# Active Directory : promouvoir un contrôleur de domaine

## Vocabulaire

| Terme | Définition |
|---|---|
| **AD DS** | *Active Directory Domain Services* : l'annuaire qui centralise les comptes, ordinateurs, groupes et stratégies |
| **Contrôleur de domaine (DC)** | Serveur qui héberge une copie de l'annuaire et authentifie les utilisateurs (Kerberos) |
| **Domaine** | Ensemble d'objets partageant la même base AD et le même nom DNS (`hp.lan`) |
| **Arborescence** (*tree*) | Domaine parent + domaines enfants (`hp.lan`, `bxl.hp.lan`) |
| **Forêt** | Ensemble d'arborescences : c'est la **limite de sécurité**. Le premier domaine créé est le *domaine racine de la forêt* |
| **OU** (*Organizational Unit*) | « Dossier » dans le domaine pour ranger les objets, déléguer des droits et appliquer des GPO |
| **NetBIOS** | Nom court du domaine (`HP`), utilisé dans `HP\hugo` |
| **NTDS.dit** | Fichier de la base AD (`C:\Windows\NTDS`) |
| **SYSVOL** | Partage répliqué entre DC qui contient les scripts et les GPO |

## Prérequis avant promotion

- [ ] **Nom définitif** de la machine (`SRV01`) : on évite de renommer un DC après coup.
- [ ] **IP fixe** (10.19.1.254 /24, GW 10.19.1.1).
- [ ] **DNS préféré = lui-même** (`10.19.1.254` ou `127.0.0.1`). Le serveur deviendra son propre DNS.
- [ ] Machine **sysprepée** si c'est un clone (SID unique).
- [ ] Heure et fuseau horaire corrects.
- [ ] Snapshot « avant promotion ».

## Choisir le nom de domaine

- Utiliser un nom DNS complet : `hp.lan`, `lab.hugo-pierret.be`…
- La recommandation Microsoft est un **sous-domaine d'un domaine qu'on possède** (`ad.hugo-pierret.be`).
- **Éviter** `.local`, qui entre en conflit avec mDNS/Bonjour, et les noms en une seule partie (`HP` tout seul).

## Promotion en GUI

1. **Gestionnaire de serveur** → Ajouter des rôles → **Services AD DS**.
2. Cliquer sur le drapeau jaune ⚠️ → **Promouvoir ce serveur en contrôleur de domaine**.
3. **Ajouter une nouvelle forêt** → nom de domaine racine `hp.lan`.
4. Niveaux fonctionnels, options **DNS** + **Catalogue global** (cochés), mot de passe **DSRM**.
5. Délégation DNS : l'avertissement est normal pour une nouvelle forêt.
6. Nom NetBIOS (`HP`), chemins (laisser par défaut), vérification des prérequis, **Installer**. Le serveur redémarre.

## Promotion en PowerShell

```powershell
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSForest `
    -DomainName "hp.lan" `
    -DomainNetbiosName "HP" `
    -InstallDns `
    -SafeModeAdministratorPassword (Read-Host -AsSecureString "Mot de passe DSRM") `
    -Force
```

Autres cas (pour plus tard) :
- `Install-ADDSDomainController -DomainName hp.lan -InstallDns -Credential (Get-Credential)` : **ajouter un 2ᵉ DC** dans un domaine existant.
- `Install-ADDSDomain` : créer un domaine enfant.

### DSRM

*Directory Services Restore Mode* : mode de démarrage spécial pour **réparer ou restaurer AD**, base AD hors ligne. Le mot de passe DSRM est celui de l'administrateur **local** utilisé dans ce mode. Il est différent du mot de passe Administrateur du domaine : **à noter quelque part !**

## Ce qui change après la promotion

- Le compte `Administrateur` local devient `HP\Administrateur` (administrateur du domaine).
- Plus de comptes locaux : `lusrmgr.msc` ne fonctionne plus sur un DC.
- La zone DNS `hp.lan` est créée, ainsi que `_msdcs.hp.lan` avec les enregistrements SRV.
- Les partages `SYSVOL` et `NETLOGON` apparaissent (`net share`).
- La carte réseau peut afficher DNS `127.0.0.1` : c'est normal, c'est le serveur lui-même.

## Vérifications

```powershell
Get-ADDomain
Get-ADForest
Get-ADDomainController
dcdiag                                         # tests de santé du DC (tout doit être "passed")
nslookup -type=SRV _ldap._tcp.dc._msdcs.hp.lan  # le DC est-il annoncé dans le DNS ?
netdom query fsmo                              # qui détient les 5 rôles FSMO
```

### Rôles FSMO (pour info)

5 rôles uniques, tous sur le premier DC :
- **Par forêt** : Contrôleur de schéma, Maître d'attribution des noms de domaine.
- **Par domaine** : Émulateur PDC (heure, mots de passe), Maître RID (distribue les blocs de SID), Maître d'infrastructure.

## Questions de révision

1. Quelle est la différence entre un domaine et une forêt ?
2. Quel DNS doit être configuré sur la carte réseau du DC avant la promotion ?
3. À quoi sert le mot de passe DSRM ?
4. Quel enregistrement DNS vérifier pour s'assurer que le DC est bien annoncé ?
5. Pourquoi éviter un nom de domaine en `.local` ?
6. Quelle commande teste la santé d'un contrôleur de domaine ?