Mise en place d un serveur Core et des applications associées

Transcription

1 Mise en place d un serveur Core et des applications associées 1. Installation des rôles et fonctionnalités Contrairement à l installation complète, l utilitaire d installation en ligne de commande servermanagercmd n est pas disponible. À la place, il faut utiliser oclist et ocsetup. Le premier faisant un listing des rôles installés ou non, et le second permettant de les installer et de les supprimer. Attention, ocsetup est sensible à la casse. Ainsi, ocsetup Bitlocker échouera, alors que la commande ocsetup BitLocker fonctionnera. Exemple de sortie écran avec oclist : a. Les rôles réseaux L installation des rôles réseaux se limite à une simple commande. Il est recommandé de les démarrer avec start /w afin de ne pas avoir un retour au prompt avant que l installation ne soit effectivement terminée. Voici les commandes permettant l installation des différents rôles réseaux disponibles. Ces rôles sont peu consommateur en ressources systèmes mais sont nécessaire en permanence. Utiliser une installation minimale permet de les sécuriser, et limiter les coupures de services grâce à la réduction du nombre de mises à jour de sécurités à installer. Installer le rôle DHCP Server start /w ocsetup DHCPServerCore sc config dhcpserver start=auto net start dhcpserver Pour autoriser le serveur DHCP, exécutez : netsh dhcp add server dc2008.masociete.local Si le serveur devient contrôleur de domaine par la suite, il faudra l autoriser de nouveau. Pour créer un scope sur le serveur DHCP : netsh dhcp server add scope "Scope de Ma Societe" Pour définir une plage d adresses IP : ENI Editions - All rigths reserved - Guillaume DUBOIS - 1 -

2 netsh dhcp server scope add iprange Pour définir une plage d exclusions : netsh dhcp server scope add excluderange Pour fournir l adresse IP de la passerelle par défaut et les serveurs DNS dans les baux DHCP : netsh dhcp server scope set optionvalue 003 ipaddress netsh dhcp server scope set optionvalue 006 ipaddress Pour fournir le suffixe DNS dans le bail DHCP : netsh dhcp server scope set optionvalue 015 String masociete.local Pour activer le scope : netsh dhcp server scope set state 1 Installer le rôle DNS server Tout comme le rôle précédent, l installation se résume à une simple commande : start /w ocsetup DNS-Server-Core-Role Pour ajouter une zone DNS primaire sur le serveur : dnscmd /zoneadd masociete.local /primary L ajout manuel d entrées est très simple. Par exemple, pour déclarer un second serveur DNS pour la zone : dnscmd /recordadd NS dc02.masociete.local La zone n accepte pas par défaut les mises à jour dynamiques. Pour les autoriser, il faut utiliser la commande : dnscmd /config masociete.local /allowupdate 1 Vous pouvez voir toutes les entrées d une zone en ligne de commande : dnscmd /zoneprint masociete.local Pour lister toutes les zones déclarées sur le serveur : dnscmd /enumzones Windows Server 2008 R2 inclura la sécurisation du DNS (DNSSEC), permettant de vérifier que la source est digne de confiance pour la résolution et le transfert de zones. Une infrastructure de type PKI permettra de protéger les entrées DNS. Installer le rôle IIS server Depuis IIS 7.0, presque toutes les fonctionnalités sont vues comme des modules, l objectif étant d installer le strict nécessaire, tant pour la sécurité que pour les performances. L implémentation du rôle IIS est un peu particulière dans l installation. L installation du rôle se fait en exécutant la commande : start /w ocsetup IIS-WebServerRole Cependant, seulement quelques composants sont installés par défaut : ENI Editions - All rigths reserved - Guillaume DUBOIS

3 IIS WebServer ; IIS ApplicationDevelopment ; IIS CommonHttpFeatures ; IIS HealthAndDiagnostics ; IIS Performance ; IIS Security ; IIS WebServerManagementTools. Contrairement à l installation complète, les composants suivants ne sont pas disponibles : IIS ASPNET (sauf avec Windows Server 2008 R2) ; IIS NetFxExtensibility (sauf avec Windows Server 2008 R2) ; IIS ManagementConsole ; IIS ManagementService (sauf avec Windows Server 2008 R2) ; IIS LegacySnapIn ; IIS FTPManagement ; WAS NetFxEnvironment (sauf avec Windows Server 2008 R2) ; WAS ConfigurationAPI (sauf avec Windows Server 2008 R2). Par exemple, pour installer le module PHP sur un Server Core : Téléchargez le zip php sur un partage depuis une machine ayant un navigateur Internet : Décompressez le contenu et déplacez le dans %SystemDrive%\PHP. Renommez le fichier php.ini recommended en php.ini dans ce répertoire. Installez les composants suivants : IIS WebServer ; IIS CommonHttpFeatures ; IIS StaticContent ; IIS DefaultDocument ; IIS DirectoryBrowsing ; IIS HttpErrors ; IIS HttpLogging ; ENI Editions - All rigths reserved - Guillaume DUBOIS - 3 -

