Fiche de révision : Introduction à Active Directory et Virtualisation

📋 Plan du Cours

1. Fondamentaux d’Active Directory
2. Objets AD et identifiants
3. SYSVOL et droits NTFS
4. Partages et permissions réseau
5. DHCP : bail, exclusions et réservations
6. Relais, options et filtres DHCP
7. DNS : zones et enregistrements
8. Modèle OSI et adressage IP
9. Calcul d’adresses et sous-réseaux
10. Windows Server et virtualisation

📖 1. Fondamentaux d’Active Directory

🔑 Notions clés & Définitions

• AD DS : AD DS est un service d’annuaire Microsoft qui centralise la gestion des objets du réseau, comme utilisateurs, ordinateurs, groupes et stratégies.
• Authentification : L’authentification vérifie l’identité d’un utilisateur afin de confirmer qu’il est bien qui il prétend être.
• Identification : L’identification détermine les droits possédés par un utilisateur une fois son identité établie.
• Forêt Active Directory : Une forêt est le niveau le plus haut d’AD qui regroupe un ou plusieurs arbres et constitue une limite de sécurité.

📝 Points essentiels

• Active Directory vise l’authentification et l’identification, et gère notamment utilisateurs, ordinateurs, groupes, droits, GPO, et imprimantes.
• Les 5 rôles AD sont AD DS, AD CS, AD FS, AD RMS et AD LDS, chacun dédié à un besoin précis d’annuaire ou de sécurité.
• Sans DNS, Active Directory ne fonctionne pas car les contrôleurs de domaine sont localisés via des enregistrements SRV pour LDAP et Kerberos.
• Dans un WorkGroup, chaque PC gère ses comptes localement, tandis que dans un domaine AD la gestion est centralisée via le contrôleur de domaine et les GPO.
• Un contrôleur de domaine héberge l’annuaire (NTDS.dit), applique les GPO et sert aussi SYSVOL, et au moins 2 DC sont recommandés pour la tolérance de panne.

💡 Astuce mémo

AD DS = mairie : annuaire central (habitants) + autorisations (droits) ; sans DNS, les DC “introuvables”.

📖 2. Objets AD et identifiants

🔑 Notions clés & Définitions

• sAMAccountName : Chaîne d’identifiant Windows historique, unique dans le domaine, utilisée comme login dans AD DS et limitée à 20 caractères.
• UPN : Identifiant moderne au format type e-mail, unique dans toute la forêt, recommandé pour la connexion des utilisateurs.
• ObjectGUID : Identifiant unique de 128 bits attribué lors de la création d’un objet, qui ne change jamais même après déplacement ou renommage.
• ObjectSID : Identifiant de sécurité utilisé par AD pour relier un objet aux droits, et qui ne change jamais non plus.
• Distinguished Name DN : Chemin LDAP complet qui identifie précisément un objet dans l’annuaire, par exemple cn=Liam,ou=Réseau,dc=adrar,dc=local.

📝 Points essentiels

• Chaque identifiant a une portée différente : sAMAccountName est unique dans le domaine alors que l’UPN est unique dans toute la forêt.
• ObjectGUID (128 bits) et ObjectSID ne changent jamais, même si l’objet est renommé ou déplacé.
• Le DN sert à localiser précisément l’objet via LDAP, en utilisant des composants de type cn, ou et dc.
• Les noms de groupe et d’objets sont accessibles et ciblables dans l’annuaire via leurs identifiants et leur DN, pour l’interrogation ou les modifications.
• Le serveur utilise ces identifiants (notamment SID) pour appliquer les droits, notamment NTFS et AD.

💡 Astuce mémo

sAM = Same Domain, UPN = Unique Forest, GUID/SID = Jamais Change, DN = Chemin LDAP.

