{"id":2742,"date":"2026-10-13T20:56:36","date_gmt":"2026-10-13T18:56:36","guid":{"rendered":"https:\/\/procyb.fr\/?p=2742"},"modified":"2026-10-15T13:45:53","modified_gmt":"2026-10-15T11:45:53","slug":"tip-3-13-verifier-lacces-aux-ressources-et-resoudre-un-incident-ad","status":"publish","type":"post","link":"https:\/\/procyb.fr\/index.php\/2026\/10\/13\/tip-3-13-verifier-lacces-aux-ressources-et-resoudre-un-incident-ad\/","title":{"rendered":"TIP 3.13 \u2013 V\u00e9rifier l\u2019acc\u00e8s aux ressources et r\u00e9soudre un incident AD"},"content":{"rendered":"\n<div class=\"wp-block-group is-layout-constrained wp-block-group-is-layout-constrained\">\n<div class=\"wp-block-group is-nowrap is-layout-flex wp-container-core-group-is-layout-52274c9d wp-block-group-is-layout-flex\" style=\"margin-bottom:50px\">\n<p class=\"tip-badge has-border-color has-main-border-color has-dark-muted-color has-text-color has-link-color wp-elements-1 wp-block-paragraph\" style=\"border-width:1px;border-top-left-radius:6px;border-top-right-radius:6px;border-bottom-left-radius:6px;border-bottom-right-radius:6px;margin-top:0px;margin-right:6px;margin-bottom:0px;margin-left:6px;padding-top:6px;padding-right:12px;padding-bottom:6px;padding-left:12px\">Niveau : Interm\u00e9diaire<\/p>\n\n\n\n<p class=\"tip-badge wp-block-paragraph\" style=\"margin-top:0px;margin-right:6px;margin-bottom:0px;margin-left:6px\">Dur\u00e9e : 90 min<\/p>\n\n\n\n<p class=\"tip-badge wp-block-paragraph\" style=\"margin-top:0px;margin-right:6px;margin-bottom:0px;margin-left:6px\">Module : Infrastructure TIP<\/p>\n<\/div>\n<\/div>\n\n\n\n<p>Lorsqu\u2019un utilisateur indique :<\/p>\n\n<p><strong>\u00ab Je n\u2019arrive plus \u00e0 me connecter \u00bb<\/strong><\/p>\n\n<p>ou :<\/p>\n\n<p><strong>\u00ab Je n\u2019ai plus acc\u00e8s \u00e0 mon dossier r\u00e9seau \u00bb<\/strong>,<\/p>\n\n<p>le probl\u00e8me peut se situer \u00e0 plusieurs niveaux.<\/p>\n\n<p>Il peut concerner :<\/p>\n\n<ul>\n<li>le poste de travail ;<\/li>\n<li>la connexion r\u00e9seau ;<\/li>\n<li>le DNS ;<\/li>\n<li>le domaine Active Directory ;<\/li>\n<li>le compte utilisateur ;<\/li>\n<li>les groupes de s\u00e9curit\u00e9 ;<\/li>\n<li>le canal s\u00e9curis\u00e9 du poste ;<\/li>\n<li>le serveur de fichiers ;<\/li>\n<li>les permissions SMB ;<\/li>\n<li>les permissions NTFS.<\/li>\n<\/ul>\n\n<p>L\u2019objectif du technicien est donc de <strong>localiser pr\u00e9cis\u00e9ment l\u2019origine de l\u2019incident avant de modifier quoi que ce soit<\/strong>.<\/p>\n\n<div class=\"tip-objectifs\">\n\n<h3>\ud83c\udfaf Objectifs du cours<\/h3>\n\n<p>\u00c0 la fin de ce cours, tu devras \u00eatre capable de :<\/p>\n\n<ul>\n<li>distinguer un incident r\u00e9seau d\u2019un incident Active Directory ;<\/li>\n<li>identifier un probl\u00e8me d\u2019authentification ;<\/li>\n<li>identifier un probl\u00e8me d\u2019autorisation ;<\/li>\n<li>v\u00e9rifier l\u2019\u00e9tat d\u2019un compte utilisateur ;<\/li>\n<li>identifier un compte verrouill\u00e9 ou d\u00e9sactiv\u00e9 ;<\/li>\n<li>v\u00e9rifier les groupes d\u2019un utilisateur ;<\/li>\n<li>contr\u00f4ler le jeton de s\u00e9curit\u00e9 de la session ;<\/li>\n<li>v\u00e9rifier le DNS et la d\u00e9couverte du domaine ;<\/li>\n<li>tester le canal s\u00e9curis\u00e9 d\u2019un poste ;<\/li>\n<li>contr\u00f4ler l\u2019acc\u00e8s SMB \u00e0 un serveur ;<\/li>\n<li>examiner les permissions de partage et NTFS ;<\/li>\n<li>appliquer une m\u00e9thode de diagnostic structur\u00e9e ;<\/li>\n<li>valider la correction puis documenter l\u2019intervention.<\/li>\n<\/ul>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>1. Commencer par qualifier pr\u00e9cis\u00e9ment l\u2019incident<\/h2>\n\n<p>La phrase :<\/p>\n\n<p><strong>\u00ab Le r\u00e9seau ne fonctionne pas \u00bb<\/strong><\/p>\n\n<p>est insuffisante pour commencer un diagnostic.<\/p>\n\n<p>Pose des questions pr\u00e9cises :<\/p>\n\n<ul>\n<li>L\u2019utilisateur peut-il ouvrir sa session Windows ?<\/li>\n<li>Le probl\u00e8me concerne-t-il un seul poste ?<\/li>\n<li>Un seul utilisateur est-il concern\u00e9 ?<\/li>\n<li>Les autres membres du service acc\u00e8dent-ils \u00e0 la ressource ?<\/li>\n<li>Internet fonctionne-t-il ?<\/li>\n<li>Le serveur est-il accessible ?<\/li>\n<li>Le probl\u00e8me concerne-t-il toutes les ressources ou une seule ?<\/li>\n<li>Le probl\u00e8me est-il apparu apr\u00e8s un changement de mot de passe ou de service ?<\/li>\n<\/ul>\n\n<div class=\"tip-reflexe\">\n\n<strong>\ud83d\udca1 R\u00e9flexe technicien<\/strong>\n\n<p>Commence par d\u00e9terminer si le probl\u00e8me concerne :<\/p>\n\n<p><strong>la machine, l\u2019utilisateur, le r\u00e9seau ou la ressource.<\/strong><\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<!-- Illustration 1 -->\n\n<div style=\"\nmargin:32px 0;\npadding:26px;\nbackground:linear-gradient(135deg,#071626,#102a42);\nborder:1px solid rgba(19,205,227,.4);\nborder-radius:14px;\noverflow:hidden;\n\">\n\n<svg viewBox=\"0 0 1200 500\"\n     width=\"100%\"\n     role=\"img\"\n     aria-label=\"M\u00e9thode de diagnostic d'un incident Active Directory\"\n     xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n     style=\"display:block;max-width:1200px;margin:auto;\">\n\n<text x=\"600\" y=\"42\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"29\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nLOCALISER L&rsquo;ORIGINE DE L&rsquo;INCIDENT\n<\/text>\n\n<rect x=\"430\" y=\"58\" width=\"340\" height=\"4\" rx=\"2\" fill=\"#f334a4\"\/>\n\n<g font-family=\"Arial,sans-serif\" text-anchor=\"middle\">\n\n<rect x=\"55\" y=\"135\" width=\"240\" height=\"190\" rx=\"20\"\n      fill=\"#102a42\" stroke=\"#13cde3\" stroke-width=\"4\"\/>\n\n<text x=\"175\" y=\"180\"\n      fill=\"#ffffff\"\n      font-size=\"21\"\n      font-weight=\"700\">POSTE<\/text>\n\n<text x=\"175\" y=\"220\"\n      fill=\"#9fdfff\"\n      font-size=\"16\">R\u00e9seau<\/text>\n\n<text x=\"175\" y=\"250\"\n      fill=\"#9fdfff\"\n      font-size=\"16\">DNS<\/text>\n\n<text x=\"175\" y=\"280\"\n      fill=\"#9fdfff\"\n      font-size=\"16\">Canal s\u00e9curis\u00e9<\/text>\n\n\n<rect