Concepts et administration d'Active Directory

Parcourir les sujets de publication

• introduction
• Quelques concepts importants d'Active Directory
  • Contrôleur de domaine AD
  • Schéma Active Directory
  • Forêt Active Directory
    • Types d'approbations AD
  • Domaine AD
  • Sites Active Directory
  • Réplication AD
  • Maîtres d'opérations Active Directory
    • Maître de schéma
    • Maître de nommage de domaine
    • Maître RID
    • Le maître de l'émulateur PDC
    • Master Infrastructure (IM)
  • Serveurs de catalogue global (GC)
  • Mise en cache de l'appartenance aux groupes universels
  • Contrôleurs de domaine en lecture seule (RoDC)
• Structure physique et logique d'Active Directory
  • Structure physique de la MA
  • Structure logique d'Active Directory
• Administration d'Active Directory
  • Utilisateurs et ordinateurs Active Directory
  • Sites et services AD
  • Domaines et approbations Active Directory
  • Module AD pour Windows PowerShell
  • Console de gestion des stratégies de groupe (GPMC)
• Autres tutoriels utiles
• Ressources et références supplémentaires

introduction

Active Directory (AD) est un service d'annuaire Microsoft qui stocke des informations sur les objets d'un réseau. AD facilite également l'accès aux données stockées par les utilisateurs autorisés.

Des exemples d'objets Active Directory sont les utilisateurs, les ordinateurs, les imprimantes et les autres ressources d'un réseau.

Un utilisateur doit être authentifié avant d'être autorisé à se connecter à un réseau AD. L'authentification est généralement obtenue en vérifiant le nom d'utilisateur et le mot de passe de l'utilisateur.

Une fois qu'un utilisateur s'est connecté au réseau, Active Directory stocke des informations sur les autorisations des utilisateurs (appartenances à des groupes, etc.) et leurs droits d'accès. Lorsque l'utilisateur demande l'accès à une ressource, AD accorde ou refuse l'accès. Le processus d'octroi ou de refus d'accès est appelé Autorisation.

Ce didacticiel couvrira les principaux concepts d'AD, y compris sa structure physique et logique. Il couvrira également les contrôleurs de domaine, le schéma AD, la forêt et le domaine. Certains autres concepts que vous apprendrez incluent la réplication, les rôles de contrôleur de domaine (rôles de maître d'opérations), les serveurs de catalogue global, la mise en cache de l'adhésion au groupe universel et les contrôleurs de domaine en lecture seule.

Lorsque vous aurez terminé ce didacticiel, vous pourrez discuter en toute confiance du fonctionnement d'Active Directory et comprendre ses principaux concepts. Enfin, vous apprendrez certaines tâches que vous pouvez effectuer avec les utilisateurs et ordinateurs Active Directory, les sites et services, les domaines et les approbations, etc.

Quelques concepts importants d'Active Directory

Active Directory comporte des concepts très importants que vous devez comprendre pour le déployer et le gérer efficacement. Voici quelques concepts essentiels :

température normale pour ordinateur

Contrôleur de domaine AD

Un contrôle de domaine AD (AD DC) est un serveur Windows exécutant les services de domaine AD. Pour qu'un serveur Windows exécute le service AD ​​DC, il doit être promu en contrôleur de domaine à l'aide du Gestionnaire de serveur. Plus loin dans ce didacticiel, vous apprendrez à promouvoir un sereur Windows en contrôleur de domaine.

Schéma Active Directory

Le prochain concept important est le schéma AD. AD Schema définit les classes d'objets et leurs attributs. Un exemple de classe d'objet AD est un utilisateur. Un utilisateur a certains attributs comme le nom de l'utilisateur, le responsable, etc.

AD stocke les classes d'objets et leurs attributs à l'aide du schéma AD. Le schéma Active Directory comporte des objets standard tels que des utilisateurs, des ordinateurs, des imprimantes, etc. Cependant, si vous avez besoin d'objets supplémentaires, vous pouvez étendre le schéma. Par exemple, vous devrez étendre le schéma AD avant d'installer Microsoft Exchange ou SCCM.

Pour voir comment vous pouvez étendre le schéma AD, consultez Étendre le schéma dans le Ressources et références supplémentaires à la fin de ce tutoriel.

Forêt Active Directory

Dans la structure hiérarchique d'AD, la forêt est au sommet de la structure logique d'AD. Le niveau suivant de la hiérarchie sont les domaines, puis vous avez les unités d'organisation (UO). Dans les unités d'organisation, vous avez des utilisateurs et des ordinateurs.

Par conséquent, une forêt AD contient un certain nombre de domaines AD interconnectés par une relation de confiance. Vous trouverez ci-dessous une illustration simple d'une hiérarchie de forêts AD. Pour en savoir plus sur AD Forest, visitez Qu'est-ce qu'une forêt Active Directory ?

