Module 3 : Création d'un domaine Windows 2000

Transcription

1 Module 3 : Création d'un domaine Windows 2000 Table des matières Vue d'ensemble 1 Vue d'ensemble de la création d'un domaine Windows Installation d'active Directory 3 Atelier A : Création d'un domaine Windows Processus d'installation d'active Directory 17 Étude de la structure par défaut d'active Directory 28 Tâches à effectuer après l'installation d'active Directory 30 Atelier B : Tâches à effectuer après l'installation d'active Directory 43 Résolution des problèmes liés à l'installation d'active Directory 50 Suppression d'active Directory 52 Conseils pratiques 55 Contrôle des acquis 56

2 Les informations contenues dans ce document pourront faire l'objet de modifications sans préavis. Sauf mention contraire, les sociétés, les noms et les données utilisés dans les exemples sont fictifs. L'utilisateur est tenu d'observer la réglementation relative aux droits d'auteur applicable dans son pays. Aucune partie de ce manuel ne peut être reproduite ou transmise à quelque fin ou par quelque moyen que ce soit, électronique ou mécanique, sans la permission expresse et écrite de Microsoft Corporation. Si toutefois, votre seul moyen d'accès est électronique, le présent document vous autorise une et une seule copie. Les produits mentionnés dans ce document peuvent faire l'objet de brevets, de dépôts de brevets en cours, de marques, de droits d'auteur ou d'autres droits de propriété intellectuelle et industrielle de Microsoft. Sauf stipulation expresse contraire d'un contrat de licence écrit de Microsoft, la fourniture de ce document n'a pas pour effet de vous concéder une licence sur ces brevets, marques, droits d'auteur ou autres droits de propriété intellectuelle Microsoft Corporation. Tous droits réservés. Microsoft, Active Directory, BackOffice, FrontPage, IntelliMirror, PowerPoint, Visual Basic, Visual Studio, Win32, Windows, Windows Media et Windows NT sont soit des marques déposées de Microsoft Corporation, soit des marques de Microsoft Corporation aux États-Unis d'amérique et/ou dans d'autres pays. Les autres noms de produit et de société mentionnés dans ce document sont des marques de leurs propriétaires respectifs. Chef de projet : Mark Johnson Concepteurs pédagogiques : Aneetinder Chowdhry (NIIT [USA] Inc.), Bhaskar Sengupta (NIIT [USA] Inc.) Directeur de programme : Paul Adare (FYI TechKnowlogy Services) Responsable de programme : Gregory Weber (Volt Computer Services) Consultants techniques : Jeff Clark, Chris Slemp Graphiste : Julie Stone (indépendante) Responsable d'édition : Lynette Skinner Éditeur : Jeffrey Gilbert Correctrice : Kaarin Dolliver (S&T Consulting) Responsables des tests : Sid Benavente, Keith Cotton Développeur des tests : Greg Stemp (S&T OnSite) Ingénieurs-testeurs du cours : Jeff Clark, H. James Toland III Responsable de programme en ligne : Debbi Conger Responsable des publications en ligne : Arlo Emerson (Aditi) Assistance en ligne : David Myka (S&T Consulting) Développement des présentations multimédias : Kelly Renner (Entex) Test du cours : Data Dimensions, Inc. Assistance à la production : Irene Barnett (S&T Consulting) Responsable de la fabrication : Rick Terek Assistance à la fabrication : Laura King (S&T OnSite) Responsable produit, Services de développement : Bo Galford Responsables produit : Gerry Lang, Julie Truax Directeur de l'unité produit : Robert Stewart

3 Module 3 : Création d'un domaine Windows Vue d'ensemble! Vue d'ensemble de la création d'un domaine Windows 2000! Installation d'active Directory! Processus d'installation d'active Directory! Étude de la structure par défaut d'active Directory! Tâches à effectuer après l'installation d'active Directory! Résolution des problèmes liés à l'installation d'active Directory! Suppression d'active Directory! Conseils pratiques Après avoir installé Microsoft Windows 2000, vous pouvez configurer un ordinateur exécutant Windows 2000 Advanced Server pour qu'il fonctionne comme contrôleur de domaine dans un domaine Windows Par le biais d'une structure de domaine dans le service d'annuaire Active Directory de Windows 2000, vous créez une structure administrative pour votre réseau. Afin d'implémenter une structure de domaine, vous devez créer un domaine dans lequel vous créerez ensuite des unités d'organisation, lesquelles renfermeront des utilisateurs, des groupes et des objets ressource. Lorsque vous créez un domaine, vous devez identifier le nom DNS (Domain Name System) du nouveau domaine et l'emplacement des fichiers créés lors du processus d'installation. Windows 2000 utilise l'assistant Installation de Active Directory afin de créer des contrôleurs de domaine. À la fin de ce module, vous serez à même d'effectuer les tâches suivantes :!" identifier les raisons justifiant la création d'un domaine Windows 2000 ;!" créer un domaine Windows 2000 en installant Active Directory ;!" décrire le processus d'installation d'active Directory ;!" étudier la structure par défaut d'active Directory ;!" exécuter les tâches à effectuer après l'installation d'active Directory ;!" résoudre les problèmes courants pouvant survenir lors de la création d'un domaine Windows 2000 ;!" supprimer Active Directory en utilisant l'assistant Installation de Active Directory ;!" créer un domaine Windows 2000 en respectant les conseils pratiques.