x=\"335\" y=\"135\" width=\"240\" height=\"190\" rx=\"20\"\n      fill=\"#102a42\" stroke=\"#f334a4\" stroke-width=\"4\"\/>\n\n<text x=\"455\" y=\"180\"\n      fill=\"#ffffff\"\n      font-size=\"21\"\n      font-weight=\"700\">UTILISATEUR<\/text>\n\n<text x=\"455\" y=\"220\"\n      fill=\"#f7a9d5\"\n      font-size=\"16\">Compte actif<\/text>\n\n<text x=\"455\" y=\"250\"\n      fill=\"#f7a9d5\"\n      font-size=\"16\">Verrouillage<\/text>\n\n<text x=\"455\" y=\"280\"\n      fill=\"#f7a9d5\"\n      font-size=\"16\">Mot de passe<\/text>\n\n\n<rect x=\"625\" y=\"135\" width=\"240\" height=\"190\" rx=\"20\"\n      fill=\"#102a42\" stroke=\"#13cde3\" stroke-width=\"4\"\/>\n\n<text x=\"745\" y=\"180\"\n      fill=\"#ffffff\"\n      font-size=\"21\"\n      font-weight=\"700\">GROUPES<\/text>\n\n<text x=\"745\" y=\"220\"\n      fill=\"#9fdfff\"\n      font-size=\"16\">M\u00e9tier<\/text>\n\n<text x=\"745\" y=\"250\"\n      fill=\"#9fdfff\"\n      font-size=\"16\">Acc\u00e8s<\/text>\n\n<text x=\"745\" y=\"280\"\n      fill=\"#9fdfff\"\n      font-size=\"16\">Jeton de session<\/text>\n\n\n<rect x=\"905\" y=\"135\" width=\"240\" height=\"190\" rx=\"20\"\n      fill=\"#102a42\" stroke=\"#2edb7b\" stroke-width=\"4\"\/>\n\n<text x=\"1025\" y=\"180\"\n      fill=\"#ffffff\"\n      font-size=\"21\"\n      font-weight=\"700\">RESSOURCE<\/text>\n\n<text x=\"1025\" y=\"220\"\n      fill=\"#b9fbd6\"\n      font-size=\"16\">SMB<\/text>\n\n<text x=\"1025\" y=\"250\"\n      fill=\"#b9fbd6\"\n      font-size=\"16\">Partage<\/text>\n\n<text x=\"1025\" y=\"280\"\n      fill=\"#b9fbd6\"\n      font-size=\"16\">NTFS<\/text>\n\n<\/g>\n\n<text x=\"600\" y=\"395\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"19\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nPOSTE \u2192 UTILISATEUR \u2192 GROUPES \u2192 RESSOURCE\n<\/text>\n\n<text x=\"600\" y=\"430\"\n      text-anchor=\"middle\"\n      fill=\"#9fdfff\"\n      font-size=\"17\"\n      font-family=\"Arial,sans-serif\">\nNe modifier qu&rsquo;apr\u00e8s avoir identifi\u00e9 le niveau r\u00e9ellement d\u00e9faillant.\n<\/text>\n\n<\/svg>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>2. Authentification ou autorisation ?<\/h2>\n\n<p>C\u2019est l\u2019une des distinctions les plus importantes.<\/p>\n\n<table>\n\n<thead>\n<tr>\n<th>Probl\u00e8me<\/th>\n<th>Signification<\/th>\n<\/tr>\n<\/thead>\n\n<tbody>\n\n<tr>\n<td><strong>Authentification<\/strong><\/td>\n<td>L\u2019utilisateur ne parvient pas \u00e0 prouver son identit\u00e9<\/td>\n<\/tr>\n\n<tr>\n<td><strong>Autorisation<\/strong><\/td>\n<td>L\u2019utilisateur est authentifi\u00e9 mais n\u2019a pas le droit d\u2019acc\u00e9der \u00e0 la ressource<\/td>\n<\/tr>\n\n<\/tbody>\n\n<\/table>\n\n<p>Exemple :<\/p>\n\n<p>Sophie ne parvient pas \u00e0 ouvrir sa session de domaine :<\/p>\n\n<p><strong>probl\u00e8me potentiel d\u2019authentification.<\/strong><\/p>\n\n<p>Sophie ouvre sa session mais re\u00e7oit \u00ab Acc\u00e8s refus\u00e9 \u00bb sur un dossier :<\/p>\n\n<p><strong>probl\u00e8me potentiel d\u2019autorisation.<\/strong><\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>3. V\u00e9rifier l\u2019identit\u00e9 r\u00e9ellement utilis\u00e9e<\/h2>\n\n<p>Commence par :<\/p>\n\n<pre><code>whoami<\/code><\/pre>\n\n<p>R\u00e9sultat attendu :<\/p>\n\n<pre><code>entreprise\\smartin<\/code><\/pre>\n\n<p>Si tu obtiens :<\/p>\n\n<pre><code>pc-compta-07\\smartin<\/code><\/pre>\n\n<p>l\u2019utilisateur travaille avec un <strong>compte local<\/strong>, pas avec son compte Active Directory.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>4. V\u00e9rifier le domaine du poste<\/h2>\n\n<pre><code>Get-CimInstance Win32_ComputerSystem |\nSelect-Object Name,Domain,PartOfDomain<\/code><\/pre>\n\n<p>Exemple :<\/p>\n\n<pre><code>Name          Domain              PartOfDomain\n----          ------              ------------\nPC-COMPTA-07  entreprise.local    True<\/code><\/pre>\n\n<p>Si :<\/p>\n\n<pre><code>PartOfDomain : False<\/code><\/pre>\n\n<p>le poste n\u2019est pas membre du domaine.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>5. V\u00e9rifier la configuration r\u00e9seau<\/h2>\n\n<p>Comme dans tout incident r\u00e9seau :<\/p>\n\n<pre><code>Get-NetIPConfiguration<\/code><\/pre>\n\n<p>ou :<\/p>\n\n<pre><code>ipconfig \/all<\/code><\/pre>\n\n<p>V\u00e9rifie notamment :<\/p>\n\n<ul>\n<li>adresse IP ;<\/li>\n<li>passerelle ;<\/li>\n<li>DNS ;<\/li>\n<li>interface utilis\u00e9e.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<h2>6. V\u00e9rifier le DNS<\/h2>\n\n<p>Active Directory d\u00e9pend fortement du DNS.<\/p>\n\n<p>Teste le contr\u00f4leur :<\/p>\n\n<pre><code>Resolve-DnsName dc01.entreprise.local<\/code><\/pre>\n\n<p>et les services du domaine :<\/p>\n\n<pre><code>Resolve-DnsName `\n  -Type SRV `\n  \"_ldap._tcp.dc._msdcs.entreprise.local\"<\/code><\/pre>\n\n<p>On peut \u00e9galement utiliser :<\/p>\n\n<pre><code>nltest \/dsgetdc:entreprise.local<\/code><\/pre>\n\n<div class=\"tip-reflexe\">\n\n<strong>\ud83d\udca1 R\u00e9flexe Active Directory<\/strong>\n\n<p>Si un poste ne trouve pas correctement le domaine, v\u00e9rifie le <strong>DNS avant de modifier les comptes ou groupes<\/strong>.<\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>7. V\u00e9rifier le compte utilisateur<\/h2>\n\n<p>Avec PowerShell :<\/p>\n\n<pre><code>Get-ADUser `\n  -Identity smartin `\n  -Properties Enabled,\n              LockedOut,\n              PasswordLastSet,\n              AccountExpirationDate |\nSelect-Object Name,\n              Enabled,\n              LockedOut,\n              PasswordLastSet,\n              AccountExpirationDate<\/code><\/pre>\n\n<p>Tu peux ainsi v\u00e9rifier plusieurs causes courantes.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>8. Compte d\u00e9sactiv\u00e9<\/h2>\n\n<p>Si le r\u00e9sultat indique :<\/p>\n\n<pre><code>Enabled : False<\/code><\/pre>\n\n<p>le compte est d\u00e9sactiv\u00e9.<\/p>\n\n<p>Ne le r\u00e9active pas imm\u00e9diatement sans v\u00e9rifier pourquoi.<\/p>\n\n<p>Il peut s\u2019agir :<\/p>\n\n<ul>\n<li>d\u2019un d\u00e9part ;<\/li>\n<li>d\u2019une suspension ;<\/li>\n<li>d\u2019une action de s\u00e9curit\u00e9 ;<\/li>\n<li>d\u2019une demande administrative.