Cas numéro 1. Mise en place d'un serveur Active Directory et DNS avec droits NTFS sur dossier et GPO en fonction du service

Transcription

1 Cas numéro 1 Mise en place d'un serveur Active Directory et DNS avec droits NTFS sur dossier et GPO en fonction du service SISR 2015/2016 1/18

2 Objectifs :... 3 Prés-requis :... 4 Installation : ) Installation et configuration du serveur... 4 a. Service de domaine Active Directory... 5 b. Service DNS ) Installation et configuration des postes clients ) Vérification ) Droits des fichiers... 8 Réplication de l'ad et du DNS :... 9 Pourquoi faire un répliqua du serveur?... 9 Réplication du domaine et du DNS Réplication des dossiers de services Pourquoi répliquer les dossiers? Installation du service DFS Création des dossiers de partage : Mise en place de GPO : ANNEXE : SISR 2015/2016 2/18

3 Objectifs : L'objectif de ce sujet est de mettre en place un serveur Active Directory (AD) équiper d'un DNS avec leurs répliqua, et des droits d'utilisateur en fonction du service dans lequel ils se trouvent. On prendra pour tester un groupe pour le bureau d'étude, un groupe pour la comptabilité, un groupe pour les secrétaires et un groupe pour les employés. Chaque groupe contiendra un utilisateur pour confirmer le bon fonctionnement du système. Des dossiers seront mis à disposition sur le serveur en fonction du groupe, voici les règles : Le serveur seras un Windows 2008 R2 et le pc client un Windows 7 tout ça réaliser dans VirtualBox. Schéma et répartition des adresses IP : SISR 2015/2016 3/18

4 Prés-requis : Pour réaliser ce projet il me faut une machine physique équiper de VirtualBox et six machines virtuelle qui comprendront deux Serveur Windows 2008 R2. Le premier aura pour rôle de servir de contrôleur de domaine ainsi que serveur DNS et le second servira de serveur répliqua pour reprendre si jamais le premier serveur tombe en panne. Et nous aurons besoin de quatre Windows 7 pour servir de pc client. Mon domaine devra contenir quatre Unités Organisationnelle (OU) une pour le bureau d'étude, pour le secrétariat, pour les comptables, pour les employés. Chaques services aura un dossier de rangement sur le serveur qui leurs seront dédié. Installation : 1) Installation et configuration du serveur Pour commencer il faut insérer les machines dans VirtualBox : Une fois les six machines insérées je n oublie pas de mettre toutes les cartes réseaux en interne et je commence l'installation du Windows serveur. Mon serveur en route je peux lui donner une adresse ip comme défini un peu plus haut. Il aura donc comme configuration réseau : SISR 2015/2016 4/18

5 a. Service de domaine Active Directory Après l'avoir renommé en ADNS, j'effectue l'installation du service de domaine Active Directory avec comme nom de domaine «sujet.local». Si je n'ai pas installé de DNS il me sera demandé de le mettre en place en même temps que j'effectue l'installation de l'ad. Mon Active Directory en place (ne pas oublier de faire un dcpromo.exe dans la console Windows pour l'activation du service) je peux maintenant le configurer en fonction de mes besoins, ici il me faudra créer quatre Unités Organisationnelles (OU) que je répartirai de cette manière pour une question de hiérarchisation : Chaque OU contiens un groupe et un utilisateur en rapport avec le service concerné pour effectuer mes tests. Les différents comptes et groupes sont les suivants : SISR 2015/2016 5/18

6 Chaque groupe se trouve lui-même dans le groupe par défaut «Utilisateurs du domaine». Le compte administrateur a pour nom de compte «administrateur» et pour mot de passe «P@ssw0rd». b. Service DNS Il faut maintenant configurer le DNS en lui rajoutant la zone de recherche inversée. 2) Installation et configuration des postes clients Chaque poste a pour nom d'ordinateur l'abréviation de son groupe utilisateur : Il faut donc ajouter chaque poste dans le domaine (je vais prendre comme exemple le poste be-pc). Pour ce faire je lui rentre une configuration réseau adéquate : Je l'intègre ensuite dans le domaine. Une fois dans le domaine je n'ai plus qu a vérifié que mon poste c'est ajouter correctement dans le DNS. SISR 2015/2016 6/18

7 3) Vérification Je vais maintenant vérifier que tous mes postes sont rentrés dans mon DNS pour ce faire je regarde si ils sont présents à l'intérieur de la zone de recherche directe et inversée. Nous apercevons bien tous nos postes, donc le DNS fonctionne. Un Dernier test peut être effectué, c'est celui du ping. On ping une machine mais pas avec son ip, avec son nom de poste pour vérifier que le DNS la trouve bien sur le réseau. Ici notre poste du bureau d'étude ping bien notre serveur sans mettre son ip. SISR 2015/2016 7/18