📖 3. SYSVOL et droits NTFS

🔑 Notions clés & Définitions

• SYSVOL : Dossier partagé d’un contrôleur de domaine qui contient notamment les scripts utilisés pour les connexions des utilisateurs du domaine.
• Héritage NTFS : Mécanisme qui propage automatiquement les droits NTFS d’un dossier parent à ses sous-dossiers et fichiers.
• Droits de partage : Ensemble de droits appliqués uniquement aux accès via un chemin réseau du type \serveur\dossier.
• Droits NTFS : Droits appliqués localement pour contrôler l’accès au contenu d’un dossier et de ses fichiers sur le stockage du serveur.

📝 Points essentiels

• Lors d’une copie vers une autre partition NTFS, les droits NTFS sont hérités par la destination, mais lors d’une copie vers une partition non-NTFS (ex. FAT32…), les droits NTFS sont supprimés.
• Lors d’un déplacement sur la même partition NTFS, les droits d’origine sont conservés.
• Les droits de partage ne s’appliquent qu’en accès réseau (\serveur\dossier) et, en accès local, seuls les droits NTFS s’appliquent.
• Quand des droits NTFS et des droits de partage s’appliquent ensemble, c’est toujours le plus restrictif des deux qui détermine le résultat.
• Un refus explicite NTFS bloque toujours l’accès, même si le partage donne une autorisation.

💡 Astuce mémo

Deux vigiles : le premier contrôle le droit de partage (accès réseau), le second contrôle NTFS (accès au contenu) ; le plus strict des deux décide.

📖 4. Partages et permissions réseau

🔑 Notions clés & Définitions

• Profil itinérant : Un profil itinérant stocke le profil utilisateur sur un emplacement réseau afin que l’utilisateur retrouve son environnement sur différents PC.

📝 Points essentiels

• Les droits de partage et les droits NTFS se cumulent en règle générale avec le plus restrictif qui s’applique à l’utilisateur pour l’accès final.
• Si les droits NTFS ne permettent pas l’action, l’utilisateur ne peut pas accéder aux fichiers même si le partage l’y autorise.
• Pour gérer finement les permissions, on peut désactiver l’héritage NTFS puis configurer des droits spécifiques sur les objets concernés.
• Un profil itinérant doit pointer vers un chemin réseau et utiliser %username% afin d’avoir un chemin adapté à chaque utilisateur.

💡 Astuce mémo

Deux gardiens : Partage = portail réseau, NTFS = gardien des fichiers ; le plus restrictif gagne. %username% = carte d’accès unique au dossier de profil.

📖 5. DHCP : bail, exclusions et réservations

🔑 Notions clés & Définitions

• Étendue (Scope) : L’étendue est le pool d’adresses IP que le serveur DHCP peut attribuer aux clients.
• Bail (Lease) : Le bail est la durée de validité pendant laquelle une adresse IP est attribuée à un client avant renouvellement.
• Exclusion DHCP : L’exclusion retire une adresse ou une plage du pool pour empêcher toute distribution automatique.
• Réservation DHCP : La réservation fixe une adresse précise pour un client identifié par son adresse MAC, afin qu’elle reste la même.
• APIPA : APIPA est l’auto-attribution par un client Windows d’une IP 169.254.x.x quand aucun serveur DHCP n’est joignable.

📝 Points essentiels

• Windows Server utilise un bail par défaut de 8 jours pour une IP attribuée par DHCP.
• Le renouvellement automatique démarre à 50% de la durée (vers le jour 4 sur un bail de 8 jours).
• Si aucun serveur ne répond, le client retente vers 87,5% (jour 7 sur 8) puis bascule en APIPA en cas d’échec persistant.
• Une exclusion retire des adresses du pool pour qu’elles ne soient jamais distribuées, tandis qu’une réservation impose une IP fixe à un client via sa MAC.
• Quand le client obtient une IP 169.254.x.x, cela signale que le serveur DHCP est injoignable et qu’il faut diagnostiquer la connectivité et le service DHCP.

💡 Astuce mémo

DORA = Discover → Offer → Request → Ack (le client demande, le serveur propose, le client accepte, le serveur confirme).

