SISR / Réseaux / Active Directory — partages et mappage de lecteurs

Active Directory — partages et mappage de lecteurs

C'est la finalité la plus concrète de l'annuaire : donner à chaque utilisateur l'accès aux fichiers de son service, et à lui seul, plus un espace strictement personnel — le tout sans rien configurer sur les postes.

1. Ce qu'on veut obtenir

À l'ouverture de session, sur n'importe quel poste du domaine, l'utilisateur doit voir apparaître ses lecteurs réseau, et seulement les siens.

Intérêt de centraliser : les données ne vivent plus sur les postes. Elles sont sauvegardées avec le serveur, accessibles depuis n'importe quel poste, et un vol de portable ne les emporte pas.

2. Préparer l'arborescence

Sur le serveur de fichiers, on crée une structure qui reflète l'organisation :

D:\Partages
├── Commun          → accessible à tous les salariés
├── Comptabilite    → service comptabilité seulement
├── RH              → service RH seulement
├── Direction       → direction seulement
└── Perso           → un sous-dossier par utilisateur

Création classique dans l'Explorateur de fichiers : clic droit > Nouveau > Dossier.

Placer les partages sur un volume distinct du système (D: et non C:). Cela évite qu'un utilisateur qui remplit son espace ne sature le disque système et ne bloque le serveur entier. En production, on ajoute un quota par dossier via le Gestionnaire de ressources du serveur de fichiers.

3. Créer les groupes

Un groupe global par service, comme vu dans la fiche Groupes et permissions.

1. ADUC > clic droit sur l'OU Groupes > Nouveau > Groupe.
2. Nom : GG_Comptabilite, étendue Globale, type Sécurité.
3. Répéter pour GG_RH, GG_Direction, GG_Tous_Salaries.
4. Clic droit sur le groupe > Propriétés > Membres > Ajouter pour y placer les utilisateurs.

Pour le dossier commun, on met les groupes de service dans GG_Tous_Salaries : chaque service en hérite, et un service créé plus tard n'aura qu'à y être ajouté.

4. Créer le partage réseau

1. Clic droit sur le dossier Comptabilite > Propriétés.
2. Onglet Partage > Partage avancé.
3. Cocher Partager ce dossier. Nom du partage : Comptabilite.
4. Bouton Autorisations.
5. Retirer Tout le monde, Ajouter → Utilisateurs authentifiés, cocher Contrôle total.
6. OK puis OK.

Le chemin réseau devient \\SRV-FICHIERS\Comptabilite.

Pour créer un partage caché, qui n'apparaît pas dans le voisinage réseau, on ajoute un $ à la fin du nom : Comptabilite$. Ce n'est pas une mesure de sécurité — il suffit de connaître le nom — mais cela réduit le bruit pour les utilisateurs.

5. Les permissions NTFS

Un dossier partagé porte deux jeux de droits, et c'est la source de confusion la plus fréquente.

Lors d'un accès réseau, les deux se cumulent et les permissions effectives correspondent aux plus restrictives des deux.

Pratique recommandée, et réponse attendue en épreuve : mettre le partage en Contrôle total pour Utilisateurs authentifiés, puis piloter finement les droits en NTFS uniquement. Un seul endroit à maintenir, la granularité la plus fine, et pas de cumul difficile à déboguer.

Poser les droits NTFS

1. Clic droit sur le dossier > Propriétés > onglet Sécurité > Avancé.
2. Désactiver l'héritage > choisir Convertir les autorisations héritées en autorisations explicites.
3. Sélectionner Utilisateurs ou Users dans la liste > Supprimer : sinon tout le monde garde un accès en lecture.
4. Ajouter > Sélectionner un principal → saisir GG_Comptabilite > Vérifier les noms > OK.
5. Type : Autoriser. S'applique à : Ce dossier, les sous-dossiers et les fichiers.
6. Cocher Modification > OK.
7. Vérifier que Administrateurs et SYSTEM conservent le contrôle total.
8. Appliquer > OK.

Le point 2 est indispensable : sans couper l'héritage, les droits de D:\Partages redescendent et tout le monde voit tout, quels que soient les groupes ajoutés ensuite.

Pour un service ayant deux niveaux d'accès sur la même ressource, on ajoute simplement un second groupe : GG_Compta_Lecture en Lecture, GG_Comptabilite en Modification.

Attention : un refus explicite l'emporte toujours sur une autorisation. Il faut donc l'éviter autant que possible et raisonner par autorisations, sous peine de créer des situations que personne ne sait plus expliquer.

6. Masquer ce qui n'est pas accessible

Par défaut, un utilisateur qui ouvre \\SRV-FICHIERS voit tous les noms de partages, même ceux auxquels il n'a pas accès. Il ne peut pas les ouvrir, mais il apprend que la Direction a un dossier, que les RH en ont un aussi. C'est déjà une fuite d'information.

L'énumération basée sur l'accès (ABE) corrige cela : l'utilisateur ne voit que ce à quoi il a droit.

1. Gestionnaire de serveur > Services de fichiers et de stockage > Partages.
2. Clic droit sur le partage > Propriétés.
3. Section Paramètres.
4. Cocher Activer l'énumération basée sur l'accès.
5. OK.

