Administration système: cours 4 (PP)

Partages windows: mise en place, sécurité

AD: Les domaines windows 2000

AD: gestion des comptes utilisateurs dans un domaine

AD: groupes

AD: délégation de contrôle

Partages: Présentations

W2K ne partage que des dossiers (pas des fichiers individuels)

Un partage est identifié par un nom de partage (pas forcément identique au nom du dossier)

Un dossier peut avoir plusieurs partages

Partage caché: le nom finit par $

Partage de dossiers NTFS ou FAT 16/32

Partages: notation UNC

Notation unc (Universal Naming Convention): \\serveur\partage\chemin\fichier

Net use z:\\serveur\partage : associe un partage à une unité:

Net use z: /d : annule

Net view : liste des ordinateurs du domaine

Net view \\serveur : liste des partages publics du serveur

Net share nomPartage=unité:chemin

Dossiers partagés: création

À distance avec la MMC « gestion de l'ordinateur »

Windows 2000 Professionnel

Administrateurs

utilisateurs avec pouvoir

Windows 2000 Server:

idem

Opérateurs de serveur

Dossiers partagés: création (2)

1) Permissions NTFS

2) création du partage

3) autorisations

Partages spéciaux

Créés automatiquement par le système

Dépendent des fonctionnalités prises en charge par l'ordinateur

Quelques partages spéciaux:

C$, D$, ... (un partage par lettre de lecteur);

ADMIN$: répertoire système (c:\winnt)

IPC$: partage des canaux nommés;

NETLOGON

PRINT$

Partages: autorisations

Pour accèder à un partage, il faut passer 2 filtres :

Les autorisations du partage

Les permissions du système de fichier NTFS

Conseils:

Mettre les restrictions sur les permissions NTFS

CT aux utilisateurs authentifiés comme autorisation

autorisations partage vs permissions NTFS

Doc2

Doc2

Folder2

Folder2

Doc2

Doc2

Folder2

Folder2

Folder2

Dossier2

Folder1

Folder1

Folder1

Folder1

Folder1

Dossier1

Doc1

Doc1

Doc1

Doc1

Partage

Accès au partage

Accès local via NTFS

1

2

1

Autorisations Partage

Permissions NTFS

Audit

Là, on parle de la surveillance de l'accès à un fichier ou à un répertoire

Bibliographie

reskit T2 (admin. Serveurs) chapitre 15

Active Directory: plan

Présentation générale

Gestion des utilisateurs dans un domaine

Planification des groupes

Délégation de tâches, console mmc

AD avancé: arborescences, forêts

Active Directory

Gère un domaine windows

Service d'annuaire

Base d'annuaire distribuée des ressources réseau : comptes utilisateurs, groupes, ordinateurs, imprimantes, dossiers partagés, ...

Administration centralisée

Tolérance de panne

Protocoles standard => interopérabilité (clients)

Produit propriétaire => pas de serveur AD non microsoft

Active Directory

Gère un domaine windows

Service d'annuaire

Base d'annuaire distribuée des ressources réseau : comptes utilisateurs, groupes, ordinateurs, imprimantes, dossiers partagés, ...

Administration centralisée

Tolérance de panne

Protocoles standard => interopérabilité (clients)

Produit propriétaire => pas de serveur AD non microsoft

Structure logique

Nom de domaine AD => nom de doma	ine DNS

Domaines

Arborescences: domaines de noms hiérarchiquement liés

Forêts: ensemble d'arborescences

Unités d'organisation : organisation logique à l'intérieur d'un domaine

Domaine

Limite de sécurité

Unité d'administration

Unité de réplication

Mode d'un domaine: mixte ou natif (dépend de l'OS des contrôleurs de domaine)

Unités d'organisations

Organisation logique à l'intérieur d'un domaine

Contient des objet active directory

Permet

De déléguer des pouvoirs

De simplifier la sécurité

D'appliquer une stratégie à des ordinateurs ou utilisateurs

Rend obsolète la construction usuelle domaine de compte/domaine de ressources NT4

AD-DEMO: installation d'Active Directory

Installation d'Active Directory sur une machine virtuelle windows 2000 server :

Domaine suzdal.shayol.org

Pas de dns présent => à installer

Premier domaine de l'entreprise (nouveau domaine dans une nouvelle arborescence dans une nouvelle forêt)

Pas de contrôleur NT => Mode Mixte

Les objets Active Directory

Instances d'une classe définie dans le Schéma :

