Copyright
© 2007
Micro Application
20-22, rue des Petits-Hôtels
75010 Paris
1ère Édition - Novembre 2007
Auteurs
Jean-Georges SAURY et Sylvain CAICOYA
Toute représentation ou reproduction, intégrale ou partielle, faite sans le consentement de
MICRO APPLICATION est illicite (article L122-4 du code de la propriété intellectuelle).
Cette représentation ou reproduction illicite, par quelque procédé que ce soit, constituerait
une contrefaçon sanctionnée par les articles L335-2 et suivants du code de la propriété
intellectuelle.
Le code de la propriété intellectuelle n’autorise aux termes de l’article L122-5 que les reproductions strictement destinées à l’usage privé et non destinées à l’utilisation collective d’une
part, et d’autre part, que les analyses et courtes citations dans un but d’exemple et
d’illustration.
Avertissement
aux utilisateurs
Les informations contenues dans cet ouvrage sont données à titre indicatif et n’ont aucun
caractère exhaustif voire certain. A titre d’exemple non limitatif, cet ouvrage peut vous proposer une ou plusieurs adresses de sites Web qui ne seront plus d’actualité ou dont le
contenu aura changé au moment où vous en prendrez connaissance.
Aussi, ces informations ne sauraient engager la responsabilité de l’Editeur. La société MICRO APPLICATION ne pourra être tenue responsable de toute omission, erreur ou lacune
qui aurait pu se glisser dans ce produit ainsi que des conséquences, quelles qu’elles soient,
qui résulteraient des informations et indications fournies ainsi que de leur utilisation.
ISBN : 978-2-7429-8448-0
Tous les produits cités dans cet ouvrage sont protégés, et les marques déposées par leurs
titulaires de droits respectifs.
Cet ouvrage n’est ni édité, ni produit par le(s) propriétaire(s) de(s) programme(s) sur
le(s)quel(s) il porte.
Couverture réalisée par Com’Back
MICRO APPLICATION
20-22, rue des Petits-Hôtels
75010 PARIS
Tél. : 01 53 34 20 20 - Fax : 01 53 34 20 00
http://www.microapp.com
Support technique
disponible sur
www.microapp.com
Mister O’net, l’homme à la référence, vous montre le chemin !
Rendez-vous sur le site Internet de Micro Application
www.microapp.com. Dans le module de recherche, sur la page
d’accueil du site, retrouvez Mister O’net. Dans la zone de saisie,
entrez la référence à 4 chiffres qu’il vous indique sur le présent livre.
Vous accédez directement à la fiche produit de ce livre.
9448
Avant-propos
La collection Bible Micro Application a été conçue pour permettre aux utilisateurs avancés
à experts d’approfondir leurs connaissances d’un thème précis. Exhaustifs, ces ouvrages
permettent d’acquérir une connaissance intégrale du sujet étudié, à la fois en théorie et en
pratique.
Conventions typographiques
Afin de faciliter la compréhension des techniques décrites, nous avons adopté les
conventions typographiques suivantes :
j
gras : menu, commande, boîte de dialogue, bouton, onglet.
j
italique : zone de texte, liste déroulante, case à cocher, bouton radio.
j
Police bâton : instruction, listing, texte à saisir.
✂ : indique un retour à la ligne dû aux contraintes de la mise en page.
Au cours de votre lecture, vous rencontrerez les encadrés suivants :
Propose des trucs pratiques.
Met l’accent sur un point important qu’il ne faut négliger à aucun prix.
Vous recommande une technique ou une marche à suivre.
Vous indique le nom et l’emplacement des fichiers à télécharger.
Renvoi à un site où vous trouverez des infos complémentaires ou des outils à
télécharger.
Il s’agit d’informations supplémentaires relatives au sujet traité.
Fait référence à un chapitre où vous trouverez des informations complémentaires.
Contenu en un clin d’œil
Partie A
Installation, déploiement et généralités
27
Chapitre 1
Étude de cas
29
Chapitre 2
État des lieux de Windows Server en entreprise
55
Chapitre 3
Windows Server 2003 Service Pack 2 et R2
87
Chapitre 4
L’installation et le déploiement de Windows Server 2003
105
Chapitre 5
L’installation de Windows Vista
135
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise –
phase 1
185
Le déploiement des ordinateurs Windows Vista en entreprise –
phase 2
247
Chapitre 8
Les services de déploiement Windows
301
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
351
Chapitre 10
Windows PowerShell
399
Chapitre 11
La maintenance des serveurs
429
Chapitre 12
Windows Server 2008
477
Partie B
Active Directory
509
Chapitre 13
Introduction à LDAP et Active Directory
511
Chapitre 14
La planification d’un projet Active Directory
535
Chapitre 15
La conception de l’infrastructure logique Active Directory
545
Chapitre 16
La conception de la topologie de sites
563
Chapitre 17
La conception et l’implémentation de la structure des unités
d’organisation
593
Chapitre 7
Chapitre 18
L’implémentation des serveurs d’infrastructure Active Directory
613
Chapitre 19
Les fonctions et les rôles dans Active Directory
661
Chapitre 20
La maintenance d’Active Directory
695
Chapitre 21
La sécurisation d’Active Directory
715
Chapitre 22
Active Directory Application Mode et Active Directory Federation
Services
733
Partie C
Sécurité
Chapitre 23
Introduction à la sécurité
767
Chapitre 24
La conception de la sécurité des serveurs
789
Chapitre 25
Évaluation de la sécurité
805
Chapitre 26
La sécurisation des postes de travail
823
Partie D
Annexes
Chapitre 27
Annexe I - Liste alphabétique des commandes
861
Chapitre 28
Annexe II - Les services et les ports réseau sous Windows Server 2003
927
Annexe III - Glossaire
967
Chapitre 29
765
859
Sommaire
Partie A
Installation, déploiement et généralités
27
Chapitre 1
Étude de cas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
Le contexte : présentation de la société . . . . . . . . . . . . . . . . . . . . . . . . . 31
L’activité de la société . . . . . . . . . . . . . . . . .
La situation géographique . . . . . . . . . . . . . .
L’infrastructure informatique . . . . . . . . . . . .
Le détail des sites . . . . . . . . . . . . . . . . . . . .
Les dysfonctionnements de la situation actuelle
Les enjeux de la direction . . . . . . . . . . . . . .
Les sociétés partenaires . . . . . . . . . . . . . . . .
La communication entre les sociétés . . . . . . . .
Résumé du contexte . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
31
31
32
34
37
39
39
41
42
Les objectifs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
Réduire les coûts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
Intégrer les trois sociétés dans une nouvelle organisation . . . . . . . . . . 43
Sécuriser l’infrastructure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
La mise en œuvre . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
Comment réduire les coûts à plusieurs niveaux ? . . . . . . . . . . . . . . . . 45
Comment créer une organisation unique et intégrer les deux sociétés
partenaires ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
Comment sécuriser l’infrastructure ? . . . . . . . . . . . . . . . . . . . . . . . . 52
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
Chapitre 2
État des lieux de Windows Server en entreprise . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
Les différentes versions de Windows Server 2003 . . . . . . . . . . . . . . . . . . . 57
Windows Server 2003 Standard Edition .
Windows Server 2003 Enterprise Edition
Windows Server 2003 Datacenter Edition
Windows Server 2003 Web Edition . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
57
58
58
58
Sommaire
Comparaison des caractéristiques des différentes versions de Windows
Server 2003 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
Configuration requise . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
De Windows NT 4.0 Server à Windows Server 2003, qu’est-ce qui a changé ? . . 62
Les nouveaux outils et les anciennes tâches . . . . . . . . . . . . . . . . . . . . 62
Les dossiers et les utilitaires . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
Le Panneau de configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64
De Windows 2000 Server à Windows Server 2003, qu’est-ce qui a changé ? . . . 65
Les améliorations apportées à Active Directory . . . . .
Les améliorations du côté de TCP/IP . . . . . . . . . . . .
Les changements mineurs . . . . . . . . . . . . . . . . . .
Les petits plus de la version 2003 et les Feature Packs
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
66
68
68
69
Windows Server 2003 Service Pack 2 et R2 . . . . . . . . . . . . . . . . . . . . . . . 71
Les nouveautés du Service Pack 1 . . . . . . . . . . . . . . . . . . . . . . . . . . 71
Les nouveautés du Service Pack 2 . . . . . . . . . . . . . . . . . . . . . . . . . . 73
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85
Chapitre 3
Windows Server 2003 Service Pack 2 et R2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 87
Les nouveautés du Service Pack 1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
Les nouveautés du Service Pack 2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
Les mises à jour . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Scalable Networking Pack (SNP) . . . . . . . . . . . . . . . . . . . . . .
La bibliothèque XmlLite . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Les services de déploiement Windows WDS (Windows Deployment
Services) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Microsoft Management Console 3.0 (MMC 3.0) . . . . . . . . . . . .
Wireless Protected Access 2 (WPA2) . . . . . . . . . . . . . . . . . . . .
La version améliorée de l’outil CACLS . . . . . . . . . . . . . . . . . . .
Les fonctions existantes améliorées . . . . . . . . . . . . . . . . . . . .
. . . . . 91
. . . . . 91
. . . . . 93
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
94
96
96
97
98
Qu’apporte Windows Server 2003 R2 ? . . . . . . . . . . . . . . . . . . . . . . . . . 99
Une gestion simplifiée des serveurs dans les agences et les succursales . . 99
La gestion améliorée des identités et des accès . . . . . . . . . . . . . . . . . 100
Les coûts de gestion du stockage réduits . . . . . . . . . . . . . . . . . . . . . 101
Une plateforme web enrichie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102
Une virtualisation de serveur à moindre coût . . . . . . . . . . . . . . . . . . 102
Un nouveau cycle de produits Windows Server . . . . . . . . . . . . . . . . . . . . 102
La version majeure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
Sommaire
La version mise à jour . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
Les Service Packs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
Chapitre 4
L’installation et le déploiement de Windows Server 2003 . . . . . . . . . . . . . . . . . . . . . 105
Considérations sur l’installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107
Les prérequis . . . . . . . . . . . . . . . . . .
Vérifier la compatibilité du système . . .
Nouvelle installation ou mise à niveau ?
Le double amorçage . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
107
108
109
110
Installer Windows Server 2003 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
L’installation manuelle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
L’installation automatique . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
Résoudre les problèmes d’installation . . . . . . . . . . . . . . . . . . . . . . . . . 133
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 134
Chapitre 5
L’installation de Windows Vista . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135
Découvrir les différentes versions . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
Que faire ? Avec quelle version . . . . . . .
Windows Vista Starter Edition . . . . . . . .
Windows Vista Édition Familiale Basique .
Windows Vista Édition Familiale Premium
Windows Vista Professionnel . . . . . . . .
Windows Vista Entreprise . . . . . . . . . . .
Windows Vista Édition Intégrale . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
138
138
139
139
140
141
141
Valider la configuration matérielle minimale recommandée . . . . . . . . . . . 142
Vista Édition Familiale Basique . . . . . . . . . . . . . . . . . . . . . . . . . . . 142
Vista Édition Familiale Premium, Professionnel, Entreprise et Intégrale . 142
Effectuer une installation interactive . . . . . . . . . . . . . . . . . . . . . . . . . . 143
L’activation et la licence . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148
Migrer vers Windows Vista . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151
Transférer les fichiers et les paramètres via le réseau . . . . . . . . . . . . . 152
Transférer les fichiers et les paramètres à l’aide d’un support
amovible . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 164
Transférer les fichiers et les paramètres: à l’aide d’un CD ou d’un DVD . 165
Sommaire
Préparer la mise à jour vers Windows Vista . . . . . . . . . . . . . . . . . . . . . . 167
Choisir une version de mise à jour . . . . . . . . . . . . .
Vérifier la compatibilité matérielle . . . . . . . . . . . . .
Installer le Framework .NET . . . . . . . . . . . . . . . . .
Installer MSXML . . . . . . . . . . . . . . . . . . . . . . . . .
Installer le Conseiller de mise à niveau Windows Vista
Utiliser le Conseiller de mise à niveau Windows Vista .
Sauvegarder les données importantes . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
167
169
169
170
170
173
179
Mettre à jour le système d’exploitation vers Windows Vista . . . . . . . . . . . . 181
Dépanner la mise à niveau vers Windows Vista . . . . . . . . . . . . . . . . . . . . 182
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1 . . . . . . . . . . . . 185
Le processus d’installation de Windows Vista . . . . . . . . . . . . . . . . . . . . . 187
Introduction à l’installation de Windows Vista . . . . . . . . . . . . . . .
Les méthodes d’exécution du programme d’installation Windows . . .
Les passes de configuration du programme d’installation de Windows
Vista . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Les méthodes conseillées pour l’installation de Windows Vista . . . .
L’Assistant Gestion d’installation . . . . . . . . . . .
L’architecture de l’Assistant Gestion d’installation
L’interface graphique . . . . . . . . . . . . . . . . .
Créer un fichier de réponses . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. . 187
. . 193
. . 201
. . 206
.
.
.
.
.
.
.
.
208
208
211
212
Le fichier autounattend_sample . . . . . . . . . . . . . . . . . . . . . . . . . .
Le fichier Corp_autounattend_sample . . . . . . . . . . . . . . . . . . . . . .
Attribuer des fichiers Unattend à des images . . . . . . . . . . . . . . . . . .
Quelques points importants . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Présentation des partages de distribution et des jeux de configuration
.
.
.
.
.
214
215
218
219
221
Sysprep . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223
Introduction à Sysprep . . . . . . . . . . . . . . . . . . . . . . . . .
Implémenter Sysprep . . . . . . . . . . . . . . . . . . . . . . . . . .
Les options d’extinction . . . . . . . . . . . . . . . . . . . . . . . . .
Le processus de Sysprep . . . . . . . . . . . . . . . . . . . . . . . .
Réinitialiser l’activation de Windows Vista . . . . . . . . . . . . .
Utiliser des fichiers de réponses en conjonction avec Sysprep
Les fichiers journaux de Sysprep . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
223
224
226
227
227
229
232
Sommaire
Les limitations de Sysprep . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232
Windows PE 2.0 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233
Introduction à WIN PE . . . . . . . . . . .
Les versions de Windows PE . . . . . . .
Win PE 2.0 . . . . . . . . . . . . . . . . . .
L’utilisation de Win PE . . . . . . . . . . .
Les limitations de Win PE . . . . . . . . .
Les outils . . . . . . . . . . . . . . . . . . .
Personnaliser un Win PE non préparé
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
234
234
235
240
240
241
241
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2 . . . . . . . . . . . . 247
Capturer une image avec ImageX . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
Présentation d’ImageX .
L’architecture d’ImageX
La commande ImageX .
Capturer une image . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
249
252
254
263
Appliquer une image avec ImageX . . . . . . . . . . . . . . . . . . . . . . . . . . . . 265
La commande Imagex /apply . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 265
Personnaliser l’image . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
Le fichier Oobe.xml . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
Le fonctionnement d’Oobe.xml . . . . . . . . . . . . . . . . . . . . . . . . . . . 270
Implémenter Oobe.xml . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271
La maintenance de l’image . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 283
Ajouter une image dans une image . . . . . . . . . . . . . . . . . . . . . . .
Le Gestionnaire de packages . . . . . . . . . . . . . . . . . . . . . . . . . . .
La commande Pkgmgr.exe . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Ajouter des pilotes à une image de Windows hors connexion . . . . . .
Activer ou désactiver les fonctionnalités Windows lorsque le système
d’exploitation est hors connexion . . . . . . . . . . . . . . . . . . . . . . .
Installer ou supprimer des packages hors connexion à l’aide du
Gestionnaire de package . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Installer un pack de langues dans une image hors connexion . . . . . .
Les limitations du Gestionnaire de packages . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
284
285
287
289
. . 293
. . 295
. . 296
. . 298
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 299
Sommaire
Chapitre 8
Les services de déploiement Windows . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le fonctionnement des services de déploiement Windows . . . . . . .
Installer les services de déploiement Windows . . . . . . . . . . . . . .
Les modes de fonctionnement des services de déploiement Windows
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
301
303
305
309
Le mode hérité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
Le mode mixte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
Le mode natif . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
Configurer les services de déploiement Windows . . . . . . . . . . . . . . . . . . 310
Configurer DHCP pour les services de déploiement Windows . . . . . . . . . . . 312
L’option DHCP 60 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313
Le port 67 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 314
Les images de démarrage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315
Ajouter une image de démarrage . . . . . . . . . . . . . . . . . . . . . . . . . . 316
Exporter une image de démarrage . . . . . . . . . . . . . . . . . . . . . . . . . 318
Supprimer une image de démarrage . . . . . . . . . . . . . . . . . . . . . . . . 319
Les images d’installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 319
Les groupes d’images . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 320
Créer des groupes d’images . . . . .
Ajouter une image d’installation . .
Supprimer une image d’installation
Exporter une image d’installation .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
321
322
323
325
La stratégie de noms de clients et l’emplacement de compte . . . . . . . . . . . 326
L’administrateur spécifie le nom de l’ordinateur et l’unité d’organisation .
Spécifier la stratégie de noms de clients et l’unité d’organisation lors de
l’approbation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le serveur spécifie le nom de l’ordinateur et l’unité d’organisation . . . .
Définir la stratégie de noms d’ordinateurs . . . . . . . . . . . . . . . . . . . .
Effectuer toutes les actions d’ajout à un domaine lors du premier
démarrage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
326
326
328
329
331
Le programme de démarrage par défaut . . . . . . . . . . . . . . . . . . . . . . . . 332
WDSUTIL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333
Configurer l’option 60 en ligne de commandes . . . . . . . . .
Configurer le port 67 en ligne de commandes . . . . . . . . . .
Ajouter une image de démarrage en ligne de commandes . .
Supprimer une image de démarrage en ligne de commandes
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
335
336
336
337
Sommaire
Obtenir des informations sur le serveur de déploiement en ligne de
commandes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 337
Démarrer le serveur en ligne de commandes . . . . . . . . . . . . . . . . . . 346
Arrêter le serveur en ligne de commandes . . . . . . . . . . . . . . . . . . . . 347
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 347
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure . . . . . . . . . . . . . . . . . . . . . . . . 351
L’intégration dans le domaine Active Directory . . . . . . . . . . . . . . . . . . . . 353
Changer rapidement d’utilisateur . . . . . . . . . . . . . . . . . . . . . . . . . . 361
Les stratégies de groupe avec Windows Vista . . . . . . . . . . . . . . . . . . . . . 362
Les fichiers ADMX . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 363
Les stratégies de groupe locales multiples . . . . . . . . . . . . . . . . . . . . 379
La compatibilité des nouvelles fonctionnalités de Windows Vista dans Active
Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 382
Gérer les réseaux filaires IEEE 802.3 . . . . . . . . . . . . . . . . . . . . . . . 383
Gérer les réseaux sans fil IEEE 802.11 . . . . . . . . . . . . . . . . . . . . . . 387
Gérer Bitlocker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 391
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 397
Chapitre 10
Windows PowerShell . . . . . . . . . . . . . . . . . . . . . . . .
Présentation de Windows PowerShell . . . . . .
Installer Windows PowerShell . . . . . . . . . . .
Exécuter Windows PowerShell . . . . . . . . . . .
Les applets de commande Windows PowerShell
Le traitement d’objets . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
399
401
402
403
404
410
Les pipelines d’objets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 412
L’interaction et les scripts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 413
La stratégie d’exécution . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 414
Utiliser Windows PowerShell . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 415
L’importance de l’aide . . . . . . . . . . . . .
Utiliser des applets de commande . . . . .
Mettre en forme la sortie des commandes
Utiliser des alias . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
415
418
419
420
Naviguer dans Windows PowerShell . . . . . . . . . . . . . . . . . . . . . . . . . . 424
Naviguer dans le système de fichiers . . . . . . . . . . . . . . . . . . . . . . . . 424
Sommaire
Naviguer dans le Registre . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 425
Naviguer dans le magasin de certificats . . . . . . . . . . . . . . . . . . . . . . 426
PowerShell et Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 427
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 428
Chapitre 11
La maintenance des serveurs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 429
Préparer l’administration d’un serveur . . . . . . . . . . . . . . . . . . . . . . . . 431
Utiliser les appartenances de groupe pour administrer un serveur
La commande Exécuter en tant que . . . . . . . . . . . . . . . . . . . . .
L’outil Gestion de l’ordinateur . . . . . . . . . . . . . . . . . . . . . . . .
Le Bureau à distance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
431
433
439
443
Analyser les performances du serveur . . . . . . . . . . . . . . . . . . . . . . . . . 451
Pourquoi analyser les performances ? . . . . . . . . . . . . . .
Établir une ligne de base . . . . . . . . . . . . . . . . . . . . . . .
Choisir entre analyse programmée et analyse en temps réel
Les journaux . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Les alertes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Les compteurs de performance . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
451
452
453
462
468
471
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 476
Chapitre 12
Windows Server 2008 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 477
Les prérequis à l’installation de Windows Server 2008 . . . . . . . . . . . . . . . 479
Qu’est-ce que la version Server Core ? . . . . . . . . . . . . . . . . . . . . . . . . . 480
Installer Windows Server 2008 . . . . . . . . . . . . . . . . . . . . . . . . . . . 481
Les groupes et utilisateurs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 486
Les services par défaut . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 487
Gérer le serveur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 489
Les tâches de configuration initiales . . . . . . . . . . . . . . . . . . . . . . . . 489
La console Gestionnaire de serveur . . . . . . . . . . . . . . . . . . . . . . . . 490
Les assistants Server Manager . . . . . . . . . . . . . . . . . . . . . . . . . . . . 492
Les rôles et les fonctionnalités . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 493
Les améliorations liées à la sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . 500
Les fonctionnalités de sécurité avancée du pare-feu Windows . . . . . . . 501
La protection : NAP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 503
Le chiffrement de lecteur BitLocker . . . . . . . . . . . . . . . . . . . . . . . . 504
Sommaire
Enterprise PKI . . . . . . . . . . . . . . . . . . . . . . .
La cryptographie nouvelle génération (CNG) . . .
RODC (contrôleurs de domaine en lecture seule)
L’isolement de serveur et de domaine . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
504
505
505
506
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 507
Partie B
Active Directory
509
Chapitre 13
Introduction à LDAP et Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 511
Généralités sur l’annuaire et LDAP . . . . . . . . . . . . . . . . . . . . . . . . . . . 513
Qu’est-ce qu’un annuaire ? . . . . . . . . . . . .
Un peu d’histoire sur le protocole . . . . . . .
LDAP version 2 et version 3 . . . . . . . . . . .
Le standard LDAP v3 . . . . . . . . . . . . . . . .
La conformité LDAP de Windows Server 2003
La compatibilité LDAP et InetOrgPerson . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
513
514
515
516
519
521
Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 522
Les avantages d’Active Directory . . . . . . . . . . . . . . . . . .
La structure logique d’Active Directory . . . . . . . . . . . . .
Le partitionnement de la base de données Active Directory
La structure physique d’Active Directory . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
523
524
528
529
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 534
Chapitre 14
La planification d’un projet Active Directory . . . . . . . . . . . . . . . . .
Vue d’ensemble . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le processus de conception d’Active Directory . . . . . . . .
Le processus de planification d’un projet Active Directory .
Les définitions communes dans un projet Active Directory .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
535
537
538
539
541
Définition du service d’annuaire . . . . . . . . . . . . . .
Définition du schéma . . . . . . . . . . . . . . . . . . . . . .
Définition du catalogue global . . . . . . . . . . . . . . . .
Définition d’un nom unique et d’un nom unique relatif
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
541
542
543
544
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 544
Sommaire
Chapitre 15
La conception de l’infrastructure logique Active Directory . . . . . . . . . . . . . . . . . . . . 545
Du projet d’entreprise à la conception d’Active Directory . . . . . . . . . . . . . 547
Les modèles de forêts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 548
Le modèle de forêt basé sur l’organisation . . . . . . . . . . . . . . . . . . . . 548
Le modèle de forêt basé sur les ressources . . . . . . . . . . . . . . . . . . . . 549
Le modèle de forêt à accès restreint . . . . . . . . . . . . . . . . . . . . . . . . 550
Principe de conception des forêts . . . . . . . . . . . . . . . . . . . . . . . . . . . . 550
Les modèles de domaines . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 552
Le modèle de domaine unique . . . . . . . . . . . . . . . . . . . . . . . . . . . . 552
Le modèle de domaine régional . . . . . . . . . . . . . . . . . . . . . . . . . . . 554
Le modèle de domaine basé sur les entités de l’entreprise . . . . . . . . . . 554
Choisir le domaine racine de la forêt . . . . . . . . . . . . . . . . . . . . . . . . . . 555
Le domaine racine d’une forêt dans un modèle de domaine unique .
Le domaine racine d’une forêt dans un modèle de domaine régional
ou basé sur les entités de l’entreprise . . . . . . . . . . . . . . . . . . . .
Les avantages du domaine racine vide . . . . . . . . . . . . . . . . . . . .
Les avantages d’un domaine régional ou d’entité en tant que racine
de la forêt . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
. . . 556
. . . 557
. . . 559
. . . 559
Conception de domaine et sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . 559
Principe de conception des domaines . . . . . . . . . . . . . . . . . . . . . . . . . 560
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 561
Chapitre 16
La conception de la topologie de sites . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 563
Les mécanismes de conception : définitions . . . . . . . . . . . . . . . . . . . . . 565
Les fonctionnalités liées aux sites . . . . . . . . . . . . . . . . . . . . . . . . . 566
Les concepts de réplication d’Active Directory . . . . . . . . . . . . . . . . . . 569
Collecter les informations sur le réseau . . . . . . . . . . . . . . . . . . . . . . . . 580
Prévoir l’emplacement des contrôleurs de domaine . . . . . . . . . . . . . . . . 581
Prévoir l’emplacement des contrôleurs de domaine racine de la forêt
Prévoir l’emplacement des contrôleurs de domaine régionaux . . . . .
Prévoir l’emplacement des serveurs de catalogue global . . . . . . . . .
Déterminer l’emplacement des rôles maîtres d’opération . . . . . . . .
Concevoir des sites . . . . . . . . . . . .
Concevoir les liens de sites . . . . . . .
Concevoir les ponts de liaison de sites
En résumé . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
582
582
584
585
.
.
.
.
.
.
.
.
587
588
590
591
Sommaire
Chapitre 17
La conception et l’implémentation de la structure des unités d’organisation . . . . . . . . . 593
Planifier la structure administrative . . . . . . . . . . . . . . . . . . . . . . . . . . . 595
La collecte des données . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 595
Les modèles administratifs informatiques . . . . . . . . . . . . . . . . . . . . 597
Concevoir une structure d’unités d’organisation – les modèles de structure
d’unités d’organisation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 598
Le modèle basé sur l’emplacement . . . . . . . . . . . . . . . . . . . . . .
Le modèle basé sur l’organisation . . . . . . . . . . . . . . . . . . . . . .
Le modèle basé sur la fonction . . . . . . . . . . . . . . . . . . . . . . . .
Le modèle hybride basé sur l’emplacement, puis sur l’organisation
Le modèle hybride basé sur l’organisation, puis sur l’emplacement
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
598
599
599
600
601
Implémenter la structure d’unités d’organisation . . . . . . . . . . . . . . . . . . 601
Les outils de création . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le composant logiciel enfichable Utilisateurs et ordinateurs Active
Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Les outils de service d’annuaire . . . . . . . . . . . . . . . . . . . . . . .
L’outil Ldifde . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
L’outil de scripts Windows . . . . . . . . . . . . . . . . . . . . . . . . . .
. . . . 601
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
602
603
609
610
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 611
Chapitre 18
L’implémentation des serveurs d’infrastructure Active Directory . . . . . . . . . . . . . . . . 613
Vue d’ensemble . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 615
Déterminer les contraintes matérielles pour les contrôleurs de domaine . 616
Les conditions requises pour l’installation d’Active Directory . . . . . . . 618
Déployer le domaine racine de la forêt puzzmania.com . . . . . . . . . . . . . . 619
Le processus d’installation d’Active Directory . . . . . . . . . . . . . .
Installer le premier contrôleur de domaine . . . . . . . . . . . . . . .
L’installation détaillée d’Active Directory . . . . . . . . . . . . . . . . .
Vérifier le premier contrôleur de domaine . . . . . . . . . . . . . . . .
Configurer le serveur de temps . . . . . . . . . . . . . . . . . . . . . . .
Vérifier la résolution de noms récursive sur le premier contrôleur
de la forêt . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
620
622
623
630
637
. . . . 640
Après l’installation du premier contrôleur de domaine . . . . . . . . . . . . . . . 641
Résoudre les problèmes d’installation . . . . . . . . . . . . . . . . . . . . . . 642
Modifier le nom d’un contrôleur de domaine . . . . . . . . . . . . . . . . . . 645
Supprimer un contrôleur de domaine dans Active Directory . . . . . . . . 646
Sommaire
Déployer le deuxième contrôleur de domaine sur le même site . . . . . . . . . 649
Installer un contrôleur de domaine via le réseau . . . . . . . . . . . . . .
Installer un contrôleur de domaine à partir d’un fichier de réponses .
Vérifier le deuxième contrôleur de domaine . . . . . . . . . . . . . . . . .
Reconfigurer le service DNS . . . . . . . . . . . . . . . . . . . . . . . . . . .
Activer le vieillissement et le nettoyage pour le DNS . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
649
651
651
652
653
Déployer les domaines enfants . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 655
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 658
Chapitre 19
Les fonctions et les rôles dans Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . 661
Configurer les rôles maîtres d’opération . . . . . . . . . . . . . . . . . . . . . . . . 663
Les rôles maîtres au niveau de la forêt . . . . . . . . . . . . . . . . . . . . . . 663
Les rôles maîtres au niveau du domaine . . . . . . . . . . . . . . . . . . . . . 664
Le transfert des rôles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 667
Configurer le catalogue global . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 674
Élever les niveaux fonctionnels . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 681
Les relations d’approbation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 684
Les différentes approbations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 684
Le fonctionnement des approbations . . . . . . . . . . . . . . . . . . . . . . . 688
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 693
Chapitre 20
La maintenance d’Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 695
Sauvegarder Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 697
Restaurer Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 700
Choisir une restauration non autoritaire . . . . . . . . . . . . . . . . . . . . . 701
Choisir une restauration autoritaire . . . . . . . . . . . . . . . . . . . . . . . . 703
Défragmenter et déplacer Active Directory . . . . . . . . . . . . . . . . . . . . . . 704
Défragmenter Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . 704
Déplacer Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 705
Prendre les rôles maîtres . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 707
Prendre le rôle maître de schéma . . . . . . . . . . . . . . . .
Prendre le rôle maître d’attribution de noms de domaine
Prendre le rôle maître des ID relatifs . . . . . . . . . . . . .
Prendre le rôle maître d’émulateur PDC . . . . . . . . . . .
Prendre le rôle maître d’infrastructure . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
707
708
709
710
711
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 712
Sommaire
Chapitre 21
La sécurisation d’Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . .
L’importance de la sécurité Active Directory . . . . . . . . . . . .
Identifier les types de menaces pour la sécurité Active Directory
Établir des frontières sûres . . . . . . . . . . . . . . . . . . . . . . .
Sélectionner une structure Active Directory sécurisée . . . . . .
Sécuriser les comptes d’administration des services . . . . . . .
Limiter l’exposition des comptes d’administration des services .
Sécuriser les méthodes d’administration des données . . . . . .
Protéger les serveurs DNS et les données DNS . . . . . . . . . . .
Sécuriser les relations interforêts . . . . . . . . . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
715
717
717
719
720
720
721
723
728
731
732
Chapitre 22
Active Directory Application Mode et Active Directory Federation Services . . . . . . . . . . 733
Active Directory Application Mode dit ADAM . . . . . . . . . . . . . . . . . . . . . 735
Les principes d’ADAM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Implémenter ADAM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
La maintenance d’ADAM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Synchroniser les données entre Active Directory et une instance ADAM
.
.
.
.
735
740
750
752
Active Directory Federation Services (ADFS) . . . . . . . . . . . . . . . . . . . . . 754
Les principales fonctionnalités d’ADFS .
L’extension d’Active Directory à Internet
Les rôles des serveurs ADFS . . . . . . . .
Configuration requise pour ADFS . . . . .
Implémenter des composants ADFS . . .
La terminologie ADFS . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
754
755
755
757
760
762
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 764
Partie C
Sécurité
765
Chapitre 23
Introduction à la sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 767
Qu’est ce que la défense en profondeur . . . . . . . . . . . . . . . . . . . . . . . . 769
La couche physique . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 770
Corruption possible de la couche physique . . . . . . . . . . . . . . . . . . . 771
Sommaire
Défense de la couche physique . . . . . . . . . . . . . . . . . . . . . . . . . . . 771
La couche Périmètre . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 773
Corruption possible de la couche Périmètre . . . . . . . . . . . . . . . . . . . 774
Défense de la couche Périmètre . . . . . . . . . . . . . . . . . . . . . . . . . . . 774
La couche réseau interne . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 775
Corruption possible de la couche réseau . . . . . . . . . . . . . . . . . . . . . 776
Défense de la couche réseau . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 777
La couche hôte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 778
Corruption possible de la couche hôte . . . . . . . . . . . . . . . . . . . . . . 779
Défense de la couche hôte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 779
La couche application . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 780
Corruption possible de la couche application . . . . . . . . . . . . . . . . . . 781
Défense de la couche application . . . . . . . . . . . . . . . . . . . . . . . . . . 781
La couche Données . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 782
Corruption possible de la couche Données . . . . . . . . . . . . . . . . . . . 783
Défense de la couche Données . . . . . . . . . . . . . . . . . . . . . . . . . . . . 783
Les notions fondamentales liées à la sécurité . . . . . . . . . . . . . . . . . . . . . 784
Les dix commandements de la sécurité . . . . . . . . . . . . . . . . . . . . . . . . 786
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 787
Chapitre 24
La conception de la sécurité des serveurs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 789
Les problématiques de base . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 791
Les serveurs assurant plusieurs rôles. . . . . . . . . . . . . . .
Des ressources limitées pour la mise en œuvre de solutions
de sécurisation . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
La menace interne ou accidentelle . . . . . . . . . . . . . . . . .
Le manque de compétences en matière de sécurité . . . . . .
Les possibilités d’accès physique . . . . . . . . . . . . . . . . . .
Les conséquences juridiques . . . . . . . . . . . . . . . . . . . . .
L’utilisation de systèmes anciens . . . . . . . . . . . . . . . . . .
. . . . . . . . 791
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
791
791
791
792
792
792
Les concessions en matière de sécurité . . . . . . . . . . . . . . . . . . . . . . . . 792
Sécurité et facilité d’emploi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 792
Un faible coût . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 793
La sécurité de base des serveurs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 793
Sécuriser les serveurs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 793
Quelques recommandations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 794
Sommaire
La sécurité Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 795
Planifier la sécurité . . . . . . . . . . . . . . .
Établir des frontières de sécurité . . . . . .
Renforcer la stratégie de domaine . . . . .
Établir une hiérarchie basée sur les rôles
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
796
797
798
798
Protéger les serveurs membres . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 799
Le modèle de sécurité Member Server Baseline . . . . . . . . . . . . . . . . . 799
Protéger les serveurs pour des rôles spécifiques . . . . . . . . . . . . . . . . . . . 800
Renforcer la protection des serveurs d’infrastructure . . . . . . . . .
Renforcer la protection des serveurs de fichiers . . . . . . . . . . . . .
Renforcer la protection des serveurs d’impression . . . . . . . . . . .
Renforcer la protection des serveurs IIS . . . . . . . . . . . . . . . . . .
Les méthodes conseillées pour renforcer la protection des serveurs
pour des rôles spécifiques . . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
800
801
801
801
. . . 803
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 803
Chapitre 25
Évaluation de la sécurité . . . . . . . . . . . . . . . . . . . . . . .
Pourquoi réaliser des évaluations de la sécurité ?
Planification de l’évaluation de sécurité . . . . . .
Le concept de défense en profondeur . . . . . . .
Définition du cadre de l’évaluation de sécurité . .
Les objectifs de l’évaluation de sécurité . . . . . .
Les types d’évaluations de sécurité . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
805
807
808
810
811
812
813
L’analyse des vulnérabilités . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 814
Le test de pénétration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 815
L’audit de sécurité informatique . . . . . . . . . .
Publier les résultats de l’évaluation de sécurité .
Utiliser l’outil MSAT . . . . . . . . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
816
818
818
821
Chapitre 26
La sécurisation des postes de travail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 823
Gérer les mises à jour des logiciels . . . . . . . . . . . . . . . . . . . . . . . . . . . 825
La sécurité sous Windows Vista . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 826
Windows Defender . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 826
Sommaire
Le Centre de sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 832
Le pare-feu personnel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 835
Le contrôle des comptes utilisateurs (UAC) . . . . . . . . . . . . . . . . . . . 846
L’antivirus en entreprise . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 847
Déploiement des logiciels antivirus . . . . . . . . . . . . . . . . . . . . . . . . 848
Mise à jour des logiciels antivirus . . . . . . . . . . . . . . . . . . . . . . . . . 849
Implémenter la sécurité des postes de travail à l’aide d’Active Directory . . . . 849
Utiliser des modèles de sécurité pour sécuriser les postes de travail .
Utiliser des modèles d’administration . . . . . . . . . . . . . . . . . . . . .
Vue d’ensemble des paramètres de sécurité des stratégies de groupe
Configuration recommandée des options de sécurité pour les postes
de travail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Appliquer les modèles de sécurité et les modèles d’administration . .
Les méthodes conseillées pour sécuriser les postes de travail à l’aide
d’une stratégie de groupe . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
. . 850
. . 851
. . 852
. . 853
. . 855
. . 856
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 857
Partie D
Annexes
Chapitre 27
Annexe I - Liste alphabétique des commandes .
A .....................
B .....................
C .....................
D .....................
E .....................
F .....................
G .....................
L .....................
M.....................
N .....................
P .....................
R .....................
S .....................
T .....................
859
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
861
863
866
867
877
885
886
890
893
895
896
906
913
916
922
Sommaire
Chapitre 28
Annexe II - Les services et les ports réseau sous Windows Server 2003 . . . . . . . . . . . . 927
Les ports des services système . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 929
Active Directory (autorité de sécurité locale) . . . . . . . . . . . . .
Le service de la passerelle de la couche Application . . . . . . . . .
Le service d’état ASP.NET . . . . . . . . . . . . . . . . . . . . . . . . . .
Les services de certificats . . . . . . . . . . . . . . . . . . . . . . . . . .
Le service de cluster . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
L’Explorateur d’ordinateurs . . . . . . . . . . . . . . . . . . . . . . . .
Le Serveur DHCP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le Système de fichiers distribués (DFS) . . . . . . . . . . . . . . . . .
Le Serveur de suivi de lien distribué . . . . . . . . . . . . . . . . . . .
Le Coordinateur de transactions distribuées . . . . . . . . . . . . .
Le Serveur DNS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le Journal des événements . . . . . . . . . . . . . . . . . . . . . . . . .
Les clients Microsoft Exchange Server et Outlook . . . . . . . . . .
Le service de télécopie . . . . . . . . . . . . . . . . . . . . . . . . . . . .
La réplication de fichiers . . . . . . . . . . . . . . . . . . . . . . . . . .
Le Serveur de fichiers pour Macintosh . . . . . . . . . . . . . . . . . .
Le service de publication FTP . . . . . . . . . . . . . . . . . . . . . . .
HTTP SSL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le service d’authentification Internet . . . . . . . . . . . . . . . . . .
Le service Pare-feu de connexion Internet/Partage de connexion
Internet (ICF/ICS) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le Centre de distribution de clés Kerberos . . . . . . . . . . . . . . .
L’enregistrement de licences . . . . . . . . . . . . . . . . . . . . . . . .
Le service Message Queuing (MSMQ) . . . . . . . . . . . . . . . . . .
L’Affichage des messages . . . . . . . . . . . . . . . . . . . . . . . . . .
Les piles MTA Microsoft Exchange . . . . . . . . . . . . . . . . . . . .
Le Gestionnaire des opérations Microsoft 2000 . . . . . . . . . . .
Le service POP3 Microsoft . . . . . . . . . . . . . . . . . . . . . . . . .
Le service MSSQLSERVER . . . . . . . . . . . . . . . . . . . . . . . . . .
Le service MSSQL$UDDI . . . . . . . . . . . . . . . . . . . . . . . . . . .
L’Ouverture de session réseau . . . . . . . . . . . . . . . . . . . . . . .
Le Partage de Bureau à distance NetMeeting . . . . . . . . . . . . . .
Network News Transfer Protocol (NNTP) . . . . . . . . . . . . . . . .
Le service Journaux et alertes de performance . . . . . . . . . . . .
Le Spouleur d’impression . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
929
930
931
931
931
932
932
933
933
934
934
934
935
936
937
937
937
938
938
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
939
939
940
940
941
941
941
942
942
943
943
943
944
944
944
Sommaire
L’Installation à distance . . . . . . . . . . . . . . . . . . . . . . . . . . . .
L’Appel de procédure distante (RPC) . . . . . . . . . . . . . . . . . . .
Le Localisateur d’appels de procédure distante (RPC) . . . . . . . .
La Notification de stockage étendu . . . . . . . . . . . . . . . . . . . . .
Le Serveur de stockage étendu . . . . . . . . . . . . . . . . . . . . . . . .
Le Routage et accès distant . . . . . . . . . . . . . . . . . . . . . . . . . .
Le Serveur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le service SharePoint Portal Server . . . . . . . . . . . . . . . . . . . .
Le service Simple Mail Transfer Protocol (SMTP) . . . . . . . . . . .
Les services TCP/IP simples . . . . . . . . . . . . . . . . . . . . . . . . .
L’Agent de contrôle à distance SMS . . . . . . . . . . . . . . . . . . . . .
Le service SNMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le service d’interruption SNMP . . . . . . . . . . . . . . . . . . . . . . .
Le service SQL Analysis Server . . . . . . . . . . . . . . . . . . . . . . . .
Le service SQL Server : prise en charge des clients OLAP de niveau
inférieur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le service de découvertes SSDP . . . . . . . . . . . . . . . . . . . . . . .
Microsoft Systems Management Server 2.0 . . . . . . . . . . . . . . . .
Le Serveur d’impression TCP/IP . . . . . . . . . . . . . . . . . . . . . . .
Le service Telnet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Les services Terminal Server . . . . . . . . . . . . . . . . . . . . . . . . .
La Gestion de licences Terminal Server . . . . . . . . . . . . . . . . . .
L’Annuaire de session des services Terminal Server . . . . . . . . . .
Le service Trivial FTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
L’Hôte périphérique Plug-and-Play universel . . . . . . . . . . . . . .
