Files

T

Maxime BOURIEAU 735c4b2d58 Add installation and configuration guides for Nutanix and Synology NAS, along with server preparation instructions for Linux and Windows environments.

2026-10-15 08:58:51 +02:00

9.6 KiB

Raw Permalink Blame History

Configurer un serveur Active Directory

1. Prérequis

Suivre la procédure Exporter et importer une VM depuis la plateforme de Production pour importer la VM AD dans l'environnement client.
Disposer de notions de base sur Active Directory et les stratégies de groupe (GPO).
Suivre la procédure Préparation d'un serveur Windows pour préparer le serveur.
Récupérer le mot de passe initial dans le coffre-fort sécurisé prévu à cet effet; ne pas stocker de mot de passe en clair dans cette procédure.

2. Installer les rôles et créer le domaine

Effectuer ces étapes d'abord sur AD1, puis sur AD2.

Ouvrir D:\Install\Scripts.
Exécuter 4-Creation_Domaine_AD.ps1 avec les droits requis.
Si le script demande de ne plus afficher un message, saisir T.
Saisir le nom complet du domaine Active Directory conformément au DCSR.
Indiquer le serveur en cours de configuration : AD1 ou AD2.

2.1 Configurer AD1

Lorsque le script le demande, saisir le mot de passe de restauration des services d'annuaire (DSRM). Générer un mot de passe robuste de 20 caractères comprenant des majuscules, des minuscules et des chiffres, puis l'enregistrer dans RDM.

Laisser l'installation des rôles et du domaine se terminer. Appuyer sur Entrée pour terminer et redémarrer le serveur.

Après le redémarrage, vérifier les paramètres DNS de l'interface réseau : l'adresse du DNS secondaire peut avoir été réinitialisée. Se reporter à la procédure Préparation d'un serveur Windows.

2.2 Configurer AD2

Exécuter également 4-Creation_Domaine_AD.ps1 sur AD2 et choisir AD2.

Lorsque le script le demande :

Saisir les identifiants d'un administrateur du domaine, en précisant le nom NetBIOS ou le nom complet du domaine.
Saisir le mot de passe de restauration DSRM configuré pour le domaine.
Attendre la fin de l'installation, puis appuyer sur Entrée pour terminer et redémarrer.

3. Configurer le domaine Active Directory

Avant de poursuivre, terminer les opérations précédentes sur AD1 et AD2 et vérifier que les deux contrôleurs de domaine sont configurés et synchronisés. Les étapes suivantes ne sont à effectuer que sur un seul contrôleur de domaine; l'exemple utilise AD1. Les changements sont répliqués vers AD2.

Sur le contrôleur choisi, ouvrir D:\Install\Scripts et exécuter 5-Configuration_Domaine_AD.ps1 avec les droits requis.
Si le script demande de ne plus afficher un message, saisir T.
Saisir le numéro de département sur deux ou trois caractères.
Indiquer le moteur de base de données utilisé par l'infrastructure en saisissant ORA ou SQL en majuscules.
Indiquer si l'infrastructure comporte des plateformes de formation et de test en saisissant OUI ou NON en majuscules.

Le script installe le magasin central de modèles ADMX, crée les unités d'organisation, les comptes utilisateurs, les groupes et les GPO.

Des ajustements manuels restent nécessaires.

4. Mettre à jour les GPO

Les captures de la procédure d'origine contenaient certains paramètres et valeurs qui ne sont pas retranscrits ici. Pour ces paramètres, se référer au DCSR, aux GPO de référence ou à l'équipe responsable avant toute modification.

4.1 GPO `WORKSTATIONS-CONFIGURATION`

Corriger les paramètres propres au client en remplaçant xx par le numéro de département, selon le DCSR et la configuration de référence.
Pour le paramètre de groupe en erreur, supprimer l'entrée incorrecte et recréer le groupe attendu d'après la configuration de référence.

4.2 GPO `WORKSTATIONS-SUP-VEILLE`

Ajouter au filtrage de sécurité le ou les postes Mur d'Image, s'ils existent.

4.3 GPO `SERVERS-SERVICES-SPOOLER`

Cette GPO doit s'appliquer à tous les serveurs, sauf aux serveurs MULTI et SPOOLER. La procédure indique que la GPO n'est normalement pas liée à l'OU T1-INFRA-SERVERS de ces serveurs. Créer un filtre WMI pour exclure les machines dont le nom contient SPOOLER ou MULTI :

Nom : Exclure SPOOLER et MULTI
Espace de noms : root\CIMv2
Requête :

SELECT * FROM Win32_ComputerSystem WHERE NOT (Name LIKE "%SPOOLER%" OR Name LIKE "%MULTI%")

Associer ensuite ce filtre WMI à la GPO SERVERS-SERVICES-SPOOLER.