Comptes utilisateurs,

ordinateurs,

imprimantes,

groupes,

dossiers partagés publiés

Objets conteneur, objet feuille

Nom des objets

CN= « Pascal PP Petit », OU=test, DC=shayol, DC=org

Nom unique

Nom unique relatif

Identificateur global (GUID)

Format des noms active directory

Nom principal d'utilisateur

Identifiant de sécurité :SID = RID + ID domaine

Nom des objets (2)

Nom unique relatif (RDN)

Nom principal d'utilisateur

Nom SAM

Compte d'ordinateur

Création à l'avance

Création du compte dans AD à l'avance

Inclusion de l'ordinateur par un utilisateur déclaré à la création du compte

Nécessaire pour ordinateur WinNT ou W2K

Création depuis l'ordinateur lors de l'inclusion dans le domaine

Compte utilisateur

Compte d'utilisateur local :

Stocké dans la base SAM de l'ordinateur

Donne accès aux ressources locales

Permet l'ouverture de session sur l'ordinateur

Compte d'utilisateur du domaine :

Stocké au niveau du domaine dans Active Directory

Donne accès aux ressources réseau

Permet d'ouvrir des sessions sur les ordinateurs du domaine

Comptes prédéfinis dans un domaine

Computers

Users

Comptes:

Administrateur

Invité

IUSR_NomOrdinateur et IWAM_NomOrdinateur

Création des comptes sur un domaine

Création d'un suffixe UPN

Propriétés

Propriétés des comptes d'utilisateurs

Options de mot de passe

Délégation: interdire la délégation, autoriser la délégation des tâches à d'autres utilisateurs

Chiffrement de mot de passe: réversible, pas de pré authentification kherberos, chiffrement DES

Expiration de compte

Restrictions horaires

Restriction d'accès (se connecter à)

AD-DEMO

Intégration de deux stations de travail dans le domaine

Création de compes utilisateur sur le domaine,L'utilisateur travaille sur sa station de travail (pas de répertoire de base réseau, pas de profil itinérant)

Deux stations de travail : tout ce qui est fait sur l'une n'est pas automatiquement accessible depuis l'autre.

Ouverture de session en utilisant le nom principal d'utilisateur

Profils utilisateurs, répertoire de base

Profils locaux

Profils itinérants

Profils itinérant obligatoire

Répertoire de base

AD-DEMO: profil itinérant

Mettre le répertoire de base sur le serveur et constater qu'il est accessible depuis les deux stations mais que le profil reste propre à chaque station (fond d'écran par ex.)

Définir un profil itinérant et constater que le profil est bien le même sur les deux stations et que les changements sont pris en compte sur les deux stations

Création de masse

Par copie d'un compte désactivé

Via addusers, csvde, ldifde

Net account

Net users

Net group

Net localgroup

Gestion des comptes

Réinitialiation du mot de passe

Désactivation

Suppression

déverouillage

déplacement

Groupes: présentation

Un groupe est un ensemble d'utilisateurs

Les membres d'un groupe bénéficient des droits attribués au groupe

Un utilisateur peut être dans plusieurs groupes

Les groupes peuvent contenir d'autres groupes

Les groupes simplifient l'administration

Jusqu'à 5000 membres

Groupes de distribution et groupes de sécurité

Groupes: étendue de groupes

Groupes locaux sur un ordinateur autonome

Groupes locaux de domaine

Groupes globaux

Groupes universels

Restriction dans un domaine en mode mixte

Groupes locaux de domaine (LD)

Peut contenir

des utilisateurs, des groupes globaux et des groupes universels de tous les domaines de la forêt;

des groupes de domaine locaux de son domaine

Utilisable seulement dans son domaine;

Peut être membre de DL de son domaine;

On peut l'utiliser pour affecter droits et permissions

Membres non copiés dans le catalogue global.

Groupes globaux

Peut contenir des utilisateurs, des groupes globaux du même domaine;

Peut être membre de groupes (DL, G, U) de tout domaine de la forêt

On ne peut pas l'utiliser pour affecter droits et permissions

Membres non copiés dans le catalogue global.

Groupes universels

Peut contenir des utilisateurs, des groupes globaux et des groupes universels de tous les domaines de la forêt;

Peut être membre de DL de tout domaine et de groupes universels

On peut l'utiliser pour affecter droits et permissions

Ses membres copiés dans le catalogue global.

