Installer et configurer un domaine Active Directory sous Windows Server 2025

🎯 OBJECTIF

Ce tutoriel présente la mise en place d’un domaine Active Directory sous Windows Server 2025, depuis la préparation du serveur jusqu’à l’intégration d’un poste Windows au domaine.

L’objectif est d’obtenir un environnement Active Directory fonctionnel permettant de centraliser l’authentification des utilisateurs et l’administration des postes. Cet environnement servira également de base pour de futurs tutoriels consacrés notamment aux stratégies de groupe (GPO), à PowerShell et à la sécurisation d’Active Directory.

🏗️ ENVIRONNEMENT

Ce tutoriel s’appuie sur un environnement de laboratoire virtualisé. Les adresses IP et noms utilisés sont donnés à titre d’exemple et doivent être adaptés à votre infrastructure.

PARAMÈTRE	VALEUR
Système	Windows Server 2025
Nom du serveur	DC01
Domaine Active Directory	ad.procyb.fr
Nom NetBIOS	PROCYB
Adresse IPv4	192.168.1.10/24
Passerelle	192.168.1.254
Serveur DNS	192.168.1.10
Poste client	Windows 11 Professionnel

📋 PRÉREQUIS

Avant de commencer l’installation d’Active Directory, assurez-vous de disposer des éléments suivants :

• Une machine physique ou virtuelle exécutant Windows Server 2025.
• Un compte disposant des droits d’administrateur local sur le serveur.
• Une adresse IPv4 fixe disponible pour le contrôleur de domaine.
• Une connectivité réseau fonctionnelle.
• Un accès à Internet pour effectuer les mises à jour du serveur.
• Un poste sous Windows 11 Professionnel pour tester l’intégration au domaine.

1. PRÉPARER LE SERVEUR

Avant d’installer le rôle Active Directory Domain Services (AD DS), le serveur doit être correctement préparé. Nous allons vérifier les mises à jour, définir une adresse IP statique et attribuer un nom explicite au serveur.

1.1 Renommer le serveur

Un contrôleur de domaine doit disposer d’un nom explicite et stable. Dans cet exemple, le serveur sera nommé DC01. Le renommage doit être effectué avant l’installation d’Active Directory.

Depuis l’interface graphique

Ouvrez le Gestionnaire de serveur, sélectionnez Serveur local, puis cliquez sur le nom actuel de l’ordinateur.

Dans la fenêtre Propriétés système, cliquez sur Modifier, saisissez DC01 dans le champ Nom de l’ordinateur, puis validez.

Un redémarrage du serveur est nécessaire pour appliquer le nouveau nom.

Avec PowerShell

La même opération peut être réalisée depuis une console PowerShell exécutée en tant qu’administrateur :

Rename-Computer -NewName "DC01" -Restart

Le paramètre -Restart redémarre automatiquement le serveur après son renommage.

Vérification

Après le redémarrage, ouvrez PowerShell et vérifiez le nom du serveur :

hostname

Le résultat doit correspondre au nom défini précédemment :

DC01

1.2 Configurer une adresse IP statique

Un contrôleur de domaine doit disposer d’une adresse IP fixe. Une modification de son adresse pourrait perturber la résolution DNS et empêcher les postes clients de localiser correctement les services Active Directory.

Dans notre environnement de démonstration, le serveur DC01 utilisera la configuration réseau suivante :

• Adresse IPv4 : 192.168.1.10
• Masque de sous-réseau : 255.255.255.0 (/24)
• Passerelle par défaut : 192.168.1.254
• Serveur DNS préféré : 192.168.1.10

Pourquoi le DNS est-il important ?

Active Directory s’appuie fortement sur le service DNS pour permettre aux postes clients et aux serveurs de localiser les contrôleurs de domaine et les différents services du domaine.

Une fois le contrôleur de domaine installé, DC01 hébergera également le service DNS. Il utilisera donc sa propre adresse IP (192.168.1.10) comme serveur DNS.

Les postes membres du domaine devront également utiliser le serveur DNS Active Directory comme serveur DNS principal. Utiliser directement un DNS public ou celui du routeur pourrait empêcher la résolution correcte des ressources du domaine.

Depuis l’interface graphique

Ouvrez le Gestionnaire de serveur, sélectionnez Serveur local, puis cliquez sur l’interface réseau associée au serveur.

Ouvrez les Propriétés de la carte réseau, sélectionnez Protocole Internet version 4 (TCP/IPv4), puis cliquez sur Propriétés.

Sélectionnez Utiliser l’adresse IP suivante, puis renseignez les paramètres réseau définis précédemment.

Avec PowerShell

La configuration réseau peut également être réalisée avec PowerShell. Commencez par identifier le nom de l’interface réseau :

Get-NetAdapter

Repérez l’interface réseau utilisée par le serveur. Dans cet exemple, elle est nommée Ethernet.

