# Joindre un poste au domaine

## Prérequis côté client

1. **DNS = le contrôleur de domaine** (`10.19.1.254`), par DHCP (option 006) ou en manuel. ⚠️ C'est **la cause n°1 des échecs**. Avec 8.8.8.8 en DNS, le client ne trouve jamais `hp.lan`.
2. Connectivité : `ping srv01.hp.lan`.
3. SID unique : machine clonée → **sysprep** obligatoire.
4. Heure synchronisée : Kerberos tolère **5 minutes** d'écart maximum.
5. Édition **Pro / Entreprise / Éducation** de Windows : **Windows Famille ne peut pas rejoindre un domaine**.
6. Un compte du domaine autorisé : tout utilisateur du domaine peut joindre **jusqu'à 10 machines** par défaut, un admin du domaine sans limite.

Test rapide avant de joindre :
```cmd
nslookup -type=SRV _ldap._tcp.dc._msdcs.hp.lan
```
Si le DC apparaît, le DNS est bon.

## En GUI

`sysdm.cpl` → onglet **Nom de l'ordinateur** → **Modifier** → **Membre d'un domaine** : `hp.lan` → identifiants `HP\Administrateur` → « Bienvenue dans le domaine hp.lan » → **redémarrer**.

## En PowerShell

```powershell
# Renommer et joindre en une seule fois
Add-Computer -DomainName "hp.lan" -NewName "CLI01" -Credential HP\Administrateur `
    -OUPath "OU=Postes,OU=Ordinateurs,OU=HP,DC=hp,DC=lan" -Restart

# Quitter le domaine
Remove-Computer -UnjoinDomainCredential HP\Administrateur -WorkgroupName WORKGROUP -Restart
```

**Pré-créer** le compte ordinateur dans AD (par exemple pour le placer directement dans la bonne OU) :
```powershell
New-ADComputer -Name "CLI01" -Path "OU=Postes,OU=Ordinateurs,OU=HP,DC=hp,DC=lan"
```

## Ouvrir une session de domaine

Sur l'écran de connexion → **Autre utilisateur** → `HP\adupont` ou `adupont@hp.lan`.
Pour une session **locale** : `.\Administrateur` (le `.` désigne la machine locale).

Vérifier :
```cmd
whoami                 :: hp\adupont
whoami /upn            :: adupont@hp.lan
echo %logonserver%     :: \\SRV01
systeminfo | findstr /i "domaine"
```

## Dépannage

| Erreur ou symptôme | Cause / solution |
|---|---|
| « Un contrôleur de domaine AD pour le domaine hp.lan n'a pas pu être contacté » | **DNS** du client ≠ IP du DC, ou zone/enregistrements SRV absents |
| « The SID of the domain … was identical to the SID of this machine » | VM clonée sans sysprep : faire un sysprep et réessayer |
| Erreur liée à l'heure / Kerberos | Corriger l'heure ou le fuseau horaire (`w32tm /resync`) |
| « La relation d'approbation entre cette station de travail et le domaine principal a échoué » | Mot de passe du compte ordinateur désynchronisé (souvent après restauration d'un **snapshot** du client). `Test-ComputerSecureChannel -Repair -Credential HP\Administrateur`, ou retirer puis rejoindre le domaine |
| Joindre fonctionne mais la session est lente ou les GPO ne s'appliquent pas | DNS secondaire public (8.8.8.8) sur le client : ne mettre **que** les DC en DNS |

Vérifier le canal sécurisé : `Test-ComputerSecureChannel -Verbose` ou `nltest /sc_verify:hp.lan`.

## Questions de révision

1. Quel paramètre réseau du client est indispensable pour joindre le domaine ?
2. Quelle édition de Windows 10/11 ne peut pas rejoindre un domaine ?
3. Où arrivent par défaut les comptes ordinateurs ? Comment les placer ailleurs ?
4. Comment se connecter avec un compte **local** sur un PC membre du domaine ?
5. Après restauration d'un snapshot du client, la connexion échoue avec une erreur de relation d'approbation. Pourquoi ?