Active Directory Windows 2003 Server

Plan Introduction Quelques définitions importantes L’installation et la gestion de Active Directory Configuration du service DNS Test de DNS avec nslookup Gestion des utilisateurs, des groupes d'utilisateurs et des ordinateurs du domaine

Introduction L'installation de Windows 2003 Serveur débute par l'installation du système d'exploitation lui-même. Une fois le système installé, les services supplémentaires qu'il assurera pourront être soit déjà implantés au sein du système et donc directement utilisables après configuration, soit non installés et donc nécessiteront l'installation de composants systèmes supplémentaires qui eux aussi devront être configurés. La configuration d'une machine en contrôleur de domaine est un exemple typique de ce genre de service. Elle requière l'installation de Active Directory et de DNS si celui-ci n'est pas disponible par ailleurs.

Introduction Active Directory Service (ADS) est implanté par Windows 2003 Server pour la gestion d'annuaires. Il est utilisé pour toutes les tâches d'administration demandant une forte implantation réseau et en particulier pour la création de domaines. De base, ADS n'est pas installé sous Windows 2003. Au cours de son installation, un domaine devra être défini.

Quelques définitions importantes Contrôleur de domaine Contrôleur de domaine supplémentaire Domaine Domaine enfant Arborescence de domaine Forêt

Service Active Directory? Active Directory Management Workstations Services Files Users Slide Title: What Is a Directory Service? Keywords: Active Directory, directory service, overview Key Message: A directory service tracks and locates objects on a network. Slide Builds: 2 Slide Script: The simplest answer is that a directory service helps users track and locate objects. The core function of any directory service is that it lets you find information on a network and make your own data network-accessible. [BUILD1]But Active Directory does much more than allow users to find their information. In fact, the features of Active Directory make it a complete network-management system. [BUILD2]Active Directory allows you to group workstations together for easier administration. Using Active Directory, workstations can be updated, configured, and even repaired remotely. A single management interface that is accessible from anywhere on the network means more efficiency for you and less time spent bending over client workstations. Active Directory allows users to search for network services, like printers and faxes. Network services can also be managed and configured from a single Control Panel. In addition to helping you find and access your files, Active Directory offers several advanced file features that we’ll cover later in this session. These features can: Allow mobile users to access network files while offline. Improve data security by automatically backing up important files. Increase the availability of your files by keeping copies near where they’re needed most. Finally, Active Directory provides single sign-on security for users in your network. This means that users won’t have to remember multiple passwords for different applications. Instead, you can easily apply global security and configuration settings to Active Directory user accounts. Active Directory adds value to your network by increasing security, adding services, and reducing administration costs.

Contrôleur de domaine Dans une forêt Active Directory, un contrôleur de domaine est un serveur contenant une copie inscriptible de la base de données Active Directory et contrôlant l'accès aux ressources réseau. Les administrateurs peuvent gérer les comptes d'utilisateurs, l'accès réseau, les ressources partagées et les autres objets d'annuaire à partir de n'importe quel contrôleur de domaine de la forêt.

Contrôleur de domaine supplémentaire Il s’agit d’un contrôleur de domaine qui reçoit une copie en lecture seule de la base de données de l'annuaire pour le domaine. Cette dernière contient toutes les informations sur les comptes et les stratégies de sécurité du domaine.

Domaine Dans Active Directory,un domaine est l’ensemble d'objets ordinateur, utilisateur et groupe défini par l'administrateur. Ces objets partagent une base de données d'annuaire, des stratégies de sécurité et des relations de sécurité communes avec d'autres domaines. Dans DNS,un domaine est toute arborescence ou sous-arborescence au sein de l'espace de noms DNS.

Domaine enfant Pour DNS et Active Directory, un domaine enfant est un domaine de l'arborescence de l'espace de noms situé immédiatement sous un autre nom de domaine (le domaine parent). On parle aussi de sous-domaine.

Arborescence de domaine Dans DNS, structure de l'arborescence hiérarchique inversée utilisée pour indexer les noms de domaines. Dans Active Directory, structure hiérarchique d'un ou plusieurs domaines liés par des relations d'approbations bidirectionnelles et transitives formant un espace de noms contigu.

