Documentation technique

W05 - Windows en entreprise et Active Directory

4 min de lecture

W05 - Windows en entreprise : Active Directory (bases)

Objectif

Comprendre pourquoi une entreprise utilise Active Directory, et monter un contrôleur de domaine de labo sur Windows Server avec DNS et DHCP, puis y joindre un poste Windows 11.

1. Le problème des postes isolés

Sans annuaire, avec 50 PC : 50 comptes à créer sur chaque PC, 50 mots de passe à changer partout, aucune règle de sécurité commune, aucun inventaire. Impossible à gérer.

Active Directory (AD DS) = l’annuaire centralisé de Microsoft : un compte unique par personne, valable sur tous les PC du domaine, et des règles (GPO) appliquées automatiquement.

NotionDéfinitionExemple
DomaineEnsemble d’objets gérés ensemblesio.lan
Contrôleur de domaine (DC)Serveur qui héberge l’annuaire et authentifieSRV-AD01
Forêt / arbreEnsemble de domainesForêt sio.lan
OU (unité d’organisation)Dossier pour ranger les objets et leur appliquer des GPOOU=Compta
ObjetUtilisateur, groupe, ordinateur, imprimantejdupont
GPOStratégie de groupe : règles appliquées aux OUFond d’écran, mot de passe de 12 caractères min.
LDAPProtocole d’interrogation de l’annuaire (389/636)
KerberosProtocole d’authentification (88)Tickets
flowchart TB
  F["Forêt sio.lan"] --> D["Domaine sio.lan"]
  D --> OU1["OU Utilisateurs-SIO"]
  D --> OU2["OU Ordinateurs-SIO"]
  D --> OU3["OU Groupes-SIO"]
  OU1 --> U1["👤 jdupont"]
  OU1 --> U2["👤 amartin"]
  OU2 --> P1["💻 PC-COMPTA-01"]
  OU3 --> G1["👥 GG-Compta"]
  U1 -.membre de.-> G1
  GPO["📜 GPO « Sécurité postes »"] -.liée à.-> OU2

2. Avantages

AvantageConcrètement
Authentification centraliséeUn identifiant pour tous les PC, messagerie, Wi-Fi, VPN…
Gestion par groupesDroits donnés à un groupe, pas à 50 personnes
GPOConfiguration et sécurité imposées à tout le parc
SécuritéDésactiver un compte = accès coupé partout (départ d’un salarié)
DNS intégréLes machines se trouvent par leur nom

3. Monter un labo AD

flowchart LR
  subgraph Reseau["Réseau interne 'labo-ad' 192.168.10.0/24"]
    DC["SRV-AD01<br/>Windows Server 2025<br/>192.168.10.10<br/>AD DS + DNS + DHCP"]
    PC["PC-W11-01<br/>Windows 11 Pro/Entreprise<br/>DHCP → DNS = 192.168.10.10"]
  end
  DC --- PC

ISO : Windows Server 2025, évaluation 180 jours (Microsoft Evaluation Center), installation Expérience de bureau pour débuter. VM : 2 vCPU, 4 Go RAM, 60 Go. Les deux VM sur le même réseau interne (pas de NAT au début, pour que le DHCP du serveur ne se batte pas avec celui de l’hyperviseur).

Avant d'installer AD : IP fixe sur le serveur, DNS du serveur = lui-même (127.0.0.1), et le nom définitif du serveur (on ne le change plus après).

Étapes (script fourni : scripts/windows/labo_ad.ps1)

# Étape 1 — IP fixe + nom (redémarre)
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.10.10 -PrefixLength 24 -DefaultGateway 192.168.10.254
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 127.0.0.1
Rename-Computer -NewName "SRV-AD01" -Restart
 
# Étape 2 — Rôle AD DS + nouvelle forêt avec DNS (redémarre)
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName "sio.lan" -DomainNetbiosName "SIO" -InstallDns `
  -SafeModeAdministratorPassword (Read-Host -AsSecureString "Mot de passe DSRM")
 
# Étape 3 — OU, groupes, utilisateurs
New-ADOrganizationalUnit -Name "Utilisateurs-SIO" -Path "DC=sio,DC=lan"
New-ADGroup -Name "GG-Compta" -GroupScope Global -Path "OU=Utilisateurs-SIO,DC=sio,DC=lan"
New-ADUser -Name "Jean Dupont" -SamAccountName jdupont -UserPrincipalName jdupont@sio.lan `
  -Path "OU=Utilisateurs-SIO,DC=sio,DC=lan" -AccountPassword (Read-Host -AsSecureString "MDP") `
  -ChangePasswordAtLogon $true -Enabled $true
Add-ADGroupMember -Identity "GG-Compta" -Members jdupont
 
# DHCP (doit être AUTORISÉ dans l'AD)
Install-WindowsFeature DHCP -IncludeManagementTools
Add-DhcpServerInDC -DnsName "SRV-AD01.sio.lan" -IPAddress 192.168.10.10
Add-DhcpServerv4Scope -Name "LAN" -StartRange 192.168.10.100 -EndRange 192.168.10.200 -SubnetMask 255.255.255.0
Set-DhcpServerv4OptionValue -ScopeId 192.168.10.0 -Router 192.168.10.254 -DnsServer 192.168.10.10 -DnsDomain "sio.lan"

Le script labo_ad.ps1 fait tout cela en 3 étapes : .\labo_ad.ps1 -Etape 1, puis -Etape 2, puis -Etape 3 (il crée en plus 4 groupes par service et 3 utilisateurs d’exemple).

Outils graphiques : Gestionnaire de serveur → Outils → Utilisateurs et ordinateurs Active Directory (dsa.msc), DNS (dnsmgmt.msc), DHCP (dhcpmgmt.msc), Gestion des stratégies de groupe (gpmc.msc).

Joindre le poste Windows 11 au domaine

  1. Le PC doit utiliser le DC comme DNS (via le DHCP du serveur ou en manuel).
  2. Test : nslookup sio.lan doit répondre 192.168.10.10.
  3. sysdm.cpl → Modifier → Domaine : sio.lan → identifiants d’un admin du domaine → redémarrer. Ou : Add-Computer -DomainName sio.lan -Credential SIO\Administrateur -Restart
  4. Se connecter avec SIO\jdupont (ou jdupont@sio.lan).

Vérifications

Get-ADDomain | Select-Object DNSRoot, NetBIOSName
Get-ADUser -Filter * | Select-Object Name, Enabled
Get-ADComputer -Filter *                 # le PC joint apparaît
dcdiag /q                                # santé du contrôleur (pas de sortie = OK)
ProblèmeCause fréquente
« Le domaine n’a pas pu être contacté »Le PC n’utilise pas le DC comme DNS
Le DHCP ne distribue rienServeur non autorisé (Add-DhcpServerInDC), ou VM pas sur le même réseau
Heure décalée → échec de connexionKerberos tolère 5 min d’écart : synchroniser l’heure

Pour aller plus loin (GPO, modèle AGDLP, délégation) : P06 - Active Directory avancé et GPO.

Voir aussi

Vue Graphique

Liens retour