Windows Internet Name Service (WINS) . . . . . . . . . . . . . . . . .
Les services Windows Media . . . . . . . . . . . . . . . . . . . . . . . . .
Le service de temps Windows . . . . . . . . . . . . . . . . . . . . . . . .
Le service de publication World Wide Web . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
945
945
946
946
946
946
947
948
948
948
949
949
950
950
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
951
951
951
952
952
952
953
953
954
954
955
955
956
956
Les ports et les protocoles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 957
Les exigences relatives aux ports et aux protocoles Active Directory . . . . . . . 965
Chapitre 29
Annexe III - Glossaire . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 967
Chapitre 30
Index . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 999
Préface
Nous vous remercions d’avoir choisi la Bible Windows Server 2003 Windows Server 2008
afin de développer vos compétences dans le domaine des infrastructures Microsoft.
Nous avons souhaité que cet ouvrage vous serve de guide aussi bien dans la conception
de votre infrastructure que dans l’implémentation étape par étape des fonctionnalités
techniques. Il vous aidera à faire face aux problématiques de tous les jours. Pour cela,
l’ouvrage s’articule autour d’une étude de cas, une société fictive, qui sert de point de
départ à l’exposition des problématiques et permet d’élaborer la conception de la
solution, puis l’implémentation technique.
Même si nous avons souhaité nous concentrer uniquement sur les infrastructures
Microsoft, nous avons aussi voulu donner une dimension bien réelle aux problématiques
d’entreprise en montrant que, de nos jours, la satisfaction de l’utilisateur final passe par
un savant équilibre entre les fonctionnalités des systèmes d’exploitation pour serveurs et
les fonctionnalités des systèmes d’exploitation pour clients et qu’une nouvelle version de
Windows ne chasse pas l’autre immédiatement. En effet, Windows Vista arrive dans un
contexte où le parc informatique est déjà composé de Windows XP et/ou
Windows 2000, et Windows Server 2008 arrive également dans un contexte où le parc
informatique est déjà composé de Windows Server 2003, Windows 2000 Server, voire
Windows NT 4.0 Server. Au travers de la conception et de l’implémentation des
serveurs Windows Server 2003, nous avons souhaité vous sensibiliser à cet état de fait et
voulu que vous ayez en mains tous les arguments qui vous permettront de faire les choix
structurants dans votre contexte. C’est pourquoi vous trouverez, par exemple, des
chapitres traitant tout autant du déploiement de Windows Server 2003 que du
déploiement de Windows Vista, de la sécurisation des serveurs comme de la sécurisation
des stations de travail ou que des problématiques comme la gestion des identités et des
services réseaux.
En raison de la masse d’informations que cela représente, la Bible Windows Server 2003
Windows Server 2008 est composée de deux tomes.
Le tome I développe les thèmes suivants :
j
l’installation, le déploiement et les généralités des systèmes d’exploitation ;
j
la conception, l’implémentation, la maintenance et la sécurité d’Active Directory ;
j
la sécurité des serveurs, des stations de travail, du réseau et des données.
Le tome II développe les thèmes suivants :
25
j
les problématiques d’entreprise comme l’authentification forte, la haute
disponibilité ou l’intégration de Windows Server 2008 ;
j
la conception, l’implémentation, l’administration des services réseau ;
j
l’administration
l’administration.
centralisée
de
l’infrastructure,
les
outils
améliorant
Tous les chapitres sont en rapport avec l’étude de cas, mais cela ne vous empêchera pas
d’utiliser ces livres pour un sujet précis selon vos besoins.
Bonne lecture à tous !
26
Partie
A
Installation,
déploiement
et généralités
Partie
A
Installation,
déploiement
et généralités
Chapitre 1
Étude de cas . . . . . . . . . . . . . . . . . .
29
Chapitre 2
État des lieux de Windows Server en entreprise . . . . .
55
Chapitre 3
Windows Server 2003 Service Pack 2 et R2 . . . . . .
87
Chapitre 4
L’installation et le déploiement de Windows Server 2003 . 105
Chapitre 5
L’installation de Windows Vista . . . . . . . . . . . 135
Chapitre 6
Le déploiement des ordinateurs Windows Vista
en entreprise – phase 1 . . . . . . . . . . . . . . 185
Chapitre 7
Le déploiement des ordinateurs Windows Vista
en entreprise – phase 2 . . . . . . . . . . . . . . 247
Chapitre 8
Les services de déploiement Windows . . . . . . . . 301
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure . . . 351
Chapitre 10
Windows PowerShell . . . . . . . . . . . . . . . 399
Chapitre 11
La maintenance des serveurs . . . . . . . . . . . . 429
Chapitre 12
Windows Server 2008 . . . . . . . . . . . . . . 477
Chapitre 1
Étude de cas
1.1
1.2
1.3
1.4
Le contexte : présentation de la société
Les objectifs . . . . . . . . . . . . . . . . .
La mise en œuvre . . . . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
31
42
44
54
Le contexte : présentation de la société
Q
1. Étude de cas
uoi de mieux qu’une mise en situation afin d’expliquer les fonctionnalités de
Windows Server 2003 R2 et de montrer toute l’étendue des possibilités du système
d’exploitation serveur de Microsoft ! C’est par cette affirmation que nous est venue
l’idée de présenter tous les concepts techniques au travers de la réalité des besoins
quotidiens d’une entreprise (bien que celle-ci soit inventée de toutes pièces pour les
besoins de l’ouvrage).
Nous espérons que ce mode de fonctionnement vous permettra d’établir la relation
entre le besoin d’entreprise et l’implémentation d’une fonctionnalité technique et que
vous aborderez l’ouvrage soit par rapport à une situation que vous vivez dans votre
travail quotidien, soit par rapport à un concept technique que vous souhaitez
approfondir.
Ce premier chapitre vous présente Puzzmania, une société à taille humaine, qui
ressemble à tant d’autres dans le domaine de l’informatique et qui a les problématiques
d’un grand nombre de sociétés en France de nos jours. Ce chapitre de référence détaille
également les noms des serveurs, le plan de nommage, le plan d’adressage utilisé tout au
long de l’ouvrage.
Pour avoir l’opportunité d’introduire la conception d’Active Directory dans cet ouvrage,
nous allons partir du postulat de base que Puzzmania est architecturée autour de
domaines Windows NT 4.0, sachant que la plupart des entreprises en France ont toutes
(ou presque) migré tout leur parc vers Active Directory. Cela va vous permettre de voir
tous les aspects de la conception et, par anticipation, vous donner les bonnes pratiques
de réflexion en cas de migration, puisque la migration vers Windows Server 2008 sera
bientôt d’actualité.
1.1.
Le contexte : présentation de la société
L’activité de la société
Puzzmania est une société de conception et de fabrication de puzzles, composée de
300 personnes réparties autour de trois sites géographiques : Paris, Toulouse et Nice.
Elle enregistre de bons résultats grâce à une gamme de produits complète (pour tous les
âges et tous les niveaux) et connaît depuis peu un essor considérable en étant la seule à
proposer des puzzles 3D grâce à une technique d’impression holographique des pièces
unique au monde.
La situation géographique
La société est articulée autour de trois sites géographiques :
j
le site de Paris, qui regroupe la direction, le marketing, les finances, les ressources
humaines ;
31
1. Étude de cas
Chapitre 1
Étude de cas
j
le site de Toulouse, qui regroupe l’usine de production et d’acheminement des
puzzles dits classiques ;
j
le site de Nice, qui regroupe le laboratoire à l’origine du développement de la
technique d’impression 3D unique au monde, ainsi que la production et
l’acheminement de ces puzzles.
L’infrastructure informatique
Le système d’information de Puzzmania est à l’image de la société : il a été bâti il y a
quelques années et il connaît maintenant une forte croissance.
Puzzmania est composée de trois domaines NT 4.0 indépendants, un sur chaque site
géographique, avec des relations d’approbation bidirectionnelles entre les sites.
Au fil des différents projets informatiques, dus à l’essor des puzzles 3D, des serveurs
Windows 2000 Server et Windows Server 2003 ont été ajoutés afin d’apporter de la
robustesse et des fonctionnalités, mais sans impact sur l’infrastructure. Le but principal
était de relier les sites, de communiquer, de répondre au besoin coûte que coûte.
Chaque site dispose de son propre service informatique (de l’administration au support
des utilisateurs).
Les utilisateurs sont administrateurs de leurs propres stations de travail : ils utilisent des
applications bureautiques (style Office), graphiques ou maison, selon leurs activités.
Plan d’adressage IP
La société utilise exclusivement le protocole TCP/IP comme protocole de
communication sur son réseau. Voici comment a été pensé le plan d’adressage IP
(serveurs, équipements actifs, stations de travail…) en tenant compte des trois sites
géographiques, basé sur une étendue d’adresses IP de classe B. Une règle appliquée au
troisième et quatrième octet de l’adresse IP offre un moyen mnémotechnique
sympathique qui permet d’avoir en tête rapidement la relation entre l’adresse IP et le
type de matériel. Dans certains cas, on peut également faire une correspondance entre
l’adresse IP et le nom du serveur, par exemple, bien qu’aucun plan de nommage officiel
n’ait été écrit.
Tableau 1.1 : Règle d’attribution des adresses IP
1er octet 2e octet
3e octet
172
X = localisation
50
4e octet
Y = catégorie
Adresse IP
ZZZ = de 1 172.50.XY.ZZZ
à 254
Le masque de sous-réseau, quant à lui, sera le même sur tous les sites : 255.255.240.0.
Il est calculé selon le besoin en adresses.
32
Le contexte : présentation de la société
1. Étude de cas
En fonction du masque de sous-réseau et de l’étendue des adresses IP disponibles, il est
décidé de découper l’étendue en plusieurs sous-réseaux ; en outre, il est convenu que
chaque site géographique dispose de son propre sous-réseau, le tout correctement routé
à travers les sites.
Tableau 1.2 : Liste des sous-réseaux affectés aux sites géographiques de Paris, Toulouse
et Nice
Site
géographique
Numéro de sousréseau
Adresse du sousréseau
Adresses IP des
machines
Adresse de
broadcast
Paris
1
172.50.0.0
De 172.50.0.1 à
172.50.15.254
172.50.15.255
Toulouse
2
172.50.16.0
De 172.50.16.1
à
172.50.31.254
172.50.31.255
Nice
3
172.50.32.0
De 172.50.32.1
à
172.50.47.254
172.50.47.255
Un tel découpage représente un total de 16 sous-réseaux disponibles de 4094 machines
chacun.
Définition du troisième octet
Selon la règle d’attribution des adresses IP, la variable X désigne le site géographique sur
lequel se trouve le serveur ou la station de travail.
Tableau 1.3 : Définition de la variable X du troisième octet du plan d’adressage IP
Valeur X
Localisation
1
Paris
2
Toulouse
4
Nice
La variable Y désigne le type d’équipement.
Tableau 1.4 : Définition de la variable Y du troisième octet du plan d’adressage IP
Valeur Y
Catégorie d’équipements
0
Équipements actifs du réseau (routeurs…)
1
Serveurs
2
Serveurs
3
Imprimantes
33
1. Étude de cas
Chapitre 1
Étude de cas
Valeur Y
Catégorie d’équipements
4
Stations de travail
5
Stations de travail
Il faut noter que le fait d’intégrer une variable Y dans la règle d’attribution des
adresses IP limite encore plus le champ des possibles au sein d’un même sous-réseau. En
effet, il va falloir segmenter une plage d’adresses IP qui est déjà segmentée elle-même.
Définition du quatrième octet
La variable ZZZ définit l’étendue des valeurs disponibles pouvant être affectées à une
adresse IP, soit une étendue de 1 à 254.
Il est quand même défini que les valeurs de 1 à 9 sont réservées aux contrôleurs de
domaine répartis sur les sites géographiques.
Exemple : l’adresse IP 172.50.10.254 fait référence à un routeur situé à Paris.
L’adresse IP 172.50.41.6 fait référence à un contrôleur principal de domaine (CPD)
situé à Nice.
Le détail des sites
Paris
j
Nombre d’utilisateurs : 120.
j
Nombre de stations de travail : 140.
j
Nombre de serveurs : 10.
Liste des serveurs d’infrastructure
Tableau 1.5 : Liste des serveurs d’infrastructure de Puzzmania présents sur le site de Paris
34
Nom du serveur
Adresse IP
Système d’exploitation
Fonction
PADC01
172.50.11.1
Windows NT 4.0 Server
Contrôleur principal de domaine,
serveur primaire DNS, serveur
primaire WINS, serveur DHCP
PADC02
172.50.11.2
Windows NT 4.0 Server
Contrôleur secondaire de domaine
(CSD), serveur secondaire DNS,
serveur secondaire WINS partenaire
de réplication
TLDC06
172.50.11.6
Windows NT 4.0 Server
Contrôleur secondaire de domaine
pour le domaine TLSPUZZ
Le contexte : présentation de la société
Adresse IP
Système d’exploitation
Fonction
NCEDC08
172.50.11.8
Windows NT 4.0 Server
Contrôleur secondaire de domaine
pour le domaine NCEPUZZ
PABUR01
172.50.11.10
Windows 2000 Server
Serveur de fichiers
PAPRINT01
172.50.11.11
Windows 2000 Server
Serveur d’impression
PAMAIL01
172.50.11.12
Windows 2000 Server
Serveur de messagerie
PAAV01
172.50.11.13
Windows Server 2003
Standard Edition
Serveur antivirus
PAWEB01
172.50.11.15
Windows Server 2003 Web
Edition
Serveur web
PAWEB02
172.50.11.16
Windows Server 2003 Web
Edition
Serveur web
1. Étude de cas
Nom du serveur
Cas d’entreprise
La liste des serveurs montre la mixité des versions des systèmes d’exploitation
utilisées. En guise de serveurs web, par exemple, on a installé Windows Server 2003
afin d’utiliser les fonctionnalités d’IIS 6. On remarque également que le site de Paris
contient un CSD de chacun des autres domaines. En outre, dans la mesure du
possible, les noms de serveur sont représentatifs, bien qu’il n’y ait pas de plan de
nommage officiel, mais cela n’est pas le cas à tous les coups.
Le serveur DHCP du site, PADC01, distribue des adresses IP comprises dans une
étendue allant de 172.50.14.1 à 172.50.14.254 et de 172.50.15.1 à 172.50.15
.254. Elles sont distribuées aux stations de travail localisées au même endroit.
Toulouse
j
Nombre d’utilisateurs : 100.
j
Nombre de stations : 90.
j
Nombre de serveurs : 11.
35
Chapitre 1
Étude de cas
1. Étude de cas
Liste des serveurs d’infrastructure
Tableau 1.6 : Liste des serveurs d’infrastructure de Puzzmania présents sur le site de
Toulouse
Nom du serveur
Adresse IP
Système d’exploitation
Fonction
TLDC03
172.50.21.3
Windows NT 4.0 Server
Contrôleur principal de domaine,
serveur primaire DNS, serveur
primaire WINS, serveur DHCP
TLDC04
172.50.21.4
Windows NT 4.0 Server
Contrôleur secondaire de domaine,
serveur secondaire DNS, serveur
secondaire WINS partenaire de
réplication
PADC03
172.50.21.3
Windows NT 4.0 Server
Contrôleur secondaire de domaine
pour le domaine PARPUZZ
NCEDC09
172.50.21.9
Windows NT 4.0 Server
Contrôleur secondaire de domaine
pour le domaine NCEPUZZ
TLSBUR01
172.50.21.10
Windows 2000 Server
Serveur de fichiers
TLSPRINT01
172.50.21.11
Windows 2000 Server
Serveur d’impression
TLSMAIL01
172.50.21.12
Windows 2000 Server
Serveur de messagerie
TLSAV01
172.50.21.13
Windows Server 2003
Standard Edition
Serveur antivirus
TLSBDD01
172.50.21.14
Windows 2000 Server
Serveur de base de données
TLSAPP01
172.50.21.15
Windows Server 2003
Standard Edition
Serveur applicatif
TLSAPP02
172.50.21.16
Windows Server 2003
Standard Edition
Serveur applicatif
Cas d’entreprise
Si on compare les listes des serveurs d’infrastructure de Paris et de Toulouse, on
retrouve des doublons dans les rôles de serveur induits par le fait que le domaine
TLSPUZZ est indépendant du domaine de Paris. Cette remarque vaut pour tous les
sites. On constate également des différences dans la règle de nommage des serveurs
par rapport au site de Paris, sûrement dues à la précipitation (par exemple, le site de
Toulouse est mentionné sur deux ou trois caractères).
Le serveur DHCP du site, TLDC03, distribue des adresses IP comprises dans une
étendue allant de 172.50.24.1 à 172.50.24.254 et de 172.50.25.1 à 172.50.25
.254. Elles sont distribuées aux stations de travail localisées au même endroit.
36
Le contexte : présentation de la société
Nice
Nombre d’utilisateurs : 80.
j
Nombre de stations : 90.
j
Nombre de serveurs : 9.
1. Étude de cas
j
Liste des serveurs d’infrastructure
Tableau 1.7 : Liste des serveurs d’infrastructure de Puzzmania présents sur le site de Nice
Nom du serveur
Adresse IP
Système d’exploitation
Fonction
NCDC06
172.50.41.6
Windows NT 4.0 Server
Contrôleur principal de domaine,
serveur primaire DNS, serveur
primaire WINS, serveur DHCP
NCEDC07
172.50.41.7
Windows NT 4.0 Server
Contrôleur secondaire de domaine,
serveur secondaire DNS, serveur
secondaire WINS partenaire de
réplication
PADC04
172.50.41.4
Windows NT 4.0 Server
Contrôleur secondaire de domaine
pour le domaine PARPUZZ
TLDC05
172.50.41.5
Windows NT 4.0 Server
Contrôleur secondaire de domaine
pour le domaine TLSPUZZ
NCEBUR01
172.50.41.10
Windows 2000 Server
Serveur de fichiers
NCEPRINT01
172.50.41.11
Windows 2000 Server
Serveur d’impression
NCEMAIL01
172.50.41.12
Windows 2000 Server
Serveur de messagerie
NCEAV01
172.50.41.13
Windows Server 2003
Standard Edition
Serveur antivirus
NCEBDD01
172.50.41.14
Windows 2000 Server
Serveur de base de données
NCAPPA
172.50.41.15
Windows Server 2003
Enterprise Edition
Serveur applicatif en cluster
NCEAPPB
172.50.41.16
Windows Server 2003
Enterprise Edition
Serveur applicatif en cluster
Le serveur DHCP du site, NCDC06, distribue des adresses IP comprises dans une
étendue allant de 172.50.44.1 à 172.50.44.254 et de 172.50.45.1 à 172.50.45
.254. Elles sont distribuées aux stations de travail localisées au même endroit.
Les dysfonctionnements de la situation actuelle
Puzzmania est composée de trois domaines Windows NT 4.0 Server indépendants, avec
des relations d’approbation bidirectionnelles entre les sites. Cette architecture se
37
Chapitre 1
Étude de cas
1. Étude de cas
focalise sur la communication entre les sites géographiques. Elle n’est pas la plus
sécurisée qui soit, ni la plus simple à administrer d’ailleurs.
Notons les points de dysfonctionnements suivants…
La non-uniformité des processus
Aujourd’hui, chaque site possède sa propre méthode de travail, ses choix de systèmes
d’exploitation et de logiciels. Pour ne citer qu’un seul exemple de cette complexité,
chaque site possède aujourd’hui un antivirus différent. Il reste très difficile, voire
souvent impossible, de mettre en place des solutions globales au niveau de l’organisation
de Puzzmania.
Les problèmes de coûts importants
L’organisation de Puzzmania regroupe, sur l’ensemble de ses trois sites, une diversité de
serveurs et de stations de travail importante. La gamme de serveurs s’étend de
Windows NT 4.0 Server pour les serveurs d’infrastructure, à Windows 2000 Server pour
les serveurs de base de données et de fichiers, en passant par différentes éditions de
Windows Server 2003 pour des serveurs applicatifs et web. La gamme des stations de
travail est à l’égale de la gamme des serveurs puisque l’on y retrouve des clients installés
au fil des livraisons matérielles.
Des coûts importants sont recensés au niveau du centre d’appels de la société. Les
techniciens sont obligés de connaître plusieurs systèmes d’exploitation clients tels que
Windows NT 4.0
Workstation,
Windows 2000
Professionnel,
Windows XP
Professionnel et maintenant Windows Vista Professionnel, ainsi que diverses
applications, souvent dupliquées quand elles ne sont pas triplées.
Les problèmes de réactivité
L’entreprise souffre de problèmes de réactivité à plusieurs niveaux. Vu la diversité des
versions des systèmes d’exploitation des stations de travail et des serveurs, la
qualification des logiciels se voit multipliée par trois. Prenons l’exemple de la suite
bureautique Office. Selon la version d’Office utilisée sur chaque site, il faut tester son
bon fonctionnement, aussi bien sous Windows NT 4.0 Workstation que Windows 2000
Professionnel, Windows XP Professionnel et Windows Vista Professionnel (car la
migration du parc vers Windows Vista est ou sera d’actualité). En outre, lorsqu’un
problème Office est détecté sur une plateforme ou qu’un Service Pack sort afin
d’améliorer la sécurité ou apporter des fonctionnalités, il faut le temps de le tester et de
le déployer sans impact sur les autres plateformes.
38
Le contexte : présentation de la société
Le problème de gestion du parc informatique trop complexe
1. Étude de cas
L’entreprise ne possède pas une méthode d’installation industrialisée pour les systèmes
d’exploitation clients et serveurs. La mise en service de stations de travail ou de serveurs
se fait manuellement, ce qui touche considérablement la mise en production et le coût
des machines.
La sécurité du système d’information
Le maintien d’anciennes versions de systèmes d’exploitation apporte son lot de
problèmes de sécurité. Exemple : l’obligation de maintenir des protocoles de
communication non sécurisés. Le fait que tous les utilisateurs soient administrateurs de
leur station de travail augmente les risques : installation d’applications non conformes,
utilisation de périphériques externes (sans compter l’impact sur la gestion du parc et le
centre d’appels). De plus, Puzzmania ne possède pas de système centralisé de mise à
jour de correctifs.
Les enjeux de la direction
Afin d’optimiser ses performances, la direction décide de n’avoir plus qu’un seul site de
production et d’acheminement (Toulouse), tout en tirant parti et en communiquant au
mieux (c’est-à-dire de façon sécurisée) avec le laboratoire de Nice. Elle décide
également de la nécessité de consolider et d’homogénéiser l’infrastructure informatique
pour alléger les coûts.
Afin d’élargir ses compétences, la direction décide de racheter deux sociétés.
Les sociétés partenaires
Smart Com
Smart Com est une très petite société située à Londres, spécialisée dans le
développement des activités commerciales vers l’international. Le but de ce rachat est
d’en faire une antenne commerciale pour gagner de nouveaux marchés.
Son infrastructure informatique est constituée d’un seul domaine Windows NT 4.0
Server englobant tous les services de la société : 4 serveurs pour 15 stations de travail.
Les mêmes règles d’attribution d’adresses IP, énoncées dans le plan d’adressage IP de
Puzzmania, sont appliquées ici. Les seules exceptions concernent le sous-réseau dans
lequel se trouvent les machines ainsi que la variable X du troisième octet, qui prend ici la
valeur 5.
39
Chapitre 1
Étude de cas
1. Étude de cas
Tableau 1.8 : Sous-réseau affecté au site géographique de Londres pour Smart Com
Site géographique
Numéro de sousréseau
Adresse du sousréseau
Adresses IP des
machines
Adresse de
broadcast
Londres
4
172.50.48.0
De
172.50.63.255
172.50.48.1 à
172.50.63.254
Le nommage des serveurs est, quant à lui, propre à Smart Com.
Liste des serveurs d’infrastructure
Tableau 1.9 : Liste des serveurs d’infrastructure de Smart Com présents sur le site de
Londres
Nom du serveur
Adresse IP
Système d’exploitation
Fonction
SMART−DC01
172.50.51.1
Windows NT 4.0 Server
Contrôleur principal de domaine,
serveur primaire DNS, serveur
primaire WINS, serveur DHCP
SMART−DC02
172.50.51.2
Windows NT 4.0 Server
Contrôleur secondaire de domaine,
serveur secondaire DNS, serveur
secondaire WINS partenaire de
réplication
SMART−BUR01
172.50.51.10
Windows 2000 Server
Serveur de fichiers et serveur
antivirus
SMART−BDD01
172.50.51.11
Windows 2000 Server
Serveur de base de données et
serveur applicatif
Le serveur DHCP du site, SMART−DC01, distribue des adresses IP comprises dans une
étendue allant de 172.50.54.1 à 172.50.54.254 et de 172.50.55.1 à 172.50.55
.254. Elles sont distribuées aux stations de travail localisées au même endroit.
Créadesign
Créadesign est une petite société high-tech située à Nice, spécialisée dans l’infographie.
Le but de ce rachat est de renforcer le développement autour de la technique qui fait le
succès de l’entreprise.
La société est constituée d’un domaine unique Active Directory Windows Server 2003
comprenant sept serveurs et cinquante postes.
Les mêmes règles d’attribution d’adresses IP, énoncées dans le plan d’adressage IP de
Puzzmania, sont appliquées ici. Les seules exceptions concernent le sous-réseau dans
lequel se trouvent les machines ainsi que la variable X du troisième octet, qui prend ici la
valeur 7.
40
Le contexte : présentation de la société
Tableau 1.10 : Sous-réseau affecté au site géographique de Londres pour Smart Com
Numéro de sousréseau
Adresse du sousréseau
Adresses IP des
machines
Adresse de
broadcast
Nice
5
172.50.64.0
De
172.50.79.255
172.50.64.1 à
172.50.79.254
1. Étude de cas
Site géographique
Le nommage des serveurs est, quant à lui, propre à Créadesign.
Liste des serveurs d’infrastructure
Tableau 1.11 : Liste des serveurs d’infrastructure de Créadesign présents sur le site de
Nice
Nom du serveur
Adresse IP
Système d’exploitation
Fonction
crea−dc1
172.50.71.1
Windows Server 2003
Standard Edition
Contrôleur de domaine, serveur
primaire DNS, serveur primaire
WINS, serveur DHCP
crea−dc2
172.50.71.2
Windows Server 2003
Standard Edition
Contrôleur de domaine, serveur
secondaire DNS, serveur
secondaire WINS partenaire de
réplication
crea−bur1
172.50.71.10
Windows Server 2003
Standard Edition
Serveur de fichiers
crea−av1
172.50.71.11
Windows Server 2003
Standard Edition
Serveur antivirus
crea−bda
172.50.71.12
Windows Server 2003
Enterprise Edition
Serveur applicatif et de base de
données en cluster
crea−bdb
172.50.71.13
Windows Server 2003
Enterprise Edition
Serveur applicatif et de base de
données en cluster
crea−web1
172.50.71.14
Windows Server 2003 Web
Edition
Serveur web
Le serveur DHCP du site, crea−dc1, distribue des adresses IP comprises dans une
étendue allant de 172.50.74.1 à 172.50.74.254 et de 172.50.75.1 à 172.50.75
.254. Elles sont distribuées aux stations de travail localisées au même endroit.
La communication entre les sociétés
Une fois l’annonce faite par la direction du rachat de Smart Com et de Créadesign, la
première étape, d’un point de vue informatique, est d’établir le contact entre les trois
sociétés. Pour ce faire, il faut créer de nouvelles relations d’approbation entre les
41
Chapitre 1
Étude de cas
1. Étude de cas
domaines, mais également configurer les serveurs WINS comme partenaires de
réplication afin de convertir les noms NetBIOS en adresses IP.
Résumé du contexte
Puzzmania est une entreprise de taille moyenne, fonctionnant sous une architecture
Windows NT 4.0 Server, et repartie sur trois sites. Chaque site est autonome dans le
choix de ses machines et de ses logiciels, et dispose approximativement d’une dizaine de
serveurs, allant de Windows NT 4.0 Server à Windows Server 2003 Enterprise Edition,
et d’une centaine de postes utilisateurs, allant de Windows NT 4.0 Workstation à
Windows XP professionnel. Chaque site possède son propre domaine et communique
avec les autres domaines de l’entreprise à l’aide de relations d’approbation
bidirectionnelles, et parfois de comptes dupliqués pour l’administration.
Puzzmania travaille aujourd’hui essentiellement avec deux partenaires :
j
Créadesign, pour la partie recherche et développement de nouveaux produits. Cette
société évolue dans une forêt Active Directory Windows Server 2003 regroupant
quelques serveurs et une cinquantaine d’utilisateurs. Créadesign possède une forte
expérience informatique dans les nouvelles technologies.
j
Smart Com, pour la partie communication. Cette société de petite taille dispose
d’une petite structure informatique d’une quinzaine de personnes et de quatre
serveurs.
Pour que tous les sites puissent partager l’information, on est obligé de créer des
relations d’approbation dans tous les sens, ce qui a comme conséquence d’augmenter les
risques d’intrusion et de complexifier l’administration (placer les droits sur les serveurs
de fichiers est un vrai casse-tête !).
On s’aperçoit également que la mixité des systèmes d’exploitation au niveau des
fondements de l’infrastructure complique également le problème.
1.2.
Les objectifs
Vu les stratégies de développement mises en œuvre par la direction et compte tenu des
contraintes techniques dues à l’arrêt programmé du support de Windows NT 4.0 Server,
la décision est prise de restructurer le système d’information autour de Windows
Server 2003.
Windows Server 2003 est le système d’exploitation serveur Microsoft de référence (en
attendant Windows Server 2008, son successeur). Puzzmania compte profiter des
nouveautés apportées par Windows Server 2003 R2 (sorti en 2005), des améliorations
de sécurité, de stabilité et de performances apportées par le Service Pack 2 ainsi que des
fonctionnalités d’anticipation à l’arrivée de Windows Vista dans l’infrastructure réseau
et système, apportées également par le Service Pack 2.
42
Les objectifs
Trois grands axes de travail sont retenus…
1. Étude de cas
Réduire les coûts
Vaste travail ! La première étape consiste à concevoir une nouvelle infrastructure qui
sera la base d’un travail de fond sur la réduction des coûts.
Une plus grande disponibilité de l’infrastructure, des serveurs et des stations de travail
va participer également à la réduction des coûts. Tout doit être mis en œuvre pour
simplifier l’accès aux données, mettre en place toutes les options et les services qui vont
accroître la productivité de l’utilisateur.
Une autre étape importante porte sur l’industrialisation des installations des stations de
travail et des serveurs, l’uniformité des choix logiciels et l’allégement de la charge de
travail du centre d’appels. En effet, en utilisant tout le potentiel de l’infrastructure
Windows Server 2003, il sera possible d’automatiser l’installation des serveurs et des
stations de travail, et également d’appliquer des stratégies de groupe qui définiront les
droits des utilisateurs (par exemple, les logiciels qu’ils ont le droit d’utiliser).
Dans le contexte de Puzzmania, le but est d’avoir une plateforme matérielle et logicielle
commune à tous les sites. Cela permettra d’être plus réactif lors de la sortie d’une
nouvelle version d’Office par exemple. En outre, la charge de travail du centre d’appels
sera allégée, non seulement parce que les compétences demandées aux techniciens de
support seront plus clairement exprimées, mais aussi parce que l’environnement de
travail de l’utilisateur sera contrôlé.
Intégrer les trois sociétés dans une nouvelle organisation
Concevoir le nouveau système d’information, c’est un peu comme bâtir une maison : il
faut toujours commencer par les fondations. Plus les fondations seront solides, plus il
sera facile de répondre aux besoins présents et futurs.
Il ne faut pas perdre de vue que l’infrastructure informatique doit répondre à une
problématique d’entreprise.
En ce qui concerne Smart Com et Créadesign, informatiquement parlant, il est possible
de travailler de plusieurs façons : soit on les considère comme des partenaires
communiquant avec Puzzmania, soit on les absorbe dans l’infrastructure de Puzzmania.
En faisant le parallèle avec les enjeux de la direction, on s’aperçoit que l’objectif est bien
de les absorber dans la nouvelle infrastructure tout en conservant leurs spécificités :
Smart Com doit devenir une antenne commerciale et Créadesign doit se rapprocher du
site de Nice et doit être sécurisée.
43
Chapitre 1
Étude de cas
Sécuriser l’infrastructure
1. Étude de cas
À l’heure actuelle, il est clair que les infrastructures informatiques doivent être les plus
sécurisées possibles.
La sécurité doit être implémentée sur plusieurs niveaux fonctionnels.
j
Sécurité du matériel d’infrastructure : les serveurs qui vont jouer un rôle important
dans l’infrastructure devront être sécurisés dans une salle prévue à cet effet.
j
Sécurité des processus : prenons l’exemple des sauvegardes et des restaurations
d’Active Directory. Il faut savoir comment les réaliser. Tout prend un sens quand on
sait quel processus il faut suivre pour mettre la sauvegarde en lieu sûr afin d’éviter
un désastre.
j
Sécurité des flux : certaines communications de l’entreprise doivent être protégées.
Il s’agit d’isoler l’activité de recherche et de développement du site de Nice de
Puzzmania et de Créadesign et de crypter les données sensibles.
j
Sécurité des systèmes d’exploitation : tout doit être mis en œuvre pour avoir une
politique antivirale et de mise à jour des correctifs de sécurité la plus homogène et
la plus efficace possible.
1.3.
La mise en œuvre
Pour atteindre les différents objectifs, on porte le choix sur des logiciels tournant sous
Windows Server 2003 pour la partie serveur : selon les besoins, soit Windows
Server 2003 sera installé, soit Windows Server 2003 R2 ; le Service Pack 2 sera installé
sur tous les serveurs. En ce qui concerne le poste de travail, les ordinateurs déjà présents
et aux capacités limitées seront sous Windows XP Professionnel. Les nouveaux
ordinateurs seront sous Windows Vista Professionnel. Windows Server 2003,
Windows XP Professionnel et Windows Vista Professionnel ont été choisis car ce sont
les systèmes d’exploitation qui répondent le mieux à l’ensemble des demandes de la
direction. Ils présentent toutes les qualités d’un système d’exploitation mature, robuste
et sécurisé.
L’équipe informatique a recensé l’ensemble des demandes de la direction et dégagé les
trois objectifs exposés précédemment :
44
j
une réduction de coûts à plusieurs niveaux ;
j
la mise en place d’une organisation unique avec l’intégration des deux sociétés
partenaires ;
j
la sécurité.
La mise en œuvre
Comment réduire les coûts à plusieurs niveaux ?
j
la maîtrise du nombre des serveurs d’infrastructure ;
j
la gestion des coûts liés aux stations de travail et aux serveurs ;
j
la réorganisation des sites ;
j
la stabilité des stations de travail des utilisateurs ;
j
la gestion des coûts liés aux utilisateurs ;
j
la réduction du nombre coups de téléphone au centre d’appels ;
j
la réduction des interventions des techniciens sur les sites.
1. Étude de cas
Une réduction de coûts importante a été demandée par la direction. Cette réduction,
pour être conséquente, devra s’appliquer sur les points suivants :
Maîtriser le nombre des serveurs d’infrastructure
Une étude va être réalisée sur la conception de la structure d’annuaire. Elle comportera
une réflexion autour des points suivants :
j
la structure logique ;
j
la topologie de site ;
j
la planification de la capacité des contrôleurs de domaine.
À partir de cette étude, il sera possible de déterminer le nombre de sites ayant besoin de
serveurs d’infrastructure et les sites qui deviendront des succursales sans serveur
d’infrastructure. La charge des contrôleurs de domaine sera calculée. Le nombre de
serveurs et les configurations de chaque machine au niveau de la puissance et du
stockage en seront déduits.
Gérer les coûts liés aux stations de travail et aux serveurs
Pour pouvoir réduire le coût des serveurs et stations de travail, il sera important de
limiter le nombre d’interventions et le temps passé sur chaque machine. Pour cela, deux
actions de base vont être mises en place :
j
Les serveurs seront installés à partir de techniques dites silencieuses, avec des
fichiers de réponses.
j
Les stations de travail seront industrialisées avec l’installation des Service Packs et
autres, selon la technique de slipstream. Les postes utilisateurs seront préconfigurés
avec les logiciels nécessaires au fonctionnement de la station de travail de base.
45
Chapitre 1
Étude de cas
1. Étude de cas
Réorganiser les sites
Figure 1.1 : Le futur plan des sites
L’entreprise sera réorganisée de la façon suivante : trois sites et une succursale. Chacun
des trois sites possédera des serveurs d’infrastructure du domaine auquel il appartient.
Les serveurs d’infrastructure auront les rôles de service réseau, tels que DNS, WINS,
DHCP, Active Directory et serveur de catalogue global.
Stabiliser les stations de travail utilisateurs
Pour ne plus avoir de problèmes de stabilité sur les stations de travail, les utilisateurs ne
seront plus administrateurs de leur station. Il faudra donc utiliser la politique du
moindre privilège. Pour garantir la bonne utilisation des postes, on publiera les logiciels
de base, ce qui aura comme intérêt de se remettre en place automatiquement en cas de
suppression volontaire ou involontaire de la part de l’utilisateur.
On utilisera des modèles de sécurité pour appliquer des paramètres de sécurité
cohérents sur l’ensemble des stations de travail de l’organisation. On créera des
stratégies de groupe en fonction des besoins des services (ressources humaines,
finances…) et des contraintes de domaine et de site, pour assurer la meilleure utilisation
des postes selon les besoins spécifiques, et uniquement les besoins.
46
La mise en œuvre
Gérer les coûts liés aux utilisateurs
1. Étude de cas
Pour limiter l’utilisation des serveurs de fichiers, on appliquera des quotas pour
maîtriser les dépenses dues à l’achat d’espace disque.
L’action d’un utilisateur sur un poste se limitera uniquement aux besoins de son
périmètre. Il sera important de limiter, voire d’empêcher l’installation de logiciels
exotiques (non nécessaires à l’entreprise), qui sont facteurs de réinstallation des postes
et de surplus de coups de téléphone au centre d’appels (help desk).
Réduire le nombre de coups de téléphone au centre d’appels
La mise en place de clichés instantanés permettra aux utilisateurs de gérer eux-mêmes
les sauvegardes des différentes versions de leurs fichiers. Par une interface très simple,
ils pourront restaurer des versions antérieures et ainsi diminuer le nombre de coups de
téléphone au centre d’appels.
L’étude des stratégies de compte en fonction des besoins de chaque domaine
contribuera également à l’effort de réduction de la charge d’appels.
Réduire les interventions des techniciens sur les sites
On déploiera les logiciels par l’intermédiaire de la technologie IntelliMirror.
Pour réduire les coûts liés aux interventions des techniciens sur les sites, on mettra en
place un modèle de poste standard.
Comment créer une organisation unique et intégrer les deux
sociétés partenaires ?
Mettre en place une architecture autour d’une organisation unique
Le choix retenu a été la mise en œuvre d’un annuaire Active Directory basé sur un
modèle de forêt unique. Cette solution permet d’exploiter les avantages de l’annuaire
Active Directory autour du nom puzzmania.com. Le fait de rassembler l’organisation
de l’entreprise sous une forme de forêt unique ne ferme pas les portes sur les possibilités
d’isoler une partie de l’entreprise ayant des besoins spécifiques, en matière de sécurité
par exemple.
L’annuaire Active Directory permet d’exploiter de nouvelles fonctionnalités telles que
la prise en compte des notions de site, d’unité organisationnelle, de groupe universel.
On pourra appliquer des stratégies de groupe aux utilisateurs et aux ordinateurs en
fonction de critères multiples.
47
Étude de cas
1. Étude de cas
Chapitre 1
Figure 1.2 : Nouvelle organisation de domaines
Redéfinir l’organisation logique de l’entreprise tenant compte des
demandes de sécurité et de l’intégration des deux partenaires
L’entreprise Puzzmania et les sociétés Smart Com et Créadesign ont été réorganisées en
trois domaines. Les domaines de SmartCom et Créadesign ont disparu.
Le premier domaine, puzzmania.com, est la racine de la forêt. Il est vide. Il ne possède
que des contrôleurs de domaine configurés comme serveurs de catalogue global, ainsi
que les cinq rôles maîtres. Le deuxième domaine, corp.puzzmania.com, regroupe la
majeure partie des utilisateurs et des ressources. L’ancien domaine Smart Com est
intégré dans ce domaine. Le troisième domaine, rd.puzzmania.com, répond à des
besoins de sécurité spécifiques, qui ne peuvent être assurés dans le cadre d’un domaine
unique : flux cryptés, mise en place de certificats, modèles de sécurité, etc.
Par cette réorganisation, l’entreprise va réduire considérablement le trafic réseau et les
relations d’approbation au travers du réseau. Elle conservera une certaine
indépendance au niveau de l’administration, tout en intégrant les deux sociétés
partenaires au sein d’une organisation unique.
La succursale de Londres passe à dix utilisateurs : elle ne possédera ni contrôleur de
domaine ni serveur d’infrastructure.
Mettre en place un plan d’adressage IP et un plan de nommage
commun
Cette réorganisation est l’occasion rêvée de remettre à plat le plan d’adressage IP et le
plan de nommage afin d’harmoniser et de simplifier l’utilisation du réseau au travers des
48
La mise en œuvre
différents sites, de clarifier les rôles des serveurs et d’anticiper le futur : pourquoi pas le
rachat de nouvelles sociétés !
1. Étude de cas
Plan d’adressage IP
Une règle assez similaire à la règle existante chez Puzzmania est mise en place. Elle
permettra de conserver les habitudes prises par les administrateurs. Elle joue sur les
distinctions simplifiées du troisième et du quatrième octet. Le deuxième octet, quant à
lui, change et prend la valeur 100.
Tableau 1.12 : Nouvelle règle d’attribution des adresses IP
1er octet
2e octet
3e octet
4e octet
Adresse IP
172
100
X = localisation
ZZZ = de 1 à 254
172.100.Xxx.ZZZ
Le masque de sous-réseau, quant à lui, sera le même sur tous les sites, c’est-à-dire
255.255.240.0. En fonction du nombre d’adresses IP souhaitées et du nombre de sites
géographiques, il est convenu de découper l’étendue d’adresses IP en 16 sous-réseaux
afin de prévoir l’éventualité d’une future croissance et d’affecter un sous-réseau par site
géographique, à l’exception du site de Nice, qui disposera d’un sous-réseau
supplémentaire afin de sécuriser au mieux le domaine rd.puzzmania.com. Seuls
5 sous-réseaux seront utilisés pour l’instant.
