Procedure-Systel/Production SI/Configurer un serveur AD.md

# Configurer un serveur Active Directory

## 1. Prérequis

- Suivre la procédure **Exporter et importer une VM depuis la plateforme de Production** pour importer la VM AD dans l'environnement client.
- Disposer de notions de base sur Active Directory et les stratégies de groupe (GPO).
- Suivre la procédure **Préparation d'un serveur Windows** pour préparer le serveur.
- Récupérer le mot de passe initial dans le coffre-fort sécurisé prévu à cet effet; ne pas stocker de mot de passe en clair dans cette procédure.

## 2. Installer les rôles et créer le domaine

Effectuer ces étapes d'abord sur AD1, puis sur AD2.

1. Ouvrir `D:\Install\Scripts`.
2. Exécuter `4-Creation_Domaine_AD.ps1` avec les droits requis.
3. Si le script demande de ne plus afficher un message, saisir `T`.
4. Saisir le nom complet du domaine Active Directory conformément au DCSR.
5. Indiquer le serveur en cours de configuration : `AD1` ou `AD2`.

### 2.1 Configurer AD1

Lorsque le script le demande, saisir le mot de passe de restauration des services d'annuaire (DSRM). Générer un mot de passe robuste de 20 caractères comprenant des majuscules, des minuscules et des chiffres, puis l'enregistrer dans RDM.

Laisser l'installation des rôles et du domaine se terminer. Appuyer sur **Entrée** pour terminer et redémarrer le serveur.

Après le redémarrage, vérifier les paramètres DNS de l'interface réseau : l'adresse du DNS secondaire peut avoir été réinitialisée. Se reporter à la procédure **Préparation d'un serveur Windows**.

### 2.2 Configurer AD2

Exécuter également `4-Creation_Domaine_AD.ps1` sur AD2 et choisir `AD2`.

Lorsque le script le demande :

1. Saisir les identifiants d'un administrateur du domaine, en précisant le nom NetBIOS ou le nom complet du domaine.
2. Saisir le mot de passe de restauration DSRM configuré pour le domaine.
3. Attendre la fin de l'installation, puis appuyer sur **Entrée** pour terminer et redémarrer.

## 3. Configurer le domaine Active Directory

Avant de poursuivre, terminer les opérations précédentes sur AD1 et AD2 et vérifier que les deux contrôleurs de domaine sont configurés et synchronisés. Les étapes suivantes ne sont à effectuer que sur un seul contrôleur de domaine; l'exemple utilise AD1. Les changements sont répliqués vers AD2.

1. Sur le contrôleur choisi, ouvrir `D:\Install\Scripts` et exécuter `5-Configuration_Domaine_AD.ps1` avec les droits requis.
2. Si le script demande de ne plus afficher un message, saisir `T`.
3. Saisir le numéro de département sur deux ou trois caractères.
4. Indiquer le moteur de base de données utilisé par l'infrastructure en saisissant `ORA` ou `SQL` en majuscules.
5. Indiquer si l'infrastructure comporte des plateformes de formation et de test en saisissant `OUI` ou `NON` en majuscules.

Le script installe le magasin central de modèles ADMX, crée les unités d'organisation, les comptes utilisateurs, les groupes et les GPO.

Des ajustements manuels restent nécessaires.

## 4. Mettre à jour les GPO

Les captures de la procédure d'origine contenaient certains paramètres et valeurs qui ne sont pas retranscrits ici. Pour ces paramètres, se référer au DCSR, aux GPO de référence ou à l'équipe responsable avant toute modification.

### 4.1 GPO `WORKSTATIONS-CONFIGURATION`

- Corriger les paramètres propres au client en remplaçant `xx` par le numéro de département, selon le DCSR et la configuration de référence.
- Pour le paramètre de groupe en erreur, supprimer l'entrée incorrecte et recréer le groupe attendu d'après la configuration de référence.

### 4.2 GPO `WORKSTATIONS-SUP-VEILLE`

Ajouter au filtrage de sécurité le ou les postes **Mur d'Image**, s'ils existent.

### 4.3 GPO `SERVERS-SERVICES-SPOOLER`

Cette GPO doit s'appliquer à tous les serveurs, sauf aux serveurs **MULTI** et **SPOOLER**. La procédure indique que la GPO n'est normalement pas liée à l'OU `T1-INFRA-SERVERS` de ces serveurs. Créer un filtre WMI pour exclure les machines dont le nom contient `SPOOLER` ou `MULTI` :

- **Nom** : `Exclure SPOOLER et MULTI`
- **Espace de noms** : `root\CIMv2`
- **Requête** :

```sql
SELECT * FROM Win32_ComputerSystem WHERE NOT (Name LIKE "%SPOOLER%" OR Name LIKE "%MULTI%")
```

Associer ensuite ce filtre WMI à la GPO `SERVERS-SERVICES-SPOOLER`.

