TP2 : Windows 2003 Server et Active Directory

Transcription

1 TP2 : Windows 2003 Server et Active Directory Description de la configuration et des objectifs du TP : Un serveur Windows 2003 contrôleur de domaine est accessible sur le réseau, son adresse IP vous sera communiquée au début de la séance de TP. Interroger le service DNS de ce serveur, pour trouver le nom du domaine et le nom du serveur (utiliser nslookup) Dans ce TP vous allez installer un serveur Windows 2003 server en serveur autonome (standalone) cette installation sera faite sur une machine virtuelle VMware ; puis intégrer ce serveur dans le domaine tp.esaip.org pour bénéficier des ressources de ce domaine. Votre serveur sera alors un serveur membre du domaine. puis installer sur votre station ADMINPAK qui regroupe les outils d administration à distance d Active Directory pour créer des utilisateurs et des groupes dans l unité organisationnelle (UO) Tp-utilisateurs Cette procédure d intégration dans un domaine serait analogue pour une station XP ou Seven. Initialisation du TP : Installer un système "Windows 2003 server" en machine virtuelle VMware, à partir de l'image iso du CD d'installation. Télécharger l'image iso, et le code d'activation sur ftp://forum/windows Il sera nécessaire de démarre les services VMware avant de lancer la console VMware Gérer le poste de travail >> services 1

2 1 Intégration de la station dans le domaine Active Directory 1. Changer le serveur DNS par défaut de votre station 1 : le nouveau serveur DNS est le serveur DNS s exécutant sur le contrôleur de domaine i, son adresse vous a été communiquée au début de la séance 2. Intégrer la station dans le domaine tp.esaip.org via propriétés du poste de travail >> Nom de l'ordinateur >> Modifier On vous demande un nom d utilisateur pour le domaine: Utilisateur promo-install, ou promo-install2 mot de passe : esaip Redémarrer l ordinateur et ouvrir une session «poste uniquement 2» sur le domaine Active Directory : utilisateur promo-install et mot de passe Vous pouvez désormais ouvrir 2 type de sessions windows dans 2 annuaires différents; quels sont ces 2 annuaires? 2 Utilisation des ressources du serveur 1. Remarquer que le nom d utilisateur promo-install est défini dans l annuaire Active Directory : ce n est pas un utilisateur local. Le vérifiez sur la console «utilisateurs locaux»: Propriétés de poste de Travail >> Gérer >> utilisateurs et groupes locaux 2. A partir de Favoris réseau vérifier quelles sont les ressources accessibles sur le serveur et accéder aux répertoires partagés du serveur. Questions : Quels sont les droits d'accès sur les dossiers Profils_commun et TP-A05? Dans quel annuaire se trouvent les utilisateurs et les groupes pour lesquels sont définis ces droits d'accès? Quels sont les postes de travail qui pourront avoir accès à ces ressources? 1 Propriétés de "Favoris Réseaux" >> Propriétés de Connexion au réseau local >> propriétés avancées de Protocoles TCP/IP 2 L'option "Poste uniquement" signifie qu'il n'y aura pas simultanément d'ouverture de session dans l'annuaire e-directory de Novell (cette option est disponible à partir du moment où un "client Novell" a précédemment été installé sur votre station). 2

3 3 Installation des outils d'administration AD sur la station 1. Ouvrir une session administrateur (annuaire locale de votre station) 2. Dans le dossier TP-esaip du serveur (y accéder via les Favoris Réseaux ) ou sur le CD d'installation de Windows 2003 server (dans le dossier i386) vous trouvez le fichier ADMINPAK.MSI. Installer ce programme sur la station de travail. 3. Citer au moins 4 des outils d administration relatifs au domaine Active Directory, qui ont ainsi été ajoutés dans Démarrer >> Panneau de configuration >> Outils d'administration Ou Démarrer >> Paramètres >> Panneau de configuration >> Outils d'administration 4 Utilisateurs et ordinateurs Active Directory Pour intervenir sur Active Directory vous devrez avoir ouvert une session avec un nom d'utilisateur connu de l'annuaire Active directory : promo-install ou promo-install2 La console «Utilisateurs et ordinateurs Active Directory» vous permettra de gérer les utilisateurs, les groupes etc définis dans le domaine tp.esaip.org. 4.1Comptes prédéfinis : Parcourir la liste des comptes et groupes prédéfinis (dans Builtin ou Users) en observant leur nom complet afin de se faire une idée du rôle de chacun. 4.2 Création de comptes dans l'annuaire Active Directory Dans toutes les manipulations qui suivent, utilisateurx, est à remplacer par votre nom (ou votre pseudonyme) 1. Utiliser la console «Utilisateurs et ordinateurs Active Directory». Créer un compte d'utilisateur à votre nom sur AD ( utilisateurx), dans l UO Tp-utilisateurs qui est accessible en création pour l utilisateur promo-install. Pour retrouver facilement les objets que vous allez créer sur le serveur vous pourrez créer une unité d'organisation à votre nom dans l'uo TP-utilisateurs un dossier à votre nom dans le dossier partagé Profils-communs 3

