Exercice création du domaine et ajout des station et sessions
Objectifs
- Installation d'active directory
- ajout d'une station de travail dans le domaine
Configuration initiale
Ce TD est à réaliser avec deux stations de travail windows 2000 pro et un serveur windows 2000 server. L'une des stations de travail sera appelée station1, l'autre sera appelée station2. Le serveur sera appelé serveur1
Exercice 1: Création du domaine cmell.shayol.org
Créez le domaine cmell.shayol.org en installant Active Directory sur serveur1. Le domaine shayol.org est géré par une entité extérieure à votre entreprise. Le domaine cmell.shayol.org est donc le premier domaine de votre entreprise. {sidebar id=1}
On vous rappelle que :
- un contrôleur de domaine doit avoir un adresse ip fixe (192.168.202.50 par exemple si vous travailler dans le sous-réseau 192.168.202.0/24)..
- Que les domaines ActiveDirectory sont liés au domaine dns portant le même nom et donc qu'il doit exister un serveur dns gérant le domaine (au sens dns) cmell.shayol.org. Microsoft conseille que le serveur dns associé accepte les mises à jour dynamiques. Si ce n'est pas le cas, l'installation du programme serveur dns microsoft vous sera proposée durant l'installationd'active directory. Vous devrez l'accepter. Vous ferez aussi en sorte que votre serveur gère la zone inverse et que toutes vos machines y aient une entrée.
- l'installationd'active directory se lance soit avec l'outil « dcpromo » soit via l'assistant de configuration du serveur (Outils d'administration/Configurer votre serveur).
- Votre entreprise ne comporte pas de serveurs windows NT. Vous pouvez donc passer votre domaine en mode natif.
Exercice 2: ajout de la station au domaine
Ouvrez une session en tant qu'administrateur local sur station1. Allez dans « Propriétés du poste de travail/Identification réseau/Propriétés » et intégrez la station au domaine.
Lors de l'intégration, il vous est demandé un login et un mot de passe: lesquels ? Pourquoi ? On vous rappele que :
windows 2000 utilise le dns pour repérer les contrôleurs de domaine. Si votre station de travail utilise un dns qui ne connait pas votre domaine windows 2000, l'intégration échouera si vous utilisez le nom dns du domaine (domaine inconnu ou ~). Elle réussira si vous utilisez le nom netbios mais c'est une mauvaise solution car vous vous appuyez alors sur un mécanisme de compatibilité avec windows NT alors que le problème est un problème de configuration. La bonne solution consiste à configurer la station de travail pour qu'elle utilise un dns connaissant le domaine. Dans le cadre du TD, cela consiste à prendre le contrôleur deb domaine comme serveur dns. La station de travail peut continuer à obtenir son adresse IP par DHCP.
Exercice 3: ajout de la seconde station de travail au domaine.
Ouvrez une session en tant qu'administrateur sur le contrôleur de domaine. Lancez la mmc .
« utilisateurs et ordinateurs active directory » que vous trouverez dans « Outils d'administration », créez un utilisateur test1 (mot de passe passtest1) et créer un ordinateur portant le nom de votre seconde station de travail dans le conteneur « Ordinateur ». Vous indiquerez que l'utilisateur test1 peut réaliser l'intégration de la station dans le domaine.
Ouvrez une session en tant qu'administrateur local sur station2 et intégrez la dans le domaine. Quand un login et un mot de passe vous seront demandés, donnez ceux de test1.
Exercice 4: ouverture de session sur les stations de travail w2k-pro
L'intégration dans le domaine a-t-elle changée la mire de login des stations de travail. Sur station1 et sur station2, ouvrez une session en tant que test1. Depuis l'intégration dans le domaine, tous les utilisateurs du domaine peuvent ouvrir des sessions sur les stations de travail.
Ouvrez une session sur station2 en tant qu'administrateur du domaine. Êtes-vous administrateur local de la station de travail. Comment cela se fait-il ?
Quelles autres modifications des groupes locaux de la station de travail ont-elles eu lieu pendant l'intégration dans le domaine ?
Créez un partage sur station2 (CT pour les utilisateurs authentifés). Accèdez y en tant que test1 depuis station1. Avez-vous été obligé de fournir un mot de passe ? Pourquoi .
Exercices Stratégies de groupes Utilisation Délégation Planification
Configuration initiale
Ce TD est à réaliser avec une station de travail windows 2000 pro et un serveur windows 2000 server. La station de travail sera appelée station1. Le serveur sera appelé serveur1. Le serveur sera contrôleur de domaine et la station sera dans le domaine.
Prérequis
- Administration d'active directory
- concepts sur les stratégies de groupe
Exercice 1: Stratégie locale de sécurité
- Sur station 1 - créez un utilisateur testloc (mot de passe: password). {}
- Sur serveur1 - créez un utilisateur test (mot de passe password)
- Sur station1 - utilisez l'outil > pour autoriser les utilisateurs testloc et test à modifier l'heure de la station de travail. Tentez d'ouvrir une session sur le contrôleur de domaine en tant qu'utilisateur test. Que se passe-t-il ?
L'authentification réussit, le mot de passe est reconnu et accepté mais l'ouverture de la session est refusée parce que la stratégie locale de sécurité l'interdit.
Ouvrez une session en tant qu'administrateur et trouverez dans la stratégie de sécurité du contrôleur de domaine la liste des utilisateurs ou groupes autorisés à ouvrir une session sur le contrôleur de domaine. Ajoutez-y l'utilisateur test.
Attention: il s'agit de la stratégie de sécurité du contrôleur de domaine et pas de la stratégie de sécurité du domaine. Un administrateur compétent aurait créé un groupe LocalSession, aurait ajouté le groupe LocalSession aux utilisateurs pouvant ouvrir une session et aurait ensuite mis test dans LocalSession. C'est un principe de base de l'administration système windows 2000: on donne les permissions, les droits à des groupes et on gère qui a ces permissions et ces droits en ajoutant ou en otant les utilisateurs de ces groupes.