Types d'approbations AD

Vous pouvez créer 4 types de relations d'approbation dans une forêt AD : approbations externes, de forêt, de raccourci et de domaine. Pour en savoir plus sur les fiducies AD, ouvrez Infrastructure Active Directory avancée pour les services Windows Server 2012 R2 .

Domaine AD

Le domaine AD est le niveau suivant des forêts dans la hiérarchie. Un domaine AD contient une collection d'objets. Par exemple, Utilisateurs et Ordinateurs. Les domaines sont identifiés par leurs noms DNS, par exemple, Domain1.com, Domain2.com.

Sites Active Directory

La configuration des sites AD suit généralement les sous-réseaux physiques du réseau. La configuration de la réplication au sein des sites est généralement différente de la configuration entre les sites.

Par exemple, si vous avez 2 contrôleurs de domaine dans le même sous-réseau, vous pouvez configurer la réplication entre eux pour optimiser la vitesse.

Réplication AD

Si vous déployez Active Directory dans un environnement de production, il est recommandé d'avoir au moins 2 contrôleurs de domaine (DC) dans votre domaine AD. La raison en est évidente : créer une redondance.

comment rooter le zte zmax pro

Avant de poursuivre, permettez-moi de mentionner que AD exploite ce qu'on appelle un modèle multi-maître. Cela signifie que tous les contrôleurs de domaine (DC) du domaine contiennent des copies inscriptibles d'objets. Comme vous le verrez plus tard, il existe quelques exceptions à cette règle.

Le fait que des objets puissent être créés dans n'importe quel contrôleur de domaine signifie qu'il est nécessaire de procéder à une réplication entre les contrôleurs de domaine. Le processus de synchronisation ou de mise à jour des objets créés dans un contrôleur de domaine vers d'autres contrôleurs de domaine est appelé réplication.

En savoir plus sur la réplication AD en cliquant sur le Réplication Active Directory en profondeur lien sur le Section Ressources et références supplémentaires .

Maîtres d'opérations Active Directory

Dans la section précédente, j'ai mentionné que bien qu'Active Directory exploite un modèle multi-maître, il existe des exceptions à cette règle.

Certaines tâches au sein d'un domaine AD doivent être exécutées à l'aide du modèle à maître unique. C'est-à-dire qu'un contrôleur de domaine est désigné pour gérer la tâche.

La principale raison du modèle à maître unique est d'éviter les conflits. En raison de la nature des rôles de maître unique, si plusieurs contrôleurs de domaine devaient gérer la tâche en même temps, cela créerait un conflit. Vous comprendrez mieux cela en lisant les 5 rôles de maître d'opérations dont nous parlerons bientôt.

Vous trouverez ci-dessous les 5 rôles FSMO (Active Directory Flexible Single Master Operations).

Maître de schéma

Plus tôt dans ce tutoriel, j'ai discuté Régime AD . J'ai dit qu'un schéma Active Directory définit les classes d'objets et leurs attributs. J'ai également dit que parfois vous pouvez créer des classes de schéma AD AD supplémentaires en étendant le schéma.

Le DC responsable de la mise à jour du Schema est appelé le Schema Master. Lorsque le maître de schéma met à jour le schéma, il réplique la mise à jour vers d'autres contrôleurs de domaine. Il y a un maître de schéma dans un répertoire - ce contrôleur de domaine est connu sous le nom de maître de schéma.

Maître de nommage de domaine

Le contrôleur de domaine affecté au rôle FSMO de maître de nommage de domaine est responsable de l'ajout ou de la suppression de domaines dans l'espace de noms de domaine à l'échelle de la forêt.

meilleure chambre pour s7

Le Domain Naming Master DC est également responsable de l'ajout ou de la suppression des références croisées aux domaines dans les répertoires externes.

Maître RID

Chaque fois qu'un contrôleur de domaine crée un principal de sécurité, par exemple un utilisateur ou un ordinateur, le contrôleur de domaine attribue à l'objet un ID de sécurité (SID) unique. Le SID est composé d'un SID de domaine et d'un ID relatif (RID). Le SID de domaine est le même pour tous les objets créés dans le domaine tandis que le RID est unique pour chaque principal de sécurité créé.

Chaque contrôleur de domaine dispose d'un pool de RID qui lui sont attribués. Le contrôleur de domaine responsable de l'attribution des pools RID aux autres contrôleurs de domaine est le maître RID.

Le maître de l'émulateur PDC

Le contrôleur de domaine qui détient le rôle d'émulateur PDC est responsable de l'authentification des utilisateurs, de la synchronisation des changements de mot de passe et également responsable de la synchronisation de l'heure.

