Active Directory : domaine, forêt, OU et contrôleur de domaine

Active Directory (AD DS, Active Directory Domain Services) est l'annuaire de Microsoft : une base centrale qui contient les comptes des utilisateurs, des ordinateurs et des groupes d'une organisation, et qui sert à les authentifier et à leur appliquer des règles. Ce chapitre explique son vocabulaire (domaine, arbre, forêt, unité d'organisation, contrôleur de domaine), installe le premier contrôleur de domaine de Sorbier, puis joint un poste au domaine.

C'est quoi un annuaire, et pourquoi un domaine

Sans annuaire, chaque poste a ses propres comptes locaux. Pour que Julie Lefèvre change de poste, il faut lui créer un compte sur le nouveau ; pour qu'elle change de mot de passe, il faut le changer partout ; quand elle quitte l'entreprise, il faut penser à tous les postes où elle avait un compte. À quinze postes, c'est pénible ; à cent, c'est ingérable et dangereux.

Un domaine Active Directory règle le problème : les comptes sont créés une fois, dans l'annuaire, et chaque poste joint au domaine fait confiance à l'annuaire pour authentifier les utilisateurs. Julie a un seul compte, jlefevre, valable sur tous les postes ; le désactiver lui retire tout accès d'un coup. L'annuaire apporte aussi les stratégies de groupe (la configuration des postes depuis un point central, chapitre 4) et les groupes qui portent les droits sur les ressources (chapitre 3).

Le fonctionnement interne de l'annuaire (le protocole LDAP, le format des noms distinctifs, l'authentification Kerberos) est expliqué dans le chapitre Annuaire LDAP, Active Directory et Kerberos du cours Authentification. Ici, on se concentre sur ce que l'administrateur construit et manipule.

Domaine, arbre et forêt : la structure logique

Le nom du domaine. On ne choisit pas un nom au hasard, et il ne se change pas facilement. Les bonnes pratiques actuelles :

• un sous-domaine d'un nom public possédé par l'organisation : ad.sorbier.example si l'entreprise possède sorbier.example. Personne d'autre ne pourra l'enregistrer, et le nom interne ne se confond pas avec le site web public ;
• pas de .local pour un nouveau domaine : ce suffixe est réservé au DNS multicast (mDNS, utilisé par les appareils Apple et certaines imprimantes), ce qui crée des conflits de résolution. Tu le croiseras dans des domaines anciens et dans beaucoup de TP ;
• pas de domaine à une seule étiquette (SORBIER tout court), qui pose de nombreux problèmes de résolution.

Le domaine a aussi un nom NetBIOS, court et en majuscules (SORBIER), qu'on voit dans la forme SORBIER\jlefevre.

Unités d'organisation et conteneurs

Dans un domaine, les objets sont rangés dans des unités d'organisation (OU, organizational units) : des dossiers de l'annuaire que l'administrateur crée selon ses besoins. Une OU sert à trois choses :

1. ranger les objets de façon lisible ;
2. appliquer des stratégies de groupe : une GPO se lie à une OU et s'applique aux utilisateurs et ordinateurs qu'elle contient ;
3. déléguer l'administration : un technicien peut recevoir le droit de réinitialiser les mots de passe des comptes d'une OU, sans être administrateur du domaine.

À l'installation, le domaine contient aussi des conteneurs par défaut : Users (les comptes intégrés et les groupes par défaut), Computers (où arrivent les ordinateurs joints au domaine), Builtin (les groupes locaux intégrés). Ce ne sont pas des OU : on ne peut pas leur lier de GPO. Seule exception, l'OU Domain Controllers, créée automatiquement, qui contient les contrôleurs de domaine.

Concevoir les OU. On organise d'abord pour les GPO et la délégation, pas pour recopier l'organigramme. Les utilisateurs et les ordinateurs sont séparés, car ils ne reçoivent pas les mêmes stratégies. Une structure lisible pour Sorbier :

ad.sorbier.example
├── Domain Controllers            (créée automatiquement)
└── Sorbier
    ├── Utilisateurs
    │   ├── Direction
    │   ├── Comptabilite
    │   ├── Commercial
    │   ├── Logistique
    │   └── Informatique
    ├── Ordinateurs
    │   ├── Postes-fixes
    │   └── Portables
    ├── Serveurs
    ├── Groupes
    └── Administration            (comptes d'administration, accès restreint)

Évite les noms d'OU avec accents ou espaces : ils fonctionnent, mais compliquent les scripts et les chemins LDAP.