Arborescence schéma CONTOSO.COM CONTOSO.COM Configuration US.CONTOSO.COM Slide Title: Active Directory Trees Keywords: Active Directory, trees Key Message: Trees are groups of domains that share a contiguous namespace. Slide Builds: 2 Slide Script: A tree is a grouping of domains that forms a contiguous namespace. A contiguous namespace is a set of domain names in which each child adds one or more identifiers to the beginning of the parent DNS name. For example, if the parent domain was Contoso.com and the child domain was US.Contoso.com, these two would form a contiguous namespace. [BUILD1] You can keep adding identifiers to the beginning of a domain name to fit your organization’s structure or to expand Active Directory as your company grows. The name of an Active Directory tree is the name of the domain that is highest in the hierarchy. In this example, the name of the tree is Contoso.com, which is also referred to as the root of the domain tree. [BUILD2] Domains in an Active Directory tree share certain elements. They share a schema, which is the definition for all Active Directory objects. The schema also defines relationships between different kinds of objects. Domains in a tree also share configuration information about Active Directory as a whole and a Global Catalog, or GC. These objects are replicated between domain controllers in the tree. This ensures the consistency of your object definitions, settings, and Active Directory configuration across your enterprise. Slide Transition: Another important aspect of trees is trust relationships. Slide Comment: Additional Information: http://www.microsoft.com/WindowsServer2003/techinfo/overview/adsmallbiz.mspx catalogue global OHIO.US.CONTOSO.COM

Arborescence CONTOSO.COM UK.CONTOSO.COM US.CONTOSO.COM Slide Title: Transitive Trusts Keywords: Active Directory, transitive, trusts Key Message: Domains within trees have transitive trust relationships. Slide Builds: 2 Slide Script: In an Active Directory tree, trust relationships link domains together so that they can be administered as a single logical unit. Every time a new domain is added to the tree, a transitive trust is formed. If domain “A” trusts domain “B,” then domain “A” trusts all the domains that “B” trusts. In this example, there is a trust relationship between Contoso.com and US.Contoso.com. [BUILD1] If another domain called UK.Contoso.com is added, a trust relationship is set up between the root of the domain, Contoso.com, and the new child domain. [BUILD2] Because trust relationships within a tree are transitive, US.Contoso.com will also trust UK.Contoso.com, so no additional configuration for each domain in the tree is needed. Slide Transition: So what do you get when you have more than one tree? Slide Comment: Additional Information: http://www.microsoft.com/WindowsServer2003/techinfo/overview/adsmallbiz.mspx http://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/TechRef/6f8a7c80-45fc-4916-80d9-16e6d46241f9.mspx

Forêt CONTOSO.COM FABRIKAM.COM US.CONTOSO.COM UK.FABRIKAM.COM Slide Title: Active Directory Forests Keywords: Active Directory, forests Key Message: A forest contains one or more trees and one or more namespaces. Slide Builds: 1 Slide Script: A forest is composed of one or more trees. Unlike a tree, a forest can contain several noncontiguous namespaces. In this example, the forest contains two trees, each of which has its own namespace: Contoso.com and Fabrikam.com. The forest takes the name of the first tree to be installed in that forest. In the same way that transitive trust relationships exist between domains in a tree, there are bidirectional trust relationships between top-level domains in a forest. [BUILD1] Just like trees, forests share a common schema, configuration, and Global Catalog. Forests provide a way of linking together branches of an enterprise or different enterprises that are collaborating in a joint venture. Slide Transition: So let’s look at a demonstration of how all this actually works. Slide Comment: Additional Information: http://www.microsoft.com/WindowsServer2003/techinfo/overview/adsmallbiz.mspx http://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/TechRef/6f8a7c80-45fc-4916-80d9-16e6d46241f9.mspx UK.FABRIKAM.COM Schema Configuration Global Catalog

Sites et Active Directory Site A WAN Link Sites Used To: Locate Services Optimize Replication Define Policies Slide Title: Active Directory Sites Keywords: Active Directory, sites Key Message: A site is a group of well-connected computers in an Active Directory system. Slide Builds: 4 Slide Script: An Active Directory site is a set of TCP/IP subnets that are considered to be “well-connected.” Well-connected generally means a group of computers that are linked through a high-bandwidth LAN, with at least 10 MB of throughput. When planning an Active Directory system, sites are used to optimize network traffic and maximize data availability. [BUILD1] In this example, a company has two offices in different locations. The computers in each office, which are connected together on a LAN through a router, are each considered an Active Directory site. The two Active Directory sites are linked together through a slower WAN connection. In an Active Directory system, sites have three main purposes. [BUILD2] First, sites are used to locate services, such as logon and DFS services. When a client requests a connection to a DC, sites are used to preferentially allow the client to connect to a DC within the same site. If no DC exists within the user’s site, Active Directory will search for a DC in the closest site on the network. The same is true when a client requests a connection with a network service, like a distributed file. By matching clients with resources inside the same site, Active Directory maximizes network performance. [BUILD3] Second, sites are used to control replication throughout an enterprise. Active Directory automatically creates more replication connections between domain controllers in the same site. This results in lower replication latency within a site and lower replication bandwidth costs between sites. [BUILD4] Finally, policy objects can be applied to sites as a group, making sites natural boundaries for defining security and configuration settings. Site B

