1 — Installation et Configuration Initiale

L’installation de Windows Server nécessite de choisir l’édition (Standard, Datacenter) et le type d’interface. Pour l’administration, il est crucial d’établir une configuration réseau statique.

Installation et choix d’interface

Les deux modes principaux sont :

• Desktop Experience (GUI) : Interface graphique complète, recommandée pour les débutants.
• Server Core (CLI) : Interface en ligne de commande uniquement (PowerShell/CMD). Moins de ressources, plus sécurisé.

Configuration Réseau et Nommage

Un serveur d’infrastructure doit toujours avoir une adresse IP statique. Après l’installation, utilisez l’outil Sconfig (sur Server Core) ou le Gestionnaire de serveur (sur GUI).

Configuration via PowerShell :

# Changer le nom du serveur
Rename-Computer -NewName "SRV-AD-01" -Restart

# Configurer une adresse IP statique
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.1.10 -PrefixLength 24 -DefaultGateway 192.168.1.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("192.168.1.10", "8.8.8.8")

2 — PowerShell Fondamental

PowerShell est le shell et langage de script orienté objet de Microsoft, essentiel pour l’automatisation et l’administration des serveurs.

Cmdlets, Objets et Pipeline

Les commandes PowerShell sont appelées Cmdlets et suivent la convention Verbe-Nom (ex: Get-Service). Elles manipulent des objets structurés (et non du simple texte), qui peuvent être chaînés via le Pipeline (|).

Utilisation du Pipeline (Filtrage et Action)

Le Pipeline permet des actions complexes en une seule ligne. Les cmdlets Where-Object (filtrer) et Select-Object (sélectionner des colonnes) sont essentielles.

# Lister les services arrêtés et les démarrer
Get-Service | Where-Object {$_.Status -eq "Stopped"} | Start-Service

Système d’Aide

Utilisez Get-Help pour obtenir des informations détaillées sur n’importe quelle cmdlet.

# Afficher l'aide complète sur une cmdlet
Get-Help Get-ADUser -Full

# Rechercher des commandes liées au firewall
Get-Command *firewall*

3 — Rôle Active Directory (AD DS)

Active Directory Domain Services (AD DS) est le service d’annuaire de Microsoft qui centralise l’authentification et l’autorisation dans un domaine.

Installation et Promotion du Contrôleur de Domaine (DC)

Un serveur devient Contrôleur de Domaine après l’installation du rôle AD DS. Cette étape est appelée Promotion.

# Installer le rôle AD DS
Install-WindowsFeature -Name AD-Domain-Services

# Promouvoir le serveur en nouveau contrôleur de domaine dans une nouvelle forêt (exemple)
Install-ADDSForest -DomainName "mondomaine.local" -DomainNetbiosName "MON-DOMAINE" -Force

Rôles FSMO (Flexible Single Master Operations)

Les rôles FSMO sont des fonctions critiques qui ne peuvent être exécutées que par un seul contrôleur de domaine à la fois pour éviter les conflits. Les cinq rôles sont :

1. Schema Master (Forêt) : Modifie le schéma d’AD.
2. Domain Naming Master (Forêt) : Ajoute ou supprime des domaines.
3. PDC Emulator (Domaine) : Synchronisation de l’heure et des changements de mots de passe.
4. RID Master (Domaine) : Attribue les blocs d’ID relatifs (RID) pour les nouveaux objets.
5. Infrastructure Master (Domaine) : Met à jour les références d’objets inter-domaines.

4 — Gestion des Utilisateurs, Groupes et OU

L’organisation logique des objets dans AD est primordiale pour appliquer efficacement les GPO et les permissions.

Unités d’Organisation (OU)

Les OU (Organizational Units) sont les conteneurs principaux utilisés pour organiser les utilisateurs, groupes et ordinateurs en fonction de la structure de l’entreprise. Elles sont la cible principale des GPO.

# Créer une nouvelle OU pour les utilisateurs
New-ADOrganizationalUnit -Name "Utilisateurs-France" -Path "DC=mondomaine,DC=local"

Gestion des Utilisateurs

Chaque utilisateur doit avoir un compte qui définit son identité et ses permissions.

# Créer un nouvel utilisateur 'dupontj'
$OU = "OU=Utilisateurs-France,DC=mondomaine,DC=local"
New-ADUser -Name "Jean Dupont" -SamAccountName "dupontj" -Path $OU -AccountPassword (Read-Host -AsSecureString) -Enabled $true

Groupes de Sécurité

Il est fortement recommandé d’utiliser des groupes de sécurité pour attribuer des permissions (règle AGDLP : Accounts dans Groups globaux, dans Domaine Locaux, sur les Permissions).