- Tentez d'ouvrir une session en tant qu'utilisateur test sur le contrôleur de domaine. Que se passe-t-il ? Pourquoi ?
L'ouverture de session est refusée. C'est du au fait que les stratégies de groupe mettent un certain temps à se diffuser (#5 mn pour un contrôleur de domaine, #1h30 pour un ordinateur membre).
- Forcez la propagation des stratégies de groupes à l'aide de la commande >. Si l'aide en ligne apparaît, c'est que vous avez fait une faute de frappe.
Si la mise à jour concerne une stratégie machine, on utilise la commande indiquée. Pour une stratégie utilisateur, on utilise « secedit /refreshpolicy user_policy »
Exercice 2: Utilisation de Stratégie de groupe dans active directory
- Créez une unité d'organisation nommée Departement. Dans cette unité, créez des utilisateurs ens1, ens2, ..., ens5. Créez un utilisateur ensAdmin dans le conteneur Users. {sidebar id=1}
- On souhaite supprimer le menu exécuter à tous les utilisateurs de l'unité d'organisation Departement. Créez une stratégie de groupe implantant cette limitation (Propriétés de Departement/Stratégie de groupes).
Si la stratégie n'existe pas ailleurs, la création se fait en deux étapes: on clique sur nouveau pour la créer puis sur modifier pour placer les paramètres (« pas de menu exécuter » dans notre cas).
- Vérifier en ouvrant une session sur la station de travail que cette modification s'applique bien à ens1, ... mais pas à ensadmin. Expliquez pourquoi.
Même problème depropagation des stratégies qu'à l'exercice précédent. Utilisez secedit pour forcer la propagation.
- On souhaite appliquer un strategie de groupes aux utilisateurs du conteneur Users mais pas à ceux de l'unité d'organisation Departement. Est-ce possible ? Comment faire pour appliquer une strategie de groupe à tous les utilisateurs de Users, de département, ... ?
Users n'est pas une unité d'organisation, c'est un simple conteneur. Il n'est pas possible de définir de stratégie de groupe sur Users. Par contre, on peut définir une stratégie de groupe sur le domaine complet mais elle s'appliquera aussi à Departement. Il n'est donc pas possible de définir une stratégie de groupe qui ne s'applique qu'à Users. On peut par contre créer une stratégie de groupe au niveau du domaine. Elle s'appliquera à tous les utilisateurs du domaine mais les paramètres définis par les stratégies des unités d'organisation du domaine sera prioritaires sur elle. Cf ordre d'application des stratégies dans le cours.
- On souhaite que tous les utilisateurs du domaine n'appartenant pas à l'unité d'organisation Departement n'aient pas d'item Exécuter dans leur menu démarrer. Comment procéder ? Mettez le en application.
On définit une stratégie de groupe au niveau du domaine qui enlève l'item Exécuter du menu Démarrer de tous les utilisateus du domaine. On définit une stratégie de groupe sur Departement qui impose l'item exécuter dans le menu Démarrer des utilisateurs de Departement.
Exercice 3: Délégation de l'administration d'une stratégie de groupes
- Consultez les ACL des objets de stratégie de groupe (Departement/propriété/stratégie de groupe/propriété) et indiquer à qui s'applique la stratégie de groupe, qui a le droit de la modifier et qui a le droit d'en créer d'autres.
- Faites en sorte que l'utilisateur ensadmin puissse modifier la strategie mais pas en créer d'autres. Ouvrez une session en tant qu'ensadmin pour le vérifier. Comment sont les boutons > ?
Le bouton nouveau es grisé puisque l'utilisateur ensAdmin n'a pas le droit de créer de nouvelles stratégies.
- Faites en sorte que l'utilisateur ensadmin puisse créer des stratégies de groupes et les associer à l'unité Departement sans avoir le droit de le faire ailleurs (pour le domaine ou pour d'autres unités)
Il suffit de lui donner le droit ad hoc dans les ACL.
- La stratégie de groupe liée à Departement s'applique-t-elle a ensadmin ?
Non car ensAdmin n'appartient pas à Departement. Une stratégie de groupe s'applique aux objets des conteneurs auxquels elle est liée. Dans le cas présent, la stratégie s'applique aux compes utilisateurs présents dans Departement.
Exercice 4: Suppression d'une stratégie de groupes
- Supprimer l'une des stratégies de groupe de Departement. On vous propose deux choix :
« supprimer la liaison » ou « supprimer la liaison et la strategie ». Expliquer les conséquences de chacun de ces choix.
On peut supprimer le lien seul ou supprimer le lien et l'objet GPO. Si on supprime le lien, l'objet GPO peut être lié à d'autres unités d'organisation. Si on supprime le lien et l'objet GPO, ce dernier est complètement détruit et ne peut plus être utilisé (lié) à d'autres unités d'organisation.
Exercice 5: Planification des stratégies de groupes
1. Proposer et implantez les unités d'organisations, les strategies de groupe, ... permettant de répondre au cahier des charges suivant:
- · les utilisateurs du domaine sont soit des membres du personnel ou des étudiants
- · les membres du personnel sont soit des enseignants, soit des personnels administratifs
- · les étudiants sont soit des étudiants de Miage, soit des étudiants d'ASR
- · les étudiants ne doivent pas pouvoir changer leur mot de passe
- · les utilisateurs ont tous le château de chambord en fond d'écran
- les étudiants de miage ne doivent pas avoir de menu permettant de connecter ou de
- Les étudiants de miage ont un paysage d'automne en fond d'écran. Les étudiants d'ASR ont une colline herbeuse comme fond d'écran
- une sercrétaire (sec1) peut réinitialiser les mots de passe des étudiants
- · un enseignant (ens1) peut gérer les comptes des étudiants (et notamment en créer) Il peut aussi appliquer des stratégies de groupe aux étudiants.
