PowerShell pour administrer Active Directory et Windows Server

PowerShell est le langage de commande et de script de Microsoft : chaque rôle de Windows Server (Active Directory, DNS, DHCP, partages, GPO) fournit un module de commandes, les cmdlets, qui permettent de tout faire et surtout de l'automatiser. Ce chapitre donne les commandes d'administration à connaître, la façon d'interroger et de modifier l'annuaire en masse, l'administration à distance avec WinRM et SSH, et les règles de sécurité de PowerShell. Les bases du langage (variables, conditions, boucles, fonctions) sont dans le cours Scripts PowerShell et Bash, qui écrit aussi un script complet de création de comptes depuis un CSV.

Windows PowerShell 5.1 et PowerShell 7

Deux PowerShell cohabitent sur un serveur :

Pour l'administration de Windows Server, les deux conviennent. Les commandes de ce cours fonctionnent dans Windows PowerShell 5.1, celui que tu trouveras sur n'importe quel serveur, y compris le jour de l'examen. Windows PowerShell 2.0, très ancien et sans les protections récentes, a été retiré de Windows Server 2025.

Les modules d'administration

Sur un contrôleur de domaine, les modules sont installés avec le rôle. Sur un poste d'administration, ils viennent avec les outils RSAT (chapitre 1).

Trouver la bonne commande

Les cmdlets suivent la forme Verbe-Nom, avec des verbes normalisés : Get (lire), New (créer), Set (modifier), Remove (supprimer), Add (ajouter à un ensemble), Enable et Disable, Install, Test. Si tu sais ce que tu veux faire, tu sais à peu près comment s'appelle la commande.

Get-Command -Module ActiveDirectory -Verb Get     # les commandes de lecture du module AD
Get-Command *DnsServerResourceRecord*              # tout ce qui touche aux enregistrements DNS
Get-Help New-ADUser -Examples                      # des exemples prêts à adapter
Get-Help New-ADUser -Parameter AccountExpirationDate
Update-Help -UICulture en-US                       # télécharger l'aide complète (en anglais)

Le pipeline : des objets, pas du texte

Une cmdlet renvoie des objets, avec des propriétés. Le pipeline | transmet ces objets à la commande suivante, qui les filtre, les trie ou les exporte, sans jamais découper du texte.

# Les 5 utilisateurs les plus récemment créés, avec leur date de création
Get-ADUser -Filter * -Properties whenCreated |
    Sort-Object whenCreated -Descending |
    Select-Object -First 5 Name, SamAccountName, whenCreated

# Nombre de comptes par service
Get-ADUser -Filter * -Properties Department |
    Group-Object Department | Select-Object Name, Count

# Exporter un annuaire simple pour l'accueil
Get-ADUser -Filter "Enabled -eq 'True'" -Properties Department, OfficePhone |
    Select-Object Name, Department, OfficePhone |
    Export-Csv ".\annuaire.csv" -Delimiter ";" -NoTypeInformation -Encoding UTF8

Get-Member affiche les propriétés et méthodes d'un objet : Get-ADUser jlefevre -Properties * | Get-Member.

Interroger l'annuaire

Les cmdlets Get-AD* acceptent trois façons de cibler.

• -Identity pour un objet précis : son nom d'ouverture de session, son DN, son SID ou son GUID.
• -Filter pour une recherche, avec une syntaxe proche de PowerShell : -eq, -ne, -like, -gt, -lt, -and, -or. Les valeurs texte se mettent entre apostrophes.
• -LDAPFilter pour une recherche en syntaxe LDAP, la même que celle des applications : (&(objectClass=user)(department=Comptabilité)).

-SearchBase limite la recherche à une OU, et -Properties demande les attributs qui ne sont pas renvoyés par défaut. Par défaut, Get-ADUser ne renvoie qu'une dizaine de propriétés (nom, DN, SID, état, UPN…) : pour filtrer ou afficher le service, le téléphone ou la dernière connexion, il faut les demander.