L'effet est immédiat et ne demande aucune action sur les postes.

7. Le dossier personnel

Chaque utilisateur dispose d'un espace privé, créé automatiquement, dont lui seul est propriétaire.

Préparer le dossier parent

1. Créer D:\Partages\Perso et le partager sous le nom Perso$.
2. Autorisations de partage : Utilisateurs authentifiés en Contrôle total.
3. Onglet Sécurité > Avancé : désactiver l'héritage, supprimer Utilisateurs.
4. Ajouter → Utilisateurs authentifiés, mais en limitant S'applique à : ce dossier uniquement, avec les droits Parcourir le dossier et Créer des dossiers.

Ce réglage subtil est ce qui permet à chacun de créer son propre dossier sans voir ni ouvrir ceux des autres.

Affecter le dossier à un utilisateur

1. ADUC > clic droit sur l'utilisateur > Propriétés.
2. Onglet Profil.
3. Section Dossier de base : cocher Connecter.
4. Choisir la lettre H:.
5. Dans À, saisir : \\SRV-FICHIERS\Perso$\%username%
6. Appliquer > OK.

Windows crée alors le dossier automatiquement et lui applique les droits : l'utilisateur en devient propriétaire avec contrôle total, les autres n'y ont aucun accès. Rien d'autre à faire.

La variable %username% permet de sélectionner plusieurs utilisateurs à la fois dans ADUC (Ctrl + clic), puis clic droit > Propriétés, et d'appliquer le même réglage à tous : chacun obtient son propre dossier.

Si le dossier n'est pas créé automatiquement, c'est presque toujours que le compte qui effectue l'opération n'a pas les droits d'écriture sur le dossier Perso, ou que le chemin est saisi avec une faute. Le message d'erreur d'ADUC est explicite : il faut le lire plutôt que créer le dossier à la main, ce qui masquerait le problème sans le corriger.

8. Mapper les lecteurs par GPO

Mapper un lecteur réseau consiste à associer une lettre à un chemin UNC, pour que l'utilisateur y accède comme à un disque local.

Le dossier personnel est déjà géré par l'onglet Profil. Pour les dossiers de service, on utilise une préférence de GPO avec ciblage.

Créer la GPO

1. Outils > Gestion des stratégies de groupe.
2. Clic droit sur l'OU contenant les utilisateurs > Créer un objet GPO dans ce domaine, et le lier ici.
3. Nom : GPO_Lecteurs_Reseau > OK.
4. Clic droit sur la GPO > Modifier.

Ajouter un lecteur

1. Naviguer vers Configuration utilisateur > Préférences > Paramètres Windows > Mappages de lecteurs.
2. Clic droit dans la zone blanche > Nouveau > Lecteur mappé.
3. Onglet Général :
   • Action : Mettre à jour — c'est le choix le plus robuste, il crée si absent et corrige si modifié.
   • Emplacement : \\SRV-FICHIERS\Comptabilite
   • Cocher Reconnecter.
   • Nom de la lettre : Utiliser → S:
   • Libellé (facultatif) : Comptabilité
4. Onglet Commun :
   • Cocher Ciblage au niveau de l'élément > bouton Ciblage.
   • Nouvel élément > Groupe de sécurité.
   • Parcourir et sélectionner GAMEON\GG_Comptabilite > OK.
5. OK.

Répéter pour chaque lecteur, dans la même GPO :

Le ciblage au niveau de l'élément est le point clé : une seule GPO suffit pour tous les services. Chaque utilisateur ne reçoit que les lecteurs correspondant à ses groupes, sans qu'on ait besoin d'une GPO par service ni d'un script par profil. Ajouter un service plus tard, c'est ajouter une ligne dans cette GPO.

L'alternative historique : le script de connexion

Un fichier .bat déposé dans \\gameon.local\NETLOGON, référencé dans l'onglet Profil de l'utilisateur ou par GPO :

@echo off
net use P: \\SRV-FICHIERS\Commun /persistent:no
if exist "\\SRV-FICHIERS\Comptabilite" net use S: \\SRV-FICHIERS\Comptabilite /persistent:no

Les préférences de GPO sont nettement préférables : pas de fenêtre noire au démarrage, ciblage natif par groupe, et correction automatique si l'utilisateur supprime le lecteur.

9. Vérifier et diagnostiquer

net use                    # lister les lecteurs mappés
net use Z: \\SRV-FICHIERS\Commun     # mapper manuellement pour tester
net use Z: /delete         # démapper
gpupdate /force            # forcer l'application des GPO
gpresult /r                # vérifier les GPO appliquées
whoami /groups             # appartenances effectives du compte

Côté serveur, pour voir qui est connecté et à quoi : Gestionnaire de serveur > Services de fichiers et de stockage > Partages, ou la console Gestion de l'ordinateur > Dossiers partagés > Sessions.

L'onglet Accès effectif (Propriétés > Sécurité > Avancé) est l'outil le plus direct : on saisit un nom d'utilisateur et Windows affiche exactement ce qu'il peut faire sur le dossier, tous groupes et héritages combinés. Il évite de raisonner à l'aveugle.