On est obligé de créer des unités d'organisation pour regrouper des comptes (utilisateurs ou ordinateurs) auxquels on veut appliquer un traîtement commun : soit des paramètres via les stratégies de groupe, soit déléguer des tâches administratives sur ces comptes via la délégation de contrôle.
Du cahier des charges, on déduit que les comptes des enseignants et des personnes administratifs ont les mêmes particularités et contraintes. On ne les séparera donc pas dans des unités d'organisation distinctes.
Les étudiants sont par contre répartis en deux groupes qui ont des particularités propres. Nous allons donc adopter l'organisation suivante:
- une unité d'organisation Departement
- dans Departement, deux unités d'organisation: Personnel et Etudiants
- dans Etudiants, deux unités d'organisation : Miage ASR.
- Une stratégie de groupe sur Departement qui impose le fond d'écran Chambord
- Une stratégie de groupe sur Etudiants qui empêche le changement de mot de passe
- Une stratégie de groupe sur ASR qui impose le fond d'écran herbeux (qui vaut mieux qu'un fond d'écran barbu à la « big brother is watching you »)
- une strategie de groupe sur Miage qui impose le fond d'écran d'automne
- une strategie de groupe sur Miage qui supprimer les items permettant de connecter/déconnecter des lecteurs réseau. On aurait pu regrouper les deux propriétés (fond d'écran et connecter) dans une seule stratégie mais il est considérer comme une bonne pratique d'avoir des stratégies clairement identifiables jouant des rôles clairs et cohérent avec des noms parlants. Cela facilite leur réutilisation.
- On créera un groupe initMDPEtu et on utilisera la délégation de contrôle sur Etudiants pour donner le droit de réinitialiser les mots de passe à initMDPEtu. On ajoutera sec1 à initMDPEtu.
- On créera un groupe gestionCompteEtu et on utilisera la délégation de contrôle sur Etudiants pour donner le droit de gérer les comptes à gestionCompteEtu. On ajoutera ens1 à initMDPEtu.
QCM Active Directory la sauvegarde du domaine
Vous êtes l’administrateur réseau de votre entreprise. Votre réseau consiste en un simple domaine Active Directory. Tous les serveurs exécutent Windows 2003 Server et tous les clients exécutent Windows XP.
Vous installez un nouveau serveur de fichier et d’impression nommé File1. Vous configurez les paramètres de sécurités de votre entreprise et d’autres options. Vous utilisez un utilitaire tierce pour créer et sauvegarder un image sur le serveur. Ensuite vous joignez la machine au domaine.
Six semaines plus tard, vous re-appliquez l’image sauvegardée sur le serveur File1 et vous le redémarrez. Vous tentez d’ouvrir une session sur le domaine avec votre compte de domaine. Cependant, vous n’arrivez pas à ouvrir votre session. Vous devez ouvrir une session sur File1 et rejoindre la machine au domaine. Votre solution doit utiliser le moins d’effort administratif.
Quelles sont les deux actions à exécuter ?
A. Réinitialisez le compte d’ordinateur File1 dans Active Directory.
B. Supprimez et recréez le compte d’ordinateur File1.
C. Joignez File1 au domaine.
D. Ouvrez une session avec le compte Administrateur du domaine.
E. Réinstallez File1.
2649.
Vous administrez un réseau hétérogène incluant un domaine Active Directory. Tous vos serveurs éxecutent Windows Server 2003 et tous vos postes clients éxecutent Windows XP Professionnel.
Un dossier partagé pose de nombreux problèmes à vos utilisateurs. Il est souvent indisponible. Vous découvrez que le probleme apparait a partir de 10 utilisateurs connectés simultanément.
Que devez vous faire pour rendre le partage utilisable à plus de 10 utilisateurs simultanés ?
A. Diminuer le quota par défaut
B. Augmenter le niveau fonctionnel du domaine à Windows Server 2003
C. Déplacer le partage sur un serveur
D. Acheter plus de licenses client
Explications :
La limite des 10 utilisateurs concerne uniquement Windows XP.
2767.
Vous êtes administrateur de la société SUPINFO. Votre compagnie a un siège social et deux bureaux annexes. Votre compagnie est un domaine Active Directory nommé SUP1. La société ajoute un nouveau bureau annexe, ce nouveau bureau annexe possède une liaison faible en bande passante connectée au siège social. Vous souhaitez installer un nouveau contrôleur de domaine nommé DC9 dans le nouveau bureau annexe. Votre installation doit minimiser les coûts et le trafic réseau.
Que devez vous faire ?
Sauvegarder l’état du système sur un contrôleur de domaine existant. Envoyer la copie de la sauvegarde au nouveau bureau annexe. Utiliser la sauvegarde pour installer Active Directory sur DC9.
Créer un nouveau site Active Directory avec DC9 dans le nouveau site. Installez Active Directory sur DC9
Placez le serveur DC9 sur un sous-réseau IP contenant les contrôleur de domaine existant. Installer Active Directory sur DC9. Déplacez DC9 sur le nouveau site physique de la nouvelle annexe
Sauvegarder l’état du système d’un contrôleur de domaine existant, compresser la sauvegarde. Copier la sauvegarde sur DC9 dans la nouvelle annexe. Décompresser la sauvegarde. Utiliser la sauvegarde pour installer Active Directory sur DC9.
2651.
Vous êtes l'administrateur du domaine certifexpress.com. Tous les serveurs executent Windows Server 2003 et tous les clients executent Windows XP.
Vous configurez votre controlleur de domaine CERTIFDC pour sauvegarder l'etat du systeme chaque nuit.