📖 6. Relais, options et filtres DHCP

🔑 Notions clés & Définitions

• Adresse 169.254.x.x : Une plage d’IP d’auto-attribution utilisée quand un client ne parvient pas à joindre un serveur DHCP.
• Agent relais DHCP : Un composant qui relaie les diffusions DHCP d’un client vers un autre sous-réseau pour atteindre un serveur DHCP.
• Filtre MAC DHCP : Un contrôle d’accès DHCP qui autorise ou refuse des demandes selon l’adresse MAC du client, via une liste blanche ou noire.
• Bail DHCP : Une période de validité de l’attribution d’adresse IP fournie par le serveur DHCP au client.

📝 Points essentiels

• En cas d’échec DHCP, le client tombe souvent sur l’IP 169.254.x.x et l’alertes se vérifie avec ipconfig /all puis la confirmation de l’IP obtenue.
• Le relais DHCP relaie les broadcasts DHCP vers un autre sous-réseau, utile en multi-sites.
• Pour diagnostiquer côté serveur, vérifie que le serveur DHCP reçoit sur le port UDP 67 les paquets DISCOVER et REQUEST avec netstat -an et le filtre :67.
• Pour diagnostiquer côté client, le client reçoit sur le port UDP 68 les réponses OFFER et ACK avec netstat -an et le filtre :68.
• Le client peut forcer un nouveau cycle avec ipconfig /release puis ipconfig /renew (ou /release /renew) pour obtenir une nouvelle IP via DHCP.

💡 Astuce mémo

67→serveur (DISCOVER/REQUEST) et 68→client (OFFER/ACK).

📖 7. DNS : zones et enregistrements

🔑 Notions clés & Définitions

• Zone DNS : Une zone DNS regroupe l’ensemble des informations de résolution pour un domaine donné afin que les clients trouvent les bons serveurs.
• Enregistrement SOA : Un enregistrement SOA décrit le démarrage de la zone et fournit les informations de base nécessaires au fonctionnement de cette zone DNS.
• Enregistrement A : Un enregistrement A associe un nom DNS à une adresse IPv4 pour permettre la résolution d’un hôte.
• Enregistrement CNAME : Un enregistrement CNAME crée un alias en faisant pointer un nom vers un autre nom de domaine.
• Enregistrement MX : Un enregistrement MX indique le serveur de messagerie responsable pour un domaine lors de l’envoi d’e-mails.

📝 Points essentiels

• Quand tu crées une zone DNS, les enregistrements NS et SOA sont générés automatiquement, et tu n’as pas à les créer manuellement.
• Après création, tu ajoutes uniquement les enregistrements dont tu as besoin (A, CNAME, MX...).
• Sur Windows Server, l’enregistrement A de l’hôte doit porter exactement le même nom que le FQDN du site pour que IIS le résolve correctement.
• Un CNAME sert d’alias, par exemple pour faire pointer www.site.fr vers site.fr sans dupliquer tous les enregistrements A.
• Un registrar est une entreprise accréditée pour enregistrer et gérer des noms de domaine, puis l’enregistre au registre compétent (ICANN pour les TLD génériques, AFNIC pour .fr).
• Un nom de domaine n’est pas “acheté” mais loué pour une durée limitée (1 à 10 ans), et s’il n’est pas renouvelé avant l’expiration il redevient disponible.

💡 Astuce mémo

Association “adresse postale” : ICANN/AFNIC = mairie, registrar = agence, domaine = bail à renouveler, et sans renouvellement le bail repart à quelqu’un d’autre.

📖 8. Modèle OSI et adressage IP

🔑 Notions clés & Définitions

• Modèle OSI : Le modèle OSI regroupe les fonctions réseau en couches pour préciser quel équipement traite quels types de données.
• Couche 2 liaison : La couche 2 gère les trames et les décisions basées sur les adresses MAC au niveau du lien local.
• Couche 3 réseau : La couche 3 s’occupe de l’adressage IP et du routage entre réseaux pour acheminer les paquets.
• Passerelle : La passerelle est l’adresse du routeur voisin utilisée pour faire transiter les paquets vers un autre réseau.