8 4) Droits des fichiers Comme dit un peu plus haut il faut des dossiers pour chaque service. Chaque dossier sera accessible depuis différents groupes en fonction des besoins : Je vais prendre comme exemple le groupe Comptable car il a besoin de plusieurs dossiers pour fonctionner. Pour donner les droits de lecture et d'écriture aux membres du groupe comptable et donc pour ce faire je crée un dossier à la racine du serveur, je le partage en faisant un clic droit dessus, puis partage avancé. Ensuite j'ajoute le groupe comptable et je lui donne tous les droits en prenant bien soin de désactiver les droits pour tout le monde. Comme on peut le voir, si je vais sur le serveur par le réseau je vois bien les dossiers de chaque groupe. J'essaye donc de rentrer dans mon dossier comptable et de créer un dossier à l'intérieur et tout fonctionne parfaitement. SISR 2015/2016 8/18

9 Pour être sûr que cela fonctionne j'ai essayé d'ouvrir un dossier qui n'est pas destiné au comptable et je reçois une erreur ce qui est tout à fait normal. Pour un accès plus rapide je peux créer des lecteurs réseaux sur mon poste com- PC. Pour ce faire j'ai juste à faire un clic droit sur le ou les dossiers que je souhaite avoir et je sélectionne «connecter un lecteur réseau...», je prends la lettre que je souhaite pour mon lecteur, je laisse cocher «Se reconnecter à l'ouverture de session» et j'ai maintenant un accès rapide au dossier concernant mon service. Réplication de l'ad et du DNS : Pourquoi faire un répliqua du serveur? Un répliqua sers à assurer le bon fonctionnement du service. Si jamais le contrôleur de domaine principal tombe en panne le serveur répliqua reprend tout de suite le relais pour assurer que tout fonctionne correctement et que la panne sois transparente aux yeux des utilisateurs. Cela peut aussi permettre dans notre cas d'éviter une surcharge du serveur en répliquant les dossiers sur deux serveurs différents. Cela évite que le serveur principal soit surchargé en demande. SISR 2015/2016 9/18

10 Réplication du domaine et du DNS. Pour commencer la réplication il faut tout d'abord préparer le domaine à accueillir un deuxième contrôleur de domaine. Pour ce faire il faut en premier vérifier les niveaux de fonctionnalité du domaine et de la forêt, c'est à dire la compatibilité avec le système d'exploitation que je veux mettre. Pour vérifier il faut se rendre sur l'active Directory puis faire un clic droit sur le domaine : Il faut ensuite cliquer sur «Augmenter le niveau fonctionnel du domaine...», et pour notre système s'assurer que le niveau sois au moins sur Windows 2003 pour être sûr de la compatibilité avec Windows 2008 R2. Ensuite pour le niveau fonctionnel de la forêt il suffit de cliqué droit sur la racine «Domaines et approbations Active Directory» puis sur «Augmenter le niveau fonctionnel de la forêt» et comme précédemment vérifier que le niveau sois bien régler sur 2003 minimum même si il faut préconiser le niveau maximum que l'on peut atteindre. Maintenant l'annuaire dois être préparé et pour ce faire il suffit de lancer une application «addrep32» où «adrep» en fonction du système d'exploitation. Cette application ce trouve sur l'iso du système au chemin «d:\support\adrep\addrep32 ou adrep». Il faut donc ouvrir la console Windows et exécuter adrep pour préparer le domaine et la forêt. Deux commandes doivent être effectuées directement dans le dossier de l'application : - «adrep /forestprep» cette commande prépare la forêt à accueillir le deuxième contrôleur de domaine. - «adrep /domainprep» cette commande prépare le domaine à accueillir le deuxième contrôleur de domaine. SISR 2015/ /18

11 Mon domaine est maintenant prêt à accueillir le deuxième contrôleur de domaine. Je le configure donc de manière à ce qu'il puisse communiquer avec : J'installe maintenant le rôle «services de domaine Active Directory» sur mon deuxième serveur, et j'utilise ensuite la commande «dcdiag /test:dcpromo /dnsdomain:sujet.local /replicadc» pour tester l'intégration d'un deuxième contrôleur dans le domaine. SISR 2015/ /18

12 Je lance un DCpromo. Il faut choisir d intégrer le nouveau contrôleur dans une forêt existante. A l étape suivante, j'indique le nom du domaine Active Directory et précise le compte disposant des privilèges nécessaires pour réaliser cette installation (qui est le compte administrateur mdp : P@ssw0rd). L'AD et le DNS d'installer je peux maintenant vérifier si la réplication fonctionne bien à l'aide des deux commandes suivantes : - repadmin /syncall - repadmin /shorepl La réplication fonctionne sans erreurs. SISR 2015/ /18