Il gère également les verrouillages de compte et transmet les échecs d'authentification dus à des mots de passe incorrects à d'autres DC.

Master Infrastructure (IM)

Dans une forêt AD multi-domaine, le contrôleur de domaine auquel est attribué le rôle Infrastructure Master FSMO est responsable de la mise à jour des références d'objets inter-domaines.

A titre d'exemple, disons qu'un objet dans le domaine 1 est référencé par un autre objet dans le domaine 2. Lorsque l'objet référencé est modifié, l'IM est responsable de la mise à jour des références.

En conclusion, avant d'aborder les 5 rôles FSMO Active Directory DC, j'ai dit qu'AD exploite un modèle multi-maître. Autrement dit, tous les contrôleurs de domaine contiennent des copies inscriptibles de la base de données AD.

J'ai également dit que bien que dans un domaine AD, malgré le modèle multi-maser, certaines tâches ne peuvent être effectuées que via un modèle d'opérations à maître unique. Ainsi les 5 rôles FSMO.

Cela dit, maintenant que vous connaissez les 5 rôles d'opérations à maître unique, j'espère qu'il est facile de comprendre pourquoi un pool RID, par exemple, ne peut être attribué que par un seul contrôleur de domaine. Si 2 DC devaient attribuer des pools RID à un autre contrôleur de domaine, il y a un risque de chevauchement et deux objets différents peuvent alors avoir le même RID.

La même augmentation s'applique aux 4 autres rôles FSMO discutés précédemment.

Serveurs de catalogue global (GC)

Pour comprendre le rôle du serveur de catalogue global, je vous renvoie à ce que j'ai dit plus tôt à propos des forêts Active Directory. Une forêt AD contient un certain nombre de domaines AD interconnectés par des relations de confiance.

Dans cet esprit, pour chaque domaine de la forêt, tous les contrôleurs de domaine stockent des données sur chaque objet dans son propre domaine . Comme je l'ai souligné précédemment, dans une forêt AD, il peut être nécessaire de référencer des objets inter-domaines. Pour que cela fonctionne efficacement, un DC se voit attribuer le rôle de GC pour stocker des informations sur TOUS les objets de la forêt.

Si vous associez cela au rôle IM FSMO évoqué précédemment, il devient facile de comprendre pourquoi un maître d'infrastructure devra constamment communiquer avec un serveur GC. C'est ainsi qu'il reçoit des mises à jour sur les références d'objets inter-domaines.

Le maître d'infrastructure est responsable de la mise à jour des références inter-objets dans une forêt AD. Le serveur de catalogue global contient des informations sur TOUS les objets de la forêt. Il est logique que le maître d'infrastructure reçoive des informations de référence croisée d'objets d'un serveur GC.

Par conséquent, il n'est PAS recommandé qu'un DC se voie attribuer le rôle de serveur GC et un rôle de maître d'infrastructure, sauf :

hors de l'espace de stockage hors ligne html5 méga chrome

• Il n'y a qu'un seul domaine dans la forêt - dans cette situation, le même contrôleur de domaine sera responsable de tous les rôles.
• Chaque DC du domaine est un serveur de catalogue global

Mise en cache de l'appartenance aux groupes universels

Par défaut, les informations d'appartenance aux groupes universels ne sont stockées que sur les serveurs de catalogue global. Pour cette raison, dans une forêt AD multi-domaine (où des groupes universels sont présents), si un utilisateur se connecte au domaine pour la première fois, un serveur GC doit être disponible pour que la connexion soit traitée.

Pour les petits sites AD sans serveur GC, d'autres contrôleurs de domaine peuvent être activés pour stocker les informations d'appartenance au groupe universel. Ceci est réalisé en activant la mise en cache de l'adhésion aux groupes universels (UGMC) sur le site AD.

Contrôleurs de domaine en lecture seule (RoDC)

Dans ce tutoriel, j'ai déjà dit que tous les contrôleurs de domaine d'un domaine AD sont accessibles en écriture. Cela dit, il existe certaines situations où vous voudrez peut-être installer (RoDC).

Une situation typique peut être dans un site distant avec une sécurité physique limitée pour les contrôleurs de domaine à cet endroit. Dans ce cas, vous souhaiterez peut-être installer un contrôleur de domaine qui ne peut lire que les données AD, mais ne peut pas écrire ou mettre à jour un objet.

Structure physique et logique d'Active Directory

Jusqu'à présent, j'ai couvert un certain nombre de concepts importants d'Active Directory. Dans cette section, je vais discuter de deux autres concepts importants dans AD - les structures physiques et logiques d'Active Directory.

Structure physique de la MA

La structure physique implique des choses que vous pouvez toucher et sentir. Par conséquent, la structure physique d'AD est constituée de contrôleurs de domaine et de sites réseau.

