TP – Comptes locaux et permissions NTFS

BTS SIO SISR 1re année – Bloc 2 – S02

Note

But. Situation : Quatre nouveaux salariés arrivent : quels comptes leur créer, avec quels droits, et comment protéger leurs dossiers ?

Comment ce TP fonctionne. Avant de manipuler, tu écris ce que tu anticipes (« J'anticipe »). Puis tu testes et tu notes ce que tu constates. Tu comprends ce que fait chaque commande (« Je comprends »). Un bilan de compétences clôt la séance. Les parties de services (Linux, Windows Server) se font sur des machines virtuelles réelles ; le simulateur réseau ou Packet Tracer servent aux manipulations d'équipements réseau.

IV. TP Guidé Partie 1 : Création et Gestion de Comptes Locaux (30 min)

Objectif

Créer 4 comptes utilisateurs locaux avec des rôles différents et comprendre les types de comptes.

Scénario

Vous êtes technicien chez TechPro SARL. On vous demande de créer les comptes pour 4 nouveaux employés :

Marie MARTIN - Directrice Générale (compte Administrateur)
Paul DUBOIS - Comptable (compte Utilisateur standard)
Sophie LEROUX - Développeuse (compte Utilisateur standard)
Thomas PETIT - Stagiaire Commercial (compte Utilisateur standard)

Étape 1 : Création des Comptes (Méthode Paramètres - 15 min)

Pour chaque compte, suivre ces étapes :

Ouvrir les Paramètres (Windows + I)
Comptes → Famille et autres utilisateurs
Ajouter un autre utilisateur sur ce PC
Je ne dispose pas des informations de connexion → Ajouter un utilisateur sans compte Microsoft
Remplir :
Compte 1 :
- Nom : mmartin
- Mot de passe : Azerty123!
- Questions de sécurité : Au choix
Compte 2 :
- Nom : pdubois
- Mot de passe : Azerty123!
Compte 3 :
- Nom : sleroux
- Mot de passe : Azerty123!
Compte 4 :
- Nom : tpetit
- Mot de passe : Azerty123!
Clic sur Suivant pour chaque compte

Validation : Les 4 comptes apparaissent dans la liste "Autres utilisateurs".

Étape 2 : Promouvoir mmartin en Administrateur (5 min)

Dans Paramètres → Comptes → Famille et autres utilisateurs
Clic sur mmartin
Modifier le type de compte
Sélectionner Administrateur
OK

Validation : Badge "Administrateur" visible à côté de "mmartin".

Étape 3 : Vérification avec PowerShell (5 min)

Ouvrir PowerShell (Clic droit Démarrer → Windows PowerShell)
Taper :
```
Get-LocalUser
```
Vérifier que les 4 comptes apparaissent dans la liste
Voir les membres du groupe Administrateurs :
```
Get-LocalGroupMember -Group "Administrateurs"
```
"mmartin" doit apparaître (+ votre compte initial)
Voir les membres du groupe Utilisateurs :
```
Get-LocalGroupMember -Group "Utilisateurs"
```
"pdubois", "sleroux", "tpetit" doivent apparaître

Étape 4 : Test de Connexion (5 min)

Déconnexion (Ctrl+Alt+Suppr → Déconnexion)
Se connecter avec "pdubois" (mot de passe : Azerty123!)
Essayer d'ouvrir Gestion de l'ordinateur (compmgmt.msc)
Compte standard : Devrait demander un mot de passe administrateur (UAC)
Déconnexion
Se connecter avec "mmartin"
Ouvrir Gestion de l'ordinateur
Compte administrateur : Devrait s'ouvrir directement (ou avec simple confirmation UAC)

TP Partie 1 terminé !

J'anticipe. Un utilisateur standard peut-il installer un logiciel pour tout le monde ? Que se passe-t-il quand il essaie ? ______________________

Éléments de réponse

Non : l'installation pour tous les utilisateurs exige des droits d'administrateur. Windows affiche une demande d'identification d'administrateur (contrôle de compte d'utilisateur, UAC) : c'est la protection du moindre privilège.

