{"id":2733,"date":"2026-10-13T20:45:10","date_gmt":"2026-10-13T18:45:10","guid":{"rendered":"https:\/\/procyb.fr\/?p=2733"},"modified":"2026-10-15T13:45:41","modified_gmt":"2026-10-15T11:45:41","slug":"tip-3-12-gerer-groupes-unites-dorganisation-et-droits","status":"publish","type":"post","link":"https:\/\/procyb.fr\/index.php\/2026\/10\/13\/tip-3-12-gerer-groupes-unites-dorganisation-et-droits\/","title":{"rendered":"TIP 3.12 \u2013 G\u00e9rer groupes, unit\u00e9s d\u2019organisation et droits"},"content":{"rendered":"\n<div class=\"wp-block-group is-layout-constrained wp-block-group-is-layout-constrained\">\n<div class=\"wp-block-group is-nowrap is-layout-flex wp-container-core-group-is-layout-52274c9d wp-block-group-is-layout-flex\" style=\"margin-bottom:50px\">\n<p class=\"tip-badge has-border-color has-main-border-color has-dark-muted-color has-text-color has-link-color wp-elements-1 wp-block-paragraph\" style=\"border-width:1px;border-top-left-radius:6px;border-top-right-radius:6px;border-bottom-left-radius:6px;border-bottom-right-radius:6px;margin-top:0px;margin-right:6px;margin-bottom:0px;margin-left:6px;padding-top:6px;padding-right:12px;padding-bottom:6px;padding-left:12px\">Niveau : Interm\u00e9diaire<\/p>\n\n\n\n<p class=\"tip-badge wp-block-paragraph\" style=\"margin-top:0px;margin-right:6px;margin-bottom:0px;margin-left:6px\">Dur\u00e9e : 90 min<\/p>\n\n\n\n<p class=\"tip-badge wp-block-paragraph\" style=\"margin-top:0px;margin-right:6px;margin-bottom:0px;margin-left:6px\">Module : Infrastructure TIP<\/p>\n<\/div>\n<\/div>\n\n\n\n<p>Cr\u00e9er des comptes Active Directory ne suffit pas \u00e0 administrer correctement les acc\u00e8s.<\/p>\n\n<p>Dans une organisation, il faut \u00e9galement d\u00e9terminer :<\/p>\n\n<ul>\n<li>comment regrouper les utilisateurs ;<\/li>\n<li>comment organiser les objets dans l\u2019annuaire ;<\/li>\n<li>comment attribuer les permissions aux ressources ;<\/li>\n<li>comment conserver une administration compr\u00e9hensible et maintenable.<\/li>\n<\/ul>\n\n<p>Deux notions sont essentielles :<\/p>\n\n<p><strong>les groupes de s\u00e9curit\u00e9<\/strong>, utilis\u00e9s pour attribuer des droits ;<\/p>\n\n<p><strong>les unit\u00e9s d\u2019organisation<\/strong>, utilis\u00e9es pour organiser et administrer les objets Active Directory.<\/p>\n\n<div class=\"tip-objectifs\">\n\n<h3>\ud83c\udfaf Objectifs du cours<\/h3>\n\n<p>\u00c0 la fin de ce cours, tu devras \u00eatre capable de :<\/p>\n\n<ul>\n<li>distinguer groupe et unit\u00e9 d\u2019organisation ;<\/li>\n<li>comprendre le r\u00f4le d\u2019un groupe de s\u00e9curit\u00e9 ;<\/li>\n<li>distinguer groupe de s\u00e9curit\u00e9 et groupe de distribution ;<\/li>\n<li>comprendre les port\u00e9es Global, Domaine local et Universel ;<\/li>\n<li>comprendre la m\u00e9thode AGDLP ;<\/li>\n<li>ajouter et retirer des membres d\u2019un groupe ;<\/li>\n<li>identifier les groupes d\u2019un utilisateur ;<\/li>\n<li>cr\u00e9er et organiser des OU ;<\/li>\n<li>comprendre l\u2019int\u00e9r\u00eat de l\u2019h\u00e9ritage dans Active Directory ;<\/li>\n<li>comprendre la d\u00e9l\u00e9gation d\u2019administration ;<\/li>\n<li>attribuer des permissions \u00e0 une ressource avec des groupes ;<\/li>\n<li>\u00e9viter l\u2019attribution directe de droits aux utilisateurs ;<\/li>\n<li>appliquer le principe du moindre privil\u00e8ge ;<\/li>\n<li>documenter les modifications r\u00e9alis\u00e9es.<\/li>\n<\/ul>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>1. Groupe et OU : deux fonctions diff\u00e9rentes<\/h2>\n\n<p>Il est important de ne pas confondre ces deux objets.<\/p>\n\n<table>\n\n<thead>\n<tr>\n<th>Groupe<\/th>\n<th>Unit\u00e9 d\u2019organisation<\/th>\n<\/tr>\n<\/thead>\n\n<tbody>\n\n<tr>\n<td>Regroupe des utilisateurs ou ordinateurs<\/td>\n<td>Organise les objets dans l\u2019annuaire<\/td>\n<\/tr>\n\n<tr>\n<td>Peut servir \u00e0 attribuer des droits<\/td>\n<td>Peut recevoir des GPO<\/td>\n<\/tr>\n\n<tr>\n<td>Peut contenir d\u2019autres groupes selon les r\u00e8gles AD<\/td>\n<td>Peut contenir utilisateurs, ordinateurs, groupes et autres OU<\/td>\n<\/tr>\n\n<tr>\n<td>Utilis\u00e9 notamment pour les permissions<\/td>\n<td>Utilis\u00e9e notamment pour l\u2019administration et la d\u00e9l\u00e9gation<\/td>\n<\/tr>\n\n<\/tbody>\n\n<\/table>\n\n<hr class=\"tip-separator\">\n\n<!-- Illustration 1 : Groupe vs OU -->\n\n<div style=\"\nmargin:32px 0;\npadding:26px;\nbackground:linear-gradient(135deg,#071626,#102a42);\nborder:1px solid rgba(19,205,227,.4);\nborder-radius:14px;\noverflow:hidden;\n\">\n\n<svg viewBox=\"0 0 1200 500\"\n     width=\"100%\"\n     role=\"img\"\n     aria-label=\"Diff\u00e9rence entre un groupe de s\u00e9curit\u00e9 et une unit\u00e9 d'organisation Active Directory\"\n     xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n     style=\"display:block;max-width:1200px;margin:auto;\">\n\n<text x=\"600\" y=\"42\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"29\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nGROUPE DE S\u00c9CURIT\u00c9 OU UNIT\u00c9 D&rsquo;ORGANISATION ?\n<\/text>\n\n<rect x=\"400\" y=\"58\" width=\"400\" height=\"4\" rx=\"2\" fill=\"#f334a4\"\/>\n\n<!-- Groupe -->\n\n<rect x=\"65\" y=\"115\" width=\"490\" height=\"300\" rx=\"22\"\n      fill=\"#0d2439\"\n      stroke=\"#13cde3\"\n      stroke-width=\"4\"\/>\n\n<text x=\"310\" y=\"160\"\n      text-anchor=\"middle\"\n      fill=\"#13cde3\"\n      font-size=\"24\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nGROUPE DE S\u00c9CURIT\u00c9\n<\/text>\n\n<g fill=\"#13cde3\">\n\n<circle cx=\"210\" cy=\"235\" r=\"30\"\/>\n<circle cx=\"310\" cy=\"215\" r=\"30\"\/>\n<circle cx=\"410\" cy=\"235\" r=\"30\"\/>\n\n<path d=\"M160 330 Q210 265 260 330\"\/>\n<path d=\"M260 315 Q310 250 360 315\"\/>\n<path d=\"M360 330 Q410 265 460 330\"\/>\n\n<\/g>\n\n<text x=\"310\" y=\"375\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"18\"\n      font-family=\"Arial,sans-serif\">\nRegrouper des identit\u00e9s\n<\/text>\n\n<text x=\"310\" y=\"402\"\n      text-anchor=\"middle\"\n      fill=\"#9fdfff\"\n      font-size=\"16\"\n      font-family=\"Arial,sans-serif\">\nAttribuer des permissions\n<\/text>\n\n\n<!