# Un compte, avec tous ses attributs
Get-ADUser -Identity "jlefevre" -Properties *

# Les comptes d'une OU
Get-ADUser -Filter * -SearchBase "OU=Comptabilite,OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example"

# Les comptes du service Comptabilité, où qu'ils soient
Get-ADUser -Filter "Department -eq 'Comptabilité'" -Properties Department

# Les comptes dont le mot de passe n'expire jamais (à justifier un par un)
Get-ADUser -Filter 'PasswordNeverExpires -eq $true' -Properties PasswordNeverExpires |
    Select-Object Name, SamAccountName

# Les comptes désactivés, les comptes expirés, les comptes verrouillés
Search-ADAccount -AccountDisabled -UsersOnly
Search-ADAccount -AccountExpired
Search-ADAccount -LockedOut

# Les membres d'un groupe, groupes imbriqués dépliés, et les groupes d'un compte
Get-ADGroupMember -Identity "Admins du domaine" -Recursive | Select-Object Name, ObjectClass
Get-ADPrincipalGroupMembership -Identity "kmorel" | Select-Object Name

# Les ordinateurs sous Windows 10 encore présents dans le parc
Get-ADComputer -Filter "OperatingSystem -like '*Windows 10*'" -Properties OperatingSystem |
    Select-Object Name, OperatingSystem

Modifier en masse, prudemment

Les cmdlets Set-, Move-, Enable-, Disable- acceptent les objets venus du pipeline. Une seule ligne peut modifier mille comptes : c'est sa force et son danger.

# Corriger l'attribut Company de tous les comptes de l'OU Sorbier
Get-ADUser -Filter * -SearchBase "OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example" |
    Set-ADUser -Company "Sorbier Logistique" -WhatIf

# Réinitialiser un mot de passe et forcer son changement
Set-ADAccountPassword -Identity "jlefevre" -Reset -NewPassword (Read-Host -AsSecureString "Nouveau mot de passe")
Set-ADUser -Identity "jlefevre" -ChangePasswordAtLogon $true

# Déplacer tous les postes restés dans le conteneur Computers vers l'OU des postes
Get-ADComputer -Filter * -SearchBase "CN=Computers,DC=ad,DC=sorbier,DC=example" |
    Move-ADObject -TargetPath "OU=Postes-fixes,OU=Ordinateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example"

Un script complet : les comptes inactifs

Chaque mois, Chloé Lambert doit désactiver les comptes utilisateurs inactifs depuis plus de 90 jours, sauf les comptes de service, et garder une trace. Le script :

# Désactive les comptes inactifs depuis plus de 90 jours et produit un rapport.
param(
    [int]$Jours = 90,
    [string]$SearchBase = "OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example",
    [switch]$Appliquer          # sans ce paramètre, le script ne fait que lister
)

$limite = (Get-Date).AddDays(-$Jours)
$comptes = Get-ADUser -Filter "Enabled -eq 'True'" -SearchBase $SearchBase -Properties LastLogonDate, whenCreated |
    Where-Object {
        # Jamais connecté : on regarde la date de création ; sinon la dernière connexion
        $reference = if ($_.LastLogonDate) { $_.LastLogonDate } else { $_.whenCreated }
        $reference -lt $limite -and $_.SamAccountName -notlike "svc-*"
    }

foreach ($c in $comptes) {
    if ($Appliquer) {
        Disable-ADAccount -Identity $c
        Set-ADUser -Identity $c -Description "Désactivé le $(Get-Date -Format 'dd/MM/yyyy') : inactif depuis $Jours jours"
    }
}

$comptes | Select-Object Name, SamAccountName, LastLogonDate, whenCreated |
    Export-Csv ".\inactifs-$(Get-Date -Format 'yyyy-MM-dd').csv" -Delimiter ";" -NoTypeInformation -Encoding UTF8

Write-Output "$($comptes.Count) compte(s) inactif(s) depuis $Jours jours. Appliqué : $Appliquer"

On le lance d'abord sans -Appliquer (.\Desactiver-Inactifs.ps1), on lit le rapport, puis avec (.\Desactiver-Inactifs.ps1 -Appliquer). Le comportement par défaut ne modifie rien : un script d'administration doit être sûr quand on le lance sans réfléchir. Une tâche planifiée peut ensuite l'exécuter chaque mois avec un compte de service géré (chapitre 13).

Administrer à distance : WinRM et SSH

Avec WinRM. La communication à distance PowerShell (remoting) passe par le service WinRM, sur le port TCP 5985 (HTTP, mais le contenu est chiffré par Kerberos dans un domaine) ou 5986 (HTTPS). Elle est activée par défaut sur Windows Server ; sur un poste, Enable-PSRemoting l'active.

