Dans le serveur manager, cliquer sur le Workgroup du serveur :

Cliquer sur 'Change...'

Cocher la case 'Domain' et entrer le nom du domaine, puis cliq5uer sur 'OK'. 

Entrer les credentials du domaine :

Le message suivant s'affiche :

Il faudra redémarrer le serveur.

Dans le Sconfig, faire '1'.

Choisir de joindre le domaine avec 'D'.

Puis entrer le nom du domaine. Le compte administrateur et son mot de passe.

Le domaine est joint. Si le serveur a déjà le bon nom, faire 'N' pour ignorer le renommage.

Redémarrer le serveur pour finaliser l’opération avec '13'.

=

Voir : WinServer2k22GUI - Installation Rôle et Fonctionnalité

 Les rôles nécessaires sont : 'Active Directory Domain Services'.

Pour installer le rôle active directory en mode console, ouvrir une console powershell et entre la commande suivante :

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

Attendre la fin de l'installation.

Dans le server manager, Cliquer sur le drapeau en haut pour faire apparaître la notification.

Cliquer sur 'Promote this server to a domain controller'.

L'assistant se lance.

Contrairement à un premier contrôleur de domaine, il faudra choisir 'Add a domain controller to an existing domain'.

Le domaine est directement reconnu.

Cliquer sur 'Change...' pour ajouter le compte administrateur de domaine qui permettra d'ajouter l'AD au schema.

Enfin, valider en cliquant sur 'Next'.

Laisser les cases 'Domain Name System (DNS) server' et 'Global catalog' cochées.

Laisser la case 'Read only domain controller (RODC)' décochée.

Info : Un RODC est un contrôleur de domaine en lecture seule, cela est particulièrement utile dans le cadre de la sécurisation du contrôle d'accès depuis une DMZ par exemple. Par contre, cela veut également dire que ce contrôleur de domaine ne pourra appliquer aucune modification. 

Le site est reconnu dès lors que son subnet à été déclaré dans les sites et services.

Comme lors de l'initialisation, entrer et confirmer un mot de passe de restauration Active Directory.

Information : le mot de passe de restauration sera demandé en cas de restauration de l'active directory suite à une action de restauration ou de déploiement d'un nouveau DC à partir du fichier d'export.

Puis faire 'Next'.

Si pas de délégation pour ce domaine sur les DNS, ignorer cette étape.

Lors de cette étape, il faudra choisir le DC principal comme source de réplication. Puis faire 'Next'.

Choisir les chemins d'installations Puis faire 'Next'.

Revoir les paramètres et faire 'Next'.

Valider les prérequis et faire 'Install'.

 L'installation va se lancer sur le serveur (Distant si elle a été lancée depuis un serveur d'administration) et le serveur redémarrera à la fin de l'installation.

Si ce n'est pas déjà fait, lancer powershell.

Importer le module Active Directory :

Import-Module -Name ActiveDirectory

Lancer la commande de promotion :

Install-ADDSDomainController -NoGlobalCatalog:$false -Create-DNSDelegation:$false -Credential (Get-Credential) -CriticalReplicationOnly:$false -DatabasePath "E:\Windows\NTDS" -DomainName "LABS404.FR" -InstallDNS:$true -LogPath "E:\Windows\NTDS" -SysvolPath "E:\Windows\SYSVOL" -SiteName "<SiteName>" -ReplicationSourceDC "<FQDNduDCprincipal>" -NoRebootOnCompletion:$false -Force:$true

Voici à quoi correspondent les options :

Le serveur va alors demander les credentials du compte administrateur pour joindre le domaine :

Renseigner le mot de passe de restauration et répéter.

Information : le mot de passe de restauration sera demandé en cas de restauration de l'active directory suite à une action de restauration ou de déploiement d'un nouveau DC à partir du fichier d'export.

Attendre la fin du déploiement. Les alertes peuvent être ignorées.

Le serveur va alors redémarrer.

Directory Server Diagnosis


Performing initial setup:

   Trying to find home server...