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<h2>9. Compte verrouill\u00e9<\/h2>\n\n<p>Si :<\/p>\n\n<pre><code>LockedOut : True<\/code><\/pre>\n\n<p>le compte est verrouill\u00e9.<\/p>\n\n<p>Tu peux \u00e9galement rechercher :<\/p>\n\n<pre><code>Search-ADAccount -LockedOut<\/code><\/pre>\n\n<p>Apr\u00e8s v\u00e9rification de l\u2019identit\u00e9 et de la proc\u00e9dure :<\/p>\n\n<pre><code>Unlock-ADAccount -Identity smartin<\/code><\/pre>\n\n<hr class=\"tip-separator\">\n\n<h2>10. Verrouillages r\u00e9p\u00e9t\u00e9s<\/h2>\n\n<p>D\u00e9verrouiller le compte ne suffit pas si le probl\u00e8me revient imm\u00e9diatement.<\/p>\n\n<p>Un ancien mot de passe peut \u00eatre enregistr\u00e9 dans :<\/p>\n\n<ul>\n<li>un t\u00e9l\u00e9phone ;<\/li>\n<li>une connexion Wi-Fi ;<\/li>\n<li>un lecteur r\u00e9seau ;<\/li>\n<li>une application ;<\/li>\n<li>une t\u00e2che planifi\u00e9e ;<\/li>\n<li>un service Windows ;<\/li>\n<li>un autre poste.<\/li>\n<\/ul>\n\n<p>Il faut alors rechercher la source des authentifications incorrectes.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>11. V\u00e9rifier l\u2019expiration du compte<\/h2>\n\n<p>Une date d\u2019expiration peut avoir \u00e9t\u00e9 configur\u00e9e.<\/p>\n\n<pre><code>Get-ADUser `\n  -Identity smartin `\n  -Properties AccountExpirationDate |\nSelect-Object Name,AccountExpirationDate<\/code><\/pre>\n\n<p>C\u2019est notamment fr\u00e9quent pour :<\/p>\n\n<ul>\n<li>prestataires ;<\/li>\n<li>stagiaires ;<\/li>\n<li>comptes temporaires.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<h2>12. V\u00e9rifier les groupes Active Directory<\/h2>\n\n<p>Pour afficher les groupes d\u2019un utilisateur :<\/p>\n\n<pre><code>Get-ADPrincipalGroupMembership smartin |\nSelect-Object Name<\/code><\/pre>\n\n<p>Compare le r\u00e9sultat avec les droits attendus pour sa fonction.<\/p>\n\n<p>Un utilisateur de Comptabilit\u00e9 peut par exemple devoir appartenir \u00e0 :<\/p>\n\n<pre><code>GG_COMPTABILITE<\/code><\/pre>\n\n<hr class=\"tip-separator\">\n\n<h2>13. V\u00e9rifier les groupes imbriqu\u00e9s<\/h2>\n\n<p>Dans une architecture AGDLP, l\u2019utilisateur peut ne pas \u00eatre directement membre du groupe recevant la permission.<\/p>\n\n<p>Par exemple :<\/p>\n\n<pre><code>smartin\nGG_COMPTABILITE\nGDL_COMPTA_MODIF<\/code><\/pre>\n\n<p>Il faut donc examiner la structure des groupes et leurs membres.<\/p>\n\n<pre><code>Get-ADGroupMember \"GDL_COMPTA_MODIF\"<\/code><\/pre>\n\n<hr class=\"tip-separator\">\n\n<!-- Illustration 2 -->\n\n<div style=\"\nmargin:32px 0;\npadding:26px;\nbackground:linear-gradient(135deg,#071626,#102a42);\nborder:1px solid rgba(243,52,164,.38);\nborder-radius:14px;\noverflow:hidden;\n\">\n\n<svg viewBox=\"0 0 1200 500\"\n     width=\"100%\"\n     role=\"img\"\n     aria-label=\"Diagnostic d'un acc\u00e8s Active Directory avec groupes et permissions\"\n     xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n     style=\"display:block;max-width:1200px;margin:auto;\">\n\n<defs>\n<marker id=\"arrow313\"\n        markerWidth=\"10\"\n        markerHeight=\"10\"\n        refX=\"9\"\n        refY=\"5\"\n        orient=\"auto\">\n<path d=\"M0,0 L10,5 L0,10 Z\" fill=\"#13cde3\"\/>\n<\/marker>\n<\/defs>\n\n<text x=\"600\" y=\"42\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"29\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nPOURQUOI SOPHIE N&rsquo;ACC\u00c8DE-T-ELLE PAS AU DOSSIER ?\n<\/text>\n\n<rect x=\"385\" y=\"58\" width=\"430\" height=\"4\" rx=\"2\" fill=\"#f334a4\"\/>\n\n<!-- utilisateur -->\n\n<rect x=\"45\" y=\"150\" width=\"220\" height=\"150\" rx=\"18\"\n      fill=\"#102a42\" stroke=\"#13cde3\" stroke-width=\"4\"\/>\n\n<circle cx=\"155\" cy=\"198\" r=\"30\" fill=\"#13cde3\"\/>\n\n<path d=\"M95 275 Q155 210 215 275\" fill=\"#13cde3\"\/>\n\n<text x=\"155\" y=\"335\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"19\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nsmartin\n<\/text>\n\n<!-- groupe m\u00e9tier -->\n\n<rect x=\"325\" y=\"150\" width=\"235\" height=\"150\" rx=\"18\"\n      fill=\"#102a42\" stroke=\"#13cde3\" stroke-width=\"4\"\/>\n\n<text x=\"442\" y=\"198\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"18\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nGG_COMPTABILITE\n<\/text>\n\n<text x=\"442\" y=\"245\"\n      text-anchor=\"middle\"\n      fill=\"#13cde3\"\n      font-size=\"17\"\n      font-family=\"Arial,sans-serif\">\nGroupe m\u00e9tier\n<\/text>\n\n<!-- groupe acc\u00e8s -->\n\n<rect x=\"620\" y=\"150\" width=\"245\" height=\"150\" rx=\"18\"\n      fill=\"#102a42\" stroke=\"#f334a4\" stroke-width=\"4\"\/>\n\n<text x=\"742\" y=\"198\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"18\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nGDL_COMPTA_MODIF\n<\/text>\n\n<text x=\"742\" y=\"245\"\n      text-anchor=\"middle\"\n      fill=\"#f7a9d5\"\n      font-size=\"17\"\n      font-family=\"Arial,sans-serif\">\nGroupe d&rsquo;acc\u00e8s\n<\/text>\n\n<!-- ressource -->\n\n<rect x=\"925\" y=\"150\" width=\"230\" height=\"150\" rx=\"18\"\n      fill=\"#102a42\" stroke=\"#2edb7b\" stroke-width=\"4\"\/>\n\n<path d=\"M985 190\nH1030\nL1050 210\nH1100\nV250\nH985 Z\"\nfill=\"#2edb7b\"\/>\n\n<text x=\"1040\" y=\"278\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"16\"\n      font-family=\"Arial,sans-serif\">\nModification\n<\/text>\n\n<!-- arrows -->\n\n<line x1=\"265\" y1=\"225\" x2=\"320\" y2=\"225\"\n      stroke=\"#13cde3\"\n      stroke-width=\"5\"\n      marker-end=\"url(#arrow313)\"\/>\n\n<line x1=\"560\" y1=\"225\" x2=\"615\" y2=\"225\"\n      stroke=\"#13cde3\"\n      stroke-width=\"5\"\n      marker-end=\"url(#arrow313)\"\/>\n\n<line x1=\"865\" y1=\"225\" x2=\"920\" y2=\"225\"\n      stroke=\"#13cde3\"\n      stroke-width=\"5\"\n      marker-end=\"url(#arrow313)\"\/>\n\n<text x=\"600\" y=\"395\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"19\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nChaque maillon doit \u00eatre correct.