P R O J E T P E R S O N N A L I S E E N C A D R E

Transcription

1 P R O J E T P E R S O N N A L I S E E N C A D R E CONTROLEUR DE DOMAINE ACTIVE DIRECTORY DATE 30/10/2014 DESCRIPTION DU PPE AUTEUR Installation d un contrôleur de domaine Active Directory et de tous les services associés pour assurer un fonctionnement optimal DE CUYPERE Maxime page : 1/7

2 TABLE DES MATIERES 1 INTRODUCTION PREPARATION INSTALLATION SERVICE DNS SERVICE DHCP SERVICE ACTIVE DIRECTORY CONTROLEUR DE DOMAINE Installation via interface Installation via PowerShell SERVEUR DE REPLICATION CONCLUSION... 7 page : 2/7

3 1 INTRODUCTION Nature de l activité : Une organisation exprime le besoin de centraliser la gestion de son parc. Solutions envisageables : Mise en place d un AD pour centraliser les services d administration et faciliter la gestion. Solution retenue : AD sur un serveur Windows Server 2012 Conditions de réalisation : Machines virtuelles (serveur et client), Sources Windows Serveur 2012 et Windows 7 Compétences mises en œuvre : A1.1.2, A1.2.2, A1.3.1, A1.3.4, A2.1.2, A3.1.1, A3.1.2, A3.1.3, A3.2.1, A3.3.1, A3.3.3, A3.3.4, A5.1.1 Active Directory est un service d annuaire édité et distribué par Microsoft et développé pour Windows. Cet annuaire sert à authentifier et définir les autorisations des ordinateurs et des utilisateurs d un «domaine». Cela permet de faciliter la gestion des utilisateurs et du parc informatique d une organisation. En effet, tous les éléments sont centralisés sur le serveur et peuvent être gérés de n importe où (avec les accréditations nécessaires). Active Directory doit être couplé à un serveur DNS afin de pouvoir fonctionner. 2 PREPARATION Ce projet sera réalisé sur un serveur Windows Server 2012 R2 hébergé sur une machine virtuelle Oracle VirtualBox dont la configuration est la suivante : 2 vprovessors 2 GB vram 25 GB HDD (vmdk) IPv4 : /8 (VLAN1) IPv4 : /8 (VLAN2) IPv6 désactivé Il est nécessaire de bien préparer son serveur afin d obtenir un annuaire fonctionnel et organisé. Pour cela, il faut définir certains paramètres : FQDN du domaine : ad.ppe.local o Forêt : ppe.local o Domaine : ad Nom de la machine : server Un serveur DHCP sera également installé. Bien que facultatif, il sera utile pour la réalisation de ce projet et le cadre reste réaliste. En effet, beaucoup d entreprises utilisent un serveur DHCP et n utilisent qu un seul serveur hébergeant leur annuaire, leur DNS et leur DHCP. page : 3/7

4 3 INSTALLATION 3.1 Service DNS Voir PPE installation d un serveur DNS Dans le cadre du projet, la configuration du DNS a été effacée et l assistant de configuration a créé toutes les zones et les enregistrements nécessaires. 3.2 Service DHCP Voir PPE installation d un serveur DHCP On procède à l installation du serveur DHCP après la mise en place du service Active Directory afin que le service DHCP soit autorisé par l AD. 3.3 Service Active Directory Contrôleur de domaine Installation via interface Voici le cœur du projet, le contrôleur de domaine. Comme pour les deux parties précédentes, deux installations seront faites. Une via interface graphique et une autre via PowerShell (un snapshot de la machine virtuelle sera utilisé pour le rollback). Une fois le service installé, un message d avertissement signale qu il faut configurer le serveur. Jusqu à la version 2008 de Windows Server, cette configuration se faisait via dcpromo.exe. Désormais, elle se fait directement via Server Manager, dcpromo ayant été supprimé. Une fois lancé, l assistant de configuration propose d ajouter ce contrôleur de domaine à un domaine déjà existant, de créer un nouveau domaine dans la forêt existante ou de créer une nouvelle forêt. L environnement étant totalement vierge, il faut créer une nouvelle forêt : Il est demandé de renseigner le «domaine racine», qui sera le domaine principal. Cela signifie qu il englobera tous les sous-domaines susceptibles d être créés. L étape suivante permet de préciser le niveau fonctionnel de la forêt et du domaine. Le niveau fonctionnel sert à rendre compatible plusieurs générations de serveurs entre eux. Par exemple, une forêt au niveau fonctionnel Windows Server 2008 permettra d ajouter des domaines Windows Server 2008 ET Windows Server 2012, là où une forêt de niveau fonctionnel Windows Server 2012 ne pourra accueillir que des domaines Windows Server page : 4/7