New-NetIPAddress -InterfaceAlias "Ethernet" `
    -IPAddress 192.168.1.10 `
    -PrefixLength 24 `
    -DefaultGateway 192.168.1.254

Configurez ensuite l’adresse du serveur DNS :

Set-DnsClientServerAddress -InterfaceAlias "Ethernet" `
    -ServerAddresses 192.168.1.10

Vérification

Vérifiez la configuration réseau appliquée au serveur :

ipconfig /all

Vérifiez notamment que l’adresse IPv4, la passerelle par défaut et le serveur DNS correspondent à la configuration définie précédemment.

ping 192.168.1.254

Une réponse de la passerelle permet de confirmer la connectivité entre le serveur et le réseau local.

À ce stade

Le serveur utilise désormais 192.168.1.10, c’est-à-dire sa propre adresse IP, comme serveur DNS. Cependant, le rôle DNS n’est pas encore installé.

La résolution DNS ne sera donc pleinement opérationnelle qu’après l’installation d’Active Directory Domain Services et du rôle DNS dans les étapes suivantes.

1.3 Mettre à jour Windows Server

Avant d’installer Active Directory Domain Services, il est recommandé de mettre à jour Windows Server afin de disposer des derniers correctifs de sécurité et de stabilité.

Depuis l’interface graphique

Ouvrez Paramètres → Mise à jour et sécurité → Windows Update, puis cliquez sur Rechercher des mises à jour.

Installez les mises à jour disponibles et redémarrez le serveur si Windows le demande.

Vérification

Après le redémarrage éventuel du serveur, retournez dans Windows Update et vérifiez qu’aucune mise à jour importante ne reste en attente.

2. INSTALLER ACTIVE DIRECTORY DOMAIN SERVICES (AD DS).

Active Directory Domain Services (AD DS) est le rôle Windows Server permettant de mettre en place un domaine Active Directory. Il assure notamment la gestion centralisée des utilisateurs, des ordinateurs, des groupes et de l’authentification au sein du domaine.

Dans cette étape, nous allons installer le rôle AD DS sur le serveur DC01. La création du domaine ad.procyb.fr sera réalisée dans l’étape suivante lors de la promotion du serveur en contrôleur de domaine.

2.1 Installer le rôle AD DS

Le rôle peut être installé depuis le Gestionnaire de serveur ou directement avec PowerShell.

Depuis l’interface graphique

Ouvrez le Gestionnaire de serveur, puis sélectionnez Gérer → Ajouter des rôles et fonctionnalités.

Dans l’assistant, sélectionnez Installation basée sur un rôle ou une fonctionnalité, puis choisissez le serveur DC01.

Dans la liste des rôles disponibles, cochez Services AD DS (Active Directory Domain Services).

Lorsque Windows propose d’ajouter les fonctionnalités nécessaires au fonctionnement d’AD DS, cliquez sur Ajouter des fonctionnalités.

Cliquez sur Suivant jusqu’à l’écran de confirmation, puis sur Installer pour lancer l’installation du rôle.

Avec PowerShell

Le rôle AD DS peut également être installé directement depuis une console PowerShell exécutée en tant qu’administrateur.

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

Le paramètre -IncludeManagementTools installe également les outils d’administration nécessaires à la gestion d’Active Directory.

Vérification

Vérifiez que le rôle Active Directory Domain Services est correctement installé :

Get-WindowsFeature -Name AD-Domain-Services

La colonne Install State doit indiquer Installed, confirmant que le rôle AD DS est installé sur le serveur.

L’installation du rôle AD DS ne transforme pas encore DC01 en contrôleur de domaine. Le serveur doit maintenant être promu en contrôleur de domaine afin de créer la nouvelle forêt Active Directory ad.procyb.fr.

2.2 Promouvoir le serveur en contrôleur de domaine

Le rôle AD DS est désormais installé, mais le serveur DC01 n’est pas encore contrôleur de domaine. Il doit maintenant être promu afin de créer la forêt Active Directory et le domaine ad.procyb.fr.

Comme il s’agit du premier contrôleur de domaine de notre environnement, nous allons créer une nouvelle forêt Active Directory.

Depuis l’interface graphique

Dans le Gestionnaire de serveur, cliquez sur l’icône de notification située en haut à droite, puis sélectionnez Promouvoir ce serveur en contrôleur de domaine.

Dans l’assistant Configuration des services de domaine Active Directory, sélectionnez Ajouter une nouvelle forêt.

Dans le champ Nom de domaine racine, saisissez ad.procyb.fr, puis cliquez sur Suivant.

Configurer les options du contrôleur de domaine

Après avoir défini le nom du domaine, l’assistant affiche les options du contrôleur de domaine.

