SISR / Réseaux / Active Directory — installation et premiers objets

Active Directory — installation et premiers objets

Installation pas à pas, en interface graphique, depuis un Windows Server fraîchement installé jusqu'au premier poste joint au domaine.

1. Préparer le serveur

Trois réglages doivent être faits avant de lancer l'installation du rôle. Les faire après complique considérablement les choses.

Exemple de configuration réseau pour la suite :

Sur le choix du nom de domaine : éviter un nom public que l'on possède réellement (entreprise.fr), qui crée des conflits de résolution entre l'interne et l'externe. Éviter aussi .local, réservé au protocole mDNS, même s'il reste très répandu en TP. La recommandation actuelle est un sous-domaine d'un domaine possédé : ad.entreprise.fr.

2. Installer le rôle AD DS

Tout se fait depuis le Gestionnaire de serveur, qui s'ouvre automatiquement au démarrage.

1. Gestionnaire de serveur > Gérer > Ajouter des rôles et fonctionnalités.
2. Écran Avant de commencer → Suivant.
3. Type d'installation : Installation basée sur un rôle ou une fonctionnalité → Suivant.
4. Sélection du serveur : laisser le serveur local sélectionné → Suivant.
5. Rôles de serveurs : cocher Services AD DS (Services de domaine Active Directory).
6. Une fenêtre propose d'ajouter les fonctionnalités requises → Ajouter des fonctionnalités.
7. Suivant sur les écrans Fonctionnalités et AD DS.
8. Cocher éventuellement Redémarrer automatiquement si nécessaire, puis Installer.

L'installation dure quelques minutes. À ce stade, le rôle est installé mais le serveur n'est pas encore contrôleur de domaine : c'est l'étape suivante.

3. Promouvoir en contrôleur de domaine

1. Dans le Gestionnaire de serveur, cliquer sur le drapeau d'avertissement en haut à droite, puis sur Promouvoir ce serveur en contrôleur de domaine.
2. Configuration de déploiement : choisir Ajouter une nouvelle forêt, et saisir le nom de domaine racine : gameon.local → Suivant.
3. Options du contrôleur de domaine :
   • Niveau fonctionnel de la forêt et du domaine : laisser la version la plus récente proposée.
   • Laisser cochés Serveur DNS et Catalogue global.
   • Saisir le mot de passe DSRM (mode de restauration des services d'annuaire).
4. Options DNS : un avertissement sur la délégation DNS s'affiche — normal pour une première forêt → Suivant.
5. Options supplémentaires : vérifier le nom NetBIOS proposé (GAMEON) → Suivant.
6. Chemins d'accès : emplacements de la base, des journaux et de SYSVOL → laisser par défaut.
7. Examiner les options, puis Vérification de la configuration requise → Installer.

Le serveur redémarre automatiquement. À la reconnexion, le compte de session est devenu GAMEON\Administrateur.

Le mot de passe DSRM n'est pas celui de l'administrateur du domaine. Il sert uniquement à démarrer le contrôleur en mode restauration, pour réparer ou restaurer l'annuaire quand celui-ci ne démarre plus. Il est demandé dans les situations les plus critiques, souvent des mois plus tard : il faut le consigner dans le coffre de mots de passe, pas dans un coin de mémoire.

4. Vérifier l'installation

Contrôles à mener systématiquement après la promotion :

En ligne de commande, deux vérifications rapides :

dcdiag                    # batterie de tests sur le contrôleur
nltest /dsgetdc:gameon.local

5. Créer les unités d'organisation

Avant de créer le moindre utilisateur, on définit la structure. Une OU sert à organiser et surtout à appliquer des GPO : c'est elle qui détermine quelles stratégies s'appliqueront à quels objets.

La procédure

1. Gestionnaire de serveur > Outils > Utilisateurs et ordinateurs Active Directory.
2. Clic droit sur le domaine gameon.local > Nouveau > Unité d'organisation.
3. Saisir le nom, par exemple GAMEON pour l'OU racine de l'entreprise.
4. Laisser cochée l'option Protéger le conteneur contre une suppression accidentelle.
5. OK.
6. Répéter en faisant clic droit sur l'OU parente > Nouveau > Unité d'organisation pour créer les sous-OU.

Une structure type

gameon.local
└── GAMEON
    ├── Utilisateurs
    │   ├── Comptabilite
    │   ├── RH
    │   ├── Direction
    │   └── Informatique
    ├── Ordinateurs
    │   ├── Postes
    │   └── Serveurs
    └── Groupes

Pourquoi séparer utilisateurs et ordinateurs : les GPO ont une partie Configuration utilisateur et une partie Configuration ordinateur. Une arborescence qui distingue les deux permet de lier chaque stratégie au bon endroit, sans filtrage compliqué.

L'option Protéger contre une suppression accidentelle est cochée par défaut et c'est une bonne chose : elle évite de supprimer une OU entière, avec tous ses comptes, d'un clic malheureux. Pour supprimer volontairement une OU, il faut d'abord la décocher dans ses propriétés, onglet Objet — visible seulement si Fonctionnalités avancées est activé.

6. Créer les utilisateurs

1. Dans ADUC, clic droit sur l'OU voulue (par exemple Comptabilite) > Nouveau > Utilisateur.
2. Renseigner Prénom, Nom, et le Nom d'ouverture de session de l'utilisateur (l'UPN, par exemple alice).
3. Suivant, puis saisir le mot de passe.
4. Cocher L'utilisateur doit changer le mot de passe à la prochaine ouverture de session.
5. Suivant, puis Terminer.

Pour compléter la fiche : clic droit sur l'utilisateur > Propriétés, puis les onglets utiles :

Deux conventions à fixer dès le départ, et à écrire dans la documentation :

• Format du login : p.nom, prenom.nom… Le changer plus tard est très pénible.
• Gestion des homonymes : prévoir la règle avant d'y être confronté.

Pour créer un compte similaire à un existant : clic droit sur un utilisateur > Copier. Le nouveau compte hérite des appartenances aux groupes et des réglages du modèle, ce qui évite les oublis. On peut aussi créer des comptes modèles désactivés, un par service, et les copier à chaque arrivée.

7. Joindre un poste au domaine

Côté poste client (Windows 10 ou 11 Pro — les éditions Famille ne peuvent pas rejoindre un domaine) :

1. Vérifier que le DNS du poste pointe sur le contrôleur de domaine. C'est la condition indispensable.
2. Tester : ping gameon.local doit répondre.
3. Paramètres > Système > Informations système > Domaine ou groupe de travail.
4. Onglet Nom de l'ordinateur > Modifier.
5. Cocher Domaine et saisir gameon.local > OK.
6. Saisir les identifiants d'un compte autorisé à joindre des machines au domaine.
7. Message de bienvenue, puis redémarrer.

Après redémarrage, l'écran de connexion propose Autre utilisateur : on saisit GAMEON\alice ou alice@gameon.local.

Le poste apparaît alors dans ADUC, dans le conteneur Computers par défaut. On le déplace vers l'OU prévue (clic droit > Déplacer) pour qu'il reçoive les bonnes GPO.