Le cours Authentification simplifie cette arborescence en plaçant Utilisateurs et Groupes directement sous le domaine ; l'OU de premier niveau Sorbier est une bonne pratique qui sépare tes objets des conteneurs par défaut et permet de déléguer ou de lier une GPO à tout l'ensemble en un seul endroit.

Les contrôleurs de domaine

Un contrôleur de domaine (DC, domain controller) est un serveur Windows qui héberge une copie de la base de l'annuaire et répond aux demandes d'authentification. Ce qu'il contient :

Tous les contrôleurs d'un domaine sont égaux : chacun accepte les modifications, qui se propagent aux autres par réplication multimaître. Il en faut au moins deux par domaine : si l'unique contrôleur tombe, plus personne n'ouvre de session et sa perte sans sauvegarde signifie reconstruire tout l'annuaire. Quelques opérations particulières sont cependant confiées à un seul contrôleur : ce sont les rôles FSMO, détaillés avec la réplication au chapitre 10.

Un contrôleur peut aussi être catalogue global (GC) : il garde alors une copie partielle de tous les objets de la forêt, pour les recherches et les ouvertures de session. Dans une forêt à un domaine, tous les contrôleurs sont catalogues globaux, et c'est le réglage par défaut.

Le contrôleur en lecture seule (RODC, read-only domain controller) garde une copie non modifiable de l'annuaire et, par défaut, aucun mot de passe. On le place dans une agence dont la sécurité physique est faible : volé, il ne livre presque rien.

Le lien indispensable avec le DNS

Active Directory ne fonctionne pas sans DNS. Pour ouvrir une session, un poste doit trouver un contrôleur de domaine : il interroge son serveur DNS et lui demande les enregistrements SRV du domaine, que chaque contrôleur publie à son démarrage. Par exemple, _ldap._tcp.dc._msdcs.ad.sorbier.example répond « les contrôleurs de domaine sont srv-ad et srv-ad2, sur le port 389 ».

C'est pourquoi on installe le rôle DNS sur les contrôleurs de domaine, avec des zones intégrées à Active Directory (chapitre 6), et pourquoi tous les postes du domaine doivent utiliser ces serveurs DNS, jamais un DNS public.

Installer le premier contrôleur de domaine

Prérequis : un serveur avec un nom définitif, une adresse IP fixe et le fuseau horaire réglé (chapitre 1). L'installation se fait en deux temps : on ajoute le rôle AD DS, puis on promeut le serveur en contrôleur de domaine.

Avec l'interface graphique.

1. Gestionnaire de serveur > Gérer > Ajouter des rôles et fonctionnalités > Services de domaine Active Directory, avec les outils proposés.
2. À la fin, cliquer sur le drapeau jaune : Promouvoir ce serveur en contrôleur de domaine.
3. Choisir Ajouter une nouvelle forêt et saisir le nom du domaine racine : ad.sorbier.example.
4. Choisir les niveaux fonctionnels (voir plus bas), laisser cochés Serveur DNS et Catalogue global, saisir le mot de passe DSRM.
5. Ignorer l'avertissement sur la délégation DNS (aucune zone parente n'est gérée par ce serveur), vérifier le nom NetBIOS (SORBIER), laisser les chemins par défaut.
6. Lire le résumé, passer la vérification de la configuration requise, installer. Le serveur redémarre.

En PowerShell, les mêmes étapes :

# 1. Le rôle et ses outils
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

# 2. La promotion : nouvelle forêt, DNS installé (valeur par défaut pour une forêt)
Install-ADDSForest -DomainName "ad.sorbier.example" -DomainNetbiosName "SORBIER" -InstallDns
# Le mot de passe DSRM est demandé deux fois, puis le serveur redémarre.

Sans paramètre -SafeModeAdministratorPassword, la commande demande le mot de passe DSRM au clavier, sans l'afficher : c'est la bonne façon de faire. Écrire le mot de passe en clair dans la commande avec ConvertTo-SecureString -AsPlainText le laisse dans l'historique de PowerShell.