   Home Server = och-lab-adds01

   * Identified AD Forest. 
   Done gathering initial info.


Doing initial required tests

   
   Testing server: Datacenter\OCH-LAB-ADDS01

      Starting test: Connectivity

         ......................... OCH-LAB-ADDS01 passed test Connectivity



Doing primary tests

   
   Testing server: Datacenter\OCH-LAB-ADDS01

      Starting test: Advertising

         ......................... OCH-LAB-ADDS01 passed test Advertising

      Starting test: FrsEvent

         ......................... OCH-LAB-ADDS01 passed test FrsEvent

      Starting test: DFSREvent

         There are warning or error events within the last 24 hours after the

         SYSVOL has been shared.  Failing SYSVOL replication problems may cause

         Group Policy problems. 
         ......................... OCH-LAB-ADDS01 failed test DFSREvent

      Starting test: SysVolCheck

         ......................... OCH-LAB-ADDS01 passed test SysVolCheck

      Starting test: KccEvent

         ......................... OCH-LAB-ADDS01 passed test KccEvent

      Starting test: KnowsOfRoleHolders

         ......................... OCH-LAB-ADDS01 passed test

         KnowsOfRoleHolders

      Starting test: MachineAccount

         ......................... OCH-LAB-ADDS01 passed test MachineAccount

      Starting test: NCSecDesc

         ......................... OCH-LAB-ADDS01 passed test NCSecDesc

      Starting test: NetLogons

         ......................... OCH-LAB-ADDS01 passed test NetLogons

      Starting test: ObjectsReplicated

         ......................... OCH-LAB-ADDS01 passed test ObjectsReplicated

      Starting test: Replications

         ......................... OCH-LAB-ADDS01 passed test Replications

      Starting test: RidManager

         ......................... OCH-LAB-ADDS01 passed test RidManager

      Starting test: Services

         ......................... OCH-LAB-ADDS01 passed test Services

      Starting test: SystemLog

         ......................... OCH-LAB-ADDS01 failed test SystemLog

      Starting test: VerifyReferences

         ......................... OCH-LAB-ADDS01 passed test VerifyReferences

   
   
   Running partition tests on : ForestDnsZones

      Starting test: CheckSDRefDom

         ......................... ForestDnsZones passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... ForestDnsZones passed test

         CrossRefValidation

   
   Running partition tests on : DomainDnsZones

      Starting test: CheckSDRefDom

         ......................... DomainDnsZones passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... DomainDnsZones passed test

         CrossRefValidation

   
   Running partition tests on : Schema

      Starting test: CheckSDRefDom

         ......................... Schema passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... Schema passed test CrossRefValidation

   
   Running partition tests on : Configuration

      Starting test: CheckSDRefDom

         ......................... Configuration passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... Configuration passed test CrossRefValidation

   
   Running partition tests on : LABS404

      Starting test: CheckSDRefDom

         ......................... LABS404 passed test CheckSDRefDom

      Starting test: CrossRefValidation

         ......................... LABS404 passed test CrossRefValidation

   
   Running enterprise tests on : LABS404.FR

      Starting test: LocatorCheck

         ......................... LABS404.FR passed test LocatorCheck

      Starting test: Intersite

         ......................... LABS404.FR passed test Intersite

Ouvrir 'Active Directory Users and Computers', procéder à une création d'utilisateur classique.

Puis faire 'View --> Advanced Features'.

Double-cliquer sur l'utilisateur créé, puis aller dans l'onglet 'Attribute Editor'

Définir les attributs suivants :

• gidNumber : ID du groupe unix (100 par défaut)
• uidNumber : ID unique de l'utilisateur (la bonne pratique est de commencer à 5000 et incrémenter)
• loginShell : shell que l'utilisateur utilisera pour se connecter ('/bin/bash' par défaut)
• unixHomeDirectory : dossier home de l'utilisateur ('/home/<nomutilisateur>' par défaut)

Charger le module active directory

Import-Module -Name ActiveDirectory

Utiliser la commande PowerShell classique avec les options supplémentaires comme ci-dessous :