V. TP Guidé Partie 2 : Configuration des Permissions NTFS (60 min)

Objectif

Mettre en place une structure de dossiers avec permissions NTFS pour séparer les accès selon les services de l'entreprise.

Scénario

TechPro SARL a 4 services (Direction, Comptabilité, Commercial, Technique). Vous devez créer une structure de dossiers partagés avec des droits d'accès différenciés.

Étape 1 : Création de la Structure de Dossiers (5 min)

Se connecter en tant qu'Administrateur (mmartin ou votre compte initial)
Ouvrir Explorateur de fichiers
Créer à la racine de C: un dossier Data :
Aller sur C:\
Clic droit → Nouveau → Dossier → Nommer Data
Dans C:\Data\, créer 5 sous-dossiers :
Direction
Comptabilite
Commercial
Technique
Commun

Structure finale :

C:\Data
  ├── Direction
  ├── Comptabilite
  ├── Commercial
  ├── Technique
  └── Commun

Validation : Les 5 dossiers sont visibles dans C:\Data\

Étape 2 : Création des Groupes Locaux (10 min)

Ouvrir Gestion de l'ordinateur (compmgmt.msc)
Outils système → Utilisateurs et groupes locaux → Groupes
Clic droit zone vide → Nouveau groupe...

Créer 4 groupes :

Nom du groupe	Description	Membres à ajouter
`GRP_Direction`	Service Direction	mmartin
`GRP_Comptabilite`	Service Comptabilité	pdubois
`GRP_Commercial`	Service Commercial	tpetit
`GRP_Technique`	Service Technique	sleroux

Procédure pour chaque groupe : 1. Nom du groupe : GRP_Direction 2. Description : Service Direction 3. Clic sur Ajouter... 4. Taper mmartin → Vérifier les noms → OK 5. Clic sur Créer → Fermer

Répéter pour les 3 autres groupes.

Validation : 4 groupes créés et visibles dans "Groupes", chacun avec au moins 1 membre.

Étape 3 : Configuration des Permissions du Dossier "Direction" (10 min)

Objectif : Seul le groupe GRP_Direction a accès en Modification. Tous les autres : aucun accès.

Clic droit sur C:\Data\Direction → Propriétés
Onglet Sécurité
Clic sur Avancé
Désactiver l'héritage → Supprimer toutes les permissions héritées
Attention : Le dossier n'a maintenant PLUS AUCUNE permission (même pas pour vous !)
Clic sur Ajouter
Sélectionner un principal → Taper Administrateurs → OK
Permissions de base → Cocher Contrôle total
OK
Répéter l'ajout pour GRP_Direction :
Ajouter → GRP_Direction → OK
Cocher Modification
OK
Appliquer → OK → OK

Validation : - Propriétés → Sécurité du dossier Direction affiche : - Administrateurs (Contrôle total) - GRP_Direction (Modification)

Étape 4 : Configuration des Autres Dossiers (20 min)

Appliquer le même principe pour les 4 autres dossiers :

Dossier Comptabilite

Désactiver l'héritage → Supprimer tout
Ajouter Administrateurs (Contrôle total)
Ajouter GRP_Comptabilite (Modification)
Ajouter GRP_Direction (Lecture seule)

Dossier Commercial

Désactiver l'héritage → Supprimer tout
Ajouter Administrateurs (Contrôle total)
Ajouter GRP_Commercial (Modification)
Ajouter GRP_Direction (Lecture seule)

Dossier Technique

Désactiver l'héritage → Supprimer tout
Ajouter Administrateurs (Contrôle total)
Ajouter GRP_Technique (Modification)
Ajouter GRP_Direction (Lecture seule)

Dossier Commun

Désactiver l'héritage → Supprimer tout
Ajouter Administrateurs (Contrôle total)
Ajouter GRP_Direction (Modification)
Ajouter GRP_Comptabilite (Lecture)
Ajouter GRP_Commercial (Lecture)
Ajouter GRP_Technique (Lecture)

Étape 5 : Tests des Permissions (15 min)

Créer des fichiers de test dans chaque dossier (en tant qu'admin) :

Dans Direction : Créer StrategieConfidentielle.docx
Dans Comptabilite : Créer Bilan2024.xlsx
Dans Commercial : Créer Contrats.docx
Dans Technique : Créer Documentation.pdf
Dans Commun : Créer Procedures.txt