Ce que fait la promotion. Elle crée la base NTDS.dit et le dossier SYSVOL, crée les zones DNS du domaine (ad.sorbier.example et _msdcs.ad.sorbier.example) intégrées à l'annuaire, publie les enregistrements SRV, règle le DNS préféré du serveur sur 127.0.0.1, crée les groupes et comptes par défaut et les deux GPO par défaut (Default Domain Policy et Default Domain Controllers Policy). Après le redémarrage, tu ouvres la session avec SORBIER\Administrateur : le compte Administrateur local est devenu l'administrateur du domaine.

Les niveaux fonctionnels

Le niveau fonctionnel d'un domaine ou d'une forêt fixe les fonctions disponibles et la version minimale des contrôleurs de domaine autorisés. Il correspond à la plus ancienne version de Windows Server qui reste acceptée comme contrôleur.

Il n'existe pas de niveau propre à 2019 ni à 2022 : un domaine dont tous les contrôleurs sont en 2022 reste au niveau 2016. Pour monter au niveau 2025, tous les contrôleurs du domaine (ou de la forêt) doivent être sous Windows Server 2025. On élève le niveau dans le Centre d'administration Active Directory ou avec Set-ADDomainMode et Set-ADForestMode ; en pratique, on ne le redescend pas.

Get-ADDomain | Select-Object Name, DomainMode
Get-ADForest | Select-Object Name, ForestMode

Vérifier l'installation

# Le contrôleur répond, et il est catalogue global
Get-ADDomainController -Filter * | Select-Object Name, IPv4Address, IsGlobalCatalog, Site

# Les enregistrements SRV sont publiés
Resolve-DnsName -Type SRV "_ldap._tcp.dc._msdcs.ad.sorbier.example"

# Un diagnostic complet du contrôleur
dcdiag /v

# Les partages SYSVOL et NETLOGON existent
Get-SmbShare

dcdiag passe en revue une trentaine de tests (connectivité, réplication, services, enregistrements DNS) et affiche « a réussi le test » ou « a échoué au test » pour chacun. Sur un contrôleur tout neuf, quelques avertissements sur le journal des événements sont normaux ; un échec au test Connectivity ou Advertising ne l'est pas.

Ajouter un second contrôleur de domaine

Sur srv-ad2 (adresse fixe, DNS pointant vers srv-ad, nom définitif) :

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSDomainController -DomainName "ad.sorbier.example" -InstallDns `
    -Credential (Get-Credential "SORBIER\Administrateur")

Le nouveau contrôleur copie l'annuaire par le réseau, puis le garde à jour par réplication. Il devient lui aussi serveur DNS : les zones intégrées à l'annuaire se répliquent avec lui. Pense ensuite à donner aux postes les deux serveurs DNS (option DHCP 006, chapitre 6) et, sur chaque contrôleur, l'autre contrôleur comme DNS préféré et lui-même en second, ou l'inverse selon la convention de l'équipe.

Joindre un poste au domaine

Côté poste Windows 11 Professionnel ou Entreprise (l'édition Famille ne peut pas rejoindre un domaine) :

1. vérifier que le poste utilise le DNS de l'annuaire : ipconfig /all doit montrer 192.168.10.177 (et .181) ;
2. Paramètres > Système > Informations système > Domaine ou groupe de travail, ou sysdm.cpl > Modifier ;
3. saisir le domaine ad.sorbier.example, puis un compte autorisé à joindre des machines ;
4. redémarrer.

# En PowerShell, sur le poste, en indiquant directement l'OU de destination
Add-Computer -DomainName "ad.sorbier.example" `
    -OUPath "OU=Postes-fixes,OU=Ordinateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example" `
    -Credential (Get-Credential) -Restart

La jonction crée un compte d'ordinateur dans l'annuaire, avec un mot de passe que la machine et le domaine changent automatiquement tous les 30 jours. Un poste dont la relation d'approbation est rompue (le message « la relation d'approbation entre cette station de travail et le domaine principal a échoué ») a perdu cette synchronisation, souvent après la restauration d'un vieil instantané : Test-ComputerSecureChannel -Repair -Credential (Get-Credential) la répare sans quitter le domaine.

Exercices

Adresse IPv4. . . . . . . . . . . . . .: 192.168.10.88
Masque de sous-réseau . . . . . . . . .: 255.255.255.192
Passerelle par défaut . . . . . . . . .: 192.168.10.126
Serveurs DNS. . . . . . . . . . . . . .: 1.1.1.1