-- OU -->\n\n<rect x=\"645\" y=\"115\" width=\"490\" height=\"300\" rx=\"22\"\n      fill=\"#0d2439\"\n      stroke=\"#f334a4\"\n      stroke-width=\"4\"\/>\n\n<text x=\"890\" y=\"160\"\n      text-anchor=\"middle\"\n      fill=\"#f334a4\"\n      font-size=\"24\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nUNIT\u00c9 D&rsquo;ORGANISATION\n<\/text>\n\n<path d=\"M750 215\nH845\nL875 245\nH1020\nV330\nH750 Z\"\nfill=\"#112c46\"\nstroke=\"#f334a4\"\nstroke-width=\"4\"\/>\n\n<rect x=\"790\" y=\"265\" width=\"70\" height=\"42\" rx=\"7\"\n      fill=\"#13cde3\"\/>\n\n<circle cx=\"930\" cy=\"285\" r=\"24\"\n        fill=\"#13cde3\"\/>\n\n<text x=\"890\" y=\"375\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"18\"\n      font-family=\"Arial,sans-serif\">\nOrganiser l&rsquo;annuaire\n<\/text>\n\n<text x=\"890\" y=\"402\"\n      text-anchor=\"middle\"\n      fill=\"#f7a9d5\"\n      font-size=\"16\"\n      font-family=\"Arial,sans-serif\">\nGPO \u00b7 d\u00e9l\u00e9gation \u00b7 administration\n<\/text>\n\n<\/svg>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>2. Les groupes de s\u00e9curit\u00e9<\/h2>\n\n<p>Un <strong>groupe de s\u00e9curit\u00e9<\/strong> permet de rassembler plusieurs comptes ou groupes et peut \u00eatre utilis\u00e9 dans les listes de contr\u00f4le d\u2019acc\u00e8s.<\/p>\n\n<p>Par exemple :<\/p>\n\n<pre><code>GG_COMPTABILITE<\/code><\/pre>\n\n<p>peut contenir les utilisateurs du service Comptabilit\u00e9.<\/p>\n\n<p>Au lieu d\u2019attribuer une permission \u00e0 chaque utilisateur, on peut g\u00e9rer l\u2019acc\u00e8s par groupe.<\/p>\n\n<div class=\"tip-a-retenir\">\n\n<h3 style=\"color:#ffffff;\">\u2705 \u00c0 retenir<\/h3>\n\n<p>Les permissions doivent autant que possible \u00eatre attribu\u00e9es \u00e0 des <strong>groupes<\/strong>, pas directement \u00e0 une longue liste d\u2019utilisateurs.<\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>3. Groupe de s\u00e9curit\u00e9 et groupe de distribution<\/h2>\n\n<p>Active Directory distingue notamment :<\/p>\n\n<table>\n\n<thead>\n<tr>\n<th>Type<\/th>\n<th>Utilisation<\/th>\n<\/tr>\n<\/thead>\n\n<tbody>\n\n<tr>\n<td><strong>S\u00e9curit\u00e9<\/strong><\/td>\n<td>Peut servir \u00e0 attribuer des permissions<\/td>\n<\/tr>\n\n<tr>\n<td><strong>Distribution<\/strong><\/td>\n<td>Principalement destin\u00e9 \u00e0 des usages de messagerie ; pas utilis\u00e9 pour attribuer des droits de s\u00e9curit\u00e9 AD classiques<\/td>\n<\/tr>\n\n<\/tbody>\n\n<\/table>\n\n<p>Pour contr\u00f4ler l\u2019acc\u00e8s \u00e0 un partage r\u00e9seau, on utilise donc un <strong>groupe de s\u00e9curit\u00e9<\/strong>.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>4. Les port\u00e9es des groupes<\/h2>\n\n<p>Dans Active Directory, un groupe poss\u00e8de \u00e9galement une <strong>port\u00e9e<\/strong>.<\/p>\n\n<p>Les principales sont :<\/p>\n\n<ul>\n<li>Globale ;<\/li>\n<li>Domaine local ;<\/li>\n<li>Universelle.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<h2>5. Groupe global<\/h2>\n\n<p>Un groupe global est couramment utilis\u00e9 pour regrouper des utilisateurs partageant une caract\u00e9ristique ou un r\u00f4le.<\/p>\n\n<p>Exemples :<\/p>\n\n<pre><code>GG_COMPTABILITE\n\nGG_RH\n\nGG_INFORMATIQUE<\/code><\/pre>\n\n<p>On peut ainsi consid\u00e9rer le groupe comme une repr\u00e9sentation du <strong>m\u00e9tier ou du r\u00f4le<\/strong>.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>6. Groupe Domaine local<\/h2>\n\n<p>Un groupe de port\u00e9e <strong>Domaine local<\/strong> est particuli\u00e8rement adapt\u00e9 pour recevoir une permission sur une ressource situ\u00e9e dans le domaine o\u00f9 il existe.<\/p>\n\n<p>Exemples :<\/p>\n\n<pre><code>GDL_COMPTA_MODIF\n\nGDL_COMPTA_LECTURE\n\nGDL_RH_MODIF<\/code><\/pre>\n\n<p>Ces groupes repr\u00e9sentent davantage un <strong>niveau d\u2019acc\u00e8s \u00e0 une ressource<\/strong>.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>7. Groupe universel<\/h2>\n\n<p>Les groupes universels sont surtout utiles dans certaines architectures comportant plusieurs domaines.<\/p>\n\n<p>Ils permettent de regrouper des membres provenant de plusieurs domaines selon les r\u00e8gles Active Directory.<\/p>\n\n<p>Dans un environnement simple \u00e0 domaine unique, le technicien de proximit\u00e9 rencontre souvent principalement les groupes :<\/p>\n\n<p><strong>Global<\/strong> et <strong>Domaine local<\/strong>.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>8. La m\u00e9thode AGDLP<\/h2>\n\n<p>Une m\u00e9thode classique d\u2019organisation des acc\u00e8s est appel\u00e9e :<\/p>\n\n<p><strong>AGDLP<\/strong><\/p>\n\n<p>Elle signifie :<\/p>\n\n<table>\n\n<thead>\n<tr>\n<th>Lettre<\/th>\n<th>Signification<\/th>\n<\/tr>\n<\/thead>\n\n<tbody>\n\n<tr>\n<td>A<\/td>\n<td>Accounts \u2013 comptes utilisateurs<\/td>\n<\/tr>\n\n<tr>\n<td>G<\/td>\n<td>Global groups \u2013 groupes globaux<\/td>\n<\/tr>\n\n<tr>\n<td>DL<\/td>\n<td>Domain Local groups \u2013 groupes Domaine local<\/td>\n<\/tr>\n\n<tr>\n<td>P<\/td>\n<td>Permissions \u2013 droits sur la ressource<\/td>\n<\/tr>\n\n<\/tbody>\n\n<\/table>\n\n<hr class=\"tip-separator\">\n\n<!-- Illustration 2 : AGDLP -->\n\n<div style=\"\nmargin:32px 0;\npadding:26px;\nbackground:linear-gradient(135deg,#071626,#102a42);\nborder:1px solid rgba(243,52,164,.4);\nborder-radius:14px;\noverflow:hidden;\n\">\n\n<svg viewBox=\"0 0 1200 480\"\n     width=\"100%\"\n     role=\"img\"\n     aria-label=\"Illustration de la m\u00e9thode AGDLP dans Active Directory\"\n     xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n     style=\"display:block;max-width:1200px;margin:auto;\">\n\n<defs>\n<marker id=\"arrow312\"\n        markerWidth=\"10\"\n        markerHeight=\"10\"\n        refX=\"9\"\n        refY=\"5\"\n        orient=\"auto\">\n<path d=\"M0,0 L10,5 L0,10 Z\" fill=\"#13cde3\"\/>\n<\/marker>\n<\/defs>\n\n<text x=\"600\" y=\"42\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"30\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nAGDLP : ORGANISER LES DROITS PROPREMENT\n<\/text>\n\n<rect x=\"405\" y=\"58\" width=\"390\" height=\"4\" rx=\"2\" fill=\"#f334a4\"\/>\n\n<!