Skip to main content

Active Directory : promouvoir un contrôleur de domaine

Vocabulaire

Terme Définition
AD DS Active Directory Domain Services : l'annuaire qui centralise les comptes, ordinateurs, groupes et stratégies
Contrôleur de domaine (DC) Serveur qui héberge une copie de l'annuaire et authentifie les utilisateurs (Kerberos)
Domaine Ensemble d'objets partageant la même base AD et le même nom DNS (hp.lan)
Arborescence (tree) Domaine parent + domaines enfants (hp.lan, bxl.hp.lan)
Forêt Ensemble d'arborescences : c'est la limite de sécurité. Le premier domaine créé est le domaine racine de la forêt
OU (Organizational Unit) « Dossier » dans le domaine pour ranger les objets, déléguer des droits et appliquer des GPO
NetBIOS Nom court du domaine (HP), utilisé dans HP\hugo
NTDS.dit Fichier de la base AD (C:\Windows\NTDS)
SYSVOL Partage répliqué entre DC qui contient les scripts et les GPO

Prérequis avant promotion

  • Nom définitif de la machine (SRV01) : on évite de renommer un DC après coup.
  • IP fixe (10.19.1.254 /24, GW 10.19.1.1).
  • DNS préféré = lui-même (10.19.1.254 ou 127.0.0.1). Le serveur deviendra son propre DNS.
  • Machine sysprepée si c'est un clone (SID unique).
  • Heure et fuseau horaire corrects.
  • Snapshot « avant promotion ».

Choisir le nom de domaine

  • Utiliser un nom DNS complet : hp.lan, lab.hugo-pierret.be…
  • La recommandation Microsoft est un sous-domaine d'un domaine qu'on possède (ad.hugo-pierret.be).
  • Éviter .local, qui entre en conflit avec mDNS/Bonjour, et les noms en une seule partie (HP tout seul).

Promotion en GUI

  1. Gestionnaire de serveur → Ajouter des rôles → Services AD DS.
  2. Cliquer sur le drapeau jaune ⚠️ → Promouvoir ce serveur en contrôleur de domaine.
  3. Ajouter une nouvelle forêt → nom de domaine racine hp.lan.
  4. Niveaux fonctionnels, options DNS + Catalogue global (cochés), mot de passe DSRM.
  5. Délégation DNS : l'avertissement est normal pour une nouvelle forêt.
  6. Nom NetBIOS (HP), chemins (laisser par défaut), vérification des prérequis, Installer. Le serveur redémarre.

Promotion en PowerShell

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSForest `
    -DomainName "hp.lan" `
    -DomainNetbiosName "HP" `
    -InstallDns `
    -SafeModeAdministratorPassword (Read-Host -AsSecureString "Mot de passe DSRM") `
    -Force

Autres cas (pour plus tard) :

  • Install-ADDSDomainController -DomainName hp.lan -InstallDns -Credential (Get-Credential) : ajouter un 2ᵉ DC dans un domaine existant.
  • Install-ADDSDomain : créer un domaine enfant.

DSRM

Directory Services Restore Mode : mode de démarrage spécial pour réparer ou restaurer AD, base AD hors ligne. Le mot de passe DSRM est celui de l'administrateur local utilisé dans ce mode. Il est différent du mot de passe Administrateur du domaine : à noter quelque part !

Ce qui change après la promotion

  • Le compte Administrateur local devient HP\Administrateur (administrateur du domaine).
  • Plus de comptes locaux : lusrmgr.msc ne fonctionne plus sur un DC.
  • La zone DNS hp.lan est créée, ainsi que _msdcs.hp.lan avec les enregistrements SRV.
  • Les partages SYSVOL et NETLOGON apparaissent (net share).
  • La carte réseau peut afficher DNS 127.0.0.1 : c'est normal, c'est le serveur lui-même.

Vérifications

Get-ADDomain
Get-ADForest
Get-ADDomainController
dcdiag                                         # tests de santé du DC (tout doit être "passed")
nslookup -type=SRV _ldap._tcp.dc._msdcs.hp.lan  # le DC est-il annoncé dans le DNS ?
netdom query fsmo                              # qui détient les 5 rôles FSMO

Rôles FSMO (pour info)

5 rôles uniques, tous sur le premier DC :

  • Par forêt : Contrôleur de schéma, Maître d'attribution des noms de domaine.
  • Par domaine : Émulateur PDC (heure, mots de passe), Maître RID (distribue les blocs de SID), Maître d'infrastructure.

Questions de révision

  1. Quelle est la différence entre un domaine et une forêt ?
  2. Quel DNS doit être configuré sur la carte réseau du DC avant la promotion ?
  3. À quoi sert le mot de passe DSRM ?
  4. Quel enregistrement DNS vérifier pour s'assurer que le DC est bien annoncé ?
  5. Pourquoi éviter un nom de domaine en .local ?
  6. Quelle commande teste la santé d'un contrôleur de domaine ?
Back to top