New-ADuser <NomUtilisateur> -Surname <NomFamille> -GivenName <NomComplet> -DisplayName "<prénom nom>" -EmailAddress "<email>" -AccountPassword (ConvertTo-Securestring -AsPlainText "<mot de passe>" -Force) -ChangePasswordAtLogon $true -Enabled $true -Path "<path de l'OU>" -OtherAttributes @{uidNumber="5001"; gidNumber="100"; loginShell="/bin/bash"; unixHomeDirectory="/home/<NomUtilisateur>"}

Ouvrir 'Active Directory Users and Computers'.

Puis faire 'View --> Advanced Features'.

Double-cliquer sur l'utilisateur créé, puis aller dans l'onglet 'Attribute Editor'

Définir les attributs suivants :

• gidNumber : ID du groupe unix (100 par défaut)
• uidNumber : ID unique de l'utilisateur (la bonne pratique est de commencer à 5000 et incrémenter)
• loginShell : shell que l'utilisateur utilisera pour se connecter ('/bin/bash' par défaut)
• unixHomeDirectory : dossier home de l'utilisateur ('/home/<nomutilisateur>' par défaut)

Charger le module active directory

Import-Module -Name ActiveDirectory

Trouver l'utilisateur avec :

Get-ADUser -Identity "<NomUtilisateur"

Récupérer le "DistinguishedName".

Utiliser la commande PowerShell suivante pour modifier les attributs :

Set-ADUser -identity "<DistinguishedName>" -Add @{uidNumber="5000"; gidNumber="100"; loginShell="/bin/bash"; unixHomeDirectory="/home/<nomUtilisateur>"}

Ouvrir 'Active Directory Users and Computers'.

Puis faire 'View --> Advanced Features'.

Double-cliquer sur l'utilisateur créé, puis aller dans l'onglet 'Attribute Editor'

Dans l'éditeur d'attribut, vérifier les propriétés suivantes :

Utiliser la commande :

Get-ADUser -Identity <NomUtilisateur> -Properties * | Out-String -Stream | Select-String "uidNumber","gidNumber","loginShell","unixHomeDirectory"

Depuis le DC ou depuis un poste d'administration, ouvrir le server manager.

Cliquer sur 'Manage', puis 'Remove Roles and Features'

L'assistant se lance, cliquer sur 'Next'.

Sélectionner le DC à demote. Puis faire 'Next'.

Décocher le rôle 'Active Directory Domain Services'

Une boite de dialogue apparaît alors, indiquant les dépendances qui seront retirées avec cette action. Valider en cliquant sur 'Remove Features'.

Info : A ce stade, une fenêtre d'erreur de validation apparaît, indiquant qu'il est impossible de désinstaller le rôle car le serveur est encore un DC actif. Cela est en réalité un comportement attendu.

Cliquer sur 'Demote this domain controller'.

L'assistant démarre.

Sélectionner le compte administrateur de domaine à utiliser, puis faire 'Next'.

Attention : le compte doit être également dans les administrateurs de schéma.

Info : La case 'Force the removal of this domain controller' est prévue dans le cas où le contrôleur cible ne serait plus disponible sur le réseau. Dans le cadre d'un demote normal, inutile de la cocher.

Un avertissement apparaît, indiquant à l'utilisateur ce qu'il va faire et demandant une confirmation.

Cocher la case 'Proceed with removal'. Puis faire 'Next'.

Info : Vu que le compte administrateur de la machine n'est plus un administrateur de domaine, ce compte va être rétrogradé en administrateur local et son mot de passe ne sera plus dans Active Directory, il faut donc lui redéfinir un mot de passe local.

Entrer, confirmer le nouveau mot de passe de l'admin local, puis faire 'Next'.

Un résumé des actions s'affiche, cliquer sur 'Demote', pour lancer l'opération.

A la fin du demote, le serveur cible va redémarrer et il faudra vérifier que le schéma AD a été bien nettoyé.

Se connecter sur le serveur cible à demote.

