TP02 - Administration des comptes d utilisateurs

TP02 - Administration des comptes d utilisateurs 1. Complément de configuration de votre serveur Avant toute chose, il faut vérifier s il y a des erreurs dans l'observateur d'événements (qui se trouve dans les OUTILS D AMINISTRATION) et essayer de les corriger le cas échéant. Vérifier également qu'il n'y a pas de conflits avec certains périphériques. Lors du premier démarrage de WS2008, la fenêtre de configuration du serveur s ouvre. Il est possible de fermer cette fenêtre pour le configurer ultérieurement avec la commande Démarrer Programmes Outils d'administration Configurer votre serveur. Rappels Dans le TP01, vous avez installé WS2008 avec Active Directory ainsi que le service DNS. Qa : Que signifie DNS? A quoi cela sert-il? Ra Le Domain Name System (ou DNS, système de noms de domaine) est un service permettant de traduire un nom de domaine en informations de plusieurs types qui y sont associées, notamment en adresses IP de la machine portant ce nom. Role : Les ordinateurs connectés à un réseau IP, comme Internet, possèdent une adresse IP. Ces adresses sont numériques afin d'être plus facilement traitées par une machine. En IPv4, elles sont représentées sous la forme xxx.xxx.xxx.xxx, où xxx est un nombre variant entre 0 et 255 (en système décimal). En IPv6, les IP sont de la forme xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx, où x représente un caractère au format hexadécimal. Pour faciliter l'accès aux systèmes qui disposent de ces adresses, un mécanisme a été mis en place pour permettre d'associer un nom à une adresse IP, plus simple à retenir, appelé nom de domaine. Résoudre un nom de domaine consiste à trouver l'adresse IP qui lui est associée. Les noms de domaines peuvent être également associés à d'autres informations que des adresses IP. Configuration de la passerelle par défaut Dans le TP01, vous avez également configuré les paramètres de connexion à Internet (Adresse IP de la carte réseau, passerelle par défaut et indication du proxy dans le navigateur). Rappelons que pour configurer la passerelle, il faut aller dans le menu Démarrer Panneau de configuration Réseau et Internet Centre réseau et partage. Activer l option «Modifier les propriétés de la carte» et sélectionner la carte réseau dont vous souhaitez modifier les paramètres. Aller ensuite dans les propriétés de la carte et choisissez le protocole Internet (TCP/IPv4). Qb : Avec vos connaissances actuelles, essayez d expliquer le rôle de la «passerelle» : Rb En informatique, une passerelle (en anglais, gateway) est le nom générique d'un dispositif permettant de relier deux réseaux informatiques de types différents, par exemple un réseau local et le réseau Internet. Ainsi, un répéteur est une passerelle de niveau 1 ; un pont, une passerelle de niveau 2 ; et un relais, une passerelle de niveau 3. Qc : En fonction de tout ce qui a été fait jusqu à maintenant, quels sont, d après vous, les paramètres réseau qui sont absolument nécessaires pour qu une machine puisse se connecter à un réseau local (celui du Alexa STROZZI / Georges ESQUIROL Page 1

lycée par exemple)? Rc Il lui faut une adresse IP avec une passerelle et pour se connecter à internet une adresse DNS. 2. Les comptes d utilisateurs Etant donné que le serveur gère un domaine grâce à Active Directory, nous allons donc créer des comptes d'utilisateurs de domaine (ces comptes résident dans le service d'annuaire Active Directory). Vous travaillerez sur votre serveur en tant qu administrateur. Créez l arborescence suivante à la racine de la partition où est installé WS2008 (C: en général) : C : Lycee -> Profs Remarque importante : -> Eleves -> BTS1 Respectez la casse (pas d accent)!!! -> BTS2 -> Reseau -> Developpeur -> Commun Partagez le dossier «Lycée» et faites en sorte qu il soit accessible en lecture au groupe «Tout le monde». Q1 : a) Quelles sont les opérations nécessaires au partage de ce dossier (comment