-- Account -->\n\n<rect x=\"55\" y=\"150\" width=\"220\" height=\"150\" rx=\"18\"\n      fill=\"#112c46\"\n      stroke=\"#13cde3\"\n      stroke-width=\"4\"\/>\n\n<circle cx=\"165\" cy=\"195\" r=\"30\"\n        fill=\"#13cde3\"\/>\n\n<path d=\"M105 270 Q165 205 225 270\"\n      fill=\"#13cde3\"\/>\n\n<text x=\"165\" y=\"330\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nA \u00b7 UTILISATEUR\n<\/text>\n\n<!-- Global -->\n\n<rect x=\"335\" y=\"150\" width=\"220\" height=\"150\" rx=\"18\"\n      fill=\"#112c46\"\n      stroke=\"#13cde3\"\n      stroke-width=\"4\"\/>\n\n<text x=\"445\" y=\"200\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"19\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nGROUPE GLOBAL\n<\/text>\n\n<text x=\"445\" y=\"240\"\n      text-anchor=\"middle\"\n      fill=\"#13cde3\"\n      font-size=\"17\"\n      font-family=\"monospace\">\nGG_COMPTABILITE\n<\/text>\n\n<text x=\"445\" y=\"330\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nG \u00b7 M\u00c9TIER\n<\/text>\n\n<!-- Domain Local -->\n\n<rect x=\"615\" y=\"150\" width=\"250\" height=\"150\" rx=\"18\"\n      fill=\"#112c46\"\n      stroke=\"#f334a4\"\n      stroke-width=\"4\"\/>\n\n<text x=\"740\" y=\"200\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"19\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nGROUPE DOMAINE LOCAL\n<\/text>\n\n<text x=\"740\" y=\"240\"\n      text-anchor=\"middle\"\n      fill=\"#f7a9d5\"\n      font-size=\"16\"\n      font-family=\"monospace\">\nGDL_COMPTA_MODIF\n<\/text>\n\n<text x=\"740\" y=\"330\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nDL \u00b7 ACC\u00c8S\n<\/text>\n\n<!-- Permission -->\n\n<rect x=\"925\" y=\"150\" width=\"220\" height=\"150\" rx=\"18\"\n      fill=\"#102a42\"\n      stroke=\"#2edb7b\"\n      stroke-width=\"4\"\/>\n\n<path d=\"M985 205\nH1035\nL1055 225\nH1100\nV265\nH985 Z\"\nfill=\"#2edb7b\"\/>\n\n<text x=\"1035\" y=\"330\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nP \u00b7 MODIFICATION\n<\/text>\n\n<!-- arrows -->\n\n<line x1=\"275\" y1=\"225\" x2=\"330\" y2=\"225\"\n      stroke=\"#13cde3\"\n      stroke-width=\"5\"\n      marker-end=\"url(#arrow312)\"\/>\n\n<line x1=\"555\" y1=\"225\" x2=\"610\" y2=\"225\"\n      stroke=\"#13cde3\"\n      stroke-width=\"5\"\n      marker-end=\"url(#arrow312)\"\/>\n\n<line x1=\"865\" y1=\"225\" x2=\"920\" y2=\"225\"\n      stroke=\"#13cde3\"\n      stroke-width=\"5\"\n      marker-end=\"url(#arrow312)\"\/>\n\n<text x=\"600\" y=\"410\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"18\"\n      font-family=\"Arial,sans-serif\">\nUtilisateur \u2192 groupe m\u00e9tier \u2192 groupe d&rsquo;acc\u00e8s \u2192 permission sur la ressource\n<\/text>\n\n<\/svg>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>9. Exemple concret AGDLP<\/h2>\n\n<p>Sophie travaille en Comptabilit\u00e9.<\/p>\n\n<p>Son compte est :<\/p>\n\n<pre><code>smartin<\/code><\/pre>\n\n<p>Elle est ajout\u00e9e au groupe :<\/p>\n\n<pre><code>GG_COMPTABILITE<\/code><\/pre>\n\n<p>Le groupe global est lui-m\u00eame membre de :<\/p>\n\n<pre><code>GDL_COMPTA_MODIF<\/code><\/pre>\n\n<p>Ce dernier re\u00e7oit la permission :<\/p>\n\n<pre><code>Modification<\/code><\/pre>\n\n<p>sur :<\/p>\n\n<pre><code>D:\\Partages\\Comptabilite<\/code><\/pre>\n\n<p>Le droit n\u2019est donc pas attribu\u00e9 directement \u00e0 Sophie.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>10. Pourquoi cette m\u00e9thode est-elle utile ?<\/h2>\n\n<p>Imaginons que Sophie change de service.<\/p>\n\n<p>Avec une structure correcte, il suffit principalement de modifier son appartenance aux groupes m\u00e9tier appropri\u00e9s.<\/p>\n\n<p>Il n\u2019est pas n\u00e9cessaire de rechercher son compte dans toutes les ACL de tous les serveurs.<\/p>\n\n<p>Cela facilite :<\/p>\n\n<ul>\n<li>l\u2019administration ;<\/li>\n<li>les audits ;<\/li>\n<li>les changements de poste ;<\/li>\n<li>les d\u00e9parts ;<\/li>\n<li>la compr\u00e9hension des droits.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<h2>11. Cr\u00e9er un groupe avec l\u2019interface graphique<\/h2>\n\n<p>Depuis :<\/p>\n\n<pre><code>dsa.msc<\/code><\/pre>\n\n<p>on peut cr\u00e9er un groupe dans l\u2019OU pr\u00e9vue.<\/p>\n\n<p>Il faut notamment choisir :<\/p>\n\n<ul>\n<li>son nom ;<\/li>\n<li>sa port\u00e9e ;<\/li>\n<li>son type.<\/li>\n<\/ul>\n\n<p>Pour un groupe m\u00e9tier dans un domaine simple :<\/p>\n\n<pre><code>Nom : GG_COMPTABILITE\n\nPort\u00e9e : Globale\n\nType : S\u00e9curit\u00e9<\/code><\/pre>\n\n<hr class=\"tip-separator\">\n\n<h2>12. Cr\u00e9er un groupe global avec PowerShell<\/h2>\n\n<pre><code>New-ADGroup `\n  -Name \"GG_COMPTABILITE\" `\n  -SamAccountName \"GG_COMPTABILITE\" `\n  -GroupCategory Security `\n  -GroupScope Global `\n  -Path \"OU=Groupes,DC=entreprise,DC=local\"<\/code><\/pre>\n\n<p>Il faut \u00e9videmment adapter le chemin \u00e0 la structure r\u00e9elle de l\u2019annuaire.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>13. Cr\u00e9er un groupe Domaine local<\/h2>\n\n<pre><code>New-ADGroup `\n  -Name \"GDL_COMPTA_MODIF\" `\n  -SamAccountName \"GDL_COMPTA_MODIF\" `\n  -GroupCategory Security `\n  -GroupScope DomainLocal `\n  -Path \"OU=Groupes,DC=entreprise,DC=local\"<\/code><\/pre>\n\n<p>Ce groupe peut ensuite recevoir la permission sur la ressource Comptabilit\u00e9.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>14. Ajouter un utilisateur \u00e0 un groupe<\/h2>\n\n<p>Avec PowerShell :<\/p>\n\n<pre><code>Add-ADGroupMember `\n  -Identity \"GG_COMPTABILITE\" `\n  -Members \"smartin\"<\/code><\/pre>\n\n<p>Cette op\u00e9ration doit correspondre \u00e0 une demande autoris\u00e9e.