# Active Directory multi-sites, partages réseau et gestion des droits utilisateurs

> Active directory, installation, contrôleur de domaine, partages et permissions.

Publié le 2021-12-20 | Tags: windows server, AD, share, permissions, DC

https://xsec.fr/windows/ad-tp/

---

import Callout from '@shared/components/Callout.astro'
import { Collapsible } from '@shared/components/ui/collapsible'
import { Tree } from '@shared/components/ui/file-tree'
import AdMultiSiteTopology from '@shared/components/diagrams/AdMultiSiteTopology.astro'

## Contexte

<AdMultiSiteTopology />

Une entreprise possède 3 sites, chacun avec 1 serveur Windows :
- SRV-CHA (AD) à Chassignieu (siège de l'entreprise)
- SRV-VIR à Virieu
- SRV-BLA à Blandin

Chaque site contient 2 départements :
- Administratif
- Technique

Et le siège en contient 3 :
- Direction
- Administratif
- Technique

### Structure des Unités d'Organisation (OU)

<Tree elements={[{id:'1',name:'SRV-CHA',children:[{id:'2',name:'Direction',children:[{id:'f1',name:'GG-CHA-DIR',type:'file'},{id:'f2',name:'PDG',type:'file'},{id:'f3',name:'RH',type:'file'}]},{id:'3',name:'Administratif',children:[{id:'f4',name:'GG-CHA-ADM',type:'file'},{id:'f5',name:'ADM1C',type:'file'}]},{id:'4',name:'Technique',children:[{id:'f6',name:'GG-CHA-TECH',type:'file'},{id:'f7',name:'TECH1C',type:'file'}]}]},{id:'5',name:'SRV-VIR',children:[{id:'6',name:'Administratif',children:[{id:'f8',name:'GG-VIR-ADM',type:'file'},{id:'f9',name:'ADM1V',type:'file'}]},{id:'7',name:'Technique',children:[{id:'f10',name:'GG-VIR-TECH',type:'file'},{id:'f11',name:'TECH1V',type:'file'}]}]},{id:'8',name:'SRV-BLA',children:[{id:'9',name:'Administratif',children:[{id:'f12',name:'GG-BLA-ADM',type:'file'},{id:'f13',name:'ADM1B',type:'file'}]},{id:'10',name:'Technique',children:[{id:'f14',name:'GG-BLA-TECH',type:'file'},{id:'f15',name:'TECH1B',type:'file'}]}]}]} initialExpandedItems={['1','2','3','4','5','6','7','8','9','10']} sort="none" className="h-auto" client:load />
Les `GG (Groupes Globaux)` lient les utilisateurs aux LG.
Ils regroupent tous les utilisateurs d'un même département.
Chaque utilisateur appartient au GG de son département.

### Partages et Permissions

<Tree elements={[{id:'1',name:'SRV-CHA',children:[{id:'2',name:'DATA-CHA',children:[{id:'3',name:'Tech-Commun',children:[{id:'f1',name:'GL-SRV-CHA-DATA-TECH-COMMUN-CF',type:'file'}]},{id:'4',name:'Adm-Commun',children:[{id:'f2',name:'GL-SRV-CHA-DATA-TECH-COMMUN-CF',type:'file'},{id:'f3',name:'GL-SRV-CHA-DATA-ADM-COMMUN-L',type:'file'}]},{id:'5',name:'Adm-Chassignieu',children:[{id:'f4',name:'GL-SRV-CHA-DATA-ADM-CHASSIGNIEU-CF',type:'file'},{id:'f5',name:'GL-SRV-CHA-DATA-ADM-CHASSIGNIEU-L',type:'file'}]},{id:'6',name:'Tech-Chassignieu',children:[{id:'f6',name:'GL-SRV-CHA-DATA-TECH-CHASSIGNIEU-CF',type:'file'}]},{id:'7',name:'Direction',children:[{id:'f7',name:'GL-SRV-CHA-DATA-DIRECTION-CF',type:'file'},{id:'8',name:'Investissements',type:'folder'},{id:'9',name:'RH',type:'folder'}]}]},{id:'10',name:'PROFILS-CHA',type:'folder'},{id:'11',name:'DBASE-CHA',type:'folder'}]},{id:'12',name:'SRV-VIR',children:[{id:'13',name:'DATA-VIR',children:[{id:'14',name:'Adm-Virieu',children:[{id:'f8',name:'GL-SRV-VIR-DATA-ADM-VIRIEU-CF',type:'file'},{id:'f9',name:'GL-SRV-CHA-DATA-ADM-VIRIEU-L',type:'file'}]},{id:'15',name:'Tech-Virieu',children:[{id:'f10',name:'GL-SRV-VIR-DATA-TECH-VIRIEU-CF',type:'file'}]}]},{id:'16',name:'PROFILS-VIR',type:'folder'},{id:'17',name:'DBASE-VIR',type:'folder'}]},{id:'18',name:'SRV-BLA',children:[{id:'19',name:'DATA-BLA',children:[{id:'20',name:'Adm-Blandin',children:[{id:'f11',name:'GL-SRV-BLA-DATA-ADM-BLANDIN-CF',type:'file'},{id:'f12',name:'GL-SRV-CHA-DATA-ADM-BLANDIN-L',type:'file'}]},{id:'21',name:'Tech-Blandin',children:[{id:'f13',name:'GL-SRV-BLA-DATA-TECH-BLANDIN-CF',type:'file'}]}]},{id:'22',name:'PROFILS-BLA',type:'folder'},{id:'23',name:'DBASE-BLA',type:'folder'}]}]} initialExpandedItems={['1','2','3','4','5','6','7','12','13','14','15','18','19','20','21']} sort="none" className="h-auto" client:load />

