💻 Insérez dans votre procédure une capture pour chaque étape de vos TP.

Rappel de quelques définitions

Qu’est ce qu’un domaine?

Dans l'environnement de réseau Microsoft, la notion de domaine définit un ensemble de machines partageant des informations d'annuaire.

Un domaine est géré par un contrôleur de domaine qui héberge l'annuaire Active Directory.

Qu’est ce qu’un arbre ?

Lorsqu'un domaine principale contient plusieurs sous-domaine, on parle d'arbre. Chaque sous-domaine représente une branche de cet arbre.

Un arbre est un regroupement hiérarchique de plusieurs domaines.

Qu’est ce qu’une forêt ?

Une forêt est un regroupement d’une ou plusieurs arborescences de domaine, autrement dit d’un ou plusieurs arbres. Ces arborescences de domaine sont indépendantes et distinctes bien qu’elles soient dans la même forêt.

Dans le schéma ci-dessous, nous avons notre premier arbre, pour la société CONTOSO, qui fait partie d'une forêt, ainsi qu'un second arbre, pour la société SCIENDI, qui fait partie d'un autre arbre.

Dans ce premier scénario, il s'agit de deux entreprises complètement distinctes.

Supposons à présent que ces deux entreprises fassent partie du même groupe. Nous aurions alors une seule forêt contenant deux branches ! Et un lien spécial entre les deux (que nous verrons plus tard) : une relation d'approbation.

Les deux scénarios sont possibles techniquement !

Qu’est ce qu’un catalogue global ?

Le catalogue global est un annuaire qui regroupe des éléments provenant de l’ensemble de la forêt, c’est en quelque sorte un annuaire central.

A la différence d’un contrôleur de domaine standard, car en temps normal, chaque contrôleur de domaine contient une copie de l’annuaire de son domaine. Quant au catalogue global, il contient une copie des attributs principaux de tous les domaines de la forêt.

Ainsi, un contrôleur de domaine « catalogue global » sera capable de localiser des objets dans l’ensemble de la forêt, car il a une vue d’ensemble sur tous les objets. Les contrôleurs de domaine classique s’appuieront sur lui pour justement localiser des objets dans une forêt.

Le premier contrôleur de domaine créé au sein d’une forêt est automatiquement catalogue global.

Qu’est ce qu’un contrôleur de domaine ?

Un contrôleur de domaine est un serveur qui répond aux demandes d’authentification et contrôle les utilisateurs des réseaux informatiques.

Les domaines eux, sont un moyen hiérarchique d’organiser les utilisateurs et ordinateurs travaillant de concert sur le même réseau.

Le contrôleur de domaine permet donc d’organiser et de sécuriser toutes les données.

Qu’est ce qu’un niveau fonctionnel ?

Un niveau fonctionnel détermine les fonctionnalités des services de domaine Active Directory qui sont disponibles dans un domaine ou une forêt.Le niveau fonctionnel permet de limiter les fonctionnalités de l’annuaire au niveau actuel afin d’assurer la compatibilité avec les plus anciennes versions des contrôleurs de domaine.

Plus le niveau fonctionnel est haut, plus vous pourrez bénéficier des dernières nouveautés liées à l’Active Directory et à sa structure. Ce qui rejoint la réponse à la question précédente.Par ailleurs, vous serez obligé d’augmenter le niveau fonctionnel pour ajouter la prise en charge des derniers systèmes d’exploitation Windows pour les contrôleurs de domaine. Par exemple, si le niveau fonctionnel est « Windows Server 2003 », vous ne pourrez pas ajouter un nouveau contrôleur de domaine sous Windows Server 2012 et les versions plus récentes.

Qu’est ce qu’une relation d’approbation ?

Une relation d’approbation est un lien de confiance (Trust Relationship) établie entre deux domaines Active Directory, voir même entre deux forêts Active Directory. Ces relations permettront de faciliter l’accès aux ressources entre les domaines concernés, ce qui permet de mutualiser les accès bien que les domaines disposent d’une base de données Active Directory différente.

Les relations d’approbations peuvent s’avérer utiles et sont utilisées dans plusieurs cas de figure :- Une entreprise dispose de plusieurs filiales avec des noms différents, donc des domaines différents, elle pourra créer des relations de confiance entre ses domaines- Une multinationale, qui scindera son infrastructure en plusieurs domaines, on peut imaginer un par zone géographique (Europe, Asie, Amérique, etc), il faudra là aussi créer des relations de confiance pour faciliter l’accès aux ressources.- La fusion de deux entreprises existantes, qui utilisent à la base chacune leur domaine. La relation d’approbation permettra de faciliter la fusion au niveau du système d’information (avant une éventuelle restructuration complète)

TP1 : installation d'un contrôleur de domaine secondaire en lecture seule (RODC)

⚠️ Avant d'aller plus loin, sauvegardez votre VM !

Soit avec un snapshot, soit, si votre PC est lent, en copiant tout le dossier de la VM après l'avoir éteinte !

Vous aurez besoin de cette copie pour le TP2 !

Installez un premier contrôleur de domaine : contoso.local
- (un contrôleur de domaine pour un domaine pour une forêt)
Installez un second contrôleur de domaine pour le domaine que vous venez de créer
- en installant le rôle AD/DS
- en sélectionnant "Contrôleur de domaine en lecture seule (RODC)" lors de la configuration du domaine
pour vérifier que vous avez correctement configuré vos deux contrôleurs de domaine :
- ajoutez un utilisateur dans l'annuaire AD du premier serveur
- attendez quelques secondes/minutes
- vérifiez que l'utilisateur s'est dupliqué sur le second contrôleur de domaine
pour finir, essayez de créer un utilisateur sur le DC2

❔ Questions / recherches 🔎

Pourquoi n'est-il pas possible de créer un utilisateur AD sur le DC2 ?
A votre avis, dans quel cas utilise t-on un RODC ? (inspirez vous de ce que je vous ai expliqué dans le début de cette page : un groupe d'entreprises)

TP2 : installation d'un contrôleur de domaine secondaire standard

⚠️ Reprenez votre sauvegarde du DC2. C'est à partir de cette machine sauvegardé que nous allons faire la suite.

Vous pouvez supprimer la version du DC2 utilisée dans le TP1, vous n'en aurez plus besoin

installez un second contrôleur de domaine DC2 (pas RODC cette fois-ci)

pour vérifier que vous avez correctement configuré vos deux contrôleurs de domaine :
- ajoutez un utilisateur dans l'annuaire AD du premier serveur
- attendez quelques secondes/minutes
- vérifiez que l'utilisateur s'est dupliqué sur le second contrôleur de domaine
puis faites de même sur le DC2 pour vérifier la synchronisation qui se fait dans le sens inverse

👨‍🏫 En conclusion :

Le service le plus critique de votre entreprise est redondé. Si l'un de vos contrôleurs de domaine tombe en panne, le deuxième est toujours disponible pour permettre aux utilisateurs d'ouvrir leurs sessions et d'accès à leurs ressources réseaux.

Contrôleur de domaine secondaire et RODC