accède-t-on au partage)? A B C R1 b) Quels sont les utilisateurs qui peuvent, par défaut, accéder à ce dossier et avec quel niveau d autorisation? c) Comment faire pour que le groupe «Tout le monde» puisse avoir le droit de lecture sur ce dossier? A- Il faut aller dans les propriétés du dossier puis «Partager» cliqué sur «Ajouté» selectioné «Tous le monde» B- L administrateur a un contrôle total et l utilisateur a le droit de lecture et d exécution et d affichage du contenue C- Il faut ajouter le groupe «tout le monde» puis ajouté en partage le groupe puis donner tous les droits Q2 : Quel est l enchaînement des menus pour gérer les utilisateurs d un domaine Active Directory? R2 Domaine SIO04.net, Builtin, Computeur, Domaine Contollers, Foreign Security Principale, Managed service Accounts, Users Activez ce menu et développez votre Domaine (petit carré avec un «+»). Sélectionnez le répertoire «Users». Vous allez créer des comptes d'utilisateurs pour chaque groupe d'élèves et des comptes pour les professeurs en respectant toutes les consignes décrites ci-dessous. Pour créer des utilisateurs vous avez deux façons de faire. Soit vous passer par le menu, onglet ACTION puis NOUVEAU et enfin UTILISATEUR. Soit vous faites un clic droit dans la partie droite (celle où apparaissent des utilisateurs déjà existants) puis dans le menu contextuel sélectionner NOUVEAU et enfin UTILISATEUR. L assistant de création d utilisateur se lance. Créez 2 comptes d utilisateurs en BTS1 ayant pour prénom mais aussi pour nom d ouverture de session «bts1a» et «bts1b». Ne mettez Nts pas de mot de passe et faites en sorte qu il soit changé à la prochaine ouverture de session, vous utiliserez à ce moment là bts1a et bts1b comme mot de passe (ne pas utiliser Alexa STROZZI / Georges ESQUIROL Page 2

autre chose!!). Vous risquez d avoir un problème avec les mots de passe. Ce n est que le début!! Voir la suite. Vous allez devoir examiner «la stratégie de sécurité de WS2008». Il existe dans WS2008 une stratégie de sécurité qui se nomme «Default Domain Policy» qui est appliquée par défaut. Pour y accéder on peut : passer par Outils d administration / Gestion des stratégies de groupe passer par Démarrer / Exécuter et taper «gpmc.msc» Ces deux chemins d accès ont le même effet : ouvrir l assistant de gestion des stratégies de groupes. Testez les 2. Une fois la console de gestion ouverte, sélectionnez la stratégie «Default Domain Policy» puis faites un clic droit et enfin Modifier. Dans la partie de gauche de la console, aller dans Configuration ordinateur / Stratégie / Paramètres Windows puis dans Paramètres de sécurité / Stratégie de comptes / stratégie de mot de passe et répondez à la question suivante : Q3 : Quels sont les différents éléments de la stratégie de mot de passe et les paramètres associés? R3 Eléments de la STRATEGIE Paramètres de la stratégie Concerver l historique des mots de passe Durée de vie maximale du mot de passe Durée de vie minimal du mot de passe Enregistrer les mots de passes en uitilisant un chiffrement reversible Le mot de passe doit respecter des exigences de complexitée Longeur minimal du mot de passe Dans le cadre du TP, très différent de ce que vous rencontrerez en entreprise, nous allons simplifier les contraintes en matière de sécurité. Modifier les deux derniers paramètres de la stratégie des mots de passe : Désactiver les exigences de complexité, Passer la longueur minimale à 0 caractères La mise à jour de la stratégie par Windows n est pas forcément immédiate. Pour quelle soit prise en compte immédiatement, taper «gpupdate /force» dans une fenêtre d invite de commande. (Commande à retenir!!!!) Reprendre et poursuivre la création des comptes d utilisateurs : Créez 2 comptes en BTS2 option Développeur : dev1 et dev2 (mettez le nom de login en mot de passe, ces deux utilisateurs ne doivent pas pouvoir modifier leur mot de passe), Créez 2 comptes en BTS2 option R1béseaux : res1 et res2 (choisissez