Test 1 : Connexion avec "pdubois" (Comptable)

Déconnexion → Se connecter avec pdubois
Aller dans C:\Data\
Tester :
Autorisé : Comptabilite : Double-clic → Doit s'ouvrir, on peut ouvrir et modifier Bilan2024.xlsx
Refusé : Direction : Double-clic → "Vous n'avez pas les autorisations..." (accès refusé)
Refusé : Commercial : Accès refusé
Refusé : Technique : Accès refusé
Autorisé : Commun : Doit s'ouvrir, on peut lire Procedures.txt mais pas le modifier (erreur si on essaie de sauvegarder)

Autorisé : Validation : Comportement conforme à la matrice de permissions.

Test 2 : Connexion avec "mmartin" (Directrice)

Déconnexion → Se connecter avec mmartin
Tester :
À faire : Direction : Accès complet (lecture + modification)
À faire : Comptabilite : Lecture seule (peut ouvrir Bilan2024.xlsx mais erreur si modification)
À faire : Commercial : Lecture seule
À faire : Technique : Lecture seule
À faire : Commun : Accès complet (modification)

Validation : La Directrice a accès partout (sauf modification des dossiers métiers, par respect du moindre privilège).

Test 3 : Connexion avec "tpetit" (Stagiaire Commercial)

Déconnexion → Se connecter avec tpetit
Tester :
Refusé : Direction : Accès refusé
Refusé : Comptabilite : Accès refusé
Autorisé : Commercial : Accès complet
Refusé : Technique : Accès refusé
Autorisé : Commun : Lecture seule

Autorisé : TP Partie 2 terminé !

J'anticipe. Un utilisateur est membre du groupe « Comptables » (droit : lecture) et du groupe « RH » (droit : modification) sur un même dossier. Quel est son droit effectif ? Et si le groupe « Comptables » avait un refus en écriture ? ______________________

Éléments de réponse

Les droits s'additionnent : lecture + modification donne la modification. Avec un refus explicite en écriture pour « Comptables », le refus l'emporte : l'utilisateur ne peut plus écrire, même s'il l'est par « RH ». Vérifie avec l'onglet Accès effectif.

VI. Vocabulaire Clé à Maîtriser pour l'Examen

Terme	Définition
Système d'exploitation (OS)	Logiciel assurant la liaison entre matériel et applications, gérant ressources et utilisateurs
Noyau (Kernel)	Cœur de l'OS, s'exécutant en mode privilégié avec accès direct au matériel
CLI (Command Line Interface)	Interface en ligne de commande (texte uniquement) - Ex: PowerShell, Bash
GUI (Graphical User Interface)	Interface graphique (fenêtres, icônes, souris) - Ex: Windows 10, macOS
Compte utilisateur	Identité numérique permettant de s'authentifier et d'accéder à des ressources
Compte local	Compte créé sur une machine spécifique, valable uniquement sur cette machine
Compte de domaine	Compte créé dans Active Directory, valable sur toutes les machines du domaine
Administrateur	Compte avec droits complets sur le système (installation, modification, gestion utilisateurs...)
Utilisateur standard	Compte avec droits limités (usage normal, sans modification système)
Groupe	Ensemble d'utilisateurs partageant les mêmes droits (facilite la gestion)
UAC (User Account Control)	Mécanisme Windows demandant confirmation avant actions sensibles
Active Directory (AD)	Service d'annuaire Microsoft pour gestion centralisée des comptes, machines, stratégies
NTFS	New Technology File System, système de fichiers Windows avec permissions avancées
ACL (Access Control List)	Liste des permissions associées à un fichier/dossier (qui peut faire quoi)
Permissions NTFS	Droits d'accès sur fichiers/dossiers : Lecture, Écriture, Modification, Contrôle total...
Héritage des permissions	Mécanisme de transmission automatique des permissions du parent aux enfants
Deny (Refuser)	Permission de refus explicite (prioritaire sur Autoriser)
Allow (Autoriser)	Permission d'autorisation explicite
Permissions effectives	Droits réels d'un utilisateur tenant compte de tous ses groupes et héritages
Principe du moindre privilège	Donner uniquement les droits strictement nécessaires (sécurité maximale)
SAM (Security Account Manager)	Base de données locale Windows stockant les comptes et mots de passe (hashés)
GPO (Group Policy Object)	Stratégie de groupe permettant de configurer automatiquement des paramètres (domaine AD)
RGPD	Règlement Général sur la Protection des Données, impose gestion stricte des droits d'accès

VII. Questions de Réflexion (Pour aller plus loin)

Réfléchissez à chaque question avant d'ouvrir la réponse.