4 IIS LoggingLibraries ; IIS RequestMonitor ; IIS RequestFiltering ; IIS HttpCompressionStatic ; IIS CGI ; IIS WebServerManagementTools ; WAS WindowsActivationService ; WAS ProcessModel. Activez php dans IIS en ajustant la lettre de lecteur en fonction de votre environnement : %WinDir%\System32\InetSrv\AppCmd set config /section:system.webserver/fastcgi /+[fullpath= c:\php\phpcgi.exe ] %WinDir%\System32\InetSrv\AppCmd set config /section:system.webserver/handlers /+[name= PHP- FastCGI,path= *.php,verb= *,modules= FastCgiModule,script Processor= c:\php\php-cgi.exe,resourcetype= Either ] Vous pouvez ensuite créer une page test.php avec à l intérieur le code suivant, par exemple dans %systemdrive% \inetpub\www\test.php : <?php phpinfo();?>. Une page semblable à celle ci doit s afficher : ENI Editions - All rigths reserved - Guillaume DUBOIS

5 b. Le rôle serveur de fichiers Contrairement aux rôles réseaux, plusieurs services de rôles sont proposés, en fonction de vos besoins. Vous pouvez donc choisir d installer ou non FRS, RFRS, DFS, SIS et même NFS. Le chapitre Architecture distribuée d accès aux ressources de ce livre couvre en détail la gestion distribuée de ressources via DFS, ainsi nous allons ici nous intéresser aux spécificités liées à l installation Core. Ce type d installation est pertinent pour ce rôle, dont la disponibilité est vitale pour la plupart des utilisateurs. Davantage de mémoire peut être utilisée comme cache de fichiers grâce à l empreinte plus faible, et la réduction du nombre de mises à jour réduit les coupures de services. Installation du service minimum de partage de fichiers : start /w ocsetup CoreFileServer Installation du service FRS : ENI Editions - All rigths reserved - Guillaume DUBOIS - 5 -

6 start /w ocsetup FRS-Infrastructure Installation du service RFRS : start /w ocsetup DFSR-Infrastructure-ServerEdition Installation du service DFS : start /w ocsetup DFSN-Server Installation du service NFS : start /w ocsetup ServerForNFS-Base start /w ocsetup ClientForNFS-Base Windows Server 2008 R2 introduit le service FSRM (File Server Resource Manager) sur l édition Core. Cela permet de gérer le stockage bureautique (quota, blocage des fichiers par extension et rapports sur la consommation de l espace disque). Pour installer FSRM : start /w ocsetup FSRM-Infrastructure-Core La console Gestionnaire de ressources du serveur de fichiers doit être installée sur la machine utilisée pour gérer FSRM : Import-module servermanager Add-WindowsFeature RSAT-FSRM-Mgmt Il suffit ensuite d ajouter les exceptions sur le pare feu pour gérer à distance les partages (sur le serveur Core en entrée et sur la machine exécutant le gestionnaire de serveur) : netsh advfirewall firewall set rule group= "Gestion de ressources du serveur de fichiers à distance" new enable="yes" netsh advfirewall firewall set rule group= "Gestion des volumes à distance" new enable="yes" c. Le rôle serveur d impression Le rôle de serveur d impression s installe en une ligne de commande : start /w ocsetup Printing-ServerCore-Role Ajouter une imprimante sur le serveur : Depuis un ordinateur Windows Vista ou un autre Windows Server 2008 non Core, lancez la console de gestion des imprimantes. Si elle n est pas présente sur un Windows Server 2008, vous pouvez l ajouter indépendamment avec la commande : ENI Editions - All rigths reserved - Guillaume DUBOIS

