Tutoriel Active Directory pour débutants

Dans ce tutoriel Active Directory pour débutants, nous vous montrerons comment installer, configurer et utiliser Active Directory. Vous pouvez également obtenir cet eBook PDF Active Directory en fournissant votre adresse e-mail et le tutoriel AD vous sera envoyé par courriel.

Qu'est-ce que Active Directory ?

Commençons ce tutoriel Active Directory en définissant ce qu'est exactement Active Directory. Microsoft Active Directory (AD) est un composant essentiel du système d'exploitation Server. Il s'agit d'un annuaire (base de données) et d'un ensemble de services qui permettent un accès sécurisé aux ressources dans un environnement Windows en réseau. D'autres types d'environnements disposent de différents services d'annuaire ; par exemple, OpenLDAP est utilisé dans divers environnements Unix/Linux.

Avantages de Active Directory

Active Directory offre une large gamme d'avantages pour les organisations de toutes tailles, c'est donc un composant fondamental de nombreuses infrastructures informatiques. Voici quelques-uns des avantages clés de l'utilisation d'Active Directory :

• Active Directory offre des services centralisés d'authentification et d'autorisation qui permettent aux utilisateurs de se connecter au réseau et d'accéder aux ressources pour lesquelles les administrateurs leur ont accordé des permissions d'accès.
• Active Directory prend en charge l'authentification unique (SSO), ce qui permet aux utilisateurs d'accéder à plusieurs ressources sur le réseau sans avoir à se connecter séparément à chaque ressource.
• AD inclut Group Policy, qui permet aux administrateurs de définir et d'appliquer des paramètres de sécurité, des configurations et des politiques sur plusieurs ordinateurs et utilisateurs au sein du réseau.
• Active Directory sert de référentiel central pour la gestion des ressources réseau telles que les utilisateurs, les groupes, les ordinateurs, les imprimantes et les appareils réseau.
• AD stocke des informations sur les objets réseau tels que les utilisateurs, les groupes, les ordinateurs et les imprimantes dans une base de données hiérarchique structurée.
• Active Directory offre des fonctionnalités de sécurité telles que le chiffrement, les contrôles d'accès et l'audit pour protéger les informations sensibles et garantir la conformité aux normes de sécurité.
• Active Directory est conçu pour évoluer avec la croissance d'une organisation, prenant en charge des milliers voire des millions d'utilisateurs, d'ordinateurs, de groupes et d'autres objets au sein d'un seul annuaire.
• Active Directory s'intègre de manière transparente avec d'autres produits et services Microsoft, tels que Microsoft Exchange Server, SharePoint, Microsoft 365 (anciennement Office 365) et les services Azure, offrant une solution unifiée de gestion des identités et des accès dans l'écosystème Microsoft.

À quoi sert Active Directory ?

Les services que AD fournit ou prend en charge incluent :

