Systèmes d exploitation (6SE4) Horaire de participation Jeudi de la 5h à la 8h. Active Directory : Promotion Domain Controller, connexion de clients

Transcription

1 N d ordre : 2 Nom : Bonesso Collège Saint Servais Prénom : Julien C.E.S.C. I.T.N. Classe : 6QTTI 2 Rue de la Pépinière, 101 Local / Machine : 239A Ordi Namur Systèmes d exploitation (6SE4) Horaire de participation Jeudi de la 5h à la 8h Rapport rendu Le 26/02/2015 Active Directory : Promotion Domain Controller, connexion de Remarques: Bonesso Julien - Institut Technique de Namur - 6QTI Page 1

2 Table des matières 1 Introduction Rappel théorique Comparaison WorkGroup Domaine Active Directory Versions de Windows Serveur compatibles avec l AD Définition de l Active Directory DNS : Rappel Active Directory et DNS Organisation Logique (Représentation Schématique en page 6) Organisation Physique (Représentation Schématique en page 7) Schéma de l organisation logique d Active Directory (Exemple entreprise Mr Dupont) Schéma de l organisation physique d Active Directory (Exemple entreprise Mr Dupont) Planification de ma réalisation Schéma représentant ma machine réelle et mes machines virtuelles Préparation de l environnement HyperV de ma machine réelle pour l accueil des machines virtuelles à réaliser pour l AD Promotion du premier Domain Controller Changement du nom d ordinateur du DC Attribution d une adresse IP au Domain Controller Création d une seconde partition pour l installation de l AD Promotion du DC1: DCPromo.exe Création structurées d utilisateurs (avec O.U) Insertion des postes de travail dans le domaine Changement de l adresse IP et du DNS Assistant pour se joindre au domaine (Windows 8 et Windows 7) Ajout de la machine XP Changement de l adresse IP et du DNS Assistant pour se joindre au domaine (Windows XP) Les PC sont donc bien ajoutés à l AD : Insertion d un serveur de fichiers dans le domaine Insertion du Serveur Windows 2003 dans le domaine Création du serveur de fichiers Ajout d un second Domain Controller au domaine Bonesso Julien - Institut Technique de Namur - 6QTI Page 2

3 1 Introduction Je vais tenter, dans ce rapport, de vous informer un peu sur ce qu est un domaine Active Directory ainsi que toutes les notions y étant associées et que nous avons vu au cours. Je vais également tenter de vous expliquer comment créer le premier Domain Controller d un domaine Active Directory, ainsi que l ajout de à ce domaine, tout cela en réalisation virtuelle sur HyperV. J espère qu avec ce rapport vous arriverez à comprendre tout cela. 2 Rappel théorique 2.1 Comparaison WorkGroup Domaine Active Directory WorkGroup Domaine (AD) Petite entreprise <15PC Grande entreprise Simple à créer, à administrer Sécurité parfois faible Non optimisé pour le partage de ressources pour de nombreux Économique, pas de machine serveur Expertise requise Sécurité bien présente Meilleur contrôle de tout le réseau Serveur requis - Grande rapidité - Plus extensible que le WorkGroup 2.2 Versions de Windows Serveur compatibles avec l AD Standard Standard Enterprise DataCenter DataCenter Essentials (Limitations?) Itanium Foundation (Limitations?) Web Définition de l Active Directory L AD est une base de données orientée nom et objets qui fournit les fonctions de «répertoire» pour tous les objets réseau de Windows 200X. Chaque objet de l AD dispose de sa propre fiche signalétique unique (SID, RID, GUID) o SID : Serial Identifier o RID : Relative Identifier (SID Serveur + PC) o GUID : Forêt Unicité des noms L AD est orienté sur le «nom» unique de chaque objet o Ordi14.loc239.itn o JeanDupont@loc239.itn Bonesso Julien - Institut Technique de Namur - 6QTI Page 3

