ENI. Windows7. Installation et configuration. Olivier DEHECQ

Transcription

1 ENI Windows7 Installation et configuration Olivier DEHECQ

2 Windows 7 Installation et configuration Chapitre 1. Installation et mise à jour de Windows7 Pages : Config minimale (à éviter, avoir mieux). Versions : Pour les entreprises : «Entreprise» et «Professionnel» Pages : Installation Mise à jour que de VISTA à Win7 WinPE : Windows Preinstallation Environment WinRE : Windows Reparation Environment Migration : portable + WinXP + données nouveau portable + Win7 + données Page 16 : partitionnement de HDD Pages : Option des lecteurs avancée On peut charger un pilote SATA, SCSI typique en installation virtuelle Création auto d une partition de 100Mo réservée pour BitLocker, WinRE ) Page 23 : Dans le cas de «Réseau public», la découverte des réseaux est désactivée Pages : Installation par mise à niveau : à éviter - Vista Sp1 / Vista Sp2... Mise à niveau + Migration + Nouvelle install - WinXp / VistaRTM... Nouvelle install + Migration - < WinXp... Nouvelle install La migration se fait dans le cas d un changement de matos, il faut réinstaller les applications Pages : Update Advisor Vérification de la compatibilité des applications, Liste des drivers à télécharger, etc. Pages : Migration des profils - câble USB ; - câble réseau - HDD Minimum WinXP Autre solution : WAIK (Windows Auto Installation Kit) > USMT (User Migration Tool) pour les entreprises Scanstat.exe Loadstate.exe 1

3 Pages : Gestionnaire de Boot - Jusqu à XP / 2003 inclus : o NTLDR (NT Loader : chargeur d OS orienté NT) LILO / GRUB o NTDETECT.COM (détection du matériel) o BOOT.INI (indique le chemin de l OS) - Depuis Vista o BCD (Boot Configuration Database) Page 43 : BCD organisée en Magasins(store) puis Objets(objects) puis Eléments(elements) Exemple de chemin ARC : multi(0)disk(0)rdisk(0)partition(1)/vga La BCD peut contenir des OS installés à différents endroits (exemple HDD(0)part(1) et C:\win7.vhd) En effet BCD supporte les.vhd (mais pour des images de Win7 ou ultérieur) Si Win7 installé puis Win XP installé Win7 n est plus bootable, mais WinXP boote Si WinXP installé puis Win7 installé les 2 OS sont bootables Pour lancer BCD : +R CMD bcdedit bcdedit enum all : ensemble des paramètres de BCD Msconfig > démarrer : on peut configurer BCD en partie Restaurer le boot de Windows7 : - Mettre le DVD d install de Win7, - Lancer WinRE (réparation), - Se positionner dans le répertoire \BOOT - bootsect.exe/nt60 all (restaure les secteurs de boot de Win7) Créer une entrée pour WinXP dans le BCD Store : - bcdedit create {ntldr} d "Windows XP" - bcdedit set {ntldr} path \ntldr - bcdedit /displayorder {ntldr} /addlast Chapitre 2. Déploiement (à partir d images) Pages : WIM VIM : images de partition. Pour Windows Avantages : - Une image pour plusieurs config matérielles ; - Déploiement non destructif (prévoir de l espace non partitionné ; - Image démarrage pour WinPE. Besoins : - WAIK (Windows Auto Installation Kit) : 2Go contient WSIM, DISM, ImageX ); - DISM : outil de gestion et de maintenance des images de déploiement (plus complet que ImageX) ; - Sysprep.exe : retire les identifiants uniques - RSAT : comme adminpack mais pour Windows7 Disquettes pour installations automatisée : unattend fichier de réponses 2