comme mot de passe également le login, en précisant que le mot de passe n expire jamais et qu il ne peut pas être modifié) Faites vérifier cette première étape par le professeur! Pour les comptes profs (prof1, prof2 et prof3), vous mettrez aussi le nom comme mot de passe et vous préciserez également que le mot de passe n expire jamais et qu il ne peut pas être modifié. Créez le compte «prof1». Ensuite, aller dans les propriétés du compte (ou double clic sur le compte) et grâce aux différents onglets, ajouter une Adresse (Lycée Aubanel), une ville (Avignon), N téléphone domicile (04.01), N téléphone mobile (06.01), l Organisation (Fonction : Certifié ; Service : BTS IG). Vous avez la possibilité de copier un compte utilisateur pour éviter la ressaisie de certaines informations (voir page suivante). Utilisez à chaque fois un prénom, un login (nom ouverture de session) et un mot de passe identiques, ce sera plus simple à retenir! Créez les 2 autres comptes des professeurs en faisant une copie du compte «prof1». Pour cela, aller dans le Alexa STROZZI / Georges ESQUIROL Page 3

menu contextuel du compte (clic droit) et faire «copier». Q5 : Notez, dans le tableau ci-dessous, les informations qui sont copiées d un compte à l autre et celles qui ne le sont pas : R5 Informations copiées Information divers Informations non copiées, à ressaisir Prénom, nom, nom de la session, MDP Q6a : Est-il possible sous WS2008 de ne pas mettre de mot de passe à la création d un compte R6a Oui cela est possible Q6b: A votre avis, que peut-il se passer si vous ne mettez pas de mot de passe à un utilisateur lors de création, quel problème cela peut-il engendrer? R6b Le compte ne sera pas sécurisé, tout personne pourra ouvrir la session Une fois tous les comptes créés, vous pouvez modifier les options d un compte en double cliquant sur le compte de l utilisateur voulu (ou avec clic droit + propriétés). Voici la description des principaux onglets de la boîte de dialogue ouverte. Indiquer le nom de l onglet en fonction des attributs auxquels on accède : Onglet Attributs accessibles General Nom de l utilisateur ; description, etc. Adresse Adresse postale complète. Compte Indique le nom d ouverture de session de l utilisateur, options et date d expiration Profil Indique le chemin d accès du profil de l utilisateur et de son répertoire de base. Membre Permet d indiquer les groupes auxquels appartient l utilisateur. Appel Entrant Définit les autorisations d accès à distance, les options de rappel, etc. Envoronenement Définit les applications qui seront automatiquement exécutées à l ouverture session Contrôle a distance Définit les paramètres des services Terminal Server Bureau virtuel Définit les paramètres de contrôle à distance des services Terminal personnel Server Profil des services Définit le profil d utilisateur des services Bureau a Distance Bureau a Distance De façon plus générale, seuls les attributs fréquemment utilisés et non personnels sont transférés vers l utilisateur copié. Alexa STROZZI / Georges ESQUIROL Page 4

Permettre aux élèves de BTS1 de ne travailler que de 8h à 12h et de 14h à 16h du lundi au vendredi, aux développeurs de 8h à 18h tous les jours sauf le dimanche et pour les réseaux et les profs tout le temps. Q7 : Chercher et indiquer comment on arrive à la fenêtre de configuration des horaires d accès. R7 Propriété de l utilisateur > Compte > Horaires d accès Faites les modifications demandées. Faire vérifier les plages horaires par le Prof! Pour répondre aux questions 8 et 9 attendre la fin du TP. Essayez de donner une réponse provisoire. Q8 : Que se passe-t-il si un utilisateur essaie de se connecter alors qu il n est pas dans son créneau horaire d accès? (Si nécessaire, modifier les horaires et faites un essai. Fermer la session administrateur et ouvrir ensuite une nouvelle session avec le compte utilisateur concerné). R8 Q9 : Que se passe-t-il si son horaire est dépassé alors qu il est déjà