Comme DC01 sera le premier contrôleur de domaine de la forêt, conservez les options Serveur DNS (Domain Name System) et Catalogue global (GC) activées.

Sélectionnez les niveaux fonctionnels de la forêt et du domaine adaptés à votre environnement. Dans un nouvel environnement composé uniquement de versions récentes de Windows Server, utilisez le niveau fonctionnel le plus récent proposé et compatible avec vos futurs contrôleurs de domaine.

Saisissez ensuite un mot de passe pour le mode de restauration des services d’annuaire (DSRM) et confirmez-le.

Le mot de passe DSRM est utilisé pour démarrer le contrôleur de domaine en mode de restauration des services d’annuaire, notamment lors de certaines opérations de maintenance ou de récupération d’Active Directory. Il doit être conservé de manière sécurisée.

Configurer les options DNS

Cliquez sur Suivant pour accéder à l’écran Options DNS.

Lors de la création du premier contrôleur de domaine d’une nouvelle forêt, l’assistant peut afficher un avertissement indiquant qu’il est impossible de créer une délégation pour ce serveur DNS.

Dans notre environnement, cet avertissement est normal : aucune zone DNS parente n’est configurée pour déléguer le sous-domaine ad.procyb.fr vers DC01. Il n’empêche pas la création du domaine Active Directory.

Vérifier le nom NetBIOS

À l’étape Options supplémentaires, l’assistant génère automatiquement un nom de domaine NetBIOS à partir du nom DNS du domaine.

Pour le domaine ad.procyb.fr, utilisez le nom NetBIOS :

PROCYB

Ce nom pourra notamment être utilisé dans l’ancien format d’ouverture de session PROCYB\utilisateur.

Vérifier les chemins d’accès

L’assistant propose ensuite les emplacements utilisés pour stocker la base de données Active Directory, les fichiers journaux et le dossier SYSVOL.

Dans notre environnement de laboratoire, les emplacements par défaut sont suffisants. Dans une infrastructure de production, leur implantation peut être adaptée en fonction des exigences de performance, de résilience et de sauvegarde.

Examiner la configuration

L’écran Examiner les options récapitule l’ensemble des paramètres qui seront utilisés pour créer la forêt et le domaine Active Directory.

Vérifiez notamment le nom du domaine ad.procyb.fr, le nom NetBIOS PROCYB, l’installation du service DNS et les niveaux fonctionnels sélectionnés.

Vérifier les prérequis

Cliquez sur Suivant pour lancer automatiquement la vérification des prérequis nécessaires à l’installation d’Active Directory Domain Services.

L’assistant contrôle notamment la configuration du serveur, les paramètres DNS et les conditions nécessaires à la promotion de DC01 en contrôleur de domaine.

Si le message « Toutes les vérifications de la configuration requise ont donné satisfaction » apparaît, vous pouvez poursuivre l’installation.

Installer Active Directory

Cliquez sur Installer pour lancer la promotion de DC01 en contrôleur de domaine et créer la forêt Active Directory ad.procyb.fr.

L’assistant configure alors Active Directory Domain Services, le service DNS et les différents composants nécessaires au fonctionnement du domaine.

À la fin de l’installation, le serveur redémarre automatiquement afin de finaliser sa promotion en contrôleur de domaine.

Après le redémarrage

Après le redémarrage de DC01, ouvrez une session avec le compte administrateur du domaine.

Le serveur DC01 est désormais contrôleur de domaine de la forêt ad.procyb.fr et héberge également le service DNS nécessaire au fonctionnement d’Active Directory.

Avec PowerShell

La création de la forêt peut également être réalisée depuis PowerShell après l’installation du rôle AD DS.

Install-ADDSForest `
    -DomainName "ad.procyb.fr" `
    -DomainNetbiosName "PROCYB" `
    -InstallDNS

La commande demande notamment de définir le mot de passe du mode de restauration des services d’annuaire (DSRM). Le serveur est ensuite promu en contrôleur de domaine et redémarre à la fin de l’opération.

2.3 Vérifier Active Directory et DNS

Après le redémarrage du contrôleur de domaine, il est important de vérifier que la forêt Active Directory, le domaine et le service DNS ont été correctement créés.

Ces contrôles permettent de s’assurer que DC01 est opérationnel avant de commencer à créer les utilisateurs, les groupes et les unités d’organisation.

Vérifier le domaine avec PowerShell

Ouvrez une console PowerShell en tant qu’administrateur et exécutez :

Get-ADDomain

La commande doit notamment retourner le nom DNS du domaine ad.procyb.fr, son nom NetBIOS PROCYB et identifier DC01 comme contrôleur de domaine.

Get-ADForest

Cette commande affiche les principales informations concernant la forêt Active Directory, notamment son domaine racine et les niveaux fonctionnels configurés.