\n<\/text>\n\n<text x=\"600\" y=\"430\"\n      text-anchor=\"middle\"\n      fill=\"#9fdfff\"\n      font-size=\"17\"\n      font-family=\"Arial,sans-serif\">\nUne seule appartenance manquante peut emp\u00eacher l&rsquo;acc\u00e8s.\n<\/text>\n\n<\/svg>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>14. Attention au jeton de s\u00e9curit\u00e9<\/h2>\n\n<p>Lorsqu\u2019un utilisateur ouvre sa session, Windows construit un <strong>jeton de s\u00e9curit\u00e9<\/strong>.<\/p>\n\n<p>Il contient notamment les groupes applicables \u00e0 la session.<\/p>\n\n<p>Apr\u00e8s une modification de groupe, la session d\u00e9j\u00e0 ouverte peut donc ne pas refl\u00e9ter imm\u00e9diatement le changement.<\/p>\n\n<p>Pour examiner les groupes pr\u00e9sents dans le jeton courant :<\/p>\n\n<pre><code>whoami \/groups<\/code><\/pre>\n\n<hr class=\"tip-separator\">\n\n<h2>15. AD indique le bon groupe mais l\u2019acc\u00e8s ne change pas<\/h2>\n\n<p>Supposons que :<\/p>\n\n<pre><code>Get-ADPrincipalGroupMembership smartin<\/code><\/pre>\n\n<p>affiche le nouveau groupe, mais :<\/p>\n\n<pre><code>whoami \/groups<\/code><\/pre>\n\n<p>ne l\u2019affiche pas.<\/p>\n\n<p>La session utilisateur peut avoir \u00e9t\u00e9 ouverte avant le changement.<\/p>\n\n<p>Selon le contexte, une nouvelle ouverture de session peut \u00eatre n\u00e9cessaire.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>16. Tester le canal s\u00e9curis\u00e9 du poste<\/h2>\n\n<p>Pour v\u00e9rifier la relation entre le poste et le domaine :<\/p>\n\n<pre><code>Test-ComputerSecureChannel<\/code><\/pre>\n\n<p>R\u00e9sultat normal :<\/p>\n\n<pre><code>True<\/code><\/pre>\n\n<p>Un r\u00e9sultat :<\/p>\n\n<pre><code>False<\/code><\/pre>\n\n<p>indique qu\u2019un diagnostic du canal s\u00e9curis\u00e9 est n\u00e9cessaire.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>17. Relation d\u2019approbation d\u00e9faillante<\/h2>\n\n<p>Un utilisateur peut recevoir un message du type :<\/p>\n\n<p><strong>\u00ab La relation d\u2019approbation entre cette station de travail et le domaine principal a \u00e9chou\u00e9 \u00bb.<\/strong><\/p>\n\n<p>Avant de retirer imm\u00e9diatement le poste du domaine, v\u00e9rifie :<\/p>\n\n<ul>\n<li>la connectivit\u00e9 ;<\/li>\n<li>le DNS ;<\/li>\n<li>l\u2019heure ;<\/li>\n<li>l\u2019objet ordinateur ;<\/li>\n<li>le canal s\u00e9curis\u00e9.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<h2>18. Tester l\u2019acc\u00e8s au serveur de fichiers<\/h2>\n\n<p>Si le probl\u00e8me concerne :<\/p>\n\n<pre><code>\\\\SRV-FICHIERS\\COMPTABILITE<\/code><\/pre>\n\n<p>teste d\u2019abord le serveur :<\/p>\n\n<pre><code>Resolve-DnsName SRV-FICHIERS<\/code><\/pre>\n\n<p>puis SMB :<\/p>\n\n<pre><code>Test-NetConnection `\n  SRV-FICHIERS `\n  -Port 445<\/code><\/pre>\n\n<p>Si TCP 445 n\u2019est pas accessible, le probl\u00e8me ne sera pas r\u00e9solu en ajoutant des permissions NTFS.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>19. V\u00e9rifier que le partage existe<\/h2>\n\n<p>Sur le serveur concern\u00e9 :<\/p>\n\n<pre><code>Get-SmbShare<\/code><\/pre>\n\n<p>Tu dois retrouver le partage attendu.<\/p>\n\n<p>Par exemple :<\/p>\n\n<pre><code>Name           Path\n----           ----\nCOMPTABILITE   D:\\Partages\\Comptabilite<\/code><\/pre>\n\n<hr class=\"tip-separator\">\n\n<h2>20. Examiner les permissions SMB<\/h2>\n\n<pre><code>Get-SmbShareAccess `\n  -Name \"COMPTABILITE\"<\/code><\/pre>\n\n<p>Cette commande permet de v\u00e9rifier les groupes ou comptes autoris\u00e9s au niveau du partage.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>21. Examiner les permissions NTFS<\/h2>\n\n<pre><code>(Get-Acl `\n  \"D:\\Partages\\Comptabilite\").Access<\/code><\/pre>\n\n<p>V\u00e9rifie notamment :<\/p>\n\n<ul>\n<li>le groupe concern\u00e9 ;<\/li>\n<li>le niveau de permission ;<\/li>\n<li>le type Allow ou Deny ;<\/li>\n<li>l\u2019h\u00e9ritage ;<\/li>\n<li>l\u2019\u00e9tendue de l\u2019application de la permission.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<h2>22. Partage et NTFS doivent \u00eatre coh\u00e9rents<\/h2>\n\n<p>Pour un acc\u00e8s r\u00e9seau, les deux m\u00e9canismes interviennent.<\/p>\n\n<table>\n\n<thead>\n<tr>\n<th>Partage<\/th>\n<th>NTFS<\/th>\n<th>R\u00e9sultat possible<\/th>\n<\/tr>\n<\/thead>\n\n<tbody>\n\n<tr>\n<td>Lecture<\/td>\n<td>Modification<\/td>\n<td>Lecture via le partage<\/td>\n<\/tr>\n\n<tr>\n<td>Contr\u00f4le total<\/td>\n<td>Lecture<\/td>\n<td>Lecture<\/td>\n<\/tr>\n\n<tr>\n<td>Contr\u00f4le total<\/td>\n<td>Modification<\/td>\n<td>Modification<\/td>\n<\/tr>\n\n<\/tbody>\n\n<\/table>\n\n<p>Une permission plus large \u00e0 un niveau ne contourne pas automatiquement une restriction \u00e0 l\u2019autre.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>23. V\u00e9rifier les droits effectifs<\/h2>\n\n<p>Un utilisateur peut appartenir \u00e0 plusieurs groupes et recevoir plusieurs permissions.<\/p>\n\n<p>Il faut donc raisonner sur les <strong>droits effectifs<\/strong>.<\/p>\n\n<p>Dans l\u2019interface de s\u00e9curit\u00e9 avanc\u00e9e de Windows, l\u2019onglet consacr\u00e9 \u00e0 l\u2019acc\u00e8s effectif permet d\u2019\u00e9valuer les droits d\u2019un utilisateur ou groupe sur une ressource.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>24. Les refus explicites<\/h2>\n\n<p>Une entr\u00e9e :<\/p>\n\n<pre><code>Deny \/ Refuser<\/code><\/pre>\n\n<p>peut expliquer un comportement inattendu.<\/p>\n\n<p>Les refus explicites doivent \u00eatre utilis\u00e9s avec prudence car ils rendent souvent les ACL plus difficiles \u00e0 analyser.<\/p>\n\n<div class=\"tip-reflexe\">\n\n<strong>\u26a0\ufe0f Diagnostic<\/strong>\n\n<p>Ne conclus jamais :<\/p>\n\n<p><strong>\u00ab Le groupe a Modification donc cela doit fonctionner \u00bb<\/strong><\/p>\n\n<p>sans v\u00e9rifier le reste des ACL et les droits effectifs.<\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>25. Ne pas modifier les droits au hasard<\/h2>\n\n<p>Face \u00e0 un acc\u00e8s refus\u00e9, \u00e9vite :<\/p>\n\n<pre><code>Tout le monde : Contr\u00f4le total<\/code><\/pre>\n\n<p>Cette modification :<\/p>\n\n<ul>\n<li>peut masquer la cause r\u00e9elle ;<\/li>\n<li>peut exposer des donn\u00e9es ;<\/li>\n<li>peut violer les r\u00e8gles de s\u00e9curit\u00e9 ;<\/li>\n<li>rend le diagnostic moins fiable.