La configuration de l'Active Directory¶

1. Objectif du cours¶

Expliquer comment configurer Active Directory Domain Services (AD DS) et promouvoir un serveur en contrôleur de domaine sous Windows Server 2019, et rappeler les bonnes pratiques de sécurité et d'administration liées à AD.

2. Notions et définitions essentielles¶

Active Directory (AD / AD DS) : service d'annuaire Microsoft qui gère et stocke les informations d'un réseau (utilisateurs, ordinateurs, etc.).
Contrôleur de domaine (DC) : serveur qui exécute AD DS, authentifie les utilisateurs et protège/coordonne les données du domaine.
Niveau fonctionnel : paramètre déterminant les fonctionnalités disponibles selon les versions Windows présentes dans la forêt/domaine.
NetBIOS : nom court attribué au domaine pour compatibilité héritée.
Mot de passe de restauration (DSRM) : mot de passe configuré lors de la promotion du DC, utilisé pour restaurer le serveur si nécessaire.
Corbeille AD : fonctionnalité de restauration d'objets introduite en Windows Server 2008 R2.

3. Fonctionnement et principes¶

AD DS agit comme le noyau de l'infrastructure informatique d'une entreprise : il organise utilisateurs, ordinateurs et ressources, et fournit la première couche de sécurité, conformité et automatisation. Le contrôleur de domaine exécute AD DS, réalise l'authentification et applique les politiques. Les erreurs de configuration d'AD sont souvent la porte d'entrée des attaques (élévation de privilèges, mouvements latéraux), d'où l'importance d'un paramétrage rigoureux et d'une maintenance continue (mises à jour, audits). La complexité croissante d'un domaine augmente le risque d'erreurs cumulées ; anticiper conventions et procédures réduit ces risques.

4. Commandes et manipulations¶

(Procédure GUI résumée — regroupe la séquence incontournable présentée dans le document) - Ouvrir Gestionnaire de serveur → Tableau de bord → cliquer sur l'alerte (drapeau/triangle jaune) → "Promouvoir ce serveur en contrôleur de domaine".
- Sélectionner "Ajouter une nouvelle forêt" → définir le nom du domaine racine (ex. STUDI.SRV) → Suivant.
- Définir le mot de passe de restauration (DSRM) et laisser par défaut le niveau fonctionnel si approprié → Suivant.
- Options DNS : ne rien modifier si la délégation est proposée → Suivant.
- Vérifier/ajuster le nom NetBIOS si nécessaire → Suivant.
- Spécifier les chemins d'accès de la base de données AD (laisser par défaut si souhaité) → Suivant.
- Examiner les options puis lancer la vérification de la configuration requise → Installer.
- Après installation : le serveur redémarre automatiquement. À la reprise, s’authentifier avec les identifiants du domaine.

5. Sécurité et bonnes pratiques¶

Renommer le compte Administrateur de domaine par défaut.
Utiliser un mot de passe fort pour l'administrateur de domaine et réserver ces identifiants.
Créer des identifiants dédiés pour les équipes informatiques (séparation des privilèges).
Attribuer des autorisations adaptées : ne pas laisser d'utilisateurs au-dessus des administrateurs de domaine.
Configurer les GPO avec parcimonie : éviter la prolifération d'objets GPO et regrouper les paramètres pertinents ; ne pas utiliser un unique GPO comme stratégie de domaine par défaut.
Exiger des mots de passe utilisateurs complexes ; envisager Windows Hello Entreprise (mentionnée comme idée).
Activer la corbeille AD pour restaurations rapides.
Déployer au moins deux contrôleurs de domaine pour tolérance de panne.
Supprimer les comptes et objets obsolètes régulièrement.
Ne pas installer d'applications/logicielles ou autres rôles sur un contrôleur de domaine.
Définir une convention de nommage avant déploiement (utilisateurs, serveurs, clients, ressources).
Patcher régulièrement les contrôleurs de domaine et planifier les MAJ.
Déployer une solution d'audit pour tracer les modifications.

6. Points essentiels à retenir pour le TSSR¶

AD DS = service d'annuaire ; le contrôleur de domaine exécute ce service.
Toujours configurer un mot de passe de restauration (DSRM) lors de la promotion d'un DC.
Le niveau fonctionnel fixe les fonctionnalités disponibles selon les versions Windows en présence.
Vérifier la bonne configuration du domaine via l'apparition du domaine dans l'écran d'authentification et dans le Gestionnaire de serveur.
Toujours prévoir au moins deux DC pour haute disponibilité.
Ne rien installer sur un contrôleur de domaine (rôle dédié).
Activer la corbeille AD pour faciliter les restaurations.
Renommer le compte Administrateur et utiliser des mots de passe robustes.
Mettre en place des GPO réfléchies, sans prolifération d'objets.
Auditer les modifications et maintenir les patchs à jour.

7. Tableau récapitulatif¶

Élément	Rôle principal	Risque si mal géré	Mesure recommandée
AD DS	Service d'annuaire	Compromission du réseau	Conventions + audits
Contrôleur de domaine	Exécuter AD, authentifier	Point d'attaque critique	Pas d'applications installées
DSRM (mot de restauration)	Restaurer le serveur	Impossible de restaurer	Configurer mot de passe fort
Niveau fonctionnel	Détermine fonctionnalités	Perte de fonctionnalités avancées	Laisser par défaut si doute
Corbeille AD	Restaurations rapides	Perte longue à corriger	Activer (Windows Server 2008 R2+)

8. Vérifications pratiques¶

Après redémarrage post-installation : l'écran d'ouverture de session affiche DOMAIN\Administrateur (ex. STUDI\Administrateur).
Dans Gestionnaire de serveur → Serveur local, le nom du domaine créé apparaît (vérification de la promotion en DC).

9. Flashcards Anki¶

Qu'est-ce que AD DS :: Service d'annuaire Microsoft qui gère et stocke les informations réseau.
Quel serveur exécute l'Active Directory :: Le contrôleur de domaine.
À quoi sert le mot de passe de restauration (DSRM) :: Permet de restaurer le serveur en cas de problème.
Que détermine le niveau fonctionnel :: Les limites des fonctionnalités selon les versions Windows présentes.
Que faire si la délégation DNS est proposée pendant l'installation :: Ne rien modifier (selon le cours).
Où lancer la promotion du serveur en contrôleur de domaine :: Gestionnaire de serveur → Tableau de bord → alerte → Promouvoir ce serveur en contrôleur de domaine.
Que vérifier après le redémarrage post-installation :: L'identifiant s'affiche sous la forme DOMAINE\Administrateur.
Combien de contrôleurs de domaine sont recommandés au minimum :: Au moins deux.
Quelle fonctionnalité permet de restaurer un objet AD sans AD Restore :: La corbeille AD.
Que ne doit-on pas installer sur un contrôleur de domaine :: Logiciels, applications tierces ou autres rôles.