Vérifier le contrôleur de domaine

La commande Get-ADDomainController permet de vérifier les informations relatives au contrôleur de domaine :

Get-ADDomainController

HostName : DC01.ad.procyb.fr
Domain   : ad.procyb.fr
Forest   : ad.procyb.fr

Contrôler l’état d’Active Directory

Windows Server fournit l’outil dcdiag permettant d’effectuer différents tests de diagnostic sur un contrôleur de domaine.

dcdiag

Plusieurs tests sont exécutés successivement. Vérifiez qu’aucune erreur critique n’est signalée et que les principaux tests se terminent avec succès.

dcdiag /test:dns

Cette commande cible plus particulièrement la configuration DNS utilisée par Active Directory.

Vérifier la résolution DNS

Vérifiez que le nom du contrôleur de domaine peut être résolu par le serveur DNS :

nslookup DC01.ad.procyb.fr

Nom :      DC01.ad.procyb.fr
Address :  192.168.1.10

nslookup -type=SRV _ldap._tcp.dc._msdcs.ad.procyb.fr

Le serveur DNS doit retourner un enregistrement SRV désignant DC01.ad.procyb.fr. Ce test confirme que les informations permettant aux postes clients de localiser le contrôleur de domaine sont publiées dans DNS.

Vérifier depuis le Gestionnaire DNS

Ouvrez Gestionnaire de serveur → Outils → DNS, puis développez DC01 et Zones de recherche directes.

Vérifiez notamment la présence de la zone ad.procyb.fr ainsi que de la zone _msdcs.ad.procyb.fr.

Vérifier la résolution DNS externe

Le serveur DC01 utilise sa propre adresse IP (192.168.1.10) comme serveur DNS. Pour résoudre les noms qui ne sont pas hébergés par le DNS Active Directory, le service DNS peut transmettre les requêtes à un redirecteur DNS ou utiliser les indications de racine (Root Hints).

Dans un environnement d’entreprise, il est recommandé d’utiliser les résolveurs DNS définis par l’organisation plutôt que de configurer un DNS public directement sur l’interface réseau du contrôleur de domaine.

Configurer un redirecteur DNS

Ouvrez Gestionnaire de serveur → Outils → DNS, faites un clic droit sur DC01, puis sélectionnez Propriétés → Redirecteurs.

Cliquez sur Modifier et ajoutez l’adresse IP du serveur DNS vers lequel DC01 doit transmettre les requêtes externes.

Poste Windows 11
       ↓
DNS : 192.168.1.10
       ↓
     DC01
       ↓
DNS Active Directory
       ↓
Redirecteur : 192.168.1.254
       ↓
    Internet

Avec PowerShell

Add-DnsServerForwarder -IPAddress 192.168.1.254

Pour vérifier les redirecteurs configurés :

Get-DnsServerForwarder

Tester la résolution externe

Vérifiez enfin que DC01 peut résoudre un nom Internet :

Resolve-DnsName www.microsoft.com

Si la résolution fonctionne, le serveur DNS est capable de résoudre à la fois les ressources internes du domaine ad.procyb.fr et les noms externes.

À noter : la configuration d’un redirecteur n’est pas obligatoire. En son absence, le serveur DNS Windows peut utiliser les indications de racine (Root Hints) pour effectuer la résolution DNS récursive. L’utilisation de redirecteurs permet toutefois de contrôler vers quels résolveurs les requêtes externes sont transmises.

3. STRUCTURER ACTIVE DIRECTORY

Une fois le domaine Active Directory opérationnel, il est recommandé d’organiser les objets de l’annuaire de manière structurée plutôt que de conserver les utilisateurs et les ordinateurs dans les conteneurs par défaut.

Nous allons créer une structure simple basée sur des unités d’organisation (OU) afin de préparer l’administration des utilisateurs, des groupes, des postes et l’application future de stratégies de groupe (GPO).

3.1 Créer les unités d’organisation

Les unités d’organisation permettent de structurer logiquement les objets Active Directory et constituent notamment des points d’application des stratégies de groupe.

PROCYB
├── Utilisateurs
├── Groupes
├── Postes
├── Serveurs
└── Comptes-Admin

Depuis l’interface graphique

Ouvrez Gestionnaire de serveur → Outils → Utilisateurs et ordinateurs Active Directory.

Créez une première unité d’organisation nommée PROCYB. Elle servira de conteneur principal pour organiser les différents objets de notre environnement.

Faites un clic droit sur l’OU PROCYB, puis créez successivement les unités d’organisation suivantes :

• Utilisateurs
• Groupes
• Postes
• Serveurs
• Comptes-Admin

Lors de la création des OU, conservez l’option Protéger le conteneur contre une suppression accidentelle activée. Cette protection permet d’éviter la suppression involontaire d’une unité d’organisation et des objets qu’elle contient.

