Windows Server - Administrer Active Directory

Objectif : Concevoir une topologie de domaine évolutive et déployer des contrôleurs de domaine hautement sécurisés.

• Concepts avancés : Forêts multi-domaines, relations d'approbation et arbres
• Niveaux fonctionnels de forêt et de domaine et fonctionnalités avancées associées
• Méthodologies de déploiement de contrôleurs de domaine (DC) additionnels en mode automatisé
• Déploiement de contrôleurs de domaine en lecture seule (RODC) pour les sites distants

Atelier pratique : Automatisation du déploiement d'un nouveau contrôleur de domaine via script de configuration, et installation d'un RODC destiné à une agence externe.

Cas métier : Extension de l'infrastructure d'une entreprise industrielle suite au rachat d'une filiale : configuration d'une relation d'approbation bidirectionnelle et sécurisation du flux d'authentification entre les deux entités.

Compétence acquise : Être capable de déployer et d'étendre de manière sécurisée l'architecture physique d'un annuaire Active Directory.

Livrable : Script de déploiement d'un DC standardisé et schéma d'architecture logique validé.

Objectif : Configurer et optimiser la réplication Active Directory entre différents sites géographiques.

• Concepts de la réplication AD DS : KCC (Knowledge Consistency Checker) et ISTG
• Configuration des objets Sites, Sous-réseaux (Subnets) et Liens de sites (Site Links)
• Planification des coûts et des calendriers de réplication inter-sites
• Surveillance et diagnostic de la santé de la réplication (repadmin, dcdiag)

Atelier pratique : Création de 3 sites géographiques distincts, affectation des plages réseaux et ajustement des coûts de liaisons, suivi d'une analyse des flux de réplication.

Cas métier : Optimisation des flux réseau d'une chaîne de distribution : résolution d'un problème de lenteur d'ouverture de session pour les utilisateurs d'un site distant dont les requêtes transitaient à tort par le siège social.

Compétence acquise : Savoir configurer, piloter et optimiser la réplication d'un annuaire multi-sites.

Livrable : Matrice de réplication inter-sites et rapport de santé de l'annuaire généré par outil de diagnostic.

Objectif : Administrer, transférer et secourir les 5 rôles de maîtres d'opérations (FSMO) de l'infrastructure.

• Analyse détaillée des 5 rôles FSMO (Schéma, Attributaire de noms de domaine, PDC Émulateur, Maître RID, Infrastructure)
• Localisation et répartition stratégique des rôles au sein de la forêt
• Procédures de transfert planifié des rôles FSMO
• Procédures d'urgence de saisie (Seizing) de rôles en cas de crash d'un DC

Atelier pratique : Transfert graphique et en ligne de commande de l'ensemble des rôles de l'infrastructure vers un nouveau serveur de secours, puis simulation d'un crash et saisie de force des rôles.

Cas métier : Plan de Continuité d'Activité (PCA) : Suite à l'incendie simulé de la salle serveur principale abritant le DC maître, prise en main immédiate de l'infrastructure pour rétablir les rôles FSMO sur le site secondaire sans perte de service pour les utilisateurs.

Compétence acquise : Maîtriser la gouvernance et le sauvetage des fonctions vitales (FSMO) d'une forêt Active Directory.

Livrable : Fiche de procédure d'urgence « Saisie des rôles FSMO en mode dégradé ».

Objectif : Implémenter des configurations centralisées complexes et diagnostiquer les échecs d'application des politiques de sécurité.

• Gestion du magasin central (Central Store) pour les fichiers ADMX/ADML
• Filtrage de sécurité avancé et ciblage par élément de préférence (WMI Filtering)
• Mécanismes d'optimisation : Bouclage de traitement (Loopback Processing) pour les serveurs TSE/RDS
• Outils de diagnostic avancés pour le dépannage des GPO

Atelier pratique : Création d'un magasin central, déploiement d'un filtrage WMI ciblant uniquement les OS Windows, et configuration d'une GPO en mode bouclage pour un serveur de rebond.

Cas métier : Sécurisation et standardisation d'un parc de 500 machines : Déploiement d'une politique restreignant l'exécution des logiciels aux seuls répertoires protégés, avec résolution d'un conflit majeur bloquant une application métier vitale.

Compétence acquise : Concevoir, déployer et dépanner des stratégies de groupe complexes sans impacter les performances d'ouverture de session.

Livrable : Arbre de décision et guide de diagnostic rapide d'une GPO défaillante.

Objectif : Sécuriser l'annuaire contre les attaques modernes et implémenter des politiques de restriction strictes.

• Mise en œuvre des stratégies fines de mots de passe (PSO - Password Settings Objects)
• Protection contre le vol de secrets (Credential Theft) : Comptes de services administrés (gMSA)
• Délégation de droits d'administration granulaire et nettoyage des groupes à privilèges (AdminSDHolder)
• Configuration des politiques d'audit de sécurité avancées de l'annuaire

Atelier pratique : Création et assignation d'une PSO stricte pour l'équipe de direction, configuration d'un compte gMSA pour une application web, et mise en place d'une délégation de réinitialisation de mots de passe pour le helpdesk.

Cas métier : Audit de sécurité post-intrusion : Application des préconisations de l'ANSSI pour supprimer les vulnérabilités de type « Privilege Escalation » au sein d'un domaine d'entreprise cible.

Compétence acquise : Appliquer les standards de sécurité élevés pour immuniser l'annuaire AD DS contre les compromissions.

Livrable : Matrice de délégation des droits d'administration et configuration PSO appliquée.

Objectif : Sauvegarder l'état du système et exécuter des restaurations partielles ou totales de l'annuaire AD DS.

• Sauvegarde de l'état du système (System State) via Windows Server Backup et outils tiers
• Fonctionnement et activation de la Corbeille Active Directory (Active Directory Recycle Bin)
• Restauration faisant autorité (Authoritative) vs Restauration ne faisant pas autorité (Non-Authoritative)
• Maintenance de la base de données ntds.dit (défragmentation et vérification d'intégrité)

Atelier pratique : Activation de la corbeille AD, suppression volontaire d'une OU entière d'utilisateurs, restauration rapide de l'objet, puis redémarrage en mode DSRM pour effectuer une restauration de base de données.

Cas métier : Gestion de crise cyber : Simulation d'une corruption de base de données sur l'annuaire central. Exécution du plan de reconstruction et de restauration de l'état du système pour rétablir les services d'authentification de l'entreprise.

Compétence acquise : Assurer la résilience absolue et la récupérabilité de l'annuaire Active Directory face aux sinistres.

Livrable : Guide de Plan de Reprise d'Activité (PRA) AD DS personnalisé et validé par le succès des tests de restauration.