4 2.4 DNS : Rappel Le DNS est une résolution de noms vers une adresse IP Domaine DNS hiérarchisé o Top Level o Second Level FQDN pour chaque machine (Domaine DNS) 2.5 Active Directory et DNS DNS est un service de résolution de noms Active Directory est un service d annuaire Domaines AD et DNS ont la même structure hiérarchique Zones DNS peuvent être stockées par l Active Directory Un client AD utilise DNS pour localiser le Domain Controller Domaine WWW n est pas enregistré en zone DNS! Le domaine représente l organisation logique de l entreprise, le site l organisation physique. 2.6 Organisation Logique (Représentation Schématique en page 6) Forêt o Groupe d arbres qui n ont pas de nom de domaine contigu o Configuration, schéma, global catalog identiques provenant du root du premier domaine Arbre o Structure hiérarchique de domaines Win200X qui ont un nom contigu o Domaine parent Domaine enfant o Configuration, schéma, global catalog identiques Domaine o Collection d ordinateurs administrés par une même base de données «répertoire» Unité d Organisation o Récipient utilisé pour organiser logiquement les objets d un même domaine o Sert à : Trier, classer les éléments Délégation de contrôle 2.7 Organisation Physique (Représentation Schématique en page 7) Domain Controller o Serveur qui dispose d une copie de l AD Assure le logon, l authentification et les recherches AD o Rôles indispensables Global Catalog Site (5 minutes pour réplication) o Un ou plusieurs LAN IP ensemble Bonesso Julien - Institut Technique de Namur - 6QTI Page 4

5 o Un site peut contenir plusieurs domaines Sites (180 minutes pour réplication) o Plusieurs sites commandés ensemble par lien «haute vitesse» (Ligne louée, publique, non LAN) o Un domaine peut s étendre sur plusieurs sites Réplication o Windows 200X, multi master : Chaque DC dispose d une copie de l AD Écriture et Lecture de l AD 2.8 Schéma de l organisation logique d Active Directory (Exemple entreprise Mr Dupont) Bonesso Julien - Institut Technique de Namur - 6QTI Page 5

6 2.9 Schéma de l organisation physique d Active Directory (Exemple entreprise Mr Dupont) Bonesso Julien - Institut Technique de Namur - 6QTI Page 6

7 3 Planification de ma réalisation 3.1 Schéma représentant ma machine réelle et mes machines virtuelles Bonesso Julien - Institut Technique de Namur - 6QTI Page 7

8 4 Préparation de l environnement HyperV de ma machine réelle pour l accueil des machines virtuelles à réaliser pour l AD 1. Créer un réseau privé dans les paramètres HyperV pour que les machines virtuelles soit dans un réseau virtuel rien qu à elles : Bonesso Julien - Institut Technique de Namur - 6QTI Page 8

9 2. Ajouter une carte réseau sur chaque machine virtuelle et les intégrer dans le réseau interne précédemment créé : Pour Windows 2003 et XP, ajouter une carte réseau héritée, car même avec le Service Pack, je n ai pas réussi à faire prendre en charge une carte réseau normale à Windows 2003 : Bonesso Julien - Institut Technique de Namur - 6QTI Page 9

10 Intégrer la machine Windows 2003 au réseau interne précédemment créé grâce à la carte réseau héritée : 5 Promotion du premier Domain Controller 5.1 Changement du nom d ordinateur du DC1 La première chose à faire est de changer le nom très compliqué fixé à notre serveur 2008 à l installation en un nom plus simple et facile à retenir : Bonesso Julien - Institut Technique de Namur - 6QTI Page 10

11 5.2 Attribution d une adresse IP au Domain Controller La seconde chose à faire est de fixer une adresse IP fixe pour le Domain Controller, comme je vous l ai montré dans mon schéma de planification, j ai décidé de lui attribuer l adresse /24 : Ensuite, pour vérifier que la connectivité de mon réseau interne est irréprochable, je vais pinger ma machine serveur depuis une machine qui sera cliente de mon domaine. Pour ça, je vais activer la règle permettant de me faire pinger dans le pare-feu de mon serveur : Bonesso Julien - Institut Technique de Namur - 6QTI Page 11

12 Et ensuite pinger mon serveur (ici de ma machine W7) : 5.3 Création d une seconde partition pour l installation de l AD Je vais créer une seconde partition dans mon premier Domain Controller pour y stocker les dossiers NTDS ET SYSVOL de l Active Directory : Bonesso Julien - Institut Technique de Namur - 6QTI Page 12

13 5.4 Promotion du DC1: DCPromo.exe Mode avancé : Nouvelle forêt, nouvel arbre, car aucun domaine existant : Bonesso Julien - Institut Technique de Namur - 6QTI Page 13