Tableau 1.13 : Liste des sous-réseaux affectés aux sites géographiques de Nice, Paris,
Toulouse, Londres et Nice R&D
Site
géographique
Numéro de
sous-réseau
Adresse du sousréseau
Adresses IP des
machines
Adresse de
broadcast
Nice
1
172.100.0.0
De 172.100.0.1 à
172.100.15.254
172.100.15.255
Toulouse
2
172.100.16.0
De 172.100.16.1 à
172.100.31.254
172.100.31.255
Paris
3
172.100.32.0
De 172.100.32.1 à
172.100.47.254
172.100.47.255
Londres
4
172.100.48.0
De 172.100.48.1 à
172.100.63.254
172.100.63.255
Nice R&D
5
172.100.64.0
De 172.100.64.1 à
172.100.79.254
172.100.79.255
Un tel découpage représente un total de seize sous-réseaux disponibles de
4094 machines chacun.
49
Chapitre 1
Étude de cas
Définition du troisième octet
1. Étude de cas
Selon la nouvelle règle d’attribution des adresses IP, la variable X désigne le site
géographique sur lequel se trouve le serveur ou la station de travail. Dans le nouveau
plan d’adressage IP, la localisation des sites est déterminée tout simplement par
l’étendue disponible du troisième octet au sein du sous-réseau.
Tableau 1.14 : Définition de la variable X du troisième octet du nouveau plan
d’adressage IP
Valeur X comprise entre
Localisation
0 et 15
Nice
16 et 31
Toulouse
32 et 47
Paris
48 et 63
Londres
64 et 79
Nice R&D
Définition du quatrième octet
La variable ZZZ définit l’étendue des valeurs disponibles pouvant être affectées à une
adresse IP, soit une étendue de 1 à 254.
Les valeurs de 1 à 9 sont réservées aux contrôleurs de domaine répartis sur les sites
géographiques.
Exemple : l’adresse IP 172.100.1.1 fait référence à un serveur ayant le rôle de
contrôleur de domaine pour puzzmania.com situé à Nice.
Plan de nommage
En complément du plan d’adressage IP, comme il est possible de déterminer le site
d’une machine en fonction de son adresse IP, pourquoi ne pas trouver une règle de
nommage qui permettrait d’en déterminer également le rôle et une partie de
l’adresse IP ?
Reprenons l’exemple du contrôleur de domaine pour puzzmania.com situé à Nice. Son
adresse IP est 172.100.1.1, son nom sera SNCERCDC01. Pour expliquer comment le
déterminer, il faut découper le nom en quatre sous-parties, S−NCE−RC−DC01, et établir
la correspondance selon des variables W−XXX−YY−ZZZZ :
50
La mise en œuvre
Tableau 1.15 : Nouvelle règle d’attribution des noms de serveur
Variable XXX
Variable YY
Variable ZZZZ
Catégorie d’équipements
Site géographique
Domaine
Rôle de l’ordinateur sur
2 caractères
S = serveur
NCE = Nice
RC = puzzmania
.com
Numéro sur 2 caractères
I = imprimante
TLS = Toulouse
CP = corp
.puzzmania.com
DC01 = contrôleur de
domaine numéro 1
W = station de travail
PAR = Paris
RD = rd.puzzmania
.com
T = téléphonie
LON = Londres
1. Étude de cas
Variable W
R = équipement actif
réseau
Comme la distinction entre le domaine de recherche et le reste de l’activité se fait par la
variable YY = RD, il n’est pas besoin d’avoir de valeur particulière pour la variable XXX
autre que NCE pour représenter le site géographique de Nice.
Les valeurs de la variable ZZZZ sont laissées à la libre appréciation de l’administrateur
selon le rôle du serveur ou de la station de travail. On peut imaginer les caractères
suivants pour des serveurs : AV pour antivirus, BD pour base de données, FS pour serveur
de fichiers (en anglais, File Server), etc., sachant que de nouvelles applications peuvent
sortir, engendrant de nouveaux caractères. On peut également imaginer la première
lettre du prénom et la première lettre du nom pour la station de travail d’un utilisateur
donné. L’énumération de toutes les possibilités est impossible.
Ce qu’il faut retenir, c’est qu’il est possible de rapprocher, de cette façon, le nom d’un
ordinateur et son adresse IP. Par exemple, STLSCPBD01, qui est un serveur de base de
données du domaine corp.puzzmania.com situé sur le site de Toulouse, a l’adresse IP
172.100.22.14. On ne peut évidemment pas retrouver l’adresse IP complète par le
nom à cause des deux derniers octets, mais on peut s’en rapprocher.
Voici les noms, les adresses IP et la localisation des contrôleurs de domaine qui
constitueront la forêt puzzmania.com.
Tableau 1.16 : Liste des contrôleurs de domaine de la forêt puzzmania.com
Nom d’ordinateur
Adresse IP
Adresse de sousréseau
Domaine
Site géographique
SNCERCDC01
172.100.1.1
172.100.0.0
puzzmania.com
Nice
SNCERCDC02
172.100.1.2
172.100.0.0
puzzmania.com
Nice
SNCECPDC01
172.100.11.1
172.100.0.0
corp.puzzmania Nice
.com
51
1. Étude de cas
Chapitre 1
Étude de cas
Nom d’ordinateur
Adresse IP
Adresse de sousréseau
Domaine
Site géographique
STLSCPDC01
172.100.22.1
172.100.16.0
corp.puzzmania Toulouse
.com
SPARCPDC01
172.100.33.1
172.100.32.0
corp.puzzmania Paris
.com
SNCERDDC01
172.100.66.1
172.100.64.0
rd.puzzmania
.com
Nice
SNCERDDC02
172.100.66.2
172.100.64.0
rd.puzzmania
.com
Nice
Comment sécuriser l’infrastructure ?
Puisque les réseaux sont constamment menacés par des attaques provenant de sources
différentes, la direction souhaite se prémunir. En ce sens, elle a demandé la mise en
place d’un plan de sécurité à tous les niveaux de l’entreprise avec les exigences
suivantes :
j
tenir compte du coût initial et continu de la sécurité ;
j
considérer les exigences légales qui affectent la mise en œuvre de la sécurité ;
j
mesurer l’impact des décisions de sécurité sur les utilisateurs finaux ;
j
mesurer les risques en se fondant sur la probabilité et la criticité de la menace ;
j
maintenir l’interopérabilité ;
j
répondre aux besoins d’évolutivité ;
j
sécuriser le service de R&D.
Pour ce faire, il est nécessaire d’étudier les solutions les moins onéreuses et de regarder
les technologies de sécurité apportées par Windows Server 2003, Windows XP
Professionnel et Windows Vista Professionnel (et les Service Pack 2 de Windows
Server 2003 et Windows XP) pouvant répondre au mieux au plan de sécurité.
Tenir compte du coût initial et continu de la sécurité
Pour répondre au mieux à cette demande, on définira une phase de conception en
introduction du plan de sécurité. Cette phase de conception s’orientera autour des
points suivants :
52
j
la conception de la sécurité pour la gestion du réseau ;
j
la conception d’une infrastructure de mise à jour des dispositifs de sécurité ;
j
la conception d’un système de clients sécurisé.
La mise en œuvre
1. Étude de cas
Ces phases de conception vont permettre d’analyser tous les facteurs qui, s’ils ne sont
pas identifiés, risquent d’augmenter le coût de la sécurité, et de rechercher les
technologies de sécurité qui, si elles ne sont pas employées, feront échouer le projet.
Considérer les exigences légales qui affectent la mise en œuvre de la
sécurité
Pour intégrer les dispositions légales au sein de l’entreprise, il est important de
demander au service juridique de l’entreprise de vérifier le plan de sécurité. Il s’agit
entre autres de réaliser un certain nombre de démarches auprès des organismes
gouvernementaux et des associations qui peuvent être des sources de conseils en
matière de sécurité.
Mesurer l’impact des décisions de sécurité sur les utilisateurs
finaux
Il faudra mesurer l’impact des décisions de sécurité sur l’utilisateur final. Prenons
comme exemple la stratégie de compte : une stratégie de mot de passe trop lourde, par
exemple 15 caractères + l’utilisation de la complexité stratégie de complexité de mot de
passe, forcerait l’utilisateur à conserver son mot de passe sur un papier, près de son
ordinateur. Une stratégie de verrouillage de comptes mal adaptée apportera un surplus
important de coups de téléphone au centre d’appels.
Mesurer les risques en se fondant sur la probabilité et la criticité de
la menace
Il est important de pouvoir mesurer les probabilités d’attaques, les moyens mis en œuvre
face à une menace ainsi que les réponses à ces menaces, afin d’en estimer les coûts.
Prenons le cas de la probabilité d’une menace. Si on définit une échelle des probabilités
allant de 1 à 9 – 9 étant la probabilité la plus importante qu’une menace se produise – et
si on définit une échelle du niveau de criticité allant de 1 à 9 – 9 étant la criticité la plus
élevée –, une menace avec une probabilité de 2 et une criticité de 8 sur cette échelle
devra être prise en compte selon certaines considérations.
Maintenir l’interopérabilité
Appliquer une sécurité importante dans l’entreprise ne signifie pas que l’activité doit
s’arrêter. Que l’on ne puisse plus communiquer, échanger des données ou encore piloter
des applications n’est pas forcément le signe d’un réseau sécurisé. Au contraire, il faut
pouvoir garantir les échanges de données en cryptant les informations, en s’assurant de
la compatibilité de certains protocoles avec les autres systèmes, en veillant à l’aspect
fonctionnel de l’infrastructure.
53
Chapitre 1
Étude de cas
1. Étude de cas
Les performances des machines doivent être prises en compte également : en effet,
l’utilisation excessive d’un protocole de cryptage peut empêcher un ordinateur de
communiquer dans un temps imparti.
Répondre aux besoins d’évolutivité
L’implémentation de la sécurité à tous les niveaux ne doit pas être une contrainte dans
le cadre de futures migrations, le jour où Puzzmania achètera une autre société. Il ne
faut pas que l’infrastructure devienne une voie de garage dans laquelle il n’est plus
possible d’évoluer.
Sécuriser le service de R&D
Ce service étant celui qui génère la valeur ajoutée de la société, il faudra
particulièrement le sécuriser, tant au niveau des matériels, qu’au niveau de
l’infrastructure (définition d’un domaine dédié) et de la transmission des données.
1.4.
En résumé
Nous avons voulu que cette étude de cas soit suffisamment générique et ouverte pour
que chaque administrateur y retrouve les informations dont il a besoin : soit par rapport
à une situation à laquelle il est confronté, soit par rapport à une fonctionnalité
technique. Nous souhaitons que tous les concepts techniques abordés par la suite
trouvent un sens dans une réalité quotidienne et vous permettent d’anticiper les phases
de migration : avec Windows Server 2003 et Windows Server 2008, avec Windows XP et
Windows Vista.
54
Chapitre 2
État des lieux de
Windows Server en
entreprise
2.1
2.2
2.3
2.4
2.5
Les différentes versions de Windows Server 2003 . . . . . . . . . . . . . . . . . . . . .
De Windows NT 4.0 Server à Windows Server 2003, qu’est-ce qui a changé ? . . .
De Windows 2000 Server à Windows Server 2003, qu’est-ce qui a changé ? . . . .
Windows Server 2003 Service Pack 2 et R2 . . . . . . . . . . . . . . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
57
62
65
71
85
Les différentes versions de Windows Server 2003
Q
Aussi, quand Microsoft a introduit Windows 2000 et changé la façon de gérer les
comptes et les ressources en sortant Active Directory, l’impact a été très grand pour les
entreprises. De longs projets, parfois complexes, ont vu le jour et certaines entreprises
ont préféré attendre avant de migrer, convaincues de l’inéluctabilité de la migration.
C’est pourquoi, même de nos jours, plusieurs années après la mise à disposition d’Active
Directory, les migrations sont encore courantes dans l’industrie. Windows Server 2003
est arrivé à point, avec son lot de nouveautés, afin de compléter le processus.
2. État des lieux de
Windows Server en
entreprise
ue de chemin parcouru par Windows en entreprise depuis dix ans ! Depuis
Windows NT 3.51, puis Windows NT 4.0 qui a fait décoller ce que l’on appelle la
"technologie NT" au sein de l’entreprise, force est de constater que la part de marché de
la branche serveur des produits Microsoft est en hausse constante. Les entreprises se
sont vite aperçues que Windows Server était adapté à la gestion des infrastructures de
comptes et de ressources. Petit à petit, grâce à l’étendue des possibilités des produits,
Windows Server est devenu une référence dans l’entreprise, non seulement pour gérer
l’infrastructure, mais aussi pour fournir une multitude de services (impression, base de
données, messagerie, travail en collaboration, supervision, et bien d’autres). Dans les
grandes sociétés, il permet de gérer des milliers de comptes ; dans les petites, il permet
d’avoir un serveur à tout faire pas trop dur à installer et à administrer.
Comme Windows Server 2003 s’appuie sur les dix ans d’histoire de Windows NT et des
serveurs Windows qui lui ont succédé, il offre une interopérabilité complète avec les
serveurs Windows 2000 Server et Windows NT Server, à condition que l’on respecte
certaines procédures. C’est pourquoi les entreprises peuvent immédiatement installer
de nouveaux serveurs exécutant Windows Server 2003, même si elles n’ont pas encore
déployé Active Directory. Elles bénéficieront immédiatement des améliorations en
matière d’administration, de fiabilité, de sécurité, de performances et d’intégration des
services web XML par exemple.
2.1.
Les différentes versions de Windows Server 2003
Windows Server 2003 offre une gamme de solutions destinées à répondre aux divers
besoins des organisations de toutes tailles. Aussi, les scénarios d’utilisation et les besoins
en termes de puissance, de disponibilité et d’évolutivité, constitueront les critères de
choix entre les différentes éditions de Windows Server 2003.
Adresse Windows Server 2003
www.microsoft.com/technet/prodtechnol/windowsserver2003/fr/library/ServerHelp
Windows Server 2003 Standard Edition
Windows Server 2003 Standard Edition est un système d’exploitation serveur réseau
polyvalent. Il répond aux besoins des petites et moyennes organisations et des services
57
2. État des lieux de
Windows Server en
entreprise
Chapitre 2
État des lieux de Windows Server en entreprise
départementaux ou groupes de travail. Windows Server 2003 Standard Edition permet
le partage de fichiers et d’imprimantes, une connectivité Internet sécurisée, le
déploiement centralisé d’applications de bureautique, une collaboration performante
entre les employés, les partenaires et les clients. Il permet la mise en œuvre d’une
infrastructure d’entreprise (services réseau et de communications, sécurité, annuaire,
gestion de parc). Il prend en charge le support de systèmes multiprocesseurs
symétriques jusqu’à quatre processeurs et un maximum de 4 Go de mémoire vive.
Windows Server 2003 Enterprise Edition
Windows Server 2003 Enterprise Edition constitue un serveur de choix pour les
moyennes et grandes entreprises. Il permet la mise en œuvre d’une infrastructure
d’entreprise (services réseau et de communications, sécurité, annuaire, gestion de parc),
l’exploitation d’applications métier ou tournées vers Internet, comme les services web et
le commerce électronique. Windows Server 2003 Enterprise Edition permet la montée
en charge sur des serveurs (jusqu’à huit processeurs), et existe en deux versions
destinées au support des plateformes Intel 32 bits et 64 bits. Il prend en charge jusqu’à
32 Go de mémoire RAM sur plateforme 32 bits et 64 Go de mémoire RAM sur
plateforme 64 bits. Point d’entrée pour la consolidation des services d’infrastructure et
des serveurs d’applications, Windows Server 2003 Enterprise Edition bénéficie d’outils
de contrôle des ressources (processeurs et mémoires) associées aux applications. La
mise en œuvre de solutions de haute disponibilité s’appuiera sur le service de clusters
(jusqu’à huit nœuds) et le service de répartition de charge réseau.
Windows Server 2003 Datacenter Edition
Destiné à la mise en œuvre d’applications critiques et volumineuses, Windows
Server 2003 Datacenter Edition répond aux besoins des plus grosses bases de données,
systèmes transactionnels et applications métier spécifiques. Windows Server 2003
Datacenter Edition représente le système d’exploitation serveur le plus puissant et le
plus fonctionnel jamais conçu par Microsoft. Son architecture robuste permet la mise en
œuvre de solutions de base de données critiques et de logiciels de planification de
ressources d’entreprise (ERP). Il permet le traitement de volumes importants de
transactions en temps réel et constitue une excellente plateforme pour la consolidation
de serveurs, y compris pour la consolidation d’applications hétérogènes. Il prend en
charge jusqu’à 32 processeurs et 64 Go de mémoire sur les serveurs 32 bits et jusqu’à
64 processeurs et 512 Go de mémoire RAM sur les serveurs à base de processeurs
64 bits Intel Itanium. De quoi satisfaire les plus gros besoins en ressources !
Windows Server 2003 Web Edition
Spécifiquement conçu et optimisé pour la mise en œuvre de solutions web, Windows
Server 2003 Web Edition est un nouveau produit dans l’ensemble des serveurs web. Il
peut être utilisé aussi bien par les fournisseurs de services Internet que par les
organisations qui ont choisi d’héberger elles-mêmes leurs serveurs web. Il est optimisé
58
Les différentes versions de Windows Server 2003
pour offrir aux entreprises une plateforme complète et robuste de services et
d’hébergement web, facile à déployer et à gérer. Grâce à la technologie ASP .NET de
Microsoft, qui fait partie du Framework .NET, Windows Server 2003 Web Edition
apporte aux développeurs une plateforme de création et de déploiement rapide de
services et d’applications web XML.
Le tableau suivant compare les caractéristiques des différentes versions de Windows
Server 2003. Il vous aidera dans le choix des versions à installer en fonction de vos
besoins.
2. État des lieux de
Windows Server en
entreprise
Comparaison des caractéristiques des différentes versions de
Windows Server 2003
Légende utilisée…
j
T : caractéristique totalement prise en charge ;
j
P = caractéristique partiellement prise en charge ;
j
- = caractéristique non prise en charge.
Tableau 2.1 : Comparaison des caractéristiques de Windows Server 2003
Caractéristique
Standard
Edition
Enterprise
Edition
Datacenter
Edition
Web Edition
Services d’application .NET
Framework .NET
T
T
T
T
IIS6.0
T
T
T
T
ASP. NET
T
T
T
T
Service UDDI
T
T
T
-
Technologie de clusters
Équilibrage de la charge
réseau
T
T
T
T
Service cluster
-
T
T
-
Communications et services réseau
Réseau privé virtuel
(VPN)
T
T
T
P
Service d’authentification
Internet (IAS)
T
T
T
-
Pont réseau
T
T
-
-
Partage de connexion
Internet (ICS)
T
T
-
-
IPv6
T
T
T
T
59
Chapitre 2
État des lieux de Windows Server en entreprise
Caractéristique
Standard
Edition
Enterprise
Edition
Datacenter
Edition
Web Edition
Active Directory
T
T
T
P
Prise en charge de MMS
(Metadirectory Services)
-
T
T
-
2. État des lieux de
Windows Server en
entreprise
Service d’annuaire
Services de fichiers et d’impression
Système de fichiers
distribué (DFS)
T
T
T
P
Système de fichiers
cryptés (EFS)
T
T
T
T
Restauration de clichés
instantanés
T
T
T
T
Transport de clichés
instantanés
-
T
T
-
Stockage amovible
T
T
T
T
Stockage à distance
-
T
T
-
Service de télécopie
T
T
T
-
Service pour Macintosh
T
T
T
-
Services pour Unix
T
T
T
T
Virtual Disk Service
(VDS)
T
T
T
T
Virtual Shadow Copy
Service (VSS)
T
T
T
T
IntelliMirror
T
T
T
P
Jeu de stratégie résultant
(RSoP)
T
T
T
P
Ligne de commande
Windows Management
Instruction (WMI)
T
T
T
T
Installation du système
d’exploitation à distance
T
T
T
T
Service d’installation à
distance (RIS)
T
T
T
-
Windows System
Resource Manager
(WSRM)
-
T
T
-
Service de gestion
60
Les différentes versions de Windows Server 2003
Caractéristique
Standard
Edition
Enterprise
Edition
Datacenter
Edition
Web Edition
P
T
T
-
Prise en charge 64 bits
pour les processeurs
T
T
T
-
Ajout de la mémoire à
chaud
-
T
T
-
Accès non uniforme à la
mémoire (NUMA)
-
T
T
-
Programme Datacenter
-
-
T
-
Pare-feu Internet
T
T
-
T
Services de certificats,
infrastructure de clés
publiques et cartes à
puces
P
T
T
P
Services multimédias
Services Windows Media
Évolutivité
2. État des lieux de
Windows Server en
entreprise
Services de sécurité
Services Terminal Server
Bureau à distance pour
l’administration
T
T
T
T
Terminal Server
T
T
T
-
Annuaire de session
Terminal Server
-
T
T
-
Configuration requise
Même si les configurations minimales ne sont pas vraiment réalistes pour faire tourner
en production un environnement Windows Server 2003, il reste toujours intéressant de
les connaître. Elles sont présentées dans le tableau suivant. Elles peuvent vous être
utiles par exemple en environnement de test ou de lab., sur des machines virtuelles.
Tableau 2.2 : Configurations requises
Critère
Standard Edition
Fréquence d’horloge 133 MHz
minimale du
processeur
Enterprise Edition
Datacenter Edition
Web Edition
133 MHz (x86)
733 MHz (Itanium)
133 MHz (x86)
733 MHz (Itanium)
133 MHz
61
Chapitre 2
État des lieux de Windows Server en entreprise
2. État des lieux de
Windows Server en
entreprise
Critère
2.2.
Standard Edition
Enterprise Edition
Datacenter Edition
Web Edition
Fréquence d’horloge 550 MHz
recommandée
733 MHz
733 MHz
550 MHz
RAM minimale
128 Mo
128 Mo
512 Mo
128 Mo
RAM recommandée
256 Mo
256 Mo
1 Go
256 Mo
RAM maximale
4 Go
32 Go (x86)
64 Go (Itanium)
64 Go (x86)
512 Go (Itanium)
2 Go
Nombre de
processeurs
Jusqu’à 4
Jusqu’à 8
8 au minimum
64 au maximum
Jusqu’à 2
Espace disque
requis pour
l’installation
1,5 Go
1,5 Go (x86)
2 Go (Itanium)
1,5 Go (x86)
2 Go (Itanium)
1,5 Go
De Windows NT 4.0 Server à Windows
Server 2003, qu’est-ce qui a changé ?
Lors du processus de migration de Windows NT 4.0 vers Windows Server 2003, vous
allez, pendant un laps de temps plus ou moins long, devoir faire cohabiter des serveurs
sous Windows NT 4.0 et des serveurs sous Windows Server 2003. Vous serez obligé
d’utiliser les mêmes fonctionnalités, dossiers et utilitaires proposés par les deux
systèmes d’exploitation, mais accessibles différemment. En ce sens, mieux vaut disposer
de fiches mnémotechniques.
Les nouveaux outils et les anciennes tâches
Tableau 2.3 : Outils d’administration de Windows NT 4.0 et Windows Server 2003
62
Outils version Windows NT 4.0
Server
Équivalence sous Windows Server 2003
Administration du service d’accès
distant
Routage et accès distant
Administration du client réseau
Utilisez \I386\Adminpak.msi pour installer les outils d’administration
de Windows Server 2003 sur les stations de travail
Administrateur de disques
Gestion de l’ordinateur/Stockage/Gestion des disques
Analyseur de performances
Performances
Assistant d’administration
Gérer un serveur
Diagnostics Windows NT
Tous les programmes/Accessoires/Outils
système/Informations système
De Windows NT 4.0 Server à Windows Server 2003, qu’est-ce qui a changé ?
Équivalence sous Windows Server 2003
Éditeur de stratégie système
Accessible depuis Utilisateurs et ordinateurs Active Directory
et d’autres consoles
Gestion des services Internet
Gestionnaire des services Internet
Gestion de licences
Gestionnaire des licences
Gestion des sauvegardes
Accessoires/Outils système/Utilitaire de sauvegarde
Gestion de serveur
Gestion de l’ordinateur/Outils système/Dossiers partagés
Utilisateurs et ordinateurs Active Directory (pour ajouter un ordinateur à
un domaine)
Sites et services Active Directory (pour forcer manuellement la
réplication de l’annuaire entre des contrôleurs de domaine)
Gestion des utilisateurs
Gestion de l’ordinateur/Outils système/Utilisateurs et
groupes locaux (pour gérer les comptes locaux sur les serveurs
autonomes dans les groupes de travail)
Stratégie de sécurité locale (pour configurer les restrictions sur les mots
de passe, le verrouillage des comptes, la stratégie d’audit et les droits
des utilisateurs sur les serveurs autonomes dans les groupes de travail)
Gestion des utilisateurs pour le
domaine
Utilisateurs et ordinateurs Active Directory (pour gérer les comptes de
domaine et pour configurer les restrictions sur les mots de passe, le
verrouillage des comptes, la stratégie d’audit et les droits des
utilisateurs au travers de la stratégie de groupe)
Domaines et approbations (pour gérer les approbations)
Gestionnaire DHCP
DHCP
Gestionnaire WINS
WINS
Gestionnaire DNS
DNS
Moniteur réseau
Observateur réseau
Observateur d’événements
Observateur d’événements
Outils de migration pour Netware
Pas d’équivalence
2. État des lieux de
Windows Server en
entreprise
Outils version Windows NT 4.0
Server
Les dossiers et les utilitaires
Tableau 2.4 : Dossiers spéciaux de Windows NT 4.0 Server et Windows Server 2003
Dossier et utilitaire version Windows NT 4.0 Server
Équivalence sous Windows Server 2003
Poste de travail
Poste de travail
Voisinage réseau
Favoris réseau
C:\winnt (dossier système)
C:\windows
63
2. État des lieux de
Windows Server en
entreprise
Chapitre 2
État des lieux de Windows Server en entreprise
Dossier et utilitaire version Windows NT 4.0 Server
Équivalence sous Windows Server 2003
C:\winnt\profiles (emplacement où les profils
d’utilisateurs locaux sont stockés)
C:\documents and settings (sauf en cas de mise
à niveau depuis NT, auquel cas l’emplacement originel
est conservé)
L’emplacement par défaut où les applications
enregistrent leurs fichiers varie sous Windows NT
Dossier Mes documents pour les applications
conformes (sauf en cas de mise à niveau depuis NT,
auquel cas l’emplacement originel est conservé)
Démarrer/Rechercher
Démarrer/Rechercher
Démarrer/Aide
Démarrer/Aide et support
Démarrer/Programmes/Invite de
commande
Démarrer/Invite de commandes
Démarrer/Programmes/Explorateur
Windows NT
Démarrer/Explorateur Windows
Démarrer/Paramètres/Active Desktop
Clic droit sur le Bureau, Active Desktop
Démarrer/Paramètres/Options des dossiers Panneau de configuration/Options des
dossiers
Accessoires/Accès réseau à distance
Panneau de configuration/Connexions
réseau
Accessoires/Telnet
Commande Telnet
Le Panneau de configuration
Tableau 2.5 : Panneau de configuration de Windows NT 4.0 et Windows Server 2003
64
Panneau de configuration sous
Windows NT 4.0
Équivalence sous Windows Server 2003
Alim. de secours
Options d’alimentation/Onduleur
Cartes SCSI
Gestion de l’ordinateur/Outils système/Gestionnaire de
périphériques
Console
Invite de commandes, clic droit sur le menu de contrôle, Par défaut
Internet
Options Internet
Modems
Options de modems et téléphonie
ODBC
Outils d’administration/Sources de données (ODBC)
Paramètres régionaux
Options régionales et linguistiques
Périphériques
Gestion de l’ordinateur/Outils système/Gestionnaire de
périphériques
Périphériques de bandes
Gestion de l’ordinateur/Outils système/Gestionnaire de
périphériques
De Windows 2000 Server à Windows Server 2003, qu’est-ce qui a changé ?
Panneau de configuration sous
Windows NT 4.0
Équivalence sous Windows Server 2003
Ports
Gestion de l’ordinateur/Outils système/Gestionnaire de
périphériques
Réseau/Identification
Système/Nom de l’ordinateur
Réseau/Liaisons
Tous les
programmes/Accessoires/Communications/Connexions
réseau/Avancé/Paramètres avancés
Serveur
Gestion de l’ordinateur/Outils système/Dossiers partagés
Services
Outils d’administration/Services
Système/Général
Système/Général
Système/Profils utilisateurs
Système/Avancé/Profil des utilisateurs/Paramètres
Système/Performances
Système/Avancé/Performances/Paramètres
Système/Environnement
Système/Avancé/Variable d’environnement
Système/Arrêt/Démarrage
Système/Avancé/Démarrage et récupération
Système/Profils matériels
Système/Matériel/Profils matériels
Téléphonie
Options de modems et téléphonie/Règles de numérotation
2.3.
2. État des lieux de
Windows Server en
entreprise
Réseau/Services/Protocoles Connexions réseau/Connexion au réseau local/Propriétés
/Cartes
De Windows 2000 Server à Windows
Server 2003, qu’est-ce qui a changé ?
D’aucuns pourraient penser que rien n’a changé de Windows 2000 Server à Windows
Server 2003. Pour comprendre que cela est faux, il suffirait juste de parler de GPMC
(stratégies de groupe) ou tout simplement d’expliquer que, aujourd’hui, plus de 90 % du
système peut être administré en ligne de commande. Cette section a pour objectif de
présenter les principales améliorations et nouveautés apportées à Windows Server 2003.
Elle a aussi pour but d’aider les administrateurs de Windows 2000 Server à anticiper le
passage à Windows Server 2003 en mettant en avant les différences importantes entre
les deux systèmes d’exploitation. Le nombre d’améliorations étant trop important pour
être abordé dans ce seul chapitre, nous n’en traiterons qu’une partie, en nous focalisant
sur trois pôles :
j
les améliorations apportées à Active Directory ;
j
les améliorations du côté de TCP/IP ;
j
les changements mineurs.
65
Chapitre 2
État des lieux de Windows Server en entreprise
2. État des lieux de
Windows Server en
entreprise
Même si Windows Server 2003 ne représente pas un changement aussi important
comparativement au passage entre Windows NT 4.0 Server et Windows 2000, il répond
bien souvent par ses améliorations aux interrogations et aux besoins des administrateurs
travaillant sous Windows 2000 Server.
66
Les améliorations apportées à Active Directory
Si l’on voulait dresser un récapitulatif par thèmes des nouvelles fonctionnalités et des
améliorations apportées à Active Directory, on constaterait que, au niveau intégration
et productivité, performances et évolutivité, ou encore administration, configuration et
amélioration de la sécurité, plus de 60 améliorations significatives mériteraient d’être
développées dans ce chapitre. Autant dire qu’on pourrait y consacrer la moitié de ce
livre ! Pour cette raison, vous ne trouverez qu’un récapitulatif des fonctions en
adéquation avec le contexte de l’étude de cas Puzzmania. Pour le reste des
améliorations, vous pouvez consulter les divers sites Microsoft traitant de Windows
Server 2003.
j
Les domaines peuvent être maintenant renommés à l’aide d’outils gratuits
téléchargeables sur le site de Microsoft à l’adresse www.microsoft.com/
windowsserver2003/downloads/domainrename.mspx. Cet outil reste tout de même à utiliser
avec précaution, notamment sur le domaine racine.
j
Les serveurs de catalogue global ne sont plus obligatoires sur chaque site pour
prendre en charge l’ouverture de session. Dans le cas d’une entreprise possédant
une ou plusieurs succursales ou sur des sites géographiques distants reliés à faible
bande passante, tel Puzzmania, Windows Server 2003 améliore le processus
d’ouverture de session de telle sorte que les sites géographiques distants n’ont plus
besoin d’accéder au serveur central du catalogue global chaque fois qu’un utilisateur
souhaite se connecter. Il n’est donc plus nécessaire de déployer un serveur de
catalogue global sur chaque site. Attention toutefois aux applications utilisant le
catalogue global, tel Exchange, car cela peut générer un trafic sur le lien réseau
distant, qui peut s’avérer important et donc avoir un impact sur la production.
Depuis Windows Server 2003, les contrôleurs de domaine placent régulièrement
dans un cache les informations d’appartenance à un groupe universel.
j
Toujours du côté du trafic réseau, on note une amélioration dans la réplication de
l’appartenance au groupe. Une fois la forêt promue en mode natif Windows
Server 2003, l’appartenance au groupe est modifiée au niveau des membres
individuels plutôt qu’au niveau global. Cela diminue la charge de bande passante sur
le réseau lors de la réplication.
j
La compression du trafic de réplication peut être désactivée entre les sites
sélectionnés.
j
Même si cela ne nous concerne pas dans notre étude de cas, le générateur de
topologie intersite (ISTG, Inter-Site Topologie Generator) dispose d’un algorithme
amélioré qui accepte des forêts contenant un nombre de sites beaucoup plus élevé
que celui accepté sous Windows 2000 Server.
De Windows 2000 Server à Windows Server 2003, qu’est-ce qui a changé ?
Les objets utilisateurs dans les annuaires LDAP, qui emploient la classe
inetOrgPerson définie dans la RFC 2798 (comme ceux développés par Netscape et
Novell), sont désormais utilisables dans Active Directory.
j
L’authentification PassPort est maintenant accessible à Internet Information
Services 6.0 et permet aux objets utilisateurs Active Directory d’être mis en
correspondance avec leur identification PassPort (si elle existe).
j
Un nouvel Assistant Configurer votre serveur simplifie la mise en œuvre d’Active
Directory et propose des paramètres prédéfinis, tels les rôles qui définissent la
fonction des serveurs.
j
Comme vous le verrez lors de l’implémentation des serveurs d’infrastructure, les
zones DNS et les serveurs peuvent être créés et automatiquement configurés lors de
l’installation d’un serveur de la famille Windows Server 2003.
j
Au lieu de répliquer une copie complète de la base de données Active Directory via
le réseau, il est possible de créer un réplica à partir des fichiers existants d’un
contrôleur de domaine ou d’un serveur de catalogue global. Les fichiers de
sauvegarde, créés par l’utilitaire de sauvegarde d’Active Directory, sont gravés sur
support CD ou DVD et le réplica peut alors s’effectuer à partir du support (cette
pratique reste intéressante si l’on a un nombre élevé d’utilisateurs et qu’il existe
quelques agences avec des bandes passantes à faible débit).
j
Le modèle actuel des niveaux fonctionnels de domaine et de forêt remplace le
modèle Windows 2000 Server précèdent (modes mixte/natif) et fournit une
interopérabilité entre les contrôleurs de domaine Windows NT 4.0, 2000 et 2003.
j
Les classes et attributs de schéma qui ne sont plus nécessaires peuvent être
maintenant redéfinis.
j
Tout administrateur aura pour souvenir la rétrogradation d’un contrôleur de
domaine qui se passe mal, avec tout ce que cela comporte. Désormais, la commande
dcpromo facilite l’opération.
j
La partition applicative autorise un contrôle plus avancé sur la manière dont les
informations de l’annuaire sont répliquées (les informations du DNS y sont
maintenant stockées).
j
L’authentification entre forêts permet aux utilisateurs d’une forêt d’accéder aux
ressources présentes dans une autre forêt. La notion d’approbation de royaume fait
aussi son apparition pour les approbations Kerberos.
j
Un important travail a été réalisé sur les stratégies de groupe, tant sur les outils que
sur les nouveaux paramètres. Windows Server 2003 inclut plus de 150 nouveaux
paramètres de stratégie, qui permettent de personnaliser et de contrôler le
comportement du système d’exploitation vis-à-vis des groupes d’utilisateurs. Les
nouvelles fonctions couvrent les points présentés dans ce qui suit.
2. État des lieux de
Windows Server en
entreprise
j
67
Chapitre 2
État des lieux de Windows Server en entreprise
Les améliorations du côté de TCP/IP
Voici les nouveautés et améliorations sur la partie TCP/IP…
2. État des lieux de
Windows Server en
entreprise
j
Les services IIS ont totalement été revus, mais ils ne sont plus installés par défaut
pour plus de sécurité. Le traitement du trafic web se fait maintenant en mode noyau.
Nous pourrions aussi citer l’amélioration de l’isolation des processus, le verrouillage
du serveur par défaut ou bien des nouvelles fonctionnalités de gestion. Mais pour
rendre justice à cette nouvelle version du serveur web, il faudrait y consacrer un
ouvrage complet. Toutefois, il existe sur le site web de Microsoft, la publication d’un
kit de ressources techniques complet, en libre téléchargement à l’adresse
www.microsoft.com/technet/prodtechnol/windowsserver2003/technologies/featured/iis/default.mspx.
j
Le protocole TCP/IP ne peut plus être supprimé. Mais une nouvelle commande,
netsh, permet, en ligne de commande, de reconfigurer la pile TCP/IP avec ses
valeurs par défaut sans devoir redémarrer le système (cette commande, très
puissante, sera décrite dans la partie réseau de l’ouvrage). Il est désormais inutile de
supprimer la pile du protocole puis de la réinstaller.
j
Autodétermination des métriques de routage en fonction de la vitesse de l’interface
réseau de l’ordinateur : le protocole est capable de calculer lui-même la métrique de
chaque route en fonction de la configuration TCP/IP et de la vitesse de l’interface.
j
La taille de la fenêtre de réception TCP/IP est déterminée en fonction de
l’adaptateur réseau de la machine. Cette taille de fenêtre conditionne le nombre
maximal d’octets qui peuvent être reçus avant l’envoi d’accusés de réception.
j
La pile de protocole IPv6 est prise en charge.
j
La procédure pour rejoindre un domaine a été améliorée de sorte qu’il est possible
de détecter un DNS mal configuré.
j
Nouveauté de Windows Server 2003 sur le DNS toujours : les zones de stub et la
redirection conditionnelle. Qu’est-ce qu’une zone de stub ? C’est la copie d’une
zone contenant uniquement les enregistrements de ressources nécessaires à
l’authentification des serveurs DNS faisant autorité pour ladite zone. La fonction de
redirection conditionnelle inclut un mécanisme de redirection en fonction du nom
d’hôte.
j
Le service DNS permet l’enregistrement d’un journal de débogage. Il enregistre
automatiquement les ressources NS et prend en charge la technique de Round
Robin pour tous les enregistrements RR (Record Ressources).
Les changements mineurs
Les améliorations suivantes sont peut-être moins importantes en termes
d’administration quotidienne, mais elles restent vraiment utiles dans certaines
situations.
68
De Windows 2000 Server à Windows Server 2003, qu’est-ce qui a changé ?
Par défaut, les écrans de veille sont maintenant protégés par mot de passe. Cette
amélioration est simple mais importante en matière de sécurité dans le contexte
d’une salle informatique avec, parfois, des accès plus ou moins restreints.
j
Toujours côté sécurité, lors de l’installation de Windows Server 2003, il est demandé
un mot de passe fort pour le compte administrateur par défaut. Cette option est
facultative.
j
La sécurité est renforcée aussi sur le service Telnet. Il est maintenant désactivé au
lieu d’être configuré pour un démarrage manuel, comme sous Windows 2000
Server.
j
La base de données DHCP peut être sauvegardée alors que le service est en cours
d’exécution.
j
Un pare-feu minimal est disponible. Il a été grandement amélioré depuis le Service
Pack 1.
j
L’adresse IP et le numéro de port d’une source sont présents automatiquement dans
tous les événements d’audit d’ouverture de sessions.
j
Les paramètres du client DNS peuvent être configurés à l’aide des stratégies de
groupe.
j
Un serveur de messagerie POP3 fait son apparition. Il peut venir en complément du
composant SMTP du serveur IIS. Cette nouveauté reste mineure dans le sens où la
plupart des entreprises utilisent un serveur de messagerie dédié type Exchange.
2. État des lieux de
Windows Server en
entreprise
j
Les petits plus de la version 2003 et les Feature Packs
Microsoft a ajouté, via des Feature Packs, de nouvelles fonctionnalités à Windows
Server 2003 depuis sa sortie en avril 2003 et prévoit de poursuivre ses efforts
d’innovation.
En fait, lorsque cela s’avère nécessaire, Microsoft fournit des extensions appelées
Feature Packs. Ces services additionnels sont généralement des composants importants
de Windows Server 2003 et sont donc officiellement pris en charge. L’ensemble des
fonctionnalités commentées ici peut être téléchargé à l’adresse www.microsoft.com
/windowsserver2003/downloads/featurepacks/default.mspx.
Voici la liste des fonctionnalités additionnelles qui sont d’ores et déjà téléchargeables
sur le site de Microsoft…
Active Directory Application Mode (ADAM)
Pour les organisations qui nécessitent une grande flexibilité, pour les applications
intégrées dans un système d’annuaire, ADAM est serveur d’annuaire au standard
LDAP v2 et v3. Pour plus d’informations concernant ADAM, rendez-vous à l’adresse
www.microsoft.com/windowsserver2003/adam/default.mspx.
69
Chapitre 2
État des lieux de Windows Server en entreprise
Automated Deployment Services (ADS)
2. État des lieux de
Windows Server en
entreprise
Disponible en téléchargement pour Windows Server 2003 Enterprise, ce module inclut
un ensemble d’outils de clonage qui permet d’automatiser le déploiement de systèmes
d’exploitation Microsoft. Pour plus d’informations sur ADS 1.0, rendez-vous à l’adresse
www.microsoft.com/windowsserver2003/techinfo/overview/adsbenefits.mspx.
File Replication Services (FRS) Monitoring Tools
Il s’agit d’un ensemble d’outils assurant les grandes opérations de gestion du système de
réplication de fichiers FRS. FRS est utilisé dans le cadre de l’accès au volume système
SYSVOL et aussi pour la synchronisation des partages du système de fichiers DFS. Ce
pack contient des outils, comme Ultrasound et Sonar, capables de surveiller le service
DFS, ou encore FRSDiag. Pour plus d’informations sur FRS, rendez-vous à l’adresse
www.microsoft.com/windowsserver2003/technologies/storage/dfs/tshootfrs.mspx.
Pour une présentation multimédia sur FRS, consultez le lien www.microsoft.com
/windowsserver2003/evaluation/frs/viewer.htm.
Group Policy Management Console (GPMC)
La nouvelle GPMC simplifie l’administration des stratégies de groupe en permettant de
mieux comprendre, de déployer et d’administrer l’implémentation des GPO. Pour plus
d’informations sur la GPMC, rendez-vous à l’adresse www.microsoft.com/technet
/prodtechnol/windowsserver2003/technologies/featured/gp/default.mspx.
Identity Integration
Identity Integration Feature Pack for Microsoft Windows Server Active Directory
permet la gestion des identités et coordonne les propriétés des objets utilisateurs entre
l’annuaire Active Directory et les différentes implémentations d’ADAM, de Microsoft
Exchange 2000 Server et d’Exchange Server 2003. Il permet ainsi de voir un utilisateur
donné ou une ressource donnée en une seule vue logique.
