TP : Créer un domaine Active Directory et ses comptes avec correction

Ce que vous allez apprendre dans ce TP

• Installer AD DS et promouvoir un contrôleur de domaine
• Créer OU, utilisateurs et groupes en PowerShell
• Lier une GPO et vérifier son application

Introduction #

Ce que vous allez apprendre dans cette section

• Installer AD DS et promouvoir un contrôleur de domaine
• Créer OU, utilisateurs et groupes en PowerShell
• Lier une GPO et vérifier son application

Contexte. Une PME de 30 personnes veut centraliser ses comptes. Vous montez le domaine de laboratoire corp.lab et préparez l'arrivée des utilisateurs.

Prérequis : une VM Windows Server 2025 avec une IP fixe (une seconde VM Windows pour tester la jonction est un plus)  ·  Durée estimée : 60 min

Le domaine corp.lab, ses OU, 5 utilisateurs, des groupes AGDLP et une GPO vérifiée avec gpresult.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Préparer le serveur

   Pourquoi ? Un contrôleur de domaine doit avoir un nom définitif et une IP fixe avant la promotion.

   Renommez le serveur SRV-DC01, donnez-lui une IP fixe et pointez son DNS vers lui-même, puis redémarrez.
   Voir la correction

   Get-NetIPConfiguration
   New-NetIPAddress -InterfaceAlias 'Ethernet' -IPAddress 192.168.50.10 -PrefixLength 24 -DefaultGateway 192.168.50.1
   Set-DnsClientServerAddress -InterfaceAlias 'Ethernet' -ServerAddresses 127.0.0.1
   Rename-Computer -NewName SRV-DC01 -Restart

2. 2. Créer la forêt

   Pourquoi ? Install-ADDSForest installe AD DS et le DNS intégré en une commande.

   Installez le rôle AD DS puis créez la forêt corp.lab (NetBIOS CORP). Le serveur redémarre.
   Voir la correction

   Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
   Install-ADDSForest -DomainName 'corp.lab' -DomainNetbiosName 'CORP' -InstallDns `
       -SafeModeAdministratorPassword (Read-Host -AsSecureString 'Mot de passe DSRM') -Force
   # après redémarrage, se connecter en CORP\Administrateur
   Get-ADDomain | Select-Object DNSRoot, NetBIOSName, PDCEmulator
   dcdiag /q

3. 3. Structurer avec des OU

   Pourquoi ? Les OU servent à déléguer et à cibler les GPO, pas à reproduire l’organigramme.

   Créez OU=CORP avec les sous-OU Utilisateurs, Groupes, Postes et Serveurs.
   Voir la correction

   $base = 'DC=corp,DC=lab'
   New-ADOrganizationalUnit -Name CORP -Path $base
   'Utilisateurs', 'Groupes', 'Postes', 'Serveurs' | ForEach-Object {
       New-ADOrganizationalUnit -Name $_ -Path "OU=CORP,$base"
   }
   Get-ADOrganizationalUnit -Filter * | Select-Object Name, DistinguishedName

4. 4. Importer les utilisateurs

   Pourquoi ? Une création en masse depuis un CSV évite les erreurs de saisie.

   Créez un CSV de 5 personnes (prénom, nom, login, service) et importez-les dans l’OU Utilisateurs, avec changement de mot de passe à la première connexion.
   Voir la correction

   @'
   Prenom;Nom;Login;Service
   Jeanne;Dupont;jdupont;Compta
   Karim;Benali;kbenali;Compta
   Lea;Martin;lmartin;RH
   Hugo;Bernard;hbernard;IT
   Sara;Lopez;slopez;IT
   '@ | Set-Content C:\TP\arrivees.csv -Encoding UTF8
   $mdp = ConvertTo-SecureString 'Tp-Corp!2026' -AsPlainText -Force
   Import-Csv C:\TP\arrivees.csv -Delimiter ';' | ForEach-Object {
       New-ADUser -Name "$($_.Prenom) $($_.Nom)" -GivenName $_.Prenom -Surname $_.Nom -SamAccountName $_.Login `
           -UserPrincipalName "$($_.Login)@corp.lab" -Department $_.Service -Path 'OU=Utilisateurs,OU=CORP,DC=corp,DC=lab' `
           -AccountPassword $mdp -Enabled $true -ChangePasswordAtLogon $true
   }
   Get-ADUser -Filter * -SearchBase 'OU=Utilisateurs,OU=CORP,DC=corp,DC=lab' -Properties Department | Select-Object Name, SamAccountName, Department

5. 5. Groupes AGDLP

   Pourquoi ? Les droits se donnent à des groupes de ressource, qui contiennent des groupes métier.

   Créez les groupes globaux GG_Compta, GG_RH, GG_IT remplis selon le service, et le groupe de domaine local DL_Partage_Compta_M contenant GG_Compta.
   Voir la correction

   $ou = 'OU=Groupes,OU=CORP,DC=corp,DC=lab'
   foreach ($s in 'Compta', 'RH', 'IT') {
       New-ADGroup -Name "GG_$s" -GroupScope Global -GroupCategory Security -Path $ou
       Get-ADUser -Filter "Department -eq '$s'" | ForEach-Object { Add-ADGroupMember "GG_$s" -Members $_ }
   }
   New-ADGroup -Name DL_Partage_Compta_M -GroupScope DomainLocal -Path $ou
   Add-ADGroupMember DL_Partage_Compta_M -Members GG_Compta
   Get-ADGroupMember DL_Partage_Compta_M -Recursive | Select-Object Name

6. 6. Une première GPO

   Pourquoi ? Une GPO liée à une OU configure toutes les machines qu’elle contient.

   Créez la GPO SEC - Verrouillage écran (écran de veille protégé après 10 minutes), liez-la à l’OU Utilisateurs, puis vérifiez avec gpresult en ouvrant une session de test.
   Voir la correction

   $g = New-GPO -Name 'SEC - Verrouillage écran'
   $k = 'HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop'
   Set-GPRegistryValue -Name $g.DisplayName -Key $k -ValueName ScreenSaveActive -Type String -Value 1
   Set-GPRegistryValue -Name $g.DisplayName -Key $k -ValueName ScreenSaverIsSecure -Type String -Value 1
   Set-GPRegistryValue -Name $g.DisplayName -Key $k -ValueName ScreenSaveTimeOut -Type String -Value 600
   New-GPLink -Name $g.DisplayName -Target 'OU=Utilisateurs,OU=CORP,DC=corp,DC=lab'
   # sur un poste joint (Add-Computer -DomainName corp.lab -Restart), session jdupont :
   gpupdate /force
   gpresult /r /scope user

Niveau de difficulté : ●●○○○ (2/5)