Unité d’organisation Organized For: CONTOSO.COM Administration Same Requirements Delegation Group Policy Configuration Security OU Admin OU Security OU Policy Slide Title: Organizational Units Keywords: Active Directory, Organizational Units Key Message: OUs organize objects within a domain, and are distinct administrative units. Slide Builds: 4 Slide Script: Domains, trees, and forests are powerful tools for organizing systems in your network. But sometimes administrators need even more flexible control over their network structure. Organizational Units, or OUs, are containers that you can use to group together other objects. OUs can be used to organize users, computers, groups, printers, applications, file shares, and even other OUs. This means that OUs can be customized for virtually any network or enterprise structure. [BUILD1] For example, each department of Contoso.com contains a group of users who use desktop workstations to access a specific group of printers, servers, and applications. By combining different types of objects, Organizational Units can be defined to contain all the resources used by each department. [BUILD2] Because OUs can have their own administrators, policies, and settings, customized OUs simplify enterprise-wide network management. Objects that should be managed by the same administrator can be grouped together, and authority to manage the specific OU is delegated to an appropriate user by the domain administrator. For example, the Finance department of Contoso.com has its own IT staff, so all directory objects belonging to the Finance department are grouped together and controlled by a Finance department administrator. Delegating administration of OUs can distribute IT demands more efficiently. [BUILD3] Group Policy allows you to define settings for each OU in your enterprise. Group Policy allows administrators to implement rules and default settings that are applied to all objects in an OU. By using Organizational Units, you can easily apply changes and updates to specific groups without affecting other systems in the domain. [BUILD4] Finally, by applying security configurations on a per-OU basis, you can improve the overall security of your enterprise. For example, Contoso.com hires independent contractors who need limited access to company data. By placing consultants in a single OU, you can easily define security configurations that allow contractors to use the systems they need while consistently limiting their ability to reach other parts of the network. CONTOSO.COM

Unité d’organisation Organized For: CONTOSO.COM Administration OU Admin Organized For: Administration Same Requirements Delegation Group Policy Configuration Security OU Security OU Policy Slide Transition: Now let’s take a closer look at how Organizational Units can be used. Slide Comment: Additional Information: http://www.microsoft.com/WindowsServer2003/techinfo/overview/adsmallbiz.mspx http://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/TechRef/6f8a7c80-45fc-4916-80d9-16e6d46241f9.mspx http://www.microsoft.com/windowsserver2003/gpmc/default.mspx CONTOSO.COM

L’installation et la gestion de Active Directory Deux méthodes sont possibles pour installer Active Directory : Utiliser l'utilitaire "Gérer votre serveur" (Démarrer>Tous les programmes>Outils d’administration>Gérer votre serveur) qui simplifie l'installation sans poser les questions les plus pointues. Il installe et configure AD, DNS et DHCP pour un nouveau domaine dans une nouvelle forêt.. Utiliser l'assistant "dcpromo" (lancé en ligne de commande) qui permet de contrôler tous les aspects de l'installation.

l'utilitaire "Gérer votre serveur" Ajouter ou supprimer un rôle. Choix de la configuration par défaut pour un premier serveur. Si "Configuration personnalisée" est choisi, bascule sur dcpromo. Choix du nom du nouveau domaine. Choix du nom compatible NetBEUI. Choix d'un éventuel redirecteur DNS. Confirmation -> Démarrage de l'installation

L’assistant dcpromo

L’assistant dcpromo Choix du nom du domaine créé (nom complet) Choix du nom du domaine NetBIOS pour compatibilité avec les versions antérieures de Windows Choix des emplacements de stockage des informations ADS Définition du mot de passe administrateur pour le redémarrage en mode restauration ADS Début de l’installation….

Résultat de l’installation Après l’installation de Active Directory Service, un certain nombre d’outils d'administration sont disponibles. Après redémarrage, ADS est en fonctionnement pour la gestion de notre domaine. Le service DNS est lui aussi en fonctionnement, mais il n'est pas configuré.

DNS Domain Naming System locates network services and resources. DNS Request Process DNS Server DC Requested Service Site Information Slide Title: DNS Keywords: DNS, Domain Naming System, DNS overview Key Message: DNS is used to locate servers and services in Active Directory. Slide Builds: 3 Slide Script: DNS is how Active Directory finds services and resources. Most network services, including Active Directory, require DNS to function, and DNS is the key to understanding how traffic flows through a network. Because of this, it’s worth reviewing how the DNS request process works. [BUILD1] When an Active Directory client connects to a network service, for example, to log in to the directory or to perform a directory search, it sends a request to a DNS server. The request includes information about what service the client is looking for and the site where the client is located. [BUILD2] The DNS server sends back information about the locations of domain controllers in the Active Directory system, and SVR records which list the services that are available on each DC. The information returned by the DNS server is weighted based on the site location of the client, so that clients will always try to connect with the closest service. This information is then cached on the client computer to minimize the need for future DNS requests and reduce network traffic. [BUILD3] Finally, the client uses the information returned by the DNS server to connect with a nearby domain controller and the requested network service. IP Addresses SVR Records Cache

