💻 Insérez dans votre procédure une capture pour chaque étape de vos TP.

Que sont les rôles FSMO ?

FSMO signifie "Flexible Single Master Operation".

Les rôles FSMO :

sont au nombre de 5
existent sur windows server depuis la version 2000
font partie de l'environnement Active Directory
ont chacun un objectif précis

Dans un environnement Active Directory, il existe donc 5 rôles FSMO :

deux rôles sont uniques dans la forêt
les trois autres sont uniques dans un domaine

Les 5 rôles FSMO sont :

le maître d'attribution de noms de domaines
le maître de schéma
le maître RID
l'émulateur de contrôleur de domaine principal de domaine (PDC)

Maître d’attribution de noms de domaines

Il est unique dans la forêt, il est chargé de l’ajout et de la suppression de domaine dans la forêt.

Maître de schéma

Il est unique dans la forêt, il gère le schéma Active Directory qui contient l’ensemble des objets qui peuvent être créés et les attributs. Il est le seul à pouvoir modifier le schéma.

Exemple : lors de l’ajout du service Exchange au seins de votre organisation, c’est ce rôle qui modifie les attribues lors de la préparation de l’AD.

Maître RID

Comme vous le savez déjà, les objets créés au sein de l’annuaire Active Directory disposent de plusieurs identifiants uniques. Parmi eux, il y a notamment le GUID et le DistinguishedName mais aussi l’identifiant de sécurité « SID ».

Le maître RID est unique au sein du domaine, il distribue un pool RID à chaque contrôleur de domaine pour s’assurer que chaque SID délivré par un DC sera unique.

Émulateur de contrôleur principal de domaine (PDC)

Il est unique au sein du domaine, il se charge de la synchronisation de l’heure entre les différents serveurs et ordinateurs et de la modification des mots de passe ainsi que des verrouillages des comptes.

Maître infrastructure

Il est unique au sein du domaine, son rôle est de gérer les références d'objets inter-domaine.

Exemple : si un utilisateur d’un domaine A est ajouté au sein d’un groupe du domaine B, le contrôleur de domaine « Maître d’infrastructure » deviendra responsable de cette référence et devra s’assurer de la réplication de cette information sur tous les contrôleurs de domaine du domaine.

👨‍🏫 Par défaut, le premier contrôleur de domaine d'un domaine détient les 5 rôles FSMO. Si vous installez un second contrôleur de domaine, vous avez la possibilité de lui transférer tout ou une partie des rôles FSMO.

C'est ce que nous allons faire dans les trois TP ci-dessous.

TP 1 : afficher les rôles FSMO

Sur le serveur DC1, affichez les rôles FSMO à l'aide de la commande :

netdom query fsmo

En powershell, vous pouvez utiliser les cmdlet :

Get-ADForest

Get-ADDomain

Affichez également les rôles FSMO en passant par le gestionnaire "Utilisateurs et ordinateurs AD" en faisant un clic droit sur le domaine > Maîtres d'opérations.

Vous y trouverez : le maître RID, le PDC et le maître d'infrastructure.

Vous trouverez le "Maître d'opération" dans la console "Domaine et approbation Active Directory".

Et vous trouverez le "Contrôleur de schéma" dans la console "Schéma Active Directory".

👨‍🏫 Pour information :

La console Schéma Active Directory n’est pas disponible nativement, il est nécessaire de l’enregistrer afin d’y accéder.

La commande pour la déclarer :

regsvr32 schmmgmt.dll

Puis :

ouvrez une console MMC vierge (mmc.exe)
cliquez sur "Ajouter un composant logiciel enfichable"
sélectionnez la console "Schéma AD" pour l'ajouter

TP 2 : transfert partiel des rôles FSMO

Vous utiliserez les commandes suivantes pour migrer les rôles en utilisant l'outil NTDSUTIL.EXE.

Ouvrez une fenêtre de commande en mode « Administrateur » et entrez la commande suivante pour lancer l'outil :

ntdsutil

Entrez en mode maintenance des rôles FSMO :

roles

Connectez vous au serveur qui va recevoir les rôles :

connectionsconnect to server NOM_DU_DC_QUI_RECOIT_LES_ROLES

#Pour quitter le mode connections et retourner en maintenance fsmoq

Utilisez deux des commande suivantes pour transférer certains rôles FSMO (2 au choix) :

# Maitre d'attributiontransfer naming master# Contrôleur de schématransfer schema master# Maitre RIDtransfer RID master# Emulateur PDCtransfer pdc# Maitre infrastructuretransfer infrastructure master

A chaque demande de transfert, vous devrez confirmer votre action par le biais d’une boite de dialogue.

Pour terminer, vérifiez que votre serveur DC2 possède bien 2 rôles FSMO sur les 5.

TP 3 : appropriation des rôles FSMO en cas de crash d'un contrôleur de domaine

Imaginons que vous avez deux contrôleurs de domaine. Le premier, SRV-DC1, possède les 5 rôles FSMO. Si celui-ci ne fonctionne plus et qu'il est impossible de le rallumer, vous ne pouvez pas transférer les rôles FSMO du premier vers le second DC.

Dans ce cas particulier, vous devez faire en sorte que le SRV-DC2 s'APPROPRIE les 5 rôles FSMO .

Pour cela, vous n'utiliserez pas la commande "transfer" de l'outil NTDSUTIL, mais la commande "seize".

Les commandes d'appropriation sont les suivantes :

# Maitre d'attributionseize naming master# Contrôleur de schémaseize schema master# Maitre RIDseize RID master# Emulateur PDCseize pdc# Maitre infrastructureseize infrastructure master

Afin de simuler le scénario que je viens de vous présenter :

éteignez le serveur SRV-DC1
connectez vous au serveur SRV-DC2
utilisez l'outil NTSUTIL pour donner les 5 rôles FSMO au serveur SRV-DC2
vérifiez que les rôles sont bien transférés à l'aide de la commande "netdom query fsmo"

Migration des rôles FSMO