vista ou 7 avec ce genre de profil, les interfaces étant complètement différentes. IV - Paramétrage du poste client Windows XP Avant toute chose, pour que le client puisse joindre le contrôleur de domaine, il faut lui attribuer les paramètres IP suivants : Pour vérifier que l on peut joindre le DC (Domain Controller), on peut faire un ping sur son adresse IP du contrôleur de domaine. Avec le compte administrateur du client XP, faire un clic droit sur Poste de Travail, Propriétés, onglet Nom d Ordinateur, Modifier : le nom de la machine sera client1. Dans cette même fenêtre, cocher la case domaine et rentrer le nom du domaine : DOMJB.local. Pour valider cette entrée dans le domaine, il est demandé de s authentifier avec un compte autorisé (en l occurrence, le compte principal du contrôleur).

12 Après ces modifications, il est nécessaire de redémarrer le poste client. Au redémarrage, nous pouvons désormais nous connecter au domaine avec un compte existant. Une fois connecté en user1, nous allons tester le fonctionnement du partage sur le serveur : Malgré le fait que GR1 n ait pas le droit d écriture, user1 peut quand même écrire et modifier le contenu, car lui a les droits de lecture et d écriture. Maintenant, nous allons inverser les droits entre user1 et GR1, c'est-à-dire que GR1 devra avoir le droit de lecture et d écriture tandis que user1 n aura que les droits de lecture. On peut s apercevoir qu il est également possible de lire et d écrire pour user1 alors qu il n a aucun droit de modification.

13 Conclusion : Quels que soient les différentes entités (groupes ou utilisateurs) qui possèdent des droits ou des interdictions sur des partages, c est toujours l entité la plus permissive qui est prise en compte. Le listing des partages de ressources réalisés sur le contrôleur de domaine est visible dans Dossiers Partagés en faisant un clic droit puis Gérer sur l icône poste de travail. Dans la même arborescence, l onglet Sessions permet de voir si des utilisateurs sont connectés à des ressources partagées. V DHCP Le DHCP (Dynamic Host Configuration Protocol) permet d attribuer une configuration IP dynamiquement à des clients. L installation se fait par le panneau de configuration, dans l Ajout / Suppression de programmes, cliquer sur Ajouter ou supprimer des composants Windows. Dans Services de mise en réseau, sélectionner DHCP, puis OK. Par la suite, dans le composant logiciel enfichable «DHCP», présent dans les outils d administration du serveur, nous allons ajouter une «étendue». Cette dernière va nous permettre de définir une configuration IP dynamique à attribuer aux clients DHCP, avec entre autres une adresse IP et son masque, une passerelle, DNS, etc

14 Ci-dessous, un exemple de configuration IP qui va être distribuée aux clients : Autres possibilités : - Durée du bail : Accorde une configuration pendant un temps donné - Routeur : Correspond à la passerelle (porte de sortie) du réseau - DNS (Domain Name System) : Permet d attribuer un nom de domaine DNS aux clients, ainsi qu un ou plusieurs serveurs DNS - WINS : Ancêtre de DNS pour la communication NetBIOS et pour les contrôleurs de domaines - Réservation d une adresse IP par rapport à l adresse MAC d une interface réseau d une machine cliente. - VI Terminal Server Environnement Le service TSE de la famille Windows Server 200X permet entre autres la prise de main ou l administration à distance. Il permet également le travail à distance pour les utilisateurs autorisés explicitement sur le serveur.

15 Ce service est installé par défaut sous 2003 et 2008, mais pas sous Il ne peut y avoir que 2 connexions simultanées sur le serveur si on ne dispose pas de serveur de licences TSE. A la 3 ème connexion, le serveur nous indiquera que le nombre de connexions autorisées est dépassé. Sur le serveur, les comptes d utilisateurs doivent être créés et ajoutés au groupe «Utilisateurs du bureau à distance». L autorisation du Bureau à distance doit être activé dans les propriétés du système. La connexion depuis le client s effectue comme suit : Démarrer > Programmes > Accessoires > Connexion bureau à distance Ou > Communications > Connexion bureau à distance Ensuite on rentre soit l adresse IP, soit le nom de la machine distante. VII Création d un domaine enfant Dans Windows server 2008, il est nécessaire d exécuter la commande dcpromo.exe dans le menu exécuter. A partir de l assistant nous allons donc créer un contrôleur de domaine enfant pour un domaine parent. Le domaine enfant se trouvera donc ainsi dans une arborescence existante.

16 Par la suite, l assistant nous demandera des identifiants ainsi qu un nom de domaine afin de pouvoir contacter et s authentifier auprès du domaine parent. Cette solution permettra par exemple aux utilisateurs d un site distant de se connecter au domaine enfant (présent sur le site) au cas où la liaison vers le parent ne fonctionne plus. Le domaine enfant aura pour nom complet fils.domjb.local, car le domaine enfant se nomme fils et le domaine parent se nomme domjb.local. Il est ensuite nécessaire de réaliser l approbation entre les deux domaines, via la console «Domaines et Approbations AD» sur le contrôleur de domaine parent. Cela permet par la suite de pouvoir donner des droits à des utilisateurs du domaine enfant sur des ressources du domaine parent et inversement. Il est possible de gérer un domaine enfant depuis un domaine parent, par exemple pour gérer les utilisateurs, les stratégies de groupes, etc VIII Stratégies de groupes (GPO) Les GPO (Group Policy Object ou Objet de Stratégie de Groupe) permettent la configuration des droits et restrictions sur des systèmes clients. Exemple : Définition des paramètres Windows Update pour les clients

17 Il existe une multitude de stratégies, classées selon une arborescence bien précise. Il existe deux types de configuration : Configuration ordinateur qui s appliquera aux machines Configuration utilisateur qui s appliquera aux utilisateurs Une GPO s applique sur des UO (Unité d organisation) qui elle-même contient des objets Active Directory (Utilisateurs, groupes ou machines).