TIP 4.6 – S’entraîner aux interventions réseau et Active Directory

Cette mise en situation mobilise les compétences du CCP 3 – Intervenir sur les éléments de l’infrastructure.

Vous allez devoir intervenir sur deux domaines étroitement liés :

• le réseau ;
• Active Directory.

L’objectif n’est pas d’exécuter une succession de commandes apprises par cœur.

Vous devez démontrer que vous savez analyser l’infrastructure, identifier une anomalie, effectuer une modification adaptée, puis contrôler le résultat.

1. Les deux compétences du CCP 3

2. La méthode de diagnostic

Pour éviter de modifier des paramètres au hasard, utilisez toujours la même progression :

Physique → IPv4 → DNS → services → domaine → identité → groupes → droits → ressource → validation.

3. Scénario de la mise en situation

4. Phase 1 – Vérifier le raccordement

Commencez par le niveau physique.

Vérifiez :

• le câble ;
• la prise ;
• le lien Ethernet ;
• l’état de l’interface ;
• le port utilisé sur le switch si vous y avez accès.

Sous Windows :

Get-NetAdapter

Résultat attendu :

Status : Up

5. Phase 2 – Contrôler IPv4

Utilisez :

Get-NetIPConfiguration

Vous obtenez :

IPv4       : 192.168.30.145
Préfixe    : /24
Passerelle : 192.168.30.1
DNS        : 192.168.1.1

192.168.30.10

6. Pourquoi DNS est-il essentiel à Active Directory ?

Active Directory utilise DNS pour permettre aux clients de localiser notamment :

• les contrôleurs de domaine ;
• les services LDAP ;
• les services Kerberos ;
• les différents services publiés dans le domaine.

7. Phase 3 – Tester la résolution DNS

Après correction du DNS :

Resolve-DnsName dc01.entreprise.local

Puis contrôlez les enregistrements permettant de localiser les contrôleurs de domaine :

Resolve-DnsName `
  -Type SRV `
  "_ldap._tcp.dc._msdcs.entreprise.local"

Enfin :

nltest /dsgetdc:entreprise.local

Le poste doit être capable de localiser un contrôleur de domaine.

8. Phase 4 – Tester les services réseau

Un simple ping ne suffit pas toujours.

Vous pouvez tester directement certains services.

LDAP

Test-NetConnection `
  DC01 `
  -Port 389

SMB

Test-NetConnection `
  SRV-FICHIERS `
  -Port 445

9. Vérifier l’heure du poste

Avant une intégration au domaine, vérifiez :

w32tm /query /status

Une dérive importante de l’heure peut perturber l’authentification Kerberos.

10. Phase 5 – Préparer le nom du poste

La convention de nommage impose :

PC-RH-08

Vérifiez :

hostname

Si nécessaire :

Rename-Computer `
  -NewName "PC-RH-08"

11. Phase 6 – Joindre le domaine

Le domaine est :

entreprise.local

En PowerShell :

Add-Computer `
  -DomainName "entreprise.local" `
  -Credential (Get-Credential) `
  -Restart

12. Phase 7 – Vérifier l’intégration

Après redémarrage :

Get-CimInstance Win32_ComputerSystem |
Select-Object Name,
              Domain,
              PartOfDomain

Résultat attendu :

Name         : PC-RH-08
Domain       : entreprise.local
PartOfDomain : True

Puis :

Test-ComputerSecureChannel

Résultat attendu :

True

13. Incident volontaire – Le poste est dans la mauvaise OU

Le poste est bien membre du domaine, mais une stratégie attendue ne s’applique pas.

Vous constatez que :

PC-RH-08

a été créé dans le conteneur par défaut au lieu de l’OU prévue pour les postes utilisateurs.

14. Phase 8 – Vérifier le compte utilisateur

Avant toute création :

Get-ADUser `
  -Filter 'SamAccountName -eq "emartin"'

Cette vérification permet notamment d’éviter de créer un doublon.

Le compte existe déjà mais est désactivé.

15. Réactiver le compte si la demande l’autorise

Après validation :

Enable-ADAccount `
  -Identity emartin

Vous pouvez ensuite vérifier :

Get-ADUser `
  -Identity emartin `
  -Properties Enabled,Department

16. Phase 9 – Vérifier les groupes

Le service RH utilise :

GG_RH

pour représenter l’appartenance métier.

Le groupe donnant le droit de modification sur le partage est :

GDL_RH_MODIF

L’architecture attendue est :

emartin → GG_RH → GDL_RH_MODIF → permission.

17. Vérifier les appartenances

Utilisez :

Get-ADPrincipalGroupMembership emartin |
Select-Object Name

Vous constatez que :

GG_RH

est absent.

