Name: Le Socle du Fer — Semaine 22 — Active Directory — Annuaire d'Entreprise
Author: Amine RAITI

RATIO

LE SOCLE DU FER · SUPPORT DE COURS · SEMAINE 22

◆◆◆

ACTIVE DIRECTORY
ANNUAIRE D'ENTREPRISE
Semaine 22 sur 26 · Bloc 8 — Active Directory & GPO
10h théorie · 25h pratique

◆

◆ OBJECTIFS PÉDAGOGIQUES DE LA SEMAINE

1. Comprendre la structure logique d'Active Directory (forêt, domaine, unités d'organisation)
2. Installer et promouvoir un contrôleur de domaine sur Windows Server
3. Créer et organiser des utilisateurs, groupes et unités d'organisation
4. Intégrer un poste client Windows au domaine
5. Authentifier des utilisateurs du domaine sur les postes clients

◆◆◆

⚠ AVERTISSEMENT — PÉRENNITÉ DES VERSIONS ET RAPPEL DE SÉQUENCEMENT

Active Directory est enseigné ici parce que le DNS (S21) est désormais opérationnel — c'est son prérequis technique direct. Les versions de Windows Server évoluent ; le formateur adapte les procédures d'installation du contrôleur de domaine à la version disponible en salle.

◆

Amine RAITI · Architecte Infrastructure & SRE
Document public · CC BY-NC-SA 4.0 · AI Powered by Amine
Opération Dindon

RATIO

PLAN DE COURS · 10H

FIL CONDUCTEUR THÉORIQUE

◆

22.1 · Structure logique d'Active Directory3h

— Forêt : ensemble de domaines partageant un schéma commun (sommet de la hiérarchie AD)
— Domaine : unité administrative de base, frontière de sécurité et de réplication
— Unité d'organisation (OU) : conteneur logique pour organiser utilisateurs, groupes et ordinateurs, et appliquer des GPO de façon ciblée (lien anticipé avec S23)
— Relation avec LDAP : AD est une implémentation de LDAP enrichie par Microsoft

22.2 · Contrôleur de domaine et dépendance DNS2h

— Le contrôleur de domaine (DC) est le serveur qui héberge Active Directory
— Rôles FSMO (Flexible Single Master Operations) : présentation conceptuelle des 5 rôles de maître unique
— Dépendance DNS : rappel explicite du lien avec S21 — sans DNS fonctionnel, impossible d'installer un domaine

22.3 · Utilisateurs, groupes et ordinateurs AD3h

— Différence compte local (S12) vs compte de domaine (ce cours) — la même logique, portée différente
— Types de groupes AD : sécurité vs distribution, domaine local / global / universel
— Jonction au domaine : ce qui se passe techniquement quand un poste rejoint le domaine

22.4 · Réplication et haute disponibilité AD2h

— Pourquoi plusieurs contrôleurs de domaine sont recommandés (tolérance aux pannes, lien avec S14 — HA)
— Sites et services AD : notion de réplication entre sites géographiques

RATIO

TP1 · INSTALLATION DU CONTRÔLEUR DE DOMAINE · 12H

Matériel : VM Windows Server (S11), DNS opérationnel depuis S21, VM Windows cliente pour la jonction au domaine.

(2h) Vérification des prérequis : IP statique sur le serveur, DNS pointant vers lui-même ou vers le serveur DNS de S21, connectivité réseau confirmée.

(3h) Installation du rôle Active Directory Domain Services (AD DS) et promotion du serveur en contrôleur de domaine, création du domaine (ex : socle.lan), choix du niveau fonctionnel du domaine.

(2h) Vérification post-installation : les enregistrements SRV DNS ont bien été créés automatiquement par le DC (confirmer dans la zone DNS de S21), service AD DS actif.

(3h) Création de la structure organisationnelle : 3 unités d'organisation (Direction, Technique, Invités), création de 5 utilisateurs de domaine répartis selon le scénario fourni, création de groupes de sécurité.

(2h) Jonction d'une VM Windows cliente au domaine, connexion avec un compte de domaine, vérification que le compte apparaît dans les journaux d'événements du DC.

CORRIGÉ TP1

Vérification des enregistrements SRV : dans la zone DNS du domaine, vérifier l'existence des enregistrements _ldap._tcp, _kerberos._tcp et _kpasswd._tcp dans le sous-dossier _tcp — leur présence confirme que le DC s'est correctement enregistré et que les clients pourront le localiser.

Erreur fréquente : le DNS du serveur Windows pointe vers un serveur externe au lieu de lui-même (ou du DNS de S21) — l'installation du DC échoue ou les SRV ne sont pas créés dans la bonne zone.

RATIO

TP2 · ADMINISTRATION AD ET GESTION DES COMPTES · 13H

Matériel : contrôleur de domaine configuré au TP1.

(3h) Administration AD via la console graphique (Utilisateurs et ordinateurs Active Directory) ET via PowerShell (Get-ADUser, New-ADUser, Add-ADGroupMember) — démontrer l'équivalence des deux méthodes.

(3h) Scénario d'arrivée/départ : créer un compte pour un nouvel utilisateur, l'affecter aux bons groupes et OU, puis simuler son départ (désactivation du compte, retrait des groupes, archivage dans une OU "anciens comptes").

(3h) Test d'authentification depuis plusieurs postes clients avec différents comptes de domaine, vérification des droits d'accès aux ressources partagées créées en S12 (maintenant via comptes de domaine au lieu de comptes locaux).

(2h) Délégation de contrôle : configurer qu'un utilisateur non-administrateur peut réinitialiser les mots de passe dans une OU spécifique — sans droits d'administrateur complet.

(2h) Rédaction d'un schéma de la structure AD déployée (forêt, domaine, OUs, groupes, comptes).

CORRIGÉ TP2

Point pédagogique sur la délégation : la délégation de contrôle dans AD permet d'appliquer le principe du moindre privilège (S15) à l'échelle de l'annuaire — un helpdesk peut réinitialiser des mots de passe sans être administrateur du domaine, réduisant la surface d'exposition en cas de compromission du compte helpdesk.

◆ FICHE DE SYNTHÈSE — AUTO-ÉVALUATION SEMAINE 22

1. Je sais expliquer la structure forêt/domaine/OU d'Active Directory.

2. Je sais installer et promouvoir un contrôleur de domaine.

3. Je comprends pourquoi DNS est un prérequis d'Active Directory.

4. Je sais créer des utilisateurs, groupes et OUs dans AD.

5. Je sais joindre un poste Windows à un domaine.

6. Je sais administrer AD via PowerShell.

7. Je sais gérer le cycle de vie d'un compte (création, désactivation, archivage).

8. Je sais configurer une délégation de contrôle sur une OU.