<\/p>\n\n<div class=\"tip-reflexe\">\n\n<strong>\ud83d\udd10 Attention<\/strong>\n\n<p>Ajouter un utilisateur \u00e0 un groupe peut lui donner imm\u00e9diatement ou lors de sa prochaine prise en compte des droits importants sur des ressources.<\/p>\n\n<p>Une appartenance \u00e0 un groupe est donc une op\u00e9ration de s\u00e9curit\u00e9.<\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>15. Ajouter un groupe dans un autre groupe<\/h2>\n\n<p>Dans la logique AGDLP :<\/p>\n\n<pre><code>Add-ADGroupMember `\n  -Identity \"GDL_COMPTA_MODIF\" `\n  -Members \"GG_COMPTABILITE\"<\/code><\/pre>\n\n<p>Le groupe m\u00e9tier devient ainsi membre du groupe repr\u00e9sentant le niveau d\u2019acc\u00e8s.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>16. Retirer un membre<\/h2>\n\n<pre><code>Remove-ADGroupMember `\n  -Identity \"GG_COMPTABILITE\" `\n  -Members \"smartin\"<\/code><\/pre>\n\n<p>PowerShell demande normalement une confirmation.<\/p>\n\n<p>Pour automatiser certaines op\u00e9rations ma\u00eetris\u00e9es :<\/p>\n\n<pre><code>-Confirm:$false<\/code><\/pre>\n\n<p>peut \u00eatre utilis\u00e9 avec prudence.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>17. Afficher les membres d\u2019un groupe<\/h2>\n\n<pre><code>Get-ADGroupMember `\n  -Identity \"GG_COMPTABILITE\"<\/code><\/pre>\n\n<p>Pour obtenir uniquement certaines informations :<\/p>\n\n<pre><code>Get-ADGroupMember \"GG_COMPTABILITE\" |\nSelect-Object Name,\n              SamAccountName,\n              ObjectClass<\/code><\/pre>\n\n<hr class=\"tip-separator\">\n\n<h2>18. Conna\u00eetre les groupes d\u2019un utilisateur<\/h2>\n\n<p>PowerShell fournit :<\/p>\n\n<pre><code>Get-ADPrincipalGroupMembership smartin<\/code><\/pre>\n\n<p>Par exemple :<\/p>\n\n<pre><code>Get-ADPrincipalGroupMembership smartin |\nSelect-Object Name<\/code><\/pre>\n\n<p>C\u2019est particuli\u00e8rement utile lorsqu\u2019un utilisateur signale un probl\u00e8me d\u2019acc\u00e8s.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>19. Attention aux appartenances imbriqu\u00e9es<\/h2>\n\n<p>Un utilisateur peut recevoir un droit indirectement.<\/p>\n\n<p>Par exemple :<\/p>\n\n<p>Sophie est membre de <code>GG_COMPTABILITE<\/code>, lui-m\u00eame membre de <code>GDL_COMPTA_MODIF<\/code>.<\/p>\n\n<p>Une lecture rapide des groupes directement affect\u00e9s \u00e0 Sophie peut donc ne pas suffire pour comprendre tous ses acc\u00e8s.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>20. Qu\u2019est-ce qu\u2019une OU ?<\/h2>\n\n<p>Une <strong>Organizational Unit<\/strong> est un conteneur logique Active Directory.<\/p>\n\n<p>Elle sert principalement \u00e0 organiser l\u2019annuaire.<\/p>\n\n<p>Une organisation pourrait utiliser :<\/p>\n\n<ul>\n<li>OU Utilisateurs ;<\/li>\n<li>OU Ordinateurs ;<\/li>\n<li>OU Serveurs ;<\/li>\n<li>OU Groupes ;<\/li>\n<li>des sous-OU par service ou type d\u2019\u00e9quipement.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<!-- Illustration 3 : organisation par OU -->\n\n<div style=\"\nmargin:32px 0;\npadding:25px;\nbackground:linear-gradient(135deg,#071626,#102a42);\nborder:1px solid rgba(19,205,227,.35);\nborder-radius:14px;\noverflow:hidden;\n\">\n\n<svg viewBox=\"0 0 1200 540\"\n     width=\"100%\"\n     role=\"img\"\n     aria-label=\"Illustration d'une organisation Active Directory avec unit\u00e9s d'organisation\"\n     xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n     style=\"display:block;max-width:1200px;margin:auto;\">\n\n<text x=\"600\" y=\"42\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"29\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nORGANISER ACTIVE DIRECTORY AVEC LES OU\n<\/text>\n\n<rect x=\"415\" y=\"58\" width=\"370\" height=\"4\" rx=\"2\" fill=\"#f334a4\"\/>\n\n<!-- domaine -->\n\n<rect x=\"430\" y=\"95\" width=\"340\" height=\"70\" rx=\"16\"\n      fill=\"#112c46\"\n      stroke=\"#f334a4\"\n      stroke-width=\"4\"\/>\n\n<text x=\"600\" y=\"138\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"21\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nentreprise.local\n<\/text>\n\n<!-- lignes -->\n\n<line x1=\"600\" y1=\"165\" x2=\"600\" y2=\"215\"\n      stroke=\"#13cde3\" stroke-width=\"4\"\/>\n\n<line x1=\"185\" y1=\"215\" x2=\"1015\" y2=\"215\"\n      stroke=\"#13cde3\" stroke-width=\"4\"\/>\n\n<g stroke=\"#13cde3\" stroke-width=\"4\">\n<line x1=\"185\" y1=\"215\" x2=\"185\" y2=\"255\"\/>\n<line x1=\"460\" y1=\"215\" x2=\"460\" y2=\"255\"\/>\n<line x1=\"740\" y1=\"215\" x2=\"740\" y2=\"255\"\/>\n<line x1=\"1015\" y1=\"215\" x2=\"1015\" y2=\"255\"\/>\n<\/g>\n\n<!-- OU cards -->\n\n<g font-family=\"Arial,sans-serif\" text-anchor=\"middle\">\n\n<rect x=\"65\" y=\"255\" width=\"240\" height=\"110\" rx=\"16\"\n      fill=\"#102a42\" stroke=\"#13cde3\" stroke-width=\"3\"\/>\n\n<text x=\"185\" y=\"300\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\">UTILISATEURS<\/text>\n\n<text x=\"185\" y=\"333\"\n      fill=\"#9fdfff\"\n      font-size=\"15\">Comptabilit\u00e9 \u00b7 RH \u00b7 IT<\/text>\n\n\n<rect x=\"340\" y=\"255\" width=\"240\" height=\"110\" rx=\"16\"\n      fill=\"#102a42\" stroke=\"#13cde3\" stroke-width=\"3\"\/>\n\n<text x=\"460\" y=\"300\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\">ORDINATEURS<\/text>\n\n<text x=\"460\" y=\"333\"\n      fill=\"#9fdfff\"\n      font-size=\"15\">Postes \u00b7 Portables<\/text>\n\n\n<rect x=\"620\" y=\"255\" width=\"240\" height=\"110\" rx=\"16\"\n      fill=\"#102a42\" stroke=\"#f334a4\" stroke-width=\"3\"\/>\n\n<text x=\"740\" y=\"300\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\">SERVEURS<\/text>\n\n<text x=\"740\" y=\"333\"\n      fill=\"#f7a9d5\"\n      font-size=\"15\">Fichiers \u00b7 Applications<\/text>\n\n\n<rect x=\"895\" y=\"255\" width=\"240\" height=\"110\" rx=\"16\"\n      fill=\"#102a42\" stroke=\"#f334a4\" stroke-width=\"3\"\/>\n\n<text x=\"1015\" y=\"300\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\">GROUPES<\/text>\n\n<text x=\"1015\" y=\"333\"\n      fill=\"#f7a9d5\"\n      font-size=\"15\">M\u00e9tiers \u00b7 Acc\u00e8s<\/text>\n\n<\/g>\n\n<!