📝 Points essentiels

• Un switch fonctionne à la couche 2 (liaison) et décide avec des adresses MAC, tandis qu’un routeur oriente à la couche 3 (réseau) avec les adresses IP.
• Pour diagnostiquer, utilise show ip interface brief pour voir l’état Up/Down et l’IP de toutes les interfaces.
• Pour diagnostiquer le routage, utilise show ip route pour lire la table de routage, où C = connecté et S = statique.
• Pour tester la connectivité, fais toujours un ping dans les deux sens entre hôtes ou équipements concernés.
• Pour une route statique, la passerelle à configurer est l’IP du routeur voisin, pas l’IP de ton interface locale.

💡 Astuce mémo

Switch = Couche 2 = MAC ; Routeur = Couche 3 = IP.

📖 9. Calcul d’adresses et sous-réseaux

🔑 Notions clés & Définitions

• Masque en CIDR : Un masque en CIDR indique le nombre de bits réseau (/N), ce qui fixe la taille des sous-réseaux et le calcul des hôtes.
• PAS (bit de bascule) : Le PAS est la valeur du dernier bit à 1 du masque et représente le saut entre deux sous-réseaux consécutifs.
• IDSR : L’IDSR est l’adresse réseau d’un sous-réseau, utilisée comme point de départ et qui n’est jamais attribuée aux machines.
• BRD : Le BRD est l’adresse de broadcast d’un sous-réseau, calculée à partir de l’IDSR et du PAS et qui n’est jamais attribuée aux machines.
• Méthode A : La méthode A détermine d’abord combien de sous-réseaux on veut, puis en déduit le CIDR et le PAS pour obtenir des sous-réseaux identiques.

📝 Points essentiels

• Pour passer de $x$ bits empruntés au réseau à un nouveau masque, on augmente le CIDR de départ de $x$, car le masque devient plus long avec $x$ bits réseau supplémentaires.
• Pour trouver le PAS, convertis le nouveau masque en binaire sur l’octet jouant le PAS et prends la valeur du dernier bit à 1 (128/64/32/16/8/4/2/1).
• Le BRD d’un sous-réseau vaut $\text{IDSR} + \text{PAS} - 1$ et l’IDSR du sous-réseau suivant vaut $\text{BRD} + 1$.
• Les adresses utilisables sont $\text{IDSR}+1$ à $\text{BRD}-1$, donc le nombre d’hôtes par sous-réseau vaut $2(32-\text{CIDR})-2$.
• Exemple : 200.21.0.0/24 avec 4 sous-réseaux donne $x=2$, nouveau CIDR /26, PAS=64 sur le 4ème octet, et 62 hôtes utilisables par sous-réseau.

💡 Astuce mémo

BRD = IDSR + PAS − 1 et IDSR suivant = BRD + 1 : le PAS “fait sauter” chaque SR, et le −1 retire le broadcast.

📖 10. Windows Server et virtualisation

🔑 Notions clés & Définitions

• Virtualisation : La virtualisation crée plusieurs machines virtuelles dans une machine physique, chacune fonctionnant comme un ordinateur (OS, RAM, disque, réseau) simulés par logiciel.
• Hyper-V : Hyper-V est l’hyperviseur de Microsoft qui gère les machines virtuelles et s’installe dans Windows Server (et selon l’édition, sur Windows 10/11) pour accéder au matériel.
• Machine virtuelle : Une machine virtuelle est un ordinateur logiciel autonome hébergé par l’hyperviseur, avec sa propre configuration et ses propres ressources virtuelles.
• VHDX : Le VHDX est le format moderne de disque virtuel Hyper-V, avec une capacité maximale nettement supérieure et un comportement plus robuste.
• Commutateur virtuel : Un commutateur virtuel relie les cartes réseau des machines virtuelles, avec des modes qui déterminent si l’accès à l’hôte et/ou à Internet est autorisé.