4 2 Module 3 : Création d'un domaine Windows 2000 Vue d'ensemble de la création d'un domaine Windows 2000! Un domaine correspond à l'unité administrative de base d'un réseau Windows 2000! Le premier domaine créé est le domaine racine de l'ensemble de la forêt! L'Assistant Installation de Active Directory vous permet de créer des domaines et des contrôleurs de domaine Premier contrôleur de domaine Nouvelle forêt Racine de de la la forêt forêt (premier domaine) Contrôleur de domaine supplémentaire (réplica) Un domaine désigne l'unité administrative de base d'un réseau Windows Dans Windows 2000, les domaines servent à définir la manière dont les ressources et les informations sont organisées et stockées. Le premier domaine créé dans Active Directory représente le domaine racine de l'ensemble de la forêt. Ce domaine est également appelé racine de la forêt. Lorsque vous installez Active Directory pour la première fois sur un réseau Windows 2000, vous créez le premier contrôleur de domaine de la forêt, autrement dit, le domaine racine. L'Assistant Installation de Active Directory vous guide tout au long du processus d'installation d'active Directory afin de créer des contrôleurs de domaine et définir des domaines. Tout serveur autonome ou serveur membre peut être promu contrôleur de domaine. Dès lors, vous pouvez créer :!" une nouvelle forêt, à savoir le domaine racine (premier domaine de la forêt) et le premier contrôleur de domaine ;!" un contrôleur de domaine supplémentaire dans un domaine Windows 2000 existant. Remarque À l'aide de l'assistant Installation de Active Directory, vous pouvez également créer un domaine enfant dans un arbre existant et un nouvel arbre dans une forêt existante. Pour plus d'informations sur la création d'un domaine enfant et d'un nouvel arbre dans une forêt existante, consultez le module 10, «Création et gestion d'arborescences et de forêts» du cours 2174A, Implémentation et administration des services d'annuaire Microsoft Windows 2000.

5 # Installation d'active Directory Module 3 : Création d'un domaine Windows ! Préparation de l'installation d'active Directory! Création du premier domaine! Ajout d'un contrôleur de domaine de réplica! Utilisation d'un script d'installation sans assistance pour installer Active Directory Lorsque vous utilisez l'assistant Installation de Active Directory, vous devez avant tout vous assurer que toutes les exigences relatives à l'installation d'active Directory sont satisfaites. Ensuite, vous pouvez spécifier l'emplacement d'un contrôleur de domaine au sein de la structure Active Directory. Vous spécifiez également des informations détaillées, telles que le nom du domaine et l'emplacement des fichiers créés au cours du processus d'installation. Vous pouvez également exécuter une session automatique de l'assistant Installation de Active Directory avec des fichiers de réponses. Une installation automatique d'active Directory se révèle très utile en cas de défaillance grave et lors de l'installation d'active Directory dans des succursales qui ne peuvent pas bénéficier d'assistance technique.

6 4 Module 3 : Création d'un domaine Windows 2000 Préparation de l'installation d'active Directory Configuration requise pour installer Active Directory Ordinateur exécutant Windows 2000 Server, Windows 2000 Advanced Server ou Windows 2000 Datacenter Server Espace disque d'au moins 200 Mo pour Active Directory et 50 Mo pour les fichiers journaux Partition ou volume au format NTFS Protocole TCP/IP installé et configuré pour utiliser le système DNS Privilèges administratifs nécessaires pour créer un domaine sur un réseau existant TCP/IP NTFS Avant d'installer Active Directory, vous devez vous assurer que l'ordinateur qui sera configuré comme contrôleur de domaine répond à certaines exigences. La liste ci-dessous répertorie les éléments requis pour installer Active Directory.!" Un ordinateur exécutant Windows 2000 Server, Windows 2000 Advanced Server ou Windows 2000 Datacenter Server.!" Au moins 200 mégaoctets (Mo) d'espace disque disponible pour la base de données Active Directory et 50 Mo supplémentaires pour les fichiers journaux de transactions de cette base de données. Les exigences relatives à la taille des fichiers de la base de données Active Directory et des fichiers journaux sont fonction du nombre et du type d'objets du domaine. De l'espace disque supplémentaire peut être nécessaire si le contrôleur de domaine est également un serveur de catalogue global.!" Une partition ou un volume au format NTFS (Windows NT File System). Cette exigence vaut pour le dossier SYSVOL.!" Le protocole TCP/IP (Transmission Control Protocol/Internet Protocol) installé et configuré pour utiliser le système de nom de domaine.!" Les privilèges administratifs nécessaires pour créer un domaine si ce dernier se trouve sur un réseau Windows 2000 existant. Remarque L'Assistant Installation de Active Directory propose d'installer le service Serveur DNS en même temps qu'active Directory. Un serveur DNS prend en charge les enregistrements de ressource SRV (Service Resource Record) ainsi que le protocole de mise à jour dynamique DNS.

7 Module 3 : Création d'un domaine Windows Création du premier domaine! Lancer l'assistant Installation de Active Directory! Choisir le contrôleur de domaine et le type de domaine! Indiquer les informations requises $ Noms de domaine, noms DNS et NetBIOS $ Emplacements de la base de données, du journal et du volume système partagé $ Autorisations $ Mot de passe à utiliser en mode de restauration des services d'annuaire! L'Assistant Installation de Active Directory : $ Installe Active Directory $ Convertit l'ordinateur en contrôleur de domaine Lors de la première installation d'active Directory sur un réseau, vous devez créer le domaine racine de la forêt. L'Assistant Installation de Active Directory vous aide à préciser les informations requises concernant le nouveau contrôleur de domaine. Ces informations varient en fonction des options sélectionnées. Pour créer le domaine racine, exécutez la procédure ci-dessous. 1. Dans la boîte de dialogue Exécuter, tapez dcpromo.exe et appuyez sur ENTRÉE. 2. Dans l'assistant Installation de Active Directory, terminez l'installation en utilisant les informations contenues dans le tableau suivant : Dans cette page de l'assistant Type de contrôleur de domaine Créer une arborescence ou un domaine enfant Créer ou rejoindre une forêt Nouveau nom de domaine Nom de domaine NetBIOS Procédez comme suit Cliquez sur Contrôleur de domaine pour un nouveau domaine. Cliquez sur Créer une nouvelle arborescence de domaine. Cliquez sur Créer une nouvelle forêt d'arborescence de domaines. Spécifiez le nom DNS du nouveau domaine. Si votre réseau requiert une présence sur Internet, vérifiez que vous avez enregistré un nom de domaine Internet, puis donnez ce nom à la racine de la forêt. Indiquez ou confirmez le nom NetBIOS (Network Basic Input/Output System) du nouveau domaine. Ce nom est utilisé pour identifier le domaine auprès des ordinateurs clients exécutant des versions antérieures de Microsoft Windows et Microsoft Windows NT.