5 Il en est de même avec le niveau fonctionnel du domaine lui-même. La compatibilité s applique à la réplication (fault tolerance). Ici, un serveur Windows Server 2012 et un serveur Windows Server 2008 pourront tous deux être contrôleurs de domaine. Il est aussi demandé de préciser le mot de passe de récupération du domaine en création. Pour le projet il a été choisi de mettre le niveau fonctionnel de la forêt et du domaine en Windows Server 2008 R2 car c est cette version qui sera utilisée pour faire un serveur de réplication. L installation se fait sans intervention (après quelques autres options, mais les valeurs par défaut conviennent). Le serveur redémarre alors, il est maintenant dans le domaine. Note : L administrateur du serveur ayant créé le domaine a servi de modèle pour la création du compte administrateur du domaine. Le mot de passe sera donc le même que celui de l administrateur local de la machine. Il faut ensuite autoriser le DHCP à s exécuter (si celui-ci a été installé avant le service Active Directory luimême) et créer les groupes utilisateurs et administrateurs du DHCP. Pour cela il vaut mieux utiliser l assistant de configuration. L assistant d installation a créé les entrées dans le DNS, tout est prêt. Il est temps de régler les paramètres du domaine. Maintenant il faut régler les polices de sécurité du domaine. secpol.msc L AD est maintenant prêt à être utilisé Installation via PowerShell L installation via PowerShell se fait comme tout ajout de rôles Windows : Add-WindowsFeature -name Ad-domain-services IncludeManagementTools Création de la forêt et du domaine racine Install-ADDSForest -DomainName "ad.ppe.local" -DomainMode 4 -ForestMode 4 InstallDns -DomainMode et ForestMode permettent de spécifier le niveau fonctionnel de la forêt et du domaine. Les valeurs sont disponibles sur le technet Microsoft : Le mot de passe de récupération sera demandé, puis l installation commencera. Après redémarrage du serveur, celui-ci sera inscrit dans l AD. Au redémarrage, il faudra autoriser le DHCP à s exécuter (si celui-ci a été installé avant le service Active Directory lui-même) et créer les groupes utilisateurs et administrateurs du DHCP. Pour cela il vaut mieux utiliser l assistant de configuration. Il faudra ensuite créer les groupes, les utilisateurs et modifier les paramètres, comme vu dans la partie «installation via interface». Pour la création basique d un utilisateur, il suffit de taper la commande suivante : New-ADUser -Name "DE CUYPERE Maxime" -SamAccountName "maxime" - ChangePasswordAtLogon 1 -AccountPassword (ConvertTo-SecureString -string "Azerty123" -AsPlainText -Force) Enabled 1 page : 5/7

6 Sans ces éléments, l utilisateur ne pourra pas se connecter à son compte. 3.4 Serveur de réplication Afin d assurer le service en cas de panne, la solution de créer un second serveur identique est souvent la meilleure. De plus cela permet, en cas de montée en charge, de répartir les requêtes sur deux serveurs. Pour installer un serveur de réplication, il faut installer le service Active Directory comme un service normal mais ils seront configurés en «esclave» par rapport au serveur maître, afin que la configuration soit la même. Ensuite, les deux serveurs se répliqueront entre eux. Note : il est impossible de créer un serveur de réplication de DHCP. Cette fois-ci, l installation se fait via dcpromo.exe car le système est un Windows Server 2008 R2. Il n y aura pas besoin de préciser tous les paramètres comme lors de la création du domaine. Il suffit de préciser le domaine et l assistant de configuration contactera lui-même le contrôleur afin de répliquer sa configuration. Il est nécessaire de préciser des identifiants d un membre possédant le droit d ajout d un poste sur le domaine (comme pour l ajout d un poste client sur le domaine). page : 6/7

7 L assistant de configuration propose de répliquer la configuration DNS et la totalité du catalogue AD. Il propose aussi de mettre ce contrôleur de domaine en lecture seule mais dans ce cas-là, toute modification sur ce serveur ne serait pas répercutée sur l autre contrôleur de domaine. Après l installation nous pouvons vérifier que l Active Directory réplique bien (dans les deux sens) les modifications faites en créant des utilisateurs, des conteneurs ou des ordinateurs. 4 CONCLUSION Active Directory est un outil très puissant pour gérer un parc informatique, c est pourquoi il est si compliqué et long à mettre en place. En revanche, une fois mis en production, la gestion du parc et des utilisateurs se montre nettement facilitée. C est pourquoi il est présent dans la plupart des entreprises. Par ailleurs, il existe des solutions venant s ajouter à l AD telles que System Center Configuration Manager ou System Center Service Manager apportant leur lot d améliorations et de fonctionnalités supplémentaires. Evolutions possibles : Ajout de services, GPO, utilisateurs. page : 7/7