Planification des groupes

Domaine

Local

Global2

Permission

Global1

Domaine

Local

Global

Permission

Planification des groupes (2)

Global1

Domaine

Local

Universel

Global1

Permission

Domaine 2

Domaine 1

AD-DEMO: gestion des groupes dans un domaine

Création d'un groupe Gtest sur le domaine (groupe local de domaine)

Ajout de l'utilisateur test1 à Gtest

Sur une station de travail, créer un dossier RepTest et donner le droit CT à Gtest et lecture au groupe « Tout le monde » sur RepTest

Vérifier les accès

Utiliser Gtest pour sélectionner les utilisateurs qui peuvent changer l'heure des stations de travail

Délégation de tâche

Délégation de contrôle sur le domaine ou sur une unité d'organisation : déléguer une partie des tâches d'administration sur certains objets à certaines personnes

Création de console MMC personnalisées,

Administration à distance

Délégation de contrôle

1 choix des groupes

2 choix des tâches

3 récapitulatif

Délégation de contrôle

1

2

3

4

Modification de délégation, Audit

Accès à la SACL (audit)

AD-DEMO: delegation de contrôle

Création d'une unité d'organisation UOtest

On y met les utilisateurs test2, test3

On délègue la remise à zéro des mots de passe de l'UO à l'utilisateur test1

Remarque: travailler avec un groupe plutôt qu'avec un utilisateur test1.

Partages spéciaux

Un partage spécial est un partage créé automatiquement par le système. Les partages spéciaux dépendent des fonctionnalités prises en charge par l'ordinateur Un contrôleur de domaine aura ainsi des partages spéciaux que n'auront pas les autres ordinateurs. Voici une liste des partages spéciaux (extrait de l'aide en ligne deW2K server) :

[lettre de lecteur]$ Partage qui permet au personnel administratif de se connecter au répertoire racine d'un périphérique de stockage. Les partages spéciaux ont des noms de la forme A$, B$, C$, D$ et ainsi de suite. Par exemple, D$ est un nom de partage permettant à un administrateur d'accéder par le réseau au lecteur D.

Pour un ordinateur Windows 2000 Professionnel, seuls les membres des groupes Administrateurs et Opérateurs de sauvegarde peuvent se connecter à ces partages. Pour un ordinateur Windows 2000 Server, les membres du groupe Opérateurs de serveur peuvent également se connecter à ces partages.

ADMIN$ Ressource utilisée par le système pendant l'administration à distance d'un ordinateur. Le chemin d'accès de cette ressource est toujours celui de la racine système de Windows 2000 (répertoire dans lequel Windows 2000 est installé : par exemple, C:\Winnt).

IPC$ Ressource assurant le partage des canaux nommés, qui jouent un rôle essentiel dans la communication entre les programmes. Elle est utilisée pendant l'administration à distance d'un ordinateur et l'examen de ses ressources partagées.

PRINT$ Ressource utilisée lors de l'administration à distance des imprimantes.

NETLOGON Ressource utilisée par le service Accès réseau d'un ordinateur Windows 2000 Server pendant le traitement des demandes d'ouverture de session sur un domaine.

Cette ressource est disponible uniquement pour les ordinateurs Windows 2000 Server. Elle n'est pas fournie pour les ordinateurs Windows 2000 Professionnel.

FAX$ Disponible sur un serveur, ce partage est utilisé par des clients de télécopie lors de l'envoi de télécopies. Ce partage sert à placer temporairement des fichiers dans un cache et à accéder à des pages de garde stockées sur le serveur.

Un annuaire permet de localiser, rechercher, gérer des ressources représentées par des objets de l'annuaire. Il offre des mécanismes de sécurité pour protéger ses informations.

Active Directory est un annuaire permettant de gérer des ressources liées à la gestions du réseau (domaines, comptes utilisateurs, stratégies de sécurité, ...).

La base de données d'AD est distribuée ce qui lui améliore la tolérance de pannes. Son mode de fonctionnement multi-maître permet de conserver une gestions centralisée.

AD respecte le standard LDAP V3. Il est donc capable d'interagir avec des clients et des serveurs LDAP d'autres origines.

Les protocoles d'échange entre serveurs AD sont propriétaires et non publics. Un contrôleur de domaine ne pourra donc pas être une machine avec un annuaire d'un fournisseur tier.

Certaines produits microsoft sont intallées par défaut (ou fortement conseillés lors de l'installation): DNS, serveur WeB. D'autres bénéficient d'une forte intégration avec AD (serveur de courrier Exchange). Quelques soient les qualités des produits concurrents (Serveur WeB Apache, annuaire open-ldap ou novell, serveur dns bind, ...) leur mise en place sera forcément moins naturelle que celles des produits microsoft.