Nous utiliserons la topologie ci-dessus pour l'ensemble de ce travail pratique.

Les étapes détaillées ci-dessous indiquent la procédure à suivre pour créer chaque élément.

## Création d'une OU

`OU` Unité d'Organisation est un élément dans Active Directory qui nous permet de gérer un ensemble d'éléments.
Dans le schéma ci-dessus, nous pouvons voir qu'il y a des "sous-Unités d'Organisation" :

Par exemple : L'utilisateur : PDG est situé dans `SRV-CHA > Direction`
Donc dans la sous-OU `Direction` qui dépend de `SRV-CHA`

- Allez sur le serveur `SRV-CHA` (active directory) :

![](/media/windows/ad_multisites/util.webp)

![](/media/windows/ad_multisites/1.webp)

![Décochez la case `Protéger le conteneur contre la suppression accidentelle`](/media/windows/ad_multisites/2.webp)

## Création d'un GG

Un `Groupe Global` permet de regrouper un ou plusieurs utilisateurs.

![](/media/windows/ad_multisites/3.webp)

![](/media/windows/ad_multisites/4.webp)

## Création d'un Utilisateur

![](/media/windows/ad_multisites/5.webp)

![](/media/windows/ad_multisites/6.webp)

![Définissez un mot de passe conforme à votre politique de sécurité](/media/windows/ad_multisites/7.webp)

![](/media/windows/ad_multisites/8.webp)

## Création d'un LG

`LG (Groupes Locaux de Domaine)` appliquent des droits sur les ressources.

`CF` Contrôle Total
`L` Lecture

![](/media/windows/ad_multisites/22.webp)

![](/media/windows/ad_multisites/23.webp)

![](/media/windows/ad_multisites/24.webp)

![](/media/windows/ad_multisites/25.webp)

## Création du dossier partagé "DATA"

![](/media/windows/ad_multisites/17.webp)

![](/media/windows/ad_multisites/18.webp)

![](/media/windows/ad_multisites/19.webp)

![](/media/windows/ad_multisites/20.webp)

![](/media/windows/ad_multisites/21.webp)

![Les LG seront appliqués dans ces sous-dossiers](/media/windows/ad_multisites/22.webp)

### Activer l'énumération basée sur l'accès

Activer l'énumération montre uniquement les dossiers auxquels l'utilisateur a accès.

![Activer l'énumération basée sur l'accès](/media/windows/ad_multisites/x1.webp)

![](/media/windows/ad_multisites/x2.webp)

![Cochez `Activer l'énumération basée sur l'accès`](/media/windows/ad_multisites/x3.webp)

### Lier un Utilisateur à un GG

![](/media/windows/ad_multisites/26.webp)

![](/media/windows/ad_multisites/27.webp)

![](/media/windows/ad_multisites/28.webp)

### Lier un GG à un LG

![](/media/windows/ad_multisites/29.webp)

![](/media/windows/ad_multisites/30.webp)

![](/media/windows/ad_multisites/31.webp)

![](/media/windows/ad_multisites/32.webp)

### Appliquer un LG au Répertoire Partagé

<Collapsible client:load title="Permet d'appliquer des permissions au chemin partagé.">

