Cours – Windows Server et Active Directory
BTS SIO SISR 1re année – Bloc 2 – S10 – à lire avant le TP
Ce que tu dois savoir déjà
- Prérequis : S02 (comptes), S04 (adressage), S08 (DNS).
- Matériel : VirtualBox, ISO Windows Server 2022, VM cliente Windows 10/11.
À la fin de ce cours, tu sauras
- Choisir une édition de Windows Server et l'installer en VM ;
- Configurer nom, adresse IP fixe et mises à jour ;
- Expliquer la structure d'Active Directory (forêt, domaine, OU) et ses objets ;
- Promouvoir un contrôleur de domaine et joindre un poste ;
- Concevoir et créer une structure d'OU, des utilisateurs et des groupes.
FICHE DE COURS ÉLÈVE
"Windows Server, Active Directory et Structure d'Annuaire"
*Version 1.0 – BTS SIO SISR – *
I. Windows Server : Vue d'Ensemble
A. Rôle d'un Serveur Windows
Un serveur est un ordinateur (physique ou virtuel) qui fournit des services à d'autres machines (les clients). Windows Server est le système d'exploitation de Microsoft conçu pour ce rôle.
Services typiques d'un Windows Server :
| Service | Rôle Windows Server | Fonction |
|---|---|---|
| Annuaire réseau | Active Directory Domain Services (AD DS) | Centralise les comptes, authentification |
| Attribution d'IP | DHCP Server | Distribue les configurations réseau |
| Résolution de noms | DNS Server | Traduit noms ↔ IP |
| Partage de fichiers | File and Storage Services | Partages réseau |
| Impression réseau | Print and Document Services | Imprimantes partagées |
| Web intranet | IIS (Internet Information Services) | Sites web internes |
| VPN | Routing and Remote Access | Accès distant sécurisé |
| Mises à jour | WSUS | Distribution des MAJ Windows en interne |
B. Éditions de Windows Server
| Édition | Cible | Particularité |
|---|---|---|
| Essentials | TPE (≤25 utilisateurs, ≤50 appareils) | AD intégré, pas de CAL requises |
| Standard | PME, environnements non intensifs | 2 VMs incluses avec virtualisation |
| Datacenter | Grandes entreprises, cloud, virtualisation intensive | VMs illimitées, toutes fonctionnalités |
| Azure Edition | Cloud hybride Microsoft Azure | Fonctionnalités cloud-native |
Pour les TP BTS SIO : Windows Server 2022 Evaluation (180 jours, gratuit, fonctionnellement identique à Standard).
C. Modes d'Installation : Core vs Desktop Experience
| Mode | Interface | RAM | Usage |
|---|---|---|---|
| Server Core | CLI uniquement (pas de bureau) | ~1 Go | Production (sécurité renforcée) |
| Desktop Experience | Avec interface graphique (bureau classique) | ~2 Go | Apprentissage, administration visuelle |
En TP : Desktop Experience — interface graphique, plus accessible.
D. Post-Installation Indispensable
Après installation, avant tout rôle, configurer :
- Nom d'hôte :
SRV-AD-TECHPRO(descriptif, court, sans espaces) -
Paramètres → Système → Renommer ce PC
-
Adresse IP fixe : Obligatoire pour un serveur (AD, DNS, DHCP ne fonctionnent pas bien avec DHCP)
-
IPv4 statique, masque, passerelle, DNS pointant sur lui-même
-
Mises à jour Windows : Effectuer les MAJ critiques avant la promotion DC
-
Paramètres régionaux : Langue, fuseau horaire, clavier (souvent en QWERTY par défaut)
E. Le Gestionnaire de Serveur (Server Manager)
L'interface centrale d'administration de Windows Server. Lancé automatiquement au démarrage.
Onglets principaux : - Tableau de bord : Vue d'ensemble de l'état des rôles - Serveur local : Paramètres du serveur (nom, IP, pare-feu, WER…) - Tous les serveurs : Gérer plusieurs serveurs depuis une seule console - Gérer → Ajouter des rôles et fonctionnalités : Installer les rôles
II. Active Directory : Concepts Fondamentaux
A. Pourquoi Active Directory ?
Sans AD (groupe de travail / workgroup) : - Chaque PC a ses propres comptes locaux - 50 PCs = 50 × comptes à créer/gérer - Mot de passe changé sur un PC ≠ changé sur les autres - Pas de politique centralisée (longueur MDP, verrouillage…)
Avec AD (domaine) : - Un serveur centralisé gère tous les comptes - Un compte unique pour tous les PCs du domaine - Administration centralisée des politiques de sécurité - Authentification unique (SSO – Single Sign-On)
B. La Hiérarchie AD : Forêt, Arbre, Domaine
Pour 99% des PME : 1 forêt = 1 arbre = 1 domaine. La complexité multi-domaines concerne les grandes organisations.