8 6 Module 3 : Création d'un domaine Windows 2000 (suite) Dans cette page de l'assistant Emplacement de la base de données et du journal Volume système partagé Autorisations Procédez comme suit Spécifiez les emplacements de la base de données et des fichiers journaux d'active Directory. La base de données stocke l'annuaire du nouveau domaine, tandis que le fichier journal consigne temporairement les modifications apportées à la base de données. L'emplacement par défaut de la base de données et des fichiers journaux est racine_système\ntds. Pour des performances optimales, placez la base de données et les fichiers journaux sur des disques durs distincts. Installer la base de données et les fichiers journaux sur des disques durs séparés garantit que les accès en lecture et en écriture à la base de données et aux fichiers journaux ne sollicitent pas les mêmes ressources d'entrée et de sortie. Spécifiez l'emplacement du volume système partagé. Le volume système partagé est une structure de dossier hébergée sur tous les contrôleurs de domaine de Windows Ce volume stocke des fichiers, tels que les ouvertures de session, les déconnexions et les scripts de fermeture ainsi que les informations sur les stratégies de groupe, qui sont dupliquées parmi les contrôleurs de domaine. Vous devez choisir une partition ou un volume au format NTFS. Spécifiez qu'il faut attribuer les autorisations par défaut aux objets utilisateur et groupe compatibles avec les serveurs exécutant des versions antérieures de Windows et Windows NT, ou uniquement avec les serveurs exécutant Windows Le fait d'attribuer des autorisations aux serveurs exécutant des versions antérieures de Windows et Windows NT permet d'ajouter le groupe Tout le monde au groupe Accès compatible pré-windows Ce groupe dispose d'un accès en lecture seule aux attributs des objets utilisateur et groupe qui existaient dans Windows NT 4.0.

9 Module 3 : Création d'un domaine Windows (suite) Dans cette page de l'assistant Mot de passe administrateur de Restauration des services d'annuaire Procédez comme suit Spécifiez le mot de passe à utiliser au démarrage de l'ordinateur en mode restauration des services d'annuaire. Les contrôleurs de domaine Windows 2000 gèrent une petite version de la base de données de compte Windows NT 4.0. Le seul compte de cette base de données est le compte Administrateur, il est requis pour l'authentification au démarrage de l'ordinateur en mode Restauration des services d'annuaire, puisque le service d'annuaire Active Directory n'est pas lancé dans ce mode. Après avoir spécifié les informations relatives à l'installation, l'assistant Installation de Active Directory installe Active Directory, puis convertit l'ordinateur en contrôleur de domaine.

10 8 Module 3 : Création d'un domaine Windows 2000 Ajout d'un contrôleur de domaine de réplica! La tolérance de panne exige au moins deux contrôleurs de domaine par domaine! Plusieurs contrôleurs dans un domaine permettent d'éviter de surcharger un seul contrôleur! Exécutez Dcpromo pour ajouter un contrôleur de domaine à un domaine existant! L'Assistant Installation de Active Directory : $ Convertit l'ordinateur en contrôleur de domaine $ Duplique Active Directory depuis un contrôleur de domaine Afin d'assurer une tolérance de panne en cas de déconnexion imprévue d'un contrôleur de domaine, vous devez disposer d'au moins deux contrôleurs de domaine dans un seul domaine. Étant donné que tous les contrôleurs de domaine d'un domaine dupliquent les données propres à leur domaine pour se les transmettre mutuellement, l'installation de plusieurs contrôleurs de domaine dans un domaine permet de garantir automatiquement la tolérance de panne pour les données stockées dans Active Directory. En cas de défaillance d'un contrôleur de domaine, les autres se chargent de l'authentification et de l'accès aux objets dans Active Directory, ce qui permet le fonctionnement normal du domaine. Lors de l'ajout d'un contrôleur de domaine, la duplication a lieu pour garantir la cohérence dans Active Directory. D'autre part, disposer de plusieurs contrôleurs dans un domaine permet d'éviter qu'un seul contrôleur ne soit surchargé par le traitement des demandes d'ouverture de session, des requêtes de catalogue globales, et autres services assurés par les contrôleurs de domaine.

11 Module 3 : Création d'un domaine Windows Afin d'ajouter un contrôleur de domaine à un domaine existant, exécutez la procédure ci-dessous. 1. Dans la boîte de dialogue Exécuter, tapez dcpromo.exe et appuyez sur ENTRÉE. 2. Dans l'assistant Installation de Active Directory, terminez l'installation en utilisant les informations contenues dans le tableau suivant : Dans cette page de l'assistant Type de contrôleur de domaine Références réseau Contrôleur de domaine supplémentaire Procédez comme suit Cliquez sur Contrôleur de domaine supplémentaire pour un domaine existant. Spécifiez les nom d'utilisateur, mot de passe et nom de domaine d'un compte d'utilisateur autorisé à créer des contrôleurs de domaine dans Active Directory. Spécifiez le nom DNS du domaine existant pour lequel cet ordinateur va devenir un contrôleur de domaine supplémentaire. Les autres options de l'assistant Installation de Active Directory sont identiques aux options utilisées pour créer le premier domaine. Une fois que vous avez fourni les informations d'installation nécessaires, l'assistant Installation de Active Directory convertit l'ordinateur en contrôleur de domaine, puis duplique Active Directory depuis un contrôleur de domaine existant.

12 10 Module 3 : Création d'un domaine Windows 2000 Utilisation d'un script d'installation sans assistance pour installer Active Directory Un fichier de réponses : $ Contient tous les paramètres requis pour une session d'installation sans assistance d'active Directory $ Contient uniquement la section [DCInstall] du fichier de paramètres d'installation sans assistance Bloc-notes [Unattended] [DCInstall] Fichier de réponses $ Peut être exécuté une fois que l'installation de Windows 2000 Advanced Server est terminée et qu'un utilisateur a ouvert une session sur l'ordinateur dcpromo/answer:<fichier_réponses> Vous pouvez installer Active Directory à l'aide d'un fichier de réponses. Les administrateurs ont recours aux fichiers de réponses pour préciser tous les paramètres de l'installation d'active Directory. Ces paramètres comprennent le type et la configuration du domaine créé. Le fichier de réponses peut servir à tout utilisateur qui ne sait pas installer Active Directory. Dans ce cas, l'utilisateur doit bénéficier des privilèges administratifs requis pour réussir l'installation.