-- b\u00e9n\u00e9fices -->\n\n<rect x=\"285\" y=\"420\" width=\"630\" height=\"70\" rx=\"35\"\n      fill=\"#0e2740\"\n      stroke=\"#2edb7b\"\n      stroke-width=\"3\"\/>\n\n<text x=\"600\" y=\"450\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"18\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nOrganisation \u00b7 GPO \u00b7 d\u00e9l\u00e9gation\n<\/text>\n\n<text x=\"600\" y=\"476\"\n      text-anchor=\"middle\"\n      fill=\"#b9fbd6\"\n      font-size=\"15\"\n      font-family=\"Arial,sans-serif\">\nUne OU structure l&rsquo;annuaire ; elle n&rsquo;attribue pas \u00e0 elle seule une permission sur un partage.\n<\/text>\n\n<\/svg>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>21. Une OU n\u2019est pas un groupe de s\u00e9curit\u00e9<\/h2>\n\n<p>Placer Sophie dans une OU appel\u00e9e :<\/p>\n\n<pre><code>Comptabilite<\/code><\/pre>\n\n<p>ne lui donne pas automatiquement acc\u00e8s au partage :<\/p>\n\n<pre><code>\\\\SRV-FICHIERS\\COMPTABILITE<\/code><\/pre>\n\n<p>Pour cela, on utilise les m\u00e9canismes d\u2019autorisation appropri\u00e9s, g\u00e9n\u00e9ralement bas\u00e9s sur des groupes de s\u00e9curit\u00e9.<\/p>\n\n<div class=\"tip-a-retenir\">\n\n<h3 style=\"color:#ffffff;\">\u2705 \u00c0 retenir<\/h3>\n\n<p><strong>OU = organisation et administration.<\/strong><\/p>\n\n<p><strong>Groupe de s\u00e9curit\u00e9 = appartenance et attribution de permissions.<\/strong><\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>22. Cr\u00e9er une OU avec PowerShell<\/h2>\n\n<pre><code>New-ADOrganizationalUnit `\n  -Name \"Comptabilite\" `\n  -Path \"OU=Utilisateurs,DC=entreprise,DC=local\"<\/code><\/pre>\n\n<p>On peut v\u00e9rifier les OU avec :<\/p>\n\n<pre><code>Get-ADOrganizationalUnit -Filter *<\/code><\/pre>\n\n<hr class=\"tip-separator\">\n\n<h2>23. D\u00e9placer un utilisateur dans une OU<\/h2>\n\n<p>Un objet peut \u00eatre d\u00e9plac\u00e9 lorsque l\u2019organisation \u00e9volue.<\/p>\n\n<p>Il faut d\u2019abord obtenir son Distinguished Name :<\/p>\n\n<pre><code>Get-ADUser smartin |\nSelect-Object DistinguishedName<\/code><\/pre>\n\n<p>Puis, si la proc\u00e9dure le pr\u00e9voit :<\/p>\n\n<pre><code>Move-ADObject `\n  -Identity \"CN=Sophie Martin,OU=Comptabilite,OU=Utilisateurs,DC=entreprise,DC=local\" `\n  -TargetPath \"OU=Finances,OU=Utilisateurs,DC=entreprise,DC=local\"<\/code><\/pre>\n\n<hr class=\"tip-separator\">\n\n<h2>24. D\u00e9placer un objet peut avoir des cons\u00e9quences<\/h2>\n\n<p>Une OU peut \u00eatre concern\u00e9e par :<\/p>\n\n<ul>\n<li>des GPO ;<\/li>\n<li>des d\u00e9l\u00e9gations ;<\/li>\n<li>des scripts ;<\/li>\n<li>des outils d\u2019administration ;<\/li>\n<li>des processus automatis\u00e9s.<\/li>\n<\/ul>\n\n<p>D\u00e9placer un utilisateur ou un ordinateur n\u2019est donc pas une simple op\u00e9ration esth\u00e9tique.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>25. La d\u00e9l\u00e9gation d\u2019administration<\/h2>\n\n<p>Active Directory permet de d\u00e9l\u00e9guer certaines op\u00e9rations sur une OU \u00e0 une \u00e9quipe sans lui donner tous les droits du domaine.<\/p>\n\n<p>Par exemple, le support peut \u00eatre autoris\u00e9 \u00e0 :<\/p>\n\n<ul>\n<li>r\u00e9initialiser des mots de passe ;<\/li>\n<li>d\u00e9verrouiller des comptes ;<\/li>\n<li>cr\u00e9er certains utilisateurs ;<\/li>\n<li>joindre ou g\u00e9rer certains postes.<\/li>\n<\/ul>\n\n<p>sans devenir administrateur du domaine.<\/p>\n\n<div class=\"tip-reflexe\">\n\n<strong>\ud83d\udd10 Principe de s\u00e9curit\u00e9<\/strong>\n\n<p>La d\u00e9l\u00e9gation permet d\u2019appliquer le <strong>moindre privil\u00e8ge<\/strong> aux t\u00e2ches d\u2019administration.<\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>26. Retour aux droits sur les fichiers<\/h2>\n\n<p>Dans TIP 3.8, nous avons vu les permissions NTFS et de partage.<\/p>\n\n<p>Une architecture correcte peut par exemple utiliser :<\/p>\n\n<table>\n\n<thead>\n<tr>\n<th>Groupe<\/th>\n<th>Droit NTFS<\/th>\n<\/tr>\n<\/thead>\n\n<tbody>\n\n<tr>\n<td>GDL_COMPTA_LECTURE<\/td>\n<td>Lecture<\/td>\n<\/tr>\n\n<tr>\n<td>GDL_COMPTA_MODIF<\/td>\n<td>Modification<\/td>\n<\/tr>\n\n<\/tbody>\n\n<\/table>\n\n<p>On attribue ces permissions aux groupes repr\u00e9sentant les niveaux d\u2019acc\u00e8s.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>27. Exemple de changement de service<\/h2>\n\n<p>Sophie quitte Comptabilit\u00e9 et rejoint les Finances.<\/p>\n\n<p>Une proc\u00e9dure correcte peut pr\u00e9voir :<\/p>\n\n<ol>\n<li>validation de la demande ;<\/li>\n<li>retrait de Sophie des groupes Comptabilit\u00e9 devenus inutiles ;<\/li>\n<li>ajout aux groupes Finances requis ;<\/li>\n<li>d\u00e9placement dans l\u2019OU appropri\u00e9e si l\u2019architecture le n\u00e9cessite ;<\/li>\n<li>contr\u00f4le des acc\u00e8s ;<\/li>\n<li>documentation.<\/li>\n<\/ol>\n\n<p>Il ne faut pas conserver ses anciens acc\u00e8s \u00ab au cas o\u00f9 \u00bb sans justification.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>28. Le principe du moindre privil\u00e8ge<\/h2>\n\n<p>Un utilisateur ne doit appartenir qu\u2019aux groupes n\u00e9cessaires \u00e0 ses missions.<\/p>\n\n<p>Exemple :<\/p>\n\n<p>Un utilisateur devant uniquement consulter les documents Comptabilit\u00e9 doit \u00eatre orient\u00e9 vers un groupe de <strong>Lecture<\/strong>, pas automatiquement vers le groupe de <strong>Modification<\/strong>.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>29. Groupes administratifs sensibles<\/h2>\n\n<p>Certains groupes Active Directory accordent des privil\u00e8ges importants.<\/p>\n\n<p>Par exemple :<\/p>\n\n<pre><code>Domain Admins<\/code><\/pre>\n\n<p>L\u2019appartenance \u00e0 ces groupes doit \u00eatre strictement contr\u00f4l\u00e9e.<\/p>\n\n<p>Un utilisateur ne doit jamais \u00eatre ajout\u00e9 \u00e0 un groupe administratif simplement pour r\u00e9soudre un probl\u00e8me de droits sur un dossier.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>30. V\u00e9rifier avant de modifier<\/h2>\n\n<p>Lorsqu\u2019un utilisateur indique :<\/p>\n\n<p><strong>\u00ab Je n\u2019ai pas acc\u00e8s au dossier \u00bb<\/strong>, commence par comprendre l\u2019existant.