Les outils dont vous avez besoin pour gérer la structure physique des sites et services Active Directory Active Directory. Plus loin dans ce didacticiel, je discuterai des tâches que vous pouvez effectuer avec les sites et services AD.

Structure logique d'Active Directory

Par rapport à la structure physique d'AD, la structure logique est virtuelle. Les composants qui composent la structure logique d'AD sont : les forêts, les arborescences, les domaines, les unités d'organisation et les catalogues globaux. Pour obtenir des définitions détaillées des forêts, des arborescences, des domaines, des UO et du catalogue global, cliquez sur Questions sur l'infrastructure Active Directory .

Administration d'Active Directory

Jusqu'à présent, nous avons couvert quelques concepts importants de la DA. Cette section concerne l'administration d'Active Directory. Je vais discuter des outils AD suivants :

comment définir une macro sur un clavier

• Utilisateurs et ordinateurs Active Directory
• Sites et services AD
• Domaines et approbations Active Directory
• Module AD PowerShell
• Console de gestion des stratégies de groupe (GPMC)

Utilisateurs et ordinateurs Active Directory

C'est l'un des outils AD les plus utilisés. Avec Utilisateurs et ordinateurs AD, vous pouvez :

• Créer des unités organisationnelles
• Créer des conteneurs
• Autorités déléguées
• Créer des utilisateurs
• Transférer les rôles RID, PDC et Infrastructure FSMO
• Exécuter des requêtes
• Augmenter les niveaux fonctionnels du domaine

Sites et services AD

Au fur et à mesure que vous vous familiariserez avec l'administration d'Active Directory, vous commencerez à travailler avec Sites et services.

Vous pouvez effectuer les tâches suivantes avec l'outil Sites et services AD :

• Activer la mise en cache de l'appartenance au groupe universel (UGMC)
• Configurer les transports inter-sites
• Créer de nouvelles connexions au site AD
• Déléguer le contrôle aux sites existants
• Créer des sous-réseaux

Domaines et approbations Active Directory

Cet outil est utilisé pour exécuter certaines des fonctions d'administration les plus avancées d'AD. Vous trouverez ci-dessous certaines des tâches que vous pouvez effectuer avec les domaines et approbations Active Directory :

• Augmenter le niveau fonctionnel de la forêt
• Transférer le rôle FSMO du maître de nommage de domaine
• Créer une approbation de forêt

Module AD pour Windows PowerShell

Le module Active Directory PowerShell est requis pour gérer AD avec PowerShell. Vous pouvez effectuer un certain nombre de tâches. J'en ai énuméré quelques-uns ci-dessous :

• Créer de nouveaux utilisateurs – New-ADUser
• Modifier les utilisateurs existants – Set-ADUser
• Obtenir des informations sur les utilisateurs existants – Get-ADUser
• Supprimer les utilisateurs existants – Remove-ADUser

Pour obtenir toutes les commandes AD dans PS, à partir de votre DC, exécutez la commande Get-Command. Pour en savoir plus sur PowerShell, lisez les tutoriels suivants

18 commandes Powershell que chaque administrateur Windows devrait connaître
Get-Command dans PowerShell : applications et utilisation

Console de gestion des stratégies de groupe (GPMC)

GMPC est utilisé pour gérer la stratégie de groupe sur des sites, des domaines et des unités d'organisation au sein d'une ou de plusieurs forêts. Bien que vous puissiez gérer les stratégies de groupe à partir d'utilisateurs et d'ordinateurs AD, GPMC offre plus de fonctionnalités.

Avec GMPC, vous pouvez effectuer les tâches suivantes :

• Créer de nouvelles stratégies de groupe
• Modifier les stratégies de groupe existantes
• Gérez toutes les stratégies de groupe dans un seul conteneur - Objets de stratégie de groupe
• Créez et appliquez des filtres WMI aux stratégies de groupe.
• Créer une modélisation GP et des résultats GP

J'espère que vous avez trouvé cette zone S utile.

Autres tutoriels utiles

1. Services de domaine Active Directory : installation et configuration
2. 35 questions et réponses d'entrevue Active Directory (regroupées par catégorie)
3. Outlook 365 : abonnement, installation et configuration
4. Comment installer Windows 10 : étape par étape avec les images

Ressources et références supplémentaires

1. Pas à pas : configuration d'Active Directory dans Windows Server 2016
2. Comment étendre le schéma
3. Qu'est-ce qu'une forêt Active Directory ?
4. Infrastructure Active Directory avancée pour les services Windows Server 2012 R2
5. Réplication Active Directory en profondeur
6. Rôles FSMO Active Directory dans Windows
7. Windows Server : le rôle FSMO du maître d'infrastructure doit-il être placé sur un serveur de catalogue global ?
8. Windows Server : les fonctions du catalogue global dans Active Directory