13 Module 3 : Création d'un domaine Windows Un fichier de réponses pour l'assistant Installation de Active Directory contient une seule section, [DCInstall]. Chaque opération de l'assistant requiert des valeurs pour les paramètres spécifiques de la section [DCInstall] du fichier automatique. Des valeurs par défaut sont utilisées si la valeur d'un paramètre n'est pas spécifiée. Le tableau suivant décrit les entées de la section [DCInstall] qui vous permettent d'installer automatiquement Active Directory sur le premier contrôleur de domaine d'une nouvelle forêt : Clés [DCInstall] Valeur Description RebootOnSuccess Oui Indique si l'ordinateur doit être redémarré après une installation réussie. DatabasePath C:\Winnt\Ntds Indique le chemin entier non-unc (Universal Naming Convention) d'un dossier sur le disque fixe de l'ordinateur local qui contient la base de données du domaine. Le dossier doit être vide. Crée le dossier s'il n'existe pas. LogPath C:\Winnt\Ntds Indique le chemin entier non-unc d'un dossier sur le disque fixe de l'ordinateur local qui contient les fichiers journaux du domaine. Le dossier doit être vide. Crée le dossier s'il n'existe pas. SYSVOLPath C:\Winnt\Sysvol Indique le chemin entier non-unc d'un dossier sur le disque fixe de l'ordinateur local. Le dossier doit être vide. Crée le dossier s'il n'existe pas. SiteName Nom par défaut du premier site Indique le nom d'un site existant sur lequel placer le nouveau contrôleur de domaine. Si aucun nom n'est précisé, un site adapté est sélectionné. Cette option s'applique uniquement lors de la création d'un arbre de domaine dans une nouvelle forêt de domaines. ReplicaOrNewDomain Domain Indique qu'un nouveau contrôleur de domaine doit être installé en tant que premier contrôleur de domaine dans un nouveau domaine de service de répertoire. Si vous réglez la valeur sur Domain, vous devez également indiquer une valeur adaptée pour le paramètre TreeOrChild.

14 12 Module 3 : Création d'un domaine Windows 2000 (suite) Clés [DCInstall] Valeur Description TreeOrChild Tree Indique qu'un nouveau domaine est la racine d'un nouvel arbre. Si vous réglez la valeur sur Tree, vous devez également indiquer une valeur adaptée pour le paramètre CreateOrJoin. CreateOrJoin Create Signale la création d'une nouvelle forêt de domaines. DomainNetbiosName Contoso Attribue un nom NetBIOS au nouveau domaine. Il s'agit d'une valeur requise, le nom choisi doit être unique dans le domaine. NewDomainDNSName contoso.msft Indique le nom requis lorsqu'une nouvelle forêt de domaines est installée. DNSOnNetwork No Signale qu'une nouvelle forêt de domaines est installée et qu'aucun client DNS n'est configuré sur l'ordinateur. Si vous réglez la valeur sur No, le client DNS n'est pas configuré mais l'auto-configuration DNS a lieu pour le nouveau domaine. AutoConfigDNS Yes Indique que l'assistant doit configurer le DNS du nouveau domaine si les mises à jour DNS dynamiques ne sont pas disponibles. Le fichier de réponses peut être exécuté une fois que l'installation de Windows 2000 Advanced Server est terminée et qu'un utilisateur a ouvert une session sur l'ordinateur. Afin de démarrer l'installation automatique d'active Directory, ouvrez une fenêtre d'invite et tapez la commande suivante : Dcpromo.exe /answer:fichier_réponses où fichier_réponses représente le nom du fichier de réponses. Remarque Pour plus d'informations sur les installations automatiques, consultez le fichier Unattend.doc contenu dans le fichier Deploy.cab situé dans le dossier \Support\Tools sur le CD-ROM Windows 2000 Advanced Server.

15 Module 3 : Création d'un domaine Windows Atelier A : Création d'un domaine Windows 2000 Objectifs Après la réalisation de cet atelier, vous serez à même d'installer Active Directory à l'aide de l'assistant Installation de Active Directory. Conditions préalables Avant de poursuivre, vous devez disposer de connaissances dans les domaines suivants :!" composants logiques d'active Directory, à savoir les domaines, les arborescences et les forêts ;!" rôle et fonction des contrôleurs de domaine.

16 14 Module 3 : Création d'un domaine Windows 2000 Mise en place de l'atelier Pour réaliser cet atelier, vous devez disposer des éléments énumérés ci-dessous.!" Un ordinateur exécutant Windows 2000 Advanced Server configuré en tant que serveur autonome.!" Un lecteur C au format NTFS.!" Une adresse IP statique.!" Un serveur DNS configuré pour votre domaine.!" Un nom de domaine. Votre nom de domaine est domaine.nwtraders.msft, où domaine représente le nom de votre ordinateur, auquel vous ajoutez le suffixe «dom». Par exemple, si le nom de votre ordinateur est Vancouver, domaine sera vancouverdom et votre nom de domaine complet sera vancouverdom.nwtraders.msft.!" Une zone de recherche directe qui correspond à votre nom de domaine. La zone de recherche directe doit avoir été créée dans l'atelier A du module 2, «Implémentation du système DNS pour la prise en charge d'active Directory» du cours 2174A, Implémentation et administration des services d'annuaire Microsoft Windows Durée approximative de cet atelier : 30 minutes

17 Module 3 : Création d'un domaine Windows Exercice 1 Installation d'active Directory Scénario La société Northwind Traders a décidé d'installer Windows 2000 et d'utiliser Active Directory pour bénéficier de toutes les fonctions et les avantages que ce service propose. Vous êtes chargé de créer le premier domaine sur le réseau. Auparavant, vous avez créé une zone de recherche directe dans DNS. Le nom de cette zone est le même que celui que vous attribuerez au domaine Active Directory. Objectif Dans cet exercice, vous devrez créer un domaine Windows 2000 en installant le service d'annuaire Active Directory. Tâche 1. Démarrez l'assistant Installation de Active Directory pour créer : un contrôleur de domaine pour un nouveau domaine ; une arborescence de domaine ; une forêt d'arborescences de domaine. Détails a. Ouvrez une session en tant qu'administrateur avec le mot de passe password. b. Cliquez sur Démarrer, puis sur Exécuter. c. Dans la zone Exécuter, tapez dcpromo et cliquez sur OK. d. Dans la page d'accueil de l'assistant Installation de Active Directory, cliquez sur Suivant. e. Dans la page Type de contrôleur de domaine, vérifiez que l'option Contrôleur de domaine pour un nouveau domaine est sélectionnée, puis cliquez sur Suivant. f. Dans la page Créer une arborescence ou un domaine enfant, assurez-vous que l'option Créer une nouvelle arborescence de domaine est sélectionnée, puis cliquez sur Suivant. g. Dans la page Créer ou rejoindre une forêt, assurez-vous que l'option Créer une nouvelle forêt d'arborescences de domaines est sélectionnée, puis cliquez sur Suivant.