# Une session interactive sur un serveur, comme en SSH
Enter-PSSession -ComputerName srv-ad2
# ... commandes exécutées sur srv-ad2 ...
Exit-PSSession

# Une commande sur plusieurs serveurs à la fois : l'état des services clés des contrôleurs
Invoke-Command -ComputerName srv-ad, srv-ad2 -ScriptBlock {
    Get-Service NTDS, DNS, Netlogon, Kdc, DFSR | Select-Object Name, Status
}

Invoke-Command renvoie les résultats avec une propriété PSComputerName qui indique quel serveur a répondu. Dans un domaine, l'authentification se fait par Kerberos : pas de mot de passe à saisir si ton compte a les droits sur la machine distante.

Avec SSH. PowerShell 7 sait aussi passer par SSH (Enter-PSSession -HostName srv-ad2 -UserName "SORBIER\adm0-amercier"). C'est utile pour administrer des serveurs Linux et Windows de la même façon, et Windows Server 2025 installe le serveur OpenSSH par défaut (il reste à activer le service).

Le principe du moindre privilège à distance. Le mécanisme JEA (Just Enough Administration) crée des points de connexion PowerShell restreints : un technicien du support peut s'y connecter pour redémarrer le service d'impression ou consulter des journaux, sans être administrateur du serveur. Toutes ses commandes sont journalisées. C'est l'alternative propre au « on lui donne les droits d'administrateur, ce sera plus simple ».

Sécuriser l'usage de PowerShell

PowerShell est aussi un outil prisé des attaquants : il est présent partout, puissant et légitime. Les mesures de base :

• la stratégie d'exécution (Get-ExecutionPolicy) : RemoteSigned par défaut sur Windows Server, elle refuse les scripts téléchargés non signés. Ce n'est pas une barrière de sécurité (un utilisateur peut la contourner pour sa session) mais un garde-fou contre l'exécution accidentelle ;
• la journalisation : activer par GPO la journalisation des blocs de script (Modèles d'administration > Composants Windows > Windows PowerShell > Activer la journalisation de blocs de scripts PowerShell), qui enregistre le code réellement exécuté dans l'événement 4104 du journal Microsoft-Windows-PowerShell/Operational, même s'il était masqué ; et la transcription, qui garde un fichier texte de chaque session (chapitre 14) ;
• pas de mot de passe en clair dans un script : utilise Get-Credential, Read-Host -AsSecureString, un compte de service géré, ou un coffre (module Microsoft.PowerShell.SecretManagement) ;
• la signature des scripts d'administration, avec un certificat de signature de code délivré par l'autorité de certification de l'entreprise (chapitre 16), et la stratégie AllSigned sur les serveurs sensibles ;
• le mode de langage restreint, imposé automatiquement quand une stratégie de contrôle des applications (App Control for Business, AppLocker) est active, limite ce qu'un script non approuvé peut faire.

Exercices

# 1.
Get-ADUser -Filter * -SearchBase "OU=Commercial,OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example" `
    -Properties Department | Select-Object Name, Department
# 2.
Search-ADAccount -LockedOut -UsersOnly
# 3.
Add-ADGroupMember -Identity "GG_Commerciaux" -Members "iroux", "lfontaine"
# 4.
Get-ADGroupMember -Identity "DL_Compta_M" -Recursive
# 5.
New-ADOrganizationalUnit -Name "Departs" -Path "OU=Sorbier,DC=ad,DC=sorbier,DC=example" -ProtectedFromAccidentalDeletion $true
# 6.
Get-GPO -All | Select-Object DisplayName, ModificationTime

Invoke-Command -ComputerName srv-ad, srv-ad2 -ScriptBlock {
    [pscustomobject]@{
        LibreGo = [math]::Round((Get-PSDrive C).Free / 1GB, 1)
        DNS     = (Get-Service DNS).Status
    }
} | Select-Object PSComputerName, LibreGo, DNS

$mdp = ConvertTo-SecureString "Sorbier2026!" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("SORBIER\Administrateur", $mdp)
Copy-Item "D:\Export\*.csv" "\\srv-fichiers\Compta\Imports" -Credential $cred