• Authentification — Active Directory fournit l'authentification, qui est le processus de vérification que les utilisateurs sont bien ceux qu'ils prétendent être. Active Directory prend en charge la connexion unique, permettant aux utilisateurs de s'authentifier une fois puis d'accéder à plusieurs ressources à travers le réseau.
• Autorisation — Active Directory gère également l'autorisation, qui est le processus permettant de déterminer si un utilisateur peut accéder aux ressources demandées en utilisant des critères tels que ses rôles et son appartenance à des groupes de sécurité.
• Gestion des ressources — Active Directory sert de répertoire central pour la gestion des ressources réseau telles que les ordinateurs, serveurs, imprimantes et appareils réseau. Il permet aux administrateurs d'organiser ces ressources en groupements logiques, facilitant ainsi la gestion et l'allocation des ressources au sein du réseau.
• Group Policy — AD comprend Group Policy, qui permet aux administrateurs de définir et d'appliquer des politiques de sécurité, des paramètres et des configurations sur plusieurs ordinateurs et utilisateurs au sein du réseau. Cela garantit la cohérence des configurations et aide à faire respecter les normes de sécurité.
• Les services d'annuaire — Active Directory stocke des informations sur les objets réseau tels que les utilisateurs, les groupes, les ordinateurs et les imprimantes dans une base de données hiérarchique structurée appelée l'annuaire. Ce service d'annuaire offre un moyen évolutif et efficace d'organiser et d'accéder aux informations concernant les ressources réseau.
• LDAP — Active Directory prend en charge le protocole Lightweight Directory Access Protocol (LDAP), qui offre une méthode standard pour accéder aux données d'annuaire et les interroger. LDAP permet aux applications et aux services d'interagir avec l'annuaire pour l'authentification, la récupération d'informations et d'autres objectifs.
• DNS — Active Directory s'intègre au Domain Name System (DNS) pour fournir des services de résolution de noms au sein du réseau. Le DNS permet aux utilisateurs et aux ordinateurs de localiser les contrôleurs de domaine et d'autres ressources réseau en utilisant des noms conviviaux (tels que les noms d'hôte) plutôt que des adresses IP.
• Les relations de confiance — Active Directory prend en charge les relations de confiance entre les domaines pour permettre aux utilisateurs et aux ressources d'un domaine d'accéder aux ressources d'un autre domaine. Les relations de confiance sont automatiquement établies entre tous les domaines d'une forêt, ce qui permet aux utilisateurs d'accéder de manière transparente aux ressources à travers les domaines. Les administrateurs peuvent également établir des confiances externes pour permettre aux utilisateurs d'un domaine Active Directory d'accéder aux ressources d'un autre domaine dans une forêt différente. Les confiances peuvent être unidirectionnelles ou bidirectionnelles. Avec une confiance unidirectionnelle, les utilisateurs d'un domaine peuvent accéder aux ressources d'un autre domaine, mais l'inverse n'est pas vrai. Dans une confiance bidirectionnelle, les utilisateurs des deux domaines peuvent accéder aux ressources de l'autre domaine. Par exemple, une confiance externe bidirectionnelle pourrait être établie entre des organisations partenaires pour faciliter la collaboration. Les deux types de confiances peuvent être transitives ou non transitives. Une confiance non transitive est limitée aux domaines spécifiques concernés. Une confiance transitive permet d'accéder aux ressources dans d'autres domaines de confiance dans la même forêt. Par exemple, supposons qu'il existe une confiance transitive entre le Domaine A et le Domaine B. Si le Domaine B fait confiance au Domaine C, alors le Domaine A fait également confiance au Domaine C.
• La réplication — Active Directory utilise une réplication multi-maître pour garantir que les données de l'annuaire sont synchronisées sur tous les contrôleurs de domaine au sein du domaine. La réplication assure la cohérence des données et la tolérance aux pannes, permettant aux utilisateurs d'accéder aux informations de l'annuaire même si certains contrôleurs de domaine ne sont pas disponibles.

Structure Active Directory

Active Directory a une structure hiérarchique avec les composants suivants :

• Forêt — La forêt est le conteneur de plus haut niveau dans Active Directory et une frontière de sécurité. Elle contient un ou plusieurs domaines, qui partagent tous un schéma commun, des configurations et un catalogue global. Le premier domaine créé dans la forêt est le domaine racine de la forêt ; les domaines ajoutés à la forêt par la suite sont appelés domaines enfants. Les organisations ont typiquement une seule forêt, mais elles peuvent en avoir plusieurs.
• Arbre — Un arbre est une structure hiérarchique au sein d'une forêt AD qui consiste en un ou plusieurs domaines arrangés dans un espace de noms contigu. Le domaine racine de l'arbre est le premier domaine créé au sein de l'arbre. Les sous-domaines créés sous le domaine racine sont appelés domaines enfants, et des domaines enfants supplémentaires peuvent être créés sous ces domaines enfants, formant ainsi une structure d'arbre hiérarchique. Les domaines au sein du même arbre partagent un espace de noms contigu et sont connectés par des relations de confiance transitives, permettant aux utilisateurs et aux ressources d'accéder aux ressources à travers les domaines au sein du même arbre.
• Domaine — Un domaine est un groupe d'utilisateurs, d'ordinateurs et d'autres objets qui sont stockés dans une seule base de données Active Directory et peuvent être gérés ensemble. Chaque domaine possède ses propres politiques de sécurité, relations de confiance et contrôleurs de domaine. Par exemple, une organisation peut avoir un domaine pour chacun de ses emplacements, qui est géré par l'équipe informatique locale.
• Unité organisationnelle (OU) — Les unités organisationnelles sont des conteneurs au sein d'un domaine qui sont utilisés pour organiser et gérer des sous-ensembles d'objets AD dans ce domaine. Par exemple, le domaine de la succursale de San Francisco d'une entreprise pourrait avoir des OUs pour chaque département là-bas, tels que Ventes et Finance.
• Objet AD — Les objets Active Directory incluent des comptes d'utilisateurs, des comptes d'ordinateurs, ainsi que des groupes de sécurité et de distribution. Chaque objet AD possède un ensemble d'attributs. Par exemple, les attributs d'un compte utilisateur comprennent son nom d'utilisateur, mot de passe, informations de contact, rôles et groupes.