Avec PowerShell

La même structure peut être créée depuis PowerShell à l’aide de la cmdlet New-ADOrganizationalUnit.

New-ADOrganizationalUnit -Name "PROCYB" `
    -Path "DC=ad,DC=procyb,DC=fr"

Créez ensuite les différentes OU sous PROCYB :

$OUPath = "OU=PROCYB,DC=ad,DC=procyb,DC=fr"

"Utilisateurs",
"Groupes",
"Postes",
"Serveurs",
"Comptes-Admin" | ForEach-Object {
    New-ADOrganizationalUnit -Name $_ -Path $OUPath
}

Vérification

Vérifiez la structure créée dans Utilisateurs et ordinateurs Active Directory. L’OU PROCYB doit contenir les cinq unités d’organisation définies précédemment.

Get-ADOrganizationalUnit `
    -SearchBase "OU=PROCYB,DC=ad,DC=procyb,DC=fr" `
    -Filter * |
    Select-Object Name, DistinguishedName

3.2 — Créer les premiers utilisateurs et groupes

Une fois les unités d’organisation créées, nous pouvons commencer à ajouter les premiers objets dans Active Directory.

Nous allons créer un utilisateur standard, un groupe de sécurité et un compte d’administration distinct. Cette séparation permet d’éviter l’utilisation quotidienne d’un compte disposant de privilèges élevés.

Créer un utilisateur depuis l’interface graphique

Ouvrez Gestionnaire de serveur → Outils → Utilisateurs et ordinateurs Active Directory, puis développez ad.procyb.fr → PROCYB.

Faites un clic droit sur l’OU Utilisateurs, puis sélectionnez Nouveau → Utilisateur.

Champ	Valeur
Prénom	Jean
Nom	Dupont
Nom complet	Jean Dupont
Nom d’ouverture de session	jdupont

Cliquez sur Suivant et définissez un mot de passe temporaire respectant la stratégie de mot de passe du domaine.

Cochez L’utilisateur doit changer le mot de passe à la prochaine ouverture de session, puis cliquez sur Suivant → Terminer.

Le compte jdupont apparaît maintenant dans l’OU Utilisateurs.

Créer un groupe de sécurité

Les groupes de sécurité permettent de regrouper plusieurs utilisateurs afin de leur attribuer des autorisations communes. Il est préférable d’attribuer les droits aux groupes plutôt que directement aux comptes utilisateurs afin de simplifier l’administration des accès.

Dans Utilisateurs et ordinateurs Active Directory, faites un clic droit sur l’OU Groupes, puis sélectionnez Nouveau → Groupe.

Champ	Valeur
Nom du groupe	GG_Utilisateurs_Procyb
Étendue du groupe	Globale
Type de groupe	Sécurité

Cliquez sur OK pour créer le groupe.

Ajouter l’utilisateur au groupe

Double-cliquez sur le groupe GG_Utilisateurs_Procyb, puis ouvrez l’onglet Membres.

Cliquez sur Ajouter, saisissez jdupont, puis cliquez sur Vérifier les noms. Une fois le compte identifié, validez avec OK.

Bonne pratique : attribuez autant que possible les autorisations aux groupes de sécurité plutôt que directement aux comptes utilisateurs. Lorsqu’un utilisateur change de fonction, il suffit alors de modifier son appartenance aux groupes concernés.

Créer un compte d’administration distinct

Pour limiter l’exposition des comptes privilégiés, il est recommandé de séparer le compte utilisé pour les activités quotidiennes du compte utilisé pour les tâches d’administration.

Dans notre exemple, jdupont restera le compte utilisateur standard de Jean Dupont. Un second compte, adm-jdupont, sera réservé aux opérations d’administration.

Dans Utilisateurs et ordinateurs Active Directory, faites un clic droit sur l’OU Comptes-Admin, puis sélectionnez Nouveau → Utilisateur.

Champ	Valeur
Prénom	Jean
Nom	Dupont
Nom complet	Jean Dupont – Admin
Nom d’ouverture de session	adm-jdupont

Définissez un mot de passe robuste pour ce compte, puis terminez la création de l’utilisateur.

Principe de moindre privilège : le compte adm-jdupont ne doit recevoir que les privilèges nécessaires aux tâches d’administration qui lui sont confiées. Il n’est donc pas ajouté systématiquement au groupe Admins du domaine.

Créer les objets avec PowerShell

Les mêmes opérations peuvent être réalisées avec PowerShell à l’aide du module Active Directory. Cette méthode est particulièrement intéressante pour automatiser la création d’un grand nombre de comptes et de groupes.