4 Sysprep est utilisé pour : Supprimer les données propres aux SE windows Configurer Windows pour demarrer en mode d Audit Configurer Windows pour lancer l écran d accueil (OOBE : Out Of Box Experience) Réinitialiser l activation du produit Windows sysprep.exe /generalize (réinitialiser les identifiants de la machine) sysprep.exe /audit /oobe (démarrer en mode audit oobe) sysprep.exe /reboot (pas tout seul sinon au redémarrage il re-régénère les ID machine) ImageX est utilisé pour : Capturer une image Modifier une image Déployer des images WIM Stocker plusieurs images dans un fichier unique Compresser les fichiers images imagex /capture (capture une image WIM prend la PARTITION(0) et créé un fichier.wim) imagex /apply (déploie une image WIM, après avoir monté le lecteur RSO contenant le.wim) imagex /mount /mountrw /unmount (monter en lecture, monter en modif., démonter) Pages : Processus d installation 1. Générer un fichier de réponses (machine de référence) avec WSIM 2. Générer une install de référence (programmes, etc.) puis sysprep 3. Créer un média WinPE de démarrage (contenant Imagex) avec DISM 4. Capturer l image d installation (fichier.wim) avec imagex 5. Déployer l image d installation avec WinPE+imageX Avantage de WIM : indépendant du matériel (indépendant de HAL), outils fournis Pages : Installation personnalisée par fichier de réponses 1. WAIK>WSIM (Windows System Image Manager) créer les fichiers de réponses Juste savoir que ça existe 2. Création de l image de référence sysprep /oobe /generalize /shutdown 3. Création de l image WinPE conforme à l architecture du poste cible (x86 x64) Génère les fichiers nécessaires à l exécution de WinPE. Y injecter ImageX + drivers.inf du RSO (dans le cas d une image.wim sur le réseau) 4. Capture d image pour ça on boot sur WinPE puis on exécute imagex Si on a rebooté en OOBE, finir la procédure puis refaire le sysprep 5. Déploiement a. Avec un média WinPE (p.62) b. Avec un serveur de déploiement (p.62-63) c. Avec un HDD Virtuel (p.63-65) Pages : Edition d une image WIM Avec DISM ou ImageX - Maintenance hors connexion (sur un fichier) - Maintenance en ligne (poste actuellement démarré) 3

5 Chapitre 3. Configuration du matériel et des applications Pages : Le panneau de configuration Pages : Gestion du matériel Pages : Windows ReadyBoost Pages : Configuration de la compatibilité applicative UAC : contrôle d accès utilisateur ACT (Application Compatibility Toolkit) gratuit - Standard User Analyser : permet de déterminer si l appli a besoin d une élévation de droits - Compatibility administrator : liste d applis avec les SHIM correctifs Page 110 : Mode de virtualisation XP Pour assurer une compatibilité optimale avec WinXP Page : Configuration des restrictions d application GPO (Objet de Stratégie de Groupe) Locale Installer les outils RSAT ou mmc.exe (fichier > ajouter ou supprimer un composant ) ou gpedit.msc - Avant Vista : paramètres windows > paramètres de sécurité > stratégie de restrict logicielle - Vista et + : paramètres windows > paramètres de sécurité > stratégie de contrôle de l application > AppLocker Clic droit sur «règles de sécurité» Une fois AppLocker configuré, démarrer le service Identité de l application et gpupdate /force Fonctionnement global : c est un pare feu pour les applications. Pages : Gestion des disques Disques de base (Partitions) - MAX soit 4 partitions principales - MAX soit 3 partitions principales etendues (lecteurs logiques) Disques dynamiques (Volumes) - Volumes simples (partitions principales sur disques simples) - Volumes fractionnés (ou répartis en plusieurs disques 2 n 32) o Augmente l espace disque du lecteur o Aucune tolérance de pannes o Indissociables - Volumes agrégés par bandes (RAID0) o Optimiser la lecture/écriture o Aucune tolérance de pannes o Tous les volumes font la même taille - Volumes en miroir (RAID1) o Copie miroir de disque o Tolérance de pannes - RAID5 (agrégat par bandes avec parité) o Tolérance de pannes o Optimiser la lecture/écriture 4