Une semaine après, CERTIFDC n'accepte plus aucune demande d'ouverture de session. Vous découvrez que la configuration d'Active Directory est corrompue et que la sauvegarde contenant la base de donnée non corrompue de la veille s'est bien déroulée.
Que devez vous faire pour rétablir la fonction de controlleur de domaine sur CERTIFDC ?
A. Faire de CERTIFDC un serveur membre.
B. Executer ntbackup systemstate sur CERTIFDC.
C. Redemarrer CERTIFDC en mode restauration du service d'annuaire et restaurer la sauvegarde de la veille.
D. Redemarrer CERTIFDC en mode restauration du service d'annuaire et utiliser la commande ntdsutil.
E. Rien. Il fallait sauvegarder la configuration d'Active Directory.
Explications :
La réponse C correspond à une restauration non autoritaire de la base de données Active Directory présente dans la sauvegarde. Ce mode de restauration est le plus adapté au scenario.
2659.
Vous êtes l’administrateur réseau de votre entreprise. Votre réseau consiste en un simple domaine Active Directory. Tous les serveurs exécutent Windows 2003 Server et tous les clients exécutent Windows XP.
Tous les assistants font partis du groupe global assistant et tous les Ingénieurs font parti du groupe global Ingénieurs. Un serveur nommé File1 contient un dossier partagé avec le nom Stratégie.
Les utilisateurs des groupes assistants et Ingénieurs n’ont pas le droit d’ouvrir une session localement sur File1. Un utilisateur nommé Loïc est membre des 2 groupes. Vous découvrez que certains fichiers dans Stratégie ont été modifiés pas Loïc. Vous devez reconfigurer les autorisations pour empêcher Loïc d’accéder à ce dossier. Vous ne devez en aucun cas affecter l’accès à ce dossier aux autres groupes et aux autres utilisateurs. Vous devez aussi vous assurez que Loïc conservera l’accès aux ressources qu’il a besoin.
A. Retirez Loïc du groupes Ingénieurs
B. Refusez l’accès au groupes Ingénieurs
C. Refusez explicitement l’accès au dossier à Loïc.
D. Créez un groupes spéciale pour Loïc et refusez l’accès à ce groupe.
QCM domaines groupes et permissions active directory
NB : La bonne réponse est marquée en
1369. Vous êtes administrateur de votre société. Vous avez deployé Windows 2000 professionel sur votre réseau via le service RIS. Votre compagnie a plusieurs annexes.
Vous prévoyez de déployer sur les ordinateurs Windows 2000 et autres ordinateurs une application tierce-partie; vous avez créer un groupe nommé Direction. Vous voulez permettre l'accès aux membres du groupe Direction pour créer des images personnalisées et leur poster via le service RIS pour le deploiement.
En plus de cela, vous souhaitez permette aux membres du groupe d'installer les ordinateurs clients depuis le serveur RIS.
Explications :
Pour écrire des images dans le répertoire RIS, les membres du groupe Direction doivent avoir les permissions d'écriture sur le répertoire d'installation à distance.
1489. Quel moteur de base de donnée est utilisé Active Directory ?
Explications :
Les groupes universels interviennent entre le groupe global et le groupe local au niveau de la stratégie A-G-DL-P (donc A-G-G-U-DL-P). Ils peuvent donc avoir comme membre des utilisateurs, des groupes globaux ou des groupes universels.
1482. Vous êtes administrateur du réseau de votre compagnie. Votre compagnie possède un siège social en France et des bureaux annexes en Asie, en Afrique et au Canada. L’administrateur local de chaque site est apte a contrôler toute les ressources locales.
Vous souhaitez interdire aux administrateurs locaux de chaque annexe de contrôler les ressources des autres annexes. Vous souhaitez uniquement que l’administrateur du siège social puisse créer et administrer les comptes utilisateurs.
Vous souhaitez créer une structure Active Directory pour accomplir ces tâches. Que devez vous faire ?
Explications :
Explication : Avec Active Directory, vous utilisez le Unité d’organisation comme base délégation d’autorité. Vous avez la possibilité d’administrer différents droits sur les ressources du domaine, vous devez donc dans ce cas assigner les droits aux administrateurs locaux sur leur propre bureau annexe, et permettre aux administrateurs du domaine se trouvant au siège social d’administrer l’ensemble du domaine.
1484. Vous êtes administrateur du réseau de votre société.Vous déployez Windows 2000 Professionnel sur votre réseau par le service RIS.Votre société est composé de plusieurs départements.
Pour faire ce déploiement de Windows 2000 et d’autres applications tierce partie, vous avez créer un groupe nommé Département Managers.Vous souhaitez permettre à tous les membre du groupe Départements Managers de créer des images personnalisées et de les publier sur le serveur RIS pour le déploiement. Vous souhaitez également permettre aux membres du groupe d’installer les stations clientes depuis le serveur RIS.
Que devez vous faire ?
Explications :
Explication : A
Pour écrire des images dans le répertoire RIS, les membres du groupe Département Managers doivent avoir le droit en écriture sur le répertoire RemoteInstall.Pour installer les images sur les postes clients les membres du groupe Département Managers doivent avoir le droit de lire sur le répertoire RemoteInstall.
1670. Vous êtes administrateur d'un réseau Windows 2000. Vous avez organisé l'ensemble des objets de votre domaine de façon à faciliter leur recherche et leur accessiblité dans Active Directory. Les utilisateurs appartenant à l'unité d'organisation "Les Secrétaires" utilisent l'interface Favoris Réseau - Tout le réseau - Active Directory pour visualiser les objets disponibles dans leur unité d'organisation et accèdent ainsi au dossier partagé "Rapport". Une nouvelle assistante est engagée. Vous créez son compte d'utilisateur dans l'unité d'organisation "Les Secrétaires". Lorsqu'elle ouvre une session, elle ne peut pas visualiser le dossier partagé "Rapport" alors que ces collègues y ont toujours accès. Quelles sont les causes probables liées à ce problème ?