Commencez par saisir le mot de passe temporaire du compte utilisateur. L’utilisation de Read-Host évite de stocker le mot de passe en clair dans le script.

$Password = Read-Host "Mot de passe temporaire" -AsSecureString

Puis création de jdupont :

New-ADUser `
    -Name "Jean Dupont" `
    -GivenName "Jean" `
    -Surname "Dupont" `
    -SamAccountName "jdupont" `
    -UserPrincipalName "jdupont@ad.procyb.fr" `
    -Path "OU=Utilisateurs,OU=PROCYB,DC=ad,DC=procyb,DC=fr" `
    -AccountPassword $Password `
    -Enabled $true `
    -ChangePasswordAtLogon $true

Créez ensuite le groupe de sécurité GG_Utilisateurs_Procyb dans l’OU Groupes :

New-ADGroup `
    -Name "GG_Utilisateurs_Procyb" `
    -SamAccountName "GG_Utilisateurs_Procyb" `
    -GroupCategory Security `
    -GroupScope Global `
    -Path "OU=Groupes,OU=PROCYB,DC=ad,DC=procyb,DC=fr"

Ajoutez jdupont au groupe :

Add-ADGroupMember `
    -Identity "GG_Utilisateurs_Procyb" `
    -Members "jdupont"

Pour le compte d’administration, saisissez un nouveau mot de passe afin de ne pas réutiliser celui du compte standard.

$AdminPassword = Read-Host "Mot de passe du compte administrateur" -AsSecureString

New-ADUser `
    -Name "Jean Dupont - Admin" `
    -GivenName "Jean" `
    -Surname "Dupont" `
    -SamAccountName "adm-jdupont" `
    -UserPrincipalName "adm-jdupont@ad.procyb.fr" `
    -Path "OU=Comptes-Admin,OU=PROCYB,DC=ad,DC=procyb,DC=fr" `
    -AccountPassword $AdminPassword `
    -Enabled $true

Vérifier les objets créés

Vérifiez tout d’abord la création des deux comptes :

Get-ADUser -Filter 'SamAccountName -eq "jdupont" -or SamAccountName -eq "adm-jdupont"' |
    Select-Object Name, SamAccountName, Enabled

Puis l’appartenance au groupe :

Get-ADGroupMember -Identity "GG_Utilisateurs_Procyb"

Tu dois notamment retrouver jdupont dans les résultats.

4. INTÉGRER UN POSTE WINDOWS 11 AU DOMAINE

Le domaine Active Directory est maintenant opérationnel et contient nos premiers utilisateurs et groupes. Nous allons intégrer un poste sous Windows 11 Professionnel au domaine ad.procyb.fr.

Avant de joindre le poste au domaine, il est indispensable de configurer correctement son serveur DNS afin qu’il puisse localiser le contrôleur de domaine DC01.

4.1 Configurer le DNS du poste client

Sur le poste Windows 11, configurez l’interface réseau afin d’utiliser le contrôleur de domaine comme serveur DNS principal.

Champ	Valeur
Adresse IP	DHCP ou adresse fixe du réseau
Passerelle	192.168.1.254
Serveur DNS préféré	192.168.1.10

Le poste client ne doit pas utiliser directement le DNS de la box, du routeur ou un serveur DNS public comme DNS principal. Il doit interroger le serveur DNS Active Directory afin de pouvoir résoudre les enregistrements nécessaires au fonctionnement du domaine.

Vérifier la configuration DNS

ipconfig /all
nslookup ad.procyb.fr
nslookup -type=SRV _ldap._tcp.dc._msdcs.ad.procyb.fr

La requête SRV doit permettre de retrouver le contrôleur de domaine DC01.ad.procyb.fr. Si ce test échoue, il est préférable de corriger la configuration DNS avant de tenter la jonction au domaine.

4.2 Joindre Windows 11 au domaine

Une fois la résolution DNS vérifiée, le poste Windows 11 peut être intégré au domaine ad.procyb.fr. Cette opération crée automatiquement un objet ordinateur dans Active Directory et permet aux utilisateurs du domaine de s’authentifier sur le poste.

Depuis l’interface graphique

Sur le poste Windows 11, ouvrez Paramètres → Système → Informations système, puis accédez aux paramètres permettant de renommer ce PC ou de modifier son domaine.

Dans les Propriétés système, ouvrez l’onglet Nom de l’ordinateur, puis cliquez sur Modifier.

Dans la section Membre de, sélectionnez Domaine et saisissez :

ad.procyb.fr

Cliquez sur OK. Windows demande alors les identifiants d’un compte autorisé à joindre un ordinateur au domaine.

PROCYB\Administrateur

Une fois l’authentification validée, le message Bienvenue dans le domaine ad.procyb.fr doit apparaître.

Redémarrez le poste afin de finaliser son intégration au domaine.