4 2. Fermer la session Windows et ouvrir une nouvelle session sur le domaine sous le nom de l utilisateur que vous venez de créer : utilisateurx Pouvez lire dans les répertoires partagés? Pouvez-vous écrire dans les répertoires partagés? Pouvez-vous créer un nouvel utilisateur? Pouvez-vous supprimer l unité organisationnelle tp-utilisateurs? Préciser le rôle particulier de l utilisateur promo-install? 3. Revenir dans une session d administration promo-install et ajouter aux caractéristiques de l utilisateur créé utilisateurx, un répertoire personnel (dossier de base) Indiquer une lettre d'unité, par exemple J: Indiquer le répertoire personnel en utilisant la notation UNC 3 : \\cri-esaip\profils-communs\%username% La variable %username% sera remplacée par le nom du nouvel utilisateur et permettra une affectation correcte des droits d accès (et facilitera la création d utilisateurs aux propriétés analogues en «copiant» cet utilisateur dans Active Directory) Le répertoire de base (qui a donc le même nom que l utilisateur) est créé, avec les bons droits d'accès dès que l'on clique sur le bouton Appliquer un répertoire de profil (chemin du profil) Nous allons créer un répertoire de profil à l intérieur du dossier de base, en indiquant comme chemin d accès \\cri-esaip\profils-communs\%username%\profil Le répertoire de profil (nommé Profil) n'est pas créé maintenant, il sera créé lors de la première connexion de l'utilisateur. 4. Ouvrir une nouvelle session avec le compte utilisateurx et vérifier la disponibilité du répertoire personnel et du profil itinérant. Quels sont les droits d'accès du répertoire de profil? Ce répertoire est la copie sur le serveur du dossier de profil local : dans quel dossier de la station se trouve ce profil local de l utilisateur? Est-ce que l'administrateur (promo-install ou promo-install2) qui a créé le répertoire de profil peut y accéder? 3 Notation UNC : C est le chemin qui apparaît dans les favoris réseaux. Que veut dire UNC? 4

5 5. Créer un deuxième compte utilisateury en copiant l objet utilisateur précédent, Quel est le chemin d accès au dossier de base pour le nouvel utilisateur créé par copie Quel est le chemin d accès au dossier de profil pour le nouvel utilisateur créé par copie Comment changer le mot de passe d un utilisateur déjà créé? Remarque : Si nous n avions pas utilisé la variable %username%, il aurait fallu affecter manuellement les droits d accès : vous pouvez le vérifier (facultatif) 5 Console MMC Pour démarrer MMC la première fois : Démarrer >> Exécuter >> mmc 1.Qu'est-ce qu'une console MMC? 2.Créer votre propre console MMC avec les composants logiciels d Active Directory. Ajouter des composants logiciels enfichables (menu fichiers) Enregistrer cette console sur le bureau : nom "mes outils préférés" 3.Comment démarrez-vous cette console MMC? 6 Session Terminal server (facultatif) 1.Est-ce que vous pouvez ouvrir une session Terminal Server sur le contrôleur de domaine? à votre avis pourquoi? 2.Avec Terminal Server, où s exécutent les applications? 5