A. Les autorisations du dossier partagé "Rapport" ont été attribuées au groupe "Les secrétaires", et la nouvelle assistante n'est pas membre de ce groupe
B. Les autorisations du dossier publié "Rapport" ont été attribuées au groupe "Les secrétaires", et la nouvelle assistante n'est pas membre de ce groupe
C. Le compte nouvellement créé est désactivé
D. Le dossier publié "Rapport" a été placé dans une autre unité d'organisation
Explications :
L'objet publié dans l'annuaire est distinct de la ressource partagée. Le dossier publié doit obtenir l'autorisation Lire pour être visible dans l'arborescence des objets Active Directory.
1698. Est il possible de changer l’étendue d’un groupe mixte ?
A. oui
B. non
Seulement si le groupe possède 500 éléments
1700. Combien de membres peut comporter un groupe ?
1658. Quels sont les effets du nombre de groupes sur les performances d'un réseau Windows 2000 en mode natif ?
Guillaume a besoin de créer des comptes utilisateurs uniquement au sein de cette OU. Vous ne voulez donner aucune autre permission à Guillaume au sein d'Active Directory.
Dans "Utilisateurs et Ordinateurs Active Directory", Vous devez choisir à quels objets de l'OU ces permissions devraient être appliquées.
Que choisiriez-vous pour cela ?
- "Objets enfants de l'Unité Organisationnelle"
- "Cet objet Active Directory et tous les objets enfants Active Directory"
- C. "Cet objet et tous les objets enfants"
- "Objets de l'Unité Organisationnelle".
Explications :
Guillaume a besoin de créer des comptes utilisateurs uniquement dans l'OU de Pékin. Nous devons alors restreindre ses permissions aux ojets de l'OU de Pékin et des OU enfants pouvant être ajoutées ultérieurement.
1486. Vous êtes administrateur d’un domaine Windows 2000. Toutes les ressources du domaine sont définies sur deux unités d’organisation. Les deux UO s’appellent respectivement OUEST et EST.
Sammy est administrateur des ressources uniquement pour l’unité d’organisation OUEST. Isabelle est administrateur des ressources uniquement pour l’unité d’organisation EST.
Vous déplacez l’objet PRINT1 de UO OUEST vers l’UO EST. Après avoir déplacer l’imprimante, Isabelle peut administrer cette imprimante. Cependant, Sammy peut toujours supprimer les documents situés dans la file d’attente de l’imprimante PRINT1.
Vous souhaitez qu’Isabelle soit la seule à pouvoir administrer l’imprimante PRINT1. Que devez vous faire ?
A- Utilisez la délégation de contrôle sur l’UO EST pour assigner les droits sur PRINT1 à Isabelle
B- Configurez les propriétés de sécurité de l’imprimante PRINT1 pour interdire l’héritage des permissions de se propager à l’imprimante PRINT1
C- Supprimez les permissions pour Sammy sur l’imprimante PRINT1
D- Configurez les permissions de l’imprimante sur l’UO OUEST pour seulement les appliquer à l’UO OUEST.
Explications :
Exercice serveur active directory domaine et utilisateurs
1.Vous venez d'installer Windows 2000 Server sur un serveur et vous souhaitez utiliser le processus de duplication de disque pour déployer Windows 2000 sur d'autres serveurs. Quelle est la procédure à suivre ?
Installez et configurez l'ordinateur, installez les applications sur l'ordinateur de test et exécutez Sysprep.exe sur l'ordinateur de test. Redémarrez ensuite l'ordinateur et créez une image à l'aide d'un utilitaire d'un autre fabricant. Enfin, enregistrez l'image dans un dossier partagé ou sur un CD-ROM, copiez l'image sur les ordinateurs de destination, démarrez l'ordinateur et terminez l'installation.
2. Vous souhaitez exécuter l'outil de préparation du système (Sysprep.exe) sur un ordinateur hôte, puis créer son image sur un autre ordinateur. Cependant, l'ordinateur de destination est équipé d'un matériel différent de l'ordinateur hôte. Comment pouvez-vous exécuter Sysprep.exe pour qu'il puisse correctement détecter le nouveau matériel ?
Exécutez Sysprep.exe avec le commutateur -pnp.
3. Quels services doivent être disponibles sur un réseau avant d'exécuter les services d'installation à distance ?
Le service Serveur DNS, le service Serveur DHCP et Active Directory.
4. Vous disposez d'un ordinateur que vous souhaitez utiliser comme client pour une installation à distance, mais vous n'êtes pas certain que celui-ci réponde à la configuration requise pour un Net PC ou une mémoire ROM d'amorçage de type PXE. Quelle autre méthode pouvez-vous utiliser pour une installation à distance ?
Vous pouvez également utiliser une carte réseau prise en charge et une disquette de démarrage de l'installation à distance.
1. Citez quelques tâches de déploiement communes à tous les types de serveurs.
Les tâches de déploiement communes à tous les types de serveurs sont : installer un système d'exploitation, rejoindre un groupe de travail ou un domaine, préparer les disques, configurer la structure des données sur les partitions et configurer les autorisations NTFS ainsi que les autorisations sur les dossiers partagés.
2. Vous installez un serveur de fichiers et vous disposez d'un espace disque limité. Vous avez commandé une solution matérielle RAID-5, mais vous ne l'aurez pas avant environ trois mois. Vous souhaitez implémenter une sorte de tolérance de panne pour les logiciels, mais vous ne pouvez pas vous permettre de perdre la moitié de l'espace disque disponible en effectuant une mise en miroir. Quelle solution s'offre à vous ?