C. Les Unités Organisationnelles (OU)
Une OU (Organizational Unit) est un conteneur dans un domaine AD. Elle sert à : - Organiser les objets (utilisateurs, ordinateurs, groupes) selon la structure de l'entreprise - Déléguer l'administration (ex : le responsable RH administre l'OU RH) - Appliquer des GPO (stratégies de groupe) à un périmètre précis
Analogie : Une OU est un dossier dans l'explorateur Windows. On peut imbriquer des OU dans des OU (sous-dossiers).
Ce qu'une OU N'EST PAS : - Une OU n'est pas un groupe de sécurité : les membres d'une OU n'héritent pas automatiquement des mêmes droits - Une OU ne peut pas être utilisée directement pour les permissions NTFS (seuls les groupes le peuvent)
Structure OU recommandée :
Bonne pratique : Séparer les utilisateurs, les ordinateurs et les groupes dans des OU distinctes, même si c'est plus verbeux. Cela facilite l'application des GPO.
D. Les Objets Active Directory
| Objet | Icône MMC | Description | Attributs principaux |
|---|---|---|---|
| Utilisateur (User) | Compte d'une personne | SAMAccountName, UPN, mot de passe, service, email… | |
| Ordinateur (Computer) | Poste ou serveur joint au domaine | Nom, OS, date de dernière connexion | |
| Groupe (Group) | Regroupement d'utilisateurs et/ou d'ordinateurs | Type (sécurité/distribution), étendue (global/domain local/universel) | |
| OU | Conteneur pour organiser les objets | Nom, GPO liées | |
| Contact | Personne externe (pas de compte) | Email, téléphone | |
| Imprimante partagée | Imprimante publiée dans l'annuaire | Nom, localisation |
E. Le Compte Utilisateur AD
Le compte AD d'un utilisateur contient :
SAMAccountName : Limité à 20 caractères. Convention courante : p.nom (première lettre prénom + point + nom). Doit être unique dans le domaine.
UPN (User Principal Name) : Format email (login@domaine). Utilisé pour l'authentification dans les applications modernes.
F. Les Groupes Active Directory
Les groupes AD servent à regrouper des utilisateurs pour leur attribuer des droits collectivement.
Type de Groupe
| Type | Usage |
|---|---|
| Sécurité | Attribuer des droits/permissions (NTFS, partages, GPO) |
| Distribution | Listes de diffusion email (Exchange/Outlook) uniquement |
→ En BTS SIO SISR : presque toujours des groupes de sécurité.
Étendue du Groupe
| Étendue | Membres possibles | Peut être utilisé pour les droits dans… | Cas d'usage |
|---|---|---|---|
| Domaine Local | Utilisateurs, groupes globaux, groupes universels du domaine ou d'autres domaines | Le domaine local uniquement | Attribuer des droits sur des ressources locales |
| Global | Utilisateurs du même domaine uniquement | N'importe quel domaine de la forêt | Regrouper des utilisateurs par rôle/service |
| Universel | Utilisateurs et groupes de n'importe quel domaine | N'importe quel domaine de la forêt | Multi-domaines (grandes organisations) |
Règle simple pour un domaine unique (99% des cas PME) :
- Créer des groupes de sécurité globaux (GRP_Informatique, GRP_Commercial…)
- Ajouter les utilisateurs dans ces groupes
- Attribuer les droits aux groupes (et non aux utilisateurs directement)
G. Nommer les Objets AD : Conventions
Une bonne convention de nommage évite les confusions et facilite l'administration.
Conventions courantes :
| Type d'objet | Préfixe | Exemple |
|---|---|---|
| OU Utilisateurs | OU_ |
OU_Informatique |
| OU Ordinateurs | PC_ |
PC_Informatique |
| Groupes de sécurité | GRP_ |
GRP_Informatique |
| Groupes de distribution | DL_ |
DL_Commercial |
| SAMAccountName utilisateur | p.nom |
j.martin, e.petit |
| Nom d'hôte serveur | SRV- |
SRV-AD-01, SRV-FICHIER |
| Nom d'hôte poste client | PC- |
PC-COM-01, PC-INFO-05 |
H. La Console ADUC (Active Directory Users and Computers)
La console MMC principale pour administrer AD.