📝 Points essentiels

• Gen2 est à choisir par défaut (sauf OS très ancien ou migration Gen1) et ne peut pas être modifiée après création, alors que Gen2 utilise UEFI et impose VHDX uniquement.
• Une VM Windows démarre trop bas en RAM : Windows 10 nécessite au minimum 512 Mo pour démarrer, et la valeur recommandée est 4 Go.
• Le type de switch Hyper-V conditionne la connectivité : Externe donne VM↔hôte et VM↔Internet, Interne coupe Internet côté VM, Privé isole les VMs entre elles seulement.
• Le mode Import « Copier la VM » permet d’avoir plusieurs instances coexistantes sur le même hôte en générant un nouvel ID unique pour la copie.
• Restauration d’un snapshot : elle remet l’VM exactement à l’état du moment du snapshot, y compris la configuration et le disque, même pour le fond d’écran modifié après.

💡 Astuce mémo

Gen2 = UEFI + Secure Boot + VHDX uniquement, et c’est verrouillé après création.

📅 Repères chronologiques

📊 Tableaux de synthèse

Types de zones DNS

Commutateurs réseau Hyper-V

⚠️ Pièges & confusions fréquents

1. Sans DNS, l’AD ne fonctionne pas car les DC sont localisés via des enregistrements SRV.
2. Confondre sAMAccountName (unique dans le domaine, max 20) et UPN (unique dans toute la forêt).
3. Croire que les droits de partage remplacent NTFS : un refus explicite NTFS bloque toujours.
4. Lancer la résolution AD en pensant que DHCP ou le DNS “fonctionne sans” (DHCP/AD ont chacun leurs exigences).
5. Ordre DORA : penser autre chose que Discover → Offer → Request → Ack.
6. Rater les ports : 67 serveur DHCP (DISCOVER/REQUEST) et 68 client DHCP (OFFER/ACK).
7. En segmentation, oublier le -1 (BRD = IDSR + PAS - 1) ou confondre BRD+1 avec l’IDSR suivant.

✅ Checklist Examen

1. Expliquer AD DS : objectifs (authentification + identification) et les 5 rôles AD.
2. Dire pourquoi DNS est indispensable à AD (localisation des contrôleurs via SRV pour LDAP/Kerberos).
3. Différencier sAMAccountName, UPN, ObjectGUID (128 bits) et ObjectSID, et connaître leur portée/stabilité.
4. Donner la logique d’accès aux fichiers : droits de partage (réseau) + droits NTFS (local) avec “le plus restrictif”, et le refus NTFS prioritaire.
5. Citer SYSVOL (GPO + scripts) et rappeler l’effet de l’héritage NTFS et la procédure “Convertir…”, sans “Supprimer toutes les autorisations”.
6. Pour DHCP, connaître DORA dans l’ordre exact, le fait que le serveur DHCP doit avoir une IP statique, et distinguer Exclusion vs Réservation.
7. Savoir diagnostiquer DHCP côté client/serveur : ipconfig /all + recherche 169.254.x.x, et ports 67/68 + netstat.
8. Pour DNS, distinguer zone principale/secondaire/stub, les enregistrements A/CNAME/MX/SOA/NS, et la règle FQDN↔nom A pour IIS.
9. Pour IIS/FTP, dire le principe HTTP (index.html par défaut) et les ports clés (80/443/21) et la différence HTTP vs FTP.
10. Pour OSI & IP : associer couche 2 (MAC/switch) et couche 3 (IP/routeur/passerelle), puis utiliser ping bidirectionnel et connaître les commandes show ip interface brief/show ip route.
11. Pour subnetting : calculer IDSR, PAS, BRD (IDSR + PAS - 1), adresses utilisables (IDSR+1 à BRD-1), et appliquer la méthode A (nombre SR) et la méthode B (nombre hôtes).
12. Pour Hyper-V : choisir le bon switch (Externe/Interne/Privé) et donner les règles Gen2 (UEFI/Secure Boot/VHDX uniquement) + l’importance du RAM minimum pour démarrer une VM Windows.