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<h2>26. V\u00e9rifier les tickets Kerberos<\/h2>\n\n<p>Dans certains diagnostics d\u2019authentification, la commande :<\/p>\n\n<pre><code>klist<\/code><\/pre>\n\n<p>permet d\u2019afficher les tickets Kerberos pr\u00e9sents dans la session.<\/p>\n\n<p>Elle est surtout utile lorsque le diagnostic n\u00e9cessite d\u2019aller plus loin sur l\u2019authentification de domaine.<\/p>\n\n<p>Le technicien de proximit\u00e9 doit surtout comprendre qu\u2019un utilisateur authentifi\u00e9 peut disposer de tickets associ\u00e9s \u00e0 sa session.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>27. V\u00e9rifier l\u2019heure en cas de probl\u00e8me Kerberos<\/h2>\n\n<p>Si l\u2019authentification de domaine pr\u00e9sente un comportement anormal :<\/p>\n\n<pre><code>w32tm \/query \/status<\/code><\/pre>\n\n<p>permet de contr\u00f4ler l\u2019\u00e9tat de la synchronisation temporelle.<\/p>\n\n<p>V\u00e9rifie \u00e9galement :<\/p>\n\n<ul>\n<li>date ;<\/li>\n<li>heure ;<\/li>\n<li>fuseau horaire.<\/li>\n<\/ul>\n\n<hr class=\"tip-separator\">\n\n<h2>28. Cas : un seul utilisateur est concern\u00e9<\/h2>\n\n<p>Si tous les autres utilisateurs acc\u00e8dent au partage depuis le m\u00eame poste ou le m\u00eame r\u00e9seau, oriente le diagnostic vers :<\/p>\n\n<ul>\n<li>le compte ;<\/li>\n<li>ses groupes ;<\/li>\n<li>son jeton de s\u00e9curit\u00e9 ;<\/li>\n<li>ses permissions effectives.<\/li>\n<\/ul>\n\n<p>La panne g\u00e9n\u00e9rale du serveur devient moins probable.<\/p>\n\n<hr class=\"tip-separator\">\n\n<h2>29. Cas : tous les utilisateurs sont concern\u00e9s<\/h2>\n\n<p>Si personne n\u2019acc\u00e8de au serveur de fichiers :<\/p>\n\n<p>les pistes peuvent plut\u00f4t concerner :<\/p>\n\n<ul>\n<li>le serveur ;<\/li>\n<li>SMB ;<\/li>\n<li>le r\u00e9seau ;<\/li>\n<li>DNS ;<\/li>\n<li>le pare-feu ;<\/li>\n<li>la disponibilit\u00e9 du service.<\/li>\n<\/ul>\n\n<p>Ajouter Sophie \u00e0 un autre groupe ne serait alors probablement pas pertinent.<\/p>\n\n<hr class=\"tip-separator\">\n\n<!-- Illustration 3 -->\n\n<div style=\"\nmargin:32px 0;\npadding:25px;\nbackground:linear-gradient(135deg,#071626,#102a42);\nborder:1px solid rgba(19,205,227,.35);\nborder-radius:14px;\noverflow:hidden;\n\">\n\n<svg viewBox=\"0 0 1200 520\"\n     width=\"100%\"\n     role=\"img\"\n     aria-label=\"M\u00e9thode progressive de r\u00e9solution d'un incident Active Directory\"\n     xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n     style=\"display:block;max-width:1200px;margin:auto;\">\n\n<text x=\"600\" y=\"42\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"29\"\n      font-weight=\"700\"\n      font-family=\"Arial,sans-serif\">\nDIAGNOSTIQUER AVANT DE CORRIGER\n<\/text>\n\n<rect x=\"445\" y=\"58\" width=\"310\" height=\"4\" rx=\"2\" fill=\"#f334a4\"\/>\n\n<g font-family=\"Arial,sans-serif\" text-anchor=\"middle\">\n\n<rect x=\"55\" y=\"120\" width=\"250\" height=\"100\" rx=\"16\"\n      fill=\"#102a42\" stroke=\"#13cde3\" stroke-width=\"3\"\/>\n\n<text x=\"180\" y=\"160\"\n      fill=\"#ffffff\"\n      font-size=\"19\"\n      font-weight=\"700\">1 \u00b7 IDENTIT\u00c9<\/text>\n\n<text x=\"180\" y=\"192\"\n      fill=\"#9fdfff\"\n      font-size=\"15\">whoami \u00b7 \u00e9tat du compte<\/text>\n\n\n<rect x=\"355\" y=\"120\" width=\"250\" height=\"100\" rx=\"16\"\n      fill=\"#102a42\" stroke=\"#13cde3\" stroke-width=\"3\"\/>\n\n<text x=\"480\" y=\"160\"\n      fill=\"#ffffff\"\n      font-size=\"19\"\n      font-weight=\"700\">2 \u00b7 DOMAINE<\/text>\n\n<text x=\"480\" y=\"192\"\n      fill=\"#9fdfff\"\n      font-size=\"15\">DNS \u00b7 DC \u00b7 canal s\u00e9curis\u00e9<\/text>\n\n\n<rect x=\"655\" y=\"120\" width=\"250\" height=\"100\" rx=\"16\"\n      fill=\"#102a42\" stroke=\"#f334a4\" stroke-width=\"3\"\/>\n\n<text x=\"780\" y=\"160\"\n      fill=\"#ffffff\"\n      font-size=\"19\"\n      font-weight=\"700\">3 \u00b7 GROUPES<\/text>\n\n<text x=\"780\" y=\"192\"\n      fill=\"#f7a9d5\"\n      font-size=\"15\">AD \u00b7 imbrication \u00b7 jeton<\/text>\n\n\n<rect x=\"955\" y=\"120\" width=\"190\" height=\"100\" rx=\"16\"\n      fill=\"#102a42\" stroke=\"#2edb7b\" stroke-width=\"3\"\/>\n\n<text x=\"1050\" y=\"160\"\n      fill=\"#ffffff\"\n      font-size=\"19\"\n      font-weight=\"700\">4 \u00b7 ACC\u00c8S<\/text>\n\n<text x=\"1050\" y=\"192\"\n      fill=\"#b9fbd6\"\n      font-size=\"15\">SMB \u00b7 ACL<\/text>\n\n\n<rect x=\"210\" y=\"290\" width=\"300\" height=\"105\" rx=\"18\"\n      fill=\"#102a42\" stroke=\"#f334a4\" stroke-width=\"3\"\/>\n\n<text x=\"360\" y=\"334\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\">5 \u00b7 CORRIGER<\/text>\n\n<text x=\"360\" y=\"368\"\n      fill=\"#f7a9d5\"\n      font-size=\"16\">Modification minimale<\/text>\n\n\n<rect x=\"690\" y=\"290\" width=\"300\" height=\"105\" rx=\"18\"\n      fill=\"#102a42\" stroke=\"#2edb7b\" stroke-width=\"3\"\/>\n\n<text x=\"840\" y=\"334\"\n      fill=\"#ffffff\"\n      font-size=\"20\"\n      font-weight=\"700\">6 \u00b7 VALIDER<\/text>\n\n<text x=\"840\" y=\"368\"\n      fill=\"#b9fbd6\"\n      font-size=\"16\">Tester et documenter<\/text>\n\n<\/g>\n\n<text x=\"600\" y=\"465\"\n      text-anchor=\"middle\"\n      fill=\"#ffffff\"\n      font-size=\"18\"\n      font-family=\"Arial,sans-serif\">\nUne bonne r\u00e9solution corrige la cause, pas seulement le sympt\u00f4me.\n<\/text>\n\n<\/svg>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>30. M\u00e9thode compl\u00e8te de diagnostic<\/h2>\n\n<p>Face \u00e0 un incident d\u2019acc\u00e8s Active Directory, utilise cette m\u00e9thode :<\/p>\n\n<ol>\n<li>Identifier pr\u00e9cis\u00e9ment le sympt\u00f4me.<\/li>\n<li>V\u00e9rifier l\u2019identit\u00e9 utilis\u00e9e.<\/li>\n<li>V\u00e9rifier l\u2019appartenance du poste au domaine.<\/li>\n<li>V\u00e9rifier r\u00e9seau et DNS.<\/li>\n<li>V\u00e9rifier le contr\u00f4leur de domaine.<\/li>\n<li>V\u00e9rifier le compte utilisateur.<\/li>\n<li>V\u00e9rifier les groupes.