Active Directory

1. Le lab pour la mise en œuvre des domaines

Voici le premier lab qui sera mis en œuvre dans ce chapitre. Il grandira au fur et à mesure des manipulations abordées, pour atteindre la taille que l’on peut constater dans le schéma avec pas moins de six machines Windows Server.

Il contient deux forêts ecole.com et independants.fr, dans deux réseaux distincts. Le domaine elearning.com sera rattaché au domaine ecole.com.

Le routeur BLR (borderline router) qui fait le lien entre les deux réseaux sera réalisé avec une machine Windows Server, nous verrons ensemble sa configuration. Vous êtes libre d’utiliser d’autres systèmes pour servir de routeur.

Une fois l’architecture entièrement déployée, nous y apporterons quelques modifications pour nous exercer sur les derniers sujets du chapitre.

Mais avant de mettre la main à la pâte et de commencer à déployer des machines virtuelles, nous devons passer en revue certains concepts de base.

2. Domaine racine de la forêt

C’est le premier domaine que l’on crée, il est le parent de tous les autres domaines. On peut distinguer deux utilisations du domaine racine :

1. Création du domaine racine

1. Configuration des DNS

Plusieurs configurations de DNS peuvent permettre de mettre en œuvre des relations d’approbation externes et de forêt :

Dans ce chapitre, des redirecteurs conditionnels seront utilisés.

2. Relation d’approbation de forêt

Une relation d’approbation de forêt se fait entre les deux domaines racines des deux forêts. Elle est forcément transitive vers d’éventuels sous-domaines, et peut être...

1. Introduction aux rôles FSMO

Quand on déploie plusieurs contrôleurs de domaine pour un même domaine, celui qui est installé en premier est dit contrôleur « principal », et tous les autres contrôleurs qui seront mis en œuvre par la suite dans ce domaine seront dits « secondaires ».

Si tous les contrôleurs d’un domaine permettent la gestion des objets Active Directory, seul le contrôleur principal possède au départ certaines fonctionnalités. C’est ce qu’on appelle les rôles FSMO.

L’acronyme FSMO veut dire Flexible Single Master Operation. La base de données Active Directory est basée sur un modèle dit « multimaître » ce qui permet à n’importe quel contrôleur du domaine d’écrire dans la base de données. Cela peut générer des conflits si plusieurs modifications d’un même objet ont lieu en même temps. Il existe un mécanisme pour gérer ces conflits, cela entraîne le fait que le dernier contrôleur de domaine où a eu lieu une modification l’emporte sur les autres. C’est l’approche last writer wins.

Pour autant, certaines modifications ne sont possibles que depuis le serveur qui détient les rôles FSMO, afin d’empêcher les conflits plutôt que d’avoir à les résoudre. C’est un modèle à « maître unique » qui est alors employé. Un exemple de réglage qui ne peut être effectué que depuis un seul contrôleur de domaine est celui on l’on décide quel serveur va être la source d’horloge pour synchroniser l’heure sur tous les serveurs.

Il existe donc cinq rôles FSMO qui remplissent chacun une ou plusieurs fonctions, et qui au départ sont sur le contrôleur de domaine principal. Comme nous le verrons, il est possible de changer les rôles FSMO de serveur, mais ils ne peuvent exister que sur un seul serveur, soit au niveau de la forêt, soit au niveau du domaine.

En résumé, pour certaines opérations l’on va utiliser un modèle à maître unique, mais de manière flexible. Cette façon...

1. Partitions de la base de données

La base de données contient différentes partitions, qui se répliquent de différentes manières selon le cas.

Partition de configuration

Elle est créée à la création de la forêt. Elle contient des informations sur la forêt. La structure de la forêt, les domaines et sous-domaines, les contrôleurs de domaine…

Elle est répliquée dans tous les contrôleurs de domaine de la forêt.

Partition de schéma

La partition du schéma contient la définition de tous les types d’objets que l’on peut créer, ainsi que les règles de création et de manipulation d’objets dans le schéma.

Répliquée dans tous les contrôleurs de domaine de la forêt.

Partition de domaine

Créée lorsque l’on crée un domaine. Elle contient la liste des utilisateurs, des groupes, des OU, et les réglages spécifiques au domaine.