4.4 GPO `USERS-ENV-CONF`

Corriger les paramètres propres au client en remplaçant xx par le numéro de département, selon la configuration de référence.
Mettre à jour les chemins des redirections des dossiers Images et Téléchargement.
Adapter le chemin selon que la plateforme utilise un NAS ou non :

\\ctaXX.local\SYSTEL\PartageOP
\\NAS-X\PartageOP

4.5 GPO `USERS-PRINTERS_ADD_ALL`

Remplacer les imprimantes par celles du client. Les imprimantes doivent d'abord être installées sur le serveur d'impression SPOOLER.

4.6 GPO `USERS-ENV-RESTRICTION`

Corriger le paramètre propre au client en remplaçant xx par le numéro de département, selon la configuration de référence.

4.7 GPO `SERVERS-WORKSTATION-DENY-ADMIN*`

Mettre à jour les comptes des stratégies de groupe concernées. Une fois ces stratégies appliquées, l'ouverture de session RDP avec un compte Administrateur du domaine peut être interdite. Utiliser alors AdminLocal ou le compte dédié au serveur, à condition qu'il appartienne au groupe local Administrateurs (par exemple sur MULTI1, MULTI2 ou DWH).

Pour chacune des stratégies listées ci-dessous, vérifier les droits pour les trois paramètres suivants :

Interdire l'ouverture d'une session locale
Interdire l'ouverture de session en tant que service
Interdire l'ouverture de session par les services Terminal Server

Supprimer les comptes inconnus et ajouter les comptes du domaine concernés. Adapter CTAxx au nom de domaine de la plateforme. Les listes sont séparées par des points-virgules :

SERVERS-WORKSTATION-DENY-ADMIN
CTAxx\DnsAdmins; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+BD1+BD2
CTAxx\DnsAdmins; CTAxx\BD2; CTAxx\BD1; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+BDF
CTAxx\DnsAdmins; CTAxx\BDF; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+BDF+BD1
CTAxx\DnsAdmins; CTAxx\BDF; CTAxx\BD1; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+BDF+BD2
CTAxx\DnsAdmins; CTAxx\BDF; CTAxx\BD2; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+MULTI1
CTAxx\MULTI1; CTAxx\DnsAdmins; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+MULTI2
CTAxx\MULTI2; CTAxx\DnsAdmins; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN-T0
CTAxx\DnsAdmins; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma

Répéter la liste des utilisateurs dans chacune des trois stratégies correspondantes, conformément à la configuration de référence. Vérifier les comptes et les droits avant de lier ou d'appliquer les GPO.

5. Mettre à jour les comptes de service

Dans Active Directory, ouvrir l'OU T1-ZONE > T1-INFRA > T1-INFRA-USERS.

Activer les comptes utilisés pour administrer l'infrastructure (commutateurs, pare-feu, Nutanix, TELEML et bastion), selon les besoins de la plateforme. Pour chaque compte activé, générer un mot de passe robuste de 20 caractères avec caractères spéciaux et l'enregistrer dans RDM.

6. Placer les postes et serveurs dans leurs OU

Après leur jonction au domaine, déplacer les objets ordinateurs depuis l'OU Computers vers l'OU appropriée :

Postes opérateurs : T2-WORKSTATIONS.
Serveurs : T1-SERVERS.
Serveurs TELEML et SPOOLER : T1-INFRA-SERVERS.
Serveurs TELEM_T0 : T0-SERVERS.

7. Configurer DFSR (partage de fichiers)

Prérequis : les deux serveurs AD doivent être créés et répliqués avant de commencer.

7.1 Créer l'espace de noms

Ouvrir Gestion du système de fichiers distribués DFS et lancer l'assistant Nouvel espace de noms.
Ajouter AD1 comme serveur d'espace de noms.
Saisir SYSTEL comme nom de l'espace de noms et ouvrir Modifier les paramètres.
Configurer les paramètres conformément à la configuration de référence et valider.
Conserver les paramètres par défaut pour les écrans suivants, puis cliquer sur Créer et Fermer.
Sélectionner l'espace de noms créé, puis choisir Ajouter un serveur d'espace de noms.
Ajouter AD2, configurer les paramètres conformément à la référence, puis valider les éventuels avertissements après vérification.

7.2 Configurer les droits NTFS sur AD1

AD1 sert de serveur de référence. Configurer les droits suivants :

D:\SYSTEL\Profils : lecture et exécution pour GRP_USERS_T2.
D:\SYSTEL\Partages : lecture et modification pour GRP_USERS_T1 et GRP_USERS_T2.

7.3 Configurer la réplication DFSR

La procédure source s'arrête pendant la configuration de la réplication. Compléter cette section à partir de la configuration de référence avant d'exploiter le partage : création du groupe de réplication, ajout d'AD1 et AD2, sélection du membre principal, définition des chemins locaux et planification de la réplication. Les paramètres détaillés n'étant pas présents dans le texte source, ne pas les deviner.

9.6 KiB Raw Permalink Blame History Unescape Escape