<\/p>\n\n<p>V\u00e9rifie :<\/p>\n\n<ul>\n<li>le compte utilis\u00e9 ;<\/li>\n<li>les groupes de l\u2019utilisateur ;<\/li>\n<li>la structure d\u2019imbrication ;<\/li>\n<li>les permissions du partage ;<\/li>\n<li>les permissions NTFS ;<\/li>\n<li>les droits r\u00e9ellement n\u00e9cessaires.<\/li>\n<\/ul>\n\n<p>Ne l\u2019ajoute pas imm\u00e9diatement \u00e0 plusieurs groupes \u00ab pour tester \u00bb.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>31. Les changements de groupes et la session utilisateur<\/h2>\n\n<p>Lorsqu\u2019une appartenance \u00e0 un groupe change, le nouvel acc\u00e8s n\u2019est pas toujours visible instantan\u00e9ment dans une session d\u00e9j\u00e0 ouverte.<\/p>\n\n<p>Le jeton de s\u00e9curit\u00e9 de l\u2019utilisateur est notamment construit lors de son authentification.<\/p>\n\n<p>Selon le contexte, une nouvelle ouverture de session peut donc \u00eatre n\u00e9cessaire pour prendre en compte certains changements.<\/p>\n\n<div class=\"tip-reflexe\">\n\n<strong>\ud83d\udca1 R\u00e9flexe technicien<\/strong>\n\n<p>Apr\u00e8s avoir corrig\u00e9 une appartenance \u00e0 un groupe, v\u00e9rifie le r\u00e9sultat dans une session adapt\u00e9e avant de conclure que la modification ne fonctionne pas.<\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>32. V\u00e9rifier les groupes dans la session<\/h2>\n\n<p>Windows permet d\u2019afficher les groupes pr\u00e9sents dans le jeton de s\u00e9curit\u00e9 de la session avec :<\/p>\n\n<pre><code>whoami \/groups<\/code><\/pre>\n\n<p>Cette commande compl\u00e8te utilement les informations r\u00e9cup\u00e9r\u00e9es directement dans Active Directory.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>33. Cas pratique \u2013 Mauvais usage d\u2019une OU<\/h2>\n\n<p>Sophie est d\u00e9plac\u00e9e dans :<\/p>\n\n<pre><code>OU=Comptabilite<\/code><\/pre>\n\n<p>mais elle n\u2019acc\u00e8de toujours pas au dossier Comptabilit\u00e9.<\/p>\n\n<div class=\"tip-question\">\n\n<p><strong>Le d\u00e9placement dans l\u2019OU devait-il lui donner automatiquement le droit ?<\/strong><\/p>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Afficher la r\u00e9ponse<\/summary>\n\n<p><strong>Non.<\/strong><\/p>\n\n<p>L\u2019OU organise l\u2019objet et peut influencer notamment les GPO et la d\u00e9l\u00e9gation.<\/p>\n\n<p>Les permissions d\u2019acc\u00e8s au dossier doivent \u00eatre g\u00e9r\u00e9es avec les groupes de s\u00e9curit\u00e9 et les ACL pr\u00e9vues.<\/p>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<h2>34. Cas pratique \u2013 Droit attribu\u00e9 directement<\/h2>\n\n<p>Le dossier Comptabilit\u00e9 contient dans son ACL :<\/p>\n\n<pre><code>Sophie Martin : Modification<\/code><\/pre>\n\n<p>ainsi que plusieurs dizaines d\u2019autres utilisateurs ajout\u00e9s individuellement.<\/p>\n\n<div class=\"tip-question\">\n\n<p><strong>Est-ce une bonne architecture ?<\/strong><\/p>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Afficher la r\u00e9ponse<\/summary>\n\n<p>Ce fonctionnement peut techniquement donner acc\u00e8s, mais il devient difficile \u00e0 maintenir.<\/p>\n\n<p>Une architecture utilisant des groupes de s\u00e9curit\u00e9 correspondant aux r\u00f4les et niveaux d\u2019acc\u00e8s est g\u00e9n\u00e9ralement beaucoup plus propre.<\/p>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<h2>35. Cas pratique \u2013 Utilisateur change de service<\/h2>\n\n<p>Sophie appartient \u00e0 :<\/p>\n\n<pre><code>GG_COMPTABILITE<\/code><\/pre>\n\n<p>Elle rejoint maintenant les Finances.<\/p>\n\n<div class=\"tip-question\">\n\n<p><strong>Quelle d\u00e9marche appliquer ?<\/strong><\/p>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Afficher la r\u00e9ponse<\/summary>\n\n<p>Apr\u00e8s validation de la demande :<\/p>\n\n<ul>\n<li>identifier les acc\u00e8s Comptabilit\u00e9 devenus inutiles ;<\/li>\n<li>retirer les appartenances concern\u00e9es ;<\/li>\n<li>ajouter les groupes Finances n\u00e9cessaires ;<\/li>\n<li>modifier l\u2019OU si l\u2019organisation le pr\u00e9voit ;<\/li>\n<li>tester les nouveaux acc\u00e8s ;<\/li>\n<li>v\u00e9rifier que les anciens acc\u00e8s ont disparu ;<\/li>\n<li>documenter l\u2019intervention.<\/li>\n<\/ul>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<h2>36. TP \u2013 Mettre en place les acc\u00e8s Comptabilit\u00e9<\/h2>\n\n<div class=\"tip-tp\">\n\n<p>Dans ton laboratoire Active Directory, tu disposes de :<\/p>\n\n<ul>\n<li>Sophie Martin \u2013 smartin ;<\/li>\n<li>Claire Durand \u2013 cdurand ;<\/li>\n<li>Paul Dupont \u2013 pdupont.<\/li>\n<\/ul>\n\n<p>Sophie et Paul travaillent en Comptabilit\u00e9.<\/p>\n\n<p>Claire travaille aux Ressources humaines.<\/p>\n\n<p>Le partage :<\/p>\n\n<pre><code>\\\\SRV-FICHIERS\\COMPTABILITE<\/code><\/pre>\n\n<p>doit permettre aux membres du service Comptabilit\u00e9 de modifier les documents.<\/p>\n\n<p><strong>Travail demand\u00e9 :<\/strong><\/p>\n\n<ol>\n<li>Cr\u00e9er le groupe global GG_COMPTABILITE.<\/li>\n<li>Ajouter Sophie et Paul au groupe.<\/li>\n<li>Cr\u00e9er le groupe Domaine local GDL_COMPTA_MODIF.<\/li>\n<li>Ajouter GG_COMPTABILITE dans GDL_COMPTA_MODIF.<\/li>\n<li>Attribuer la permission Modification \u00e0 GDL_COMPTA_MODIF sur la ressource selon la proc\u00e9dure du laboratoire.<\/li>\n<li>V\u00e9rifier que Claire n\u2019est pas membre du groupe Comptabilit\u00e9.<\/li>\n<li>Tester l\u2019acc\u00e8s avec Sophie.<\/li>\n<li>V\u00e9rifier les groupes visibles dans sa session.<\/li>\n<li>Tester qu\u2019un utilisateur non autoris\u00e9 ne b\u00e9n\u00e9ficie pas du m\u00eame acc\u00e8s.<\/li>\n<li>Documenter la structure mise en place.