18 16 Module 3 : Création d'un domaine Windows 2000 (suite) Tâche 2. Exécutez le processus d'installation d'active Directory en fournissant les informations suivantes : nom DNS entier de domaine.nwtraders.msft (où domaine représente le nom que vous avez donné à votre domaine) ; nom de domaine NetBIOS DOMAINE (où DOMAINE représente le nom de votre domaine) ; emplacements par défaut de la base de données, des fichiers journaux et du volume système partagé ; les autorisations compatibles seulement avec les serveurs exécutant Windows 2000 ; le mot de passe password de l'administrateur de Restauration des services d'annuaire. Détails a. Dans la page Nouveau nom de domaine, dans la zone Entrez le nom DNS complet pour le nouveau domaine, tapez domaine.nwtraders.msft (où domaine représente le nom de votre domaine), puis cliquez sur Suivant. b. Dans la page Nom de domaine NetBIOS, vérifiez que DOMAINE apparaît (où DOMAINE représente le nom de votre domaine), puis cliquez sur Suivant. c. Dans la page Emplacement de la base de données et du journal, acceptez les paramètres par défaut en cliquant sur Suivant. d. Dans la page Volume système partagé, acceptez l'emplacement par défaut en cliquant sur Suivant. e. Dans la page Autorisations, sélectionnez l'option Autorisations compatibles uniquement avec les serveurs Windows 2000, puis cliquez sur Suivant. f. Dans la page Mot de passe administrateur de Restauration des services d'annuaire, dans les zones Mot de passe et Confirmer le mot de passe, tapez password et cliquez sur Suivant. g. Dans la page Résumé, vérifiez les options sélectionnées, puis cliquez sur Suivant. Le processus d'installation d'active Directory démarre. h. À l'affichage de la page Fin de l'assistant Installation de Active Directory, cliquez sur Terminer, puis redémarrez l'ordinateur.

19 Module 3 : Création d'un domaine Windows # Processus d'installation d'active Directory! Paramètres de configuration! Configuration de site! Configuration du service d'annuaire! Configuration des services et de la sécurité! Autres opérations d'installation d'active Directory Lors de l'installation d'active Directory, l'assistant Installation de Active Directory confirme plusieurs paramètres de sécurité et de configuration. Active Directory valide les paramètres que vous avez choisis lors du processus d'installation. Le type de validation varie selon que le contrôleur de domaine installé est le premier de la forêt ou le premier domaine du réplica. L'objectif de cette vérification est de valider les paramètres que vous avez choisis lors du processus d'installation d'active Directory.

20 18 Module 3 : Création d'un domaine Windows 2000 Paramètres de configuration Vérifications effectuées par l'assistant Installation de Active Directory avant l'installation d'active Directory Vérification des paramètres de l'interface utilisateur Vérification du nom NetBIOS et du nom de serveur Vérification de la configuration TCP/IP Validation des noms de domaine DNS et NetBIOS Vérification des informations d'identification de l'utilisateur Vérification des emplacements de fichiers L'Assistant Installation de Active Directory opère plusieurs vérifications avant d'installer réellement Active Directory. Ces vérifications sont essentielles, elles permettent de s'assurer de l'intégrité du processus d'installation. Vérification de l'interface utilisateur Avant que l'interface utilisateur ne soit vraiment affichée, l'assistant Installation de Active Directory vérifie les points énoncés ci-dessous.!" L'utilisateur qui a ouvert une session est membre du groupe Administrateurs locaux.!" L'ordinateur exécute Windows 2000 Advanced Server.!" Aucune installation ou suppression d'active Directory n'a eu lieu auparavant sans que l'ordinateur n'ait été redémarré.!" Aucune installation ou suppression d'active Directory n'est en cours. Si l'une de ces vérifications est négative, un message d'erreur s'affiche et vous quittez l'assistant. Une fois que ces vérifications sont terminées avec succès, l'assistant Installation de Active Directory passe à la suite des vérifications. Vérification des noms Chaque contrôleur de domaine a un objet serveur dans le conteneur Site. Lors de l'ajout d'un contrôleur de domaine à un domaine existant, une vérification est entreprise pour s'assurer que le nom de serveur n'existe pas dans le conteneur Serveurs du site auquel le contrôleur de domaine est ajouté. Si le nom de serveur existe, l'assistant supprime l'objet existant et suppose qu'une réinstallation a lieu.

21 Module 3 : Création d'un domaine Windows Vérification de la configuration TCP/IP Si le protocole TCP/IP n'est pas installé, ou s'il est installé et configuré pour utiliser le service DHCP (Dynamic Host Configuration Protocol) alors qu'aucune adresse DHCP n'est disponible, l'installation est interrompue et vous êtes invité à remédier à ce problème. L'Assistant vérifie également la configuration du solveur DNS du serveur. Active Directory utilise DNS pour localiser les serveurs et les services, c'est pourquoi un solveur DNS configuré correctement est vital pour la réussite de l'installation d'active Directory.!" Lors de l'installation du premier contrôleur de domaine d'un nouveau domaine, l'assistant Installation de Active Directory tente de localiser un serveur DNS qui prenne en charge le protocole de mise à jour dynamique et un serveur DNS qui fasse autorité pour le domaine DNS. Si l'une de ces deux vérifications échoue, l'utilisateur a le choix de laisser l'assistant installer et configurer DNS localement lors du processus d'installation d'active Directory ou de le faire manuellement une fois qu'active Directory sera installé.!" Au moment d'ajouter un contrôleur de domaine à un domaine existant, le système suppose l'existence d'un serveur DNS approprié ; aussi, aucune vérification du serveur DNS n'est effectuée. Validation des noms de domaine DNS et NetBIOS Lors de la création d'un domaine, vous devez donner un nom DNS au domaine. L'Assistant vérifie que le nouveau nom de domaine est unique dans la forêt. Si ce n'est pas le cas, vous êtes invité à modifier le nom. Vous devez égaiement fournir un nom de domaine NetBIOS. Le nom de domaine NetBIOS est généré à partir du nom de domaine DNS. Il est formé des 15 premiers caractères de l'étiquette la plus gauche dans le nom de domaine DNS. L'Assistant vérifie que le nom de domaine NetBIOS est unique, si ce n'est pas le cas, il est demandé à l'utilisateur de le modifier.