Avec PowerShell

La jonction peut également être réalisée depuis une console PowerShell exécutée en tant qu’administrateur :

Add-Computer `
    -DomainName "ad.procyb.fr" `
    -Credential "PROCYB\Administrateur" `
    -Restart

PowerShell demande le mot de passe du compte utilisé pour effectuer la jonction, puis redémarre automatiquement le poste si l’opération réussit.

Vérifier la jonction au domaine

Depuis le contrôleur de domaine DC01, ouvrez Utilisateurs et ordinateurs Active Directory et vérifiez la présence du poste dans le conteneur Computers.

Get-CimInstance Win32_ComputerSystem |
    Select-Object Name, Domain, PartOfDomain

Domain       : ad.procyb.fr
PartOfDomain : True

4.3 Déplacer le poste dans l’OU Postes

Lorsqu’un ordinateur rejoint un domaine Active Directory, son compte est placé par défaut dans le conteneur Computers.

Afin de conserver une organisation cohérente de l’annuaire et de faciliter l’application future de stratégies de groupe (GPO), nous allons déplacer le poste dans l’OU Postes créée précédemment.

Depuis l’interface graphique

Sur DC01, ouvrez Utilisateurs et ordinateurs Active Directory, puis sélectionnez le conteneur Computers.

Faites un clic droit sur le poste Windows 11 nouvellement intégré au domaine, puis sélectionnez Déplacer.

Sélectionnez ensuite PROCYB → Postes, puis validez avec OK.

Le compte ordinateur apparaît désormais dans l’OU Postes. Les stratégies de groupe liées ultérieurement à cette OU pourront ainsi être appliquées aux postes qu’elle contient.

Avec PowerShell

Le déplacement peut également être effectué avec PowerShell. Commencez par identifier le compte ordinateur :

Get-ADComputer -Filter * |
    Select-Object Name, DistinguishedName

Remplacez PC-W11 par le nom réel de votre poste :

Get-ADComputer -Identity "PC-W11" |
    Move-ADObject `
        -TargetPath "OU=Postes,OU=PROCYB,DC=ad,DC=procyb,DC=fr"

Vérification

Get-ADComputer `
    -SearchBase "OU=Postes,OU=PROCYB,DC=ad,DC=procyb,DC=fr" `
    -Filter * |
    Select-Object Name, DistinguishedName

Le poste doit maintenant apparaître dans l’OU Postes.

4.4 Se connecter avec un utilisateur du domaine

Le poste Windows 11 étant désormais membre du domaine, nous pouvons vérifier l’authentification avec le compte jdupont créé précédemment.

Première connexion

Sur le poste Windows 11, déconnectez la session actuelle ou redémarrez le poste.

Sur l’écran de connexion, sélectionnez Autre utilisateur, puis saisissez le compte du domaine sous l’une des formes suivantes :

PROCYB\jdupont

Saisissez le mot de passe temporaire défini lors de la création du compte.

Comme l’option L’utilisateur doit changer le mot de passe à la prochaine ouverture de session a été activée, Windows demande à jdupont de définir un nouveau mot de passe lors de sa première connexion.

Vérifier l’utilisateur connecté

Une fois la session ouverte, lancez PowerShell ou l’Invite de commandes et vérifiez l’identité de l’utilisateur connecté :

whoami

procyb\jdupont

Vous pouvez également vérifier le domaine auquel appartient le poste :

(Get-CimInstance Win32_ComputerSystem).Domain

ad.procyb.fr

Vérifier l’accès au contrôleur de domaine

Enfin, vérifiez que le poste peut toujours résoudre le contrôleur de domaine :

Resolve-DnsName DC01.ad.procyb.fr

L’adresse 192.168.1.10 doit être retournée pour DC01.

5. TESTS ET DIAGNOSTIC

Avant de considérer l’environnement Active Directory comme opérationnel, quelques vérifications permettent de contrôler rapidement l’état du contrôleur de domaine, du DNS et de l’authentification.

5.1 Vérifier l’état du contrôleur de domaine

dcdiag

La commande dcdiag exécute une série de tests permettant de vérifier le fonctionnement du contrôleur de domaine et des principaux services Active Directory. Pour cibler spécifiquement DNS :

dcdiag /test:dns

5.2 Vérifier les services essentiels

Vérifiez que les principaux services nécessaires à Active Directory sont démarrés :

Get-Service DNS, NTDS, Netlogon |
    Select-Object Name, Status

Name       Status
----       ------
DNS        Running
Netlogon   Running
NTDS       Running

5.3 Vérifier la découverte du contrôleur de domaine

Depuis le poste Windows 11 :

nltest /dsgetdc:ad.procyb.fr

La commande doit notamment retourner le nom du contrôleur de domaine DC01.ad.procyb.fr ainsi que son adresse IP.

