Gestion des utilisateurs : Active Directory 1. Installation J'ai réalisé ce compte-rendu avec une machine tournant sous Windows 2008 server, cependant, les manipulations et les options restent plus ou moins les mêmes sous Windows 2008 server R2. Après avoir installer Windows 2008 server (ou Windows 2008 Server R2), nous allons fixer son adresse, soit en dur sur la machine soit via une réservation d'adresse DHCP. Une fois l'ip fixée, nous allons installer Active Directory et un service DNS (nécessaire au fonctionnement de l'active directory). Pour cela il faut utiliser dcpromo.exe, et non pas l'installation de services de windows server, en passant par le menu démarrer : Il faut ensuite attendre que l assistant démarre (cela peut prendre du temps), ensuite c'est une installation ''windows'' classique :
Utiliser le mode avancée
Créer un nouveau domaine et nommer le :
Vérifier bien que la case Serveur DNS est cochée, c'est obligatoire pour le fonctionnement d'active directory Il faut ensuite cliquer sur oui et notre serveur Active Directory est installé (en plus du DNS) 2. Fonctionnement d'ad et ajout d'utilisateurs, de groupes,... L'AD fonctionne avec différents objets : les contacts, les UO (Unité d'organisation), Ordinateurs, les groupes, les utilisateurs, Nous utiliserons principalement que les OU, les ordinateurs, les utilisateurs et les groupes. Nous allons ajouter des utilisateurs dans une UO appelée Administration (cela servira plus tard dans l'exemple). Pour ajouter des utilisateurs qui peuvent se connecter au domaine, il suffit d'ouvrir ''Utilisateurs et ordinateurs Active Directory, choisir notre domaine et faire clic droit pour voir les différentes options. On choisit alors Nouveau Utilisateur : Il va ensuite falloir renseigner un certain nombre d'information : nom, prénom, login, mot de passe
et les options liées au compte : J'ai créé l'utilisateur Arthur Dent, qui se logera en tant que proviseur, j'ai ensuite renseigné son mot de passe et choisis certaines options (Cela dépend ensuite de vous, pour le TP, j'ai décidé que le mot de passe n'expira jamais). J'ai ensuite fait de même pour l'utilisateur Ford Escort qui se logera en tant que provadj
Les deux membres étant dans l'uo Administration, j'ai créé ensuite un groupe ''proviseurs'' pour permettre de faciliter les droits sur des partages par exemple : Après avoir créer le groupe, il faut indiquer qui en sont les membres, pour cela : clic droit sur le groupe en question onglet membres :
Cliquer sur ajouter À l'aide de vérifier les noms, on ajoute les utilisateurs
3. Intégration d'ordinateur Windows dans le domaine Tout peut se faire à l'installation sinon, il faut aller dans le menu démarrer clic droit sur ordinateur et propriétés modification du nom ou du domaine de l'ordinateur et à l'aide du compte administrateur, ajouter la machine : Les machines sont ensuite visites dans le dossier computer du domaine active directory Les utilisateurs, sur cette ordinateur client, peuvent maintenant charger leur session. Nous allons ensuite ajouter un partage ''global'' où seul les membres d'un certain groupe auront tous les droits, la création de profiles et la création de dossier personnel. 4. Partage et notion de droit Nous allons créer un partage pour que tous les membres de l'administration ont un répertoire en commun. Pour cela créer un dossier dans le C:\ clic droit dessus partage
À noter que vous pouvez aussi passer par l'outil windows server '' Gestion des partages et du stockage Ajoutez ensuite les membres du partage (dans notre cas le groupe proviseurs) et définissez le droit sur le partage (On peut aussi mettre des droits sur le dossier localement). Vous pourriez change les droit après.
En ce logant avec un pc intégré au domaine et avec l'utilisateur proviseur ou provadj, nous pouvons maintenant accéder au partage en ayant les droits en écriture et en lecture ( \\Nom_du_partage dans l'explorateur windows) : Je peux ici supprimer un fichier que j'ai moi même créé avec l'utilisateur proviseur En se connectant avec un utilisateur test que j'ai créé pour permettre de vérifier mes droits sur les différents partages que je crée. Je vois bien le partage, mais impossible d'y accéder :
5. Profil et dossier de base Nous allons maintenant créer un profil utilisateur et des dossiers de bases pour qu'un utilisateur puisse avoir les mêmes ressources sur les différents ordinateurs du domaine : Il faut créer alors deux dossiers, un pour le dossier de base de tous les utilisateurs et un pour les profils. Il faut ensuite partager ses deux dossiers et configurer les objets ''utilisateurs'' : clic droit sur un utilisateur onglet profil : La variable%username% prend comme valeur le nom utilisateur (=le login) de l'utilisateur, cela permet d'éviter les erreurs de frappes, de plus cela va automatiquement créer le dossier profiles de l'utilisateur avec son login (pas pour le dossier de base?) Le lecteur réseau P : sera alors un dossier présent sur le login de l'utilisateur, cet espace lui est réservé, il en a les seuls droits. 6. GPO et script Les GPO (Group Policy Object) sont des règles que l'on peut affecter à des groupes, cela peut par exemple servir à renseigner le nom du serveur WSUS et l'heure des mises à jour windows, autoriser la connexion qu'à une certaine heure, etc. Dans notre cas les GPO vont nous permettre d'exécuter un script sans que l'utilisateur ne le sache à l'ouverture de sa session. Ce script consiste à monter un lecteur virtuel X : qui pointera vers son dossier de base. Nous allons tout d'abord créer un script.bat pour permettre le montage de ce lecteur : un simple notepad enregistrer sous changer l'extension en.bat suffi : Net Use X:\\SERVEURAD\Dossier\%username% Le petit script va permettre à l'utilisateur (et ce peu importe l'utilisateur grâce à la variable %username%) d'avoir directement accès à son dossier de base. Nous allons maintenant utiliser l'outil Gestion de stratégie de groupe et se placer sur l'uo
''administration'' : Avec le bouton ''action'' on choisit de créer un GPO avec la première option, il faut ensuite donner un nom à celui-ci. Nous allons maintenant ajouter le groupe ou les utilisateurs pour lesquels nous voulons que l'objet GPO s'applique (dans notre cas le groupe sécurité).
L'objet GPO est donc créé et affecté à un groupe, nous allons maintenant le configurer en cliquant sur le GPO et puis sur modifier : Cela va nous renvoyer vers l'outil d'édition de stratégie de groupe. Il faut ensuite trouver la configuration pour les scripts de démarrage en suivant ce chemin : configuration utilisateur paramètres windows scripts Ouverture de session, puis d'indiquer notre script.bat :
Il faut ensuite re-clic droit pour activer le GPO. En se logant de nouveau avec utilisateur proviseur, on peut voir que le lecteur X:\ c'est monté seul :