Replication Scope Across Domain Across Forest: Domain NC Schema NC Slide Title: Replication Scope Keywords: Active Directory, replication, naming context Key Message: Replication scope is governed by naming context. Slide Builds: 3 Slide Script: By dividing up directory information and storing it where needed, Active Directory reduces the data that each domain controller holds and helps to decrease network traffic. At the same time, by replicating directory information to several DCs, Active Directory ensures that users always have a consistent view of the directory; it also provides failover support. Active Directory uses a sophisticated replication scheme based on several different concepts. The first of these is naming context. Naming context governs how widely information is replicated, and there are three predefined naming contexts. [BUILD1] The schema naming context contains objects that represent all the classes and attributes that Active Directory supports. Because the schema is a forest-wide definition, it is replicated to every domain controller in the forest. [BUILD2] The configuration naming context is also considered forest-wide and is replicated to all domain controllers. The configuration naming context contains all the information for the forest about domains, sites, and where domain controllers reside. [BUILD3] Finally, the domain naming context. This contains only domain-specific information, such as users, groups, OUs, and computers. Each domain has its own context that it replicates only to domain controllers within the domain. Across Forest: Schema NC Configuration NC

Configuration du service DNS Les tâches à réaliser via le gestionnaire DNS sont : la configuration de la résolution directe nom IP -> adresse IP la configuration de la résolution inverse adresse IP -> nom IP

Configuration du service DNS Définition de zones de recherche directes pour les résolution nom IP -> adresse IP et de zones de recherche inverses pour les résolutions adresse IP -> nom IP

Configuration de la zone directe Déclaration des nouvelles machines (hôtes) avec demande de création automatique du pointeur PTR associé.

Configuration de la zone inverse Lancement de l'assistant de création de zone inverse Création d'une zône principale intégrée à Active Directory Choix de l'étendue de réplication de cette zône Définition de l'ID réseau de cette zone Choix du mode de mise à jour dynamique Fin de l'assistant de création de zone inverse

Reconfiguration des paramètres TCP/IP Reconfiguration des paramètres TCP/IP pour intégrer le DNS principal et nom domaine choisi comme premier suffixe DNS

Tests (nslookup) Commande nslookup exécutée dans une invite de commande test nom IP -> adresse IP pour le nom de domaine test nom IP -> adresse IP pour un nom quelconque test adresse IP -> nom IP

La gestion des utilisateurs, des groupes d'utilisateurs et des ordinateurs du domaine Outil : utilisateurs et ordinateurs Active Directory. Cet outil réalise l'administration des utilisateurs, des groupes d’utilisateurs et des ordinateurs d'un domaine (il leur est attribué un compte).

La gestion des utilisateurs, des groupes d'utilisateurs et des ordinateurs du domaine Groupes crées à l’installation Utilisateurs et groupes d’utilisateurs du domaine

La gestion des utilisateurs, des groupes d'utilisateurs et des ordinateurs du domaine Contrôleurs de domaine

Création d’un nouvel utilisateur Choix des Paramètres de création:

Propriétés d’un utilisateur

Création d’un groupe Nom : unique Etendue : sur le domaine local ou globalement Type : groupe de sécurité ou de distribution

Propriétés d’un groupe Paramètres généraux,Membres,Groupes du domaine dont il est membre,Utilisateur gestionnaire

Affectation d'un répertoire de base et d'un profil itinérant à un utilisateur Création d'un répertoire destiné à héberger les répertoires de base et les profils itinérants(Utilisateurs>Profils)

Affectation d'un répertoire de base et d'un profil itinérant à un utilisateur Partage de ce répertoire (sous le nom Users) et configuration des autorisations sur le répertoire et sur le partage

Affectation d'un répertoire de base et d'un profil itinérant à un utilisateur Configuration de l'utilisateur concerné dans l'onglet profil de ses propriétés au sein du gestionnaire des utilisateurs

Affectation d'un répertoire de base et d'un profil itinérant à un utilisateur Le gestionnaire des utilisateurs crée lui-même le répertoire de base et lui affecte les permissions en limitant l'accès au seul administrateur et à l'utilisateur. Montage automatique du répertoire de base au niveau du client.

Création d’un nouvel ordinateur Définir son nom (unique). Possibilité de le déclarer en tant que machine à système prè Windows 2000 ou non Possibilité de le déclarer en tant que contrôleur supplémentaire ou en tant que membre simple

Création d’un groupe d'ordinateurs Création d'un nouveau groupe Ajout des ordinateurs à ce groupe