Vous pouvez implémenter l'agrégat par bandes avec parité (RAID-5). La quantité d'espace disque disponible en cas d'implémentation de l'agrégat par bandes avec parité représente environ 75% de la totalité de l'espace disque.
3. Vous installez un serveur d'impression. Comment pouvez-vous vous assurer que le fichier de spoule d'impression ne dépasse pas une certaine taille ? Comment pouvez-vous configurer le fichier de spoule pour augmenter les performances globales du serveur d'impression ?
Vous pouvez placer le fichier de spoule sur une partition qui lui est réservée. Vous limitez ainsi la quantité d'espace que le spouleur peut utiliser sur la partition. En plaçant le fichier de spoule sur un disque distinct, vous augmentez les performances globales du système.
4. Vous devez configurer un serveur de fichiers, un serveur d'impression et un serveur d'applications qui exécuteront SQL 7.0. Vous disposez uniquement de deux ordinateurs pour accomplir ces tâches. Vous devez déterminer les serveurs qui réaliseront ces tâches. Quelles sont les deux tâches que vous implémenterez sur le même ordinateur ?
Vous configurez un serveur en tant que serveur de fichiers et serveur d'impression, et l'autre en tant que serveur d'applications.
5. Vous configurez les services Internet sur votre serveur d'impression afin que les utilisateurs puissent se servir d'Internet Explorer 5 pour afficher les imprimantes et gérer les documents qu'ils impriment. Quels sont les trois éléments à configurer pour que le serveur puisse prendre en charge cette tâche ?
Vous devez configurer le serveur avec le protocole TCP/IP ainsi qu'une adresse IP statique et, si les utilisateurs se connectent au serveur en utilisant son nom d'hôte, vous devez configurer les clients et les serveurs afin qu'ils utilisent la résolution de noms DNS.
6. Vous avez engagé un nouvel employé qui vous aidera à gérer plusieurs serveurs. Quelles tâches quotidiennes cet employé est-il censé exécuter ?
L'employé doit être capable d'administrer les utilisateurs et les groupes, de gérer les imprimantes, de configurer les paramètres de sécurité, de surveiller les événements sur le réseau ainsi que l'utilisation des ressources, de sauvegarder et de restaurer les fichiers.
5. Quel est le rôle d'Active Directory dans Windows 2000 ?
Active Directory est le service d'annuaire de Windows 2000. Il stocke tous les objets qui constituent un réseau Windows 2000, tels les objets utilisateur, groupe et ordinateur. Active Directory offre également les services qui permettent aux utilisateurs de localiser des objets sur le réseau et fournit les outils nécessaires aux administrateurs pour gérer un réseau Windows 2000.
6. Donnez une définition des sites et des domaines et indiquez en quoi ils diffèrent.
Un site est une combinaison d'un ou de plusieurs sous-réseaux IP connectés par une liaison à débit élevé. Un domaine est un regroupement logique de serveurs et d'autres ressources réseau sous un nom de domaine unique. Un site est un composant de la structure physique d'Active Directory, et un domaine un composant de sa structure logique.
7. Que sont les arborescences et les forêts et en quoi sont-ils différents ? Qu'ont-ils en commun ?
Une arborescence est un groupe d'un ou plusieurs domaines, chacun partageant un espace de noms DNS contigu. Une forêt est un ensemble d'une ou plusieurs arborescences. Les arborescences d'une forêt forment un espace de noms DNS non contigu. Dans les arborescences et les forêts, tous les domaines partagent des relations d'approbation transitives, un schéma commun et un catalogue global commun.
8. Quelles sont les fonctions offertes par un système DNS sur un réseau exécutant Active Directory ?
La résolution de noms, une convention de dénomination standard et un service de localisation.
9. Quelles sont les différences entre les espaces de noms du système DNS et d'Active Directory ?
L'espace de noms du système DNS consiste en enregistrements de ressource stockés dans des zones. L'espace de noms d'Active Directory consiste en objets stockés dans des domaines.
10. À quoi servent les enregistrements de ressource SRV utilisés dans un domaine Active Directory ?
Les enregistrements de ressource SRV sont utilisés pour déterminer l'emplacement des serveurs offrant un service dont a besoin le client. Par exemple, si le client effectue une requête dans un serveur de catalogue global, un enregistrement de ressource SRV contiendra les informations dont a besoin le client pour localiser un serveur fonctionnant en tant que serveur de catalogue global.
11. Quels sont les principaux avantages des zones intégrées Active Directory ?
La tolérance de panne, la sécurité et une duplication des grandes zones plus efficace.
12. Quelles sont les conditions que doit remplir une implémentation DNS pour prendre en charge Active Directory ?
Toute implémentation DNS doit prendre en charge le format d'enregistrement de ressource SRV. En outre, il est fortement conseillé qu'il prenne également en charge le protocole de mise à jour dynamique ainsi que les transferts de zone incrémentiels.
13. Lors de la première installation d'Active Directory sur un réseau Windows 2000, quel type de domaine créez-vous ?
Un domaine racine de la forêt.
14. Vous souhaitez exécuter une session sans assistance de l'Assistant Installation de Active Directory. Le nom du fichier de réponses est Promote.txt. Quelle commande devez-vous taper à l'invite pour exécuter le fichier de réponses ?
dcpromo /answer:promote.txt
15. Lorsque vous installez un contrôleur de domaine de réplica dans un domaine existant, l'Assistant Installation de Active Directory vérifie-t-il l'existence d'un serveur DNS en cours de fonctionnement ? Pourquoi ?
Non, lors de l'installation d'un contrôleur de domaine de réplica, le système suppose qu'un serveur DNS en fonctionnement existe sur le réseau.
16. Quel élément doit être placé sur un volume au format NTFS ?
Base de données d'annuaire
Fichiers journaux
Structure du dossier SYSVOL
La structure du dossier SYSVOL doit être placée sur un volume au format NTFS.