7 servermanagercmd -i RSAT-Print-Services Il suffit ensuite de gérer le rôle comme sur l édition complète. 2. Service d annuaire (AD) Contrairement aux autres rôles, il n est pas possible de le configurer après son installation. Il faut lui fournir certaines informations au moment de l installation, alors qu il n y a pas d interface graphique. La solution consiste à passer par un fichier texte de réponses, qui doit être mis sur le serveur au préalable. Une fois le fichier de réponses prêt, il suffit d exécuter la commande : dcpromo /unattend:c:\monfichierunattend.txt Voici quelques fichiers d exemples afin de vous faciliter la création du fichier de réponses. Pour créer ces fichiers de réponses, vous pouvez utiliser notepad, qui est présent sur une installation Core (pratique, non?). Afin d obtenir un contrôleur de domaine en lecture seule (RODC), il faut positionner ReplicaOrNewDomain à ReadOnlyReplica. Fichier de réponses du premier serveur d une nouvelle forêt : [DCINSTALL] ReplicaOrNewDomain=Domain NewDomain=forest InstallDNS=yes NewDomainDNSName= masociete.local DomainNetbiosName=masociete ForestLevel=3 DomainLevel=3 SiteName=Default-First-Site-Name DatabasePath=%systemroot%\ntds LogPath=%systemroot%\ntds SYSVOLPath=%systemroot%\sysvol SafeModeAdminPassword=Passw0rd RebootOnCompletion=Yes Fichier de réponses du premier serveur d une nouvelle arborescence dans une forêt existante : [DCINSTALL] UserName=administrateur UserDomain=masociete Password=Passw0rd NewDomain=tree NewDomainDNSName=masociete2.local SiteName=Default-First-Site-Name DomainNetBiosName= masociete2.local ReplicaOrNewDomain=Domain DomainLevel=3 ENI Editions - All rigths reserved - Guillaume DUBOIS - 7 -

8 DatabasePath= %systemroot%\ntds LogPath= %systemroot%\ntds SYSVOLPath= %systemroot%\sysvol InstallDNS=yes CreateDNSDelegation=yes DNSDelegationUserName=administrateur DNSDelegationPassword= Passw0rd SafeModeAdminPassword=Passw0rd RebootOnCompletion=yes Fichier de réponses du premier serveur d un nouveau domaine enfant dans une forêt existante : [DCINSTALL] ParentDomainDNSName=masociete.local UserName=administrateur UserDomain=masociete Password=Passw0rd NewDomain=childChild Name=masociete2 SiteName=Default-First-Site-Name DomainNetBiosName=masociete2 ReplicaOrNewDomain=domain DomainLevel=3 DatabasePath= %systemroot%\ntds LogPath= %systemroot%\ntds SYSVOLPath= %systemroot%\sysvol InstallDNS=yes CreateDNSDelegation=yes DNSDelegationUserName=administrateur DNSDelegationPassword= Passw0rd SafeModeAdminPassword=Passw0rd RebootOnCompletion=yes Fichier de réponses du second serveur d un domaine : [DCINSTALL] UserName=administrateur UserDomain=masociete Password=Passw0rd SiteName=Default-First-Site-Name ReplicaOrNewDomain=replica DatabasePath= %systemroot%\ntds LogPath= %systemroot%\ntds SYSVOLPath= %systemroot%\sysvol InstallDNS=yes ConfirmGC=yes SafeModeAdminPassword=Passw0rd RebootOnCompletion=yes Sachez également que ce fichier de configuration pourra être créé à l issu de l assistant d installation d un contrôleur de domaine en mode graphique. 3. Exécuter des applications 32 bits (Windows Server 2008 R2 uniquement) Windows Server 2008 R2 est un système d exploitation uniquement 64 bits. Cependant, les applications 32 bits peuvent encore fonctionner par une émulation (Wow64 pour "Windows On Windows"). L objectif étant de réduire la surface d attaque, notamment en rendant les virus ou vers 32 bits inopérants, il est donc conseillé de désactiver l émulation Wow64 si vous n avez pas d applications la nécessitant. Pour cela, il suffit de supprimer le package ServerCore WOW64 : Start /w ocsetup ServerCore-WOW64 /uninstall Vous avez maintenant un serveur Core complètement fonctionnel dans votre environnement. Certains usages ont été présentés, d autres comme Hyper V sont décrit dans le chapitre Consolider vos serveurs. Les avantages de cette installation minimum sont réels, la difficulté principale étant d appréhender son administration au quotidien. Server Core, la fin du clivage interface Windows versus shell Unix? ENI Editions - All rigths reserved - Guillaume DUBOIS