Contrôleurs de domaine Active Directory

Chaque domaine possède un ou plusieurs contrôleurs de domaine. Les DC sont les serveurs qui stockent la base de données Active Directory et fournissent des services d'annuaire tels que l'authentification et l'autorisation. Tous les contrôleurs de domaine exécutent le système d'exploitation Windows Server.
Si un domaine a plusieurs DC, les modifications apportées à la base de données AD sur un DC sont répliquées sur les autres. Cette redondance offre une tolérance aux pannes en cas de problème avec un DC.

Comment mettre en place un contrôleur de domaine

Pour créer un contrôleur de domaine, vous devez effectuer deux étapes :

• Installez le rôle Active Directory Domain Services (AD DS) sur une machine Windows Server.
• Promouvez le serveur en tant que contrôleur de domaine.

Ces étapes sont détaillées ci-dessous.

Installez le rôle Active Directory Domain Services sur un serveur Windows

1. Connectez-vous au serveur Windows en utilisant un compte avec des privilèges administratifs. Ouvrez le Gestionnaire de serveur soit en cliquant sur l'icône du Gestionnaire de serveur dans la barre des tâches, soit en recherchant "Gestionnaire de serveur" dans le menu Démarrer.
2. Dans le menu supérieur, cliquez sur Gérer et sélectionnez Ajouter des rôles et fonctionnalités.
3. Dans l'assistant Ajout de rôles et de fonctionnalités, sélectionnez Installation basée sur un rôle ou une fonctionnalité et cliquez sur Suivant.
4. Assurez-vous que le bon serveur est sélectionné et cliquez sur Suivant.
5. Sur la page « Sélectionner les rôles de serveur », cliquez sur Active Directory Domain Services. Dans la fenêtre pop-up, cliquez sur Ajouter des fonctionnalités.
6. Sur la page « Sélectionner les fonctionnalités », ne sélectionnez aucune fonctionnalité supplémentaire. Cliquez sur Suivant.
7. Sur la page « Active Directory Domain Services », passez en revue les informations et cliquez sur Suivant.
8. Vérifiez vos choix d'installation et cliquez sur Installer.
9. Attendez que le processus d'installation se termine, ce qui peut prendre quelques minutes. Ensuite, cliquez sur Fermer pour quitter l'assistant.