Tout en étant un excellent produit, AD est l'un des maillons de la conquête du marché des serveurs par microsoft.

Le support par AD d'un certain nombre de procoles standard a pour but de fédérer l'ensemble des ressources réseau autour de serveurs microsoft.

Il est important de planifier la structure avant de l'implanter. La structure logique: décomposition de l'entreprise en domaines, arborescences, unités d'organisation. Cette décomposition pourra être guidée par la structure de l'entreprise et, surtout, par les besoins d'administrations :

Limites de sécurité (qui est responsable de quoi) : domaines

Possibilité de délégation d'administration : unités d'organisation

Autorisation d'accès aux ressources

Contraintes ou configurations des comptes et des sessions des utilisateurs

...

Nous allons détailler les outils qui sont à la dispositions de l'architecte du réseau pour créer sa structure logique. Plus tard, nous parlerons de éléments qui l'inciteront à adopter une structure plutôt qu'une autre: délégation de tout ou partie de l'administration de tout ou partie d'un ensemble d'utilisateurs et, dans un autre chapitre, les stratégies de groupes (imposer des configurations aux utilisateurs et aux ordinateurs).

Limite de sécurité: chaque domaine dispose de ses propres stratégies de sécurité.

Unité d'administration: L'administrateur du domaine gère l'ensemble de la sécurité sur son domaine. Il est le seul à pouvoir accorder des permissions sur les objets de son domaine. Sauf autorisation accordée explicitement, il ne gère rien en dehors de son domaine.

Unité de réplication: les données actives directory sont répliquées sur tous les contrôleurs de domaine toutes les 5 mn.

Mode d'un domaine: mode mixte: s'il reste des contrôleur de domaine NT4. Certaines fonctionnalités ne sont pas disponibles. Mode natif: si tous les contrôleurs de domaine sont en W2K. L'OS des ordinateurs non contrôleur du domaine n'influe pas sur le mode.

Il est possible de passer du mode mixte au mode natif mais pas l'inverse.

Une unité d'organisation (UO) est un « container » pouvant contenir des utilisateurs, des ordinateurs, des groupes, ... et d'autres unités d'organisation.

Une unité d'organisation doit être utilisée quand on souhaite déléguer des pouvoirs ou appliquer une stratégie particulière à un sous-ensembles des objets du domaine.

Il est possible de donner tout ou partie des droits d'administration sur les objets d'une UO à certains utilisateurs.

En créant une unité d'organisation regroupant les ordinateurs du domaine, on peut déléguer leur gestion à un utilisateur qui n'aura pas de droit sur les comptes utilisateurs. On évite de mettre en place deux domaines ressources/comptes comme sous NT4.

Sans UO, les utilisateurs sont dans le container Users (qui n'est pas une UO) et les ordinateurs dans un container Computers qui n'est pas une UO.

Les objets Active Directory sont des instances des classes définies dans le Schema Active Directory. Ces objets sont un ensemble d'attributs obligatoires (doivent être renseignés pour que la création de l'objet aie lieu) ou facultatifs. Ainsi un utilisateur aura les attributs suivants nom, prénom, nom d'ouverture de session, numéro de téléphone, description, page WeB, ... Le nom est un attribut obligatoire. La description, le numéro de téléphone, sont des attributs facultatifs.

Un objet est appelé un conteneur s'il peut contenir d'autres objets (et d'autres conteneur). Les autres objets sont appelés des objets feuille.

LDAP accepte plusieurs conventions de dénominations (cf RFC 2253: « Lightweight Directory Access Protocol (v3): UTF-8 String Representation of Distinguished Names » et RFC 2247 : « Using Domains in LDAP/X.500 Distinguished Names »).

Le nom unique relatif (ou RDN Relatif Distinguished Name) est le nom identifiant l'objet dans le conteneur auquel il appartient. Le nom unique relatif est un attribut de l'objet. Deux objets appartenant au même conteneur ne peuvent avoir le même nom unique relatif. Deux objets situés dans des conteneurs différents peuvent avoir le même nom unique relatif. Notre utilisateur a « Pascal PP Petit » comme RDN. La taille maximale d'un RDN est de 255 caractères. A cette limite s'ajoute les contraintes sur le attributs définies dans le Schéma Active Directory. Ainsi, la taille d'un CN doit être inférieure à 64 caractères.