connecté? R9 Vous allez maintenant créer le «dossier de base» de chaque utilisateur (Cela correspond à son dossier ou répertoire personnel sur le serveur). Pour vous aider, consulter l aide en ligne de WS2008. Q10 : Dans quel onglet des propriétés de l utilisateur peut-on définir ce dossier de base? R10 Propriété > Profil Aller dans le répertoire «Lycee\Eleves\BTS1». Est-ce que des fichiers s y trouvent? Non Ensuite, aller dans les propriétés de l élève «bts1a», puis dans la zone intitulée «Dossier de base» et sélectionner Connecter. Choisir la lettre qui permettra ensuite d accéder à ce répertoire, ici «Z :» et saisir (par exemple pour le serveur01) : \\Serveur01\Lycee\Eleves\BTS1\%username% Attention : Un message d erreur peut apparaître indiquant qu un dossier n est pas partagé ou que vous ne disposez pas des droits nécessaires. N oubliez pas que vous êtes connecté en tant qu administrateur. Vérifier les droits de partage sur le dossier «Lycee» si nécessaire. Sinon, poursuivez normalement le TP. Une fois que la commande s exécute correctement, retourner dans le répertoire «Lycee\Eleves\BTS1». Q11 : Est-ce qu il y a des changements par rapport à l étape précédente? si oui, lesquels? R11 Oui le dossier bts1a a était crée Q12 : Quel est l intérêt d utiliser le %username% dans la commande de création du dossier de base? R12 Il nomme un dossier par le nom d utilisateur Q13a : A quoi sert le dossier de base? R13a A crée des dossiers de partages Vérifiez que les répertoires de base sont effectivement crées pour tous les comptes. Faire vérifier par le Prof! Alexa STROZZI / Georges ESQUIROL Page 5

Faites expirer les comptes des BTS 2 à la fin de l année scolaire et ceux des BTS 1 dans 2 ans. Q13b : Quel onglet et quelle zone permettent de faire cela? R13b Compte Faire vérifier par le Prof! 3. Les comptes de groupes Puisque vous avez installé les services de domaine Active Directory (AD DS), il est fortement conseillé de vous reporter au cours («Synthèse sur l administration des comptes sous WS2008») ainsi qu à l aide en ligne de Windows intitulée «Aide et support» accessible depuis le menu Démarrer en recherchant par exemple la rubrique «gestion des groupes» puis «présentation des groupes». Q14 : A l aide des supports cités ci-dessus, indiquez les 3 principales utilisations des groupes dans AD DS. R14 - Simplifier administration en effectuant des autrorisations sur des ressources partagé à groupe u a un plutôt qu à des utilisateurs individuellement - Déléguer l administration en effectuant des droits d utilisateur à un groupe à l aide de la stratégie de groupe - Crée des listes de distribution électronique Les groupes se caractérisent par leur étendue et leur type. L étendue d un groupe détermine le degré d application du groupe au sein d un domaine ou d une forêt. Le type de groupe détermine si vous pouvez utiliser un groupe pour attribuer des autorisations depuis une ressource partagée (pour les groupes de sécurité) ou pour réserver l utilisation d un groupe à des listes de distribution électronique (pour les groupes de distribution). Q15 : Quelle est la différence essentielle entre les groupes de sécurité et les groupes de distributions? R15 Les groupes de distribution servent pour des applications de messagerie pour envoyer du courier electronique, ils ne sont pas securisé ils peuvent donc être répertorié dans les liste de contrôle d accès. Les groupes de securité servent a affecter des autorisations à des ressources partagées. Vous créerez par la suite que des groupes de sécurité. N oubliez pas que chaque type de groupe de domaine est pourvu d un attribut (l étendue) qui identifie dans quelle mesure les droits du groupe s appliquent au domaine ou à plusieurs domaines. Q16 : Quel est l enchaînement du menu Programmes pour gérer les groupes? R16 Outils Administrations> Gestion des stratègies de groupe Créez les 4 groupes globaux (groupes d étendue globale) de type «Sécurité» : Profs, BTS1, BTS2D et BTS2R (dans «Users») et ajoutez à ces groupes les membres correspondants. Intégrer également les profs dans les groupes d élèves qu ils ont en classe (voir tableau ci-après). Profitez de ce travail pour différencier les icones qui représentent les utilisateurs et les groupes. Alexa STROZZI / Georges ESQUIROL Page 6