<\/li>\n<li>V\u00e9rifier le jeton de s\u00e9curit\u00e9.<\/li>\n<li>Tester le serveur et le port n\u00e9cessaire.<\/li>\n<li>V\u00e9rifier le partage.<\/li>\n<li>Examiner les permissions SMB.<\/li>\n<li>Examiner les permissions NTFS.<\/li>\n<li>Identifier la cause.<\/li>\n<li>Appliquer la correction minimale n\u00e9cessaire.<\/li>\n<li>Tester avec l\u2019utilisateur.<\/li>\n<li>Documenter.<\/li>\n<\/ol>\n\n<hr class=\"tip-separator\">\n\n<h2>31. Cas pratique \u2013 Groupe manquant<\/h2>\n\n<p>Sophie ouvre correctement sa session.<\/p>\n\n<p>Elle tente d\u2019acc\u00e9der \u00e0 :<\/p>\n\n<pre><code>\\\\SRV-FICHIERS\\COMPTABILITE<\/code><\/pre>\n\n<p>et re\u00e7oit :<\/p>\n\n<pre><code>Acc\u00e8s refus\u00e9<\/code><\/pre>\n\n<p>Le serveur r\u00e9pond et TCP 445 fonctionne.<\/p>\n\n<p>Les autres membres de Comptabilit\u00e9 acc\u00e8dent correctement au dossier.<\/p>\n\n<div class=\"tip-question\">\n\n<p><strong>Quelle piste devient prioritaire ?<\/strong><\/p>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Afficher la r\u00e9ponse<\/summary>\n\n<p>Les appartenances de Sophie aux groupes de s\u00e9curit\u00e9.<\/p>\n\n<p>V\u00e9rifie :<\/p>\n\n<pre><code>Get-ADPrincipalGroupMembership smartin |\nSelect-Object Name<\/code><\/pre>\n\n<p>Puis contr\u00f4le la structure AGDLP utilis\u00e9e pour la ressource.<\/p>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<h2>32. Cas pratique \u2013 Groupe ajout\u00e9 mais acc\u00e8s toujours refus\u00e9<\/h2>\n\n<p>Sophie vient d\u2019\u00eatre ajout\u00e9e \u00e0 :<\/p>\n\n<pre><code>GG_COMPTABILITE<\/code><\/pre>\n\n<p>Active Directory affiche correctement son appartenance.<\/p>\n\n<p>Mais sa session existante n\u2019acc\u00e8de toujours pas au partage.<\/p>\n\n<div class=\"tip-question\">\n\n<p><strong>Quelle v\u00e9rification faire ?<\/strong><\/p>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Afficher la r\u00e9ponse<\/summary>\n\n<p>V\u00e9rifie le jeton de s\u00e9curit\u00e9 de la session :<\/p>\n\n<pre><code>whoami \/groups<\/code><\/pre>\n\n<p>Le nouveau groupe peut ne pas encore \u00eatre pr\u00e9sent dans la session actuelle.<\/p>\n\n<p>Une nouvelle authentification peut \u00eatre n\u00e9cessaire selon le contexte.<\/p>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<h2>33. Cas pratique \u2013 Tout le service est bloqu\u00e9<\/h2>\n\n<p>Tous les utilisateurs Comptabilit\u00e9 ne peuvent plus acc\u00e9der au partage.<\/p>\n\n<div class=\"tip-question\">\n\n<p><strong>Faut-il v\u00e9rifier en priorit\u00e9 le compte de Sophie ?<\/strong><\/p>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Afficher la r\u00e9ponse<\/summary>\n\n<p><strong>Non.<\/strong><\/p>\n\n<p>Puisque plusieurs utilisateurs sont touch\u00e9s, il faut examiner les composants communs :<\/p>\n\n<ul>\n<li>serveur de fichiers ;<\/li>\n<li>r\u00e9seau ;<\/li>\n<li>DNS ;<\/li>\n<li>SMB ;<\/li>\n<li>partage ;<\/li>\n<li>permissions communes.<\/li>\n<\/ul>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<h2>34. Cas pratique \u2013 Compte verrouill\u00e9 \u00e0 r\u00e9p\u00e9tition<\/h2>\n\n<p>Paul est d\u00e9verrouill\u00e9 le matin.<\/p>\n\n<p>Quelques minutes plus tard, son compte est \u00e0 nouveau verrouill\u00e9.<\/p>\n\n<div class=\"tip-question\">\n\n<p><strong>Faut-il simplement continuer \u00e0 le d\u00e9verrouiller ?<\/strong><\/p>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Afficher la r\u00e9ponse<\/summary>\n\n<p><strong>Non.<\/strong><\/p>\n\n<p>Il faut rechercher la source des tentatives incorrectes.<\/p>\n\n<p>Un ancien mot de passe peut \u00eatre enregistr\u00e9 sur :<\/p>\n\n<ul>\n<li>un smartphone ;<\/li>\n<li>un autre ordinateur ;<\/li>\n<li>une t\u00e2che ;<\/li>\n<li>un service ;<\/li>\n<li>une application.<\/li>\n<\/ul>\n\n<p>La correction doit supprimer la cause du verrouillage.<\/p>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<h2>35. Cas pratique \u2013 Canal s\u00e9curis\u00e9 d\u00e9faillant<\/h2>\n\n<p>Un poste indique :<\/p>\n\n<p><strong>\u00ab La relation d\u2019approbation entre cette station de travail et le domaine principal a \u00e9chou\u00e9. \u00bb<\/strong><\/p>\n\n<p>La commande :<\/p>\n\n<pre><code>Test-ComputerSecureChannel<\/code><\/pre>\n\n<p>retourne :<\/p>\n\n<pre><code>False<\/code><\/pre>\n\n<div class=\"tip-question\">\n\n<p><strong>Que peux-tu conclure ?<\/strong><\/p>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Afficher la r\u00e9ponse<\/summary>\n\n<p>Le canal s\u00e9curis\u00e9 entre ce poste et le domaine n\u2019est pas fonctionnel.<\/p>\n\n<p>Il faut poursuivre le diagnostic en v\u00e9rifiant notamment :<\/p>\n\n<ul>\n<li>DNS ;<\/li>\n<li>r\u00e9seau ;<\/li>\n<li>heure ;<\/li>\n<li>objet ordinateur ;<\/li>\n<li>proc\u00e9dure de r\u00e9paration pr\u00e9vue par l\u2019organisation.<\/li>\n<\/ul>\n\n<p>Sortir imm\u00e9diatement le poste du domaine n\u2019est pas la premi\u00e8re \u00e9tape.<\/p>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<h2>36. TP \u2013 Diagnostiquer un incident d\u2019acc\u00e8s AD<\/h2>\n\n<div class=\"tip-tp\">\n\n<p>Sophie Martin travaille en Comptabilit\u00e9.<\/p>\n\n<p>Elle doit acc\u00e9der \u00e0 :<\/p>\n\n<pre><code>\\\\SRV-FICHIERS\\COMPTABILITE<\/code><\/pre>\n\n<p>L\u2019architecture est :<\/p>\n\n<pre><code>GG_COMPTABILITE\n\nGDL_COMPTA_MODIF<\/code><\/pre>\n\n<p>Le groupe :<\/p>\n\n<pre><code>GDL_COMPTA_MODIF<\/code><\/pre>\n\n<p>dispose de la permission Modification sur le dossier.<\/p>\n\n<p>Sophie indique aujourd\u2019hui :<\/p>\n\n<p><strong>\u00ab Le dossier me refuse l\u2019acc\u00e8s. \u00bb<\/strong><\/p>\n\n<p><strong>Travail demand\u00e9 :<\/strong><\/p>\n\n<ol>\n<li>V\u00e9rifier son identit\u00e9 avec whoami.<\/li>\n<li>V\u00e9rifier que le poste est membre du domaine.<\/li>\n<li>Contr\u00f4ler la configuration IP et DNS.<\/li>\n<li>Tester la d\u00e9couverte d\u2019un contr\u00f4leur de domaine.<\/li>\n<li>V\u00e9rifier l\u2019\u00e9tat du compte smartin.<\/li>\n<li>Contr\u00f4ler ses groupes AD.<\/li>\n<li>V\u00e9rifier GG_COMPTABILITE.<\/li>\n<li>V\u00e9rifier l\u2019imbrication avec GDL_COMPTA_MODIF.