6 7 Profil commun ou obligatoire (mandatory) (cette partie est aussi facultative) 1. Créer un compte d utilisateur ModèleX dans l UO tp-utilisateurs, qui vous servira à définir un profil d utilisateur de référence et un profil obligatoire pour 2 autres utilisateurs 2. En ouvrant une session avec le compte ModèleX, vous allez pouvoir configurer l environnement particulier des utilisateurs qui utiliseront le profil de cet utilisateur : ajouter une raccourci vers le répertoire partagé du serveur, créer des répertoires sur le Bureau? etc. Dans quel dossier local de la station est enregistré le profil utilisateur? 3. Ouvrir une session Administrateur local sur votre station de travail. Quels sont les profils qui ont été créés localement? 4. Effectuer la copie du profil de référence (profil de l'utilisateur ModèleX) vers un sousrépertoire de profils-communs que vous nommerez d'une manière qui vous permettra de le retrouver 5. Autoriser l'utilisation du profil que vous venez de copier : Tous les utilisateurs qui utiliseront ce profil devront être membres d'un groupe que vous définissez, vous-même, ce groupe étant propriétaire du dossier de profil commun le propriétaire du dossier de profil doit être l utilisateur (ou un groupe dont l'utilisateur est membre) ou le groupe Administrateurs 6. Modifier le chemin de profil (chemin UNC) pour l utilisateur ModèleX, de sorte qu il pointe sur le profil profil_commun_x que vous avez choisi. Ce profil devient ainsi pour l'utilisateur ModèleX un profil itinérant. 7. Créez un utilisateur ModèleXa à partir de ModèleX. 8. Ouvrez une session ModeleXa, vérifier que vous avez récupéré un profil identique au profil utilisé par ModèleX. Observez dans panneau de configuration>>système, le profil mis en place pour votre utilisateur ModeleXa. 9. Pour rendre le profil obligatoire. Changer l extension du fichier ntuser.dat contenu dans le dossier de profil en ntuser.man. Vérifier que le profil d un utilisateur qui utilise ce répertoire comme profil itinérant est devenu un profil obligatoire (non modifiable par l'utilisateur). On pourra par exemple ajouter un raccourci sur le bureau et vérifier que cette modification est perdue dès qu'on ferme la session. 6

7 [i] Préparation du TP : o Supprimer les comptes d'ordinateurs inutiles Vérifier la présence des comptes Promo-install ( et leur mot de passe tp.esaip.org) o Vérifier le partage des dossiers et les droits d accès associés : contrôle total pour le groupe tp-admin sur le dossier Profils communs Lecture pour tout le monde sur TP-A05 Par défaut, tous les utilisateurs authentifiés peuvent ajouter un maximum de 10 comptes d'ordinateur à un domaine Active Directory. Ces nouveaux comptes d'ordinateur sont créés dans le conteneur Ordinateurs. 1. Il est possible de supprimer le groupe Utilisateurs authentifiés du droit d'utilisateur Ajouter des stations de travail au domaine dans la stratégie par défaut du contrôleurs de domaine. 2. En outre, si vous souhaitez attribuer à un autre groupe d'utilisateurs, plus restreint, le droit de créer des comptes d'ordinateurs, vous pouvez changer la valeur du droit d'utilisateur Ajouter des stations de travail au domaine dans la stratégie par défaut des contrôleurs de domaine 7

8 i DNS Le serveur DNS du contrôleur de domaine ne doit en principe résoudre que l'adresse du serveur, et les adresses des stations qui seront intégrées au domaine. Il ne sera pas nécessaire de définir manuellement les adresses des stations, car il y a mise à jour automatique du serveur DNS (DNS dynamique). Il sera par contre nécessaire de définir manuellement la résolution inverse pour l'adresse du serveur. Pour obtenir la résolution DNS des ordinateurs qui n'appartiennent pas au domaine, il suffira d'indiquer comme redirecteur l'adresse d'un autre serveur DNS (voir propriétés du domaine DNS dans la console DNS) Exemples de réponses données par un serveur correctement configuré : C:\Documents and Settings\Administrateur>nslookup Serveur par défaut : cri-esaip.angers.esaip > Serveur : cri-esaip.angers.esaip Nom : cri-esaip.angers.esaip > cri-esaip.tp.esaip.org Serveur : cri-esaip.angers.esaip Nom : cri-esaip.angers.esaip > exit