13 Réplication des dossiers de services. Pourquoi répliquer les dossiers? La réplication des dossiers est indispensable car si le contrôleur de domaine primaire est hors-service pour le moment juste le service de domaine et le DNS est assurer de bien fonctionner. Mais quand est-il des données des utilisateurs stockées sur le serveur? Ils ne pourront pas les atteindre. C'est là que la réplication des dossiers rentre en jeux par le biais du service DFS (Distributed File Systems). En effet ce service permet de réduire la charge sur le serveur primaire car les utilisateurs sont envoyés sur un serveur ou l'autre en fonction de la charge sur les serveurs. Mais cela permet aussi de toujours avoir accès aux données même si le serveur primaire tombe. Installation du service DFS. Pour l'installer il faut que le service de fichier soit installé sur le serveur. Si n'est pas encore installé il suffit de rajouter les services suivant : Une fois les services sélectionnés, faire suivant pour paramétrer l'espace de nom DFS ce seras l'emplacement de nos dossiers répliqués. SISR 2015/ /18

14 Ensuite, il faut choisir si c'est sur un domaine ou en local, pour mon cas se seras en domaine: Une fois cela effectué il reste juste à valider l'emplacement et à lancer l'installation. Création des dossiers de partage : Pour créer les dossiers de partage il va falloir avant rajouter un serveur de nom qui est donc notre serveur de réplication. Pour ce faire il suffit de faire un clic droit sur \\sujet.local\public qui se trouve en dessous d'espaces de nom et de cliquer sur «ajouter un serveur d'espace nom» et rentrer le nom de notre deuxième serveur. Ensuite il faut créer un dossier, il faut donc cliquer droit sur \\sujet.local\public puis nouveau dossier, lui donner un nom et le chemin de la où il sera stocké. Une fois cela fait, le dossier ce créé dans le serveur d'espace nom sous cette forme SISR 2015/ /18

15 Ce qui veut dire qu'il est créé mais qu'il n'est pas encore répliquer. Pour le répliquer il faut ensuite lui donner un deuxième chemin qui lui, seras une direction du serveur répliqua, il suffit de faire la même manipulation puis de sélectionner le bon serveur. Pour activer la réplication il suffit de faire un clic droit sur le dossier que l'on souhaite répliquer et de cliquer sur répliquer le dossier. Une fois fait un chargement vas se lancer pour analyser les emplacements puis différents paramètres seront demander. Ici il est demandé le nom du groupe de réplication : Il suffit ensuite de valider les paramètres par défauts qui sont proposés et le fichier sera répliqué correctement. Il apparaîtra sous cette forme : SISR 2015/ /18

16 Notre dossier est bien répliqué et pour confirmer il suffit de vérifier dans \\sujet.local\public pour voir s il se trouve à l intérieur. Et après teste, le dossier est bien accessible si un serveur est éteins peut importer lequel. Mise en place de GPO : Pour cadrer les utilisateurs de mon réseau et le sécuriser un peu, je mets en place des GPO. Je les mets en fonction des groupes et des postes. Par exemple les membres du Bureau d'études auront moins de restriction sur leur poste par rapport aux membres du groupe Secrétariat. Pour mettre en place des GPO (Group Policy Objects) il suffit de se rendre dans la gestion de stratégies de groupe. Puis lier la GPO aux différents groupes utilisateurs où aux groupes ordinateurs : SISR 2015/ /18

17 Aperçu GPO utilisateurs mise en place : Aperçu GPO par postes mise en place : Une fois les GPO mise en place on peut les forcer pour qu'elles soient prise en compte plus rapidement avec un «gpupdate /force» dans la console du Windows serveur. SISR 2015/ /18

18 ANNEXE : -Active Directory (AD) : Il s'agit d'un système d'annuaire crée par Microsoft et apparus pour la première fois en 1999 sur un Windows Son rôle est de répertorier les noms d'utilisateurs, les mots de passe, les dossiers partagés mais il permet aussi d'établir des stratégies de groupe. -Unité Organisationnelle (UO) : Une Unité Organisationnelle sert à hiérarchiser un domaine pour le rendre plus simple d'utilisation. -DNS (Dynamic Name System) : Le DNS sert à traduire une adresse ip en nom de domaine ou un nom de domaine en adresse ip. -Zone de recherche direct : Elle permet de trouver une adresse ip correspondant à un nom d'hôte ou de domaine. -Zone de recherche inversée : Elle permet de trouver un nom d'hôte ou de domaine à partir d'une adresse ip. -Ping : La commande Ping permet de tester la joignabilité d'une machine à travers un réseau IP. -VirtualBox : VirtualBox est un logiciel qui permet d'émuler plusieurs machines virtuel sur une seul machine physique. -Réplication : Cela permet de partager les fichiers et d'avoir une certaine redondance dans les données. -Forêt : Est une structure hiérarchique qui englobe un ou plusieurs domaines indépendants. -Espace de nom : C'est une structure virtuelle où sont classées des données. Il permet de les stockés sous un même nom mais sur différents serveur à la fois. SISR 2015/ /18