Elle est répliquée sur les contrôleurs de domaine d’un même domaine.

Partitions des applications

Elles sont créées par des applications comme le DNS ou Exchange. Il peut y avoir plusieurs partitions d’application dans la base de données. Il est possible de créer des partitions d’application nous-mêmes.

Pour le DNS, on aura deux partitions d’application :

Il existe plusieurs possibilités pour visualiser les partitions de la base de données Active Directory, nous allons utiliser l’utilitaire ADSIedit.msc

1. Prérequis à la modification du schéma

Il est possible de modifier le schéma, en ajoutant un type d’objet, ou un attribut a un type d’objet déjà existant. Toute modification du schéma doit être faite à partir du serveur qui a le rôle maître du schéma.

Pour savoir quel serveur a le rôle, nous avons déjà vu la commande :

netdom query fsmo 

Mais il aussi possible de le faire en PowerShell. La commande suivante nous donnera le nom du serveur qui est le maître du schéma :

Get-ADForest | Select-Object name, schemamaster 

Il est aussi possible de faire une commande pour voir quels rôles FSMO a le serveur sur lequel on se trouve :

Get-ADDomainController | Select-Object OperationMasterRoles 

Pour pouvoir modifier le schéma, il faut s’être authentifié avec un compte qui appartient aux groupes administrateurs de l’entreprise et administrateurs du schéma.

Pour visualiser et effectuer...

1. Vérification de la réplication

Ce dossier est répliqué dans les contrôleurs de domaine, et l’on évite d’y mettre d’autres types de données pour ne pas allonger les temps de réplication....

1. Concepts de base

Les sites Active Directory sont une fonctionnalité qui a pour but de gérer les domaines étendus sur plusieurs emplacements physiques, comme entre plusieurs villes. Cela sous-entend qu’une connectivité réseau est établie, par exemple avec des VPN site à site.

Ils servent notamment à régler la réplication de la base de données Active Directory entre des sites physiques distants. Il est aussi possible de lier des GPO à un site.

Grâce aux sites Active Directory, on peut donc créer et gérer une topologie de réplication, qui peut être différente de la topologie réseau, entre plusieurs emplacements physiques. Par défaut, il n’y a qu’un seul site Active Directory et tous les contrôleurs de domaine sont dedans.

Dans Windows Server il y a une console de gestion dédiée aux sites, on peut y accéder par le menu Start - Windows Administrative Tools - Active Directory Sites and Services.

À l’ouverture de la console, on peut voir le site par défaut qui s’appelle Default-First-Site-Name et les contrôleurs de domaine qui sont dedans.

Lorsque l’on ajoute des contrôleurs de domaines dans un domaine, un processus appelé KCC (Knowledge Consistency Checker) va créer automatiquement des objets de connexion, sur les contrôleurs de domaine, et ces objets vont être utilisés pour la réplication. 

Chaque contrôleur de domaine a ainsi un objet de connexion pour chaque autre contrôleur du domaine.

On peut voir ces objets de connexion dans le profil Active Directory d’un serveur/onglet Général/NTDS settings/Connections. Ils sont générés automatiquement, mais peuvent aussi être créés à la main, ou édités. Si les objets de connexion sont créés à la main ou édités, alors ils ne seront plus gérés par le KCC. Ils représentent la réplication entrante venant d’un autre serveur.

En plus de gérer les connexions, le KCC va aussi gérer les topologies de réplication à l’intérieur d’un site et entre différents sites.

1. Peupler Active Directory

New-ADOrganizationalUnit 

New-ADUser 

Il y a beaucoup d’options disponibles pour cette commande puisqu’elle reprend ce qu’on peut mettre dans le profil Active Directory d’un utilisateur.

Dans notre exemple, nous commençons par déclarer une variable qui contiendra le mot de passe. Pour remplir cette variable, le système va nous donner la main pour taper le mot de passe, qui sera caché à l’écran puis qu’il s’agira d’une chaîne de caractères sécurisée.

Pour le reste des options, on retrouve les deux logins SamAccountName et UserPrincipalName, seul le SamAccountname est obligatoire....