<\/li>\n<li>V\u00e9rifier le jeton de s\u00e9curit\u00e9 de la session.<\/li>\n<li>R\u00e9soudre SRV-FICHIERS.<\/li>\n<li>Tester TCP 445.<\/li>\n<li>V\u00e9rifier le partage.<\/li>\n<li>Examiner les permissions SMB.<\/li>\n<li>Examiner les permissions NTFS.<\/li>\n<li>Identifier la cause exacte.<\/li>\n<li>Appliquer uniquement la correction n\u00e9cessaire.<\/li>\n<li>Tester \u00e0 nouveau depuis la session utilisateur.<\/li>\n<li>Documenter l\u2019intervention.<\/li>\n<\/ol>\n\n<\/div>\n\n<details class=\"tip-corrige\">\n\n<summary>\u2705 Corrig\u00e9 du TP<\/summary>\n\n<p>Les principales commandes de diagnostic peuvent \u00eatre :<\/p>\n\n<pre><code>whoami\n\nGet-CimInstance Win32_ComputerSystem |\nSelect-Object Name,Domain,PartOfDomain\n\nGet-NetIPConfiguration\n\nnltest \/dsgetdc:entreprise.local\n\nGet-ADUser smartin `\n  -Properties Enabled,LockedOut\n\nGet-ADPrincipalGroupMembership smartin |\nSelect-Object Name\n\nGet-ADGroupMember GG_COMPTABILITE\n\nGet-ADGroupMember GDL_COMPTA_MODIF\n\nwhoami \/groups\n\nResolve-DnsName SRV-FICHIERS\n\nTest-NetConnection SRV-FICHIERS -Port 445<\/code><\/pre>\n\n<p>Sur le serveur de fichiers :<\/p>\n\n<pre><code>Get-SmbShare\n\nGet-SmbShareAccess `\n  -Name COMPTABILITE\n\n(Get-Acl `\n  \"D:\\Partages\\Comptabilite\").Access<\/code><\/pre>\n\n<p>Il faut ensuite comparer les r\u00e9sultats avec l\u2019architecture attendue.<\/p>\n\n<p>Par exemple, si Sophie n\u2019appartient plus \u00e0 GG_COMPTABILITE alors que ses coll\u00e8gues disposent correctement de l\u2019acc\u00e8s, la correction doit concerner l\u2019appartenance au groupe apr\u00e8s validation de la demande.<\/p>\n\n<p>Il ne faut pas lui attribuer directement Contr\u00f4le total sur le dossier.<\/p>\n\n<\/details>\n\n<hr class=\"tip-separator\">\n\n<div class=\"tip-examen\">\n\n<h3>\ud83c\udf93 Point examen<\/h3>\n\n<p>Le jury peut te pr\u00e9senter un utilisateur qui n\u2019acc\u00e8de plus \u00e0 une ressource.<\/p>\n\n<p>Ce qu\u2019il faut montrer n\u2019est pas seulement ta connaissance des commandes.<\/p>\n\n<p>Il faut d\u00e9montrer une <strong>m\u00e9thode de diagnostic<\/strong>.<\/p>\n\n<p>Retenir :<\/p>\n\n<p><strong>Identit\u00e9 \u2192 domaine \u2192 compte \u2192 groupes \u2192 session \u2192 r\u00e9seau \u2192 ressource \u2192 permissions.<\/strong><\/p>\n\n<p>Tu dois notamment \u00eatre capable de distinguer :<\/p>\n\n<ul>\n<li>authentification et autorisation ;<\/li>\n<li>groupe Active Directory et jeton de session ;<\/li>\n<li>probl\u00e8me r\u00e9seau et probl\u00e8me de permission ;<\/li>\n<li>permission SMB et permission NTFS ;<\/li>\n<li>sympt\u00f4me et cause r\u00e9elle.<\/li>\n<\/ul>\n\n<p>La bonne correction est celle qui :<\/p>\n\n<p><strong>r\u00e9tablit l\u2019acc\u00e8s n\u00e9cessaire sans accorder davantage de privil\u00e8ges que pr\u00e9vu.<\/strong><\/p>\n\n<\/div>\n\n<hr class=\"tip-separator\">\n\n<h2>Quiz \u2013 V\u00e9rifie tes connaissances<\/h2>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 1<\/strong><\/p>\n\n<p>Quelle commande v\u00e9rifie l\u2019identit\u00e9 actuellement utilis\u00e9e ?<\/p>\n\n<p>A. whoami<br>\nB. hostname \/user<br>\nC. Get-NetAdapter<br>\nD. tracert<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 2<\/strong><\/p>\n\n<p>Un utilisateur ouvre sa session mais re\u00e7oit \u00ab Acc\u00e8s refus\u00e9 \u00bb sur un dossier. Quelle notion est prioritairement concern\u00e9e ?<\/p>\n\n<p>A. Autorisation<br>\nB. Alimentation \u00e9lectrique<br>\nC. BIOS<br>\nD. Partitionnement<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 3<\/strong><\/p>\n\n<p>Quelle propri\u00e9t\u00e9 permet de v\u00e9rifier si un compte AD est d\u00e9sactiv\u00e9 ?<\/p>\n\n<p>A. Enabled<br>\nB. LinkSpeed<br>\nC. VLAN<br>\nD. DiskStatus<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 4<\/strong><\/p>\n\n<p>Quelle commande recherche les comptes verrouill\u00e9s ?<\/p>\n\n<p>A. Search-ADAccount -LockedOut<br>\nB. Get-NetUser -Blocked<br>\nC. ping -locked<br>\nD. nltest \/lock<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 5<\/strong><\/p>\n\n<p>Quelle commande affiche les groupes AD d\u2019un utilisateur ?<\/p>\n\n<p>A. Get-ADPrincipalGroupMembership<br>\nB. Get-NetRoute<br>\nC. Get-SmbShare<br>\nD. arp -a<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 6<\/strong><\/p>\n\n<p>Quelle commande affiche les groupes pr\u00e9sents dans le jeton de s\u00e9curit\u00e9 de la session ?<\/p>\n\n<p>A. whoami \/groups<br>\nB. ipconfig \/groups<br>\nC. Get-Acl \/groups<br>\nD. netstat -groups<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 7<\/strong><\/p>\n\n<p>Quelle commande teste le canal s\u00e9curis\u00e9 avec le domaine ?<\/p>\n\n<p>A. Test-ComputerSecureChannel<br>\nB. Test-NetConnection -Domain<br>\nC. Get-ADTrustOnly<br>\nD. ping localhost<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 8<\/strong><\/p>\n\n<p>Quel port tester pour un partage SMB moderne ?<\/p>\n\n<p>A. TCP 445<br>\nB. TCP 22<br>\nC. TCP 80<br>\nD. UDP 67<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 9<\/strong><\/p>\n\n<p>Quelle commande permet de consulter les permissions NTFS ?<\/p>\n\n<p>A. Get-Acl<br>\nB. Get-NetAdapter<br>\nC. Get-DnsClient<br>\nD. Test-Path 445<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse A.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-question\">\n\n<p><strong>Question 10<\/strong><\/p>\n\n<p>Quelle est la meilleure attitude face \u00e0 un acc\u00e8s refus\u00e9 ?<\/p>\n\n<p>A. Donner imm\u00e9diatement Contr\u00f4le total<br>\nB. Ajouter l\u2019utilisateur \u00e0 Domain Admins<br>\nC. Identifier la cause puis appliquer la correction minimale<br>\nD. Supprimer et recr\u00e9er le compte syst\u00e9matiquement<\/p>\n\n<details class=\"tip-corrige\">\n<summary>\u2705 Voir la r\u00e9ponse<\/summary>\n<p><strong>R\u00e9ponse C.<\/strong><\/p>\n<\/details>\n\n<\/div>\n\n<div class=\"tip-a-retenir\">\n\n<h3 style=\"color:#ffffff;\">\u2705 \u00c0 retenir<\/h3>\n\n<p><strong>whoami<\/strong> \u2192 identit\u00e9 r\u00e9ellement utilis\u00e9e.<\/p>\n\n<p><strong>Get-ADUser<\/strong> \u2192 \u00e9tat du compte.