M2102 – TP 5 :

Administration Windows 2012 Server

09/03/21

Concepteur original : Gilles.Masson@unice.fr

L’objectif de ce TP est de configurer un domaine Windows 2012 et d’accomplir un certain nombre

d’opérations d’administration liées aux comptes utilisateurs, aux groupes.

Cette séance de travaux pratiques se fera, sur 2 machines physique , dans des machines virtuelles avec
VirtualBox.

Pour configurer les machines virtuelles, dans un terminal lancer 'createvm'. Reprenez la ligne d'exemple
avec la machine virtuelle dont vous avez besoin (voir plus précisément ci-dessous).

Par défaut la touche permettant de « détacher » la souris de l'ecran de virtualisation est 'Ctrl' (de droite) .
Pour faire l’équivalent de ctrl-alt-suppr vous devrez donc faire Ctrl-suppr. Pour passer en plein écran : Ctrl-F
(en plein écran Ctrl-home permet d'avoir en menu pop-up les menu que l'on a habituellement en fenêtré)

1 Paramétrage de base des machines

Machine virtuelle win serveur 2012r2 :

– création : createvm w2012 TPadmin.Windows2012_64.MEM1810.VRAM128.IOAPIC.VTX.NP.SATA.vdi
– mot de passe pour Administrateur : 'Win2012' (s'il demande le changement du mot de passe mettre 'Win2012a'
)
Il faut ensuite remplir les élément suivants quand la machine a démarré et que la fenêtre du gestionnaire de serveur
s'ouvre :

– Répondez non si la le serveur propose de chercher des infos dans son environnement (imprimante, etc..)
– Allez ensuite dans le menu Serveur local
– Calculez l'IP Z à partir du dernier octet de l'adresse IP de la machine physique auquel vous ajoutez 100.
– Nom du poste : rtXXadmZ (où XX est le numéro de paillasse attribué pour chacun et Z l’IP)
– IP : 10.4.105.xx / 255.255.255.0 , GW : 10.4.105.254, DNS de départ : 134.59.136.1
– Redémarrez le serveur avec l’équivalent de ctrl-alt-suppr

Machine virtuelle win8.1 :

– création : createvm w81 TPadmin.Windows81_64.MEM1400.VRAM128.IOAPIC.VTX.NP.SATA.vdi
– mot de passe pour admin : 'admin'
– Calculez l'IP Z à partir du dernier octet de l'adresse IP de la machine physique auquel vous ajoutez 100.
– Pour configurer, il faut aller dans le panneau de configuration puis Centre réseau et partage.

1
 – Nom du poste : rtXXadmZ (où est le numéro de paillasse attribué pour chacun et Z l’IP)
– IP : 10.4.105.XX / 255.255.255.0 , GW : 10.4.105.254, DNS de départ : 134.59.136.1

Vérifiez bien que le client peut pinger le serveur (et pas l'inverse pour des problèmes de pare-feu).

2 Installation du serveur de domaine

Un serveur de domaine est un serveur Windows (ici 2012 R2) sur lequel est installé un annuaire centralisant
l’ensemble des informations nécessaires à l’administration des postes de travail, des utilisateurs et des
ressources réseau (imprimantes…). Cet annuaire est activé par le service Active Directory, plus précisément
AD DS.

Prenez le temps de regarder dans les divers panneaux de configuration pour découvrir où est quoi.

2.1 Installation de Active Directory

– Gestionnaire de serveur->Gérer->Ajouter des rôles et fonctionnalités->Installation basée sur un rôle

– Créer un service AD DS (Active Directory Domain Services). Cliquez sur « Ajoutez des
fonctionnalités ».
– Promouvoir le serveur en contrôleur de domaine → Créer une nouvelle forêt, domaine :
domXX.gtr.tp (Windows Server 2012).

– Une fois le domaine fonctionnel, et avant d'essayer d'ajouter le client au domaine, changer son DNS
en y mettant l'IP de votre serveur, en mettant comme suffixe principal dns celui du domaine, et en
cochant l'enregistrement au domaine en allant dans les propriétés IPv4 avancés.

2.2 Installation de la Console de Management

La console Microsoft Management Console (MMC) est un outil qui permet d’administrer Windows Serveur
en concentrant l’ensemble des composants de gestion sous une même interface. La plupart des composants
sont maintenant également présents directement dans les menus, mais il peut rester plus pratique d'avoir sa
config personnalisée à disposition.
C'était la manière principale pour gérer un serveur Windows avant la version 2012, mais ça reste un
complément utile au Gestionnaire de serveur qui a été ajouté dans 2012.

Créer une console MMC personnalisée (Menu Démarrer, Exécuter (une fois dans le menu démarrer, vous
pouvez taper la première lettre de ce que vous cherchez!!) , taper mmc).
Configurer la console pour travailler en mode “Auteur” (Menu Fichier, Options)
Enregistrer votre console sous le nom RT-Admin dans le Bureau.
Ajouter les composants logiciel enfichables (option du menu Fichier) :
 Utilisateurs et ordinateurs Active Directory,
 Sites et services Active Directory,
 Dossiers partagés (local),
 DNS,
 Gestion des stratégies de groupe.