14 Nom de domaine à choisir o BonJu.local DNS local pas enregistré en zone DNS : o Nom NETBIOS BONJU : Bonesso Julien - Institut Technique de Namur - 6QTI Page 14

15 Niveau de fonctionnalités Windows 2008 R2 Forêt, domaine Le plus récent : Activer le rôle supplémentaire Serveur DNS (Afin de pouvoir accéder au domaine avec une machine client) : Bonesso Julien - Institut Technique de Namur - 6QTI Page 15

16 Changer les dossiers de stockage par défaut du domaine (NTDS, SYSVOL) : Choisir un mot de passe de restauration : Bonesso Julien - Institut Technique de Namur - 6QTI Page 16

17 Exporter le fichier de restauration si jamais un problème se déclarerait dans l AD Les services s installent ensuite et un redémarrage est nécessaire : AD installé! Bonesso Julien - Institut Technique de Namur - 6QTI Page 17

18 Pour vérifier la bonne réalisation de la promotion du DC, nous pouvons : 1. Observer les zones DNS et le nom de domaine 2. Vérifier les partages réseaux actifs \\BonJuDC1.BonJu.local : 6 Création structurées d utilisateurs (avec O.U) Pour une meilleure gestion des utilisateurs et des groupes ou tout autre objet de l active directory, il existe les unités d organisations (O.U), je vais ici en créer deux et y insérer mes utilisateurs et groupes. «User239» et «Group239» La création d O.U se fait dans «Utilisateurs et ordinateurs Active Directory» : Bonesso Julien - Institut Technique de Namur - 6QTI Page 18

19 Je crée donc mes deux O.U «User239» et «Group239» Je crée donc un Utilisateur «Toto» et un utilisateur «Exp_Ti» qui fera partie du groupe «Opérateur de compte», ce qui lui donnera le droit, entre-autres, d ajouter des ordinateurs au domaine. Bonesso Julien - Institut Technique de Namur - 6QTI Page 19

20 7 Insertion des postes de travail dans le domaine Nous devons donc insérer dans le domaine une machine Windows 8, une machine Windows 7, et une machine Windows XP. Je vais vous montrer donc comment insérer une machine Win8 (Windows 7, c est la même réalisation) ainsi qu une machine WinXP. 7.1 Changement de l adresse IP et du DNS Le serveur Win2008 (DC1) va servir de relay DNS aux machines clientes ainsi que de serveur DNS pour rejoindre l AD. Bonesso Julien - Institut Technique de Namur - 6QTI Page 20

21 7.2 Assistant pour se joindre au domaine (Windows 8 et Windows 7) Bonesso Julien - Institut Technique de Namur - 6QTI Page 21

22 Bonesso Julien - Institut Technique de Namur - 6QTI Page 22

23 Ici, nous utilisons le compte Exp_Ti car il est opérateur de compte. Bonesso Julien - Institut Technique de Namur - 6QTI Page 23

24 Nous avons accès au compte Toto sous Windows 7 et 8! Bonesso Julien - Institut Technique de Namur - 6QTI Page 24

25 7.3 Ajout de la machine XP Changement de l adresse IP et du DNS Le serveur Win2008 (DC1) va servir de relay DNS aux machines clientes ainsi que de serveur DNS pour rejoindre l AD Assistant pour se joindre au domaine (Windows XP) Bonesso Julien - Institut Technique de Namur - 6QTI Page 25

26 Bonesso Julien - Institut Technique de Namur - 6QTI Page 26

27 Ici, nous utilisons le compte Exp_Ti car il est opérateur de compte. Bonesso Julien - Institut Technique de Namur - 6QTI Page 27

28 Nous avons accès au compte Toto sous Windows XP! 7.4 Les PC sont donc bien ajoutés à l AD : Bonesso Julien - Institut Technique de Namur - 6QTI Page 28

29 8 Insertion d un serveur de fichiers dans le domaine 8.1 Insertion du Serveur Windows 2003 dans le domaine L ajout d un serveur Windows 2003 dans le domaine se fait un peu comme pour Windows XP, car il est ici Member Server, et non contrôleur de domaine (ce qui aurait été impossible dans ce cas étant donné que le niveau de fonctionnalités de notre domaine est Windows 2008 R2. On fonctionne donc comme ceci : Clic droit sur poste de travail Propriétés Bonesso Julien - Institut Technique de Namur - 6QTI Page 29