<\/p>\n\n<p><strong>Search-ADAccount -LockedOut<\/strong> \u2192 comptes verrouill\u00e9s.<\/p>\n\n<p><strong>Get-ADPrincipalGroupMembership<\/strong> \u2192 groupes AD d\u2019un utilisateur.<\/p>\n\n<p><strong>Get-ADGroupMember<\/strong> \u2192 membres d\u2019un groupe.<\/p>\n\n<p><strong>whoami \/groups<\/strong> \u2192 groupes pr\u00e9sents dans le jeton de session.<\/p>\n\n<p><strong>Resolve-DnsName<\/strong> \u2192 diagnostic DNS.<\/p>\n\n<p><strong>nltest \/dsgetdc<\/strong> \u2192 d\u00e9couverte d\u2019un contr\u00f4leur de domaine.<\/p>\n\n<p><strong>Test-ComputerSecureChannel<\/strong> \u2192 canal s\u00e9curis\u00e9 poste\/domaine.<\/p>\n\n<p><strong>Test-NetConnection -Port 445<\/strong> \u2192 acc\u00e8s SMB.<\/p>\n\n<p><strong>Get-SmbShareAccess<\/strong> \u2192 permissions du partage.<\/p>\n\n<p><strong>Get-Acl<\/strong> \u2192 permissions NTFS.<\/p>\n\n<p><strong>klist<\/strong> \u2192 tickets Kerberos de la session.<\/p>\n\n<p><strong>Authentification<\/strong> \u2192 qui es-tu ?<\/p>\n\n<p><strong>Autorisation<\/strong> \u2192 \u00e0 quoi as-tu droit ?<\/p>\n\n<p><strong>R\u00e9flexe technicien<\/strong> \u2192 diagnostiquer \u2192 corriger au minimum \u2192 tester \u2192 documenter.<\/p>\n\n<\/div>\n\n\n\n<div class=\"wp-block-group tip-download is-layout-constrained wp-block-group-is-layout-constrained\">\n<h2 class=\"wp-block-heading\">\ud83d\udcc4 Fiche de r\u00e9vision<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Retrouvez l\u2019essentiel de ce cours dans une fiche synth\u00e9tique \u00e0 conserver ou \u00e0 imprimer pour vos r\u00e9visions.<\/p>\n\n\n\n<div data-wp-interactive=\"core\/file\" class=\"wp-block-file\"><object data-wp-bind--hidden=\"!state.hasPdfPreview\" hidden class=\"wp-block-file__embed\" data=\"https:\/\/procyb.fr\/wp-content\/uploads\/2026\/10\/TIP313.pdf\" type=\"application\/pdf\" style=\"width:100%;height:600px\" aria-label=\"Contenu embarqu\u00e9 &lt;strong&gt;Fiche de r\u00e9vision TIP 3.13 V\u00e9rifier l&apos;acc\u00e8s aux ressources et r\u00e9soudre un incident AD&lt;\/strong&gt;.\"><\/object><a id=\"wp-block-file--media-7da0d459-13b3-41e1-b0e1-f67c145ada6f\" href=\"https:\/\/procyb.fr\/wp-content\/uploads\/2026\/10\/TIP313.pdf\"><strong>Fiche de r\u00e9vision TIP 3.13 V\u00e9rifier l&rsquo;acc\u00e8s aux ressources et r\u00e9soudre un incident AD<\/strong><\/a><a href=\"https:\/\/procyb.fr\/wp-content\/uploads\/2026\/10\/TIP313.pdf\" class=\"wp-block-file__button wp-element-button\" download aria-describedby=\"wp-block-file--media-7da0d459-13b3-41e1-b0e1-f67c145ada6f\">T\u00e9l\u00e9charger le PDF<\/a><\/div>\n<\/div>\n\n\n\n<div class=\"wp-block-group tip-navigation is-layout-constrained wp-block-group-is-layout-constrained\">\n<div class=\"wp-block-group is-content-justification-space-between is-nowrap is-layout-flex wp-container-core-group-is-layout-8528904a wp-block-group-is-layout-flex\">\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\">\n<div class=\"wp-block-button\"><a class=\"wp-block-button__link wp-element-button\" href=\"https:\/\/procyb.fr\/index.php\/formation-tip-infrastructure\/\"><strong><strong>\u2190 Retour au module Infrastructure<\/strong><\/strong><\/a><\/div>\n<\/div>\n\n\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\">\n<div class=\"wp-block-button\"><a class=\"wp-block-button__link wp-element-button\" href=\"https:\/\/procyb.fr\/index.php\/2026\/10\/13\/tip-3-14-comprendre-les-gpo-utiles-au-technicien-de-proximite\/\"><strong><strong>TIP 3.14 \u2013 Comprendre les GPO utiles au technicien de proximit\u00e9 \u2192<\/strong><\/strong><\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Apprenez \u00e0 diagnostiquer m\u00e9thodiquement les incidents Active Directory : compte verrouill\u00e9 ou d\u00e9sactiv\u00e9, mauvais DNS, canal s\u00e9curis\u00e9 d\u00e9faillant, groupes incorrects, droits NTFS ou SMB insuffisants et probl\u00e8me d\u2019acc\u00e8s aux ressources. Utilisez les outils Windows et PowerShell pour identifier la cause avant de modifier la configuration. <span class=\"more-tag mt-15 is-style-arrow\"><a class=\"more-link wp-block-button__link\" href=\"https:\/\/procyb.fr\/index.php\/2026\/10\/13\/tip-3-13-verifier-lacces-aux-ressources-et-resoudre-un-incident-ad\/\">...<span class=\"screen-reader-text\"> \"TIP 3.13 \u2013 V\u00e9rifier l\u2019acc\u00e8s aux ressources et r\u00e9soudre un incident AD\"<\/span><\/a><\/span><!-- .more-tag --><\/p>\n","protected":false},"author":2,"featured_media":2747,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"advanced_seo_description":"","jetpack_seo_html_title":"","jetpack_seo_noindex":false,"jetpack_seo_schema_type":"","_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_feature_clip_id":0,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":true,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2},"jetpack_post_was_ever_published":false},"categories":[44,77,81],"tags":[],"class_list":["post-2742","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-active-directory","category-formation-tip","category-tip-infrastructure"],"jetpack_publicize_connections":[],"jetpack_sharing_enabled":true,"jetpack_likes_enabled":true,"jetpack_featured_media_url":"https:\/\/i0.wp.com\/procyb.fr\/wp-content\/uploads\/2026\/10\/Diagnostiquer-les-acces-Active-Directory.png?fit=1698%2C926&ssl=1","_links":{"self":[{"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/posts\/2742","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/comments?post=2742"}],"version-history":[{"count":5,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/posts\/2742\/revisions"}],"predecessor-version":[{"id":2753,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/posts\/2742\/revisions\/2753"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/media\/2747"}],"wp:attachment":[{"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/media?parent=2742"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/categories?post=2742"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/procyb.fr\/index.php\/wp-json\/wp\/v2\/tags?post=2742"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}