2.3 Ajout d'un client au domaine

Se connecter administrateur sur le PC client et le rajouter à votre domaine (domXX.gtr.tp) qui vient d’être
créé : il devient “client” du domaine. Pour cela, il faut aller dans Panneau de configuration → Système

2
Tout le monde n'a pas le droit d'attacher sa machine à un domaine : il faut s'identifier avec un compte
administrateur du serveur ou du domaine (pas de la machine locale!!!).

Note: soyez sûr que le client à été démarré lorsque le serveur est pleinement actif !!!

3 Gestion des comptes utilisateurs

Dans ce qui suit nous allons attribuer des permissions d’accès à des répertoires, à différents groupes.
Examiner la fiche Utilisateurs et Ordinateurs de l’Active Directory à partir de la console de management.
Examiner les OU (Organisational Units) Builtin et Users.
Vous devez voir des groupes et des utilisateurs individuels de différents types : les groupes intégrés (« Built-
in » dans l’OU Builtin), les groupes prédéfinis (dans l’OU Users) et les groupes spéciaux non liés à Active
Directory (Tout le monde, Utilisateurs authentifiés, etc.).

3.1 Création des espaces de données

Il s’agit de créer des dossiers sur le serveur et de les rendre accessibles depuis n’importe quelle machine du
réseau.
Un de ces dossiers contiendra les répertoires de travail (l’espace « homedir ») de chaque compte utilisateur et
l’autre contiendra les profils utilisateurs.
Sur le serveur, créer le dossier C:\Homes et le partager sous le nom Homes (il faut cliquer sur le bouton
"partage avancé")

Il est important de noter qu'il y a 2 couches pour les permissions :

- couche supérieure : la couche réseau, qui correspond au protocole de partage du fichier (CIFS).
- couche inférieure : la couche NTFS, qui est le système de fichier

Cela est complexe.

Depuis le menu contextuel (menu accessible via le clic droit de la souris), accédez aux propriétés du dossier
pour bien voir les 2 niveaux : le niveau service dans l'onglet Partage et niveau NTFS dans l'onglet Sécurité.

L'idée de la configuration ci-après est de laisser tout le monde passer le niveau réseau puis de faire des choix
au niveau NTFS.

Sur le dossier Homes

Permissions de partage :
Supprimer Tout le monde (si il est présent)
Administrateur(s) : Full Control
Système : Full Control (il se peut qu'il disparaisse mystérieusement, mais ce n'est pas grave)
Utilisateurs du domaine : Full Control

Permissions NTFS (bouton 'partage avancé'):

Désactiver l’héritage si nécessaire → Convertir les autorisations héritées en autorisations explicites sur cet
objet (cela permet de bien contrôler le niveau NTFS)
Supprimer les entrées pour le groupe «Utilisateurs »
Créateur propriétaire (chercher 'createur' (sans accent) puis bouton 'vérifier les noms')): Full Control
Système : Full Control
Administrateurs : Full Control

3
3.2 Création d’un compte utilisateur dans le domaine
Créer un compte user1 sur le serveur de domaine en utilisant le composant Utilisateurs et ordinateurs Active
Directory en vous plaçant dans le répertoire Users puis en cliquant sur l'icône avec une tête de personnage
dans la barre d'outils.
Lui affecter un mot de passe qui n’expirera pas (au moins une majuscule et un chiffre et …. suffisamment de
caractères en tout).

Aller ensuite dans les propriétés de cet utilisateur

A quel groupe appartient user1 ?

Dans l’onglet Profil, connecter le lecteur Z: au partage \\rtXXadmZ\homes\%username%

On remarque au passage que Windows ne semble pas sensible aux majuscules/minuscules puisqu'on a écrit
homes et non Homes et pourtant cela arrivera au même endroit.

Quel que soit le poste client du domaine où se connecte user1, la connexion sur le lecteur réseau Z: du
répertoire de travail de user1 est automatiquement exécutée.

Sur le poste client : tester le compte user1 en vous connectant sous cette identité. Vérifier que le montage de
son répertoire de travail sur le lecteur Z: est effectif. Créer un fichier dans le répertoire sur le client et
regarder le répertoire correspondant sur le serveur. Que constatez-vous ?

Créer un compte user2 sur le même modèle que user1.

Essayez d’accéder au partage \\rtXXadmZ\homes\user2 en tant que user1. Quel résultats obtient-on ?