Le nom unique (ou DN, Distinguished Name) est constitué du nom unique relatif et du chemin d'accès complet à l'objet, nom de domaine inclus. Dans notre cas, c'est CN=Pascal PP Petit, OU=test, DC=Shayol, DC=Org. CN signifiant « Common Name », OU Organisation Unit et DC Domain composant. L'utilisateur « Pascal PP Petit » fait partie de l'unité d'organisation test du domaine shayol.org. La contrainte d'unicité sur le RDN fait que deux objets différents ne peuvent avoir le même nom unique.

Active Directory supporte plusieurs formats de noms d'objet : les noms uniques LDAP que nous venons de voir, les URL LDAP de l a forme :

LDAP://nom.du.Serveur/cn= "Pascal PP Petit",ou=test,dc=shayol,dc=org,

les noms canoniques Active Directory :

shayol.org/test/Pascal PP Petit

Active Directory identifie les objets par leur Identifiant Global Unique (GUID codé sur 128 bits). Cet identifiant ne changera pas si l'objet est renommé ou déplacé. Si l'on a besoin de stocker une référence à l'objet dans une base de donnée, il faut utiliser le GUID car il ne changera pas.

Les noms de connexion : l'accès à un domaine ou à ses ressources se fait en fournissant un nom de connexion. Les principaux de sécurité d'utilisateurs ont deux nom de connexion possibles :

Nom principal d'utilisateur (ou UPN) : nom plus court que le nom unique. Il est de la forme nom@suffixe (petit@shayol.org dans notre cas).Le suffixe par défaut est le nom du domaine auquel appartient l'utilisateur. L'administrateur peut créer des suffixes nouveaux. Ainsi, il peut créer le suffixe société.com pour permettre à ses utilisateurs d'utiliser nom@societe.com plutôt que nom@sous-domaine.domaine.societe.com.

Nom de compte SAM: nom compatible NT4 de la forme DOMAINE\utilisateur. Dans notre cas, il s'agit de SHAYOL\petit. Ce nom est aussi appelé nom plat car il n'y a pas de hiérarchie de noms (pas d'UO, ...). Le nom doit être unique dans le domaine.

Tout principal de sécurité (donc tout utilisateur) ou tout groupe a un identifiant de sécurité (SID codé sur 128 bits). Cet identifiant fait partie du jeton d'accès de l'utilisateur (créé à l'ouverture de session). Il identifie l'utilisateur dans les ACL. Le SID est composé d'un partie locale (RID: identifiant relatif) et d'une partie identifiant le domaine de l'objet. Si l'objet est déplacé, le SID peut changer. Le SID est unique dans la forêt et un SID utilisé ne sera jamais réutilisé.

Tout ordinateur windows 2000 ou NT membre d'un domaine a un compte d'ordinateur dans le domaine. Ce compte peut être crée lors de l'inclusion de l'ordinateur dans le domaine. Cette inclusion doit être réalisée depuis l'ordinateur à joindre sous un compte administrateur local en fournissant en plus lors de la procédure d'inclusion le nom et le mot de passe d'un utilisateur ayant le droit d'ajouter des ordinateurs dans le domaine.

Il est aussi possible de procéder en deux étapes :

Création du compte sur le contrôleur de domaine par un utilisateur ayant ce droit. Lors de cette création (cf fenêtre ci-dessus), on peut déclarer le nom d'un utilisateur chargé de procéder à l'inclusion depuis l'ordinateur à inclure. Cet utilisateur n'a pas besoin d'avoir de droits particuliers. L'autorisation ne vaut que pour cet ordinateur.

Depuis l'ordinateur à inclure: inclusion dans le domaine. On peut fournir le nom et le mot de passe de l'utilisateur déclaré lors de la création du compte.

Cette procédure peut être utilisée pour permettre à l'utilisateur d'un ordinateur de joindre sa machine lui-même au domaine.

Lors de l'inclusion dans le domaine, le groupe des administrateurs du domaine est ajouté au groupe des administrateurs locaux de l'ordinateur, le groupe des utilisateurs du domaine est ajouté au groupe des utilisateurs de l'ordinateur (ce qui leur permettra d'ouvrir une session).

Un champ permettant de sélectionner l'entité (domaine ou ordinateur local) qui va valider le mot de passe est ajouté à la mire d'ouverture de session

Un compte d'utilisateur local est un compte créé sur un ordinateur donné. Les informations du compte sont stockés dans la base de donnée de sécurité (base SAM) de l'ordinateur. Un tel compte permet d'ouvrir des sessions sur l'ordinateur et donne accès aux ressources locales à la machine. L'accès à des ressources réseau nécessite une nouvelle authentification (qui peut être transparente si login et mot de passe sont identiques). Les utilisateurs et groupes locaux se gèrent grâce à l'outil « utilisateurs et groupes locaux » accessibles notamment dans la mmc « gestion de l'ordinateur ».