ISCSI Support
Ce module permet la prise en charge de l’interface iSCSI en fournissant une solution
économique pour la mise en œuvre de réseaux de stockage IP (sur SAN et NAS).
Windows SharePoint Services
Les services WSS permettent d’envisager une nouvelle vision du système de stockage.
Outre le stockage, WSS permet la mise en place d’une solution de collaboration pour les
groupes d’utilisateurs et les équipes devant travailler ensemble sur des documents, des
tâches, des contacts, des événements et d’autres informations pertinentes.
70
Windows Server 2003 Service Pack 2 et R2
Services for Unix
Les services pour Unix 3.5 permettent d’atteindre un haut niveau d’interopérabilité avec
les environnements Unix. Ce pack comprend un serveur NFS et NIS ainsi que de
nombreux outils pour aider les clients à faire migrer leurs applications d’Unix vers
Windows.
RMS est un élément clé de la stratégie de sécurité. En effet, il permet de mettre en
œuvre un très haut niveau de protection pour les applications RMS-aware. L’objectif est
de protéger les documents et les données critiques de l’entreprise contre tout accès non
autorisé.
2.4.
2. État des lieux de
Windows Server en
entreprise
Windows Rights Management Services (RMS)
Windows Server 2003 Service Pack 2 et R2
Tout le monde est maintenant habitué à la notion de Service Pack. Personne n’est plus
surpris par la sortie et la mise à disposition d’un Service Pack pour Windows (quelle que
soit la version). L’information est rapidement connue de tous. C’est donc avec une
certaine logique que Microsoft a mis à disposition le Service Pack 1 de Windows
Server 2003 en 2005, puis le Service Pack 2 en 2007. Vous trouverez la liste des
principales améliorations ci-après.
Par contre, qu’est-ce que R2 ? Ou plutôt Windows Server 2003 R2 ? Windows
Server 2003 R2 est une version améliorée de Windows Server 2003. C’est en quelque
sorte un ajout de fonctionnalités à Windows Server 2003. D’ailleurs, le produit est
constitué de deux CD-Rom, le premier comprenant Windows Server 2003 avec SP1, et
le second un pack de nouvelles fonctionnalités. Pour autant, ce n’est pas un Service Pack
car Windows Server 2003 R2 est soumis à licence. Il est à noter cependant que le Service
Pack 2 de Windows Server 2003 fonctionne tout autant pour la version de base que pour
la version Windows Server 2003 R2.
Le produit étant construit sur la base de Windows Server 2003 SP1, les mêmes
applications sont compatibles pour les deux systèmes. Windows Server 2003 R2 apporte
de nombreuses fonctionnalités, sous la forme de composants additionnels que l’on peut
installer (CD-Rom 2). Ces fonctionnalités ne sont pas présentes dans la version
Windows Server 2003 de base et la plupart ne sont pas disponibles séparément. Les
autres, le sont sous forme de Feature Packs.
Les nouveautés du Service Pack 1
Si vous souhaitez obtenir une bonne vue d’ensemble ou des informations détaillées sur
le Service Pack 1 de Windows Server 2003, consultez www.microsoft.com/france/windows/
windowsserver2003/downloads/servicepacks/sp1/overview.mspx. Ce site présente plusieurs articles avec des questions-réponses ainsi que de la documentation en français.
71
Chapitre 2
État des lieux de Windows Server en entreprise
Rendez-vous également à l’adresse : www.microsoft.com/downloads/details.aspx?FamilyId=
C3C26254-8CE3-46E2-B1B6-3659B92B2CDE&displaylang=en. Vous pourrez télécharger un do-
2. État des lieux de
Windows Server en
entreprise
cument très complet sur le SP1 puisqu’il représente à lui seul 300 pages. Par contre, ce
site et la documentation qu’il propose sont en anglais.
Windows Server 2003 SP1 améliore les fonctionnalités faisant partie de Windows
Server 2003. De telles améliorations visent à optimiser le produit et à en augmenter la
sécurité, la fiabilité et l’efficacité. Parmi les principales améliorations, citons les
éléments suivants :
j
Prise en charge de la fonction "Ne pas exécuter" incluse dans le matériel. Windows
Server 2003 SP1 permet à Windows Server 2003 d’utiliser les fonctionnalités
intégrées dans les processeurs d’Intel et d’AMD afin d’empêcher l’exécution de
code malveillant à partir de zones de la mémoire qui ne sont pas attribuées à du
code. Cette disposition élimine une large part des attaques actuelles.
j
Audit de la métabase Internet Information Services (IIS) 6.0. La métabase est un
magasin de stockage XML hiérarchique qui contient les informations de
configuration d’IIS 6.0. L’audit de ce magasin permet aux administrateurs réseau de
voir qui a accédé à la métabase lorsqu’elle a été corrompue.
j
Paramètres par défaut plus puissants et réduction des privilèges sur les services. Les
services tels que RPC et DCOM font partie intégrante de Windows Server 2003. De
ce fait, ils constituent une cible attrayante pour les personnes malintentionnées. En
exigeant une authentification plus forte lors de l’appel de ces services, Windows
Server 2003 SP1 relève le niveau de sécurité pour toutes les applications qui utilisent
ces services, même si elles sont elles-mêmes peu ou pas sécurisées.
j
Ajout de composants Network Access Quarantine Control. Windows Server 2003 SP1
contient à présent les composants RQS.exe et RQC.exe, qui simplifient le déploiement
de Network Access Quarantine Control (contrôle de la mise en quarantaine pour
l’accès au réseau). Pour plus d’informations sur ce sujet, rendez-vous à l’adresse
www.microsoft.com/windowsserver2003/techinfo/overview/quarantine.mspx.
Contrairement à d’autres Service Packs, SP1 ajoute de nouvelles fonctionnalités
puissantes à Windows Server 2003. Voici les principales :
72
j
Pare-feu Windows. Également intégré dans Windows XP Service Pack 2, le
pare-feu Windows est le successeur du pare-feu de connexion Internet. Il s’agit d’un
pare-feu logiciel destiné à protéger chaque poste client et chaque serveur. Windows
Server 2003 Service Pack 1 installe le pare-feu Windows sur le serveur et permet un
contrôle à l’échelle du réseau via la stratégie de groupe.
j
Mises à jour de sécurité post-installation (PSSU). Les serveurs sont vulnérables
entre le moment de l’installation et l’application des dernières mises à jour de
sécurité. Pour parer les attaques, Windows Server 2003 avec SP1 bloque toutes les
connexions entrantes après l’installation, jusqu’à ce que Windows Update soit
exécuté pour installer les dernières mises à jour de sécurité sur le nouvel ordinateur.
Windows Server 2003 Service Pack 2 et R2
Cette fonctionnalité oriente également les administrateurs vers la mise à jour
automatique au moment de la première connexion.
Assistant Configuration de la sécurité (SCW). Il pose des questions à
l’administrateur sur les rôles que doit tenir le serveur, puis il bloque les ports inutiles
à ces fonctions. Ainsi, de nombreuses voies d’attaques possibles sont fermées.
j
Support de TLS dans Terminal Services. C’est la grande nouveauté sur TSE, qui
permet d’identifier le serveur TSE (comme on identifie un serveur web en SSL) et
d’utiliser TLS comme une méthode de chiffrement pour les communications entre
le client et le serveur.
Les nouveautés du Service Pack 2
2. État des lieux de
Windows Server en
entreprise
j
Le Service Pack 2 (SP2) donne accès en un seul package aux dernières mises à jour,
améliorations et fonctionnalités disponibles pour Windows Server 2003. Ses
composants renforcent la sécurité, la fiabilité et les performances de Windows
Server 2003 et Windows Server 2003 R2.
Et Microsoft profite de l’opportunité offerte par la sortie du SP2 pour ajouter de
nouvelles fonctionnalités à Windows Server 2003.
Les mises à jour
L’administration des mises à jour constitue un véritable défi pour la sécurité des
ordinateurs. Malgré cela, les mises à jour doivent être appliquées car elles jouent un rôle
vital dans la sécurisation du parc informatique de l’entreprise en anticipant sur les
attaques et en bloquant les vulnérabilités. La fréquence des mises à jour est cruciale
pour résoudre les problèmes de sécurité dès qu’ils sont découverts. En regroupant
toutes les mises à jour dans SP2, Microsoft apporte en un seul package l’ensemble des
protections les plus récentes pour Windows Server 2003.
En plus de reprendre toutes les mises à jour correspondant aux bulletins de sécurité, SP2
installe tous les correctifs diffusés depuis la sortie de Windows Server 2003, ainsi que
certaines fonctions ou améliorations importantes réclamées par les clients.
Il n’est donc pas nécessaire que le SP1 soit installé, pour installer le SP2.
Scalable Networking Pack (SNP)
Les entreprises connaissent un développement rapide du trafic sur leurs réseaux interne
et externe. Cette croissance du trafic est due, au moins en partie, aux applications métier
en réseau et aux solutions de sauvegarde et de stockage sur le réseau. À cela s’ajoutent
les applications multimédias comme la visioconférence et les présentations audio et
vidéo.
73
Chapitre 2
État des lieux de Windows Server en entreprise
2. État des lieux de
Windows Server en
entreprise
Le déploiement d’Ethernet, puis du Gigabit Ethernet étend la bande passante
disponible afin de faire face à cette demande, mais plus le réseau présente un débit
important, plus la charge sur les serveurs s’accroît. La prise en charge des réseaux
rapides implique par conséquent la mise en place de serveurs puissants.
Microsoft Windows Server 2003 SP2 inclut SNP (Scalable Networking Pack), un pack de
réseau capable de monter en charge et qui aide à faire face à la montée du trafic sans
surcharger les ressources processeurs. SNP prend en charge des technologies réseau qui
visent à éliminer les goulets d’étranglement du système d’exploitation associés au
traitement des paquets. Voici les améliorations apportées par ce package :
j
TCP Chimney Offload (allégement de la pile TCP). TCP Chimney Offload transfère
de façon automatique le traitement du trafic TCP (Transmission Control Protocol)
avec état à un adaptateur réseau spécialisé qui met en œuvre un moteur de
déchargement TCP (TOE, TCP Offload Engine). Pour les connexions à longue
durée de vie mettant en œuvre des paquets de grande taille, comme les connexions
avec un serveur de fichiers, de stockage ou de sauvegarde, ou pour d’autres
applications sollicitant fortement le réseau, TCP Chimney Offload réduit largement
la charge du processeur en délégant à l’adaptateur réseau le traitement des paquets
du réseau, y compris la fragmentation et le réassemblage des paquets. En utilisant
TCP Chimney Offload, vous allégez le processeur qui peut se concentrer sur
d’autres tâches comme permettre davantage de sessions utilisateurs ou traiter les
requêtes des applications en réduisant la latence. Cette fonction était auparavant
proposée par certains constructeurs de serveurs, maintenant elle est disponible
directement par Windows.
j
Montée en charge en fonction du trafic reçu. Cette technique permet de répartir le
trafic entrant (paquets reçus) entre plusieurs processeurs en exploitant de nouvelles
améliorations matérielles des interfaces réseau. Elle peut répartir dynamiquement
la charge du trafic entrant en fonction de la charge du système ou des conditions de
fonctionnement du réseau. Toute application recevant de nombreux paquets et
fonctionnant sur un système multiprocesseur, comme un serveur web ou un serveur
de fichiers, devrait bénéficier de la mise en place de ce dispositif.
j
NetDMA. NetDMA autorise une gestion plus efficace de la mémoire en permettant
un accès direct à la mémoire (DMA) sur les serveurs équipés de la technologie
idoine comme l’I/OAT (I/O Acceleration Technology) d’Intel.
Le Scalable Networking Pack (SNP) de Microsoft Windows Server 2003 SP2 permet de
mieux répondre aux besoins des utilisateurs tout en conservant les investissements déjà
réalisés dans l’infrastructure existante. SNP évite d’envisager une remise à plat de la
topologie réseau, de changer les configurations des serveurs ou de passer du temps à
modifier des applications existantes et des services.
SNP donne de la souplesse pour choisir les technologies les mieux appropriées en
fonction des besoins, sans devoir changer de fournisseur de matériel.
74
Windows Server 2003 Service Pack 2 et R2
Informations supplémentaires sur SNP
www.microsoft.com/snp
La bibliothèque XmlLite permet aux développeurs de bâtir des applications à hautes
performances, fondées sur XML, capables d’une large interopérabilité avec d’autres
applications qui respectent le standard XML 1.0. Les principaux objectifs de XmlLite
sont la facilité d’utilisation, les performances et le respect des standards.
XmlLite fonctionne avec n’importe quel langage Windows qui utilise les bibliothèques
dynamiques. Il est quand même plutôt recommandé d’utiliser C++. La bibliothèque
XmlLite contient tous les fichiers nécessaires pour être utilisée avec C++.
2. État des lieux de
Windows Server en
entreprise
XmlLite
Microsoft fournit plusieurs analyseurs XML (parsers) :
j
XmlLite (natif) ;
j
MSXML (SAX2, natif) ;
j
System.XML.XmlReader (géré).
Les implémentations DOM (Document Object Model) suivantes intègrent des
analyseurs :
j
MSXML (DOM) ;
j
System.XML (XmlDocument).
XML peut servir comme format d’enregistrement de documents, comme dans la
dernière version de Word, et aussi pour encoder les données pour des appels de
méthodes de conversion de paramètres (marshaling) d’une machine à une autre
(SOAP). Les entreprises peuvent utiliser XML pour envoyer et recevoir des commandes
et des factures. Le Web emploie XML pour envoyer des données du serveur web vers le
navigateur. Les serveurs de bases de données répondent aux requêtes en XML, ces
réponses étant ensuite traitées par d’autres applications. XML étant un format très
souple, vous pouvez l’utiliser dans de nombreux scénarios qui se répartissent en deux
catégories principales :
j
Certains scénarios traitent des documents XML en provenance de sources externes,
sans pouvoir savoir s’il s’agit de documents XML valides ou non. Dans ces scénarios,
la vérification de la validité est importante. Généralement, les développeurs
utilisent des schémas XSD ou des DTD (Document Type Definition) pour vérifier la
validité. La performance s’en trouve réduite, mais l’application peut ainsi être sûre
qu’elle reçoit un document XML valide. Ce scénario s’applique à toutes les
applications qui enregistrent ou chargent des documents.
75
Chapitre 2
2. État des lieux de
Windows Server en
entreprise
j
État des lieux de Windows Server en entreprise
Certains logiciels emploient XML comme un magasin de données ou un moyen de
communiquer. Dans ce cas, le développeur sait que le document est valide car une
autre partie de l’application (sous le contrôle du même programmeur ou du même
éditeur) a produit le code XML. La validité du document n’est donc plus un
problème. Par exemple, nous sommes dans cette situation lorsque le logiciel
s’exécute sur une ferme de serveurs, et XML sert à communiquer entre serveurs et
processus. Un autre exemple pourrait être fourni par une application complexe qui
enregistre et relit de gros volumes d’informations. Le développeur contrôle
totalement le format du document XML.
Puisque XmlLite a pour objectif d’améliorer les performances, cette bibliothèque est
particulièrement bien adaptée aux scénarios du second type. XmlLite permet aux
développeurs d’écrire un code efficace et rapide pour lire et écrire des documents XML.
Dans la plupart des cas, XmlLite analyse un document plus rapidement que DOM dans
MSXML ou que SAX2 dans MSXML.
Les services de déploiement Windows WDS (Windows Deployment
Services)
Windows Server 2003 SP2 inclut une version profondément remaniée de RIS (Remote
Installation Services, "services d’installation à distance"), désormais nommée Services de
déploiement Windows ou WDS, qui aide les entreprises à préparer l’arrivée de
Windows Vista et de Windows Server 2008. WDS assure le stockage, l’administration et
le déploiement des images qui utilisent le nouveau format WIM (Windows Imaging).
Si vous souhaitez obtenir plus d’informations sur RIS, consultez le chapitre Installer
et Déployer Windows Server 2003. Quant à WDS, nous y reviendrons en détail dans
le chapitre Service de déploiement spécialement dédié à cet outil.
Windows Deployment Services améliore RIS sur plusieurs points :
j
prise en charge native de Windows PE comme système d’exploitation d’amorçage ;
j
prise en charge native du format de fichier WIM (Windows Imaging) ;
j
composant serveur PXE extensible et plus performant ;
j
nouveau menu d’amorçage client pour choisir le système d’exploitation.
WDS réduit le coût total de possession et la complexité des déploiements en apportant
une solution de bout en bout pour déployer des systèmes d’exploitation Windows sur des
ordinateurs sans systèmes d’exploitation. WDS prend en charge des environnements
mixtes incluant Windows XP et Windows Server 2003.
76
Windows Server 2003 Service Pack 2 et R2
Pour décrire le niveau de fonctionnalité associé à chaque configuration possible de
WDS, l’administration et l’exploitation des serveurs sont classées en trois catégories,
connues sous le nom de "modes serveurs".
j
Tableau 2.6 : Le mode compatible WDS
Fonctionnalité
Valeur
Environnement d’amorçage
OSChooser
Types d’images
RISETUP et RIPREP
Outils d’administration
Utilitaires RIS
j
2. État des lieux de
Windows Server en
entreprise
Le mode compatible WDS est fonctionnellement équivalent à RIS. Les binaires de
WDS se comportent comme RIS. Dans ce mode, seul OSChooser sera présent
comme système d’exploitation d’amorçage. Cependant, seules les images RISETUP
et RIPREP sont prises en charge. Les nouveaux outils d’administration de WDS ne
sont pas utilisés. Les anciens utilitaires RIS sont les seuls moyens pour administrer
le serveur. Le mode compatible WDS ne peut fonctionner que sur Windows
Server 2003.
Le mode mixte de WDS décrit un état serveur ou les deux images d’amorçage
OSChooser et Windows PE sont disponibles. Dans ce mode, l’accès aux anciens
types d’images RISETUP et RIPREP est possible via OSChooser. En outre, il est
possible d’exploiter le nouveau format WIM via une image d’amorçage
Windows PE. Du côté poste client, un menu d’amorçage permettra de choisir entre
RIS et Windows PE. L’administrateur pourra exploiter les anciens outils pour gérer
les images RISETUP et RIPREP, et utiliser les nouveaux outils WDS pour gérer
toutes les facettes du serveur aussi bien que les images WIM. Le mode mixte WDS
ne peut fonctionner que sur Windows Server 2003.
Tableau 2.7 : Le mode mixte WDS
Fonctionnalité
Valeur
Environnements d’amorçage
OSChooser et Windows PE
Types d’images
WIM, RISETUP et RIPREP
Outils d’administration
Utilitaires RIS et administration WDS
j
Le mode natif WDS correspond à un serveur WDS et à des images d’amorçage
uniquement de type Windows PE. Dans ce mode, OSChooser disparaît et les images
WIM sont les seules à être prises en charge pour un déploiement sur les clients.
L’administration du serveur s’effectue via les outils WDS. Le mode natif WDS
s’applique à Windows Server 2003 et à Windows Server 2008. Pour Windows
Server 2008, il s’agit du seul mode serveur WDS pris en charge.
77
Chapitre 2
État des lieux de Windows Server en entreprise
2. État des lieux de
Windows Server en
entreprise
Tableau 2.8 : Le mode natif WDS
Fonctionnalité
Valeur
Environnement d’amorçage
Windows PE
Type d’image
WIM
Outil d’administration
Administration WDS
Ces différents modes permettent une transition en douceur entre les fonctionnalités
RIS existantes et les nouvelles de WDS qui seront les seules à exister dans Windows
Server 2008.
Le passage d’une exploitation RIS à WDS en mode compatible (binaires WDS mais
fonctionnalités RIS) s’effectue lorsqu’un serveur RIS existant est mis à jour vers WDS.
À partir de cet instant, l’utilisation des outils d’administration WDS (tels que MMC et
l’interface à la ligne de commande) pour initialiser le serveur fait passer WDS en mode
mixte. Le passage en mode natif s’effectue lorsque les images anciennes sont converties
au format WIM et que la fonctionnalité OSChooser est inhibée (via la commande
/forceNative).
Microsoft Management Console 3.0 (MMC 3.0)
Microsoft Management Console 3.0 (MMC 3.0) simplifie l’administration quotidienne
de Windows par des menus, des barres d’outils, une navigation et des flux de tâches qui
unifient les différents outils. Les outils MMC servent à administrer les réseaux, les
ordinateurs, les services, les applications et d’autres composants système. La console
MMC n’effectue pas par elle-même des tâches d’administration, mais héberge des
composants Microsoft et tiers qui le font.
MMC 3.0 abaisse le coût de l’administration des applications Windows en fournissant
une console de centralisation, simple à utiliser et cohérente. Pour les administrateurs,
cette console, dans sa version 3.0, améliore les performances, la fiabilité et la découverte
dans le contexte d’actions sensibles. Pour les développeurs, elle réduit le coût du
développement de composants logiciels enfichables en nécessitant moins de code et
moins de temps passé à la conception.
MMC 3.0 représente un cadre de travail pour écrire des composants logiciels
enfichables fondés sur .NET et destinés à administrer des applications. Le modèle de
programmation .NET simplifie le développement de ces composants. La réalisation
d’un composant pour MMC 3.0 nécessite beaucoup moins de lignes de code que dans les
versions précédentes. Cela simplifie la maintenance et réduit le risque de bogues.
Wireless Protected Access 2 (WPA2)
Microsoft a diffusé la mise à jour Wireless Protected Access 2 pour Windows XP Service
Pack 2 en avril 2005. Le SP2 de Windows Server 2003 ajoute cette fonctionnalité
78
Windows Server 2003 Service Pack 2 et R2
principalement pour les éditions Windows XP 64 bits (car le SP2 de Windows
Server 2003 couvre aussi la version 64 bits de Windows XP, attention à la confusion !).
WPA2 permet la prise en charge de la nouvelle certification Wi-Fi Alliance pour
améliorer la sécurité des liaisons sans fil. WPA2 simplifie la connexion aux espaces
publics sécurisés équipés d’un accès Internet sans fil.
La mise en œuvre de WPA2 dans Windows Server 2003 Service Pack 2 prend en charge
les caractéristiques suivantes du standard WPA2 de l’IEEE :
j
WPA2 Enterprise qui utilise l’authentification IEEE 802.1X et WPA2 Personal via
une clé prépartagée (PSK).
j
Chiffrement avancé qui utilise le protocole CCMP (CM-CBC-MAC, Counter
Mode-Cipher Block Chaining-Message Authentication Code) afin de renforcer la
confidentialité des données, l’authentification de l’origine des données et l’intégrité
des données pour les transmissions sans fil.
j
Utilisation optionnelle du cache de la clé principale (PMK) et mise en cache
opportuniste de la PMK. Dans ce type de cache, les clients et les points d’accès sans
fil mettent en cache les résultats des authentifications 802.1X. Par conséquent,
l’accès s’effectue plus rapidement lorsqu’un client sans fil se reconnecte via un point
d’accès sans fil auprès duquel il s’est authentifié précédemment.
j
Utilisation optionnelle de la préauthentification. Lors d’une préauthentification, un
client sans fil WPA2 peut effectuer une authentification 802.1X avec d’autres points
d’accès sans fil à proximité, alors qu’il est toujours connecté à son premier point
d’accès.
2. État des lieux de
Windows Server en
entreprise
WPA2 est une certification disponible de la Wi-Fi Alliance qui assure que l’équipement
sans fil est compatible avec le standard IEEE 802.11i. Cette certification remplace WEP
(Wired Equivalent Privacy) et les autres fonctions de sécurité du standard 802.11
d’origine. La certification WPA2 prend en charge les fonctions de sécurité obligatoires
du standard IEEE 802.11i, supplémentaires par rapport à WPA.
La version améliorée de l’outil CACLS
ICACLS est une mise à jour de l’outil CACLS dans Windows Server 2003 SP2 que vous
pouvez utiliser pour réinitialiser les listes de contrôle d’accès (ACL) sur les fichiers à
partir de la Console de récupération. Cet outil sert aussi à sauvegarder des ACL.
Contrairement à CACLS, ICACLS propage correctement les créations et les
modifications vers des ACL héritées. En tapant icacls /? en ligne de commande, vous
obtiendrez des informations supplémentaires sur l’utilisation de ICACLS.
Les fonctions existantes améliorées
Enfin, le SP2 améliore certaines fonctionnalités existantes de Windows Server 2003 avec
le SP1. Voici une liste des améliorations apportées…
79
Chapitre 2
État des lieux de Windows Server en entreprise
Tableau 2.9 : Fonctionnalités déjà existantes mais améliorées par le SP2 de Windows
2. État des lieux de
Windows Server en
entreprise
Server 2003
80
Modification
Description
Authentification par port de pare-feu
Une authentification par port sécurise le trafic entre l’environnement
extranet et des ressources internes qui sont protégées par une
isolation de domaine IPSec. L’installation du SP2 active cette
fonctionnalité par défaut.
Amélioration des performances pour
SQL Server
Le SP2 améliore les performances de SQL Server 2005 lorsque le
serveur est soumis à de fortes charges. L’installation du SP2 active
cette amélioration par défaut.
Options de découverte améliorées dans MSConfig propose désormais un onglet supplémentaire qui constitue
MSConfig
un point de lancement unique pour des outils de support qui
faciliteront la découverte de diagnostics. L’installation du SP2 active
cette amélioration par défaut.
Meilleure administration du filtre lPSec
Le SP2 réduit l’ensemble des filtres qu’il faut gérer dans un scénario
d’isolation de domaine et de serveur, en faisant passer leur nombre
de plusieurs centaines à 2. Il supprime aussi le besoin d’une
maintenance permanente des filtres due à des modifications de
l’infrastructure. L’installation du SP2 active cette amélioration par
défaut.
Améliorations des performances dans
le cadre de la virtualisation de
Windows
Le SP2 améliore les performances lorsque le taux d’accès APIC
(Advanced Processor lnterrupt Control) est élevé. Windows
Server 2003 fonctionnant comme système d’exploitation
multiprocesseur hébergé dans le cadre d’une virtualisation de
Windows.
Stockage par défaut plus vaste pour la
file d’attente des messages
Pour la file d’attente des messages, la limite de stockage par défaut
est passée à 1 Go. Il est possible de relever cette limite dans la
console MMC, via l’onglet Général des Propriétés de la file d’attente
des messages.
Améliorations des tests DNS DCDIAG
De nouvelles options ont été ajoutées aux tests DNS (Domain
Name Service) Dcdiag.exe. Les nouvelles options sont /x et
/xsl:xslfile.xsl ou /xsl:xsltfile.xslt. Elles
génèrent des balises XML lorsque les tests sont exécutés avec
l’option /test:dns. Ce nouveau mécanisme de sortie permet
d’analyser plus facilement les fichiers journaux verbeux produits par
les tests DNS.
De nouveaux événements pour les
comptes du service Cluster
Un nouvel événement a été créé pour couvrir certaines situations
dans lesquelles le compte du service Cluster devient trop limité par la
stratégie appliquée au domaine. Ce nouvel événement porte le
numéro 1239. Son texte descriptif inclut des informations de
dépannage.
Windows Server 2003 Service Pack 2 et R2
Qu’apporte Windows Server 2003 R2 ?
Windows Server 2003 R2, qui est une version de Windows Server à part entière, basée
sur Windows Server 2003 SP1, apporte de nouvelles fonctionnalités. En voici
quelques-unes, parmi les plus intéressantes…
Gestion et déploiement des serveurs d’agences :
− sauvegarde et administration centralisée des services de partage de fichiers et
d’impression ;
− haute disponibilité ;
− gestion du hardware à distance.
j
Active Directory Federation Services :
2. État des lieux de
Windows Server en
entreprise
j
− authentification unique web ;
− interopérabilité avec les offres SSO (Single Sign On) web.
j
Gestion du stockage :
− gestion plus simple des SAN ;
− File Server Migration Toolkit ;
− gestion des ressources de stockage.
j
Intégration de packs de fonctionnalités Windows Server 2003 :
− Windows Share Point Services ;
− Active Directory Application Mode (ADAM) ;
− Services pour Unix ;
− iSCSI Initiator.
Windows Server 2003 R2 étend les fonctionnalités du système d’exploitation Windows
Server 2003 en proposant un moyen plus efficace de gérer et de contrôler l’accès aux
ressources locales et distantes, tout en s’intégrant facilement dans l’environnement
existant. La version R2 est dotée d’une plateforme hautement sécurisée et capable de
monter en charge, permettant la mise en œuvre de nouveaux scénarios : gestion
simplifiée des serveurs d’agences et de succursales, administration améliorée des
identités et des accès et gestion plus efficace du stockage…
Une gestion simplifiée des serveurs dans les agences et les succursales
Windows Server 2003 R2 permet de garantir les performances, la disponibilité et
l’efficacité des serveurs de succursales tout en évitant les difficultés généralement
inhérentes aux solutions serveurs pour les agences et les succursales, telles que les
problèmes de connectivité et les coûts de gestion.
81
Chapitre 2
État des lieux de Windows Server en entreprise
Tableau 2.10 : Avantage de la gestion simplifiée des serveurs dans les agences et les
2. État des lieux de
Windows Server en
entreprise
succursales
Avantage
Description
Gestion simplifiée des
serveurs dans les
agences et les
succursales
Extension de la connectivité et la fiabilité aux agences et aux succursales tout en
contrôlant le coût total de possession des infrastructures informatiques.
Administration mieux centralisée. Fournit des outils d’administration centralisée
pour les fonctions liées aux fichiers et à l’impression. Réduction de
l’administration à distance. Minimise l’administration locale et la sauvegarde sur
site. Réseau étendu plus efficace. Accélère la réplication des données sur les
réseaux étendus.
Une gestion améliorée des identités et des accès
Windows Server 2003 R2 inclut Active Directory Federation Services (ADFS), qui
permet aux administrateurs de faire face aux problèmes posés par la gestion des
identités. Les organisations peuvent en effet partager les informations relatives à
l’identité d’un utilisateur de manière plus sécurisée, et par-delà les limites de sécurité.
Windows Server 2003 R2 fournit en outre une fonction de synchronisation des mots de
passe Unix. Il est ainsi plus facile d’intégrer les serveurs exécutant Windows et Unix du
fait de la simplification du processus de gestion des mots de passe sécurisés.
Pour en savoir un peu plus sur ADFS, reportez-vous au chapitre ADAM et ADFS.
Tableau 2.11 : Avantage de la gestion améliorée des identités et des accès
82
Avantage
Description
Gestion améliorée des
identités et des accès
Ajoutez de la valeur aux déploiements Active Directory en vue de faciliter les accès
sécurisés au-delà des limites de l’organisation et des plateformes. Les entreprises
sont ainsi en mesure de gérer une même identité dans des applications
partenaires, Web et Unix.
Efficacité accrue pour l’utilisateur. Moins de mots de passe pour l’accès aux
applications internes ou hébergées chez des partenaires, grâce à l’authentification
unique sur extranet et à la fédération des identités.
Plus grande efficacité pour les administrateurs système. Administration centralisée
de l’accès aux applications sur les extranets, réduction des changements de mots
de passe et délégation possible de la gestion des utilisateurs à des partenaires de
confiance.
Meilleure sécurité. Blocage automatique de l’accès à l’extranet par le biais de la
désactivation du compte Active Directory d’un utilisateur.
Meilleure mise en conformité. Consignation des accès utilisateurs aux applications
partenaires dans les domaines de sécurité externes.
Windows Server 2003 Service Pack 2 et R2
Avantage
Description
Des coûts de gestion du stockage réduits
Windows Server 2003 R2 est doté de nouveaux outils qui fournissent une vue centralisée
du stockage. Cette version comprend également des fonctions simplifiées de
planification, de mise en place et de gestion du stockage ainsi que des outils améliorés de
contrôle et de génération de rapports.
2. État des lieux de
Windows Server en
entreprise
Meilleure interopérabilité des systèmes hétérogènes. Authentification web unique
entre les plateformes et fédération des identités. Les outils et les spécifications de
l’interopérabilité des services web permettent de gérer et de mettre à jour
dynamiquement les comptes et les mots de passe utilisateurs sur les systèmes
Windows et Unix à l’aide du service NIS (Network Information Service). À cela
s’ajoute la synchronisation automatique des mots de passe entre les systèmes
d’exploitation Windows et Unix.
Tableau 2.12 : Avantage de la gestion du stockage
Avantage
Description
Coûts de gestion du stockage
réduits
Meilleur contrôle de la configuration du stockage et réduction des coûts de
gestion grâce à des fonctions de gestion avancées.
Meilleure utilisation du stockage. Des rapports détaillés vous informent sur
l’utilisation du stockage.
Meilleure administration des quotas. Contrôle l’utilisation de l’espace disque à
l’aide de quotas sur les répertoires.
Meilleur filtrage des fichiers. Restriction des types de fichiers autorisés sur les
serveurs grâce au filtrage des fichiers.
Configuration SAN simplifiée. Configuration et dimensionnement aisés de
réseaux SAN.
Une plateforme web riche
Windows Server 2003 R2 permet aux entreprises d’étendre leur infrastructure sur le
Web tout en réduisant les coûts de développement et de gestion grâce à Windows
SharePoint Services, .NET Framework 2.0 et Internet Information Services 6.0.
83
Chapitre 2
État des lieux de Windows Server en entreprise
Tableau 2.13 : Avantage de la plateforme web
Description
Plateforme web riche
Plateforme web plus performante. Les toutes dernières
technologies 64 bits et .NET permettent de doubler les
performances du Web.
Windows SharePoint Services constitue une solution de
collaboration rentable pouvant être déployée, configurée et gérée
très rapidement.
Avec ASP.NET, développez rapidement des services et des
applications web riches à l’aide de .NET Framework.
IIS 6.0 offre un serveur web haute performance plus sécurisé.
La prise en charge de la technologie 64 bits améliore les
performances pour un coût réduit.
2. État des lieux de
Windows Server en
entreprise
Avantage
La virtualisation de serveur à moindre coût
Windows Server 2003 R2 Enterprise Edition permet d’exécuter jusqu’à quatre instances
virtuelles de Windows Server 2003 R2 sur une même partition matérielle ou un même
serveur physique sous licence, ce qui entraîne une réduction notable du coût de la
virtualisation de serveur.
Tableau 2.14 : Avantage de la virtualisation de serveur
Avantage
Description
Virtualisation de serveur à
moindre coût
Virtualisation à valeur ajoutée. Windows Server 2003 R2
Enterprise Edition ajoute de la valeur à la virtualisation de serveur.
La nouvelle stratégie de licence permet désormais aux utilisateurs
d’exécuter jusqu’à quatre instances virtuelles de Windows
Server 2003 R2 Enterprise Edition sur une seule partition
matérielle ou un seul serveur physique sous licence.
Nouveau cycle de produits Windows Server
Microsoft essaie maintenant de définir un cycle d’évolution des prochaines versions de
Windows Server de telle sorte que les clients puissent planifier et budgétiser ces
évolutions. La règle est de fournir une version majeure de Windows Server tous les
quatre ans environ, puis une mise à niveau tous les deux ans après chaque version
majeure.
Version majeure
Les versions majeures de Windows Server incluent un nouveau noyau et sont ainsi
capables de prendre en charge de nouveaux matériels, de nouveaux modèles de
84
En résumé
programmation et des évolutions fondamentales dans les domaines de la sécurité et de
la stabilité. Ces changements majeurs peuvent bien entendu générer des
incompatibilités entre le nouveau système et les matériels et logiciels existants.
Version mise à jour
2. État des lieux de
Windows Server en
entreprise
Les versions mises à jour incluent la précédente version majeure ainsi que le dernier
Service Pack, certains Feature Packs, et de nouvelles fonctionnalités additionnelles.
Comme une version mise à jour est basée sur la précédente version majeure, les clients
peuvent l’incorporer dans leur environnement de production sans autres tests
supplémentaires que ceux que pourrait nécessiter un simple Service Pack. Toutes les
fonctionnalités additionnelles fournies par une mise à jour sont optionnelles et, de fait,
elles n’affectent pas la compatibilité des applications existantes. Par conséquent, les
clients n’ont pas à certifier ou à tester à nouveau leurs applications.
Service Packs
Les Service Packs incorporent toutes les corrections de type critique et non critique ainsi
que les dernières demandes de correction qui les concernent, émises par les clients. Les
Service Packs sont testés de manière intensive par Microsoft et par les clients et
partenaires participant à un programme de bêta test. Ils peuvent ainsi inclure des
améliorations importantes de la sécurité, comme le Security Configuration Wizard,
inclus dans le Service Pack 1 de Windows Server 2003. Il sera parfois nécessaire de
modifier certains programmes pour prendre en charge les nouveaux standards de
l’industrie ou des fonctionnalités demandées par les clients. Ces changements sont
soigneusement évalués et testés avant d’être finalement inclus dans un Service Pack.
Afin de permettre les extensions et les évolutions d’architecture, Microsoft maintient un
niveau de compatibilité entre les Service Packs en réalisant des tests intensifs sur les
applications et ces différents Service Packs. En règle générale, les problèmes de
compatibilité concernent les applications qui utilisent de manière inappropriée des
appels système, des interfaces internes ou des fonctions spécifiques.
2.5.
En résumé
Ce chapitre vous a présenté la fiche signalétique de Windows Server 2003, du Service
Pack 1, du Service Pack 2 et de Windows Server 2003 R2. Maintenant que vous avez
déchiré l’emballage et sorti le CD-Rom du boîtier, il est temps de passer à l’installation
du produit, dans le cadre d’une entreprise, en l’occurrence Puzzmania.
85
Chapitre 3
Windows
Server 2003 Service
Pack 2 et R2
3.1
3.2
3.3
3.4
3.5
Les nouveautés du Service Pack 1 . . . . . . . .
Les nouveautés du Service Pack 2 . . . . . . . .
Qu’apporte Windows Server 2003 R2 ? . . . . .
Un nouveau cycle de produits Windows Server
En résumé . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 89
. 91
. 99
. 102
. 103
Les nouveautés du Service Pack 1
T
out le monde est maintenant habitué à la notion de Service Pack. Personne n’est
plus surpris par la sortie et la mise à disposition d’un Service Pack pour Windows
(quelle que soit la version). L’information est rapidement connue de tous. C’est donc
avec une certaine logique que Microsoft a mis à disposition le Service Pack 1 de
Windows Server 2003 en 2005 puis le Service Pack 2 en 2007. Vous trouverez la liste des
principales améliorations ci-après.
Le produit étant construit sur la base de Windows Server 2003 SP1, les mêmes
applications sont compatibles pour les deux systèmes. Windows Server 2003 R2 apporte
de nombreuses fonctionnalités, sous la forme de composants additionnels que l’on peut
installer (CD-Rom 2). Ces fonctionnalités ne sont pas présentes dans la version
Windows Server 2003 de base et la plupart ne sont pas disponibles séparément. Les
autres, le sont sous forme de Feature Packs.
3.1.
3. Windows Server
2003 Service Pack 2 et
R2
Par contre, qu’est-ce que R2 ? Ou plutôt Windows Server 2003 R2 ? Windows
Server 2003 R2 est une version améliorée de Windows Server 2003. C’est en quelque
sorte un ajout de fonctionnalités à Windows Server 2003. D’ailleurs, le produit est
constitué de deux CD-Rom, le premier comprenant Windows Server 2003 avec SP1, et
le second un pack de nouvelles fonctionnalités. Pour autant, ce n’est pas un Service Pack
car Windows Server 2003 R2 est soumis à licence. Il est à noter cependant que le Service
Pack 2 de Windows Server 2003 fonctionne tout autant pour la version de base que pour
la version Windows Server 2003 R2.
Les nouveautés du Service Pack 1
SP1 sur le site de Microsoft
Si vous souhaitez obtenir une bonne vue d’ensemble ou alors des informations
détaillées sur le Service Pack 1 de Windows Server 2003, consultez :
j
www.microsoft.com/france/windows/windowsserver2003/downloads
/servicepacks/sp1/overview.mspx.
Ce site présente plusieurs articles avec des questions-réponses ainsi que de la
documentation en français.
Rendez-vous également à l’adresse :
j
www.microsoft.com/downloads/details.aspx?FamilyId=C3C26254-8CE3-46E2
-B1B6-3659B92B2CDE&displaylang=en.
Vous pourrez télécharger un document très complet sur le SP1 puisqu’il représente à
lui seul 300 pages. Par contre, ce site et la documentation qu’il propose sont en
anglais.
Windows Server 2003 SP1 améliore les fonctionnalités faisant partie de Windows
Server 2003. De telles améliorations visent à optimiser le produit et à en augmenter la
89
Chapitre 3
Windows Server 2003 Service Pack 2 et R2
3. Windows Server
2003 Service Pack 2 et
R2
sécurité, la fiabilité et l’efficacité. Parmi les principales améliorations, citons les
éléments suivants…
j
Prise en charge de la fonction "Ne pas exécuter" incluse dans le matériel : Windows
Server 2003 SP1 permet à Windows Server 2003 d’utiliser les fonctionnalités
intégrées dans les processeurs d’Intel et d’AMD afin d’empêcher l’exécution de
code malveillant à partir de zones de la mémoire qui ne sont pas attribuées à du
code. Cette disposition élimine une large part des attaques actuelles.
j
Audit de la métabase IIS 6.0 (Internet Information Services) : la métabase est un
magasin de stockage XML hiérarchique qui contient les informations de
configuration d’IIS 6.0. L’audit de ce magasin permet aux administrateurs réseau de
voir qui a accédé à la métabase lorsqu’elle a été corrompue.
j
Paramètres par défaut plus puissants et réduction des privilèges sur les services :
les services tels que RPC et DCOM font partie intégrante de Windows Server 2003.
De ce fait, ils constituent une cible attrayante pour les personnes malintentionnées.
En exigeant une authentification plus forte lors de l’appel de ces services, Windows
Server 2003 SP1 relève le niveau de sécurité pour toutes les applications qui utilisent
ces services, même si elles sont elles-mêmes peu ou pas sécurisées.
j
Ajout de composants Network Access Quarantine Control : Windows Server 2003
SP1 contient à présent les composants RQS.exe et RQC.exe, qui simplifient le
déploiement de Network Access Quarantine Control (contrôle de la mise en
quarantaine pour l’accès au réseau). Pour plus d’informations sur ce sujet,
rendez-vous
à
l’adresse
www.microsoft.com/windowsserver2003/techinfo/overview
/quarantine.mspx.