Attention : le compte de connexion doit être également dans les administrateurs de schéma.

Lancer les commandes :

Import-Module -Name ActiveDirectory
Uninstall-ADDSDomainController -DemoteOperationMasterRole -Force

Attention : Si il s'agit du dernier DC du domaine, et uniquement si , ajouter l’opérande -LastDomainControllerInDomain

Info : Vu que le compte administrateur de la machine n'est plus un administrateur de domaine, ce compte va être rétrogradé en administrateur local et son mot de passe ne sera plus dans Active Directory, il faut donc lui redéfinir un mot de passe local.

 Fournir le mot de passe de l'administrateur local.

Attendre la fin du process.

Redémarrer le serveur.

Depuis un autre DC, Lancer powershell et sortir l'ancien DC des sites et services :

Import-Module -Name ActiveDirectory
Set-Location AD:

Récupérer la liste des DC du site :

Get-ChildItems -Path 'AD:\CN=Servers,CN=<NomDuSite>,CN=Sites,CN=Configuration,DC=<domain>,DC=<ext>' | Select-Object DistinguishedName

Retirer l'ancien DC des liens de sites :

Remove-Item -Path 'AD:\<le distinguishedName du serveur à retirer' -Force

Attendre 15 minutes environ, puis lancer les vérifications.

• Dans les Users and Computers, l'ancien contrôleur n'est plus dans l'OU controller, mais est revenu dans l'OU server.

• Dans les sites and services, il n'apparaît plus dans les liens de synchronisation

Info : Le serveur apparaît, mais les liens de synchro ont bien été supprimés. Le serveur peut alors être retiré sans risques.

• Dans le DNS Manager , les enregistrements DNS de ce contrôleur ne sont plus présents.

Par exemple, ici :

Attention : Les vérifications DNS doivent se faire dans l'ensemble des emplacements.

Depuis le DC maître :

Import-Module -Name ActiveDirectory

• L'ancien DC n'est plus dans la liste des contrôleurs de domaines :

Get-ADDomainController -Filter * | Format-Table

• Dans les sites and services, il n'apparaît plus dans les liens de synchronisation

Import-Module -Name ActiveDirectory
Get-ChildItems -Path 'AD:\CN=Servers,CN=<NomDuSite>,CN=Sites,CN=Configuration,DC=<domain>,DC=<ext>' | Select-Object DistinguishedName

Info : Plus d'informations ici.

• Dans le DNS Manager , vérifier que les enregistrements DNS de ce contrôleur ne sont plus présents.

foreach ( $zone in Get-DNSServerZone ) { Get-DNSServerResourceRecord -ZoneName $zone.ZoneName }

Le cas échéant, il faudra supprimer les enregistrements correspondants.

Depuis le DC ou depuis un poste d'administration, ouvrir le server manager.

Cliquer sur 'Manage', puis 'Remove Roles and Features'

L'assistant se lance, cliquer sur 'Next'.

Sélectionner le DC à demote. Puis faire 'Next'.

Décocher le rôle 'Active Directory Domain Services' et 'DNS Server'.

Une boite de dialogue apparaît alors, indiquant les dépendances qui seront retirées avec cette action. Valider en cliquant sur 'Remove Features'. Puis faire 'Next'.

Pas de Features à retirer, Faire simplement 'Next'.

Prendre connaissance du résumé et faire 'Remove'.

Les rôles seront désinstallés.

Redémarrer le serveur à la fin des désinstallations.

Désinstaller le rôle Active Directory :

Remove-windowsFeature -Name AD-Domain-Services -IncludeManagementTools -Remove

Puis désinstaller le rôle DNS server :

Remove-windowsFeature -Name DNS -IncludeManagementTools -Remove

Redémarrer le serveur.

Ouvrir une CMD sur le serveur Active Directory qui va reprendre les rôles.

Vérifier qui porte les rôles actuellement avec la commande :

netdom query FSMO

Ici c'est le DC principal qui porte tous les rôles.