Un compte d'utilisateur du domaine est créé sur un contrôleur de domaine et stocké dans Active Directory. Lorsqu'un utilisateur se connecte à un domaine, ses login et mot de passe sont envoyés à un contrôleur de domaine (et non pas par l'ordinateur local où il se connecte) pour validation. Si la validation réussit, l'utilisateur a accès à toutes les ressources du domaine auxquelles il est autorisé à accèder sans avoir besoin de s'authentifier à nouveau.

L'utilisation d'un domaine permet de centraliser la gestion des utilisateurs (cf « modèle domaine versus modèle groupe de travail » dans le chapitre sur l'installation de windows 2000).

Il n'y a pas de comptes d'utilisateurs locaux sur un ordinateur contrôleur de domaine. Les comptes existants sont importés dans Active Directory.

Les comptes d'utilisateurs de domaine se gère via la mmc « utilisateurs et ordinateurs active directory ».

Par défaut, dans l'outil « Utilisateurs et ordinateurs Active Directory », les ordinateurs sont dans le conteneur Computers et les utilisateurs sont dans le conteneur Users. Cette situation initiale a vocation à évoluer. L'administration d'un domaine va conduire à créer des unités d'organisations qui auront vocations à accueillir ordinateurs ou utilisateurs ou les deux.

Le comptes Administrateur (différent du groupes des Administrateurs) est un compte ayant les droits les plus étendus sur l'ordinateur local. Il a pour vocation à gérer la configuration du système et notamment : la création des comptes utilisateurs, la sauvegarde, l'installation et la configuration des périphériques, des imprimantes, ...

Le compte administrateur ne peut pas être supprimé.

Dans un domaine, l'administrateur d'un contrôleur de domaine est administrateur du domaine. Il a des droits sur l'ensemble du domaine. L'administrateur du premier contrôleur de domaine de la forêt est administrateur de l'entreprise. Il a des droits sur l'ensemble de la forêt.

Le compte invité est utilisé par les utilisateurs occasionnels. Ce compte est désactivé par défaut et n'a pas de mot de passe. L'activation de ce compte diminue la sécurité du système.

Les comptes IUSR_NomOrdinateur et IWAM_NomOrdinateur sont des comptes utilisés par IIS, le serveur WeB Microsoft.

Sélectionn « users » ou l'unité d'organisation où doit être créé le compte utilisateur puis Action/Nouveau/utilisateur.

Les noms de l'utilisateurs ont été traités dans la section sur les noms des objets Active Directory.

Pour rappel :

le nom détaillé est le nom unique relatif (RDC). Le nom d'ouverture de session est le nom principal d'utilisateur. C'est kerberos qui est utilisé comme méthode d'authentification.

Le nom d'ouverture de session pré-windows 2000 est le nom plat d'ouverture de session de la forme DOMAINE\NOM. Il sera utilisé pour les connections avec la méthode d'authentification NTLM (windows NT). Il doit être inférieur à 20 caractères.

L'écran suivant traite du mot de passe de l'utilisateur :

Mot de passe permet de fournir un mot de passe initial à l'utilisateur.

L'utilisateur doit changer le mot de passer à la prochaine session impose l'utilisateur de changer son mot de passe lors de première ouverture de session.

L'utilisateur ne peut pas changer son mot de passe: pour figer le mot de passe

Le mot de passe n'expire jamais: pour éviter que le mot de passe doivent être changé au bout d'un certain temps.

Le compte est désactivé: permet d'interdire l'utilisation d'un compte. On peut par la suite réactiver un compte désactivé.

Il est possible de créer des suffixe de nom principal d'utilisateur. Cela peut être pratique pour simplifier le nom principal en remplaçant un nom de domaine complexe par un suffixe simple, en général de la forme societe.com.

Un profil utilisateur contient notamment l'ensemble des personnalisations de son environnement (couleurs, fond d'écran, menu démarrer, ...).

Par défaut, chaque utilisateur a un profil par ordinateur qui est stocké localement. S'il travaille sur un autre ordinateur, il utilise un nouveau profil qu'il lui faudra à nouveau personnaliser et il n'a pas accès aux fichiers sauvés sur le bureau.