1. Pourquoi est-il dangereux d'utiliser un compte Administrateur au quotidien ?

Piste : Malwares, fausses manipulations, principe moindre privilège

Réponse

Tout ce qui s'exécute avec ce compte hérite de tous les droits : un logiciel malveillant ouvert par erreur peut s'installer, désactiver l'antivirus ou chiffrer le système, et une fausse manipulation peut supprimer des fichiers critiques. Le principe du moindre privilège impose de travailler en compte standard et de n'élever ses droits (UAC, sudo) que pour la tâche qui l'exige.

2. Un employé quitte l'entreprise. Vaut-il mieux supprimer son compte ou le désactiver ?

Réponse

Désactiver d'abord (garder traçabilité, récupération fichiers), supprimer après 3-6 mois

3. Comment gérer 200 employés sans créer 200 comptes locaux ?

Réponse

Active Directory (comptes de domaine centralisés)

4. Pourquoi utiliser des groupes plutôt que donner des permissions individuellement ?

Réponse

Gain temps, cohérence, moins d'erreurs, scalabilité

5. Un utilisateur a Lecture via le groupe A, Modification via le groupe B, et Deny Écriture via le groupe C. Quel est son accès réel ?

Réponse

Lecture seule (Deny annule l'autorisation Modification)

6. Pourquoi NTFS est-il obligatoire pour les permissions Windows ?

Réponse

FAT32 ne supporte pas les ACL (permissions)

7. Comment un ransomware peut-il chiffrer tous les fichiers d'une entreprise si les utilisateurs sont en comptes standards ?

Réponse

Il chiffre les fichiers accessibles par l'utilisateur (ses documents + dossiers partagés avec Modification). D'où l'importance de sauvegardes offline !

VIII. Ressources pour Approfondir

Documentation Microsoft : - Gestion des comptes utilisateurs locaux - Comprendre les permissions NTFS - Principe du moindre privilège

Vidéos YouTube : - "Créer des utilisateurs Windows 10" - Tutoriel complet - "Permissions NTFS expliquées simplement" - Vulgarisation - "Active Directory pour débutants" - Introduction

Outils avancés (pour aller plus loin) : - Process Monitor (Sysinternals) : Voir les accès fichiers en temps réel (détection de permissions manquantes) - icacls (CLI) : Gérer les permissions NTFS en ligne de commande - whoami /groups : Voir tous les groupes dont on est membre

Auto-évaluation : Suis-je Prêt ?

Après avoir terminé cette séance, je suis capable de :

Bilan de la séance

Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation) ; Non évalué si tu n'as pas travaillé la compétence aujourd'hui.

Compétence du référentiel	Ce que j'ai fait dans cette séance	Niveau
B2.2 – Installer, tester et déployer une solution d'infrastructure réseau
B2.3 – Exploiter, dépanner et superviser une solution d'infrastructure réseau
B3.3 – Sécuriser les équipements et les usages des utilisateurs

Note

Les codes sont ceux du référentiel (l'arrêté numérote des activités : les codes « B… » sont un usage courant).

Je sais faire, sans aide :

Expliquer le rôle d'un système d'exploitation et comparer Windows, Linux et macOS en entreprise ;
Créer et gérer des comptes locaux, distinguer administrateur et utilisateur standard ;
Configurer les permissions NTFS sur un dossier et lire les permissions effectives ;
Appliquer le principe du moindre privilège ;
Différencier compte local et compte de domaine (introduction à Active Directory).

Ce que je dois reprendre : ______________________

Ma question à poser à l'enseignant : ______________________