### 4.4 GPO `USERS-ENV-CONF`

- Corriger les paramètres propres au client en remplaçant `xx` par le numéro de département, selon la configuration de référence.
- Mettre à jour les chemins des redirections des dossiers **Images** et **Téléchargement**.
- Adapter le chemin selon que la plateforme utilise un NAS ou non :

```text
\\ctaXX.local\SYSTEL\PartageOP
\\NAS-X\PartageOP
```

### 4.5 GPO `USERS-PRINTERS_ADD_ALL`

Remplacer les imprimantes par celles du client. Les imprimantes doivent d'abord être installées sur le serveur d'impression SPOOLER.

### 4.6 GPO `USERS-ENV-RESTRICTION`

Corriger le paramètre propre au client en remplaçant `xx` par le numéro de département, selon la configuration de référence.

### 4.7 GPO `SERVERS-WORKSTATION-DENY-ADMIN*`

Mettre à jour les comptes des stratégies de groupe concernées. Une fois ces stratégies appliquées, l'ouverture de session RDP avec un compte Administrateur du domaine peut être interdite. Utiliser alors `AdminLocal` ou le compte dédié au serveur, à condition qu'il appartienne au groupe local **Administrateurs** (par exemple sur `MULTI1`, `MULTI2` ou `DWH`).

Pour chacune des stratégies listées ci-dessous, vérifier les droits pour les trois paramètres suivants :

- **Interdire l'ouverture d'une session locale**
- **Interdire l'ouverture de session en tant que service**
- **Interdire l'ouverture de session par les services Terminal Server**

Supprimer les comptes inconnus et ajouter les comptes du domaine concernés. Adapter `CTAxx` au nom de domaine de la plateforme. Les listes sont séparées par des points-virgules :

```text
SERVERS-WORKSTATION-DENY-ADMIN
CTAxx\DnsAdmins; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+BD1+BD2
CTAxx\DnsAdmins; CTAxx\BD2; CTAxx\BD1; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+BDF
CTAxx\DnsAdmins; CTAxx\BDF; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+BDF+BD1
CTAxx\DnsAdmins; CTAxx\BDF; CTAxx\BD1; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+BDF+BD2
CTAxx\DnsAdmins; CTAxx\BDF; CTAxx\BD2; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+MULTI1
CTAxx\MULTI1; CTAxx\DnsAdmins; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN+MULTI2
CTAxx\MULTI2; CTAxx\DnsAdmins; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma; CTAxx\Administrateurs de l’entreprise

SERVERS-WORKSTATION-DENY-ADMIN-T0
CTAxx\DnsAdmins; CTAxx\Admins du domaine; CTAxx\Administrateurs du schéma
```

Répéter la liste des utilisateurs dans chacune des trois stratégies correspondantes, conformément à la configuration de référence. Vérifier les comptes et les droits avant de lier ou d'appliquer les GPO.

## 5. Mettre à jour les comptes de service

Dans Active Directory, ouvrir l'OU `T1-ZONE > T1-INFRA > T1-INFRA-USERS`.

Activer les comptes utilisés pour administrer l'infrastructure (commutateurs, pare-feu, Nutanix, TELEML et bastion), selon les besoins de la plateforme. Pour chaque compte activé, générer un mot de passe robuste de 20 caractères avec caractères spéciaux et l'enregistrer dans RDM.

## 6. Placer les postes et serveurs dans leurs OU

Après leur jonction au domaine, déplacer les objets ordinateurs depuis l'OU `Computers` vers l'OU appropriée :

- Postes opérateurs : `T2-WORKSTATIONS`.
- Serveurs : `T1-SERVERS`.
- Serveurs TELEML et SPOOLER : `T1-INFRA-SERVERS`.
- Serveurs `TELEM_T0` : `T0-SERVERS`.

## 7. Configurer DFSR (partage de fichiers)

> **Prérequis :** les deux serveurs AD doivent être créés et répliqués avant de commencer.

### 7.1 Créer l'espace de noms

1. Ouvrir **Gestion du système de fichiers distribués DFS** et lancer l'assistant **Nouvel espace de noms**.
2. Ajouter AD1 comme serveur d'espace de noms.
3. Saisir `SYSTEL` comme nom de l'espace de noms et ouvrir **Modifier les paramètres**.
4. Configurer les paramètres conformément à la configuration de référence et valider.
5. Conserver les paramètres par défaut pour les écrans suivants, puis cliquer sur **Créer** et **Fermer**.
6. Sélectionner l'espace de noms créé, puis choisir **Ajouter un serveur d'espace de noms**.
7. Ajouter AD2, configurer les paramètres conformément à la référence, puis valider les éventuels avertissements après vérification.

### 7.2 Configurer les droits NTFS sur AD1

AD1 sert de serveur de référence. Configurer les droits suivants :

- `D:\SYSTEL\Profils` : lecture et exécution pour `GRP_USERS_T2`.
- `D:\SYSTEL\Partages` : lecture et modification pour `GRP_USERS_T1` et `GRP_USERS_T2`.

### 7.3 Configurer la réplication DFSR

La procédure source s'arrête pendant la configuration de la réplication. Compléter cette section à partir de la configuration de référence avant d'exploiter le partage : création du groupe de réplication, ajout d'AD1 et AD2, sélection du membre principal, définition des chemins locaux et planification de la réplication. Les paramètres détaillés n'étant pas présents dans le texte source, ne pas les deviner.