Ouvrir la console NTDS Utils.

ntdsutil

Entrer en mode de maintenance du shema.

role

Se connecter au serveur de destination des rôles

connection
connect to server <FQDN>
q

Pour transférer les rôles, utiliser la commande suivante

transfer <NomDuRôle>

Attention : En cas de transfert forcé, la commande est  seize. Mais cela ne doit être utilisé que si l'ancien DC n'est plus disponible. La procédure par défaut est celle donnée ci-dessus.

Il y à 5 rôles à transférer, dans cet ordre là :

• RID master
• schema master
• infrastructure master
• naming master
• pdc

Info : à chaque transfert, NTDSUTIL affiche le résumé des rôles, il est ainsi possible de vérifier au fur et à mesure leur bon transfert.

Pour chaque commande transfer, la fenêtre suivante apparaît, il faut cliquer sur 'Yes' pour valider le transfert :

Après validation :

Répéter la procédure sur chaque rôle. A la fin du processus, quitter les outils avec 'q'.

Une nouvelle requête indique maintenant :

Avec l'arrivée de Powershell, il est désormais nativement possible d'effectuer la procédure en Powershell. Cette méthode à l'avantage d'être plus rapide et de pouvoir s'exécuter depuis n'importe quel serveur AD ou du serveur d'administration.

Se connecter à la console Powershell. Vérifier qui porte les rôles :

netdom query FSMO

Il est également possible de savoir qui porte quel rôle avec le script powershell suivant :

$domainControllers = Get-ADDomainController -Filter *
foreach ($dc in $domainControllers) {
    Write-Output "Name: $($dc.Name)"
    Write-Output "OperationMasterRoles:"
    foreach ($role in $dc.OperationMasterRoles) {
        Write-Output "- $role"
    }
}

La commande pour transférer un rôle est la suivante :

Move-ADDirectoryServerOperationMasterRole -Identity <NomServerDest> -OperationMasterRole <NomDuRole>

 Attention : En cas de transfert forcé, il faut ajouter l'opérande -Force. Mais cela ne doit être utilisé que si l'ancien DC n'est plus disponible. La procédure par défaut est celle donnée ci-dessus.

Il y à 5 rôles à transférer, dans cet ordre là :

• RIDMaster
• SchemaMaster
• InfrastructureMaster
• DomainNamingMaster
• PDCEmulator

A la fin du transfert, il est possible d'afficher si le serveur de destination à bien hérité des rôles :

Get-ADDomainController -Identity <NomServeurDest> | Select-Object OperationMasterRoles -ExpandProperty OperationMasterRoles

Il peut être bien de changer le nom de l'administrateur local.

En effet ce compte, lors de l'initialisation du domaine, deviendra l'administrateur de domaine et disposera de tous les privilèges.

Pour le rendre plus facilement devinable en cas d'attaque, il peut être bien de le renommer en évitant les chaînes :

• Administrator
• Administrateur
• Admin
• Adm

Préférer plutôt des anagrammes ou des astuces mnémotechniques.

• Danim
• MadSinistrator
• AdiritMonstar
• 4d- (admin en l33t) précédé d'un mot clé. exemple : Dom4d-

Le moyens le plus rapide consiste à entre la commande suivante en powershell :

Rename-LocalUser -Name "Administrator" -NewName "<nouveau nom du compte>"

Redémarrer la machine.

Voir : WinServer2k22GUI - Installation Rôle et Fonctionnalité

 Les rôles nécessaires sont : 'Active Directory Domain Services'.

Pour installer le rôle active directory en mode console, ouvrir une console powershell et entre la commande suivante :

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

Attendre la fin de l'installation.

Dans le server manager, Cliquer sur le drapeau en haut pour faire apparaître la notification.

Cliquer sur 'Promote this server to a domain controller'.

Dans le cas d'un premier contrôleur de domaine, il faudra cocher 'Add a new forest' et remplir le 'root domain name'.

Puis cliquer sur 'Next'.

Choisir le niveau fonctionnel de la forêt et du domaine (ici : le plus élevé).