Contrairement à d’autres Services Packs, SP1 ajoute de nouvelles fonctionnalités
puissantes à Windows Server 2003. Voici les principales…
90
j
Pare-feu Windows : également intégré dans Windows XP Service Pack 2, le
pare-feu Windows est le successeur du pare-feu de connexion Internet. Il s’agit d’un
pare-feu logiciel destiné à protéger chaque poste client et chaque serveur. Windows
Server 2003 Service Pack 1 installe le pare-feu Windows sur le serveur et permet un
contrôle à l’échelle du réseau via la stratégie de groupe.
j
Mises à jour de sécurité post-installation (PSSU) : les serveurs sont vulnérables
entre le moment de l’installation et l’application des dernières mises à jour de
sécurité. Pour parer les attaques, Windows Server 2003 avec SP1 bloque toutes les
connexions entrantes après l’installation, jusqu’à ce que Windows Update soit
exécuté pour installer les dernières mises à jour de sécurité sur le nouvel ordinateur.
Cette fonctionnalité oriente également les administrateurs vers la mise à jour
automatique au moment de la première connexion.
j
Assistant Configuration de la sécurité (SCW) : il pose des questions à
l’administrateur sur les rôles que doit tenir le serveur, puis il bloque les ports inutiles
à ces fonctions. Ainsi, de nombreuses voies d’attaques possibles sont fermées.
Les nouveautés du Service Pack 2
j
3.2.
Support de TLS dans Terminal Services : c’est la grande nouveauté sur TSE, qui
permet d’identifier le serveur TSE (comme on identifie un serveur web en SSL) et
d’utiliser TLS comme une méthode de chiffrement pour les communications entre
le client et le serveur.
Les nouveautés du Service Pack 2
Et Microsoft profite de l’opportunité offerte par la sortie du SP2 pour ajouter de
nouvelles fonctionnalités à Windows Server 2003.
Les mises à jour
3. Windows Server
2003 Service Pack 2 et
R2
Le Service Pack 2 (SP2) donne accès en un seul package aux dernières mises à jour,
améliorations et fonctionnalités disponibles pour Windows Server 2003. Ses
composants renforcent la sécurité, la fiabilité et les performances de Windows
Server 2003 et Windows Server 2003 R2.
L’administration des mises à jour constitue un véritable défi pour la sécurité des
ordinateurs. Mais malgré cela, les mises à jour doivent être appliquées car elles jouent
un rôle vital dans la sécurisation du parc informatique de l’entreprise en anticipant sur
les attaques et en bloquant les vulnérabilités. La fréquence des mises à jour est cruciale
pour résoudre les problèmes de sécurité dès qu’ils sont découverts. En regroupant
toutes les mises à jour dans SP2, Microsoft apporte en un seul package l’ensemble des
protections les plus récentes pour Windows Server 2003.
En plus de reprendre toutes les mises à jour correspondant aux bulletins de sécurité, SP2
installe tous les correctifs diffusés depuis la sortie de Windows Server 2003, ainsi que
certaines fonctions ou améliorations importantes réclamées par les clients.
Il n’est donc pas nécessaire que le SP1 soit installé, pour installer le SP2.
Scalable Networking Pack (SNP)
Les entreprises connaissent un développement rapide du trafic sur leurs réseaux interne
et externe. Cette croissance du trafic est due, au moins en partie, aux applications métier
en réseau et aux solutions de sauvegarde et de stockage sur le réseau. À cela s’ajoutent
les applications multimédias comme la visioconférence et les présentations audio et
vidéo.
Le déploiement d’Ethernet, puis du Gigabit Ethernet étend la bande passante
disponible afin de faire face à cette demande mais plus le réseau présente un débit
important, plus la charge sur les serveurs s’accroît. La prise en charge des réseaux
rapides implique par conséquent la mise en place de serveurs puissants.
91
Chapitre 3
Windows Server 2003 Service Pack 2 et R2
Microsoft Windows Server 2003 SP2 inclut SNP (Scalable Networking Pack, un pack de
réseau capable de monter en charge) qui aide à faire face à la montée du trafic sans
surcharger les ressources processeurs. SNP prend en charge des technologies réseau qui
visent à éliminer les goulets d’étranglement du système d’exploitation associés au
traitement des paquets. Voici les améliorations apportées par ce package…
TCP Chimney Offload (allégement de la pile TCP) : TCP Chimney Offload
transfère de façon automatique le traitement du trafic TCP (Transmission Control
Protocol) avec état à un adaptateur réseau spécialisé qui met en œuvre un moteur de
déchargement TCP (TOE, TCP Offload Engine). Pour les connexions à longue
durée de vie mettant en œuvre des paquets de grande taille, comme les connexions
avec un serveur de fichiers, de stockage ou de sauvegarde, ou pour d’autres
applications sollicitant fortement le réseau, TCP Chimney Offload réduit largement
la charge du processeur en délégant à l’adaptateur réseau le traitement des paquets
du réseau, y compris la fragmentation et le réassemblage des paquets. En utilisant
TCP Chimney Offload, vous allégez le processeur qui peut se concentrer à d’autres
tâches comme permettre davantage de sessions utilisateurs ou traiter les requêtes
des applications en réduisant la latence. Cette fonction était auparavant proposée
par certains constructeurs de serveurs, maintenant elle est disponible directement
par Windows.
j
Montée en charge en fonction du trafic reçu : cette technique permet de répartir le
trafic entrant (paquets reçus) entre plusieurs processeurs en exploitant de nouvelles
améliorations matérielles des interfaces réseau. Elle peut répartir dynamiquement
la charge du trafic entrant en fonction de la charge du système ou des conditions de
fonctionnement du réseau. Toute application recevant de nombreux paquets et
fonctionnant sur un système multiprocesseur, comme un serveur web ou un serveur
de fichiers, devrait bénéficier de la mise en place de ce dispositif.
j
NetDMA : ce composant autorise une gestion plus efficace de la mémoire en
permettant un accès direct à la mémoire (DMA) sur les serveurs équipés de la
technologie idoine comme l’I/OAT (I/O Acceleration Technology) d’Intel.
3. Windows Server
2003 Service Pack 2 et
R2
j
Le SNP (Scalable Networking Pack) de Microsoft Windows Server 2003 SP2 permet de
mieux répondre aux besoins des utilisateurs tout en conservant les investissements déjà
réalisés dans l’infrastructure existante. SNP évite d’envisager une remise à plat de la
topologie réseau, de changer les configurations des serveurs, ou de passer du temps à
modifier des applications existantes et des services.
SNP donne de la souplesse pour choisir les technologies les mieux appropriées en
fonction des besoins, sans devoir changer de fournisseur de matériel.
Informations supplémentaires sur SNP
www.microsoft.com/snp
92
Les nouveautés du Service Pack 2
La bibliothèque XmlLite
La bibliothèque XmlLite permet aux développeurs de bâtir des applications à hautes
performances, fondées sur XML, capables d’une large interopérabilité avec d’autres
applications qui respectent le standard XML 1.0. Les principaux objectifs de XmlLite
sont la facilité d’utilisation, les performances et le respect des standards.
XmlLite fonctionne avec n’importe quel langage Windows qui utilise les bibliothèques
dynamiques. Il est quand même plutôt recommandé d’utiliser C++. La bibliothèque
XmlLite contient tous les fichiers nécessaires pour être utilisée avec C++.
j
XmlLite (natif) ;
j
MSXML (SAX2) (natif) ;
j
System.XML.XmlReader (géré).
Les implémentations DOM (Document Object Model) suivantes intègrent des
analyseurs :
j
MSXML (DOM) ;
j
System.XML (XmlDocument).
3. Windows Server
2003 Service Pack 2 et
R2
Microsoft fournit plusieurs analyseurs XML (parsers) :
XML peut servir comme format d’enregistrement de documents, comme dans la
dernière version de Word, et aussi pour encoder les données pour des appels de
méthodes de marshaling (conversion de paramètres) d’une machine à une autre
(SOAP). Les entreprises peuvent utiliser XML pour envoyer et recevoir des commandes
et des factures. Le Web emploie XML pour envoyer des données du serveur Web vers
le navigateur. Les serveurs de bases de données répondent aux requêtes en XML, ces
réponses étant ensuite traitées par d’autres applications. XML étant un format très
souple, vous pouvez l’utiliser dans de nombreux scénarios qui se répartissent en deux
catégories principales :
j
Certains scénarios traitent des documents XML en provenance de sources externes,
sans pouvoir savoir s’il s’agit de documents XML valides ou non. Dans ces scénarios,
la vérification de la validité est importante. Généralement, les développeurs
utilisent des schémas XSD ou des DTD (Document Type Definition) pour vérifier la
validité. La performance s’en trouve réduite mais l’application peut ainsi être sûre
qu’elle reçoit un document XML valide. Ce scénario s’applique à toutes les
applications qui enregistrent ou chargent des documents.
j
Certains logiciels emploient XML comme un magasin de données ou un moyen de
communiquer. Dans ce cas, le développeur sait que le document est valide car une
autre partie de l’application (sous le contrôle du même programmeur ou du même
éditeur) a produit le code XML. La validité du document n’est donc plus un
problème. Par exemple, nous sommes dans cette situation lorsque le logiciel
s’exécute sur une ferme de serveurs, et XML sert à communiquer entre serveurs et
93
Chapitre 3
Windows Server 2003 Service Pack 2 et R2
processus. Un autre exemple pourrait être fourni par une application complexe qui
enregistre et relit de gros volumes d’informations. Le développeur contrôle
totalement le format du document XML.
3. Windows Server
2003 Service Pack 2 et
R2
Puisque XmlLite a pour objectif d’améliorer les performances, cette bibliothèque est
particulièrement bien adaptée aux scénarios du second type. XmlLite permet aux
développeurs d’écrire un code efficace et rapide pour lire et écrire des documents XML.
Dans la plupart des cas, XmlLite analyse un document plus rapidement que DOM dans
MSXML ou que SAX2 dans MSXML.
Les services de déploiement Windows WDS (Windows
Deployment Services)
Windows Server 2003 SP2 inclut une version profondément remaniée de RIS (Remote
Installation Services, "services d’installation à distance"), désormais nommée Services de
déploiement Windows ou WDS, qui aide les entreprises à préparer l’arrivée de
Windows Vista et de Windows Server 2008. WDS assure le stockage, l’administration et
le déploiement des images qui utilisent le nouveau format WIM (Windows Imaging).
Si vous souhaitez obtenir plus d’informations sur RIS, consultez le chapitre
L’installation et le déploiement de Windows Server 2003. Quant à WDS, nous y
reviendrons en détail dans le chapitre Le service de déploiement spécialement dédié à
cet outil.
Windows Deployment Services améliore RIS sur plusieurs points :
j
une prise en charge native de Windows PE comme système d’exploitation
d’amorçage ;
j
une prise en charge native du format de fichier WIM (Windows Imaging) ;
j
un composant serveur PXE extensible et plus performant ;
j
un nouveau menu d’amorçage client pour choisir le système d’exploitation.
WDS réduit le coût total de possession et la complexité des déploiements en apportant
une solution de bout en bout pour déployer des systèmes d’exploitation Windows sur des
ordinateurs sans systèmes d’exploitation. WDS prend en charge des environnements
mixtes incluant Windows XP et Windows Server 2003.
Pour décrire le niveau de fonctionnalité associé à chaque configuration possible de
WDS, l’administration et l’exploitation des serveurs sont classées en trois catégories,
connues sous le nom de "modes serveurs".
94
Les nouveautés du Service Pack 2
j
Le mode compatible WDS est fonctionnellement équivalent à RIS. Les binaires de
WDS se comportent comme RIS. Dans ce mode, seul OSChooser sera présent
comme système d’exploitation d’amorçage. Cependant, seules les images RISETUP
et RIPREP sont prises en charge. Les nouveaux outils d’administration de WDS ne
sont pas utilisés. Les anciens utilitaires RIS sont les seuls moyens pour administrer
le serveur. Le mode compatible WDS ne peut fonctionner que sur Windows
Server 2003.
Tableau 3.1 : Le mode compatible WDS
Valeur
Environnement d’amorçage
OSChooser
Types d’images
RISETUP et RIPREP
Outils d’administration
Utilitaires RIS
j
Le mode mixte de WDS décrit un état serveur ou les deux images d’amorçage,
OSChooser et Windows PE, sont disponibles. Dans ce mode, l’accès aux anciens
types d’images RISETUP et RIPREP est possible via OSChooser. En outre, il est
possible d’exploiter le nouveau format WIM via une image d’amorçage
Windows PE. Du côté poste client, un menu d’amorçage permettra de choisir entre
RIS et Windows PE. L’administrateur pourra exploiter les anciens outils pour gérer
les images RISETUP et RIPREP, et utiliser les nouveaux outils WDS pour gérer
toutes les facettes du serveur aussi bien que les images WIM. Le mode mixte WDS
ne peut fonctionner que sur Windows Server 2003.
3. Windows Server
2003 Service Pack 2 et
R2
Fonctionnalité
Tableau 3.2 : Le mode mixte WDS
Fonctionnalité
Valeur
Environnement d’amorçage
OSChooser et Windows PE
Types d’images
WIM, RISETUP et RIPREP
Outils d’administration
Utilitaires RIS et administration WDS
j
Le mode natif WDS correspond à un serveur WDS et à des images d’amorçage
uniquement de type Windows PE. Dans ce mode, OSChooser disparaît et les images
WIM sont les seules à être prises en charge pour un déploiement sur les clients.
L’administration du serveur s’effectue via les outils WDS. Le mode natif WDS
s’applique à Windows Server 2003 et à Windows Server 2008. Pour Windows
Server 2008, il s’agit du seul mode serveur WDS pris en charge.
95
Chapitre 3
Windows Server 2003 Service Pack 2 et R2
3. Windows Server
2003 Service Pack 2 et
R2
Tableau 3.3 : Le mode natif WDS
Fonctionnalité
Valeur
Environnement d’amorçage
Windows PE
Types d’images
WIM
Outils d’administration
Administration WDS
Ces différents modes permettent une transition en douceur entre les fonctionnalités
RIS existantes et les nouvelles de WDS qui seront les seules à exister dans Windows
Server 2008.
Le passage d’une exploitation RIS à WDS en mode compatible (binaires WDS, mais
fonctionnalités RIS) s’effectue lorsqu’un serveur RIS existant est mis à jour vers WDS.
À partir de cet instant, l’utilisation des outils d’administration WDS (tels que MMC et
l’interface à la ligne de commande) pour initialiser le serveur fait passer WDS en mode
mixte. Le passage en mode natif s’effectue lorsque les images anciennes sont converties
au format WIM et que la fonctionnalité OSChooser est inhibée (via la commande
/forceNative).
Microsoft Management Console 3.0 (MMC 3.0)
Microsoft Management Console 3.0 (MMC 3.0) simplifie l’administration quotidienne
de Windows par des menus, des barres d’outils, une navigation et des flux de tâches qui
unifient les différents outils. Les outils MMC servent à administrer les réseaux, les
ordinateurs, les services, les applications et d’autres composants système. La console
MMC n’effectue pas par elle-même des tâches d’administration mais héberge des
composants Microsoft et tiers qui le font.
MMC 3.0 abaisse le coût de l’administration des applications Windows en fournissant
une console de centralisation, simple à utiliser et cohérente. Pour les administrateurs,
cette console, dans sa version 3.0, améliore les performances, la fiabilité et la découverte
dans le contexte d’actions sensibles. Pour les développeurs, elle réduit le coût du
développement de composants logiciels enfichables en nécessitant moins de code et
moins de temps passé à la conception.
MMC 3.0 représente un cadre de travail pour écrire des composants logiciels
enfichables fondés sur .NET et destinés à administrer des applications. Le modèle de
programmation .NET simplifie le développement de ces composants. La réalisation
d’un composant pour MMC 3.0 nécessite beaucoup moins de lignes de code que dans les
versions précédentes. Cela simplifie la maintenance et réduit le risque de bogues.
Wireless Protected Access 2 (WPA2)
Microsoft a diffusé la mise à jour Wireless Protected Access 2 pour Windows XP Service
Pack 2 en avril 2005. Le SP2 de Windows Server 2003 ajoute cette fonctionnalité
96
Les nouveautés du Service Pack 2
principalement pour les éditions Windows XP 64 bits (car le SP2 de Windows
Server 2003 couvre aussi la version 64 bits de Windows XP. Attention à la confusion !).
WPA2 permet la prise en charge de la nouvelle certification Wi-Fi Alliance pour
améliorer la sécurité des liaisons sans fil. WPA2 simplifie la connexion aux espaces
publics sécurisés équipés d’un accès Internet sans fil.
La mise en œuvre de WPA2 dans Windows Server 2003 Service Pack 2 prend en charge
les caractéristiques suivantes du standard WPA2 de l’IEEE :
j
WPA2 Enterprise utilise l’authentification IEEE 802.1X et WPA2 Personal via une
clé prépartagée (PSK).
j
Le chiffrement avancé utilise le protocole CCMP (CM-CBC-MAC, Counter Mode –
Cipher Block Chaining – Message Authentication Code) afin de renforcer la
confidentialité des données, l’authentification de l’origine des données et l’intégrité
des données pour les transmissions sans fil.
j
Utilisation optionnelle du cache de la clé principale (PMK) et mise en cache
opportuniste de la PMK. Dans ce type de cache, les clients et les points d’accès sans
fil mettent en cache les résultats des authentifications 802.1X. Par conséquent,
l’accès s’effectue plus rapidement lorsqu’un client sans fil se reconnecte via un point
d’accès sans fil auprès duquel il s’est déjà authentifié précédemment.
j
Utilisation optionnelle de la pré-authentification. Lors d’une pré-authentification,
un client sans fil WPA2 peut effectuer une authentification 802.1X avec d’autres
points d’accès sans fil à proximité, alors qu’il est toujours connecté à son premier
point d’accès.
3. Windows Server
2003 Service Pack 2 et
R2
WPA2 est une certification disponible de la Wi-Fi Alliance qui assure que l’équipement
sans fil est compatible avec le standard IEEE 802.11i. Cette certification remplace WEP
(Wired Equivalent Privacy) et les autres fonctions de sécurité du standard 802.11
d’origine. La certification WPA2 prend en charge les fonctions de sécurité obligatoires
du standard IEEE 802.11i, supplémentaires par rapport à WPA.
La version améliorée de l’outil CACLS
ICACLS est une mise à jour de l’outil CACLS dans Windows Server 2003 SP2 que vous
pouvez utiliser pour réinitialiser les listes de contrôle d’accès (ACL) sur les fichiers à
partir de la Console de récupération. Cet outil sert aussi à sauvegarder des ACL.
Contrairement à CACLS, ICACLS propage correctement les créations et les
modifications vers des ACL héritées. En tapant icacls /? en ligne de commande, vous
obtiendrez des informations supplémentaires sur l’utilisation de ICACLS.
97
Chapitre 3
Windows Server 2003 Service Pack 2 et R2
Les fonctions existantes améliorées
Enfin, le SP2 améliore certaines fonctionnalités existantes de Windows Server 2003 avec
le SP1. Voici une liste des améliorations apportées :
Tableau 3.4 : Fonctionnalités déjà existantes mais améliorées par le SP2 de Windows
3. Windows Server
2003 Service Pack 2 et
R2
Server 2003
Modification
Description
Authentification par port de
pare-feu
Une authentification par port sécurise le trafic entre
l’environnement extranet et des ressources internes qui sont
protégées par une isolation de domaine IPSec. L’installation du
SP2 active cette fonctionnalité par défaut.
Amélioration des performances Le SP2 améliore les performances de SQL Server 2005 lorsque le
pour SQL Server
serveur est soumis à de fortes charges. L’installation du SP2
active cette amélioration par défaut.
Options de découverte
améliorées dans MSConfig
MSConfig propose désormais un onglet supplémentaire qui
constitue un point de lancement unique pour des outils de
support qui faciliteront la découverte de diagnostics. L’installation
du SP2 active cette amélioration par défaut.
Meilleure administration du
filtre lPSec
Le SP2 réduit l’ensemble des filtres qu’il faut gérer dans un
scénario d’isolation de domaine et de serveur, en faisant passer
leur nombre de plusieurs centaines à deux. Il supprime aussi le
besoin d’une maintenance permanente des filtres due à des
modifications de l’infrastructure. L’installation du SP2 active cette
amélioration par défaut.
Le SP2 améliore les performances lorsque le taux d’accès APIC
Améliorations des
performances dans le cadre de (Advanced Processor lnterrupt Control) est élevé. Windows
Server 2003 fonctionnant comme système d’exploitation
la virtualisation de Windows
multiprocesseur hébergé dans le cadre d’une virtualisation de
Windows.
Stockage par défaut plus vaste
pour la file d’attente des
messages
Pour la file d’attente des messages, la limite de stockage par
défaut est passée à 1 Go. Il est possible de relever cette limite
dans la console MMC, via l’onglet Général des propriétés de la
file d’attente des messages.
Améliorations des tests DNS
DCDIAG
De nouvelles options ont été ajoutées aux tests DNS (Domain
Name Service) Dcdiag.exe. Les nouvelles options sont /x et
/xsl:xslfile.xsl ou /xsl:xsltfile.xslt. Elles
génèrent des balises XML lorsque les tests sont exécutés avec
l’option /test:dns. Ce nouveau mécanisme de sortie permet
d’analyser plus facilement les fichiers journaux verbeux produits
par les tests DNS.
De nouveaux événements pour Un nouvel événement a été créé pour couvrir certaines situations
les comptes du service Cluster dans lesquelles le compte du service Cluster devient trop limité
par la stratégie appliquée au domaine. Ce nouvel événement porte
le numéro 1239. Son texte descriptif inclut des informations de
dépannage.
98
Qu’apporte Windows Server 2003 R2 ?
3.3.
Qu’apporte Windows Server 2003 R2 ?
Windows Server 2003 R2, qui est une version de Windows Server à part entière, basée
sur Windows Server 2003 SP1, apporte de nouvelles fonctionnalités. En voici
quelques-unes, parmi les plus intéressantes…
j
La gestion et le déploiement des serveurs d’agences :
− sauvegarde et administration centralisée des services de partage de fichiers et
d’impression ;
− gestion du hardware à distance.
j
Active Directory Federation Services :
− authentification unique web ;
− interopérabilité avec les offres SSO (Single Sign On) web.
j
3. Windows Server
2003 Service Pack 2 et
R2
− haute disponibilité ;
La gestion du stockage :
− gestion plus simple des SAN ;
− File Server Migration Toolkit ;
− gestion des ressources de stockage.
j
L’intégration de packs de fonctionnalités Windows Server 2003 :
− Windows Share Point Services ;
− Active Directory Aplication Mode (ADAM) ;
− services pour Unix ;
− iSCSI Initiator.
Windows Server 2003 R2 étend les fonctionnalités du système d’exploitation Windows
Server 2003 en proposant un moyen plus efficace de gérer et de contrôler l’accès aux
ressources locales et distantes, tout en s’intégrant facilement dans l’environnement
existant. La version R2 est dotée d’une plateforme hautement sécurisée et capable de
monter en charge, permettant la mise en œuvre de nouveaux scénarios : gestion
simplifiée des serveurs d’agences et de succursales, administration améliorée des
identités et des accès et gestion plus efficace du stockage…
Une gestion simplifiée des serveurs dans les agences et les
succursales
Windows Server 2003 R2 permet de garantir les performances, la disponibilité et
l’efficacité des serveurs de succursales tout en évitant les difficultés généralement
99
Chapitre 3
Windows Server 2003 Service Pack 2 et R2
inhérentes aux solutions serveur pour les agences et les succursales, telles que les
problèmes de connectivité et les coûts de gestion.
Tableau 3.5 : Avantage de la gestion simplifiée des serveurs dans les agences et les
succursales
3. Windows Server
2003 Service Pack 2 et
R2
Avantage
Description
Gestion simplifiée des serveurs Extension de la connectivité et la fiabilité aux agences et aux
succursales tout en contrôlant le coût total de possession des
dans les agences et les
infrastructures informatiques. Administration mieux centralisée.
succursales
Fournit des outils d’administration centralisée pour les fonctions
liées aux fichiers et à l’impression. Réduction de l’administration
à distance. Minimise l’administration locale et la sauvegarde sur
site. Réseau étendu plus efficace. Accélère la réplication des
données sur les réseaux étendus.
La gestion améliorée des identités et des accès
Windows Server 2003 R2 inclut ADFS (Active Directory Federation Services), qui permet
aux administrateurs de faire face aux problèmes posés par la gestion des identités. Les
organisations peuvent en effet partager les informations relatives à l’identité d’un
utilisateur de manière plus sécurisée, et par-delà les limites de sécurité. Windows
Server 2003 R2 fournit en outre une fonction de synchronisation des mots de passe
UNIX. Il est ainsi plus facile d’intégrer les serveurs exécutant Windows et UNIX du fait
de la simplification du processus de gestion des mots de passe sécurisés.
Pour en savoir un peu plus sur ADFS, reportez-vous au chapitre Active Directory
Application Mode et Active Directory Federation Services.
Tableau 3.6 : Avantage de la Gestion améliorée des identités et des accès
Avantage
Description
Gestion améliorée des identités Ajoutez de la valeur aux déploiements Active Directory en vue de
et des accès
faciliter les accès sécurisés au-delà des limites de l’organisation
et des plateformes. Les entreprises sont ainsi en mesure de gérer
une même identité dans des applications partenaires, web et
Unix.
Efficacité accrue pour l’utilisateur. Moins de mots de passe pour
l’accès aux applications internes ou hébergées chez des
partenaires, grâce à l’authentification unique sur extranet et à la
fédération des identités.
100
Qu’apporte Windows Server 2003 R2 ?
Avantage
Description
3. Windows Server
2003 Service Pack 2 et
R2
Plus grande efficacité pour les administrateurs système.
Administration centralisée de l’accès aux applications sur les
extranets, réduction des changements de mots de passe et
délégation possible de la gestion des utilisateurs à des partenaires
de confiance.
Meilleure sécurité. Blocage automatique de l’accès à l’extranet par
le biais de la désactivation du compte Active Directory d’un
utilisateur.
Meilleure mise en conformité. Consignation des accès utilisateurs
aux applications partenaires dans les domaines de sécurité
externes.
Meilleure interopérabilité des systèmes hétérogènes.
Authentification web unique entre les plateformes et fédération
des identités. Les outils et les spécifications de l’interopérabilité
des services web permettent de gérer et de mettre à jour
dynamiquement les comptes et les mots de passe utilisateurs sur
les systèmes Windows et Unix à l’aide du service NIS (Network
Information Service). À cela s’ajoute la synchronisation
automatique des mots de passe entre les systèmes d’exploitation
Windows et Unix.
Les coûts de gestion du stockage réduits
Windows Server 2003 R2 est doté de nouveaux outils qui fournissent une vue centralisée
du stockage. Cette version comprend également des fonctions simplifiées de
planification, de mise en place et de gestion du stockage ainsi que des outils améliorés de
contrôle et de génération de rapports.
Tableau 3.7 : Avantage de la gestion du stockage
Avantage
Description
Coûts de gestion du stockage
réduits
Meilleur contrôle de la configuration du stockage et réduction des
coûts de gestion grâce à des fonctions de gestion avancées.
Meilleure utilisation du stockage. Des rapports détaillés vous
informent sur l’utilisation du stockage.
Meilleure administration des quotas. Contrôle l’utilisation de
l’espace disque à l’aide de quotas sur les répertoires.
Meilleur filtrage des fichiers. Restriction des types de fichiers
autorisés sur les serveurs grâce au filtrage des fichiers.
Configuration SAN simplifiée. Configuration et dimensionnement
aisés de réseaux SAN.
101
Chapitre 3
Windows Server 2003 Service Pack 2 et R2
Une plateforme web enrichie
Windows Server 2003 R2 permet aux entreprises d’étendre leur infrastructure sur le
Web tout en réduisant les coûts de développement et de gestion grâce à Windows
SharePoint Services, .NET Framework 2.0 et Internet Information Services 6.0.
Tableau 3.8 : Avantage de la plateforme web
Description
Plateforme Web riche
Plateforme web plus performante. Les toutes dernières technologies
64 bits et .NET permettent de doubler les performances du Web.
Windows SharePoint Services constitue une solution de collaboration
rentable pouvant être déployée, configurée et gérée très rapidement.
Avec ASP.NET, développez rapidement des services et des
applications web riches à l’aide de .NET Framework.
IIS 6.0 offre un serveur web haute performance plus sécurisé.
La prise en charge de la technologie 64 bits améliore les
performances pour un coût réduit.
3. Windows Server
2003 Service Pack 2 et
R2
Avantage
Une virtualisation de serveur à moindre coût
Windows Server 2003 R2 Enterprise Edition permet d’exécuter jusqu’à quatre instances
virtuelles de Windows Server 2003 R2 sur une même partition matérielle ou un même
serveur physique sous licence, ce qui entraîne une réduction notable du coût de la
virtualisation de serveur.
Tableau 3.9 : Avantage de la virtualisation de serveur
3.4.
Avantage
Description
Virtualisation de serveur à
moindre coût
Virtualisation à valeur ajoutée. Windows Server 2003 R2 Enterprise
Edition ajoute de la valeur à la virtualisation de serveur. La nouvelle
stratégie de licence permet désormais aux utilisateurs d’exécuter
jusqu’à quatre instances virtuelles de Windows Server 2003 R2
Enterprise Edition sur une seule partition matérielle ou un seul serveur
physique sous licence.
Un nouveau cycle de produits Windows Server
Microsoft essaie maintenant de définir un cycle d’évolution des prochaines versions de
Windows Server de telle sorte que les clients puissent planifier et budgétiser ces
évolutions. La règle est de fournir une version majeure de Windows Server tous les 4 ans
environ, puis une mise à niveau tous les 2 ans après chaque version majeure.
102
En résumé
La version majeure
Les versions majeures de Windows Server incluent un nouveau noyau et sont ainsi
capables de prendre en charge de nouveaux matériels, de nouveaux modèles de
programmation et des évolutions fondamentales dans les domaines de la sécurité et de
la stabilité. Ces changements majeurs peuvent bien entendu générer des
incompatibilités entre le nouveau système et les matériels et logiciels existants.
La version mise à jour
3. Windows Server
2003 Service Pack 2 et
R2
Les versions mises à jour incluent la précédente version majeure ainsi que le dernier
Service Pack, certains Feature Packs, et de nouvelles fonctionnalités additionnelles.
Comme une version mise à jour est basée sur la précédente version majeure, les clients
peuvent l’incorporer dans leur environnement de production sans tests supplémentaires
autres que ceux qu’un simple Service Pack pourrait nécessiter. Toutes les
fonctionnalités additionnelles fournies par une mise à jour sont optionnelles et, de fait,
elles n’affectent pas la compatibilité des applications existantes. Par conséquent, les
clients n’ont pas à certifier ou à tester de nouveau leurs applications.
Les Service Packs
Les Service Packs incorporent toutes corrections de type critique et non critique ainsi
que les dernières demandes de corrections qui les concernent, émises par les clients. Les
Service Packs sont testés de manière intensive par Microsoft et par les clients et
partenaires participant à un programme de bêta test. Ils peuvent ainsi inclure des
améliorations importantes de la sécurité, comme le Security Configuration Wizard,
inclus dans le Service Pack 1 de Windows Server 2003. Il sera parfois nécessaire de
modifier certains programmes pour prendre en charge les nouveaux standards de
l’industrie ou des fonctionnalités demandées par les clients. Ces changements sont
soigneusement évalués et testés avant d’être finalement inclus dans un Service Pack.
Afin de permettre les extensions et évolutions d’architecture, Microsoft maintient un
niveau de compatibilité entre les Service Packs en réalisant des tests intensifs sur les
applications et ces différents Service Packs. En règle générale, les problèmes de
compatibilité concernent les applications qui utilisent de manière inappropriée des
appels système, des interfaces internes ou des fonctions spécifiques.
3.5.
En résumé
Ce chapitre vous a présenté la fiche signalétique de Windows Server 2003 Service Pack 1
et 2, et de Windows Server 2003 R2. Maintenant que vous avez déchiré l’emballage et
sorti le CD-Rom du boîtier, il est temps de passer à l’installation du produit, dans le
cadre d’une entreprise, en l’occurrence de Puzzmania.
103
Chapitre 4
L’installation et le
déploiement de
Windows Server 2003
4.1
4.2
4.3
4.4
Considérations sur l’installation . . . .
Installer Windows Server 2003 . . . .
Résoudre les problèmes d’installation
En résumé . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 107
. 111
. 133
. 134
Considérations sur l’installation
C
e chapitre décrit les méthodes d’installation de Windows Server 2003 appliquées à
l’entreprise, qui simplifient la tâche d’installation du système d’exploitation et font
gagner du temps. Ce sera ensuite à vous de trouver laquelle est la plus pertinente dans
votre contexte de travail.
De tous les systèmes d’exploitation de Microsoft, Windows Server 2003 a la procédure
d’installation la plus simple et la plus intuitive. C’est à vous qu’il revient de veiller que
l’installation réponde à vos exigences d’entreprise et à vos contraintes d’environnement.
4.1.
Considérations sur l’installation
Avant de réaliser l’installation proprement dite, vérifiez que vous disposez de la
configuration minimale et découvrez les caractéristiques et les contraintes qu’il vous
faut connaître.
Les prérequis
Windows Server 2003 arrive évidemment avec une liste de préconisations, de
caractéristiques à respecter afin de faire tourner le système d’exploitation dans les
meilleures conditions, notamment en ce qui concerne la puissance de processeur, la
puissance de la mémoire vive (RAM) et l’espace disque minimal.
4. L’installation et le
déploiement de
Windows Server 2003
La qualité et la stabilité du système d’exploitation installé sur votre équipement matériel
serveur en dépendent.
Le tableau suivant reprend les paramètres minimaux et recommandés en fonction des
différentes versions de Windows Server 2003 :
Tableau 4.1 : Configuration nécessaire au fonctionnement de Windows Server 2003
Configuration requise
Windows Server 2003
Web Edition
Windows Server 2003
Standard Edition
Windows Server 2003
Enterprise Edition
Vitesse minimale du
processeur
133 MHz
133 MHz
133 MHz pour les
serveurs x86
733 MHz pour les
serveurs Itanium
Vitesse recommandée du
processeur
550 MHz
550 MHz
733 MHz
Quantité minimale de
RAM
128 Mo
128 Mo
128 Mo
Quantité minimale de
RAM recommandée
256 Mo
256 Mo
256 Mo
107
4. L’installation et le
déploiement de
Windows Server 2003
Chapitre 4
L’installation et le déploiement de Windows Server 2003
Configuration requise
Windows Server 2003
Web Edition
Windows Server 2003
Standard Edition
Windows Server 2003
Enterprise Edition
Quantité maximale de
RAM prise en charge
2 Go
4 Go
32 Go pour les
serveurs x86
64 Go pour les serveurs
Itanium
Prise en charge des
systèmes
multiprocesseurs
Jusqu’à 2 processeurs
Jusqu’à 4 processeurs
Jusqu’à 8 processeurs
Espace disque pour
l’installation
1,5 Go
1,5 Go
1,5 Go pour les
serveurs x86
2 Go pour les serveurs
Itanium
Vérifier la compatibilité du système
L’une des considérations majeure à prendre en compte avant l’installation est de bien
vérifier la compatibilité de tous les composants matériels avec le système d’exploitation.
Microsoft tient à jour une liste des composants matériels qui sont certifiés compatibles
avec les différentes versions de Windows (que ce soit pour les versions clientes ou
serveurs). Il est très important de s’assurer que le serveur sur lequel vous allez installer
Windows Server 2003 ne contient que des composants matériels compatibles.
Malheureusement, on a souvent tendance, surtout dans les petites et moyennes
entreprises, à négliger cet aspect. Pourquoi ? Tout simplement parce que la recherche
de réduction du coût total de possession passe aussi par la recherche d’un fournisseur de
matériel compétitif et bon marché. Cependant, dans certains cas, cette réduction de
coût se fait au détriment de la stabilité du système d’exploitation, et le matériel est peu
fiable. Faites attention que votre fournisseur de matériel affiche clairement la
compatibilité du matériel avec le système d’exploitation (souvent par un logo). En outre,
depuis l’apparition de la fonctionnalité Plug and Play, tout le monde a pris la mauvaise
habitude de ne plus se soucier de ces préoccupations bassement matérielles.
Les problèmes que vous rencontrerez si vous installez le système d’exploitation sur un
équipement non compatible sont souvent aléatoires : par exemple, le système
d’exploitation se fige ou des erreurs de type écran bleu apparaissent. L’origine de ces
événements n’est pas évidente à identifier du premier coup et cette expérience risque de
mettre vos nerfs à rude épreuve. Dans certains cas, l’équipe de support de Microsoft
risque de refuser de vous aider si elle s’aperçoit que le système d’exploitation est installé
sur du matériel non compatible.
Pour toutes ces raisons, même si cela paraît une évidence, ne faites pas l’impasse sur la
vérification de la compatibilité de votre équipement avec le système d’exploitation.
108
Considérations sur l’installation
Windows Hardware Compatibility List
Vous trouverez la liste des composants matériels certifiés compatibles à l’adresse
www.microsoft.com/whdc/hcl/default.mspx.
Nouvelle installation ou mise à niveau ?
Comme à l’accoutumée, il est possible de procéder soit à une nouvelle installation, soit
à une mise à niveau du système d’exploitation existant.
Une nouvelle installation
4. L’installation et le
déploiement de
Windows Server 2003
Dans ce cas, vous démarrez l’installation de votre serveur sur une base saine, un disque
dur formaté et propre sur lequel vous pouvez tailler et sélectionner la partition sur
laquelle vous voulez installer le système d’exploitation. Vous évitez d’importer
d’éventuels problèmes, de mauvais paramètres de configuration ou d’application, dus à
une instance de système d’exploitation existante et que l’on migre. Au contraire, vous
serez obligé, une fois le serveur installé, de procéder à l’installation et à la configuration
complète de la ou les applications associées. C’est la méthode la plus recommandée
pour les serveurs, notamment les serveurs d’infrastructure. Lorsque vous achetez un
nouveau serveur chez votre fournisseur, il est souvent livré sans système d’exploitation
installé, et vous devez passer par une nouvelle installation de Windows Server 2003. Le
service informatique de Puzzmania n’utilise que cette méthode afin d’éliminer le doute
en cas de problèmes durant cette phase.
Cette méthode est détaillée dans la section Installer Windows Server 2003 de ce
chapitre.
La mise à niveau
Dans ce cas, vous utilisez un serveur déjà en production, donc configuré, sur lequel
tourne une version antérieure à Windows Server 2003. Il s’agit de la faire migrer vers le
nouveau système d’exploitation lors d’une opération de maintenance au cours de
laquelle le service sera indisponible.
En utilisant cette méthode, vous n’avez pas à réinstaller les applications de production.
Vous gagnez donc du temps. Par contre, vous devez impérativement vous assurer que les
applications sont compatibles avec le nouveau système d’exploitation avant de
commencer la mise à niveau.
Toutes les versions antérieures de Windows ne sont pas forcément compatibles pour
être mises à niveau vers Windows Server 2003. Le tableau suivant vous en présente un
récapitulatif :
109
Chapitre 4
L’installation et le déploiement de Windows Server 2003
4. L’installation et le
déploiement de
Windows Server 2003
Tableau 4.2 : Mise à niveau vers Windows Server 2003
Système d’exploitation existant
Mise à niveau possible
Windows NT 3.51
Non, il faut au préalable mettre à niveau vers Windows NT 4.0 Server SP5
au minimum, mais gageons que vous n’en avez pas dans votre
entreprise !
Windows NT 4.0 Server
Oui, avec SP5 au minimum
Windows 2000 Server
Oui
Windows 2000 Advanced Server
Oui
Windows 2000 Professionnel
Non, il faut un système d’exploitation de la gamme serveur
Windows XP Professionnel
Non, il faut un système d’exploitation de la gamme serveur
Test de compatibilité logicielle et matérielle
Vous pouvez tester la compatibilité du serveur à mettre à niveau en insérant le
CD-Rom de Windows Server 2003 et en exécutant la commande R:\i386\winnt32
/checkupgradeonly, où R est la lettre utilisée pour désigner le CD-Rom.
Il est fortement conseillé, en entreprise, de n’utiliser la mise à niveau que lorsque vous
connaissez parfaitement les impacts de l’application de production et que celle-ci n’a pas
un rôle essentiel dans l’infrastructure ou dans la gestion des données vitales. Vous
courez le risque, en cas de problèmes survenant après la mise à niveau, de ne pas pouvoir
déterminer si la source des ennuis vient de la mise à niveau elle-même ou d’ailleurs, et
donc de perdre le temps que vous auriez pu gagner en choisissant d’effectuer cette mise
à niveau.
Évidemment, pour ce type d’intervention, veillez à réaliser une sauvegarde complète
avant la mise à niveau et assurez-vous du bon fonctionnement de la restauration.
Le double amorçage
Le double amorçage (également appelé multiboot ou dualboot) est la fonctionnalité qui
permet d’installer, sur un même ordinateur, plusieurs instances (deux dans ce cas-là) de
système d’exploitation (indépendamment des versions) et de choisir de démarrer sur
l’un ou l’autre des systèmes d’exploitation disponibles.
Lorsque vous installez Windows Server 2003 sur un serveur à des fins de production,
pour fournir un service (contrôle du domaine, impression…), votre vœu est évidemment
que ce service soit fourni au mieux et sans temps d’arrêt. Vous n’allez certainement pas
installer un double amorçage Linux ou une version antérieure de Windows.
Par contre, il peut être judicieux de penser au double amorçage à des fins de dépannage,
voire de restauration de fichiers. En effet, en installant deux instances de Windows
110
Installer Windows Server 2003
Server 2003 sur le même serveur, il peut être intéressant d’utiliser une instance pour la
production et une autre en cas de problèmes. Cette dernière permettra d’accéder aux
fichiers si l’instance de production est complètement inutilisable et qu’aucun autre outil
de récupération ne donne de résultats. On peut alors très vite faire basculer les données
sur un autre serveur ou bien installer l’application nécessaire, et recommencer à
travailler au plus vite. La seconde instance peut aussi être très utile s’il faut restaurer des
données en cas de corruption de l’instance de production. En effet, certains logiciels de
sauvegarde et de restauration demandent à ce qu’une autre instance de système
d’exploitation soit installée pour pouvoir restaurer correctement. De plus, des
problèmes référencés par Microsoft dans la base de connaissances ne trouvent de
solution que par l’installation en parallèle d’une autre instance de Windows.
Nous supposons donc que vous allez installer deux instances de Windows Server 2003
sur le même serveur. Vous avez le choix entre deux méthodes d’installation.