$env:LOGONSERVER

Résultat attendu :

\\DC01

5.4 En cas de problème

Problème	Vérification
Domaine introuvable	Vérifier que le DNS du client pointe vers 192.168.1.10
DC01 ne se résout pas	Tester Resolve-DnsName DC01.ad.procyb.fr
Échec de jonction au domaine	Vérifier DNS, connectivité et identifiants
Connexion de jdupont impossible	Vérifier que le compte est activé et le mot de passe valide
Contrôleur de domaine non détecté	Tester nltest /dsgetdc:ad.procyb.fr
Erreurs AD ou DNS	Exécuter dcdiag et dcdiag /test:dns

🔐 SÉCURITÉ

L’environnement mis en place dans ce tutoriel constitue une base fonctionnelle pour découvrir Active Directory. Dans un environnement de production, plusieurs mesures de sécurité supplémentaires doivent être appliquées afin de réduire les risques liés à la compromission des comptes et du contrôleur de domaine.

Séparer les comptes utilisateur et administrateur

Un administrateur doit disposer d’un compte standard pour ses activités quotidiennes et d’un compte distinct pour les opérations nécessitant des privilèges élevés.

Dans notre exemple, jdupont est utilisé pour les tâches quotidiennes tandis que adm-jdupont est réservé aux opérations d’administration.

Appliquer le principe de moindre privilège

Un compte ne doit disposer que des droits nécessaires à l’exercice de ses fonctions. Il est notamment déconseillé d’ajouter systématiquement les comptes d’administration au groupe Admins du domaine.

Lorsque cela est possible, privilégiez la délégation de droits sur les OU ou les ressources concernées.

Sécuriser les comptes privilégiés

Les comptes disposant de privilèges élevés doivent utiliser des mots de passe robustes et uniques. Leur utilisation doit être limitée aux opérations d’administration.

Dans une infrastructure de production, des mécanismes complémentaires peuvent être mis en œuvre : politiques de mots de passe adaptées, authentification renforcée, postes d’administration dédiés et surveillance des connexions privilégiées.

Maintenir les systèmes à jour

Les contrôleurs de domaine et les postes membres doivent recevoir régulièrement les mises à jour de sécurité. Les logiciels et services inutiles doivent également être limités sur les contrôleurs de domaine afin de réduire leur surface d’attaque.

Sauvegarder Active Directory

Un contrôleur de domaine doit être intégré à une stratégie de sauvegarde adaptée. La sauvegarde de l’état du système (System State) permet notamment de disposer des éléments nécessaires à certaines opérations de restauration d’Active Directory.

À noter : les recommandations présentées ici constituent une introduction. La sécurisation d’Active Directory fera l’objet d’un tutoriel dédié sur PROCYB, notamment autour des comptes privilégiés, des GPO de sécurité, de la délégation d’administration, de LAPS et de l’audit.

📌 À RETENIR

Dans ce tutoriel, nous avons construit un environnement Active Directory fonctionnel sous Windows Server 2025, depuis la préparation du serveur jusqu’à l’intégration d’un poste Windows 11 au domaine.

• Préparation du serveur DC01 avec une adresse IP statique.
• Installation du rôle Active Directory Domain Services (AD DS).
• Création de la forêt et du domaine ad.procyb.fr.
• Installation et vérification du service DNS.
• Création d’une structure d’unités d’organisation (OU).
• Création des utilisateurs et des groupes de sécurité.
• Séparation des comptes utilisateur et administrateur.
• Intégration d’un poste Windows 11 Professionnel au domaine.
• Vérification de l’authentification avec jdupont.
• Utilisation de PowerShell pour administrer et contrôler Active Directory.
• Premiers contrôles avec dcdiag, nltest et les outils DNS.

Cette infrastructure constitue désormais une base pour expérimenter d’autres fonctionnalités d’Active Directory, notamment les stratégies de groupe (GPO), la délégation d’administration, le déploiement de configurations et le renforcement de la sécurité du domaine.

📚 DOCUMENTATION

Pour approfondir l’installation, l’administration et le diagnostic d’Active Directory sous Windows Server 2025, consultez la documentation officielle Microsoft.

• Vue d’ensemble des services de domaine Active Directory (AD DS) — concepts et fonctionnement général d’Active Directory. La documentation s’applique bien à Windows Server 2025.
• Module PowerShell Active Directory — référence pour l’administration d’Active Directory en PowerShell et les cmdlets utilisées dans le tutoriel.
• DNS dans Windows et Windows Server — fonctionnement et administration du service DNS, composant essentiel d’AD DS.
• DCDiag — référence de l’outil Microsoft de diagnostic des contrôleurs de domaine.

Dernière Mise à jour: septembre 2026