Information : le niveau fonctionnel sert à définir les protocoles employés avec les contrôleurs synchronisés ainsi que la structure du schéma active directory à adopter et les fonctionnalités à activer. Le niveau fonctionnel doit être fixé sur le niveau LE PLUS BAS actuellement présent sur le parc.

Laisser les cases cochées (sauf si un DNS est déjà présent dans le domaine).

Remplir le mot de passe de restauration Active Directory et le répéter.

Puis cliquer sur 'Next'.

Information : le mot de passe de restauration sera demandé en cas de restauration de l'active directory suite à une action de restauration ou de déploiement d'un nouveau DC à partir du fichier d'export.

Ignorer cette alerte. Cliquer sur 'Next'.

Utiliser le nom NetBIOS fourni ou en renseigner un nouveau. Cliquer sur 'Next'.

Si les E: est utilisé, changer les C: par E: dans les chemins et cliquer sur 'Next'.

La fenêtre suivante récapitule l'installation qui va se lancer. Cliquer sur 'Next'.

Ignorer les alertes qui sont juste une information sur l'algorithme de chiffrement utilisé qui peut ne pas être compatible avec de vieilles versions et un rappel sur la délégation DNS déjà vu plus tôt. Cliquer sur 'Install'.

Attendre la fin de l'installation. L'utilisateur va être déconnecté et le serveur va redémarrer.

Si ce n'est pas déjà fait, lancer powershell.

Entrer la commande suivante :

Install-ADDSForest -CreateDnsDelegation:$false -DatabasePath "E:\Windows\NTDS" -DomainMode "WinThreshold" -DomainName "labs404.fr" -DomainNetbiosName "LABS404" -ForestMode "WinThreshold" -InstallDNS:$true -LogPath "E:\Windows\NTDS" -NoRebootOnCompletion:$false -SysvolPath "E:\Windows\SYSVOL" -Force:$true

Voici à quoi correspondent les options :

* Information : le niveau fonctionnel sert à définir les protocoles employés avec les contrôleurs synchronisés ainsi que la structure du schéma active directory à adopter et les fonctionnalités à activer. Le niveau fonctionnel doit être fixé sur le niveau LE PLUS BAS actuellement présent sur le parc.

Renseigner le mot de passe de restauration et répéter.

Information : le mot de passe de restauration sera demandé en cas de restauration de l'active directory suite à une action de restauration ou de déploiement d'un nouveau DC à partir du fichier d'export.

Attendre la fin du déploiement. Les alertes peuvent être ignorées

4

Dans le Administrative Center, sélectionner le domaine et faire un clic droit.

Puis 'Enable Recycle Bin...'.

Confirmer.

Valider.

La corbeille est maintenant activée.

Ouvrir une console PowerShell et charger le module Active Directory.

Import-Module -Name ActiveDirectory

 Lancer la commande suivante en remplaçant le domaine et l’extension pour les options -Identity et -Target :

Enable-ADOptionalFeature –Identity “CN=Recycle Bin Feature,CN=Optional Features,CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=dawngrazer,DC=Company” -Scope ForestOrConfigurationSet –Target “dawngrazer.company"

Lancer le serveur manager.

Se placer sur 'AD DS' et faire un clic droit sur le serveur AD.

 Sélectionner 'Active Directory Sites And Services'.

Faire 'Sites --> Clic droit sur  Default-First-Site-Name --> Rename'.

Ouvrir une console powershell et charger le module Active Directory.

Import-Module -Name ActiveDirectory

 Lancer la commande :

Get-ADObject -SearchBase (Get-ADRootDSE).ConfigurationNamingContext -filter "Name -eq 'Default-First-Site-Name'" | Rename-ADObject -NewName SCSG

Pour lister les sites :

Get-ADObject -SearchBase (Get-ADRootDSE).ConfigurationNamingContext -filter "objectclass -eq 'site'" | Format-Table Name,DistinguishedName

Lancer le serveur manager.

Se placer sur 'AD DS' et faire un clic droit sur le serveur AD.

