TIP 3.10 – Joindre un poste au domaine

Dans le cours précédent, nous avons vu qu’un domaine Active Directory permet de centraliser la gestion des utilisateurs, des ordinateurs, des groupes et d’une partie des paramètres de sécurité.

Pour bénéficier de cette infrastructure, le poste Windows doit être intégré au domaine.

Cette opération crée une relation entre le poste et Active Directory et permet ensuite à l’utilisateur de travailler avec son compte professionnel.

1. Que signifie joindre un poste au domaine ?

Lorsqu’un poste rejoint Active Directory, il devient membre du domaine.

Le poste dispose alors notamment :

• d’un objet ordinateur dans Active Directory ;
• d’une relation sécurisée avec le domaine ;
• de la possibilité d’utiliser des comptes du domaine ;
• de la possibilité de recevoir des stratégies de groupe ;
• d’un accès simplifié aux ressources professionnelles selon les droits accordés.

2. Vérifier l’édition de Windows

Toutes les éditions de Windows client ne permettent pas de rejoindre un domaine Active Directory traditionnel.

Pour Windows 10 ou Windows 11, on utilise notamment des éditions comme :

• Professional ;
• Enterprise ;
• Education.

Une édition Windows Home ne propose pas la jonction classique à un domaine Active Directory.

Pour vérifier l’édition :

winver

ou avec PowerShell :

Get-ComputerInfo |
Select-Object WindowsProductName

3. Vérifier le nom du poste

Avant la jonction, vérifie que le nom de la machine respecte la convention de nommage de l’entreprise.

Par exemple :

PC-COMPTA-07

Pour l’afficher :

hostname

ou :

$env:COMPUTERNAME

4. Renommer le poste avec PowerShell

Si la procédure l’autorise :

Rename-Computer -NewName "PC-COMPTA-07"

Un redémarrage peut être nécessaire pour finaliser le changement.

On peut également combiner renommage et jonction selon le scénario de déploiement.

5. Vérifier la configuration réseau

Avant toute jonction, vérifie :

• l’adresse IP ;
• le masque ou préfixe ;
• la passerelle ;
• les serveurs DNS ;
• la connectivité avec le réseau de l’entreprise.

Commandes :

Get-NetIPConfiguration

et :

ipconfig /all

6. Le DNS est le prérequis critique

Pour joindre correctement le domaine, le poste doit pouvoir localiser les services Active Directory.

Il doit donc utiliser le DNS interne prévu pour le domaine.

Exemple :

Adresse IP : 192.168.10.50
DNS        : 192.168.10.10

Si le poste utilise uniquement :

8.8.8.8

il peut être capable d’accéder à Internet tout en étant incapable de localiser correctement le domaine interne.

7. Vérifier la résolution DNS du domaine

Commence par vérifier la résolution du contrôleur ou du domaine.

Par exemple :

Resolve-DnsName dc01.entreprise.local

ou :

nslookup dc01.entreprise.local

Un résultat cohérent doit retourner l’adresse IP interne attendue.

8. Vérifier les enregistrements SRV

Active Directory utilise des enregistrements DNS de type SRV pour annoncer certains services.

On peut par exemple tester :

Resolve-DnsName -Type SRV "_ldap._tcp.dc._msdcs.entreprise.local"

Le résultat doit permettre d’identifier un ou plusieurs contrôleurs de domaine.

9. Tester la découverte d’un contrôleur de domaine

Windows fournit également :

nltest /dsgetdc:entreprise.local

Cette commande peut retourner des informations sur un contrôleur de domaine découvert.

Elle est particulièrement utile lors d’un diagnostic.

10. Vérifier l’heure du poste

L’authentification Kerberos dépend d’une synchronisation temporelle correcte.

Avant une jonction, une dérive importante de l’heure peut donc provoquer des problèmes.

Pour examiner la configuration temporelle :

w32tm /query /status

Tu peux également vérifier simplement l’heure et le fuseau horaire dans Windows.

11. Vérifier le compte utilisé pour la jonction

L’opération doit être effectuée avec un compte disposant des droits nécessaires.

Il ne faut pas utiliser systématiquement un compte Administrateur du domaine.