Installation sur la même partition : une fois que la première instance de Windows
Server 2003 est installée (par défaut dans le répertoire C:\Windows), le programme
détecte la seconde instance et vous propose de l’installer dans un répertoire portant
un nom distinct. Il est fortement conseillé de lui donner un nom approprié, par
exemple C:\Winbackup.
j
Installation sur une partition différente : une fois que la première instance de
Windows Server 2003 est installée (par défaut dans le répertoire C:\Windows), le
programme détecte la seconde instance et vous propose de l’installer dans un
répertoire portant un nom distinct. Sélectionnez une autre partition (ou créez-la) et
donnez un nom approprié au répertoire d’installation, par exemple D:\Winbackup.
4. L’installation et le
déploiement de
Windows Server 2003
j
Bien que ce double amorçage avec deux instances de Windows Server 2003 ne soit pas
une nécessité, vous pouvez toujours réfléchir à la possibilité de l’implémenter selon le
niveau critique de l’application et l’espace disque dont vous disposez.
4.2.
Installer Windows Server 2003
Nous allons tout d’abord décrire une installation de Windows Server 2003 dite classique,
en d’autres termes manuelle ou assistée. Ensuite, nous étudierons une installation dite
automatique, en d’autres termes sans assistance.
L’installation manuelle
C’est la méthode d’installation la plus courante. Elle démarre lors du boot sur le
CD-Rom d’origine. Si vous avez déjà installé des versions antérieures de Windows, vous
ne serez pas surpris.
Cette méthode est divisée en trois phases :
j
la préinstallation ;
111
Chapitre 4
L’installation et le déploiement de Windows Server 2003
j
l’installation en mode texte ;
j
l’installation en mode graphique.
L’installation du serveur SNCECPDC01, localisé à Nice, sera prise comme exemple. Il
aura le rôle de contrôleur de domaine pour corp.puzzmania.com.
Phase 1 : la préinstallation
Cette phase consiste en fait à collecter les renseignements suivants afin de simplifier et
d’accélérer l’installation du serveur…
4. L’installation et le
déploiement de
Windows Server 2003
j
Le nom de l’ordinateur : notez le nom de l’ordinateur, respectez la convention de
nommage appliquée dans votre entreprise. Chaque nom doit être unique sur le
réseau.
Attribution d’un nom d’ordinateur
Vous pouvez bien sûr attribuer un nom pouvant aller jusqu’à 63 caractères, mais
pensez que les versions antérieures à Windows 2000 ne reconnaissent que les
15 premiers caractères. Bien que l’implémentation du service DNS de Microsoft
permette d’employer certains caractères non standards sur Internet (tel le tiret de
soulignement ou underscore), cela pourrait générer des problèmes si des serveurs
DNS non Microsoft sont présents sur votre réseau. C’est pourquoi les
recommandations sont d’utiliser les lettres minuscules (de a à z) et majuscules (de A
à Z), les chiffres de 0 à 9 et le trait d’union.
j
Le nom du groupe de travail ou du domaine : notez dans quel domaine vous voulez
installer votre ordinateur ou, si vous êtes en train de bâtir votre nouvelle
infrastructure, vous pouvez l’installer dans un groupe de travail et, une fois
l’installation terminée, lancer la procédure de création de domaine. Dans tous les
cas, vous pouvez installer l’ordinateur dans un groupe de travail et rejoindre le
domaine une fois l’installation terminée.
Pour plus d’informations sur la procédure de création de domaine, consultez le
chapitre L’implémentation des serveurs d’infrastructure Active Directory.
Différence entre domaine et groupe de travail
Un domaine est un ensemble d’ordinateurs partageant la même base de données de
sécurité afin de centraliser la sécurité et l’administration.
Un groupe de travail est un ensemble d’ordinateurs dont les paramètres liés à la
sécurité et à l’administration sont configurés indépendamment et localement.
112
Installer Windows Server 2003
j
L’adresse IP de l’ordinateur : notez l’adresse IP que vous attribuerez au serveur
(elle sera déduite de la méthode et du plan d’adressage IP). Notez également le
masque de sous-réseau. Vous remarquerez que le choix du protocole réseau n’est
pas pris en compte bien qu’il soit possible de l’indiquer lors de l’installation. De nos
jours, à l’évidence, TCP/IP est le protocole le plus utilisé.
Les trois méthodes d’adressage IP durant l’installation
Trois méthodes d’adressage IP sont disponibles durant l’installation.
L’adressage APIPA (Automatic Private IP Addressing) : choisissez cette
méthode si votre réseau est de petite taille et si vous n’avez pas de serveur DHCP.
Une adresse IP provenant de l’espace d’adressage IP LINKLOCAL est
automatiquement affectée au serveur. Cette adresse est toujours de la forme
169.254.xxx.xxx. Si le serveur détecte un serveur DHCP nouvellement installé sur
le réseau, il fera automatiquement une demande d’attribution d’adresse.
j Adressage IP dynamique : choisissez cette méthode si un ou plusieurs serveurs
DHCP sont présents sur le réseau et que vous souhaitiez qu’ils distribuent des
adresses IP aux serveurs. Selon votre besoin, déterminez que le service fourni par
le serveur ne sera pas touché par le renouvellement d’adresse.
j Adressage IP statique : c’est la méthode la plus utilisée sur des serveurs, souvent
à cause de compatibilités applicatives et surtout pour ne pas que l’adresse IP
puisse expirer et changer. Cela consiste à configurer manuellement les
paramètres IP.
j
4. L’installation et le
déploiement de
Windows Server 2003
La phase de préinstallation de SNCECPDC01 se résume donc à ceci :
Tableau 4.3 : La phase de préinstallation de SNCECPDC01
Nom d’ordinateur
Groupe de travail ou domaine
Méthode
d’adressage IP
Adresse IP
SNCECPDC01
WORKGROUP (ce serveur est installé
dans un groupe de travail afin de le
convertir en contrôleur de domaine par la
suite)
Adresse IP statique
172.100.11.1
Phase 2 : l’installation en mode texte
L’installation commence par une partie dite installation en mode texte, lorsque vous
bootez sur le CD-Rom de Windows Server 2003 (cela sous-entend que votre serveur est
bien configuré pour accepter le boot sur CD-Rom au démarrage).
113
Chapitre 4
L’installation et le déploiement de Windows Server 2003
Lors du démarrage de la séquence d’installation, vous avez tout de suite la possibilité
d’appuyer sur la touche [F6] afin d’insérer le pilote du contrôleur de disque dur si celui-ci
est particulier (du style contrôleur SCSI récent, contrôleur Fibre Channel, contrôleur
RAID SATA…). La plupart des nouveaux serveurs requièrent cette manipulation.
Interrogez votre fournisseur de matériels afin d’obtenir la bonne version de pilote.
4. L’installation et le
déploiement de
Windows Server 2003
L’étape suivante consiste à sélectionner le disque dur sur lequel vous souhaitez installer
Windows Server 2003 et à créer la partition adéquate, puis à la formater.
Figure 4.1 : Formatage de la partition d’installation
L’option de formatage rapide
L’option de formatage rapide peut vous faire gagner du temps. Elle ne fait qu’écrire la
table des entrées de fichier. Ne l’utilisez que sur des disques durs neufs ou contenant
des données non confidentielles.
Les différences entre FAT et NTFS ne seront pas exposées ici. De nos jours, en
entreprise, seul le système de fichiers NTFS (New Technology File System) est un choix
viable si vous voulez mettre en place un plan de sécurité pour votre infrastructure. Voici
quelques fonctionnalités de NTFS qui le rendent indispensable :
114
j
gestion de la sécurité locale ;
j
gestion des volumes de grande taille (jusqu’à 16 To) ;
j
prise en charge des technologies de tolérance de pannes (niveaux de RAID) ;
j
prise en charge de l’audit du système de fichiers ;
j
prise en charge de la compression des fichiers ;
j
prise en charge des quotas disque ;
Installer Windows Server 2003
j
prise en charge du cryptage des fichiers (EFS) ;
j
prise en charge du montage de volumes dans des répertoires ;
j
prise en charge du stockage à distance ;
j
prise en charge d’Active Directory.
Pour le serveur SNCECPDC01, le choix sera donc NTFS. Une fois le choix effectué, la
procédure d’installation se poursuit, formate la partition système, copie les fichiers
nécessaires, puis redémarre le serveur. Débute alors la phase 3 : l’installation en mode
graphique.
Phase 3 : l’installation en mode graphique
j
Options régionales et linguistiques : ces options vous permettent de modifier
l’affichage des nombres, des dates, des monnaies, des heures, et de configurer votre
langue d’entrée et votre méthode de saisie de texte.
j
Clé du produit : entrez la clé qui vous a été livrée avec le CD-Rom de Windows
Server 2003.
4. L’installation et le
déploiement de
Windows Server 2003
Dernière phase : vous devez fournir quelques informations afin que l’installation se
termine.
Programme de licence
Si vous avez acheté le CD-Rom de Windows Server 2003 chez un détaillant ou dans
un magasin spécialisé, vous serez obligé d’activer le produit soit par téléphone, soit
par Internet une fois l’installation terminée. Si vous avez acheté le produit par
l’intermédiaire du programme de licence en volume Open ou Select, aucune
activation ne sera nécessaire. De plus, une même clé pourra servir à toutes les
installations de l’entreprise, ce qui présente un intérêt certain dans le cas d’une
installation automatisée par script.
j
Modes de licence : vous avez le choix entre deux modes, à savoir par serveur ou par
périphérique (voir fig. 4.2).
− Le mode de licence par serveur : dans ce mode, chaque serveur accepte un
nombre défini de clients autorisés à se connecter simultanément en fonction du
nombre de licences d’accès client (CAL) configuré. Si le nombre de clients
tentant de se connecter au serveur dépasse le nombre de licences, la connexion
est refusée. Il est possible de faire évoluer le nombre de licences une fois
l’installation terminée, sélectionnez dans le Panneau de configuration le lien
Licences. Ce mode de licence par serveur est conseillé dans les très petites
entreprises maîtrisant leur nombre de connexions simultanées et ayant très peu
de serveurs (un ou deux). C’est également le mode de licence le moins onéreux.
115
4. L’installation et le
déploiement de
Windows Server 2003
Chapitre 4
L’installation et le déploiement de Windows Server 2003
Figure 4.2 : Les modes de licence
− Le mode de licence par périphérique (ou siège) : dans ce mode, chaque utilisateur
spécifique de l’entreprise est sujet à licence. Les serveurs ne disposent d’aucune
restriction quant au nombre maximal de connexions simultanées. C’est le mode
de licence le plus utilisé car, une fois que vous avez payé pour l’utilisateur, il peut
se connecter à un nombre illimité de serveurs Windows. Notre société
Puzzmania n’utilisera que ce mode pour tout son parc, et c’est donc le mode qui
est choisi lors de l’installation de SNCECPDC01.
Choix du mode de licence
Si vous avez un doute dans le choix du mode de licence, sélectionnez le mode de
licence par serveur. Vous pourrez passer en mode de licence par périphérique en
choisissant dans le Panneau de configuration l’option Licences. Attention, cette
opération est irréversible, et il n’est pas possible de passer du mode de licence par
périphérique au mode de licence par serveur.
j
116
Nom d’ordinateur et mot de passe du compte local Administrateur : conformez-vous
à votre plan de nommage et à la phase de préinstallation pour déduire le nom du
serveur. Dans notre exemple, c’est SNCECPDC01. Entrez ensuite le mot de passe qui
correspondra au compte local Administrateur. Pour des raisons de sécurité
évidentes, surtout sur un serveur, choisissez-le le plus complexe possible. D’ailleurs,
s’il n’est pas assez complexe, vous verrez apparaître la fenêtre suivante :
Installer Windows Server 2003
Figure 4.3 :
Avertissement sur la
faiblesse du mot de passe
du compte local
Administrateur
Lisez bien les recommandations de cette fenêtre et appliquez-les. Il est possible de
continuer avec le mot de passe faible que vous avez saisi, mais c’est vivement
déconseillé.
Paramètres de gestion du réseau : entrez les paramètres réseau que vous avez
relevés dans la phase de préinstallation (méthode d’adressage IP et incorporation
ou non à un domaine). Dans le cadre de l’installation de SNCECDPDC01, les
renseignements indiqués dans le tableau de la phase de préinstallation seront
utilisés.
Une fois toutes les informations du mode graphique de l’installation correctement
indiquées, les fichiers nécessaires sont copiés sur le disque dur, l’installation est
finalisée, les fichiers temporaires sont détruits, le serveur redémarre. Votre serveur est
installé et prêt pour la suite : installation du SP1 (à moins que le CD-Rom en votre
possession soit celui qui contient Windows Server 2003 et SP1), des derniers correctifs
de sécurité, de l’antivirus, etc.
4. L’installation et le
déploiement de
Windows Server 2003
j
L’installation automatique
L’installation manuelle de Windows Server 2003 n’est pas compliquée. Quelques
interactions avec le processus sont nécessaires durant les phases en mode texte et en
mode graphique. Ce n’est pas des plus compliqué, certes, mais le processus est long et,
en raison de ces interactions, monopolise l’attention d’un administrateur.
En automatisant tout ou partie de cette installation, vous gagnez du temps et vous
libérez un administrateur pour une autre tâche. Dans une petite entreprise, qui dit
"gagner du temps", dit… Vous aurez deviné la suite.
Trois méthodes d’automatisation sont disponibles sous Windows Server 2003 :
j
l’installation par script (ou fichier de réponses) ;
j
le déploiement à l’aide de RIS (Remote Installation Service) ;
j
l’utilisation d’un gestionnaire d’images et de l’utilitaire Sysprep.exe (System
Preparation).
117
Chapitre 4
L’installation et le déploiement de Windows Server 2003
Chaque méthode possède son propre champ d’application.
Tableau 4.4 : Champ d’application des méthodes d’automatisation de l’installation de
4. L’installation et le
déploiement de
Windows Server 2003
Windows Server 2003
Champ d’application
Installation par script
(fichier de réponses)
RIS
Sysprep
Nouvelle installation
×
×
×
Mise à niveau
×
Équipements physiques
différents
×
×
Installation par image
×
×
Système d’exploitation et
applications installés en même
temps
×
×
Active Directory requis
×
L’installation par script (fichier de réponses)
Vous pouvez éliminer les interactions nécessaires lors des phases d’installation en mode
texte et en mode graphique en saisissant les différents paramètres (nom d’ordinateur,
adresse IP…) dans un fichier de réponses (appelé unattend.txt).
Cette méthode peut s’appliquer aussi bien à une nouvelle installation qu’à une mise à
niveau, sur des serveurs ou des stations de travail, équipés de matériels physiques
différents.
Pour créer le fichier unattend.txt, vous devez utiliser l’Assistant Gestion d’installation qui
se trouve sur le CD-Rom du SP1 de Windows Server 2003.
1. Insérez le CD-Rom du SP1 de Windows Server 2003 et explorez les fichiers.
2. Ouvrez le répertoire support\tools et le fichier deploy.cab.
Assistant Gestion d’installation et CD-Rom du SP1 de Windows Server 2003
Si vous ne possédez pas le CD-Rom du SP1 de Windows Server 2003 et que vous ayez
récupéré l’exécutable du SP1 sur le site web de Microsoft, vous constaterez qu’en
décompressant les fichiers, vous ne trouverez pas le répertoire support\tools. Vous
devrez alors télécharger le package correspondant au fichier deploy.cab à l’adresse :
www.microsoft.com/downloads/details.aspx?FamilyID=a34edcf2-ebfd-4f99-bbc4
-e93154c332d6&DisplayLang=en.
118
Installer Windows Server 2003
3. Sélectionnez tous les fichiers qu’il contient, cliquez du bouton droit de la souris et
choisissez Extraire.
4. Sélectionnez ou créez un répertoire de destination et cliquez sur Extraire.
5. Ouvrez le répertoire de destination et exécutez setupmgr.exe.
Figure 4.4 :
Choix du type
d’installation dans
l’Assistant Gestion
d’installation
4. L’installation et le
déploiement de
Windows Server 2003
6. Sélectionnez le type Installation sans assistance. Vous pouvez également créer un
fichier de réponses pour les installations de type RIS et Sysprep qui seront détaillées
ultérieurement.
7. Sélectionnez la version du système d’exploitation Windows qui sera installée à l’aide
de ce fichier de réponses, puis le type d’interaction que vous souhaitez, ou plutôt le
niveau d’automatisation du fichier de réponses, parmi les différentes propositions
décrites dans la fenêtre suivante :
Figure 4.5 :
Choix du type
d’interaction dans
l’Assistant Gestion
d’installation
119
Chapitre 4
L’installation et le déploiement de Windows Server 2003
8. Sélectionnez ensuite l’emplacement des fichiers sources de Windows Server 2003 et
validez le contrat de licence.
4. L’installation et le
déploiement de
Windows Server 2003
S’ouvre alors une interface vous permettant de remplir les différents champs qui
répondent aux interactions de l’installation et personnalisent la vôtre. En voici un
exemple :
Figure 4.6 : Définition des paramètres d’interaction dans l’Assistant Gestion d’installation
Crypter le mot de passe du compte local Administrateur dans le fichier de réponses
Avec Windows Server 2003, il est désormais possible de crypter le mot de passe du
compte local Administrateur à l’intérieur du fichier de réponses grâce à une simple
option à cocher. N’oubliez pas de le faire.
Une fois que tous les champs sont remplis, votre fichier unattend.txt est généré dans le
dossier partagé de distribution. Voici ce que nous obtenons pour le serveur
SNCECPDC01 :
;SetupMgrTag
[Data]
AutoPartition=1
MsDosInitiated="0"
UnattendedInstall="Yes"
[Unattended]
UnattendMode=FullUnattended
OemSkipEula=Yes
OemPreinstall=Yes
TargetPath=\WINDOWS
120
Installer Windows Server 2003
[GuiUnattended]
AdminPassword=464993d6cb5eb807f0d412bd764ffe8173ecbccd10d1011b5b10daf955db377d
EncryptedAdminPassword=Yes
OEMSkipRegional=1
TimeZone=105
OemSkipWelcome=1
[UserData]
ProductKey=XXXXX-XXXXX-XXXXX-XXXXX-XXXXX
FullName="PUZZMANIA Service Informatique"
OrgName="PUZZMANIA"
ComputerName=SNCECPDC01
[LicenseFilePrintData]
AutoMode=PerSeat
[SetupMgr]
DistFolder=C:\windist
DistShare=windist
4. L’installation et le
déploiement de
Windows Server 2003
[Display]
BitsPerPel=32
Xresolution=1024
YResolution=768
[Identification]
JoinDomain=PUZZMANIA
DomainAdmin=Administrateur
[Networking]
InstallDefaultComponents=No
[NetAdapters]
Adapter1=params.Adapter1
[params.Adapter1]
INFID=*
[NetClients]
MS_MSClient=params.MS_MSClient
[NetServices]
MS_SERVER=params.MS_SERVER
[NetProtocols]
MS_TCPIP=params.MS_TCPIP
[params.MS_TCPIP]
DNS=Yes
UseDomainNameDevolution=No
EnableLMHosts=Yes
121
Chapitre 4
L’installation et le déploiement de Windows Server 2003
AdapterSections=params.MS_TCPIP.Adapter1
[params.MS_TCPIP.Adapter1]
SpecificTo=Adapter1
DHCP=No
IPAddress=172.100.112.1
SubnetMask=255.255.240.0
DefaultGateway=172.100.111.1
DNSServerSearchOrder=172.100.111.1,172.100.111.2
WINS=Yes
WinsServerList=172.100.111.1,172.100.111.2
NetBIOSOptions=0
4. L’installation et le
déploiement de
Windows Server 2003
Vous pouvez également pousser l’automatisation encore plus loin en créant un fichier
de réponses afin d’automatiser le processus de création de contrôleur de domaine.
9. Créez un fichier de réponses que vous appellerez unattenddcpromo.txt par exemple.
Pour Puzzmania, et plus particulièrement pour le domaine corp.puzzmania.com,
le contenu de ce fichier est le suivant :
[DCInstall]
AllowAnonymousAccess = No
AutoConfigDNS = Yes
ChildName = corp.puzzmania.com
ConfirmGc = Yes
CreateOrJoin = Join
CriticalReplicationOnly = Yes
DatabasePath = D:\Data
DisableCancelForDnsInstall = Yes
DNSOnNetwork = Yes
DomainNetBiosName = CORP
IsLastDCInDomain = No
LogPath = D:\Logs
NewDomain = Child
NewDomainDNSName = corp.puzzmania.com
ParentDomainDNSName = puzzmania.com
Password = XXXXXXXX
RebootOnSuccess = NoAndNoPromptEither
ReplicaDomainDNSName = puzzmania.com
ReplicaOrNewDomain = Domain
ReplicationSourcePath = %SYSTEMDRIVE%\Source
SafeModeAdminPassword = XXXXXXXX
SiteName = Nice
Syskey = 12345
SysVolPath = %SYSTEMDRIVE%\Sysvol
TreeOrChild = Child
UserDomain = puzzmania.com
UserName = Administrateur
10. Ensuite, exécutez la commande dcpromo /answer:unattenddcpromo.txt une
fois que votre serveur est installé en tant que serveur autonome ou serveur membre.
122
Installer Windows Server 2003
Comme vous le savez, certains paramètres sont uniques sur le réseau comme le nom
d’ordinateur. Cela veut dire que le fichier unattend.txt n’est pas réutilisable tel quel sur
tous vos ordinateurs. Vous devez donc créer un fichier .udf en complément du fichier
unattend.txt afin de lister toutes les différences apparaissant d’une installation à l’autre.
Le fichier d’aide deploy.chm inclus dans deploy.cab vous sera précieux quant à la syntaxe
à respecter.
Enfin, pour l’exécution de votre installation automatisée, un fichier unattend.bat est
généré en même temps que le fichier unattend.txt. À partir du serveur que vous voulez
installer, vous devez atteindre le dossier de partage sur lequel se situe le fichier unattend
.bat et exécuter ce dernier. La plupart des serveurs que vous installerez seront souvent
sans système d’exploitation lorsque vous les démarrerez la première fois. Il vous faudra
donc booter sur une disquette contenant un client réseau DOS afin de charger une
gestion minimale de réseau, atteindre le fichier et le lancer. Voici un exemple où
SNCECPFS01, un serveur de fichiers, distribue les fichiers sources pour l’installation :
rem
rem
rem
rem
rem
rem
Ceci est un EXEMPLE de script de commandes généré par
l’Assistant Gestion d’installation.
Si ce script est déplacé de l’emplacement dans lequel il
a été créé, il peut être nécessaire de le modifier.
4. L’installation et le
déploiement de
Windows Server 2003
@rem SetupMgrTag
@echo off
set AnswerFile=.\unattend.txt
set SetupFiles=\\SNCECPFS01\windist\I386
\\SNCECPFS01\windist\I386\winnt32 /s:%SetupFiles% /unattend:%AnswerFile%
Cette méthode d’installation automatisée peut aussi bien déployer Windows
Server 2003 sur les serveurs que Windows XP Professionnel sur les stations de travail.
Or, comme elle ne sait pas installer les applications en même temps que le système
d’exploitation, il est d’usage de ne l’utiliser que pour l’installation des serveurs.
Le déploiement à l’aide de RIS
Le service d’installation à distance RIS (Remote Installation Service) permet de déployer
le système d’exploitation (client ou serveur) sur les ordinateurs de l’entreprise sans
intervention de la part de l’administrateur.
Cette méthode ne s’applique que dans le cadre d’une nouvelle installation et se fonde
sur la technologie des images disques et/ou celle des fichiers de réponses. Une image
d’un ordinateur de référence (cette image pouvant également contenir des applications)
et/ou une image du CD-Rom de Windows sont prises, puis stockées sur le serveur RIS
qui distribuera l’installation aux clients autorisés. Le processus sera détaillé par la suite.
Cette méthode d’installation peut s’appliquer sur des serveurs ou des stations de travail
123
Chapitre 4
L’installation et le déploiement de Windows Server 2003
équipés de matériels physiques différents, à condition que vous utilisiez
convenablement l’image disque et/ou les fichiers de réponses.
Des vérifications préalables
4. L’installation et le
déploiement de
Windows Server 2003
Vous devez faire un certain nombre de vérifications avant d’installer le serveur RIS et de
bénéficier du déploiement automatisé des images :
j
Le futur serveur RIS doit être membre du domaine (ou contrôleur de domaine).
Cela sous-entend que votre domaine et, donc, Active Directory et DNS doivent être
présents sur le réseau.
j
Un serveur DHCP doit être présent sur le réseau, et doit être autorisé, ainsi que le
serveur RIS, dans Active Directory (même si le serveur RIS n’est pas serveur
DHCP).
j
Les ordinateurs clients doivent être compatibles PXE 1.0 ou 2.3 (Preboot eXecution
Environment). Ils doivent posséder une carte réseau équipée d’une Rom PXE ou
prise en charge par la disquette de démarrage.
Nouveautés de RIS avec Windows Server 2003 SP1
Grâce au SP1 de Windows Server 2003, il est maintenant possible d’exécuter RIS sur
une plateforme Windows Server 2003 SP1 x64. De plus, RIS assure aussi le
déploiement des images x64 à l’aide de l’Assistant Installation des services
d’installation à distance (Risetup.exe) et de l’Assistant Préparation d’une installation
à distance (Riprep.exe), à partir d’un serveur Windows Server 2003 SP1, quelle que
soit son architecture (x64, IA-64 et x86).
Installer le serveur RIS
Une fois que vous avez sélectionné le serveur membre qui fera office de serveur RIS
(chez Puzzmania, ce sera SNCECPFS01 pour le domaine corp.puzzmania.com) et que
les prérequis sont tous respectés, vous pouvez procéder à l’installation de RIS.
1. Ouvrez le Panneau de configuration, sélectionnez Ajout/Suppression de
programmes, puis Ajouter ou supprimer des composants Windows.
2. Cochez la case Services d’Installation à distance, puis cliquez sur Suivant et enfin sur
Terminer une fois que les fichiers sont copiés. Redémarrez le serveur.
3. Dans le menu Démarrer, sélectionnez Exécuter et lancez le programme Risetup.exe.
La boîte de dialogue suivante apparaît alors en vous rappelant les prérequis.
124
Installer Windows Server 2003
Figure 4.7 :
Assistant Installation des
services d’installation à
distance
5. Dans la boîte de dialogue suivante, vous avez la possibilité de prendre en charge les
ordinateurs clients. Il est conseillé de décocher toutes les options, en d’autres termes
de ne pas prendre en charge les ordinateurs clients dans l’immédiat. Vous pourrez
valider la prise en charge des ordinateurs clients une fois que votre serveur RIS sera
totalement opérationnel. Cliquez sur Suivant.
4. L’installation et le
déploiement de
Windows Server 2003
4. Sélectionnez ensuite l’emplacement où sera créé le dossier d’installation et qui
contiendra les images. Par défaut, le nom de ce dossier est RemoteInstall et il est
partagé sous le nom de REMINST. Il doit impérativement se situer sur une partition
NTFS, qui ne doit être ni la partition système ni la partition d’amorçage. Ce dossier
doit également avoir un espace minimal disponible de 2 Go.
6. Spécifiez l’emplacement des fichiers d’installation de Windows à partir du
CD-Rom. Le serveur RIS a besoin d’au moins une image de CD-Rom qu’il sera
possible de déployer. La version du système d’exploitation peut aussi bien être
Windows Server 2003 que Windows XP Professionnel ou Windows 2000
Professionnel.
7. Entrez ensuite un nom de sous-dossier pour stocker les fichiers provenant de ce
CD-Rom. Cliquez sur Suivant et faites une description plus détaillée de l’image du
CD-Rom. Ces informations seront visibles sur l’écran de l’ordinateur qui installera
cette image.
8. Cliquez sur Suivant, vérifiez vos paramètres, puis cliquez sur Terminer. La copie
démarre et l’installation s’achève.
De nouveaux services sont ajoutés à la suite de l’installation de RIS sur le serveur :
j
Boot Information Negociation Layer (BINL) : "couche de négociation des
informations de démarrage", ou service d’installation à distance, c’est le service
chargé de répondre aux requêtes des clients et d’interroger Active Directory pour
savoir si l’ordinateur dispose des droits nécessaires. Il permet d’attribuer les
paramètres adaptés aux clients.
125
Chapitre 4
L’installation et le déploiement de Windows Server 2003
j
Trivial File Transfer Protocol (TFTPD daemon) : "service trivial FTP", c’est le service
qui permet aux clients de télécharger les fichiers et de rapatrier le Client Installation
Wizard (CIW) ou "assistant d’installation du client" et toutes les boîtes de dialogue
contenues dans ce dernier.
j
Single Instant Store (SIS) : "stockage d’instance simple", c’est le service chargé de
réduire l’espace disque des volumes utilisés par les images d’installation RIS. Ce
service surveille l’apparition de plusieurs versions d’un même fichier sur le volume
et, dans ce cas, crée un lien vers ledit fichier, économisant ainsi de l’espace disque.
Mettre en œuvre le serveur RIS
4. L’installation et le
déploiement de
Windows Server 2003
Une fois l’installation terminée, vous devez suivre quatre étapes afin de passer le serveur
RIS en production :
j
Autoriser le serveur ;
j
Activer la prise en charge des ordinateurs clients ;
j
Créer les comptes d’ordinateur client ;
j
Définir les autorisations des utilisateurs.
Autoriser le serveur
Bien que le serveur RIS ne soit pas un serveur DHCP, vous devez l’autoriser dans la
console DHCP.
1. Ouvrez les Outils d’administration et lancez la console DHCP.
2. Sélectionnez la racine de la console DHCP, cliquez du bouton droit de la souris et
choisissez Gérer les serveurs autorisés.
3. Cliquez sur Autoriser et saisissez le nom ou l’adresse IP du serveur RIS, puis
validez.
Figure 4.8 : Autorisation du serveur RIS dans la console DHCP
126
Installer Windows Server 2003
Activer la prise en charge des ordinateurs clients
L’action qui n’a pas été réalisée à l’étape 5 de l’installation du serveur RIS peut être
réalisée de la façon suivante :
1. Ouvrez la console Utilisateurs et Ordinateurs Active Directory, explorez votre
arborescence d’unités d’organisation (OU) jusqu’à trouver le compte d’ordinateur
du serveur RIS.
2. Cliquez du bouton droit de la souris sur le compte d’ordinateur et sélectionnez
Propriétés, puis allez sous l’onglet Installation à distance.
3. Cochez la case Répondre aux ordinateurs clients à la demande d’un service.
Figure 4.9 :
Prise en charge des
clients RIS
4. L’installation et le
déploiement de
Windows Server 2003
Vous pouvez également cocher la case Ne pas répondre aux ordinateurs clients inconnus,
mais si vous le faites, vous devez avoir créé au préalable tous les comptes d’ordinateur
client dans Active Directory. Cette technique, dite de prestaging, est plus contraignante,
mais permet, d’une part, de ne pas déléguer à un utilisateur le droit de joindre un
ordinateur au domaine et, d’autre part, d’équilibrer la charge lorsque plusieurs serveurs
RIS sont présents sur le réseau.
Vérifier le serveur RIS
Vous avez la possibilité de lancer des tests de bon fonctionnement du serveur RIS en
cliquant sur le bouton Vérifier le serveur (uniquement à partir du serveur RIS
lui-même).
127
Chapitre 4
L’installation et le déploiement de Windows Server 2003
Créer les comptes d’ordinateur client
1. Ouvrez la console Utilisateurs et Ordinateurs Active Directory, explorez votre
arborescence d’unités d’organisation (OU) jusqu’à trouver le compte d’ordinateur
du serveur RIS.
2. Cliquez du bouton droit sur le compte d’ordinateur et sélectionnez Propriétés, puis
allez sur l’onglet Installation à distance et cliquez sur le bouton Paramètres
avancés. Vous avez alors la possibilité de personnaliser les futurs noms des
ordinateurs clients en fonction de votre convention de nommage.
4. L’installation et le
déploiement de
Windows Server 2003
Figure 4.10 :
Attribution des noms
d’ordinateur client
Définir les autorisations des utilisateurs
Selon les options que vous avez choisies, vous serez peut-être amené à déléguer le droit
de joindre un ordinateur au domaine aux personnes qui réalisent les installations.
1. Ouvrez la console Utilisateurs et Ordinateurs Active Directory, cliquez du bouton
droit de la souris sur le nom de votre domaine, puis sur Déléguer le contrôle.
2. Dans l’Assistant Délégation de contrôle, cliquez sur Suivant, puis sur Ajouter.
Saisissez le nom du groupe (ou utilisateur) auquel accorder le droit nécessaire et
validez.
3. Activez la case à cocher Joindre un ordinateur au domaine, puis valisez.
4. Vérifiez en dernier lieu que le groupe ou l’utilisateur a le droit de lecture sur le
répertoire de distribution d’images.
128
Installer Windows Server 2003
Pour plus d’informations sur tous les termes relatifs à Active Directory, reportez-vous
au chapitre Introduction à LDAP et Active Directory.
Créer des images avec les outils RIS
Le serveur RIS prend en charge aussi bien les images basées sur le CD-Rom
d’installation de Windows et un fichier de réponses (dont l’une est obligatoirement
créée à l’installation du serveur RIS) que les images disque prises à partir d’un
ordinateur de référence (comme celles créées avec des outils spécialisés, tel Symantec
Ghost).
Voyons comment créer ou ajouter des images des deux types au serveur RIS.
Les images de type CD-Rom (Risetup.exe)
1. Ouvrez la console Utilisateurs et Ordinateurs Active Directory, explorez votre
arborescence d’unités d’organisation (OU) jusqu’à trouver le compte d’ordinateur
du serveur RIS.
4. L’installation et le
déploiement de
Windows Server 2003
Les images basées sur le CD-Rom d’installation de Windows et un fichier de réponses
sont gérées par l’Assistant Installation des services d’installation à distance (Risetup.exe)
et les images basées sur la technologie des images disques sont gérées par l’Assistant
Préparation d’une installation à distance (Riprep.exe).
2. Cliquez du bouton droit de la souris sur le compte d’ordinateur et sélectionnez
Propriétés, puis allez sous l’onglet Installation à distance et cliquez sur le bouton
Paramètres avancés.
3. Cliquez ensuite sur l’onglet Images, puis sur Ajouter. Suivez alors les instructions
pour créer et stocker une nouvelle image.
Figure 4.11 :
Assistant de création
d’une nouvelle image
129
Chapitre 4
L’installation et le déploiement de Windows Server 2003
Les images de type Riprep (Riprep.exe)
RIS propose en standard l’outil Riprep.exe, semblable aux outils de duplication de disque
du marché. À partir d’un ordinateur maître sur lequel vous avez préalablement installé
tous les correctifs de sécurité et toutes les applications nécessaires, lancez l’utilitaire
Riprep.exe (se trouvant sur le serveur RIS) qui se chargera de créer une image propre,
c’est-à-dire en retirant les identificateurs de sécurité uniques (SID), et de la copier sur le
serveur RIS.
Prenons un ordinateur maître correctement configuré dans le contexte de Puzzmania.
1. Ouvrez une invite de commandes, ou cliquez sur Démarrer/Exécuter et saisissez
\\SNCECPFS01\Reminst\Admin\i386\Riprep.exe.
L’Assistant Préparation d’une installation à distance s’ouvre.
4. L’installation et le
déploiement de
Windows Server 2003
2. Suivez les instructions à l’écran.
Figure 4.12 :
Assistant Préparation
d’une installation à
distance
Le déploiement à partir des ordinateurs clients
Une fois les opérations de mise en production du serveur RIS et de création d’images
terminées, vos ordinateurs clients sont prêts à recevoir les images d’installation. Il suffit
de procéder au redémarrage de l’ordinateur à partir de la carte réseau PXE (vous devez
pour cela modifier la séquence de boot ou les options du BIOS de l’ordinateur), puis de
sélectionner l’image d’installation de votre choix et l’exécuter.
Quelle stratégie choisir pour utiliser RIS convenablement en entreprise ? Tout dépend
du contexte. Il peut être intéressant de s’en servir pour installer les stations de travail
plutôt que les serveurs, parce que, avec Riprep.exe, vous possédez un outil semblable aux
outils spécialisés du marché qui permet de créer des images à partir d’un ordinateur de
130
Installer Windows Server 2003
référence configuré avec toutes vos applications standards. De l’affectation de
l’adresse IP via DHCP à l’intégration au domaine, vous pouvez tout paramétrer afin de
gagner du temps et de procéder à des installations parallèles en nombre. Quant aux
serveurs, vous pouvez toujours les déployer avec RIS. Vous êtes libre de procéder à une
installation via une image CD-Rom et les fichiers de réponses afin de maîtriser toute la
chaîne de mise en production du serveur, notamment l’installation des applications.
Comme les serveurs n’ont pas tous la même spécificité et les mêmes paramétrages, il
vous faudra créer une image par type de serveur. La méthode perd alors de son intérêt,
compte tenu du temps passé à créer les images.
Utiliser un gestionnaire d’images et Sysprep.exe (System
Preparation)
Cette méthode est valable uniquement pour de nouvelles installations sur des
équipements matériels identiques. Vous n’avez pas besoin qu’une infrastructure de
domaine soit déployée.
La difficulté rencontrée avec les outils de création d’image disque est qu’il ne faut pas
régénérer les mêmes identificateurs de sécurité (SID) à chaque installation. Pour cela,
vous devez utiliser un programme qui permet de nettoyer les identificateurs de sécurité
(SID) avant le clonage afin de garantir l’unicité de chaque installation sur le réseau.
Vous pouvez vous servir de l’utilitaire fourni avec votre programme de création d’image
disque ou bien utiliser Sysprep.exe (System Preparation) fourni sur le CD-Rom de
Windows Server 2003 SP1. Procédez ainsi :
4. L’installation et le
déploiement de
Windows Server 2003
Une autre méthode d’installation consiste à dupliquer (cloner) le disque dur d’un
ordinateur préconfiguré et de reproduire l’installation. Pour cela, vous devez utiliser un
outil de création d’image disque (par exemple Symantec Ghost).
1. Installez un ordinateur de référence contenant toutes les applications et les
paramètres que vous désirez.
2. Insérez le CD-Rom du SP1 de Windows Server 2003 et explorez les fichiers.
3. Ouvrez le répertoire support\tools et le fichier deploy.cab.
4. Sélectionnez tous les fichiers qu’il contient, cliquez du bouton droit de la souris et
choisissez Extraire.
5. Sélectionnez ou créez un répertoire de destination et cliquez sur Extraire.
6. Ouvrez le répertoire de destination et exécutez Sysprep.exe. Suivez alors les
instructions.
La boîte de dialogue suivante s’affiche :
131
Chapitre 4
L’installation et le déploiement de Windows Server 2003
4. L’installation et le
déploiement de
Windows Server 2003
Figure 4.13 :
Outil de préparation du
système 2.0
(Sysprep.exe)
7. Après avoir sélectionné les options que vous désirez, cliquez sur le bouton Resceller.
Le processus se termine et arrête ou redémarre votre ordinateur.
8. Utilisez alors votre outil de création d’image disque pour générer une image avant
le redémarrage complet de l’ordinateur. Copiez cette image à l’emplacement distant
de votre choix.
L’installation de l’image disque sur l’ordinateur client s’effectue à partir de l’outil de
création d’image.
Sysprep.exe et Riprep.exe
Sysprep.exe et Riprep.exe ont des utilisations bien distinctes. Alors que vous utiliserez
Sysprep.exe en association avec un outil spécialisé de duplication d’image disque,
vous ne pourrez pas vous servir de Riprep.exe, qui nécessite impérativement la mise en
production d’un serveur RIS.
Cette méthode d’installation permet de tirer parti de votre outil tiers de création
d’image disque. Elle est plutôt orientée vers l’installation des stations de travail pour
deux raisons : elle n’est applicable que sur des équipements physiques identiques, et une
image peut contenir des applications. Cette méthode d’installation a l’avantage d’être
très simple à mettre en œuvre, sans nécessiter d’infrastructure de domaine.
132
Résoudre les problèmes d’installation
4.3.
Résoudre les problèmes d’installation
Si vous rencontrez des problèmes durant l’installation ou à la fin, voici quelques
éléments simples à vérifier ainsi qu’une sélection d’outils et de fichiers très pratiques :
Tableau 4.5 : Problèmes d’installation et conseils de résolution
Conseil
Matériel non reconnu
Vérifiez que le matériel est présent sur la liste de compatibilité
matérielle Windows HCL à l’adresse www.microsoft.com/whdc/hcl/
default.mspx.
Lecteur de CD-Rom non pris
en charge
Testez un autre lecteur ou utilisez une méthode d’installation via le
réseau.
Disque dur non trouvé durant
la phase d’installation
Vérifiez le type de contrôleur disque inclus dans votre serveur,
récupérez le dernier pilote valide et ajoutez-le au démarrage de
l’installation en appuyant sur la touche [F6].
Espace disque insuffisant
Utilisez le programme d’installation en mode texte afin de recréer
la partition système.
Carte réseau non trouvée
durant la phase d’installation
Mettez à jour le pilote de la carte ou installez momentanément
une carte réseau virtuelle (carte de bouclage Microsoft) afin de
terminer l’installation, puis lancez des tests physiques afin de
déceler une panne matérielle.
Impossibilité de joindre le
domaine
Vérifiez les paramètres de la carte ainsi que les paramètres
TCP/IP. Vérifiez que vous pouvez contacter vos contrôleurs de
domaine et que vos serveurs DNS et vos comptes d’ordinateur
sont correctement configurés.
4. L’installation et le
déploiement de
Windows Server 2003
Symptôme
Pour les installations automatisées, consultez le fichier deploy.chm contenu dans
l’archive deploy.cab du CD-Rom de Windows Server 2003 SP1, il vous sera d’une aide
précieuse afin de trouver une solution à vos problèmes ou plus simplement pour vous
donner de plus amples informations.
Des outils gratuits
Vous pouvez aussi utiliser les outils gratuits que vous trouverez sur le site web www
.sysinternals.com, dans la catégorie File and Disks, en particulier l’outil Filemon, qui
permet de surveiller l’activité des fichiers système en temps réel, et l’outil NewSID, qui
permet de changer l’identificateur de sécurité (SID).
133
Chapitre 4
4.4.
L’installation et le déploiement de Windows Server 2003
En résumé
4. L’installation et le
déploiement de
Windows Server 2003
Avec Windows Server 2003, vous pouvez choisir entre différentes méthodes
d’installation et vous avez même la possibilité de mettre en place une structure de
déploiement afin d’opérer des installations en nombre, qu’il s’agisse d’ailleurs de
Windows Server 2003 ou des versions clientes de Windows. Vous devez choisir la
solution qui correspond le mieux à vos attentes en fonction de votre contexte de travail.