<\/li>\n<\/ol>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Corrig\u00e9 du TP<\/summary>\n\n<p>Cr\u00e9ation du groupe m\u00e9tier :<\/p>\n\n<pre><code>New-ADGroup `\n  -Name \"GG_COMPTABILITE\" `\n  -SamAccountName \"GG_COMPTABILITE\" `\n  -GroupCategory Security `\n  -GroupScope Global `\n  -Path \"OU=Groupes,DC=entreprise,DC=local\"<\/code><\/pre>\n\n<p>Ajout des utilisateurs :<\/p>\n\n<pre><code>Add-ADGroupMember `\n  -Identity \"GG_COMPTABILITE\" `\n  -Members \"smartin\",\"pdupont\"<\/code><\/pre>\n\n<p>Cr\u00e9ation du groupe d\u2019acc\u00e8s :<\/p>\n\n<pre><code>New-ADGroup `\n  -Name \"GDL_COMPTA_MODIF\" `\n  -SamAccountName \"GDL_COMPTA_MODIF\" `\n  -GroupCategory Security `\n  -GroupScope DomainLocal `\n  -Path \"OU=Groupes,DC=entreprise,DC=local\"<\/code><\/pre>\n\n<p>Imbrication :<\/p>\n\n<pre><code>Add-ADGroupMember `\n  -Identity \"GDL_COMPTA_MODIF\" `\n  -Members \"GG_COMPTABILITE\"<\/code><\/pre>\n\n<p>Contr\u00f4le :<\/p>\n\n<pre><code>Get-ADGroupMember \"GG_COMPTABILITE\"\n\nGet-ADGroupMember \"GDL_COMPTA_MODIF\"<\/code><\/pre>\n\n<p>La permission Modification est ensuite attribu\u00e9e au groupe :<\/p>\n\n<pre><code>GDL_COMPTA_MODIF<\/code><\/pre>\n\n<p>et non directement \u00e0 chacun des utilisateurs.<\/p>\n\n<p>Apr\u00e8s prise en compte de l\u2019appartenance, Sophie et Paul doivent b\u00e9n\u00e9ficier du niveau d\u2019acc\u00e8s pr\u00e9vu, tandis que Claire ne doit pas obtenir ce droit du seul fait de poss\u00e9der un compte dans le domaine.<\/p>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<div class=\"tip-examen\">\n\n<h3>\ud83c\udf93 Point examen<\/h3>\n\n<p>Le point fondamental est de savoir distinguer :<\/p>\n\n<p><strong>Utilisateur<\/strong> \u2192 identit\u00e9.<\/p>\n\n<p><strong>Groupe global<\/strong> \u2192 rassemble g\u00e9n\u00e9ralement les utilisateurs selon leur r\u00f4le.<\/p>\n\n<p><strong>Groupe Domaine local<\/strong> \u2192 repr\u00e9sente fr\u00e9quemment un droit sur une ressource.<\/p>\n\n<p><strong>OU<\/strong> \u2192 organise les objets et permet notamment GPO et d\u00e9l\u00e9gation.<\/p>\n\n<p><strong>Permission<\/strong> \u2192 autorise une op\u00e9ration sur une ressource.<\/p>\n\n<p>La m\u00e9thode classique \u00e0 retenir est :<\/p>\n\n<p><strong>Accounts \u2192 Global groups \u2192 Domain Local groups \u2192 Permissions.<\/strong><\/p>\n\n<p>Soit :<\/p>\n\n<p><strong>AGDLP<\/strong>.<\/p>\n\n<p>Face \u00e0 une demande d\u2019acc\u00e8s, ne donne pas imm\u00e9diatement davantage de droits.<\/p>\n\n<p>Il faut v\u00e9rifier :<\/p>\n\n<p><strong>la demande \u2192 l\u2019utilisateur \u2192 ses groupes \u2192 les groupes imbriqu\u00e9s \u2192 la permission \u2192 le r\u00e9sultat.<\/strong><\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>Quiz \u2013 V\u00e9rifie tes connaissances<\/h2>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 1<\/strong><\/p>\n\n<p>\u00c0 quoi sert principalement un groupe de s\u00e9curit\u00e9 ?<\/p>\n\n<p>A. Organiser graphiquement Active Directory<br>\nB. Regrouper des identit\u00e9s et attribuer des droits<br>\nC. Fournir des adresses IP<br>\nD. Cr\u00e9er des partitions<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse B.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 2<\/strong><\/p>\n\n<p>\u00c0 quoi sert principalement une OU ?<\/p>\n\n<p>A. Organiser et administrer les objets Active Directory<br>\nB. Donner automatiquement acc\u00e8s aux partages<br>\nC. Fournir DHCP<br>\nD. Chiffrer les mots de passe<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 3<\/strong><\/p>\n\n<p>Quelle port\u00e9e est couramment utilis\u00e9e pour un groupe m\u00e9tier contenant des utilisateurs d\u2019un domaine ?<\/p>\n\n<p>A. Global<br>\nB. Local ordinateur uniquement<br>\nC. DNS<br>\nD. DHCP<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 4<\/strong><\/p>\n\n<p>Dans AGDLP, que signifie DL ?<\/p>\n\n<p>A. Domain Local<br>\nB. Directory Login<br>\nC. Data Link<br>\nD. Domain Login<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 5<\/strong><\/p>\n\n<p>Quelle commande ajoute un utilisateur \u00e0 un groupe AD ?<\/p>\n\n<p>A. Add-ADGroupMember<br>\nB. Add-NetUser<br>\nC. New-ADPermission<br>\nD. Get-ADUser<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 6<\/strong><\/p>\n\n<p>Quelle commande liste les membres d\u2019un groupe ?<\/p>\n\n<p>A. Get-ADGroupMember<br>\nB. Get-ADUserAccess<br>\nC. netstat<br>\nD. Get-NetAdapter<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 7<\/strong><\/p>\n\n<p>D\u00e9placer un utilisateur dans une OU Comptabilit\u00e9 lui donne-t-il automatiquement acc\u00e8s au dossier Comptabilit\u00e9 ?<\/p>\n\n<p>A. Oui<br>\nB. Non<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse B.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 8<\/strong><\/p>\n\n<p>Pourquoi utiliser des groupes plut\u00f4t que d\u2019ajouter chaque utilisateur directement dans les ACL ?<\/p>\n\n<p>A. Pour faciliter administration, audit et changements d\u2019affectation<br>\nB. Pour augmenter la vitesse du r\u00e9seau<br>\nC. Pour remplacer NTFS<br>\nD. Pour d\u00e9sactiver DNS<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 9<\/strong><\/p>\n\n<p>Quelle commande affiche les groupes auxquels appartient un utilisateur dans Active Directory ?<\/p>\n\n<p>A. Get-ADPrincipalGroupMembership<br>\nB. Get-NetRoute<br>\nC. Get-SmbShare<br>\nD. Resolve-DnsName<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 10<\/strong><\/p>\n\n<p>Quelle est la meilleure solution pour donner l\u2019acc\u00e8s Modification au service Comptabilit\u00e9 ?<\/p>\n\n<p>A. Donner Contr\u00f4le total \u00e0 Tout le monde<br>\nB. Ajouter directement tous les utilisateurs dans l\u2019ACL<br>\nC. Utiliser une structure de groupes repr\u00e9sentant m\u00e9tier et permission<br>\nD. Ajouter tout le service dans Domain Admins<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse C.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-a-retenir\">\n\n<h3 style=\"color:#ffffff;\">\u2705 \u00c0 retenir<\/h3>\n\n<p><strong>Groupe de s\u00e9curit\u00e9<\/strong> \u2192 permet de g\u00e9rer les autorisations.<\/p>\n\n<p><strong>OU<\/strong> \u2192 organise les objets ; elle ne donne pas automatiquement acc\u00e8s \u00e0 une ressource.<\/p>\n\n<p><strong>Groupe global<\/strong> \u2192 fr\u00e9quemment utilis\u00e9 pour repr\u00e9senter un m\u00e9tier ou un r\u00f4le.