Promouvoir le serveur en tant que contrôleur de domaine

1. Lorsque l'installation est terminée, une notification apparaîtra dans le Gestionnaire de serveur. Dans la notification, cliquez sur Promouvoir ce serveur en contrôleur de domaine.
2. L'assistant de configuration des services de domaine Active Directory s'ouvrira. Tout d'abord, indiquez si vous souhaitez ajouter un contrôleur de domaine à un domaine existant, ajouter un nouveau domaine à une forêt existante ou ajouter une nouvelle forêt. Pour cet exemple, sélectionnez Ajouter une nouvelle forêt, entrez un nom pour le domaine racine et cliquez sur Suivant.
3. Sélectionnez les niveaux fonctionnels pour la forêt et son domaine racine, ajoutez des fonctionnalités comme DNS et définissez le mot de passe du mode de restauration des services d'annuaire (DSRM). Cliquez sur Suivant pour continuer.
4. Si vous avez sélectionné l'option DNS, la page « Options DNS » peut afficher un avertissement. Comme nous créons une nouvelle forêt, nous pouvons ignorer cet avertissement en toute sécurité. Cliquez sur Suivant pour continuer.
5. L'assistant recherchera le réseau sur le domaine et attribuera un nom de domaine NetBIOS automatiquement. Vous pouvez le modifier si nécessaire. Cliquez sur Suivant pour continuer.
6. Sur la page « Chemins », indiquez l'emplacement de la base de données AD DS, des fichiers journaux et des fichiers SYSVOL. Vous pouvez modifier l'emplacement par défaut fourni. Dans les grands environnements, il est recommandé de les conserver sur un lecteur séparé afin qu'ils puissent être utilisés pour restaurer Active Directory si le lecteur système est corrompu. Cliquez sur Suivant pour continuer.
7. Passez en revue le résumé de vos sélections et cliquez sur Suivant.
8. L'assistant vérifiera que l'ordinateur répond aux prérequis. Une fois que vous voyez une confirmation que l'ordinateur a réussi, cliquez sur Installer.
9. Une fois l'installation terminée, le serveur redémarrera automatiquement. Après le redémarrage, le serveur sera un contrôleur de domaine avec les services de domaine Active Directory installés.
10. Pour vérifier que la structure du domaine a été créée, ouvrez le Gestionnaire de serveur, cliquez sur Outils et cliquez sur Utilisateurs et ordinateurs Active Directory.

Comment installer les outils d'administration de serveur distant (RSAT) pour la gestion AD

Pour gérer Active Directory, vous devez installer des outils administratifs sur une machine cliente. Pour installer RSAT sur Windows 11, suivez ces étapes :

1. Ouvrez les Paramètres, cliquez sur Applications dans la barre latérale gauche, puis cliquez sur Fonctionnalités optionnelles.
2. Cliquez pour voir les fonctionnalités.
3. Recherchez « RSAT » (ou faites simplement défiler vers le bas) et cochez la case à côté de RSAT: Active Directory Domain Services and Lightweight Directory Services Tools. Ensuite, cliquez sur Suivant.
4. Cliquez sur le bouton Installer pour commencer le processus d'installation.
5. Attendez que l'installation soit terminée. Cela peut prendre quelques minutes. Une fois votre ordinateur redémarré, vous pouvez vérifier que RSAT a été installé en recherchant l'un des outils RSAT, tels que Active Directory Users and Computers, depuis le menu Démarrer.

Événements Active Directory à surveiller

Active Directory offre une fonctionnalité de journalisation pour maintenir la sécurité, l'intégrité et la performance de votre service d'annuaire. La surveillance de ces événements à l'aide d'un outil tel que Windows Event Viewer vous aide à détecter les activités suspectes afin que vous puissiez rapidement dépanner les problèmes et répondre aux violations de sécurité. Voici quelques événements courants à rechercher.

Gestion des comptes utilisateur

• Création de compte : ID d'événement 4720
• Suppression de compte : ID d'événement 4726
• Compte activé/désactivé : ID d'événements 4722, 4725
• Changements/réinitialisation de mot de passe : ID d'événements 4723, 4724, 4725
• Verrouillages de compte : ID d'événement 4740

Gestion des groupes

• Création/suppression de groupe : ID d'événements 4727, 4731
• Modifications des adhésions aux groupes : ID d'événements 4728, 4729, 4732, 4733.

Réplication Active Directory

• Succès/échec de la réplication : ID d'événements 4928, 4929, 4932, 4933

Opérations de contrôleur de domaine

• Démarrage/arrêt du contrôleur de domaine/systèmes : ID d'événements 6005,6006,6008,1074
• Accès au service d'annuaire : ID d'événements 2889, 2887

Authentification et autorisation

• Connexions réussies : ID d'événements 4624, 4648, 4768
• Échecs de connexion : ID d'événements 4625
• Accès privilégié : ID d'événements 4672

Changements du service d'annuaire

• Modifications LDAP : ID d'événements 5136, 5137, 5138
• Modifications du schéma : ID d'événement 5139