# Créer un groupe de sécurité
New-ADGroup -Name "GRP_ADMINS_IT" -GroupScope Global -GroupCategory Security

# Ajouter un utilisateur à un groupe
Add-ADGroupMember -Identity "GRP_ADMINS_IT" -Members "dupontj"

5 — Stratégies de Groupe (GPO)

Les GPO (Group Policy Objects) sont le moyen d’appliquer des configurations de sécurité, des restrictions logicielles et des paramètres bureau à des groupes d’utilisateurs ou d’ordinateurs.

Traitement des GPO

L’ordre de traitement des GPO est critique : Local → Site → Domaine → OU. La dernière GPO traitée (l’OU) est celle qui a la priorité.

• Configuration Ordinateur : Appliquée au démarrage et actualisée toutes les 90 minutes.
• Configuration Utilisateur : Appliquée à l’ouverture de session et actualisée toutes les 90 minutes.

Création et Dépannage

La création se fait via la console Gestion de stratégie de groupe. Le dépannage peut être effectué à l’aide de l’outil graphique Résultats de la stratégie de groupe ou des commandes PowerShell.

# Lier une GPO existante à une OU
New-GPLink -Name "GPO_Politique_Mot_de_Passe_Fort" -Target "OU=Comptes,DC=mondomaine,DC=local"

# Forcer une mise à jour immédiate sur un ordinateur distant
Invoke-GPUpdate -Computer "PC-Client-01" -Force

Délégation et Filtrage

Le Filtrage de sécurité permet d’appliquer une GPO uniquement à des groupes de sécurité spécifiques (ex: GPO de Restriction appliquée uniquement au groupe « Utilisateurs Stagiaires »).

6 — Rôles DHCP et DNS

Le DNS et le DHCP sont des rôles réseau fondamentaux, souvent installés sur les Contrôleurs de Domaine.

DHCP (Dynamic Host Configuration Protocol)

Le DHCP attribue dynamiquement les adresses IP, les masques de sous-réseau et les serveurs DNS aux clients.

1. Installation du rôle.
2. Création d’une Étendue (Scope) : Définit la plage d’adresses IP disponibles.
3. Autorisation (Authorization) : Le serveur DHCP doit être autorisé dans Active Directory avant de pouvoir servir des adresses.

# Autoriser le serveur DHCP dans AD
Add-DhcpServerInDC

# Créer la plage DHCP
Add-DhcpServerv4Scope -Name "Scope-LAN-1" -StartRange 192.168.1.50 -EndRange 192.168.1.200 -SubnetMask 255.255.255.0

DNS (Domain Name System)

Le DNS résout les noms lisibles par l’homme (ex: serveur.mondomaine.local) en adresses IP.

• Zones Primaires Intégrées à AD : Les zones DNS sont répliquées automatiquement sur tous les Contrôleurs de Domaine, assurant la redondance.
• Enregistrements SRV : Enregistrements spécifiques à AD qui permettent aux clients de trouver les services critiques (Kerberos, LDAP, etc.).

Utilisez l’outil graphique Gestionnaire DNS ou les cmdlets Get-DnsServer... pour l’administration.

7 — Fichiers, Stockage et Partages

La mise en place de partages réseau sécurisés est essentielle pour le travail collaboratif. La sécurité des fichiers est assurée par deux niveaux de permissions.

Permissions NTFS vs. Permissions de Partage

Les permissions de sécurité effectives sont le résultat de l’intersection des deux :

• NTFS (Local) : Gère les droits d’accès au fichier ou dossier sur le disque local. Ces droits persistent même si le fichier est copié/déplacé.
• Partage (Réseau) : Gère les droits d’accès via le réseau (SMB).

La règle effective est la plus restrictive des deux pour l’utilisateur. Pour la simplicité, les permissions de Partage sont souvent laissées à Tout le monde – Contrôle Total, laissant les permissions NTFS gérer la sécurité réelle.

Création d’un Partage Sécurisé

# Créer le répertoire de données
New-Item -Path "C:PartagesRH" -ItemType Directory

# Appliquer la permission NTFS (Seul le groupe RH_Users a le droit de Modifier)
icacls C:PartagesRH /grant "MON-DOMAINERH_Users":(OI)(CI)M /inheritance:e

# Créer le partage SMB avec les permissions de partage "Tout le monde - Lecture"
New-SmbShare -Name "RH_Partage" -Path "C:PartagesRH" -ReadAccess "Everyone"

(OI)(CI)M : Permet l’héritage pour les Objets et les Conteneurs, avec un droit de Modification.