22 20 Module 3 : Création d'un domaine Windows 2000 Vérification des informations d'identification de l'utilisateur Étant donné que la création d'un contrôleur de domaine est une tâche très délicate pour la sécurité d'un réseau, l'assistant vérifie que l'utilisateur qui tente d'installer Active Directory possède les autorisations appropriées. Si les informations d'identification de l'utilisateur ayant ouvert une session ne répondent pas aux exigences de sécurité, l'utilisateur est invité à utiliser un compte qui dispose des autorisations suffisantes. La liste ci-dessous répertorie les types d'installations qui peuvent être réalisées et les autorisations de sécurité nécessaires pour chaque installation.!" Si une nouvelle foret est créée, aucune vérification n'est effectuée et aucune information d'identification particulière n'est requise.!" Si un contrôleur de domaine de réplica est ajouté à un domaine existant, les informations d'identification fournies doivent être suffisantes pour relier l'ordinateur au domaine existant. Les membres des groupes Admins du domaine et Administrateurs de l'entreprise obtiennent par défaut les autorisations nécessaires pour créer des contrôleurs de domaine. Remarque L'Assistant Installation de Active Directory exige les informations d'identification, sous la forme : nom de l'utilisateur, mot de passe et domaine. Par conséquent, le nom principal d'un utilisateur entré de la manière suivante : utilisateur@domaine n'est pas accepté. Vérification des emplacements de fichiers L'emplacement du fichier de base de données Active Directory, des fichiers journaux et du dossier SYSVOL est spécifié pendant l'installation d'active Directory. Le contenu du dossier SYSVOL est dupliqué dans tous les contrôleurs du domaine. La création du dossier SYSVOL requiert un volume au format NTFS. Si aucun volume NTFS n'est disponible ou si l'espace disque disponible n'est pas suffisant, l'installation ne peut avoir lieu. Remarque Pour plus d'informations concernant le conteneur Serveur d'un site, consultez le module 11, «Gestion de la duplication Active Directory» du cours 2174A, Implémentation et administration des services d'annuaire Microsoft Windows 2000.

23 Module 3 : Création d'un domaine Windows Configuration de site! Le contrôleur de domaine est ajouté au site associé à son sous-réseau! Si aucun objet sous-réseau n'est défini, le serveur est placé dans le site Premier-Site-par-defaut! L'Assistant Installation de Active Directory crée un objet serveur L'Assistant Installation de Active Directory demande à Active Directory des données concernant le site. Si l'adresse IP du serveur promu contrôleur de domaine se situe dans la plage d'un sous-réseau défini dans Active Directory, l'assistant configure les membres du contrôleur de domaine dans le site associé à ce sous-réseau. Si aucun objet sous-réseau n'est défini ou si l'adresse IP du serveur ne se situe pas dans la plage des objets sous-réseau présents dans Active Directory, le serveur est placé dans le site Premier-Site-par-defaut. Premier-Site-par-defaut est le nom du premier site configuré automatiquement lorsque vous créez le premier contrôleur de domaine d'une forêt. L'Assistant Installation de Active Directory crée un objet serveur pour le contrôleur de domaine dans le site approprié. L'objet serveur contient les informations requises pour la duplication. L'objet serveur contient une référence à l'objet ordinateur dans l'unité d'organisation Domain Controllers qui représente le contrôleur de domaine en cours de création. Remarque Si un objet serveur de ce contrôleur de domaine existe déjà, il est supprimé puis recréé parce que l'assistant suppose que vous êtes en train de réinstaller Active Directory. Pour plus d'informations sur les objets sous-réseau et les objets serveur, consultez le module 11, «Gestion de la duplication Active Directory» du cours 2174A, Implémentation et administration des services d'annuaire Microsoft Windows 2000.

24 22 Module 3 : Création d'un domaine Windows 2000 Configuration du service d'annuaire Opérations de configuration du service d'annuaire Opérations communes à toutes les installations % Création des entrées de Registre nécessaires % Paramétrage des compteurs de performances pour Active Directory % Configuration du serveur pour enrôler automatiquement un certificat de contrôleur de domaine X.509 % Démarrage du protocole d'authentification Kerberos version 5 % Paramétrage de la stratégie d'autorité de sécurité locale % Installation de raccourcis vers les outils d'administration dans Active Directory Configuration des partitions de l'annuaire % Création de la partition d'annuaire de schéma % Création de la partition de configuration d'annuaire % Création de la partition d'annuaire de données Lorsque l'assistant Installation de Active Directory a terminé toutes les vérifications requises, une page de confirmation s'affiche qui répertorie vos choix dans l'assistant. Si vous acceptez ces paramètres, l'assistant démarre le processus d'installation d'active Directory. Opérations Active Directory communes à toutes les installations L'Assistant Installation de Active Directory réalise les opérations citées ci-dessous pour tous les types d'installations de contrôleurs de domaine.!" Création des entrées de Registre nécessaires.!" Paramétrage des compteurs de performances pour Active Directory.!" Configuration du serveur pour enrôler automatiquement un certificat de contrôleur de domaine X.509 pour la première autorité de certification qui traitera la requête. Ce certificat est requis pour les duplications basées sur le protocole SMTP (Simple Mail Transfer Protocol).!" Démarrage du protocole d'authentification Kerberos version 5.!" Paramétrage de la stratégie d'autorité de sécurité locale (LSA, Local Security Authority) pour indiquer que ce serveur est un contrôleur de domaine.!" Installation de raccourcis vers les outils d'administration dans Active Directory.