3.3 Modification des restrictions sur les mots de passe

Chercher dans les stratégies de groupe les restrictions sur les mots de passe et les assouplir, en profiter pour
changer vos mots de passe utilisateur pour quelque chose de plus simple pendant ces TPs.
(dans Gestion des stratégies de groupe, modifier le Default domain policy de votre domaine en descendant
dans l'arborescence puis une fois trouvé le Default domain policy , bouton droit et Modifier
Ensuite :
Configuration ordinateur → Stratégies → Paramètres windows → Paramètres de sécurité → Stratégies de
comptes → Stratégie de mot de passe )

3.4 Création d’un compte d’utilisateur local sur le client

Nous allons permettre l'administration à distance du client par le serveur. Pour cela, il faut que le client
accepte les connexions effectuées depuis le serveur. Or, le pare-feu Windows bloque cela. Vous avez 2
options :
- option 1 (sauvage) : arrêter le firewall (à partir du menu de configuration)
- option 2 (civilisée) : n'arrêter le firewall que pour la partie domaine.

Maintenant que le client est prêt à écouter le serveur, ajouter un module Gestion de l’ordinateur pour votre
client dans la console de management créée précédemment. Le nom du client est du type
RTXXadmZ.domXX.gtr.tp (ou RTXXadmZ.gtr.tp).

Aller dans la rubrique Utilisateurs et Groupes locaux et créer le compte userlocal1, membre du groupe local
Utilisateurs.
Sur la station cliente : déconnectez-vous du compte user1 et connectez-vous sous le compte local
userlocal1.

4
4 Déploiement de logiciels sur les postes du domaine
Récupérer putty_suite-0.58.msi (https://www.i3s.unice.fr/~urvoy/docs/M2102/putty_suite-0.58.msi) et le
mettre dans un partage fonctionnel de votre serveur : NETLOGON. Ce répertoire est un peu particulier parce
qu'on a pas besoin de login pour y accéder.
Comme ce répertoire est difficile à localiser sur le disque dur, montez, depuis le serveur, le partage réseau
associé à ce répertoire, en tant qu'administrateur

Aller dans « gestion des stratégie de groupes » puis aller dans le domaine et clic droit sur « Default Domain
Policy » pour modifier. Cela ouvre une fenêtre où l'on trouve : Configuration ordinateur → Stratégies →
Paramèteres du logiciel → Installation de logiciel -> 'Nouveau' -> 'Package...' . Choisir le .msi copié via son
partage réseau, puis terminer les boites de dialogue. Il faut choisir l'option Attribué puis aller dans les
propriétés du paquet et onglet déploiement pour cocher l'option « Installer cette application lors de
l'ouverture de session ».

Il faut ensuite forcer le serveur à prendre ces modifications en compte. Ouvrez l'application PowerShell puis
tapez la commande gpupdate.exe /Force. Cela risque d'avoir au final le même effet qu'un redémarrage du
serveur. Une fois le serveur prêt, redémarrez le client , l'application devrait s'être installée à la première ou à
la seconde connexion.

Si cela ne fonctionne pas, il faut aller voir dans les logs : (Panneau de config => Outils d'administration =>
Observateur d'événements => Journaux Windows) : en cas de problèmes lors de la tentative d'installation
automatique, il doit normalement y avoir dans la catégorie "Système" un événement de niveau
"avertissement" généré par la source "Application Management Group Policy" : cet événement explique quel
est le problème, par exemple le client n'at pas les autorisations d'accès au fichier putty.msi au niveau des
droits NTFS.

5 Gestion avancée des utilisateurs : utilisation des profils itinérants

L’utilisation des profils itinérants permet aux utilisateurs qui se connectent depuis plusieurs ordinateurs de
retrouver leur données de profil utilisateur (Bureau, Mes documents, Menus…). Pour mettre en service cette
fonctionnalité, il faut disposer sur un serveur d’un dossier partagé qui hébergera les profils. On va utiliser le
partage \\rtXXadmZZ\Profiles : créer le dossier C:\Profiles et le partager sous le nom de Profiles.

Permission de partage :
Supprimer Tout le monde
Utilisateurs du domaine : Modifier/Lecture

Permission NTFS : Onglet Sécurité

Désactiver l’héritage -> Convertir les autorisations héritées en autorisations explicites sur cet objet
Supprimer les entrées pour le groupe «Utilisateurs »

Modifier «Utilisateurs du domaine » comme suit : Parcours du dossier/Executer le fichier, Liste du

dossier/Lecture des données, Création de dossier/Ajout de données sur ce dossier seulement

Pour le comptes user1, dans l’onglet profil de la boîte de dialogue Propriétés du compte, taper le chemin
d’accès \\rtXXadmZZ\Profiles\%username% dans la zone Chemin du profil.
Connectez vous sur le poste client sous l’identité user1 et vérifiez sur le serveur le contenu du dossier C:\
Profiles\.

Pour user1, modifier la couleur de fond du bureau et créer un raccourci vers l’explorateur Windows.
Fermer puis réouvrir les sessions pour vérifier que vous retrouvez votre environnement.
Sur le poste client : vous connecter en tant qu’administrateur.

5
Editer les propriétés du Système → Paramètres Système avancés, et supprimer le profil de user1.
Se reconnecter en tant que user1. Que constatez-vous ?