6 Page 276 : Gestion des disques virtuels Créer un disque dur virtuel (présent sur un disque physique) Commandes pour la gestion de disques : diskmgmt.msc interface graphique diskpart.exe logiciel en ligne de commandes DISKPART> commands (liste des commandes) DISKPART> help fonction (aide sur la fonction) 1. Selectionner un disque (le rendre focus) DISKPART>select disk 1 2. Vérifier quel disk est focus (*) DISKPART>list disk 3. Créer une partition de 200Mo DISKPART>create partition primary size= Assigner une lettre (G:) DISKPART>assign letter=g 5. Formater en NTFS DISKPART>format fs=ntfs label= Données Chapitre 4. Gestion des groupes et des utilisateurs Page 323 : Les utilisateurs Deux types de comptes : - Utilisateurs locaux LAN Base SAM Locale : - Utilisateurs locaux : administrateur / invité / odehecq / guillaume - Groupes locaux : administrateurs / utilisateurs Base SAM Locale : - Utilisateurs locaux : administrateur / invité / guillaume / bruno - Groupes locaux : administrateurs / utilisateurs Les comptes locaux ont : accès local à la machine + accès à des ressources locales Gestion non-centralisée - Utilisateurs du domaine ADDS : - Utilisateurs du domaine : administrateur / invité / odehecq / guillaume - Groupes du domaine : administrateurs du domaine / utilisateurs du domaine LAN Base SAM Locale : - Utilisateurs locaux : administrateur / invité / odehecq - Groupes locaux : administrateurs (contient administrateurs du domaine ) utilisateurs (contient utilisateurs du domaine ) On stocke les ressources sur le serveur Sur un domaine : Groupes locaux de domaine Universel Globaux Authentification locale base SAM Authentification sur le domaine ADDS 5

7 Les SID Login : odehecq Mot de passe : LSASS.EXE Base SAM Locale Domaine : PC1 (cet ordi) Puis génère un jeton d accès contenant la liste des SID SID (Security Identifier) S-A-5-2A (=SID unique par rapport à l ordinateur) SID Odehecq SID administrateurs SID tout le monde SID utilisateur authentifié Au niveau sécurité, Windows parle de : Droits = Privilège (installer un pilote, modifier l heure ) Autorisation = Permissions (sur les ressources, les dossiers partagés, imp. Partagés, objets AD ) Le SID sert à donner des autorisations d accès aux ressources. Partagé = OUI Sécurité = ACL (Access Control List) ACE (Access Control Entry) Exemple : odehecq lecture (=S-A-5-2A ) SSO (Single Sign-On) : - Le SID de et le SID de l ACE sont compares - Si c est ok accès en lecture Un SID n est pas dynamique : si on ajoute l utilisateur dans un groupe alors il faut redémarrer la session pour MàJ des SID Interactions entre Partage et Sécurité Le seul moyen de sécuriser le partage est de modifier l onglet *Partage+ car *Sécurité+ n existe pas en FAT16/FAT32 [Partage] le plus restictif des deux a le dernier mot [Sécurité] odehecq modifier (RWD) odehecq lecture Configuration idéale : Partage 2) Le plus restrictif des deux Sécurité 1) Le plus permissif Contrôle Total des deux sauf si REFUS (les refus s appliquent en 1 er ) Utilisateurs authentifiés (tous les utilisateurs de la foret) Utilisateurs du domaine (juste CE domaine) Etre précis : ne jamais mettre Tout le Monde! odehecq lecture stagiaires lecture Il en résulte : Via le réseau :odehecq lecture / stagiaires modifier Localement : odehecq lecture / stagiaires modifier (on n applique pas le filtre *Partage+) Un $ à la fin d un nom de partage cache le partage. Data$ partage caché 6

