Sites, réplication et rôles FSMO

Dans un domaine qui compte plusieurs contrôleurs, chacun garde une copie de l'annuaire et la réplication propage les modifications de l'un à tous les autres. Les sites Active Directory décrivent la géographie du réseau pour que cette réplication et les ouvertures de session restent locales. Enfin, cinq opérations particulières ne peuvent être faites que par un seul contrôleur : ce sont les rôles FSMO. Ce chapitre explique les trois, avec les commandes pour surveiller la réplication, voir et déplacer les rôles, et régler l'heure du domaine.

La réplication multimaître

Tous les contrôleurs d'un domaine acceptent les modifications : Chloé peut créer un compte sur srv-ad pendant que Moussa en modifie un autre sur srv-ad2. Chaque modification est ensuite copiée vers les autres contrôleurs. On parle de réplication multimaître, par opposition à un modèle où un seul serveur accepterait les écritures.

L'annuaire est découpé en partitions (ou contextes de nommage), répliquées chacune vers les contrôleurs qui en ont besoin :

Chaque contrôleur numérote ses modifications avec un compteur, l'USN (update sequence number), et retient jusqu'à quel numéro il a déjà reçu les modifications de chacun de ses partenaires : il ne demande que ce qui est nouveau. La réplication se fait attribut par attribut : si deux administrateurs modifient en même temps le téléphone et le service d'un même compte sur deux contrôleurs, les deux modifications sont gardées. S'ils modifient le même attribut, la version la plus haute gagne, puis la plus récente en cas d'égalité.

Réplication intra-site et inter-site

Certaines modifications sont urgentes et partent immédiatement, même entre sites quand la notification est activée : le verrouillage d'un compte, par exemple. Les changements de mot de passe ont un traitement à part : le contrôleur qui les reçoit les transmet aussitôt à l'émulateur PDC (voir les rôles FSMO plus bas). Si un utilisateur tape son nouveau mot de passe sur un contrôleur qui ne l'a pas encore reçu, ce contrôleur vérifie auprès de l'émulateur PDC avant de refuser.

Sites et sous-réseaux

Un site Active Directory est un ensemble de sous-réseaux IP bien connectés entre eux, en pratique un lieu : le siège, une agence, un entrepôt. Il ne se confond ni avec le domaine (un domaine peut couvrir plusieurs sites, un site contenir des contrôleurs de plusieurs domaines) ni avec les OU.

Les sites servent à quatre choses :

1. l'ouverture de session locale : un poste trouve l'adresse de son site d'après son sous-réseau, et demande un contrôleur de son site ;
2. la réplication : réactive dans un site, planifiée et compressée entre sites ;
3. les références DFS : un poste reçoit d'abord la cible de son site (chapitre 8) ;
4. les GPO de site, le S de LSDOU (chapitre 4).

À l'installation, la forêt contient un seul site, Default-First-Site-Name, et aucun sous-réseau. Sorbier ouvre un entrepôt à Mâcon, relié au siège par un VPN IPsec (VPN site à site), avec son propre réseau 192.168.20.0/24 et un contrôleur en lecture seule, dc-macon. Il faut alors décrire les deux sites :

# Renommer le site par défaut, créer celui de Mâcon
Get-ADReplicationSite -Identity "Default-First-Site-Name" | Rename-ADObject -NewName "Siege"
New-ADReplicationSite -Name "Macon"

# Associer les sous-réseaux aux sites
New-ADReplicationSubnet -Name "192.168.10.0/24" -Site "Siege" -Location "Siège, bâtiment A"
New-ADReplicationSubnet -Name "192.168.20.0/24" -Site "Macon"  -Location "Entrepôt de Mâcon"

# Le lien entre les deux sites : coût et fréquence de réplication
New-ADReplicationSiteLink -Name "Siege-Macon" -SitesIncluded "Siege", "Macon" -Cost 100 -ReplicationFrequencyInMinutes 60

Get-ADReplicationSite -Filter * | Select-Object Name

La console graphique est Sites et services Active Directory (dssite.msc). Le coût d'un lien sert quand plusieurs chemins existent entre deux sites : la réplication emprunte le chemin dont la somme des coûts est la plus faible. La fréquence se règle par tranches de 15 minutes au minimum.

Surveiller la réplication

Une réplication en panne ne se voit pas tout de suite : chaque contrôleur continue à répondre, avec des données qui divergent. Un compte désactivé sur l'un reste actif sur l'autre, une GPO modifiée ne s'applique qu'à la moitié des postes. On surveille donc régulièrement.