Groupes Utilisateurs Profs BTS1 BTS2D BTS2R => prof1, prof2 et prof3 => bts1a, bts1b et prof3 => dev1, dev2 et prof1 => res1, res2, prof1 et prof2 On peut intégrer un utilisateur dans un groupe de 2 façons : A partir du groupe ou à partir du compte utilisateur. Procéder selon les deux possibilités (pour les groupes Profs et BTS1 d une façon et pour les 2 autres groupes de l autre façon). Afin de pouvoir attribuer des droits sur les dossiers «Commun et BTS2», situés sur votre machine, donc en local, créez 2 groupes de domaine local «Utiliser Commun» et «Utiliser BTS2», toujours dans «Users». Vous ajouterez les quatre groupes globaux, créés précédemment, dans «Utiliser Commun» et seulement les groupes BTS2D, BTS2R ainsi que les utilisateurs «prof2» et «prof1» dans «Utiliser BTS2». Groupe local Groupes globaux membres du groupe local Utilisateurs membres du groupe local Utiliser Commun BTS1 ; BTS2D ; BTS2R ; Profs Aucun Utiliser BTS2 BTS2D ; BTS2R prof1 ; prof2 Un groupe global, c est à dire un groupe ayant une étendue globale, peut se voir accorder des autorisations sur des ressources situées dans tous les domaines. Toutefois, ce groupe ne peut contenir que des membres provenant du domaine dans lequel on l a créé. Q17 : Que peut contenir un groupe global? (quels types d objets? voir la synthèse le cours) R17 Ils peuvent inclure d autre groupe et compte provenant du même domaine auquel ils apartiennent. CCrée Crée des r objets d annuaire qui ont besoin d une maintenance quotidienne. Un groupe de domaine local est l inverse d un groupe global, en ce sens que ses membres peuvent provenir de n importe quel domaine, mais on ne peut lui accorder des autorisations que sur des ressources du domaine dans lequel on l a créé. Q18 : Que peut contenir un groupe local? (quels types d objets? voir la synthèse le cours) R18 Il permet de definir et de géré l accès aux ressources dans un seul domaine ces groupes peuvent contenir des groupe etendue universel local des comptes et un combinaison de tous ses éléments Un groupe universel peut se voir doté de permissions sur des ressources de plusieurs domaines. Q19 : Que peut contenir un groupe universel? (quels types d objets? voir la synthèse le cours) R19 Ils peuvent inclure d autre groupe et compte provenant des domaines de la fôret ou de l arboressance et peuvent recevoir des autorisations de n importe quel domaine de la fôret et de l aborescance. Alexa STROZZI / Georges ESQUIROL Page 7

Groupes intégrés et groupes prédéfinis d un domaine Lorsqu un ordinateur devient contrôleur de domaine, WS2008 crée automatiquement ces types de groupes dans la console «Utilisateurs et ordinateurs Active Directory» et met ainsi à disposition des groupes par défaut. Ces groupes détiennent des droits prédéterminés qui définissent les tâches systèmes que les membres de ces groupes peuvent réaliser. Les groupes prédéfinis pourvus d une étendue globale sont situés dans le dossier «Users». Les groupes intégrés pourvus d une étendue de domaine local sont situés dans le dossier «Builtin». Dans l arborescence de votre domaine, examiner le contenu des répertoires «Builtin» et «Users». Vous remarquerez que l icône représentant un groupe a deux têtes (alors que l icône d un utilisateur n a qu une seule tête ). Groupes de domaine local intégrés. Ces groupes procurent aux utilisateurs des droits et autorisations leur permettant de réaliser des tâches sur des contrôleurs de domaines et dans Active Directory. Les groupes de domaine local intégrés sont uniquement situés sur des contrôleurs de domaine. Vous ne pouvez pas supprimer ces groupes. Ils sont situés dans le dossier «Builtin» Q20a: Indiquez les groupes, contenus dans le dossier «Builtin», qui vous paraissent importants: R20 a Q20b : Donnez la description des groupes suivants (contenus dans le dossier «Builtin» ): R20b Administrateurs : Opérateur de serveur : Il dispose d un accès complet et illimité à l ordinateur et du domaine. Les menbres peuvent administrer les serveurs de domaine Groupes globaux prédéfinis. Ces groupes permettent aux administrateurs de contrôler facilement tous les utilisateurs appartenant à un domaine. Les groupes globaux prédéfinis sont uniquement situés sur des contrôleurs de domaine. Ils sont situés dans le dossier «Users». Alexa STROZZI / Georges ESQUIROL Page 8

Q21 : Indiquez les groupes prédéfinis contenus dans le dossier «Users» concernant plus particulièrement les administrateurs et le DNS: R2 1 4. Connexion au domaine Afin de pouvoir tester et utiliser les comptes (utilisateurs et groupes) qui viennent d être créés, il va falloir se connecter à votre domaine. Votre serveur étant configuré en tant que contrôleur de domaine (grâce à Active Directory), c est lui qui va authentifier et autoriser les utilisateurs à se connecter à votre domaine. Avant de se connecter à partir d un poste client (Windows7 ou XP), vous allez vérifier l accès direct au contrôleur de domaine (Windows Serveur 2008). Pour cela, fermez la session administrateur et ouvrez une nouvelle session avec un «autre utilisateur» et un compte qui vient d être créé : par exemple res1 (dont le mot de passe doit être res1). Q22 : Que se passe t-il? R22 Inpossible de se connecter aux comptes car le mot de passe et le nom d utilisateur est incorect Q23 : D après vous, comment peut-on expliquer cela? Que peut-on faire? R23 Car l utilisateur n a pas d autorisation à se connecter au serveur Vous allez maintenant vous connecter à votre domaine à partir du poste client (Windows7). Important : pour pouvoir effectuer cette opération, vérifiez que la carte réseau du poste client ait bien une adresse IP statique et surtout que l adresse IP du «Serveur DNS préféré» correspond à l adresse IP de votre contrôleur de domaine qui est également serveur DNS. (Metre l adresse ip du serveur ) Pour joindre le poste client au domaine, allez dans les propriétés du poste de travail et regardez attentivement la zone intitulée «Paramètres de Nom de l ordinateur, de domaine et de groupe de travail». Alexa STROZZI / Georges ESQUIROL Page 9

Activer le bouton Modifier les paramètres afin de pouvoir joindre votre poste client à un nouveau domaine. Dans la nouvelle fenêtre, allez dans la zone «Pour renommer cet ordinateur ou changer de domaine», et activez le bouton Modifier. Dans la zone «membre d un» sélectionnez alors le bouton «Domaine» et taper le nom de votre domaine (DomaineXX.net). Une fenêtre demande de vous authentifier auprès du contrôleur de domaine. Saisir le login et le mot de passe de l administrateur du domaine. Après une petite attente, votre entrée dans le domaine est validée par le message «Bienvenue dans le domainexx.net.». Sur votre contrôleur de domaine, allez dans «Utilisateurs et ordinateurs Active Directory» puis dans le dossier «Computers». Q24 : Que constatez-vous? R24 On remarque le nom de l ordinateur avec lequel on s'est connecté Redémarrer le poste client et ouvrir une session avec l un des utilisateurs (par exemple res2, et non res1 auquel vous avez attribué un rôle sur le contrôleur,). La première connexion au domaine peut être assez longue. Patience. Une fois la session ouverte, allez dans le poste de travail. Normalement un nouveau lecteur réseau doit être présent. Ce lecteur pointe sur le répertoire de base de l utilisateur (ici res2). Créer un fichier texte à partir du poste client et vérifier sur le contrôleur de domaine que le fichier est bien créé et que vous pouvez (en tant qu administrateur) lire et modifier ce fichier. Vous pouvez maintenant répondre aux questions 8 et 9!!! Alexa STROZZI / Georges ESQUIROL Page 10