17. Lors de l'ajout d'un contrôleur de domaine de réplica à un domaine existant, dans quel conteneur se trouve l'objet ordinateur du nouveau contrôleur de domaine ?
Les objets contrôleur de domaine sont créés dans le conteneur de l'unité d'organisation Domain Controllers.
18. Alors que vous tentez d'installer un contrôleur de domaine de réplica, vous recevez un message vous signalant que le domaine Active Directory que vous tentez de joindre ne peut pas être contacté. En étudiant la base de données DNS, vous remarquez que les enregistrements SRV requis n'ont pas été créés. Comment pouvez-vous forcer l'inscription des enregistrements SRV ?
Vous pouvez forcer l'inscription des enregistrements SRV en arrêtant le service Ouverture de session réseau, puis en le redémarrant.
19. Vous avez installé Active Directory, un domaine par défaut a donc été créé. Vous souhaitez désormais utiliser les fonctionnalités d'Active Directory, telles que l'imbrication de groupe et les groupes de sécurité universels. Quel mode de domaine est nécessaire pour utiliser ces fonctionnalités dans Active Directory ?
Mode natif.
20. Quels sont les deux raisons principales qui motivent l'implémentation d'une structure d'unité d'organisation au sein d'un domaine ?
Améliorer le contrôle d'administration.
Contrôler l'application de la stratégie de groupe.
21. Votre société vient de racheter une petite filiale, et vous désirez utiliser Utilisateurs et ordinateurs Active Directory pour créer des comptes d'utilisateur de domaine pour les nouveaux employés. Pour des raisons commerciales, la filiale désire conserver son ancienne identité auprès de ses clients. Comment pouvez-vous créer pour les nouveaux employés des noms principaux d'utilisateurs qui correspondent à leurs adresses de messagerie électronique, sans modifier ces adresses ?
Ajoutez dans Active Directory un suffixe de nom principal d'utilisateur qui vous permettra de créer des noms d'ouverture de session identiques aux adresses de messagerie. Après avoir créé ce nouveau suffixe, vous pouvez créer des noms principaux d'utilisateurs comportant ce nouveau suffixe.
22. Votre société vient d'embaucher de nombreux nouveaux employés pour travailler dans une nouvelle filiale, qui ouvrira ses portes le mois prochain. Vous devez définir des comptes d'utilisateur pour ces employés, de façon à leur permettre d'utiliser et partager les ressources du réseau. Vous savez que le service Human Resources possède les informations nécessaires sur ces nouveaux employés. Quelle est la méthode la plus efficace pour importer en bloc les nouveaux comptes d'utilisateur ?
Demandez au service Human Resources d'exporter les données dans un fichier texte délimité par des virgules (csv) ou par des sauts de ligne. Modifiez le fichier pour qu'il puisse être utilisé pour une importation en bloc. Utilisez ensuite la commande csvde ou ldifde, suivant le cas, pour créer les comptes d'utilisateur à partir du fichier que vous avez modifié. Comme cette nouvelle filiale n'est pas encore opérationnelle, désactivez les comptes d'utilisateur durant l'importation.
23. Quel est l'intérêt d'ajouter un groupe à un autre groupe ?
L'ajout de groupes à d'autres groupes peut réduire le nombre de fois où il sera nécessaire d'affecter ou modifier des autorisations.
24. Pour quelle stratégie devez-vous opter lorsque vous utilisez des groupes locaux de domaine et des groupes globaux ?
Placez les comptes d'utilisateur (A) dans les groupes globaux (G), placez éventuellement les groupes globaux dans des groupes globaux (G), placez les groupes globaux dans des groupes locaux de domaine (DL), puis affectez les autorisations (P) sur les ressources aux groupes locaux de domaine.
25. Vous pouvez contrôler la publication d'une imprimante. Quelle option vous permet d'activer ou de désactiver la publication des imprimantes Active Directory ?
Activez la case à cocher Liste dans l'annuaire pour publier des imprimantes et désactivez-la pour ne plus en publier.
26. Quelles sont les principales étapes de la procédure utilisée pour activer l'option d'emplacement dans les imprimantes ?
Définissez une convention de dénomination pour votre organisation.
Activez le suivi d'emplacement.
Créez des objets sous-réseau dans Active Directory.
Définissez l'attribut Emplacement des sous-réseaux.
Définissez l'emplacement de chaque imprimante.
27. Vous avez activé la fonction de recherche d'emplacement physique pour toutes les imprimantes de votre bâtiment pour que les utilisateurs connaissent l'emplacement de chaque imprimante. Pourtant, après l'activation de recherche d'emplacement physique, les utilisateurs n'ont repéré que les imprimantes avec un attribut Emplacement correspondant à la convention de dénomination. Ils n'ont pas été en mesure de trouver les imprimantes ayant des emplacements définis avec une différente convention de dénomination. Comment allez-vous activer l'affichage de toutes les imprimantes ?
Mettez à jour la propriété Emplacement pour toutes les imprimantes publiées.
28. Comment garantissez-vous que tous les raccourcis pointant vers un dossier partagé publié vont continuer à fonctionner après le déplacement du dossier partagé vers un autre ordinateur ?
Mettez à jour l'objet dossier partagé dans Active Directory. La prochaine fois que les utilisateurs se connecteront, ils le feront automatiquement avec le nouvel emplacement physique. L'avantage de publier des ressources dans Active Directory est que vous pouvez trouver des ressources même quand leurs emplacements physiques changent.
29. Vous avez publié un très grand nombre d'imprimantes et de dossiers partagés. Pourtant, les utilisateurs se plaignent que la liste des objets retournés est trop importante quand ils exécutent une recherche. Par ailleurs, ils se plaignent de recevoir des messages d'accès refusé quand ils tentent d'accéder un certain nombre de ressources partagées. Comment allez-vous résoudre ces problèmes ?