Les causes de panne les plus fréquentes : un DNS qui ne résout plus le nom d'un partenaire, un pare-feu qui bloque RPC entre deux sites, une différence d'heure de plus de 5 minutes qui fait échouer Kerberos, un contrôleur éteint depuis trop longtemps.

Les cinq rôles FSMO

Certaines opérations ne supportent pas d'être faites en même temps sur deux contrôleurs : deux modifications contradictoires du schéma, deux comptes qui recevraient le même identifiant. Elles sont confiées à un seul contrôleur, qui détient un rôle de maître d'opérations, appelé rôle FSMO (Flexible Single Master Operations). Il y en a cinq.

Par défaut, le premier contrôleur de la forêt détient les cinq rôles. Dans une PME à deux contrôleurs, on peut les laisser ensemble sur srv-ad ; certains administrateurs placent l'émulateur PDC sur le contrôleur le plus fiable et le plus central.

Voir, transférer et saisir les rôles

# Qui détient quoi : la commande historique
netdom query fsmo

# En PowerShell
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster

Transférer un rôle, c'est le déplacer proprement d'un contrôleur en service vers un autre : avant une maintenance ou la mise hors service de l'ancien contrôleur. Les deux contrôleurs se mettent d'accord, rien n'est perdu.

# Transférer l'émulateur PDC et le maître RID vers srv-ad2
Move-ADDirectoryServerOperationMasterRole -Identity "srv-ad2" -OperationMasterRole PDCEmulator, RIDMaster

Saisir un rôle, c'est le prendre de force quand le contrôleur qui le détient est définitivement perdu (serveur détruit, irréparable) : on ajoute -Force à la même commande, ou on passe par ntdsutil. Après une saisie, l'ancien contrôleur ne doit jamais revenir sur le réseau : on nettoie ses métadonnées dans l'annuaire (suppression du contrôleur dans Sites et services ou dans Utilisateurs et ordinateurs), et s'il est un jour réparé, on le réinstalle. Pour une panne de quelques heures, on attend : la plupart des rôles peuvent rester indisponibles un moment sans conséquence.

L'heure du domaine

Kerberos refuse une authentification si l'horloge du client et celle du contrôleur diffèrent de plus de 5 minutes. Toute la forêt suit donc une hiérarchie de temps :

• l'émulateur PDC du domaine racine se synchronise sur une source externe fiable (serveurs NTP publics ou matériel de l'organisation) ;
• les autres contrôleurs se synchronisent sur lui ;
• les postes et serveurs membres se synchronisent sur un contrôleur de leur domaine.

# Sur l'émulateur PDC uniquement : sources NTP externes
w32tm /config /manualpeerlist:"0.fr.pool.ntp.org 1.fr.pool.ntp.org" /syncfromflags:manual /reliable:yes /update
Restart-Service w32time

# Partout : l'état et la source de l'heure
w32tm /query /status
w32tm /query /source

Ne règle pas de source NTP externe sur les autres contrôleurs ni sur les postes : ils doivent suivre la hiérarchie du domaine. Attention aussi aux contrôleurs virtualisés : la synchronisation de l'heure avec l'hôte proposée par l'hyperviseur peut contredire la hiérarchie du domaine et doit être réglée en conséquence.

Le contrôleur en lecture seule dans une agence

Le contrôleur dc-macon de l'entrepôt est un RODC (read-only domain controller). Il garde une copie de l'annuaire en lecture seule : aucune modification n'y est possible, il les renvoie vers un contrôleur inscriptible du siège. Surtout, il ne stocke aucun mot de passe par défaut : il ne garde en cache que ceux des comptes autorisés par sa stratégie de réplication des mots de passe, typiquement les salariés et les postes de l'entrepôt (groupe Groupe de réplication dont le mot de passe RODC est autorisé), jamais les administrateurs (groupe Groupe de réplication dont le mot de passe RODC est refusé, qui contient déjà les groupes d'administration).

Si le serveur de l'entrepôt est volé, l'attaquant n'obtient que les mots de passe mis en cache sur ce RODC ; on les réinitialise, et le reste du domaine n'est pas touché. On peut aussi déléguer l'administration locale du RODC (redémarrage, mises à jour) à un technicien de l'entrepôt sans lui donner aucun droit sur le domaine.

Exercices