Le profil est fichier nommé ntuser.dat situé dans un dossier portant le nom d'ouverture de session de l'utilisateur éventuellement suffixé par le nom du domaine. Ce dossier est situé sous le répertoire « documents and settings ».

profil itinérant: le profil est stocké sur un serveur et c'est le même profil qui sert sur tous les ordinateurs du domaine. Le profil et l'environnement sont chargés sur l'ordinateur local lors de l'ouverture de session (donc avoir sa collection de mp3 sur le bureau ralentit l'ouverture de la session le temps de la copie :-)).

On peut gérer les profiles utilisateurs grâce à l'onglet « profils des utilisateurs » de l'outil Système du panneau de configuration.

Profil itinérant obligatoire: on peut utiliser le même profil pour tous les utilisateurs en renommant le fichier ntuser.dat en ntuser.man (MANdatory) et en indiquant le même profil pour tous les utilisateurs.

Le répertoire de base d'un utilisateur est son dossier personnel. On peut spécifier un chemin réseau ce qui permettra à l'utilisateur d'y avoir accès depuis n'importe quel ordinateur. W2K remplace %username% par le nom d'ouverture de session de l'utilisateur. Les permissions sont automatiquement positionnées.

Une méthode classique pour créer facilement des comptes avec des propriétés complexes consiste à créer un compte type désactivé et à créer les autres comptes par copie de ce compte type. On créera un compte type par type d'utilisateur.

Lors d'une copie de compte, les informations suivantes sont conservées: les restrictions horaires, les 4 options liées au mot de passe, les restrictions d'accès, la date d'expiration, les options de profil et de dossier de base et l'appartenance aux groupes.

ADDUSERS est un exécutable du kit de ressources technique qui permet de lister dans un fichier, ajouter, modifier ou détruire des comptes utilisateurs à partir des données d'un fichier.

CSVDE est un outil qui per met d'importer un fichier CSV généré en général par un tableur ou par un script. CSVDE ne permet que de créer de nouvelle informations, pas de changer des informations existantes.

LDIFDE est un outil qui permet de créer, modifier ou supprimer des objets dans active directory à partir d'un fichier au format LDIF (LDAP Interchange Format)

net user ajoute, modifie ou liste des comptes utilisateurs (cf aide en ligne w2k)

net account permet d'obtenir et de modifier les paramètres d'ouverture de session et de mot de passe (cf aide en ligne de w2k)

net group, net localgroup: liste ou modifie des groupes globaux ou locaux (cf aide en ligne de w2k)

Groupes de distribution: les groupes peuvent être utilisés par des applications pour traiter les utilisateurs par lot. Exemple: courrier électronique. Un groupe de distribution n'a rien à voir avec la sécurité W2K;

Groupes de sécurité: un groupe de sécurité peut être utilisé pour gérer les permissions et les droits. Un groupe de sécurité peut être utilisé comme groupe de distribution (l'inverse est faux).

Les groupes simplifient l'administration car on peut appliquer une fois au groupe des droits et permissions complexes dont ses membres bénéficieront. C'est plus simple et rapide que de l'appliquer individuellement à chaque membre. Si un nouvel utilisateur doit avoir ces droits, on l'ajoute au groupe.

Les groupes simplifient l'administration car ils permettent de la centraliser et de contrôler les droits et permissions directement au niveau du domaine (cf plus loin) par l'imbrication des groupes globaux dans les groupes locaux (cf « planification » plus loin).

Un groupe peut contenir jusqu'à 5000 membres qui peuvent eux-même être des groupes. Ainsi, si vous souhaitez avoir un groupe désignant tous les étudiants de l'université, il vous faudra créer des groupes intermédiaires (par filière par exemple) et inclure ces groupes dans le groupe global. Ce groupe contiendra moins de 5000 membres (ses membres seront les groupes de filières) mais il représentera tous les membres de ses groupes membres soit bien plus que 5000 étudiants.

Groupes locaux (ordinateur non contrôleur de domaine) : groupe propre à l'ordinateur local permettant de donner des droits sur les ressources locales de la machine. Ils se gèrent avec la mmc « utilisateurs et groupes locaux » ou avec « gestion de l'ordinateur ». Exemple: le groupe administrateurs.

Groupes locaux de domaine:ce sont des groupes utilisables uniquement dans le domaine pour donner accès à des ressources du domaine.

Groupes globaux: les groupes globaux peuvent être utilisés dans tous les domaines de la forêt mais on ne peut les utiliser pour donner des permissions ou des droits. Pour cela, on inclut les groupes globaux dans des groupes locaux.