25 Module 3 : Création d'un domaine Windows Configuration des partitions de l'annuaire Le fichier modèle de la base de données de l'annuaire, Ntds.dit, est copié de son emplacement dans le dossier racine_système\system32 à l'emplacement de votre choix lors de l'exécution de l'assistant Installation de Active Directory. L'Assistant configure le serveur local pour qu'il héberge le service d'annuaire. Ce processus comprend la création de partitions d'annuaire et d'entités de sécurité du domaine par défaut, tel que le groupe Admins du domaine. Dans Active Directory, une partition d'annuaire est une partie de l'espace de noms de l'annuaire. Chaque partition d'annuaire est hiérarchisée, elle contient une sous-arborescence d'objets annuaire dans l'arborescence annuaire. Les copies ou les duplications d'une même partition d'annuaire peuvent être stockées sur plusieurs contrôleurs de domaine, elles sont mises à jour par le biais de la duplication d'annuaire. Les partitions d'annuaires énumérées ci-après sont créées sur le premier contrôleur de domaine d'une forêt et mises à jour par duplication sur chaque contrôleur de domaine créé par la suite dans la forêt.!" Partition d'annuaire de schéma. Contient le conteneur Schéma, qui stocke les définitions de classe et d'attribut de tous les objets Active Directory existants ou non. La partition d'annuaire de schéma est dupliquée dans tous les contrôleurs de domaine d'une forêt.!" Partition de configuration d'annuaire. Contient le conteneur Configuration qui stocke les objets configuration de l'ensemble de la forêt. Les objets configuration stockent des informations sur les sites, les services et les partitions d'annuaire. La partition de configuration d'annuaire est dupliquée dans tous les contrôleurs de domaine d'une forêt.!" Partition d'annuaire de domaine. Contient un conteneur domaine, tel que le conteneur contoso.msft, qui stocke les utilisateurs, les ordinateurs, les groupes et autres objets d'un domaine Windows 2000 donné. La partition d'annuaire de domaine est dupliquée dans tous les contrôleurs d'un même domaine.

26 24 Module 3 : Création d'un domaine Windows 2000 Configuration des services et de la sécurité Configuration des services et de la sécurité Démarrage automatique des services % Localisateur RPC % Ouverture de session réseau % Centre de distribution de clés % Messagerie intersite % Serveur Suivi de liaisons distribuées % Service de temps Windows Paramétrage de la sécurité % Active la sécurité sur le service d'annuaire et les dossiers de duplication de fichiers % Configure les listes DACL sur les fichiers et les objets d'active Directory % Configure la stratégie de groupe par défaut à l'aide de modèle de sécurité Pendant l'installation de Active Directory, les services sont configurés pour démarrer automatiquement et la sécurité est activée sur le service d'annuaire. Démarrage automatique des services Les services énumérés ci-dessous sont configurés pour démarrer automatiquement.!" Localisateur RPC (Remote Procedure Call). Ce service permet aux applications distribuées d'utiliser le service de noms RPC. Le service Localisateur RPC gère la base de données de service de noms RPC.!" Ouverture de session réseau. Ce service exécute le service de localisateur de contrôleur de domaine. Le service Ouverture de session réseau est également disponible pour créer un canal fiable entre les ordinateurs clients et les contrôleurs de domaines pendant l'ouverture de session et pour inscrire les enregistrements de ressource SRV dans le système DNS.!" Centre de distribution de clés (KDC, Key Distribution Center). Ce service gère une base de données avec des informations sur les comptes pour toutes les entités de sécurité dans son domaine, c'est-à-dire l'équivalent d'un domaine Windows 2000 pour le protocole d'authentification Kerberos V5.!" Messagerie intersite (ISM, InterSite Messaging). Ce service est utilisé pour la duplication de courriers électroniques entre les sites.!" Serveur Suivi de liaisons distribuées. Ce service sert à résoudre les raccourcis et les liens OLE (Object Linking and Embedding) vers les fichiers résidents NTFS dont le nom, le chemin, ou les deux ont changé.!" Service de temps Windows. Ce service synchronise les horloges des ordinateurs clients et des serveurs qui exécutent Windows 2000.

27 Module 3 : Création d'un domaine Windows Paramétrage de la sécurité Pendant l'installation d'active Directory, la sécurité est activée sur le service d'annuaire et les dossiers de duplication de fichiers afin de contrôler l'accès aux objets Active Directory. Listes DACL par défaut sur les objets Active Directory Les listes de contrôle d'accès discrétionnaire par défaut (DACL, Discretionary Access Control Lists) sont configurées sur les objets Active Directory. La liste DACL est une liste d'entrées qui identifient les utilisateurs autorisés ou non à accéder à un objet et le niveau d'accès autorisé ou refusé pour un objet. Les listes DACL sont également configurés pour les objets de système de fichiers suivants ainsi que pour les clés de Registre suivantes :!" SYSVOL!" Fichiers programme!" Windir!" HKEY_LOCAL_MACHINE\SOFTWARE!" HKEY_LOCAL_MACHINE\SYSTEM!" HKEY_USERS\DEFAULT Paramètres de stratégie de groupe par défaut pour les contrôleurs de domaine Pour le premier contrôleur d'un domaine, la stratégie de groupe par défaut est configurée à l'aide des modèles de sécurité DCFirst.inf, DefltDC.inf et DCUp.inf situés dans le dossier racine_système\inf. Lors de l'ajout de contrôleurs à un domaine, la stratégie de groupe est dupliquée depuis le premier contrôleur à tous les autres contrôleurs du domaine.