 Sélectionner 'Active Directory Sites And Services'.

Aller dans 'Sites --> Subnets' et faire un 'clic droit --> New Subnet'.

Entrer le Prefix au format CIDR et cliquer sur le site auquel il sera rattaché puis faire OK.

Le Subnet est ajouté. Procéder de même pour les autres subnets.

4

New-ADReplicationSubnet -Name "192.168.1.0/24" -Site "SCSG" -Location "Saint christophe sur guiers" -Description "VLAN serveur de LAB."

Pour voir la liste des subnets :

Get-ADReplicationSubnet -Filter * |Ft Location,Name,Site

Lancer le serveur manager.

Se placer sur 'AD DS' et faire un clic droit sur le serveur AD.

 Sélectionner 'Active Directory Sites And Services'.

Aller dans 'Sites --> Inter-Site Transport --> IP --> Clic droit sur DEFAULTIPSITELINK --> Properties'.

Dans la fenêtre suivante, choisir à quels site s'appliqueront cette politique, puis définir l’intervalle en ajustant la variable 'Replicate every' pour choisir le délai qui convient le mieux (ici 1h). Puis faire 'Apply' et 'OK'.

voir : Microsoft - SetReplicationSiteLink

Lancer le serveur manager.

Se placer sur 'DNS' et faire 'clic droit --> DNS Manager' sur le serveur DNS.

Dans le DNS manager, faire clic-droit sur 'Reverse Lookup Zones --> New Zone...'.

L'assistant se lance. Cliquer sur 'Next'

Choisir 'Primary Zone', laisser coché 'Store in Active Directory' et faire 'Next'.

Choisir 'To all DNS servers running on domain controllers in this domain'. Puis 'Next'.

Sélectionner le type de zone voulue puis 'Next'.

Entrer les détails de la zone et faire 'Next'.

Cocher 'Allow only secure dynamict updates' et faire 'Next'.

Revoir les paramètres et 'Finish'.

 Les zones devraient être OK.

Ouvrir une console powershell et charger le module Active Directory.

Import-Module -Name ActiveDirectory

Afficher les zones DNS avec :

Get-DNSServerZone

Ici la zone a déjà été créée et est présente. Mais par défaut ce n'est pas le cas.

Pour créer la reverse lookup zone, entrer la commande suivante (ici pour 192.168.1.0/24) :

Add-DnsServerPrimaryZone -NetworkID "192.168.1.0/24" -ReplicationScope "Domain"

Lancer le serveur manager.

Se placer sur 'DNS' et faire 'clic droit --> DNS Manager' sur le serveur DNS.

Dans le DNS manager, faire clic-droit sur le serveur, puis 'properties'.

Dans l'onglet 'Forwarders' cliquer sur 'Edit...'

Éditer les Forwarders en ajoutant, déplaçant, supprimant les entrées.

Choisir le délai d'expiration des requêtes.

Puis cliquer sur 'OK' pour valider.

Récupérer les informations actuelles avec :

Get-DNSServerForwarders

Pour ajouter un serveur DNS :

Add-DnsServerForwarder -IPaddress <Adresse du serveur>

Pour en retirer un :

Remove-DnsServerForwarder -IPAddress <Adresse du serveur>

Pour changer le délai de timeout :

Set-DNSServerForwarder -Timeout <Nb secondes>

Ouvrir la console 'ADSI Edit'

Faire un clic droit puis 'Connect To...'

Choisir le contexte par défaut et faire 'OK'.

Sélectionner l'objet racine du domaine, puis clic droit --> 'Properties'

Dans l'editeur d'attributs, trouver l'attribut 'ms-DS-MachineAccountQuota'

Fixer sa valeur à '0'.

Set-ADDomain -Identity "DC=<domain>,DC=<ext>" -Replace @{"ms-DS-MachineAccountQuota"="0"}

Remove-ADGroupMember -Identity "Schema Admins" -Members "<Compte Admin>"
Add-ADGroupMember -Identity "Protected Users" -Members "<Compte Admin>"