30 Bonesso Julien - Institut Technique de Namur - 6QTI Page 30

31 8.2 Création du serveur de fichiers Pour créer le serveur de fichiers, il faut être sur le compte administrateur du serveur Windows Je crée donc un partage nommé «Shared». Dans les autorisations de partage, j intègre donc mes 2 utilisateurs du domaine Toto et Exp_Ti : L utilisateur Toto faisant partie du domaine a donc accès à mon partage. Bonesso Julien - Institut Technique de Namur - 6QTI Page 31

32 Je vais donc maintenant vous montrer une seconde étape, qui consiste à partager en WorkGroup ce même dossier avec ma machine hôte. Vous pouvez donc voir ici que j ai également ajouté dans la SAM locale de mon serveur Windows 2003 l utilisateur Julien, qui est mon utilisateur de ma machine réelle (hôte) : Il faut ensuite ajouter un second réseau à HyperV sur la carte réseau de la machine réelle: Bonesso Julien - Institut Technique de Namur - 6QTI Page 32

33 Pour pouvoir accéder au partage depuis ma machine réelle, il faut ajouter une seconde carte réseau à la machine W2003 pour qu elle accède au réseau de la machine réelle que l on vient d ajouter à HyperV : Je laisse la nouvelle carte réseau que je viens d ajouter à Windows Server en IP automatique étant donné que mon réseau réel est équipé du DHCP. (Il faut évidemment vérifier que le client Microsoft est bien activé sur cette carte pour que la résolution du nom NETBIOS de mon W2003 fonctionne). Bonesso Julien - Institut Technique de Namur - 6QTI Page 33

34 Je peux donc maintenant, via ma machine réelle, accéder au partage simplement en tapant \\SRV2003\SHARED et sans devoir entrer de nom d utilisateur ni de mot de passe étant donné que l utilisateur utilisé par ma machine réelle fait partie de la SAM de mon W2003 : Bonesso Julien - Institut Technique de Namur - 6QTI Page 34

35 9 Ajout d un second Domain Controller au domaine Pour que la robustesse de notre solution soit maximale, j ajoute donc ce second Domain Controller (DC2), qui aidera donc le premier (DC1). Compte administrateur du domaine indispensable Bonesso Julien - Institut Technique de Namur - 6QTI Page 35

36 Le domaine reste le même Le site reste le même Bonesso Julien - Institut Technique de Namur - 6QTI Page 36

37 Bonesso Julien - Institut Technique de Namur - 6QTI Page 37

38 Bonesso Julien - Institut Technique de Namur - 6QTI Page 38

39 Comme vous le voyez ici, il y a maintenant deux contrôleurs de domaine disponibles pour ce domaine. Bonesso Julien - Institut Technique de Namur - 6QTI Page 39

40 Active Directory : Administration et profils utilisateurs (itinérants) N d ordre : 2 Nom : Bonesso Collège Saint Servais Prénom : Julien C.E.S.C. I.T.N. Classe : 6QTTI 2 Rue de la Pépinière, 101 Local / Machine : 239A Ordi Namur Systèmes d exploitation (6SE4) Horaire de participation Jeudi de la 5h à la 8h Rapport rendu Le 07/05/2015 Active Directory : Administration et profils utilisateurs (itinérants) Remarques: Bonesso Julien - Institut Technique de Namur - 6QTI Page 1

41 Active Directory : Administration et profils utilisateurs (itinérants) Table des matières 1 Introduction Rappel théorique Qu est-ce qu un profil utilisateur? Pourquoi ne jamais faire de partage sur le lecteur C : d un serveur? Avantages et inconvénients des profils itinérants Avantages de la redirection de dossiers (GPO) Utilité de la gestion des quotas Planification de ma réalisation Administration du domaine Configuration profils itinérants Redirection du dossier de travail de toto@domain.local Administration de l espace de stockage Conclusion...15 Bonesso Julien - Institut Technique de Namur - 6QTI Page 2

