Configuration du serveur de fichiers selon le schéma AGDLP¶
1. Objectif du cours¶
Présenter la méthode AGDLP pour organiser les accès aux partages Windows et guider la création d'un partage, la mise en place d'OU et de groupes, puis l'affectation des droits via NTFS.
2. Notions et définitions essentielles¶
- AGDLP : Account (compte), Global (groupe global), Domain Local (groupe local de domaine), Permission (autorisations).
- Partage SMB - Rapide : assistant Windows pour créer rapidement un partage SMB.
- Énumération basée sur l'accès : option qui masque les fichiers/dossiers non autorisés à un utilisateur.
- Héritage (permissions) : mécanisme où un objet reçoit les autorisations de son parent ; peut être désactivé.
- NTFS : système de fichiers permettant de définir des autorisations fines sur dossiers/fichiers.
3. Fonctionnement et principes¶
- Principe AGDLP : placer les comptes (A) dans des groupes globaux (G). Ces groupes globaux sont membres de groupes locaux de domaine (DL) auxquels on attribue ensuite les permissions sur les ressources (P) via NTFS. Cela externalise la gestion des accès vers l'annuaire.
- Avantage : centralisation des rôles, simplification des modifications (changer appartenance à un groupe modifie l'accès), meilleure sécurité si NTFS est correctement paramétré.
- Flux logique : créer le partage → organiser les dossiers (représentant les groupes G) → créer OU et groupes DL dans l'AD → imbriquer G dans DL → appliquer permissions NTFS aux DL.
4. Commandes et manipulations¶
(Procédures GUI essentielles présentées dans le PDF) - Créer un partage : - Gestionnaire de serveur → Services de fichiers et de stockage → Partages → Nouveau partage → choisir "Partage SMB - Rapide". - Sélectionner "Tapez un chemin personnalisé" → Parcourir → Nouveau dossier → Sélectionner le dossier → Nom du partage → Copier le chemin réseau (ex. \SRV-STUDI\Partage). - Activer "Énumération basée sur l'accès" → Personnaliser les autorisations → Désactiver l'héritage → choisir "Convertir les autorisations héritées en autorisations explicites" → Créer. - Créer OU et groupes AD : - Gestionnaire de serveur → Outils → Utilisateurs et ordinateurs Active Directory → clic droit sur le domaine (SRV.STUDI) → Nouveau → Unité d'organisation. - Dans l'OU : Nouveau → Groupe → choisir étendue "Domaine local" pour les groupes locaux de domaine. - Pour ajouter un groupe global dans un groupe DL : Propriétés du groupe global → Onglet "Membre de" → Ajouter le groupe DL. - Affecter permissions NTFS : - Dans le dossier partagé → clic droit → Propriétés → Onglet Sécurité → Avancé → Ajouter → Sélectionnez un principal (nom du groupe DL) → cocher l'autorisation de base souhaitée (ex. Modification ou Lecture et exécution) → Appliquer → OK.
5. Sécurité et bonnes pratiques¶
- Activer l'énumération basée sur l'accès pour ne pas afficher aux utilisateurs les ressources auxquelles ils n'ont pas droit.
- Désactiver l'héritage lorsque l'on souhaite définir des permissions explicites sur un objet ; choisir de convertir les autorisations héritées en permissions explicites si on veut garder les réglages précédents.
- Structurer les accès via AGDLP (groupes globaux → groupes locaux de domaine → NTFS) pour limiter les changements directs sur les ressources et améliorer la gestion des droits.
- Veiller à appliquer les droits sur les groupes DL (et non directement sur des comptes) pour maintenir la politique de rôle.
6. Points essentiels à retenir pour le TSSR¶
- AGDLP = comptes → groupes globaux → groupes locaux de domaine → permissions NTFS.
- Utiliser les groupes DL pour attribuer les droits sur les ressources, pas des comptes individuels.
- Créer l'OU dédiée pour regrouper les groupes de domaine local liés aux partages.
- Choisir "Partage SMB - Rapide" pour un partage simple sur Windows ; d'autres options existent selon besoins.
- Activer l'énumération basée sur l'accès pour améliorer la confidentialité des partages.
- Désactiver l'héritage et convertir les autorisations héritées si on veut des permissions explicites sur l'objet.
- Les autorisations NTFS se gèrent depuis l'onglet Sécurité → Avancé du dossier.
- Vérifier l'appartenance des groupes via les propriétés "Membre de" avant d'appliquer les NTFS.
- Affecter "Modification" aux groupes de travail qui doivent écrire ; "Lecture et exécution" pour accès lecture seul.
- Confirmer la présence du partage dans Services de fichiers et de stockage après création.
7. Tableau récapitulatif¶
| Élément | Rôle / usage | Exemple dans le cours | Remarque |
|---|---|---|---|
| Compte (A) | Identité utilisateur | Utilisateurs du domaine | S'intègre dans les groupes globaux |
| Groupe Global (G) | Représente un rôle | Programmeur, Tech | Regroupe les comptes |
| Groupe Domaine Local (DL) | Délivre l'accès aux ressources | Programmeur Modif, Tech LecEx | Cible des permissions NTFS |
| Partage SMB - Rapide | Création de partage simple | Utilisé pour démonstration | Autres : SMB-Avancé, SMB-Application |
| Énumération basée sur l'accès | Sécurité d'affichage | Activée dans l'assistant | Cache les éléments non autorisés |
8. Vérifications pratiques¶
- Vérifier que le partage apparaît dans Gestionnaire de serveur → Services de fichiers et de stockage → Partages.
- Vérifier le chemin réseau du partage (ex. \SRV-STUDI\Partage) dans les paramètres du partage.
- Contrôler l'appartenance des groupes : dans Utilisateurs et ordinateurs AD, ouvrir Propriétés → "Membre de" pour confirmer l'ajout de G dans DL.
- Confirmer l'application des droits NTFS : clic droit sur le dossier → Propriétés → Onglet Sécurité, vérifier que l'autorisation (Modification ou Lecture et exécution) apparaît pour le groupe DL.
9. Flashcards Anki¶
Que signifie AGDLP ? :: Account, Global, Domain Local, Permission Quel type de groupe contient les comptes représentant un rôle ? :: Groupe Global Sur quel type de groupe faut-il attribuer les permissions NTFS ? :: Groupe de domaine local Quels types de partages SMB sont mentionnés ? :: SMB - Rapide, SMB - Avancé, SMB - Application Que fait l'« énumération basée sur l'accès » ? :: Cache les fichiers et dossiers non autorisés à l'utilisateur Où retrouve-t-on le chemin réseau du partage ? :: Dans l'assistant Nouveau partage (chemin d'accès distant au partage) Quelles sont les deux options proposées lors de la désactivation de l'héritage ? :: Convertir les autorisations héritées en explicites ou supprimer toutes les autorisations héritées Dans quel onglet Windows se paramètrent les autorisations NTFS ? :: Onglet Sécurité (Propriétés du dossier) Quelle autorisation a été appliquée au dossier « Programmeur Modif » dans l'exemple ? :: Modification Quelle autorisation a été appliquée au dossier « Tech Lecture » dans l'exemple ? :: Lecture et exécution