<\/p>\n\n<p><strong>Groupe Domaine local<\/strong> \u2192 fr\u00e9quemment utilis\u00e9 pour repr\u00e9senter un niveau d\u2019acc\u00e8s \u00e0 une ressource.<\/p>\n\n<p><strong>AGDLP<\/strong> \u2192 Accounts \u2192 Global \u2192 Domain Local \u2192 Permissions.<\/p>\n\n<p><strong>New-ADGroup<\/strong> \u2192 cr\u00e9e un groupe.<\/p>\n\n<p><strong>Add-ADGroupMember<\/strong> \u2192 ajoute des membres.<\/p>\n\n<p><strong>Remove-ADGroupMember<\/strong> \u2192 retire des membres.<\/p>\n\n<p><strong>Get-ADGroupMember<\/strong> \u2192 affiche les membres.<\/p>\n\n<p><strong>Get-ADPrincipalGroupMembership<\/strong> \u2192 affiche les groupes d\u2019un utilisateur.<\/p>\n\n<p><strong>New-ADOrganizationalUnit<\/strong> \u2192 cr\u00e9e une OU.<\/p>\n\n<p><strong>Move-ADObject<\/strong> \u2192 d\u00e9place un objet AD.<\/p>\n\n<p><strong>whoami \/groups<\/strong> \u2192 affiche les groupes pr\u00e9sents dans le jeton de la session.<\/p>\n\n<p><strong>Moindre privil\u00e8ge<\/strong> \u2192 accorder uniquement les droits n\u00e9cessaires.<\/p>\n\n<p><strong>R\u00e9flexe technicien<\/strong> \u2192 demande \u2192 identit\u00e9 \u2192 groupes \u2192 permission \u2192 test \u2192 documentation.<\/p>\n\n<\/div>\n\n\n\n<div class=\"wp-block-group tip-download is-layout-constrained wp-block-group-is-layout-constrained\">\n<h2 class=\"wp-block-heading\">\ud83d\udcc4 Fiche de r\u00e9vision<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Retrouvez l\u2019essentiel de ce cours dans une fiche synth\u00e9tique \u00e0 conserver ou \u00e0 imprimer pour vos r\u00e9visions.<\/p>\n\n\n\n<div data-wp-interactive=\"core\/file\" class=\"wp-block-file\"><object data-wp-bind--hidden=\"!state.hasPdfPreview\" hidden class=\"wp-block-file__embed\" data=\"https:\/\/procyb.fr\/wp-content\/uploads\/2026\/10\/TIP312.pdf\" type=\"application\/pdf\" style=\"width:100%;height:600px\" aria-label=\"Contenu embarqu\u00e9 &lt;strong&gt;Fiche de r\u00e9vision TIP 3.12 G\u00e9rer groupes, unit\u00e9s d&apos;organisation et droits&lt;\/strong&gt;.\"><\/object><a id=\"wp-block-file--media-2b3bea96-9cba-4915-b5ae-70366b171fe9\" href=\"https:\/\/procyb.fr\/wp-content\/uploads\/2026\/10\/TIP312.pdf\"><strong>Fiche de r\u00e9vision TIP 3.12 G\u00e9rer groupes, unit\u00e9s d&rsquo;organisation et droits<\/strong><\/a><a href=\"https:\/\/procyb.fr\/wp-content\/uploads\/2026\/10\/TIP312.pdf\" class=\"wp-block-file__button wp-element-button\" download aria-describedby=\"wp-block-file--media-2b3bea96-9cba-4915-b5ae-70366b171fe9\">T\u00e9l\u00e9charger le PDF<\/a><\/div>\n<\/div>\n\n\n\n<div class=\"wp-block-group tip-navigation is-layout-constrained wp-block-group-is-layout-constrained\">\n<div class=\"wp-block-group is-content-justification-space-between is-nowrap is-layout-flex wp-container-core-group-is-layout-8528904a wp-block-group-is-layout-flex\">\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\">\n<div class=\"wp-block-button\"><a class=\"wp-block-button__link wp-element-button\" href=\"https:\/\/procyb.fr\/index.php\/formation-tip-infrastructure\/\"><strong><strong>\u2190 Retour au module Infrastructure<\/strong><\/strong><\/a><\/div>\n<\/div>\n\n\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\">\n<div class=\"wp-block-button\"><a class=\"wp-block-button__link wp-element-button\" href=\"https:\/\/procyb.fr\/index.php\/2026\/10\/13\/tip-3-13-verifier-lacces-aux-ressources-et-resoudre-un-incident-ad\/\"><strong>TIP 3.13 \u2013 V\u00e9rifier l\u2019acc\u00e8s aux ressources et r\u00e9soudre un incident AD \u2192<\/strong><\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Apprenez \u00e0 organiser efficacement Active Directory avec les groupes de s\u00e9curit\u00e9 et les unit\u00e9s d\u2019organisation. D\u00e9couvrez les port\u00e9es Global, Domaine local et Universel, la m\u00e9thode AGDLP, l\u2019h\u00e9ritage, l\u2019attribution des droits et les commandes PowerShell utiles pour administrer les acc\u00e8s proprement. <span class=\"more-tag mt-15 is-style-arrow\"><a class=\"more-link wp-block-button__link\" href=\"https:\/\/procyb.fr\/index.php\/2026\/10\/13\/tip-3-12-gerer-groupes-unites-dorganisation-et-droits\/\">...<span class=\"screen-reader-text\"> \"TIP 3.12 \u2013 G\u00e9rer groupes, unit\u00e9s d\u2019organisation et droits\"<\/span><\/a><\/span><!-- .more-tag --><\/p>\n","protected":false},"author":2,"featured_media":2738,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"advanced_seo_description":"","jetpack_seo_html_title":"","jetpack_seo_noindex":false,"jetpack_seo_schema_type":"","_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_feature_clip_id":0,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":true,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2},"jetpack_post_was_ever_published":false},"categories":[44,77,81],"tags":[],"class_list":["post-2733","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-active-directory","category-formation-tip","category-tip-infrastructure"],"jetpack_publicize_connections":[],"jetpack_sharing_enabled":true,"jetpack_likes_enabled":true,"jetpack_featured_media_url":"https:\/\/i0.wp.com\/procyb.fr\/wp-content\/uploads\/2026\/10\/Gerer-Active-Directory-efficacement.png?fit=1698%2C926&ssl=1","_links":{"self":[{"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/posts\/2733","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/comments?post=2733"}],"version-history":[{"count":6,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/posts\/2733\/revisions"}],"predecessor-version":[{"id":2744,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/posts\/2733\/revisions\/2744"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/media\/2738"}],"wp:attachment":[{"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/media?parent=2733"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/categories?post=2733"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/tags?post=2733"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}