134
Saisissez l’opportunité de gagner du temps sur les tâches d’installation. Prenons
l’exemple de la mise en place d’un serveur RIS afin d’automatiser l’installation de
Windows XP Professionnel sur les stations de travail… Dans le cadre de la réduction du
coût total de possession, si vous achetez en nombre des stations de travail ayant le même
équipement physique, vous serez à même de négocier un prix auprès de votre
fournisseur. En outre, Windows Server 2003 vous livrera sans surcoût la fonctionnalité
d’installation automatisée. De plus, comme vous n’aurez qu’une seule image à gérer, si
vous devez modifier un pilote pour résoudre un problème donné, vous n’aurez qu’à
modifier une seule fois l’image pour que toutes les nouvelles installations prennent en
compte la modification.
Chapitre 5
L’installation de
Windows Vista
5.1
5.2
5.3
5.4
5.5
5.6
5.7
5.8
Découvrir les différentes versions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
Valider la configuration matérielle minimale recommandée . . . . . . . . . . . . . . 142
Effectuer une installation interactive . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 143
Migrer vers Windows Vista . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151
Préparer la mise à jour vers Windows Vista . . . . . . . . . . . . . . . . . . . . . . . . 167
Mettre à jour le système d’exploitation vers Windows Vista . . . . . . . . . . . . . . . 181
Dépanner la mise à niveau vers Windows Vista . . . . . . . . . . . . . . . . . . . . . . 182
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
Découvrir les différentes versions
D
epuis la première installation de Windows 95 et ses 15 disquettes, les systèmes
d’exploitation ont demandé toujours plus de capacité pour passer du CD au DVD
avec l’installation de Windows Vista.
Au travers de ce chapitre, vous allez découvrir les différentes versions et les fonctions de
Windows Vista ainsi que son installation standard. Jusque-là rien de bien exceptionnel,
mais maîtriser cette base est nécessaire pour l’utilisation de cet ouvrage. Vous
découvrirez également les mécanismes de l’installation, un peu plus complexe mais
théorique cette fois-ci, de ce nouveau Windows ainsi que les changements apportés par
le format WIM. Pour terminer, vous apprendrez comment personnaliser votre média
d’installation et votre installation pour la rendre totalement automatique,
Voici en quelques lignes ce que vous réserve ce chapitre pour que l’installation de
Windows Vista n’ait plus de secret pour vous !
5.1.
Découvrir les différentes versions
À la description des différentes versions de Vista, on retrouve un triptyque, une cible
d’utilisateurs en triangle, visé par Microsoft :
les utilisateurs à la maison avec Home Basic, Home Premium et Intégrale ;
j
les utilisateurs/administrateurs en petites entreprises avec Business et Intégrale ;
j
les utilisateurs/administrateurs en grandes entreprises avec Enterprise et Intégrale.
5. L’installation de
Windows Vista
j
Voici un bilan des fonctionnalités techniques incluses dans chaque version :
Fonctionnalités techniques
différenciées
Vista
Professionnel
Vista Entreprise
Vista Édition
Intégrale
Améliorations de base sur les
performances et la sécurité
Oui
Oui
Oui
Fonctionnalités de recherche et
d’organisation
Oui
Oui
Oui
Fonctionnalité de connexion poste à
poste (P2P)
Oui
Oui
Oui
Centre de sauvegarde (via réseau et
programmée)
Oui
Oui
Oui
Interface graphique Aero glass et
animations, transparence
Oui
Oui
Oui
Media Center
Non
Non
Oui
HD MovieMaker et DVD Authoring
Non
Non
Oui
Network Projection
Oui
Oui
Oui
Synchronisation de PC à PC
Oui
Oui
Oui
137
Chapitre 5
L’installation de Windows Vista
5. L’installation de
Windows Vista
Fonctionnalités techniques
différenciées
Vista
Professionnel
Vista Entreprise
Vista Édition
Intégrale
Mobilité (fonctionnalité de Tablet PC) Oui
Oui
Oui
Cryptage EFS (Encrypted File
System)
Oui
Oui
Oui
Bureau à distance
Oui
Oui
Oui
Serveur Web personnel
Oui
Oui
Oui
Utilitaire de fax et scanneur
Oui
Oui
Oui
Jonction à un domaine
Oui
Oui
Oui
Fichiers hors connexion
Oui
Oui
Oui
Stratégies de groupe
Oui
Oui
Oui
SUA (Unix Subsystem)
Non
Oui
Oui
Cryptage complet de volume
Non
Oui
Oui
Virtual PC Express
Non
Oui
Oui
MUI-All Languages (multilingue)
Non
Oui
Oui
Windows Intégrale Extras
Non
Non
Oui
Que faire ? Avec quelle version
Voici un bref descriptif de ce que vous êtes en mesure d’attendre de chaque version.
Windows Vista se décline en six versions. Ne faites pas ces grands yeux ronds, pas de
panique, vous allez rapidement vous y retrouver en posant votre besoin d’utilisateur
devant les descriptions de toutes ces versions de Windows Vista. De ces six versions,
sachez tout de même qu’il n’y aura pas de distinction bien précise avec une version
spéciale 64 bits. En effet, comme le 64-bits a des chances de devenir rapidement un
standard, toutes les versions de Vista, hormis la Starter Edition, auront leur pendant à
32 bits et à 64 bits. Sachez également que même si certaines versions apportent des
fonctionnalités en plus pour répondre à des besoins différents, aucun compromis n’a été
fait sur la sécurité. Toutes les versions, sans exception, bénéficieront des avancées
communes en matière de sécurité. Là-dessus, pas d’équivoque, choisissez la version qui
vous convient en fonction de vos besoins et pas sur des versions plus ou moins sécurisées.
Allons-y pour la présentation.
Windows Vista Starter Edition
À l’instar de Windows XP Starter Edition, une version de Vista pour les pays en voie de
développement sortira. Comme pour XP, cette version ne sera pas disponible chez nous.
Windows Vista Starter Edition ne connaîtra pas de déclinaison 64 bits, n’autorisera pas
plus de trois applications ou fenêtres ouvertes simultanément. La configuration de
138
Découvrir les différentes versions
réseau ne sera pas possible. Pas de changement rapide d’utilisateurs non plus, ni de
démarrage par validation de mot de passe, mais la connexion Internet restera accessible.
Windows Vista Édition Familiale Basique
Windows Vista Édition Familiale Basique est la version de base du système
d’exploitation pour les utilisateurs à la maison. Cette version a été conçue pour satisfaire
les besoins informatiques simples de tous les jours, plus particulièrement aux utilisateurs
qui ont recours à leur PC pour surfer sur Internet, échanger des messages électroniques
avec leurs parents et amis, créer et modifier des documents de base style Office, etc.
Bref, sans avoir besoin de fonctionnalités de haut vol.
Windows Vista Home Basic Edition offre tout de même un environnement d’une
grande sécurité, fiabilité et efficacité. Les utilisateurs pourront tirer parti de nouveaux
outils et de technologies modernes. Ils disposeront notamment d’un explorateur de
recherche très performant, de la Sidebar, des fonctions intégrées de contrôle parental
mais pas d’interface graphique évoluée, pas de Media Center, pas de MovieMaker HD,
pas de mise en réseau (hormis Internet évidemment), pas de cryptage, etc. On reste sur
des besoins simples et quotidiens.
5. L’installation de
Windows Vista
Cette version s’intègre parfaitement sur les PC ou portables à bas prix, à base de
processeurs Intel Celeron par exemple.
Windows Vista Édition Familiale Basique fait office de version de fondation pour les
deux autres versions destinées aux utilisateurs à la maison que sont Vista Édition
Familiale Premium et Vista Intégrale.
Windows Vista Édition Familiale Premium
Windows Vista Édition Familiale Premium s’adresse aux particuliers exigeants. Cette
version réunit toutes les fonctions de Windows Vista Édition Familiale Basique et offre
des fonctions supplémentaires. C’est le meilleur choix pour tirer pleinement parti de
toute l’ergonomie, la puissance et la versatilité des usages du PC à la maison : photos,
vidéos, télévision, films, musique et jeux.
Avec cette version, on grimpe d’un cran dans les fonctionnalités. Par exemple, la
nouvelle interface graphique Aero est disponible. Également, Windows Vista Édition
Familiale Premium intègre la recherche à l’ensemble du système d’exploitation : les
utilisateurs sont ainsi en mesure d’organiser aisément d’importantes collections de
documents, d’images, de films, de séquences vidéo et de morceaux de musique, et de
retrouver en un clin d’œil les fichiers recherchés.
Vista Édition Familiale Premium ajoute les fonctions de Media Center. Votre PC se
transforme alors en un centre multimédia pour animer les loisirs numériques de la
famille. Les fonctions de Media Center intégrées permettent d’enregistrer et de
139
Chapitre 5
L’installation de Windows Vista
regarder des émissions de télévision (y compris en haute définition) et découvrir de
nouveaux contenus multimédias en ligne.
Cette édition intègre également la possibilité de connecter Windows à une XBox 360 de
façon à profiter de ses loisirs numériques dans toutes les pièces de son domicile.
La technologie d’encre numérique du Tablet PC, qui permet d’interagir avec le PC à
l’aide du stylet numérique ou d’une pression tactile, sans passer par un clavier, est
également disponible dans cette édition de Windows Vista.
La fonction intégrée de gravure et de création de DVD permet aux utilisateurs de
graver, en toute transparence, leurs photos, vidéos et fichiers personnels sur un DVD
vidéo ou données. Ils peuvent également créer des DVD professionnels à partir de films
familiaux, et les partager avec leurs proches.
Cependant, Vista Édition Familiale Premium reste destiné aux utilisateurs à la maison.
Cela veut dire : pas de jonction à un domaine, pas de cryptage de fichiers par exemple.
5. L’installation de
Windows Vista
Vous pouvez constater que cette version intègre les fonctions de Media Center et de
Tablet PC. Pas de versions dissociées. Bien sûr, il vaut mieux que votre portable ait un
écran tactile et un stylet pour tirer parti des fonctions d’encre numérique.
Windows Vista Professionnel
Abordons maintenant des versions de Vista destinées aux entreprises.
Windows Vista Professionnel est la version du système d’exploitation destiné aux
entreprises de toutes tailles, mais plus particulièrement les entreprises de petite taille.
Windows Vista Édition Professionnelle aide les utilisateurs professionnels au sein d’une
PME à assurer le bon fonctionnement et la sécurité de leurs PC tout en réduisant leur
dépendance vis-à-vis du service informatique interne. Aux entreprises de taille
supérieure, Windows Vista Professionnel apporte des améliorations significatives en
termes de flexibilité et d’amélioration de gestion opérationnelle des postes de travail,
réduisant ainsi les coûts de maintenance et de support. Avec cette version, les équipes
informatiques pourront, dans la mesure du possible, s’affranchir des tâches de
maintenance quotidiennes et se consacrer davantage aux développements stratégiques
indispensables à la croissance des entreprises.
Parmi les caractéristiques incluses dans Windows Vista Professionnel, on retrouve la
nouvelle interface graphique Aero. On retrouve également la gestion de grands volumes
d’information. En intégrant des fonctions de recherche à l’ensemble du système
d’exploitation et en facilitant le classement des fichiers, Windows Vista Professionnel
aide les entreprises à trouver rapidement les informations qu’elles recherchent.
Les technologies Tablet PC qui permettent d’analyser et de reconnaître l’écriture sont
également présentes.
140
Découvrir les différentes versions
Cette édition, spéciale entreprise, intègre en sus des fonctions plus spécifiques dont la
jonction aux domaines, l’administration distante du poste de travail et de cryptage de
données sur disque dur.
Windows Vista Entreprise
Autre version pour les utilisateurs professionnels, Windows Vista Entreprise est là pour
mieux répondre aux besoins des grands groupes internationaux et des entreprises aux
infrastructures informatiques complexes. Windows Vista Entreprise a pour objectif
d’aider à réduire les risques et les coûts des infrastructures informatiques. Outre toutes
les fonctionnalités dont dispose Windows Vista Professionnel, Windows Vista
Entreprise apporte un niveau de protection accru des données en mettant en œuvre une
technologie de chiffrement matériel. Cette version propose également des outils pour
améliorer la compatibilité des applications et faciliter la standardisation. Autre
amélioration très importante pour les grands groupes : les entreprises pourront
désormais déployer, à l’échelle internationale, une seule image incluant toutes les
langues de l’interface utilisateur Windows.
5. L’installation de
Windows Vista
Licence Windows Vista Entreprise
Petite particularité : la version Windows Vista Entreprise est proposée aux clients
disposant d’ordinateurs couverts par un contrat Microsoft Software Assurance ou
Microsoft Enterprise Agreement.
Du côté des caractéristiques, BitLocker Drive Encryption (utilisation des technologies
TPM 1.2 pour les clés de chiffrement) fait parti de Vista et empêche les données
confidentielles et la propriété intellectuelle des entreprises de tomber en de mauvaises
mains en cas de vol ou de perte d’un ordinateur portable.
Virtual PC Express est l’un des nombreux outils intégrés qui améliorent la compatibilité
des applications avec les versions antérieures des systèmes d’exploitation de Microsoft.
Virtual PC Express permet d’exécuter une ancienne application sur un ancien système
d’exploitation Windows dans un environnement virtuel créé sous Windows Vista
Entreprise.
Le sous-système pour applications Unix est également présent sous Vista Entreprise et
permet aux utilisateurs d’exécuter des applications Unix directement sur un PC
Windows Vista Entreprise.
La nouvelle interface graphique Aero est également disponible.
Windows Vista Édition Intégrale
Enfin, terminons par le nec plus ultra, la Rolls-Royce des versions de Windows Vista !
La version Windows Vista Intégrale est un condensé des fonctionnalités et des
avantages de toutes les autres versions de Windows Vista. Elle contient tout, et vous
141
Chapitre 5
L’installation de Windows Vista
conviendra, que vous soyez utilisateur à la maison, utilisateur en entreprise ou
administrateur, à moins que vous ne soyez les trois à différents moments de la journée.
C’est le premier système d’exploitation à réunir toutes les fonctions de divertissement,
de mobilité et de productivité offertes par Windows Vista.
Les versions N de Windows Vista
Pour être plus précis, signalons l’existence, comme sous XP, des versions Vista
Édition Familiale Basique N et Vista Professionnel N, qui sont les versions sans
Windows Media Player intégré résultant des procès intentés par l’Union européenne.
5.2.
Valider la configuration matérielle minimale
recommandée
5. L’installation de
Windows Vista
La liste suivante décrit la configuration matérielle minimale recommandée pour les
fonctionnalités de base des différentes éditions. De fait, la configuration matérielle varie
en fonction de la version, des programmes et des fonctionnalités que vous installez.
Vista Édition Familiale Basique
j
Processeur 32 bits x86 ou 64 bits x64 cadencé à 800 MHz ;
j
512 Mo de mémoire système ;
j
carte graphique de classe DirectX 9 ;
j
32 Mo de mémoire graphique ;
j
disque dur de 20 Go, disposant de 15 Go d’espace libre ;
j
lecteur de DVD interne ou externe ;
j
accès Internet ;
j
dispositif de sortie audio.
Vista Édition Familiale Premium, Professionnel, Entreprise et
Intégrale
142
j
Processeur 32 bits x86 ou 64 bits x64 cadencé à 1 GHz ;
j
1 Go de mémoire système ;
j
carte graphique compatible Windows Aero ;
j
128 Mo de mémoire graphique ;
Effectuer une installation interactive
j
disque dur de 40 Go, disposant de 15 Go d’espace libre (pour le stockage des
fichiers temporaires lors de l’installation ou de la mise à niveau) ;
j
lecteur de DVD interne ou externe ;
j
accès Internet ;
j
dispositif de sortie audio.
Configuration requise
Pour plus d’informations sur la configuration requise de Windows Vista, vous pouvez
consulter le site technique de la base de connaissance Microsoft à l’adresse http://
support.microsoft.com/search/?adv=1 et sélectionner la fiche KB 919183 Configuration
requise de Windows Vista.
5.3.
Effectuer une installation interactive
5. L’installation de
Windows Vista
Vous pouvez installer Windows de manière interactive à partir du média Windows.
L’installation interactive nécessite une intervention de l’utilisateur, qui doit spécifier
notamment le lecteur de destination, son nom d’utilisateur et son fuseau horaire.
L’installation standard de Windows Vista ne déroge pas aux règles de simplicité.
Windows Vista reste très élémentaire à installer puisqu’il vous suffit de démarrer
l’ordinateur avec le DVD d’installation pour que celle-ci se réalise presque seule. Il vous
sera demandé d’entrer le numéro de série et de répondre à trois ou quatre questions :
votre pays, votre nom, un mot de passe, etc.
Installation de Windows Vista sur un ordinateur disposant de 3 Go de RAM
Les ordinateurs disposent d’une mémoire vive de plus en plus élevée, et pour cause :
celle-ci arrive à des prix très accessibles et, de fait, il n’est pas rare de trouver des
ordinateurs disposant de 4 Go de RAM. Dans ce cas, durant l’installation de Windows
Vista, le message suivant peut apparaître : "STOP 0x0000000A (paramètre1,
paramètre2, paramètre3, paramètre4) IRQL_NOT_LESS_OR_EQUAL".
Le problème peut être lié à la quantité de mémoire. Pour résoudre ce problème,
Microsoft propose deux correctifs :
la mise à jour KB929777 pour Windows Vista
(www.microsoft.com:80/downloads/details.aspx?displaylang=fr&FamilyID
=240ac3f3-2b60-4b70-b709-06b2bc5b1336) ;
j la mise à jour KB929777pour Windows Vista, version 64 bits
(www.microsoft.com:80/downloads/details.aspx?displaylang=fr&FamilyID
=91672c7c-614b-404c-850c-377541e93c18).
j
143
Chapitre 5
L’installation de Windows Vista
Lancez l’installation de la manière suivante :
5. L’installation de
Windows Vista
1. Démarrez le programme d’installation de Windows Vista en insérant le DVD, puis
redémarrez votre ordinateur.
Figure 5.1 : Initialisation de l’installation de Windows Vista
2. Sélectionnez la langue et les paramètres régionaux et cliquez sur Suivant.
Figure 5.2 : Sélection des paramètres régionaux : la langue, les paramètres liaient au
pays ainsi que le clavier
144
Effectuer une installation interactive
3. À l’invite d’installation, cliquez sur Installer.
4. Dans la partie Entrez votre clé de produit pour activation, tapez le numéro de série du
produit dans le champ Clé de produits (les tirets de séparation sont ajoutés
automatiquement). Ce numéro est composé de 25 caractères alphanumériques.
Cliquez sur Suivant pour continuer.
5. L’installation de
Windows Vista
Figure 5.3 : Écran de saisie pour le déblocage de la version de Windows Vista
5. Windows Vista ne déroge pas à la règle : dans la fenêtre Veuillez lire le contrat de
licence, lisez et acceptez les termes du contrat de licence. Activez l’option J’accepte
les termes du contrat de licence (indispensable pour continuer). Cliquez sur Suivant.
Si vous ne validez pas cette option, vous serez obligé de mettre fin au programme
d’installation de Windows Vista.
6. Dans la fenêtre Quel type d’installation voulez-vous effectuer ?, deux choix s’offrent
à vous : une Mise à niveau ou une installation Personnalisée (options avancées).
Sélectionnez Personnalisée (option avancée).
Impossible de sélectionner ou de formater le disque dur
Lors de l’installation, il peut arriver que l’on ne puisse pas sélectionner ou formater
une partition destinée à l’installation de Windows Vista. Dans ce cas le message
suivant apparaît : "Windows ne trouve pas de volume système conforme à ses critères
d’installation".
145
Chapitre 5
L’installation de Windows Vista
Ce problème peut se produire dans les cas suivants :
j
j
j
j
j
Le contrôleur de disque n’est pas compatible avec Windows Vista, voire il est
obsolète.
Les pilotes ne sont pas à jour.
Le disque dur est un disque converti en dynamique.
Le disque dur a un problème matériel.
La partition que vous sélectionnez est en FAT32 ou dans un format incompatible
pour Windows Vista.
Pour répondre à ces problèmes la fiche KB927520 : "Vous ne pouvez pas sélectionner
ou formater une partition de disque dur lorsque vous essayez d’installer Windows
Vista" vous propose huit solutions possibles.
j
j
j
5. L’installation de
Windows Vista
j
j
j
j
j
Méthode 1 : Vérification de la compatibilité de la partition avec Windows Vista.
Méthode 2 : Mise à jour des pilotes pour le contrôleur de disque dur.
Méthode 3 : Installation des pilotes corrects pour le contrôleur de disque dur.
Méthode 4 : Examen du fichier Setupact.log afin de vérifier que la partition est
active.
Méthode 5 : Recherche de mises à jour du microprogramme et de mises à jour du
BIOS système.
Méthode 6 : Vérification que le BIOS système détecte correctement le disque dur.
Méthode 7 : Utilisation de l’utilitaire Chkdsk.exe pour identifier les problèmes.
Méthode 8 : Utilisation de l’utilitaire Diskpart.exe pour nettoyer le disque, puis
nouvelle exécution du programme d’installation de Windows Vista.
7. Dans la fenêtre Où souhaitez-vous installer Windows ?, cliquez sur Options de
lecteurs (avancées) pour personnaliser la taille de la partition d’installation (voir fig.
5.4).
8. Cliquez sur Suivant pour démarrer la copie des fichiers.
Les étapes suivantes se succèdent :
146
j
copie des fichiers de Windows ;
j
décompression des fichiers ;
j
installation des fonctionnalités ;
j
installation des mises à jour ;
j
fin de l’installation.
Effectuer une installation interactive
5. L’installation de
Windows Vista
Figure 5.4 : Personnalisation de la taille de la partition d’installation
Durée de l’installation
L’installation peut prendre plusieurs dizaines de minutes selon la puissance de votre
machine.
9. Dans la fenêtre de Windows Vista, cliquez sur Suivant.
10. Sélectionnez une image et entrez un mot de passe. Confirmez ce mot de passe, puis
cliquez sur Suivant.
11. Changez le nom de l’ordinateur et sélectionnez votre fond d’écran. Cliquez sur
Suivant.
12. Choisissez ou non d’activer et de configurer le pare-feu.
13. Configurez la Date et le Fuseau horaire.
14. Démarrez Windows Vista en cliquant sur l’icône Windows Vista. Dans la première
fenêtre, vous devez entrer votre mot de passe.
La configuration de votre Bureau commence.
147
Chapitre 5
L’installation de Windows Vista
Figure 5.5 : Configuration de votre Bureau
5. L’installation de
Windows Vista
L’activation et la licence
C’est bien connu, l’utilisation de Windows nécessite une licence et, sur ce point,
Windows Vista ne déroge pas à la règle. Cela veut dire qu’une fois votre système
d’exploitation installé avec un numéro de série, vous disposez d’une période de grâce de
30 jours. Après ce délai, l’utilisation de votre ordinateur deviendra compliquée.
Cependant, il peut arriver que l’on veuille faire des tests et que cette période ne suffise
pas. Pour répondre à cette contrainte, il existe une commande assez peu documentée
qui se nomme SLMGR.
Figure 5.6 :
Recherche
d’informations sur
SLMGR dans l’aide de
Windows Vista
148
Effectuer une installation interactive
Cette commande vous permet de repousser ce délai trois fois. Pour connaître les
extensions liées à cette commande, saisissez SLMGR /? dans une fenêtre en ligne de
commandes.
Figure 5.7 :
Extensions de la
commande SLMGR
5. L’installation de
Windows Vista
Pour savoir combien de temps il vous reste avant la fin de votre période de grâce,
procédez ainsi :
1. Cliquez sur le menu Démarrer/Tous les programmes/Accessoires. Cliquez avec le
bouton droit de la souris sur Invite de commandes, puis cliquez sur Exécuter en
tant qu’administrateur.
2. Dans la fenêtre d’Invite de commandes, saisissez slmgr –dli.
Figure 5.8 :
Informations sur le délai
d’enregistrement
149
Chapitre 5
L’installation de Windows Vista
Dans notre exemple, nous pouvons constater que le délai de grâce est de 20 jours.
Pour prolonger ce délai à 30 jours, procédez ainsi :
1. Sélectionnez le menu Démarrer/Tous les programmes/Accessoires. Cliquez avec le
bouton droit de la souris sur Invite de commandes, puis cliquez sur Exécuter en
tant qu’administrateur.
5. L’installation de
Windows Vista
2. Dans la fenêtre d’Invite de commandes, saisissez slmgr –rearm.
Figure 5.9 : Renouvellement du délai de 30 jours
3. Redémarrez votre système d’exploitation pour que la commande soit validée. Pour
contrôler, lancer le mode en ligne de commandes en tant qu’administrateur, puis
saisissez la commande slmgr –dli.
Figure 5.10 :
Informations sur le
nouveau délai
d’enregistrement
Il reste 29 jours.
SLMGR
La commande slmgr −rearm ne peut pas être utilisée plus de trois fois. Cela veut dire
que vous pouvez utiliser Windows Vista durant une période totale de 120 jours.
150
Migrer vers Windows Vista
Si vous souhaitez connaître jusqu’où cette grâce vous conduit, tapez la commande
slmgr −xpr.
Figure 5.11 : Informations sur la période de grâce
5.4.
Migrer vers Windows Vista
j
la connexion réseau (dans le premier cas, les deux ordinateurs doivent être en
mesure de communiquer directement de l’un à l’autre ; dans le second cas, si l’on
utilise un partage réseau, les deux ordinateurs doivent être capables de mapper ce
partage) ;
j
un support amovible (par exemple une clé USB ou un disque dur externe) ;
j
un CD ou un DVD.
5. L’installation de
Windows Vista
Pour procéder à la migration vers Windows Vista à partir d’une version antérieure de
Windows, vous devez disposer d’un ordinateur avec une version prise en charge de
Windows contenant les applications, les paramètres et les données à déplacer vers un
nouvel ordinateur avec Windows Vista. Les outils de migration de Windows Vista vous
offrent trois possibilités pour la migration des paramètres et des fichiers :
Outre la méthode de transfert, vous avez le choix des outils de migration. L’Assistant
Migration de PC est inclus dans Windows Vista, mais également dans le DVD
d’installation. Il vous permet de faire migrer les paramètres et les fichiers de tous vos
utilisateurs d’un ordinateur vers un nouvel ordinateur.
Migration des utilisateurs
L’utilitaire ne fera migrer que les utilisateurs ayant déjà ouvert une session dans le
précédent système d’exploitation si, par exemple, vous avez trois utilisateurs qui
ouvrent des sessions sur le poste et un utilisateur que vous n’avez jamais utilisé et qui
vous sert d’utilisateur de secours. Seuls les trois utilisateurs auront migré. C’est
normal : aucun profil n’a été créé pour ce quatrième utilisateur.
151
Chapitre 5
L’installation de Windows Vista
L’Assistant Migration de PC de Windows Vista peut déplacer les paramètres suivants :
j
les comptes des utilisateurs ;
j
les fichiers et dossiers de tous les lecteurs ;
j
les paramètres des programmes ;
j
les paramètres et favoris Internet ;
j
les paramètres de courrier électronique.
Transférer les fichiers et les paramètres via le réseau
Le transfert s’effectue en deux étapes. La première étape se déroule du côté poste cible,
c’est-à-dire le nouvel ordinateur qui exécute Windows Vista. Il va s’agir de préparer le
transfert. Dans notre cas, cela se passera par le réseau. Une fois le mode de transfert
sélectionné, l’ordinateur cible fournira une clé qui sera utilisée par l’ordinateur source
pour initier le transfert. Dans un deuxième temps, l’ordinateur source utilisera la clé
pour établir la communication entre les deux ordinateurs. Ensuite, il faudra sectionner
les utilisateurs, les paramètres et les fichiers à transférer.
5. L’installation de
Windows Vista
Avant de démarrer les étapes entre les deux postes, il est important de vérifier que ces
derniers communiquent entre eux. Deux vérifications peuvent être réalisées. La
première consiste à contrôler que les ordinateurs sont présents dans le voisinage réseau.
Figure 5.12 : Vérification de la présence des ordinateurs dans le voisinage réseau
152
Migrer vers Windows Vista
L’autre vérification consiste à lancer un ping sur le second ordinateur. En cas de
problème avec le ping, vérifier que ce n’est pas lié au pare-feu :
C:\Documents and Settings\Sylvain>ipconfig
Configuration IP de Windows
Carte Ethernet Connexion au réseau local:
Suffixe DNS propre à la
Adresse IP. . . . . . .
Masque de sous-réseau .
Passerelle par défaut .
connexion :
. . . . . : 172.100.16.100
. . . . . : 255.255.240.0
. . . . . : 172.100.16.1
C:\Documents and Settings\Sylvain>ping 172.100.16.75
Envoi d’une requête ’ping’ sur 172.100.16.75 avec 32 octets de données :
Réponse
Réponse
Réponse
Réponse
de
de
de
de
172.100.16.75
172.100.16.75
172.100.16.75
172.100.16.75
:
:
:
:
octets=32
octets=32
octets=32
octets=32
temps=179 ms TTL=128
temps=156 ms TTL=128
temps=1074 ms TTL=128
temps=184 ms TTL=128
5. L’installation de
Windows Vista
Statistiques Ping pour 172.100.16.75:
Paquets : envoyés = 4, reçus = 4, perdus = 0 (perte 0%),
Durée approximative des boucles en millisecondes :
Minimum = 156ms, Maximum = 1074ms, Moyenne = 398ms
C:\Documents and Settings\Sylvain>
Côté poste cible
1. Ouvrez l’Assistant Migration de PC sur votre ordinateur Windows Vista. Cliquez
sur Démarrer/Tous les programmes/Accessoires/Outils système/Transfert de
paramètres et fichiers Windows (voir fig. 5.13).
2. Au lancement de l’interface graphique de l’outil de transfert, la fenêtre Contrôle du
compte utilisateur s’affiche, cliquez sur Continuer. Dans la fenêtre Transfert de
fichiers et paramètres de Windows, cliquez sur Suivant pour continuer (voir
fig. 5.14).
153
Chapitre 5
L’installation de Windows Vista
5. L’installation de
Windows Vista
Figure 5.13 :
Lancement de l’utilitaire
de transfert depuis
Windows Vista
Figure 5.14 : Assistant de transfert de fichiers et paramètres
154
Migrer vers Windows Vista
3. Si des programmes sont ouverts, vous êtes invité à les fermer. Vous pouvez choisir
d’enregistrer votre travail dans chaque programme, puis de les fermer
individuellement, ou vous pouvez cliquer sur Tout fermer dans l’Assistant Migration
de PC afin de fermer simultanément tous les programmes en cours d’exécution.
5. L’installation de
Windows Vista
Figure 5.15 : Fermeture de tous les programmes en cours d’exécution
4. Dans la fenêtre Voulez-vous commencer un nouveau transfert ou en continuer un ?,
cliquez sur Démarrer un nouveau transfert afin de lancer le processus de
préparation de l’Assistant Migration de PC pour la collecte des informations sur les
ordinateurs existants.
Figure 5.16 : Lancement d’un nouveau transfert depuis l’ordinateur cible
155
Chapitre 5
L’installation de Windows Vista
5. Dans la fenêtre Quel ordinateur utilisez-vous maintenant ?, Cliquez sur Mon
nouvel ordinateur.
Figure 5.17 : Choix de l’ordinateur cible ou de l’ordinateur source pour le paramétrage
de transfert
5. L’installation de
Windows Vista
6. Dans la fenêtre Disposez-vous d’un câble de transfert ?, choisissez Non, afficher
d’autres options.
Figure 5.18 : Sélection du mode de transfert, avec ou sans câble USB
7. Pour continuer, vous allez devoir anticiper le fait d’avoir déjà installé l’utilitaire de
transfert sur votre ancien ordinateur. Pour cela, dans la fenêtre Avez-vous installé
Transfert de fichiers et paramètres Windows sur votre ancien ordinateur ?,
sélectionnez Oui, je l’ai installé.
8. C’est à ce stade du paramétrage que vous pouvez sélectionner le mode de transfert,
soit en réseau par un support de type CD ou DVD. Sélectionnez Oui, je vais
transférer des fichiers et paramètres via le réseau.
9. Il va s’agir de sécuriser l’échange entre les deux ordinateurs. Pour cela, vous
disposerez d’une clé commune aux deux ordinateurs. Deux choix s’offrent à vous.
156
Migrer vers Windows Vista
Vous avez la possibilité de cliquer sur Non, j’ai besoin d’une clé. Dans ce cas,
l’utilitaire va générer une clé que vous pourrez fournir à l’ordinateur source.
Seconde possibilité : vous démarrez simultanément le paramétrage de l’ordinateur
cible et demandez par le biais de l’ordinateur source une clé. Dans ce cas,
sélectionnez Oui, je dispose d’une clé.
Figure 5.19 : Demande d’une clé à l’utilitaire de transfert
5. L’installation de
Windows Vista
10. Pour notre exemple, la clé sera demandée par l’ordinateur cible à l’utilitaire.
Sélectionnez Non, j’ai besoin d’une clé. Notez la clé.
Figure 5.20 : L’ordinateur vous donne une clé aléatoire composée de chiffres et de lettres
en majuscules et minuscules
La deuxième partie va se dérouler à partir du poste source.
Côté poste source
1. Démarrez l’Assistant Migration de PC sur l’ordinateur à partir duquel vous
souhaitez faire migrer les paramètres et les fichiers en accédant au support amovible
ou au lecteur réseau contenant les fichiers de l’Assistant. Double-cliquez sur
migwiz.exe.
157
Chapitre 5
L’installation de Windows Vista
Figure 5.21 : L’exécutable Migwiz.exe provenant du DVD d’installation de Windows
5. L’installation de
Windows Vista
Vista dans le répertoire support\migwiz
2. Au lancement de l’interface graphique de l’outil de transfert, cliquez sur Suivant
pour continuer. Si des programmes sont ouverts, vous êtes invité à les fermer. Vous
pouvez choisir d’enregistrer votre travail dans chaque programme, puis de les
fermer individuellement, ou vous pouvez cliquer sur Tout fermer dans l’Assistant
Migration de PC afin de fermer simultanément tous les programmes en cours
d’exécution.
Figure 5.22 : Fermeture des programmes en cours d’exécution
158
Migrer vers Windows Vista
3. Dans la fenêtre Choisissez la méthode de transfert des fichiers et des paramètres
vers le nouvel ordinateur, sélectionnez Transférer directement, en utilisant une
connexion réseau.
5. L’installation de
Windows Vista
Figure 5.23 : Sélection de la méthode de transfert
Méthode de transfert
Les deux ordinateurs doivent prendre en charge la méthode de transfert choisie. Par
exemple, les deux ordinateurs doivent être connectés au même réseau.
4. Cliquez sur Utiliser une connexion réseau afin de commencer le transfert. Vous
pouvez également cliquer sur Copier dans et à partir d’un emplacement réseau si
vous souhaitez stocker les fichiers et paramètres dans un fichier afin de le charger
ultérieurement. Si vous choisissez de stocker les données dans un emplacement
réseau, vous serez invité à indiquer le chemin.
Figure 5.24 : Sélection du mode de transfert, directement de PC à PC ou de l’ordinateur
source vers un partage réseau commun
159
Chapitre 5
L’installation de Windows Vista
5. L’installation de
Windows Vista
5. Dans la partie précédente, l’utilitaire avait posé la question : "Avez-vous ou
souhaitez-vous une clé ?" Vous en avez demandé une. Dans la fenêtre
Disposez-vous d’une clé Transfert de fichiers et paramètres Windows ?, cliquez sur
Oui, je dispose d’une clé, puis saisissez la clé afin de pouvoir créer la communication
entre les deux ordinateurs et continuer.
Figure 5.25 : Clé aléatoire composée de chiffres et de lettres en majuscules et minuscules
provenant de l’ordinateur cible
6. Saisissez la clé demandée et cliquez sur Suivant.
7. Puisque la communication entre les deux ordinateurs est réalisée, c’est le moment
de choisir ce qui doit être transféré. Trois possibilités : cliquez sur Tous les comptes
d’utilisateurs, fichiers et paramètres (recommandé) afin de transférer tous les
fichiers et paramètres ; vous pouvez également choisir de déterminer exactement les
fichiers à faire migrer, en cliquant sur Uniquement mon compte d’utilisateur, mes
fichiers et mes paramètres ou sur Options avancées (voir fig. 5.26).
8. Dans notre cas, nous allons choisir de tout transférer. Vous devez donc cliquer sur
Tous les comptes d’utilisateurs, fichiers et paramètres (recommandé).
160
Migrer vers Windows Vista
Figure 5.26 : Fenêtre Que voulez-vous transférer sur votre nouvel ordinateur
5. L’installation de
Windows Vista
9. Examinez la liste des fichiers et des paramètres à transférer, puis cliquez sur
Transférer pour lancer le transfert. Malgré le fait d’avoir sélectionné Tous les
comptes d’utilisateurs, fichiers et paramètres (recommandé), vous avez la
possibilité de personnaliser votre sélection. Cela peut vous permettre d’ajouter des
données qui ne se trouvent pas forcément dans les paramètres utilisateurs. Pour
cela, cliquez sur Options avancées, puis sur Ajouter des répertoires.
Figure 5.27 : Sélection des utilisateurs, des paramètres et des fichiers à transférer
10. Entrez un nouveau nom d’utilisateur ou sélectionnez-le sur la liste. Dans cette
fenêtre, vous avez la possibilité de renommer les comptes que vous avez
sélectionnés précédemment et de donner le nouveau nom qu’ils porteront sur
l’ordinateur cible. Cliquez sur Suivant.
161
Chapitre 5
L’installation de Windows Vista
5. L’installation de
Windows Vista
Figure 5.28 : Sélection des noms utilisateur pour l’ordinateur cible
11. Dans le cas où vous posséderiez plusieurs lecteurs logiques ou simplement plusieurs
disques durs, vous avez la possibilité de transférer les données, les paramètres et les
fichiers sur le lecteur de votre choix. Vous avez même la possibilité de ne posséder
qu’un lecteur, par exemple. Cliquez sur Suivant pour lancer le transfert.
Figure 5.29 : Correspondance des disques de l’ordinateur source vers l’ordinateur cible
162
Migrer vers Windows Vista
Une estimation du temps de copie est réalisée, puis la copie est lancée.
Figure 5.30 : Estimation du temps de copie et lancement de la copie
12. Une fois le transfert terminé, un bref résumé s’affiche. Vous avez la possibilité
d’obtenir plus de détails sur l’ensemble des fichiers transférés en cliquant sur
Afficher tous les éléments transférés. Cliquez sur Fermer pour fermer l’utilitaire de
transfert sur le poste source.
5. L’installation de
Windows Vista
Regardons à présent ce qu’il s’est passé sur l’ordinateur cible. Les utilisateurs et les
paramètres ont été transférés. Paul a été renommé en Polo, Julie en Juju et Sylvain reste
Sylvain. Seule remarque pour le moment, les profils avec des droits d’administrateurs au
départ du transfert se retrouvent avec des droits de simples utilisateurs à l’arrivée ; idem
pour les données, elles sont à présent toutes sur le disque C.
Figure 5.31 : Contrôle du transfert des profils sur l’ordinateur cible
163
Chapitre 5
L’installation de Windows Vista
Transférer les fichiers et les paramètres à l’aide d’un support
amovible
Nous venons de voir en détail comment transférer les utilisateurs, les paramètres et les
données de poste à poste, mais il existe d’autres méthodes. Le transfert à l’aide d’un
support amovible en est une. Et selon les différentes méthodes, seuls deux ou trois
paramètres changent, mais le principe entre le poste source et le poste cible ne change
pas (c’est d’ailleurs pour cela que nous avons passé du temps sur ce sujet). Pour ne pas
répéter tout ce qui a été écrit précédemment, nous allons parcourir un peu plus
rapidement les deux méthodes restantes.
1. Démarrez l’Assistant Migration de PC sur l’ordinateur à partir duquel vous
souhaitez faire migrer les paramètres et les fichiers en accédant au support amovible
ou au lecteur réseau contenant les fichiers de l’Assistant. Double-cliquez sur
migwiz.exe.
5. L’installation de
Windows Vista
2. Si des programmes sont ouverts, vous êtes invité à les fermer. Vous pouvez choisir
d’enregistrer votre travail dans chaque programme, puis de les fermer
individuellement, ou vous pouvez cliquer sur Tout fermer dans l’Assistant Migration
de PC afin de fermer simultanément tous les programmes en cours d’exécution.
Cliquez sur Suivant.
3. Déterminez la méthode de transfert à utiliser. Sélectionnez Sur un CD ou un autre
support amovible, tel qu’un lecteur flash.
Support
Les deux ordinateurs doivent prendre en charge la méthode de transfert choisie. Par
exemple, ils doivent prendre en charge le même type de support amovible.
4. Cliquez sur Vers un lecteur réseau afin d’enregistrer les fichiers dans un dossier
réseau ou un dossier sur un lecteur amovible.
5. Dans Où souhaitez-vous enregistrer vos fichiers ?, tapez le chemin d’un dossier sur le
lecteur amovible. Cliquez sur Suivant.
6. Cliquez sur Tous les comptes d’utilisateurs, fichiers et paramètres (recommandé)
afin de transférer tous les fichiers et paramètres. Vous pouvez également choisir de
déterminer exactement les fichiers à migrer, en cliquant sur Seulement mon compte
utilisateur, mes fichiers et mes paramètres de programme ou sur Personnalisé.
7. Examinez la liste des fichiers et paramètres à transférer, puis cliquez sur Démarrer
pour lancer le transfert. Cliquez sur Personnaliser si vous souhaitez ajouter ou
supprimer des fichiers ou des paramètres.
8. Cliquez sur Fermer une fois que l’Assistant Migration de PC a terminé la copie des
fichiers.
164
Migrer vers Windows Vista
9. Déplacez le support amovible vers le nouvel ordinateur et lancez l’Assistant
Migration de PC. Cliquez sur Suivant.
10. Cliquez sur Continuer un transfert en cours.
11. Dans Où avez-vous copié vos fichiers ?, cliquez sur Support amovible. Si l’option
Support amovible n’est pas disponible, cliquez sur Lecteur réseau. Cliquez sur
Suivant.
12. Dans Localisez vos fichiers enregistrés, tapez le chemin vers vos fichiers enregistrés ou
cliquez sur Parcourir. Cliquez sur Suivant une fois que vous avez localisé les
fichiers.
13. Choisissez sur le nouvel ordinateur des noms d’utilisateurs qui correspondent à ceux
de l’ancien ordinateur. Vous pouvez être amené à créer de nouveaux comptes lors
de cette étape. Tapez un nom d’utilisateur afin de créer un compte sur l’ordinateur
local. Saisissez un nom d’utilisateur afin de créer un profil.
14. Dans Choisissez les lecteurs pour les fichiers sur votre nouvel ordinateur, sélectionnez
le lecteur de destination pour chaque emplacement du lecteur source. Par exemple,
pour les fichiers provenant du lecteur D: de votre ancien ordinateur, vous devez
indiquer vers quel lecteur ils doivent être déplacés sur le nouvel ordinateur.