42 Active Directory : Administration et profils utilisateurs (itinérants) 1 Introduction Je vais tenter, dans ce rapport, de vous informer un peu sur ce qu est un profil itinérant et comment l utiliser, comment limiter un espace de stockage à un utilisateur et comment lui connecter un lecteur réseau, je vais également essayer de vous expliquer comment administrer un serveur depuis un ordinateur client. 2 Rappel théorique 2.1 Qu est-ce qu un profil utilisateur? Profil d'utilisateur local Lorsque vous utilisez un ordinateur, vous avez besoin de stocker des données et paramètres (fonds d écran, ) spécifiques à votre utilisateur. Ces informations sont stockées dans ce que l on appelle un profil utilisateur. Les fichiers sont stockés sur le disque dur local de l ordinateur dans «C:\Users\NameUser». Le profil sera retrouvé à chaque fois que l utilisateur se reconnectera localement sur la machine. Profil itinérant Ce type de profil est géré par l administrateur réseau d un domaine Active Directory. Les fichiers sont stockés sur un serveur accessible via le réseau. Le profil sera retrouvé à chaque fois que l utilisateur se connectera sur n importe quelle machine qui est sur le domaine. 2.2 Pourquoi ne jamais faire de partage sur le lecteur C : d un serveur? Il ne faut pas partager depuis le lecteur C:\ pour que les données personnelles et les informations de tous les utilisateurs ne soient pas accessibles, ainsi que les fichiers serveurs, qui eux doivent en plus être très sécurisés. 2.3 Avantages et inconvénients des profils itinérants Avantages Profil unique sans distinction du poste de travail où l on s authentifie du moment qu il est dans le même domaine Le transfert d information sur le serveur peut être limité et défini Sauvegarde des profils plus aisée A la réinstallation d une machine, à la première ouverture, l utilisateur va retrouver tout son confort et ses habitudes précédentes Vérification de la présence ou non de virus dans les données utilisateurs plus aisée Inconvénients L espace disque du serveur doit être pris en considération en fonction du nombre d utilisateurs Le stockage des fichiers des employés (parfois de lourds fichiers personnels) se fait sur le serveur Les heures d achalandage (connexion des users) peuvent ralentir considérablement le réseau (sauf avec des redirections de dossier GPO) Bonesso Julien - Institut Technique de Namur - 6QTI Page 3

43 Active Directory : Administration et profils utilisateurs (itinérants) 2.4 Avantages de la redirection de dossiers (GPO) - La technologie des fichiers hors connexion donne accès à leurs dossiers aux utilisateurs même s ils ne sont pas connectés au réseau. - La redirection des fichiers est utile pour réduire la taille du profil itinérant et rendre efficace l ouverture et la fermeture de session de l utilisateur final. - L ouverture de session de l utilisateur final est beaucoup plus rapide qu avec juste le profil itinérant. 2.5 Utilité de la gestion des quotas La gestion des quotas sert à attribuer, à limiter l espace des utilisateurs pour qu ils ne s amusent pas à stocker n importe quoi et remplir les disques du serveur. Une fois arrivés à un certain pourcentage de leur espace attribué, ils auront donc un avertissement. Bonesso Julien - Institut Technique de Namur - 6QTI Page 4

44 Active Directory : Administration et profils utilisateurs (itinérants) 3 Planification de ma réalisation Bonesso Julien - Institut Technique de Namur - 6QTI Page 5

45 Active Directory : Administration et profils utilisateurs (itinérants) 4 Administration du domaine Pour administrer le domaine depuis une machine cliente (Windows 7, Windows 8 ou autre), il faut installer la mise à jour KB et accepter l administration à distance dans le gestionnaire du serveur. Premièrement, nous devons comme je l ai dit, autoriser la gestion à distance sur le serveur. Ensuite, nous devons installer le pack additionnel pour l OS Client. Bonesso Julien - Institut Technique de Namur - 6QTI Page 6

46 Active Directory : Administration et profils utilisateurs (itinérants) Et ensuite activer les fonctionnalités dont l on a besoin dans les fonctionnalités Windows. Nous pourrons ensuite lancer le gestionnaire de serveur depuis Windows en mode administrateur du domaine. Bonesso Julien - Institut Technique de Namur - 6QTI Page 7

47 Active Directory : Administration et profils utilisateurs (itinérants) Nous aurons ensuite accès à la gestion du serveur en entrant le nom complet de celui-ci. Ici, j ai créé une console MMC permettant de gérer les partages, les utilisateurs et la zone DNS. Bonesso Julien - Institut Technique de Namur - 6QTI Page 8