Dans une infrastructure correctement administrée, les droits nécessaires peuvent être délégués à une équipe de support ou de déploiement.

12. L’objet ordinateur peut déjà exister

Dans certaines organisations, l’objet ordinateur est créé à l’avance dans Active Directory.

On parle souvent de :

pré-création ou pré-staging de l’objet ordinateur.

Cela permet notamment de préparer :

• son emplacement dans une OU ;
• certaines délégations ;
• l’application future de politiques.

13. Joindre le domaine avec l’interface graphique

Une méthode classique consiste à utiliser :

sysdm.cpl

Dans l’onglet consacré au nom de l’ordinateur :

1. ouvrir les propriétés permettant de modifier l’appartenance ;
2. sélectionner Domaine ;
3. saisir le nom du domaine ;
4. fournir les identifiants autorisés lorsque Windows les demande ;
5. valider le message de bienvenue dans le domaine ;
6. redémarrer le poste.

Exemple de domaine :

entreprise.local

14. Pourquoi Windows demande-t-il un redémarrage ?

Le redémarrage permet à Windows de finaliser correctement la nouvelle appartenance du système.

Après redémarrage, le poste peut commencer à fonctionner en tant que membre du domaine.

Il ne faut donc pas considérer la procédure comme terminée avant cette étape.

15. Joindre le domaine avec PowerShell

PowerShell permet également de réaliser la jonction.

Exemple :

Add-Computer `
  -DomainName "entreprise.local" `
  -Credential (Get-Credential) `
  -Restart

Windows demande alors les identifiants du compte autorisé.

16. Choisir une OU avec PowerShell

Lorsqu’un emplacement Active Directory précis est prévu, PowerShell permet d’indiquer une OU.

Exemple :

Add-Computer `
  -DomainName "entreprise.local" `
  -OUPath "OU=Postes,OU=Informatique,DC=entreprise,DC=local" `
  -Credential (Get-Credential) `
  -Restart

Le chemin doit correspondre exactement à la structure Active Directory existante et l’utilisateur doit disposer des droits appropriés.

17. Où apparaît le poste dans Active Directory ?

Après la jonction, un objet ordinateur représentant le poste existe dans Active Directory.

Son emplacement dépend notamment :

• de la procédure de l’entreprise ;
• de l’utilisation d’une OU précisée lors de la jonction ;
• d’une éventuelle pré-création de l’objet ;
• de la configuration Active Directory.

Le poste doit ensuite être placé dans l’emplacement prévu par l’architecture.

18. Vérifier l’appartenance après redémarrage

Avec PowerShell :

Get-CimInstance Win32_ComputerSystem |
Select-Object Name, Domain, PartOfDomain

Exemple :

Name          Domain              PartOfDomain
----          ------              ------------
PC-COMPTA-07  entreprise.local    True

La valeur :

PartOfDomain : True

confirme que Windows considère la machine comme membre d’un domaine.

19. Ouvrir une session avec un compte du domaine

Après redémarrage, l’utilisateur peut ouvrir une session avec son identité Active Directory.

Par exemple :

ENTREPRISE\smartin

ou :

smartin@entreprise.local

selon les conventions et la configuration de l’organisation.

20. Vérifier l’identité réellement utilisée

Après ouverture de session :

whoami

peut retourner :

entreprise\smartin

C’est une vérification simple mais importante.

21. Vérifier le serveur d’ouverture de session

La variable suivante peut fournir une indication :

echo %LOGONSERVER%

Exemple :

\\DC01

Cette information peut être utile dans certaines situations de diagnostic.

22. Vérifier la relation sécurisée

Un poste membre du domaine entretient une relation sécurisée avec Active Directory.

PowerShell permet de la tester :

Test-ComputerSecureChannel

Un résultat :

True

indique que la relation testée est fonctionnelle.

Un résultat :

False

nécessite un diagnostic supplémentaire.

23. Qu’est-ce qu’une relation d’approbation cassée ?

Un utilisateur peut parfois rencontrer un message indiquant que la relation d’approbation entre le poste et le domaine a échoué.

Les causes peuvent notamment concerner :

• le compte ordinateur ;
• le canal sécurisé ;
• une restauration ou duplication incorrecte ;
• des modifications réalisées sur l’objet ordinateur ;
• un problème de communication avec Active Directory.