8 Imprimantes : - Imprimer : permet d installer le pilote et d imprimer sur l imp. Partagée - Gérer les documents : permet de gérer le document quand il est spoolé - Gérer les imprimantes : permet de gérer les onglets de l imprimante Partage de dossiers en ligne de commande net share? : partager un dossier lister les partages net use? : connecter un lecteur réseau Copies et Déplacements en NTFS Fichier C:\DATA\fichier.txt (lionel CT) Copie Déplacement Sur une même partition C:\SAVE\ (TLM lecture) Héritage des autorisations de la destination. lionelct + TLM lect. Conservation des autorisations NTFS de la source : lionelct Entre partitions NTFS D:\DOCS\ (TLM lecture) Héritage des autorisations de la destination. lionelct + TLM lect. Héritage des autorisations de la destination. lionelct + TLM lect. EFS (Encrypting File System) Ecrit en vert : fichiers / dossiers cryptés (doit avoir quand même l autorisation pour les lire) Nominatif (propre à un compte d utilisateur) Oubli de mot de passe = perte de la clé de décryptage Cryptage asymétrique : - 1 seule clé : Clair CléFEK Crypté CléFEK Clair Cryptage asymétrique : - 1 clé privée + 1 clé publique (liées mathématiquement) - La clé privée décrypte le fichier - La clé publie crypte le message Clé FEK Cryptage : Cryptée avec la clé publique DDR (Data Decryption File) DRF (Data Recovery File) Cryptée avec l agent de récuperation Décryptage : Déchiffre avec la clé Privée Déchiffre avec la clé de récupération 7

9 Procédure de cryptage EFS L agent de récupération doit être configuré avant d utiliser EFS 1) cipher r :nom_de_fichier créé les clé de récupération.cer créé les clés de cryptage publique.pfk Après cipher r :nom_de_fichier il faut faire un gpupdate /force 2) rekeywiz.exe : assistant de récupération des clés 3) Installer le.cer mettre dans le magasin public 4) gpedit.msc : param. Windows > sécurité > strategies de clés publiques > EFS 5) certmgr.msc : gestionnaire de magasins de clés Page 230 BitLocker Clé FVEK : clé symétrique qui sert à chiffrer une partition. - Clé FVEK + Clé VMK Clé FVEK chiffrée - Clé VMK + Clé SRK Clé VMK chiffrée - Clé SRK stockée dans la puce TPM (sur la carte mère et accessible selon condition : mdp, bonne machine, etc.) ou dans une clé USB si pas de module TPM Page 226 : BranchCache Mise en cache de contenu des serveurs (web et fichiers) Economiser les liaisons entre le serveur et le LAN Mode hebergé : WAN LAN W2K8R2 Nécessaire Sur le serveur 2008R2 il faut installer le service «BranchCache» puis partage avancé avec mise en cache BranchCache. Mode distribué : LAN Fichiers Hors connexion \\SRV\DATA\fic.txt Stocké dans C:\windows\CSC Mise en cache des fichiers Rendre dispo hors connexion... manuelle Se fait tout seul... automatique But : mettre en cache le(s) document(s) d un seul utilisateur. Le récent écrase l ancien. 8

10 Dans W7 «Fichiers hors connexion» Dans W2K8 Partage > Avancé > Mise en cache - Désactiver - Activer à la demande (+ BranchCache) - Activer toujours Page 150 : Pare Feu Panneau de config > Pare Feu Windows (simple) Wf.msc Pare Feu Windows avancé netsh advfirewall firewall /? GPO : Group Policy Objects Stratégies de groupes - GPO de domaine : gpmc.msc - GPO locale : gpedit.msc Et toujours gpupdate /force GPO de domaine GPO locale Odinateur : suit l ordinateur Ordinateur : tout le monde Utilisateur : suit l utilisateur Utilisateur : utilisateur loggé Multiples stratégies de groupe locales mmc.exe > ajouter un composant «Editeur d objets de stratégies de groupes» o parcourir>utilisateur : administrateur non administrateur utilisateur particulier La partie ordinateur prime sur la partir utilisateur locale Page 284 Surveillance du système Observateur d évènements Panneau de config>système et sécurité>outils d administration>observateur d évènements Source + ID evènement (informations sur le souci rencontré) Gestion à distance : winrm quickconfig + service WinRM Joindre une tache à un évènement : net send mail programme script Analyseur de performances [ctrl]+[shift]+[echap] gestionnaire des taches>performances>moniteur de ressources mmc.exe analyseur de performances Ajouter des compteurs Ensemble de collecteurs de données> définis par l utilisateur : créé des rapports 9