Groupes universels: ils peuvent être utilisés dans tous les domaines de la forêt et peuvent contenir des membres appartenant à tous les domaines de la forêt. C'est le seul type de groupe dont la liste des membres est stockée dans le serveur de catalogue global. Tout ajout ou suppression de membre a donc un impact sur la réplication et sur le trafic réseau. C'est la raison pour laquelle on conseille de ne mettre que d'autres groupes dans les groupes universels de façon à avoir des groupes universels dont la liste des membres ne change pas.

Dans un domaine en mode mixe:

Il n'y a pas de groupes universels

Les groupes locaux de domaine ne sont visibles que depuis les contrôleurs de domaine

Pas de groupes emboîtés

Si vous n'avez qu'un seul domaine, contrairement à NT, W2K vous permet de tout gérer avec des groupes locaux de domaine.

Microsoft conseille néanmoins d'utiliser une stratégie d'utilisation incluant des groupes globaux :

On met les permissions/Droits sur les groupes locaux

Les groupes locaux contiennent des groupes globaux

Les utilisateurs sont dans les groupes globaux

Les groupes globaux sont gérés au niveau du domaine. Attribuer les permissions aux groupes locaux est ainsi la seule tâches à réaliser sur l'ordinateur hébergeant la ressource. Tout le reste se gère au niveau du domaine.

Si on a beaucoup d'utilisateurs, on peut utiliser l'imbrication des groupes globaux comme sur l'exemple 2.

Les groupes universels sont utiles pour partager des ressources entre domaines d'une même forêt car un groupe universel peut contenir des groupes de tout domaine de la forêt.

On évitera d'inclure des utilisateur dans des groupes universels car la liste de leurs membres sont dans le catalogue global (répliqué sur tous les serveurs de catalogues globaux). Toute modification de la liste des membres d'un groupe universel entraîne donc une modification et une réplication du catalogue global.

Une bonne politique consiste à n'inclure que des groupes globaux dans les groupes universels.

Déléguer le contrôle de tâches revient à accorder tout ou partie des droits sur des objets Active Directory à des utilisateurs ou à des groupes utilisateurs. La délégation porte sur les objets d'un certain type d'une unité d'organisation ou du domaine.

Les tâches à déléguer peuvent être choisies dans une liste de tâches courantes. Il est aussi possible de créer des tâches personnalisées en précisant finement les types d'objets concernés et pour ces types d'objet les autorisations accordées.

Les console de gestion microsotf (ou MMC) sont des outils de gestion modulaires et personnalisables. Les outils d'administrations que vous avez déjà eu l'occasion d'utiliser sont des consoles MMC. Vous pouvez ajouter ou retirer des composants à une console MMC (par exemple, ajouter « Utilisateurs et ordinateurs Active Directory » à la console « Gestion de l'ordinateur »), faire qu'une console démarre sur une unité d'organisation précise plutôt que sur le domaine, ...

Une console MMC peut gérer un ordinateur distant. Elle peut être installée facilement sur un poste windows 2000 pro. Pour cela, il faut installer adminpak.msi (cd rom windows 2000 server) sur le poste W2K pro.

La méthode la plus simple consiste à déléguer des tâches prédéfinies. Pour cela :

Sélectionner l'unité d'organisation concernée

Puis Action/délégation de contrôle

Choisir les utilisateurs ou groupes concernés. Il est évidemment conseillé de déléguer à un groupe dans lequel on insérera les utilisateurs concernés.

Choisir les tâches courantes concernées (réinitialiser les mots de passe, créer les comptes utilisateurs, ...)

Valider le récapitulatif.

Si l'on souhaite déléguer une tâche personnalisée, c'est plus délicat. L'étape 2 (choix des tâches) est remplacée par :

Spécification de l'étendue de la délégation en sélectionnant les types d'objets concernés par la délégation

Définir les autorisations que l'on accorde sur ces objets:

Générales: autorisations courantes

Spécifiques aux propriétés: autorisations que l'on peut affecter aux attributs de l'objet

création/suppression d'objet enfants: pour afficher les autorisations permettant de créer et supprimer des objets enfants

Sélectionner les autorisations dans la liste

Valider le récapitulatif

La modification ou la suppression des taches déléguées est accessible via le bouton avancé de l'onglet sécurité des propriétés de l'unité d'organisation (ou du domaine).

L'onglet audit de la fenêtre obtenue permet de modifier les SACL de l'objet et donc de surveiller les actions des utilisateurs auxquels on a délégué le contrôle.

Pascal PETIT

2004-02-09T07:41:32

Pascal PETIT