Modifier les listes DACL des objets publiés pour limiter leur visibilité uniquement aux utilisateurs et aux groupes qui ont reçu l'autorisation d'accéder aux ressources partagées que les objets publiés représentent.
30. De quelle façon Windows 2000 détermine-t-il les utilisateurs disposant d'autorisations pour accéder aux objets Active Directory et le type d'accès autorisé ?
Windows 2000 stocke un descripteur de sécurité pour chaque objet Active Directory et attribut. Le descripteur de sécurité contient une liste de contrôle d'accès discrétionnaire qui comprend une liste des entités de sécurité qui peuvent accéder à un objet ou attribut, et les actions spécifiques que chaque entité de sécurité peut effectuer sur l'objet ou l'attribut.
31. Vous souhaitez attribuer à un assistant administratif les autorisations requises pour réinitialiser les mots de passe pour les comptes d'utilisateur dans une unité d'organisation unique. Quelle est la meilleure démarche ?
Utilisez l'Assistant Délégation de contrôle. Attribuez à l'assistant administratif uniquement l'autorisation de réinitialiser les mots de passe, et attribuez-la seulement pour l'unité d'organisation.
32. Lors de la délégation du contrôle d'administration des objets, pourquoi un administrateur doit-il attribuer le contrôle au niveau de l'unité d'organisation autant que possible ?
Ceci facilite le suivi des attributions d'autorisation. Le suivi des attributions d'autorisation se complique pour les objets et attributs d'objet.
33. Vous personnalisez une console MMC et la donnez aux administrateurs pour qu'ils l'utilisent sur les ordinateurs clients exécutant Windows 2000 Professionnel. Que doivent-ils faire avant d'utiliser la console correctement ?
Installer les outils d'administration Windows 2000 pour disposer des composants logiciels enfichables requis.
34. Un assistant du service Marketing a seulement une responsabilité administrative, qui est la réinitialisation de mots de passe pour les utilisateurs. Vous ne souhaitez pas que l'assistant utilise la console Utilisateurs et Ordinateurs Active Directory pour cette tâche. Que devez-vous faire ?
Créer une liste de tâches avec la tâche de réinitialisation de mots de passe pour les comptes d'utilisateur. Avec une liste de tâches, vous pouvez préciser la tâche que l'utilisateur effectue et présenter les tâches dans une interface facile à utiliser.
35. Vous suhaitez configurer des paramètres de stratégie de groupe à l'échelle de l'entreprise tout en définissant des stratégies qui s'appliquent uniquement à certains services. Comment Active Directory et la stratégie de groupe facilitent-ils cette procédure ?
En associant plusieurs objets GPO à des sites, des domaines ou des unités d'organisation, vous pouvez définir des paramètres de stratégie de groupe qui affectent l'ensemble du domaine ou des stratégies qui s'appliquent à une seule unité d'organisation.
36. Les utilisateurs dans trois unités d'organisation (Sales, Production et Training) ont besoin des mêmes applications. Chaque unité d'organisation est associée à une unité d'organisation parent différente. Quelle est le moyen le plus simple d'utiliser une stratégie de groupe pour s'assurer que les utilisateurs dans les trois unités d'organisation disposent des applications dont ils ont besoin ?
Créez un objet GPO au niveau de l'une des unités d'organisation en utilisant les paramètres utilisateur requis pour installer les applications. Liez cet objet GPO aux deux autres unités d'organisation.
37. Votre réseau comporte un domaine. Tous les comptes d'utilisateur sur votre réseau résident dans les unités d'organisation Sales ou Production. Vous devez vous assurer que tous les utilisateurs disposent d'une application spécifique sur leur bureau. Comment configurer la stratégie de groupe ?
Au niveau du domaine, vous liez un objet GPO qui installe l'application sur le bureau des utilisateurs.
TP installation du contrôleurr du domaine Active directory
Dans cette Exercice vous allez créer un domaine Active Directory appelé ofppt.ma
- Ouvrez une session.
- Cliquez sur Démarrer, exécuter puis Dcpromo.
- 3Dans l’assistant d’installation Active Directory cliquer sur suivant.
- Dans la fenêtre compatibilité du système d’exploitation cliquer sur suivant.
- Dans la fenêtre Type de contrôleur de domaine cocher la case contrôleur de domaine pour un nouveau domaine puis cliquer sur suivent.
- Dans la fenêtre créer un nouveau domaine sélectionner domaine dans une nouvelle forêt puis sur suivant.
- Dans la fenêtre nouveau nom de domaine sélectionner dans la zone nom DNS complet pour le nouveau domaine taper ofppt.ma puis suivant.
- Dans la fenêtre Nom de domaine NetBios vérifier que ofppt est bien sélectionné et cliquer sur suivant.
- Dans la fenêtre Dossiers de la base de donnée et du journal spécifier le chemin de la base ainsi que celui du fichier journal puis cliquer sur suivant.
- Dans la fenêtre volume système partagé spécifier el chemin du Dossier sysvol puis cliquer sur suivant
- Dans la fenêtre Diagnostics des inscriptions DNS, sélectionner l’option installer et configurer le serveur DNS sur cet ordinateur et définir cet ordinateur pour utiliser ce serveur DNS comme serveur DNS de Préférence.
- Dans la fenêtre Autorisation cliquer sur suivant
- Dans la boite de dialogue mot de passe de restauration du service d’annuaire taper P@ssw0rd et confirmer le
- Dans la page Résumé vérifier les informations et cliquer sur suivant
- L’installation de l’Active Directory se lance
- A la fin de l’installation cliquer sur terminer et redémarrer
Article publié le 13 Avril 2010 Mise à jour le Lundi, 12 Décembre 2022 19:50 par Salim KHALIL