Après validation de la demande :

Add-ADGroupMember `
  -Identity "GG_RH" `
  -Members "emartin"

18. Ne pas attribuer directement les permissions à l’utilisateur

Évitez :

emartin → permission NTFS directe

Préférez l’organisation prévue :

Compte → groupe métier → groupe d’accès → permission.

19. Phase 10 – Ouvrir une session utilisateur

Sur PC-RH-08 :

ENTREPRISE\emartin

Vérifiez :

whoami

Puis :

whoami /groups

20. Le groupe vient d’être ajouté mais n’apparaît pas

21. Phase 11 – Tester le partage réseau

Testez d’abord SMB :

Test-NetConnection `
  SRV-FICHIERS `
  -Port 445

Puis ouvrez :

\\SRV-FICHIERS\RH

L’utilisatrice doit pouvoir :

• ouvrir le dossier ;
• lire les fichiers ;
• créer un fichier si le droit Modification est prévu ;
• modifier le fichier ;
• supprimer son fichier test si cela correspond aux permissions prévues.

22. Incident volontaire – Accès toujours refusé

Le groupe apparaît correctement dans le jeton mais l’accès est toujours refusé.

Le serveur est accessible sur TCP 445.

Vous devez maintenant vérifier les permissions.

Sur le serveur :

Get-SmbShareAccess `
  -Name RH

Puis :

(Get-Acl "D:\Partages\RH").Access

23. Ne pas utiliser Everyone / Contrôle total pour tester

Une mauvaise méthode consisterait à attribuer temporairement :

Everyone : Full Control

pour voir si cela fonctionne.

Cette méthode :

• modifie la sécurité de la ressource ;
• peut ouvrir l’accès à des utilisateurs non autorisés ;
• masque le véritable problème ;
• ne respecte pas le principe du moindre privilège.

Diagnostiquez les groupes et permissions existants au lieu de contourner le modèle de sécurité.

24. Phase 12 – Vérifier les GPO

Le poste doit recevoir les stratégies liées à son OU.

Exécutez :

gpupdate /force

Puis :

gpresult /r

Si vous avez besoin de plus de détails :

gpresult /h C:\Temp\gpresult.html

25. Sécurisation Wi-Fi : ce qu’il faut savoir expliquer

Le référentiel mentionne explicitement la sécurisation des points d’accès Wi-Fi.

Vous devez notamment comprendre l’intérêt de :

• choisir un mode de sécurité adapté ;
• éviter les protocoles obsolètes ;
• utiliser une authentification conforme à la politique de l’organisation ;
• séparer les usages si nécessaire ;
• contrôler l’accès au réseau ;
• tester ensuite la connectivité.

La configuration exacte dépend de l’équipement et de la politique de l’organisation.

26. VPN : ce que le technicien doit valider

Le référentiel inclut également la configuration de la connexion VPN.

Après configuration, ne vous contentez pas de vérifier que le bouton indique « connecté ».

Validez également :

• l’authentification ;
• l’adresse obtenue si applicable ;
• l’accès aux ressources autorisées ;
• la résolution DNS interne si elle est nécessaire ;
• l’absence d’accès non prévu.

27. Présenter l’intervention au jury

Vous pourriez résumer votre intervention ainsi :

« J’ai commencé par vérifier le raccordement et la configuration IPv4 du poste. J’ai identifié un DNS incorrect, que j’ai corrigé avant de tester la résolution du contrôleur de domaine et les services nécessaires. Après validation du réseau, j’ai renommé le poste et l’ai intégré au domaine. J’ai ensuite contrôlé le compte de l’utilisatrice et constaté qu’il existait mais était désactivé. Après validation de la demande, je l’ai réactivé puis ajouté au groupe métier RH. J’ai ouvert une nouvelle session pour actualiser le jeton, vérifié les groupes et testé l’accès au partage. Enfin, j’ai contrôlé les stratégies appliquées avec gpresult et documenté l’intervention. »

28. Questions possibles du jury

Préparez-vous à répondre à :

• Pourquoi Active Directory dépend-il du DNS ?
• Pourquoi tester un port plutôt qu’un simple ping ?
• Pourquoi vérifier l’heure du poste ?
• Comment vérifiez-vous qu’un poste appartient au domaine ?
• À quoi sert Test-ComputerSecureChannel ?
• Pourquoi vérifier l’existence d’un compte avant d’en créer un ?
• Quelle est la différence entre une OU et un groupe de sécurité ?
• Pourquoi rouvrir la session après une modification de groupe ?
• Quelle est la différence entre permissions de partage et permissions NTFS ?
• Pourquoi ne pas mettre Everyone en Contrôle total ?
• À quoi sert gpresult ?
• Que vérifiez-vous après la configuration d’un VPN ?

29. Grille d’auto-évaluation

30. Quiz – Vérifier vos acquis

31. Correction du quiz