![](/media/windows/ad_multisites/33.webp)

![](/media/windows/ad_multisites/34.webp)

![](/media/windows/ad_multisites/35.webp)

![Autoriser l'accès uniquement aux membres de GG-Direction](/media/windows/ad_multisites/36.webp)

![](/media/windows/ad_multisites/37.webp)

![](/media/windows/ad_multisites/38.webp)

![](/media/windows/ad_multisites/39.webp)

![](/media/windows/ad_multisites/40.webp)

</Collapsible>

## Dossier de Base

Le dossier de base est simplement un répertoire vide pour chaque utilisateur, où ils peuvent stocker leurs documents par exemple.
Ce dossier est dans un chemin partagé.

<Collapsible client:load title="Créer un partage réseau">

![](/media/windows/ad_multisites/9.webp)

![](/media/windows/ad_multisites/10.webp)

![Le symbole `$` cache le répertoire](/media/windows/ad_multisites/11.webp)

![](/media/windows/ad_multisites/12.webp)

![](/media/windows/ad_multisites/13.webp)

![](/media/windows/ad_multisites/14.webp)

</Collapsible>

<Collapsible client:load title="Lier le dossier de base à l'utilisateur">

![](/media/windows/ad_multisites/15.webp)

![Collez le chemin du partage réseau.
`%USERNAME%` crée un dossier nommé d'après chaque utilisateur](/media/windows/ad_multisites/16.webp)

</Collapsible>

## Mappage des Lecteurs Réseau

Chaque utilisateur mappera automatiquement 3 lecteurs réseau à sa session (commun, partitionné, et dossier de base, selon leur emplacement), en utilisant le script qui lui est assigné :

<Collapsible client:load title="Chassignieu :">

```bat
net use Y: \\SRV-CHA\DATA-CHA$
```

<Callout variant="note">
Contient seulement 2 car les dossiers `Commun` et `Partitionné` sont dans `DATA-CHA`
</Callout>

</Collapsible>

<Collapsible client:load title="Virieu :">

```bat
net use Y: \\SRV-CHA\DATA-CHA$
net use Z: \\SRV-VIR\DATA-VIR$
```

</Collapsible>

<Collapsible client:load title="Blandin :">

```bat
net use Y: \\SRV-CHA\DATA-CHA$
net use Z: \\SRV-BLA\DATA-BLA$
```

</Collapsible>

Exemple : Prenons l'exemple d'un utilisateur à Blandin :

- `X:` contiendra le répertoire partagé `\\SRV-BLA\DBASE-BLA$\NOM_UTILISATEUR`

- `Y:` contiendra le répertoire partagé commun `\\SRV-CHA\DATA-CHA$` (l'utilisateur ne verra que les dossiers auxquels il a accès (lecture minimum) depuis le partage commun).

- `Z:` contiendra le répertoire partagé `\\SRV-BLA\DATA-BLA$` si je suis à Blandin (l'utilisateur ne verra que les dossiers auxquels il a accès (lecture minimum), partitionnement de site).

<Collapsible client:load title="Créer les scripts">

![](/media/windows/ad_multisites/41.webp)

![Cochez `Extensions de noms de fichiers`](/media/windows/ad_multisites/42.webp)

![](/media/windows/ad_multisites/43.webp)

![](/media/windows/ad_multisites/44.webp)

</Collapsible>

<Collapsible client:load title="Lier le script à l'utilisateur">

![](/media/windows/ad_multisites/45.webp)

![](/media/windows/ad_multisites/46.webp)

</Collapsible>

## Profils Itinérants

Les Profils Itinérants facilitent les changements de machine ou d'emplacement.
Le profil utilisateur est stocké à distance sur un répertoire partagé.

<Collapsible client:load title="Créer un répertoire partagé">

![](/media/windows/ad_multisites/47.webp)

![](/media/windows/ad_multisites/48.webp)

![](/media/windows/ad_multisites/49.webp)

![](/media/windows/ad_multisites/50.webp)

![](/media/windows/ad_multisites/51.webp)

</Collapsible>

<Collapsible client:load title="Lier le profil à l'utilisateur">

![](/media/windows/ad_multisites/52.webp)

![](/media/windows/ad_multisites/53.webp)

</Collapsible>

## Test d'un Utilisateur de Domaine

<Callout variant="warning">
Vous devez être administrateur local de la machine pour rejoindre le domaine.
</Callout>