Il faut diagnostiquer avant de retirer immédiatement le poste du domaine.

24. Vérifier les GPO après la jonction

Une fois le poste membre du domaine, certaines stratégies peuvent s’appliquer.

La commande :

gpupdate /force

permet de demander une actualisation des stratégies.

Pour afficher des informations sur les stratégies appliquées :

gpresult /r

Nous approfondirons les GPO dans TIP 3.14.

25. Vérifier les ressources professionnelles

Après la jonction et l’ouverture de session, vérifie que l’utilisateur accède aux ressources nécessaires.

Par exemple :

\\SRV-FICHIERS\COMMUN

Tu peux également tester :

Test-NetConnection SRV-FICHIERS -Port 445

puis ouvrir le partage avec les droits de l’utilisateur.

26. Erreur : domaine introuvable

Lors de la jonction, Windows peut indiquer qu’il ne parvient pas à contacter le domaine.

Les premières vérifications concernent :

• la configuration IP ;
• le DNS ;
• la résolution du domaine ;
• la découverte du contrôleur ;
• le routage ;
• le pare-feu ;
• la disponibilité du contrôleur de domaine.

27. Erreur : identifiants refusés

Si le domaine est trouvé mais que les identifiants sont refusés, examine notamment :

• le nom du compte utilisé ;
• le mot de passe ;
• l’état du compte ;
• les droits permettant de joindre la machine ;
• les éventuelles politiques de sécurité.

Ne contourne pas le problème en utilisant automatiquement un compte hautement privilégié.

28. Erreur : nom de poste déjà utilisé

Un objet ordinateur portant le même nom peut déjà exister dans Active Directory.

Avant de le supprimer ou le réinitialiser, vérifie :

• s’il correspond à l’ancien poste ;
• s’il est encore utilisé ;
• son emplacement ;
• la procédure de remplacement des machines ;
• les droits et conséquences de l’opération.

Un objet portant le même nom n’est pas forcément un objet abandonné.

29. Erreur : heure incorrecte

Une heure très différente de celle du domaine peut perturber l’authentification.

Contrôle :

w32tm /query /status

et vérifie :

• l’heure ;
• la date ;
• le fuseau horaire.

30. Ne pas sortir/rejoindre le domaine comme premier réflexe

Face à un problème Active Directory, certains techniciens retirent immédiatement le poste du domaine puis le rejoignent à nouveau.

Ce n’est pas une bonne première méthode de diagnostic.

Avant cela, examine :

• DNS ;
• connectivité ;
• relation sécurisée ;
• objet ordinateur ;
• heure ;
• messages d’erreur.

Sortir un poste du domaine peut compliquer inutilement la situation.

31. Tester méthodiquement avant la jonction

Voici une séquence simple de commandes :

hostname

Get-NetIPConfiguration

Resolve-DnsName dc01.entreprise.local

Resolve-DnsName -Type SRV "_ldap._tcp.dc._msdcs.entreprise.local"

nltest /dsgetdc:entreprise.local

w32tm /query /status

Si ces contrôles sont cohérents, tu disposes déjà de plusieurs indicateurs favorables avant de tenter la jonction.

32. Cas pratique – Mauvais DNS

Le poste possède :

IPv4       : 192.168.10.52
Passerelle : 192.168.10.1
DNS        : 1.1.1.1

Le technicien tente de rejoindre :

entreprise.local

Windows indique que le domaine ne peut pas être contacté.

33. Cas pratique – Jonction réussie mais mauvais utilisateur

Le poste a rejoint le domaine.

Après redémarrage, le technicien ouvre une session avec :

PC-COMPTA-07\smartin

ENTREPRISE\smartin

34. Cas pratique – Relation d’approbation

Un poste membre du domaine affiche un message indiquant que la relation d’approbation avec le domaine a échoué.

Test-ComputerSecureChannel

35. TP – Joindre un poste Windows 11 au domaine

Get-CimInstance Win32_ComputerSystem |
Select-Object Name, Domain, PartOfDomain

Name         : PC-COMPTA-07
Domain       : entreprise.local
PartOfDomain : True

whoami

Test-ComputerSecureChannel

Quiz – Vérifie tes connaissances