Accès :
- Démarrer → Outils d'administration Windows → Utilisateurs et ordinateurs Active Directory
- Ou dsa.msc dans Exécuter
Actions principales (clic droit dans ADUC) :
| Action | Clic droit sur… | Menu |
|---|---|---|
| Créer une OU | Le domaine ou une OU | Nouveau → Unité d'organisation |
| Créer un utilisateur | Une OU | Nouveau → Utilisateur |
| Créer un groupe | Une OU | Nouveau → Groupe |
| Déplacer un objet | L'objet | Déplacer… |
| Réinitialiser MDP | Un utilisateur | Réinitialiser le mot de passe |
| Désactiver un compte | Un utilisateur | Désactiver le compte |
| Ajouter au groupe | Un utilisateur | Ajouter à un groupe |
| Propriétés complètes | N'importe quel objet | Propriétés |
III. Tableau de Correspondance Complet
| Concept entreprise | Objet AD | Commande / Console |
|---|---|---|
| Entreprise | Domaine | dcpromo / Server Manager |
| Service/Département | OU | ADUC → Nouveau → OU |
| Employé | Utilisateur | ADUC → Nouveau → Utilisateur |
| PC professionnel | Ordinateur | Joint au domaine depuis le PC |
| Équipe/rôle | Groupe (global, sécurité) | ADUC → Nouveau → Groupe |
| Règle de sécurité | GPO (Group Policy Object) | GPMC – S11 |
| Administrateur délégué | Délégation de contrôle | ADUC → Déléguer le contrôle |
IV. Vocabulaire Clé
| Terme | Définition |
|---|---|
| Active Directory (AD) | Service d'annuaire de Microsoft – centralise l'authentification et la gestion des ressources réseau |
| Contrôleur de domaine (DC) | Serveur Windows hébergeant la base de données AD et gérant l'authentification |
| Domaine | Unité administrative AD identifiée par un nom DNS (ex: techpro.local) |
| Forêt (Forest) | Ensemble de domaines partageant un schéma AD commun – périmètre de sécurité ultime |
| Arbre (Tree) | Ensemble de domaines partageant un espace de noms DNS continu |
| OU | Unité Organisationnelle – conteneur AD pour organiser les objets et appliquer des GPO |
| Utilisateur (User) | Objet AD représentant le compte d'une personne |
| Ordinateur (Computer) | Objet AD représentant un PC ou serveur joint au domaine |
| Groupe (Group) | Objet AD regroupant des utilisateurs/ordinateurs pour leur attribuer des droits collectivement |
| GPO | Group Policy Object – stratégie de groupe appliquée à une OU (S11) |
| SAMAccountName | Identifiant court de connexion réseau (ex: j.martin) – max 20 caractères |
| UPN | User Principal Name – identifiant format email (j.martin@techpro.local) |
| DSRM | Directory Services Restore Mode – mode de récupération du DC, protégé par un mot de passe spécifique |
| Domaine local | Étendue de groupe : droits applicables dans le domaine local uniquement |
| Groupe global | Étendue de groupe : membres du domaine local, droits dans toute la forêt |
| Promotion DC | Opération qui transforme un Windows Server en contrôleur de domaine |
| AD DS | Active Directory Domain Services – rôle Windows Server hébergeant l'annuaire |
| ADUC | Active Directory Users and Computers – console MMC principale d'administration AD |
| dsa.msc | Commande pour ouvrir la console ADUC |
| Niveau fonctionnel | Version des fonctionnalités AD disponibles (lié à la version des DC du domaine) |
V. Exercices d'Entraînement
Exercice 1 : Identifier les Objets AD
Pour chaque élément, dire s'il s'agit d'un Utilisateur, Ordinateur, Groupe, OU ou Domaine :
1. GRP_Comptabilité → ?
Correction de la question 1
Groupe (préfixe GRP_) : il sert à regrouper des utilisateurs pour leur attribuer des droits.
2. PC-FIN-08 (machine jointe au domaine) → ?
Correction de la question 2
Ordinateur : une machine jointe au domaine a son propre compte dans l'annuaire.
3. Service Financier (conteneur dans AD) → ?
Correction de la question 3
OU (unité d'organisation) : un conteneur qui range des objets et reçoit des GPO.
4. marie.dupont (login réseau) → ?
Correction de la question 4
Utilisateur : c'est son identifiant de connexion (SAMAccountName).
5. finance.entreprise.local → ?
Correction de la question 5
Domaine (ici un sous-domaine de entreprise.local).
6. DL_Newsletter_Clients → ?
Correction de la question 6
Groupe de distribution : selon la convention de nommage du cours, DL_ désigne un groupe de distribution, c'est-à-dire une liste de diffusion de courriels, sans droits d'accès.
7. SRV-FILE-01 (serveur de fichiers joint) → ?
Correction de la question 7
Ordinateur : un serveur membre du domaine est un compte ordinateur comme un poste de travail.