28 26 Module 3 : Création d'un domaine Windows 2000 Autres opérations d'installation d'active Directory Autres opérations % Règle le nom de domaine racine DNS de l'ordinateur % Détermine si le serveur est déjà membre du domaine % Crée un compte d'ordinateur dans l'unité d'organisation Domain Controllers % Applique le mot de passe fourni par l'utilisateur pour le compte administrateur % Crée un objet de référence croisée dans le conteneur Configuration % Ajoute des raccourcis % Crée le dossier SYSVOL % Crée les conteneurs Schéma et Configuration % Attribue des rôles spécifiques au contrôleur de domaine Quel que soit le type de domaine créé, l'assistant Installation de Active Directory exécute également certaines opérations supplémentaires lors de l'installation d'active Directory.!" Il règle le nom de domaine racine DNS de l'ordinateur en fonction du nom du nouveau domaine.!" Il détermine si le serveur est déjà membre du domaine. Si c'est le cas, l'assistant supprime le compte de l'ordinateur pour le serveur membre du domaine et recrée le compte de l'ordinateur dans l'unité d'organisation Domain Controllers. Si l'ordinateur est promu contrôleur de domaine d'un domaine différent, l'utilisateur est averti que le compte de l'ordinateur du serveur membre doit être supprimé du domaine d'origine.!" Il crée un compte d'ordinateur dans l'unité d'organisation Domain Controllers dans le nouveau domaine. Le compte d'ordinateur est également ajouté au groupe global des contrôleurs de domaine dans le conteneur Utilisateurs. Ce compte d'ordinateur permet à l'ordinateur d'authentifier les autres contrôleurs de domaine lorsqu'ils réalisent des opérations telles que la duplication.!" Il applique le mot de passe fourni par l'utilisateur pour le compte administrateur qui sert à démarrer le contrôleur de domaine en mode Restauration des services d'annuaire.!" I crée un objet de référence croisée dans le conteneur Configuration. Cet objet est utilisé par le protocole LDAP (Lightweight Directory Access Protocol) afin de localiser les ressources dans d'autres domaines.!" Il ajoute des raccourcis aux paramètres de sécurité de la stratégie de groupe. Ces raccourcis sont la stratégie de sécurité du domaine et la stratégie de sécurité du contrôleur de domaine.

29 Module 3 : Création d'un domaine Windows !" Il crée le dossier SYSVOL qui contient les éléments ci-dessous. Le dossier partagé SYSVOL. Ce dossier partagé contient des informations sur la stratégie de groupe. Le dossier partagé NETLOGON. Ce dossier partagé contient les scripts d'ouverture de session des ordinateurs non-windows 2000.!" Il réalise les opérations ci-dessous pendant la création du domaine racine de la forêt. Les conteneurs Schéma et Configuration sont créés. L'Assistant Installation de Active Directory attribue l'émulateur de contrôleur principal de domaine (CPD), les maîtres d'opérations RID (Relative IDentifier), le maître de nom de domaine, le maître de schéma et les rôles maîtres d'infrastructure au contrôleur de domaine. Remarque Pour plus d'informations sur l'émulateur CPD, les maîtres d'opérations RID, le maître de nom de domaine, le maître de schéma et les rôles maîtres d'infrastructure, consultez le module 12, «Gestion des maîtres d'opération» du cours 2174A, Implémentation et administration des services d'annuaire Microsoft Windows 2000.

30 28 Module 3 : Création d'un domaine Windows 2000 Étude de la structure par défaut d'active Directory Contient les groupes de sécurité par défaut de Windows 2000 Emplacement par défaut des comptes d'ordinateurs Emplacement par défaut des comptes d'ordinateurs contrôleurs de domaine Renferme les identificateurs de sécurité (SID) des domaines externes, approuvés Contient des objets orphelins Contient des paramètres système intégrés Emplacement par défaut des comptes d'utilisateur et et de groupe Pendant l'installation d'active Directory sur le premier contrôleur de domaine d'un nouveau domaine, plusieurs objets par défaut sont créés. Ces objets comprennent des conteneurs, des utilisateurs, des ordinateurs, des groupes et des unités d'organisation. Vous pouvez afficher et gérer ces objets par défaut à l'aide de l'outil administratif Utilisateurs et ordinateurs Active Directory. La liste ci-dessous décrit l'objectif de certains de ces objets par défaut.!" Builtin (conteneur). Cet objet sert à contenir les groupes de sécurité intégrés par défaut.!" Computers (conteneur). Cet objet représente l'emplacement par défaut des comptes d'ordinateurs.!" Domain Controllers (unité d'organisation). Cet objet correspond à l'emplacement par défaut des comptes d'ordinateurs contrôleurs de domaine.!" ForeignSecurityPrincipals (conteneur). Cet objet renferme les identificateurs de sécurité (SID, Security IDentifiers) des domaines externes, approuvés.!" Users (conteneur). Cet objet correspond à l'emplacement par défaut des comptes d'utilisateur et de groupe.

31 Module 3 : Création d'un domaine Windows Vous pouvez afficher d'autres objets dans la console Utilisateurs et ordinateurs d'active Directory. Il vous suffit de cliquer sur Fonctionnalités avancées dans le menu Affichage. La liste ci-dessous décrit l'objectif des objets supplémentaires.!" LostAndFound. Cet objet contient des objets orphelins, c'est-à-dire des objets dont les conteneurs parents ont été supprimés.!" System. Cet objet renferme des paramètres systèmes intégrés spécifiques. Remarque Vous pouvez appliquer une stratégie de groupe à une unité d'organisation, mais vous ne pouvez pas l'appliquer à un conteneur.

32 30 Module 3 : Création d'un domaine Windows 2000 # Tâches à effectuer après l'installation d'active Directory! Vérification de l'installation d'active Directory! Implémentation de zones intégrées Active Directory! Sécurisation des mises à jour pour les zones intégrées à Active Directory! Modification du mode de domaine! Implémentation d'une structure d'unité d'organisation Après avoir installé Active Directory, il est important de vérifier que les fichiers de base de données d'annuaire, les fichiers SYSVOL et les enregistrements de ressource SRV du système DNS sont créés, afin qu'active Directory puisse fonctionner correctement. Après l'installation d'active Directory, vous devez également configurer les zones DNS intégrées d'active Directory pour que le système DNS puisse utiliser les fonctionnalités d'active Directory, telles que la duplication, le transfert de zones et les mises à jour dynamiques et fiables. Si tous les contrôleurs de domaine d'un réseau Windows 2000 exécutent Windows 2000, vous devez passer du mode mixte au mode natif. Seul le mode natif permet d'ajouter des groupes à des groupes existants et des groupes de sécurité universels. Après la création d'un domaine, vous devez implémenter une structure d'unité d'organisation afin d'améliorer le contrôle d'administration et d'appliquer la stratégie de groupe. Vous pouvez créer une unité d'organisation au sein d'un domaine ou d'une autre unité d'organisation. Une fois l'unité d'organisation créée, vous pouvez y ajouter des objets.