48 Active Directory : Administration et profils utilisateurs (itinérants) 5 Configuration profils itinérants Pour configurer les profils itinérants, il faut tout d abord prévoir un espace de stockage pour ces profils. J ai donc décidé de créer une troisième partition, car l on ne peut jamais faire de partage sur le lecteur C:\ Ensuite, nous allons créer un dossier partagé à l intérieur de cette partition, pour y enregistrer les profils. Les autorisations à fixer sont «Système + Utilisateurs du domaine», tous les deux en lecture & écriture. Bonesso Julien - Institut Technique de Namur - 6QTI Page 9

49 Active Directory : Administration et profils utilisateurs (itinérants) Et ensuite, dans les propriétés de l utilisateur, il faut indiquer le chemin vers le dossier que l on a précédemment partagé. Le %username% sert à indiquer automatiquement le nom du profil sans qu on ait à le noter. Avec mon utilisateur Toto, j ai créé un fichier texte «TEST». Bonesso Julien - Institut Technique de Namur - 6QTI Page 10

50 Active Directory : Administration et profils utilisateurs (itinérants) Nous pouvons voir ici que sous Windows 8, avec mon profil Toto, je retrouve mon fichier TEST.txt, l itinérance fonctionne donc bel et bien. 6 Redirection du dossier de travail de toto@domain.local Je crée donc un dossier de travail pour l utilisateur Tototo, qui sera connecté sur le lecteur réseau Z:\. Bonesso Julien - Institut Technique de Namur - 6QTI Page 11

51 Active Directory : Administration et profils utilisateurs (itinérants) Nous pouvons voir ici que le lecteur réseau est affiché sous Windows 7. J y ajoute donc un fichier témoin «test.bmp» sur Windows 7. Bonesso Julien - Institut Technique de Namur - 6QTI Page 12

52 Active Directory : Administration et profils utilisateurs (itinérants) Mon fichier témoin est toujours visible sur Windows 8, mon dossier de travail fonctionne donc bien. 7 Administration de l espace de stockage Pour activer les quotas, il faut aller dans les propriétés du lecteur utilisé pour les dossiers partagés, dans l onglet quota, et activer la gestion de quota : Bonesso Julien - Institut Technique de Namur - 6QTI Page 13

53 Active Directory : Administration et profils utilisateurs (itinérants) J ai limité la taille de stockage de Toto à 50 Mo, nous pouvons le voir dans les propriétés de son lecteur réseau. Pour voir un éventuel dépassement, l administrateur sera prévenu, via l observateur d évènement, comme je l ai coché ici : Bonesso Julien - Institut Technique de Namur - 6QTI Page 14

54 Active Directory : Administration et profils utilisateurs (itinérants) 8 Conclusion Dans ce rapport, je vous ai donc expliqué comment mettre en œuvre un profil itinérant, lui ajouter un lecteur réseau (son dossier de travail) et comment gérer un serveur depuis un ordinateur client appartenant au domaine. Vous avez donc pu voir que tout cela n est pas vraiment compliqué mais qu il faut bien se rendre compte auparavant à avoir une base TCP- IP irréprochable ainsi qu une bonne connaissances des droits NTFS et de partage à attribuer lors du partage de dossiers (Système + Utilisateurs du domaine). J ai pu apprendre grâce à cette manipulation que l on pouvait également, en plus de rediriger nos dossiers personnels grâce aux GPO, attacher un espace de stockage grâce à un lecteur réseau à chaque utilisateur dans son poste de travail mais aussi que chaque profil utilisateur était automatiquement ouvert et sauvegardé à l ouverture et à la fermeture de session, moi qui croyait que ça se faisait en temps réel. Cette manipulation est vraiment très intéressante pour la suite de notre avenir professionnel car j ai pu remarquer, notamment grâce à mon stage, qu un grand nombre d entreprises utilisaient les profils itinérants et également les redirections de dossiers grâce aux GPO ou autres. J espère que maintenant grâce à toutes mes explications et les détails que j ai pu vous donner, vous arriverez à mettre en place les profils itinérants pour vos utilisateurs de domaine! Bonesso Julien - Institut Technique de Namur - 6QTI Page 15