Exercice 2 : Concevoir une Structure OU
L'entreprise BioMed SARL (cabinet médical) a la structure suivante :
1. Proposer la structure OU complète pour ce domaine
Correction de la question 1
Une OU par service, avec à l'intérieur des sous-OU qui séparent utilisateurs, ordinateurs et groupes (pratique qui facilite l'application des GPO) :
La structure reprend l'organisation de l'entreprise : elle sert à déléguer l'administration et à appliquer des GPO par service. Elle est distincte des groupes, qui servent aux droits d'accès.
2. Proposer les SAMAccountName pour chaque utilisateur
Correction de la question 2
Convention courante : prénom.nom en minuscules, sans accent ni espace, 20 caractères au maximum. L'énoncé ne donne pas tous les noms de famille : avec les informations disponibles, lefebvre, rousseau, claire, marc, anne, pierre, thomas. Avec les noms complets on aurait par exemple claire.martin. L'UPN correspondant serait claire.martin@biomed.local.
3. Proposer 3 groupes pertinents avec leur type et étendue
Correction de la question 3
| Groupe | Type | Étendue | Rôle |
|---|---|---|---|
GG_Medical |
Sécurité | Globale | Regroupe les médecins et le personnel infirmier |
DL_Dossiers_Patients_RW |
Sécurité | Domaine local | Porte le droit de modification sur le partage des dossiers patients ; contient GG_Medical |
DL_Personnel |
Distribution | Globale | Liste de diffusion des courriels destinés à tout le personnel |
Principe AGDLP : les comptes (A) vont dans des groupes globaux (G), qui vont dans des groupes de domaine local (DL), auxquels on donne les droits (P) sur la ressource.
4. Quel nom de domaine suggérer ? (justifier)
Correction de la question 4
Pour le TP, biomed.local (nom NetBIOS BIOMED) : simple et cohérent avec le reste du cours. En production, on préfère un sous-domaine d'un nom de domaine que l'entreprise possède, par exemple ad.biomed-sarl.fr : .local est réservé à la résolution multicast (mDNS) et peut provoquer des conflits, alors qu'un nom public évite les collisions et permet d'obtenir des certificats.
Exercice 3 : Questions de Cours
1. Quelle est la différence entre un groupe de sécurité et un groupe de distribution ?
Correction de la question 1
Un groupe de sécurité peut recevoir des permissions (droits sur des dossiers, filtrage de GPO) et servir de liste de diffusion. Un groupe de distribution ne sert qu'à envoyer des courriels : il n'est pas utilisable dans les permissions.
2. Pourquoi faut-il une IP fixe sur le serveur AVANT la promotion DC ?
Correction de la question 2
Le contrôleur de domaine est aussi le serveur DNS : les clients le trouvent par son adresse et par les enregistrements SRV qu'il publie. Si son adresse changeait (DHCP), ils ne le joindraient plus. L'assistant de promotion refuse ou avertit d'une configuration en DHCP. Le DC doit aussi utiliser lui-même son DNS.
3. Peut-on appliquer une GPO directement sur un groupe de sécurité ? Et sur une OU ?
Correction de la question 3
Une GPO se lie à un site, un domaine ou une OU, pas à un groupe. On peut en revanche filtrer son application avec un groupe de sécurité (filtrage de sécurité) : seuls les membres du groupe reçoivent la GPO liée à l'OU.
4. Quelle est la différence entre SAMAccountName et UPN ?
Correction de la question 4
Le SAMAccountName est l'ancien identifiant de connexion (BIOMED\claire.martin), limité à 20 caractères et unique dans le domaine. L'UPN (User Principal Name) a la forme d'une adresse (claire.martin@biomed.local), est unique dans la forêt et peut être différent du nom de domaine, par exemple l'adresse de messagerie.
5. Qu'est-ce que le mot de passe DSRM et à quoi sert-il ?
Correction de la question 5
DSRM (Directory Services Restore Mode) est le mot de passe de l'administrateur local du contrôleur de domaine, défini lors de la promotion. Il permet de démarrer le DC en mode restauration pour réparer ou restaurer la base Active Directory. Il doit être conservé en lieu sûr.
VI. Auto-évaluation : Suis-je Prêt ?
- Nommer les 3 éditions principales de Windows Server et leur cible
- Expliquer la différence Server Core vs Desktop Experience
- Lister les 4 paramètres à configurer après installation (nom, IP, MAJ, région)
- Expliquer la hiérarchie Forêt → Arbre → Domaine → OU
- Différencier OU et Groupe (rôle de chacun)
- Expliquer SAMAccountName vs UPN
- Différencier groupe de sécurité vs groupe de distribution
- Différencier groupe global vs domaine local
- Installer Windows Server 2022 dans une VM
- Configurer IP fixe + nom d'hôte post-installation
- Promouvoir le serveur en contrôleur de domaine (AD DS)
- Créer des OU dans ADUC
- Créer des utilisateurs dans une OU avec mot de passe
- Créer des groupes et y ajouter des utilisateurs