5. L’installation de
Windows Vista
15. Examinez la liste des fichiers et paramètres à transférer puis cliquez sur Démarrer
pour lancer le transfert. Cliquez sur Personnaliser si vous souhaitez ajouter ou
supprimer des fichiers ou des paramètres.
16. Cliquez sur Fermer une fois que l’Assistant Migration de PC a terminé la copie des
fichiers.
Transférer les fichiers et les paramètres: à l’aide d’un CD ou
d’un DVD
Pour clore la partie sur les transferts de ce chapitre, voici de manière très rapide la
dernière méthode, celle par CD ou DVD :
1. Démarrez l’Assistant Migration de PC sur l’ordinateur à partir duquel vous
souhaitez faire migrer les paramètres et les fichiers en accédant au support amovible
ou au lecteur réseau contenant les fichiers de l’Assistant. Double-cliquez sur
migwiz.exe.
2. Si des programmes sont ouverts, vous êtes invité à les fermer. Vous pouvez choisir
d’enregistrer votre travail dans chaque programme, puis de les fermer
individuellement, ou vous pouvez cliquer sur Fermer tout dans l’Assistant Migration
de PC afin de fermer simultanément tous les programmes en cours d’exécution.
Cliquez sur Suivant.
3. Déterminez la méthode de transfert à utiliser. Cliquez sur Graver un CD ou un
DVD.
165
Chapitre 5
L’installation de Windows Vista
Support
Les deux ordinateurs doivent prendre en charge la méthode de transfert choisie. Par
exemple, ils doivent être équipés d’un lecteur de CD ou de DVD.
4. Dans Choisissez votre support, tapez le chemin vers le support CD ou DVD
réinscriptible. Cliquez sur Suivant.
5. Cliquez sur Tous les comptes d’utilisateurs, fichiers et paramètres (recommandé)
afin de transférer tous les fichiers et paramètres. Vous pouvez également choisir de
déterminer exactement les fichiers à migrer, en cliquant sur Seulement mon compte
utilisateur, mes fichiers et mes paramètres de programme ou sur Personnalisé.
6. Examinez la liste des fichiers et paramètres à transférer, puis cliquez sur Démarrer
pour lancer le transfert. Cliquez sur Personnaliser si vous souhaitez ajouter ou
supprimer des fichiers ou des paramètres. S’il n’y a pas suffisamment d’espace
disponible sur le support réinscriptible, l’Assistant Migration de PC indique le
nombre de disques vierges nécessaires.
7. Cliquez sur Suivant une fois le processus de gravure du CD ou du DVD terminé.
5. L’installation de
Windows Vista
8. Cliquez sur Fermer une fois que l’Assistant Migration de PC a terminé la copie des
fichiers.
9. Déplacez le CD ou le DVD vers le nouvel ordinateur et lancez l’Assistant Migration
de PC. Cliquez sur Suivant.
10. Cliquez sur Continuer un transfert en cours.
11. Dans Où avez-vous copié vos fichiers ?, cliquez sur Lire le CD ou le DVD.
12. Dans Choisissez votre support, sélectionnez la lettre d’unité du lecteur de CD ou de
DVD ou se trouve le disque. Cliquez sur Suivant une fois que vous avez localisé les
fichiers.
13. Choisissez, sur le nouvel ordinateur, des noms d’utilisateurs qui correspondent à
ceux de l’ancien ordinateur. Vous pouvez être amené à créer de nouveaux comptes
lors de cette étape. Tapez un nom d’utilisateur afin de créer un compte sur
l’ordinateur local.
14. Dans Choisissez les lecteurs pour les fichiers sur votre nouvel ordinateur, sélectionnez
le lecteur de destination pour chaque emplacement du lecteur source. Par exemple,
pour les fichiers provenant du lecteur D: de votre ancien ordinateur, vous devez
indiquer vers quel lecteur ils doivent être déplacés sur le nouvel ordinateur.
15. Examinez la liste des fichiers et paramètres à transférer, puis cliquez sur Démarrer
pour lancer le transfert. Cliquez sur Personnaliser si vous souhaitez ajouter ou
supprimer des fichiers ou des paramètres.
16. Cliquez sur Fermer une fois que l’Assistant Migration de PC a terminé la copie des
fichiers.
166
Préparer la mise à jour vers Windows Vista
5.5.
Préparer la mise à jour vers Windows Vista
Tout au long de ce chapitre, nous avons vu comment faire cohabiter Windows XP et
Windows Vista. Nous avons vu également comment transférer nos données d’un poste
utilisateur Windows XP vers un nouvel ordinateur équipé de Windows Vista. Nous
allons voir à présent comment mettre son ancien ordinateur à niveau vers Windows
Vista. Bien que cette opération semble simple, il est quand même nécessaire d’effectuer
quelques vérifications d’usage telles que la version vers laquelle l’on souhaite migrer ou
encore la compatibilité du matériel. Il ne faut pas oublier également de vérifier les
prérequis d’installation et réaliser une sauvegarde. Et pour terminer ce tour d’horizon,
vous devez bien comprendre ce qu’il se passe durant la migration. Pour atteindre notre
objectif, nous allons devoir réaliser les étapes suivantes :
la vérification de la compatibilité de l’ordinateur avec Windows Vista ;
j
l’installation du Conseiller de mise à niveau Windows Vista ;
j
l’installation du Framework .NET 2.0 ;
j
l’installation de MSXML ;
j
la sauvegarde des données existantes ;
j
l’installation de Windows Vista.
5. L’installation de
Windows Vista
j
Cette opération demande de répondre aux prérequis suivants :
j
la mise à jour de Windows Vista avec le numéro de série ;
j
un disque dur ou un DVD pour la sauvegarde des données ;
j
un espace disque libre d’au moins 12 Go pour la mise à niveau.
Choisir une version de mise à jour
Voici un tableau récapitulatif :
Tableau 5.1 : Installation et mise à niveau vers Windows Vista
Windows XP
Professional
Nécessite une
nouvelle
installation
Nécessite une
nouvelle
installation
Mise à niveau
possible sur la
version existante
Mise à niveau
possible sur la
version existante
Windows XP
Familial
Mise à niveau
possible sur la
version existante
Mise à niveau
possible sur la
version existante
Mise à niveau
possible sur la
version existante
Mise à niveau
possible sur la
version existante
Windows XP
Media Center
Nécessite une
nouvelle
installation
Mise à niveau
possible sur la
version existante
Nécessite une
nouvelle
installation
Mise à niveau
possible sur la
version existante
167
Chapitre 5
L’installation de Windows Vista
Windows XP
Professional
Nécessite une
nouvelle
installation
Nécessite une
nouvelle
installation
Mise à niveau
possible sur la
version existante
Mise à niveau
possible sur la
version existante
Windows XP
Tablet PC
Nécessite une
nouvelle
installation
Nécessite une
nouvelle
installation
Mise à niveau
possible sur la
version existante
Mise à niveau
possible sur la
version existante
Windows XP
Nécessite une
Professionnel x64 nouvelle
installation
Nécessite une
nouvelle
installation
Nécessite une
nouvelle
installation
Nécessite une
nouvelle
installation
Windows 2000
Nécessite une
nouvelle
installation
Nécessite une
nouvelle
installation
Nécessite une
nouvelle
installation
Nécessite une
nouvelle
installation
5. L’installation de
Windows Vista
Une fois l’analyse du tableau réalisée, il est nécessaire d’effectuer quelques tâches
préliminaires comme évaluer la configuration requise ou encore valider la version vers
laquelle vous souhaitez mettre l’ordinateur à jour. Pour cela, Microsoft propose un outil.
Deuxième étape importante : la sauvegarde des données. C’est seulement après avoir
réalisé les deux étapes préliminaires que vous pourrez passer à l’étape 3 qui consiste à
mettre à niveau un ordinateur possédant déjà un système d’exploitation vers Windows
Vista.
À partir de Windows Vista Familiale Basic
Windows Vista Familiale Basic est la première version à fonctionner sur des ordinateurs
classiques. Elle fonctionne avec les prérequis suivants :
j
un CPU d’au moins 800 MHz ;
j
512 Mo de mémoire ;
j
une carte graphique DirectX 9 ;
j
un disque de 20 Go, avec 15 Go d’espace libre.
Elle offre uniquement les fonctions de base de Windows Vista.
À partir de Windows Vista Familiale Premium
La version Windows Vista Home Premium est, quant à elle, la première version
multimédia de Windows Vista. Elle permet d’activer les fonctions graphiques. Le pilote
WDDM permet d’étendre le Bureau, ce qui apporte plusieurs fonctionnalités comme la
transparence, mais aussi et surtout la composition du Bureau au sein de la carte
graphique. Il va permettre aux processeurs graphiques de délester les processeurs
centraux. Cette version fonctionne avec les prérequis supplémentaires suivants :
j
168
un CPU d’au moins 1 GHz ;
Préparer la mise à jour vers Windows Vista
j
1 Go de mémoire ;
j
une carte graphique avec pilote WDDM.
Vérifier la compatibilité matérielle
Lorsque l’on choisit de mettre à niveau son ancien ordinateur, il est important de vérifier
la compatibilité, cela peut épargner bien des problèmes en milieu d’installation. Par
exemple, la fiche KB927688, intitulée "Lorsque vous tentez d’installer Windows Vista,
l’option de mise à niveau n’est pas disponible", explique les problèmes liés à la
compatibilité matérielle. Pour ne pas rencontrer ce type de désagrément, Microsoft met
à votre disposition un Conseiller de mise à niveau Windows Vista. Cependant, il
nécessite l’installation de deux prérequis : le Framework .NET et MSXML.
Installer le Framework .NET
L’un des deux prérequis pour l’utilisation de l’utilitaire Upgrade Advisor est
l’installation du Framework .NET.
5. L’installation de
Windows Vista
Téléchargement de Framework .NET
www.microsoft.com/downloads/details.aspx?displaylang=fr&FamilyID=0856eacb-4362
-4b0d-8edd-aab15c5e04f5
Une fois le Framework téléchargé, il vous faut procéder à l’installation en respectant les
étapes suivantes :
1. Cliquez une première fois sur le fichier téléchargé et, à son ouverture, cliquez sur
Exécuter.
2. Une fois le Framework décompressé, l’assistant d’installation se lance. Dans la
fenêtre Bienvenue dans le programme d’installation de Microsoft .NET
Framework2.0, cliquez sur Suivant.
3. Dans la fenêtre Contrat de Licence Utilisateur Final, acceptez les termes du contrat
de licence en cochant la case J’accepte les termes du contrat de licence et cliquez sur
Installer.
4. L’installation peut prendre quelques minutes. Dans la fenêtre Installation
terminée, cliquez sur Terminer.
169
Chapitre 5
L’installation de Windows Vista
Installer MSXML
Le deuxième prérequis pour l’utilisation de l’outil Upgrade Advisor est MSXML.
Téléchargement de MSXML
www.microsoft.com/downloads/details.aspx?displaylang=fr&FamilyID=993c0bcf-3bcf
-4009-be21-27e85e1857b1
Une fois MSXML téléchargé, procédez à l’installation en respectant les étapes
suivantes :
1. Cliquez une première fois sur le fichier téléchargé. À l’ouverture, cliquez sur
Suivant.
2. Dans la fenêtre Contrat de licence, cochez la case J’accepte les termes du contrat de
licence et cliquez sur Suivant.
3. Dans la fenêtre Information, remplissez ou modifier les champs Nom et Société, puis
cliquez sur Suivant.
5. L’installation de
Windows Vista
4. Cliquez sur Installer dans la fenêtre Prêt à installer le programme pour lancer
l’installation.
5. Pour finir l’installation, cliquez sur Terminer.
Installer le Conseiller de mise à niveau Windows Vista
Téléchargement du Conseiller de mise à niveau Windows Vista
www.microsoft.com/france/windows/products/windowsvista/buyorupgrade
/upgradeadvisor.mspx
Sur le site, cliquez sur le lien Téléchargez le Conseiller de mise à niveau Windows Vista
pour que le téléchargement se lance.
Windows Vista Upgrade Advisor ne fonctionne qu’avec Windows XP. Il n’est pas
possible de le faire fonctionner avec Windows 98 ou Windows 2000. Pour l’installer,
procédez ainsi :
1. Lancez l’exécutable WindowsVistaUpgradeAdvisor. Une fenêtre d’avertissement de
sécurité s’ouvre, cliquez sur Exécuter.
170
Préparer la mise à jour vers Windows Vista
Figure 5.32 :
La fenêtre
d’avertissement de
sécurité de l’installation
du Conseiller de mise à
niveau Windows Vista
2. Dans la fenêtre Assistant Installation du Conseiller de mise à niveau Windows
Vista, cliquez sur Suivant pour continuer.
Figure 5.33 :
La fenêtre de l’assistant
d’installation
5. L’installation de
Windows Vista
3. Dans la fenêtre Contrat de licence, cliquez sur J’accepte pour valider les termes de
licence et cliquez sur Suivant (voir fig. 5.34).
4. Dans la fenêtre Sélection du dossier d’installation, gardez le répertoire par défaut
et cliquez sur Suivant. Si vous souhaitez modifier le chemin d’installation, cliquez
sur Parcourir, sélectionnez le nouveau chemin et cliquez sur Suivant (voir fig. 5.35).
171
Chapitre 5
L’installation de Windows Vista
Figure 5.34 :
Validation du contrat de
licence
5. L’installation de
Windows Vista
Figure 5.35 :
Sélection du dossier
d’installation
5. L’assistant d’installation vous propose de créer un raccourci sur votre Bureau en
sélectionnant par défaut l’option Créer un raccourci sur le bureau. Si vous ne
souhaitez pas voir de raccourci, cliquez sur Ne pas créer de raccourci sur le bureau,
puis cliquez sur Suivant pour continuer.
172
Préparer la mise à jour vers Windows Vista
Figure 5.36 :
Confirmation de
l’installation
6. Pour terminer l’installation, cliquez sur Fermer.
5. L’installation de
Windows Vista
Figure 5.37 :
Fin de l’installation
Utiliser le Conseiller de mise à niveau Windows Vista
Le Conseiller de mise à niveau Windows Vista permet également de vous aider à choisir
la version qu’il vous faut en fonction de vos besoins, en termes de multimédia, de
connectivité ou encore d’accès à l’information : "Qu’est-ce que je veux faire à l’intérieur
de l’entreprise ? Est-ce que je veux faire du partage collaboratif ?" Il va déterminer en
fonction des activités la version en adéquation avec ces besoins. Il est capable également
de mettre un certain nombre de points bloquants en avant.
173
Chapitre 5
L’installation de Windows Vista
À présent, vous allez utiliser le Conseiller de mise à niveau Windows Vista au travers de
plusieurs étapes.
1. Pour lancer le programme, cliquez sur le menu Démarrer/Tous les programmes/
Conseiller de mise à niveau Windows Vista ou cliquez tout simplement sur le
raccourci si vous avez sélectionné l’option durant l’installation.
Figure 5.38 :
Le raccourci du Conseiller de mise à
niveau Windows Vista sur le Bureau
5. L’installation de
Windows Vista
2. Démarrez l’analyse de votre ordinateur en cliquant sur Démarrer l’analyse. Cette
analyse peut être réalisée à partir de Windows XP bien évidemment, mais
également depuis un ordinateur qui possède une version de Windows Vista que
vous souhaitez faire évoluer vers une version plus élaborée.
Figure 5.39 : Lancement de l’analyse de votre ordinateur
174
Préparer la mise à jour vers Windows Vista
Le Conseiller de mise à niveau Windows Vista se connecte à Internet pour actualiser sa
base. Ensuite, il commence à analyser votre ordinateur en fonction de quatre
déclinaisons de Windows Vista : Intégrale, Familial Premium, Professionnel et Familial
Basic.
Une fois l’analyse terminée, le programme affiche la version de Windows Vista la mieux
adaptée à votre ordinateur ainsi que trois rapports détaillés.
5. L’installation de
Windows Vista
Figure 5.40 : Le résultat de l’analyse
Chaque rapport détaillé présent des recommandations propres à sa partie. Le premier
rapport représente le système. Dans chaque rapport, un certain nombre d’actions sont
données avec les explications qui les accompagnent.
175
Chapitre 5
L’installation de Windows Vista
Le deuxième rapport représente les périphériques. Ce rapport se décompose en trois
parties à son tour.
La partie Configuration requise correspond en quelque sorte aux problèmes à passer
en revue.
5. L’installation de
Windows Vista
j
Figure 5.41 : Le rapport de configuration
176
Préparer la mise à jour vers Windows Vista
j
La partie Périphériques correspond à la liste de périphériques pour lesquels le
programme n’a pas trouvé d’informations. Cependant, l’utilitaire se met
régulièrement à jour sur la base de données qui elle-même est régulièrement
actualisée.
5. L’installation de
Windows Vista
Figure 5.42 : Le rapport sur les périphériques
177
Chapitre 5
La partie Programmes correspond aux programmes qui sont conformes à Windows
Vista, c’est-à-dire qui n’ont pas besoin d’action.
5. L’installation de
Windows Vista
j
L’installation de Windows Vista
Figure 5.43 : Le rapport sur les programmes
Configuration requise
Les PC qui ne satisfont pas à la configuration matérielle pour le processeur, la
mémoire et la carte vidéo peuvent tout de même exécuter Windows Vista, mais ils
n’en offriront peut-être pas toutes les fonctionnalités et tous les avantages. Par
178
Préparer la mise à jour vers Windows Vista
exemple, les PC avec des cartes graphiques qui ne prennent pas en charge WDDM
offriront simplement un graphisme comparable à celui de Windows XP avec les
bénéfices des fonctionnalités, de la stabilité et des performances ainsi que
l’amélioration de la sécurité.
Sauvegarder les données importantes
Avant de mettre son ordinateur à niveau, il est important de réaliser une sauvegarde de
ses données importantes. Bien que cette étape soit facultative, il est important, et même
recommandé, de disposer d’une sauvegarde récente des données importantes avant
d’apporter des modifications significatives à l’ordinateur, afin d’éviter la perte de
données.
Pour enregistrer vos données essentielles dans un emplacement sûr, les options
dépendent du système d’exploitation d’origine et des options de sauvegarde dont vous
disposez. La liste suivante présente quelques possibilités de sauvegarde :
l’utilisation de Windows Backup ou tout autre logiciel de sauvegarde ;
j
la copie des données importantes dans un point de partage sur le réseau ;
j
la gravure des données sur un CD ou un DVD ;
j
la sauvegarde sur un disque dur externe.
5. L’installation de
Windows Vista
j
Vous allez ici utiliser Windows Backup :
1. Pour lancer l’utilitaire de sauvegarde, cliquez sur Démarrer/Tous les programmes/
Accessoires/Outils système/Utilitaire de sauvegarde.
2. Dans la fenêtre Assistant de sauvegarde et restauration, cliquez sur Suivant.
3. La fenêtre suivante vous propose de sauvegarder ou de restaurer des données au
travers des options. Sélectionnez Sauvegarder les fichiers et les paramètres. Cliquez
sur Suivant.
Vous avez le choix d’effectuer quatre types de sauvegarde :
j
L’option Mes documents et paramètres inclut le dossier Mes documents, les favoris,
votre Bureau et vos cookies.
j
L’option Les paramètres et les documents de tout le monde consiste à sauvegarder les
paramètres et les documents de tous les utilisateurs.
j
L’option Toutes les informations sur cet ordinateur permet de sauvegarder toutes les
informations sur l’ordinateur. Elle inclut toutes les données de l’ordinateur et crée
un disque de récupération du système qui permettra de restaurer Windows en cas de
problème majeur.
179
Chapitre 5
j
L’installation de Windows Vista
L’option Me laisser choisir les fichiers à sauvegarder vous laisse le choix des
informations que vous souhaitez sauvegarder.
4. Sélectionnez la quatrième option et cliquez sur Suivant.
5. Sélectionnez dans la fenêtre Éléments à sauvegarder l’ensemble des éléments
que vous souhaitez sauvegarder. Une fois votre sélection réalisée, cliquez sur
Suivant.
6. Donnez un nom et une destination pour les stocker. Dans la fenêtre Type, nom
et destination de la sauvegarde, il est possible de sauvegarder vos données sur
une clé USB, voire sur un disque dur amovible. Nommez la sauvegarde, par
exemple Sauvegarde avant Vista. Cliquez sur Suivant.
7. Pour mettre fin à l’assistant de sauvegarde, cliquez sur Fin.
Une fois la sauvegarde terminée, il vous est possible de consulter le rapport de
sauvegarde pour vérifier qu’il n’y a pas eu d’erreur :
5. L’installation de
Windows Vista
État de la sauvegarde
Opération : sauvegarde
Destination de sauvegarde active : Fichier
Nom du média : "sauvegarde avant installation de Vista.bkf créé le 29/08/2007 à 00:02"
Sauvegarde (par clichés instantanés) de "C: "
Jeu de sauvegardes n° 1 sur le média n° 1
Description de la sauvegarde : "Jeu créé le 29/08/2007 à 00:02"
Nom du média : "sauvegarde avant installation de Vista.bkf créé le 29/08/2007 à 00:02"
Type de sauvegarde : Normale
Sauvegarde commencée le 29/08/2007 à 00:03.
Sauvegarde terminée le 29/08/2007 à 00:05.
Répertoires : 280
Fichiers : 440
Octets : 222 557 106
Durée : 1 minute et 23 secondes
Sauvegarde (par clichés instantanés) de "E: DATA"
Jeu de sauvegardes n° 2 sur le média n° 1
Description de la sauvegarde : "Jeu créé le 29/08/2007 à 00:02"
Nom du média : "sauvegarde avant installation de Vista.bkf créé le 29/08/2007 à 00:02"
Type de sauvegarde : Normale
Sauvegarde commencée le 29/08/2007 à 00:05.
Sauvegarde terminée le 29/08/2007 à 00:07.
Répertoires : 93
Fichiers : 1474
Octets : 554 711 280
Durée : 2 minutes et 11 secondes
180
Mettre à jour le système d’exploitation vers Windows Vista
5.6.
Mettre à jour le système d’exploitation vers
Windows Vista
La procédure de mise à jour vers Windows Vista suppose que vous exécutiez déjà une
version antérieure de Windows sur votre ordinateur. Les mises à niveau sont prises en
charge pour les versions suivantes de Windows :
j
Windows 2000 ;
j
Windows XP ;
j
Windows Vista.
Dans notre cas, la mise à jour va s’effectuer depuis Windows XP.
5. L’installation de
Windows Vista
Impératif
Pour pouvoir mettre votre ordinateur à niveau vers Windows Vista, il vous faut plus
de 11 Go d’espace disponible. Autrement, l’option de mise à niveau restera grisée. En
cas de problème d’installation, il se peut que l’ordinateur se fige et que vous deviez
redémarrer l’ordinateur. Dans ce cas, une boîte de dialogue s’ouvre en vous indiquant
que l’installation a été arrêtée de façon inattendue. Or, celle-ci aura consommé de
l’espace disque, et il se peut qu’il ne vous soit plus possible de mettre à niveau la
machine vers Vista à cause d’un manque d’espace disponible et que vous ne puissiez
plus utiliser votre ancienne version de Windows. La parade est de redémarrer depuis
le DVD d’installation en mode de réparation, d’utiliser l’utilitaire en ligne de
commandes et de supprimer les fichiers temporaires de l’installation, puis de répéter
l’étape d’installation.
Pour mettre votre ordinateur à jour vers Windows Vista, suivez ces étapes :
1. Démarrez le programme d’installation de Windows Vista en insérant le DVD, puis
en cliquant sur Installer. Si le programme d’exécution automatique n’ouvre pas la
fenêtre d’installation de Windows, accédez au dossier racine du DVD et
double-cliquez sur setup.exe.
2. Cliquez sur Suivant afin de lancer le processus d’installation.
3. Cliquez sur Rechercher les dernières mises à jour en ligne (recommandé) afin de
rechercher les dernières mises à jour importantes pour Windows Vista. Cette étape
est facultative. Si vous choisissez de ne pas rechercher les mises à jour au cours de
l’installation, cliquez sur Ne pas rechercher les dernières mises à jour.
4. Dans la partie Clé du produit, tapez le numéro de série du produit. Il est composé de
25 caractères alphanumériques. Cliquez sur Suivant pour continuer.
5. Windows Vista ne déroge pas à la règle : lisez et acceptez les termes du contrat de
licence. Sélectionnez J’accepte les termes du contrat de licence (indispensable pour
181
Chapitre 5
L’installation de Windows Vista
Windows), puis cliquez sur Suivant. Si vous ne validez pas cette option, vous serez obligé
de mettre fin au programme d’installation de Windows Vista.
6. Dans la fenêtre Quel type d’installation voulez effectuer ?, cliquez sur Mettre à
niveau pour procéder à la mise à jour de votre installation existante de Windows.
Le programme d’installation de Windows Vista se poursuit jusqu’à la fin sans autre
interaction de la part de l’utilisateur.
À la fin de la mise à niveau, les partitions, les partages et les paramètres de l’ancienne
version n’ont pas bougé. À présent, il ne vous reste plus qu’à restaurer vos anciennes
données. Pour cela, vous devez lancer l’utilitaire de sauvegarde et choisir l’option
Restauration de données. Suivez les instructions de restauration comme à l’étape
Sauvegarder des données de ce chapitre.
Journaux d’installation
Les fichiers journaux suivants sont créés lorsqu’une mise à niveau réussit :
j
C:\Windows\Panther\Setupact.log ;
C:\Windows\panther\setuperr.log ;
C:\Windows\inf\setupapi.app.log ;
C:\Windows\inf\setupapi.dev.log ;
C:\Windows\panther\PreGatherPnPList.log ;
C:\Windows\panther\PostApplyPnPList.log ;
j
C:\Windows\panther\miglog.xml.
j
j
5. L’installation de
Windows Vista
j
j
j
5.7.
Dépanner la mise à niveau vers Windows Vista
Bien que ce soit vraiment très rare, il arrive parfois que la mise à niveau vers Windows
Vista ne se déroule pas pour le mieux. Quelques informations sont mises à votre
disposition durant la migration pour vous permettre de mieux comprendre ce qu’il se
passe.
Les fichiers journaux suivants sont créés en cas d’échec d’une mise à niveau pendant
l’installation et avant que l’ordinateur redémarre pour la seconde fois :
182
j
C:\$Windows.~BT\Sources\panther\setupact.log ;
j
C:\$Windows.~BT\Sources\panther\miglog.xml ;
j
C:\Windows\setupapi.log.
Dépanner la mise à niveau vers Windows Vista
Les fichiers journaux suivants sont créés en cas d’échec d’une mise à niveau pendant
l’installation et après que l’ordinateur redémarre pour la seconde fois :
j
C:\Windows\panther\setupact.log ;
j
C:\Windows\panther\miglog.xml ;
j
C:\Windows\inf\setupapi.app.log ;
j
C:\Windows\inf\setupapi.dev.log ;
j
C:\Windows\panther\PreGatherPnPList.log ;
j
C:\Windows\panther\PostApplyPnPList.log ;
j
C:\Windows\memory.dmp.
Les fichiers journaux suivants sont créés en cas d’échec d’une mise à niveau, lors de la
restauration du bureau :
C:\$Windows.~BT\Sources\panther\setupact.log ;
j
C:\$Windows.~BT\Sources\panther\miglog.xml ;
j
C:\$Windows.~BT\sources\panther\setupapi\setupapi.dev.log ;
j
C:\$Windows.~BT\sources\panther\setupapi\setupapi.app.log ;
j
C:\Windows\memory.dmp.
5. L’installation de
Windows Vista
j
Lorsque vous tentez d’effectuer une mise à niveau vers Windows Vista, il se peut que
l’option Mettre à niveau située dans la boîte de dialogue Installer Windows ne soit pas
disponible. Pour tenter de résoudre ce problème, Microsoft met à votre disposition un
ensemble de fiches techniques disponibles sur le site de support…
j
927295 : vous ne pouvez pas sélectionner l’option de mise à niveau lorsque vous
essayez d’installer Windows Vista, et vous obtenez le message suivant : "Windows ne
peut pas déterminer si un autre système d’exploitation existe sur l’ordinateur."
j
927296 : vous ne pouvez pas sélectionner l’option de mise à niveau lorsque vous
essayez d’installer Windows Vista, et vous obtenez le message suivant : "Il existe
plusieurs systèmes d’exploitation sur votre partition de mise à niveau."
j
927297 : vous ne pouvez pas sélectionner l’option de mise à niveau lorsque vous
essayez d’installer Windows Vista, et vous obtenez le message suivant : "Vous devez
renommer ou supprimer <NomDossier> pour que la mise à niveau puisse continuer."
j
926069 : vous ne pouvez pas sélectionner l’option de mise à niveau lorsque vous
essayez d’installer Windows Vista, et vous obtenez le message suivant : "La mise à
niveau a été désactivée."
j
927688 : lorsque vous tentez d’installer Windows Vista, l’option de mise à niveau
n’est pas disponible, et un message d’erreur spécifique au matériel installé sur votre
ordinateur s’affiche.
183
5. L’installation de
Windows Vista
Chapitre 5
L’installation de Windows Vista
j
928432 : l’option de mise à niveau n’est pas disponible lors du démarrage de
l’ordinateur à l’aide du DVD Windows Vista.
j
932004 : message d’erreur lorsque vous essayez de mettre à niveau un ordinateur
Windows XP vers Windows Vista : "Le système d’exploitation existant ne remplit pas
les conditions logicielles requises : ’Service Pack 2 pour Windows XP’."
j
932005 : l’option de mise à niveau n’est pas disponible pour Windows Vista, et le
message d’erreur suivant peut s’afficher : "Vous ne pouvez pas mettre à niveau
Windows en mode sans échec."
j
932006 : message d’erreur lorsque vous essayez de mettre à niveau un ordinateur
vers Windows Vista :"Impossible de démarrer la mise à niveau car la langue de
Windows installée est différente de celle de ce disque."
j
932007 : message d’erreur lorsque vous essayez de mettre à niveau un ordinateur
vers Windows Vista : "Le système d’exploitation installé ne prend pas en charge la mise
à jour vers Windows Vista."
j
932009 : message d’erreur lorsque vous essayez d’installer Windows Vista à partir
du support d’installation Windows Vista. Vous recevez le message : "La mise à
niveau a été désactivée — Pour la mise à niveau, démarrez l’installation à partir de
Windows."
5.8.
En résumé
Vous avez découvert l’installation détaillée de Windows Vista à partir d’un média ou
d’une mise à jour. Vous avez appris à transférer votre profil et vos données à partir de
votre ancien poste Windows XP.
184
Chapitre 6
Le déploiement des
ordinateurs Windows
Vista en entreprise –
phase 1
6.1
6.2
6.3
6.4
6.5
6.6
6.7
6.8
Le processus d’installation de Windows Vista . .
L’Assistant Gestion d’installation . . . . . . . . . .
L’architecture de l’Assistant Gestion d’installation
L’interface graphique . . . . . . . . . . . . . . . . .
Créer un fichier de réponses . . . . . . . . . . . . .
Sysprep . . . . . . . . . . . . . . . . . . . . . . . . . .
Windows PE 2.0 . . . . . . . . . . . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . . .
...
...
..
...
...
...
...
...
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 187
. 208
. 208
. 211
. 212
. 223
. 233
. 246
Le processus d’installation de Windows Vista
D
ès à présent, les déploiements à venir à partir des infrastructures Active Directory
Windows Server 2003 vont concerner le déploiement de Windows Vista. En deux
chapitres, vous allez entrer dans le détail du déploiement de Windows Vista, d’abord
dans la préparation à la création d’une image, puis dans la création et l’application
proprement dites.
Puisque Windows Vista est le dernier-né des systèmes d’exploitation clients de
Microsoft, regardons de plus près son processus d’installation et les outils de
préparation à un déploiement d’entreprise.
6.1.
Le processus d’installation de Windows Vista
Terminé les modes textes et les modes graphiques de l’installation de Windows, comme
avec Windows XP, terminé le répertoire I386, terminé la commande winnt32.exe : un
tout nouveau processus d’installation de Windows fait son apparition avec Windows
Vista, fondé sur une image système. Il est important de bien comprendre le mécanisme
de ce nouveau processus pour bien comprendre les outils de déploiement qui en
découle.
Introduction à l’installation de Windows Vista
Vous ne verrez plus de parties d’installation en mode texte et en mode graphique.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Figure 6.1 : Mode texte de l’installation de Windows XP
187
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Figure 6.2 : Mode graphique de l’installation de Windows XP
Mettez un DVD de Windows Vista dans votre lecteur et redémarrez. L’installation de
Windows Vista se lance. Sous les aspects simples de cette installation se cachent une
technologie avancée et un nouveau processus d’installation.
L’installation de Windows correspond au programme qui installe Windows ou procède
aux mises à niveau d’une installation de Windows existante. L’installation de Windows
constitue aussi la base des méthodes d’installation et de mise à niveau. Il existe trois
méthodes d’installation de Windows…
j
L’installation interactive : elle consiste à être devant l’ordinateur et à répondre aux
quelques questions posées.
j
L’installation en mode sans assistance : comme son nom l’indique, elle consiste en
une installation totalement automatisée et maîtrisée.
j
WDS : c’est le service de déploiement Windows. Il consiste en l’automatisation de
l’installation et du déploiement en masse de Windows Vista.
Vous comprenez tout de suite que vous allez tendre le plus possible vers une installation
et un déploiement le plus automatisé possible car votre temps d’administrateur est
précieux et qu’il est plus utile à des tâches à plus forte valeur ajoutée.
Il existe deux types d’installation :
j
188
L’installation de Windows peut effectuer une installation propre, c’est l’installation
classique qui se fait sur un disque dur vierge ou qui sauvegarde votre installation de
Le processus d’installation de Windows Vista
Windows précédente mais n’effectue pas de migration de vos paramètres.
L’installation de Windows précédente ne démarre alors pas après une installation
propre.
j
L’installation de Windows peut effectuer une installation qui conserve vos
paramètres et préférences tout en mettant à niveau votre système d’exploitation.
C’est la mise à jour de Windows.
Lors du programme d’installation, vous le savez, Windows démarre et redémarre
l’ordinateur, regroupe des informations, copie des fichiers et crée ou règle des
paramètres de configuration. L’installation de Windows Vista est identique en ce qui
concerne la copie et la configuration de fichiers mais est différente au sens où elle se
déroule par phases (ou passes).
Tableau 6.1 : Phases d’installation globales de Windows Vista
Actions d’installation
Windows PE
Spécification des configurations de l’installation de Windows à
l’aide des boîtes de dialogue d’installation de Windows
(interactive) ou d’un fichier de réponses (mode sans
assistance). Les configurations d’installation de Windows
incluent l’ajout d’une clé de produit et la configuration d’un
disque.
Application des paramètres de fichier de réponses dans l’étape
de configuration WindowsPE.
Configuration du disque.
Copie de l’image système Windows vers le disque.
Préparation des informations d’initialisation.
Traitement des paramètres de fichier de réponses dans l’étape
de configuration OfflineServicing.
Configuration
Création des configurations spécifiques, en rendant l’installation
de Windows unique.
Accueil Windows
Application des paramètres de fichier de réponses dans l’étape
de configuration OobeSystem.
Application des paramètres de fichier de contenu à partir du
fichier Oobe.xml.
Démarrage de l’Accueil Windows.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Phase d’installation de
Windows
Le mode Audit et le mode personnalisé
Une fois Windows Vista installé, au premier démarrage, l’utilisateur peut démarrer en
mode Audit ou en mode personnalisé.
j
Le mode personnalisé, également appelé OOBE (Out-Of-Box Experience),
représente la première expérience de l’utilisateur et permet aux utilisateurs finaux
189
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
de personnaliser leur installation Windows. Les utilisateurs finaux peuvent créer des
comptes d’utilisateur, lire et accepter les termes du contrat de licence logiciel
Microsoft et choisir leur langue et leur fuseau horaire. Par défaut, toutes les
installations Windows démarrent d’abord en mode personnalisé, avec l’accueil
Windows. C’est le mode classique que vous connaissez.
j
Le mode Audit, lui, est utilisé par les fabricants d’ordinateurs et les entreprises afin
d’ajouter des personnalisations à leurs images Windows. Le mode Audit ne
nécessite pas l’application de paramètres dans l’Accueil Windows. En ignorant
l’accueil Windows, vous pouvez accéder plus rapidement au Bureau et apporter vos
personnalisations. Vous pouvez ajouter des pilotes de périphérique
supplémentaires, installer des applications et tester la validité de l’installation.
La personnalisation Oobe.xml
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
En plus du fichier de réponses de l’installation en mode sans assistance, vous pouvez
utiliser le fichier de contenu Oobe.xml pour configurer ce qu’aperçoit un utilisateur lors
du premier démarrage de Windows. Les paramètres d’un fichier de contenu Oobe.xml
sont appliqués après l’étape de configuration OobeSystem, avant le démarrage de
l’Accueil de Windows.
Oobe.xml est un fichier qui sert à collecter du texte et des images supplémentaires pour
la personnalisation de l’Accueil Windows. Si vous créez une image système Windows
unique comprenant plusieurs langues et pouvant être livrée dans plusieurs pays, vous
pouvez ajouter différents fichiers Oobe.xml afin de personnaliser le contenu en fonction
des sélections de langue et de pays de l’utilisateur final.
L’exécution automatique de scripts une fois l’installation de
Windows achevée
Vous pouvez procéder à des personnalisations complémentaires à votre installation de
Windows par l’intermédiaire d’un ajout de commandes au fichier
%WINDIR%\Setup\Scripts\SetupComplete.cmd. Ce fichier vous permet d’installer des
applications supplémentaires, d’apporter d’autres modifications au système avant une
ouverture de session d’utilisateur. Vous pouvez utiliser le fichier SetupComplete.cmd
pour exécuter des scripts Windows.
En outre, si l’installation de Windows rencontre une erreur, vous pouvez configurer le
système pour exécuter automatiquement un script.
L’état d’installation de Windows Vista
Il existe plusieurs états affectés à une image système Windows au cours de l’installation.
Ces informations d’état peuvent servir à détecter automatiquement les différents états
et étapes de l’installation de Windows.
190
Le processus d’installation de Windows Vista
L’état de l’image système Windows est stocké à deux emplacements, dans le Registre et
dans un fichier.
Dans le Registre, la clé associée est :
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup\State
TYPE : REG_SZ
VALEUR : NomÉtat
Figure 6.3 : Clé de Registre associée à l’état de l’installation
Dans un fichier, le champ associé est :
%WINDIR%\Setup\State\State.ini
Figure 6.4 :
Fichier associé à l’état de l’installation
Tableau 6.2 : Valeurs de l’état d’installation de l’image système Windows
Nom d’état
Description
IMAGE_STATE_COMPLETE
L’image a été correctement installée. Les passes Specialize et
OobeSystem sont terminées. Cette image ne peut être déployée vers un
autre matériel car elle dépend maintenant du matériel.
IMAGE_STATE
_UNDEPLOYABLE
Il s’agit de l’état par défaut d’une image dans une phase spécifique de
l’installation de Windows qui n’est pas encore achevée. Si un processus
interroge la valeur d’IMAGE_STATE et qu’IMG_UNDEPLOYABLE est
renvoyé, l’image se trouve dans l’un des états suivants :
– Le programme d’installation est en cours d’exécution et n’a pas encore
entièrement achevé la phase. Une fois qu’une phase spécifique est
terminée, IMAGE_STATE est défini par une valeur d’achèvement
appropriée.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Le tableau suivant décrit les différentes valeurs existantes que peuvent prendre la clé de
Registre ou le champ de fichier associé à l’état de l’installation :
191
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Nom d’état
Description
– Si une demande est effectuée en ligne alors que le programme
d’installation n’est pas en cours d’exécution, une erreur s’est produite
lors de l’achèvement de la phase d’installation. Cette image doit être
réinstallée.
– Si une demande est effectuée hors connexion, l’image n’a pas terminé
une phase et ne pourra jamais être déployée.
IMAGE_STATE_GENERALIZE
_RESEAL_TO_OOBE
L’image a correctement achevé la passe Generalize et continue avec
OobeSystem une fois le programme d’installation démarré.
IMAGE_STATE_GENERALIZE
_RESEAL_TO_AUDIT
L’image a correctement achevé la passe Generalize et continue avec le
mode Audit une fois le programme d’installation démarré.
IMAGE_STATE_SPECIALIZE
_RESEAL_TO_OOBE
L’image a correctement achevé la passe Specialize et continue avec
OobeSystem une fois le programme d’installation démarré.
IMAGE_STATE_SPECIALIZE
_RESEAL_TO_AUDIT
L’image a correctement achevé la passe Specialize et continue avec le
mode Audit une fois le programme d’installation démarré.
Si vous souhaitez contrôler par la suite une installation de Windows Vista, vous pouvez
utiliser ces deux procédés…
Cliquez sur le logo Windows de démarrage, tapez cmd et validez pour ouvrir l’Invite
de commandes, puis tapez la ligne reg query HKLM\SOFTWARE\Microsoft
\Windows\CurrentVersion\Setup\State /v ImageState.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
j
Figure 6.5 : Commande à saisir pour accéder à l’état de l’installation
j
Cliquez sur le logo Windows de démarrage, tapez cmd et validez pour ouvrir l’Invite
de commandes, puis tapez type %windir%\Setup\State\State.ini.
Figure 6.6 : Commande à saisir pour accéder à l’état de l’installation
192
Le processus d’installation de Windows Vista
L’installation de Windows journalise également toutes les actions d’installation fondées
sur l’image. Servez-vous de cette multitude de fichiers en cas de problèmes.
Tableau 6.3 : Les différents journaux d’état d’installation de Windows Vista
Emplacement du fichier journal
Description
$windows.~bt\sources
\panther
Consigne l’emplacement dans un journal avant que le
programme d’installation puisse accéder au lecteur
$windows.~bt\sources
\rollback
Consigne l’emplacement lorsque l’installation revient à un
événement à l’origine d’une erreur fatale
%WINDIR%\panther
Consigne l’emplacement d’actions d’installation après une
configuration de disque
%WINDIR%\inf\setupapi*
.log
Sert à consigner des installations de périphérique Plug and
Play dans un journal
%WINDIR%\memory.dmp
Emplacement du vidage de la mémoire à partir de
vérifications de bugs
%WINDIR%\minidump\*
.dmp
Emplacement des "mini-vidages" de journal à partir de
vérifications de bogues
%WINDIR%\system32
\sysprep\panther
Emplacement de journaux Sysprep
Le programme d’installation Windows propose des méthodes d’installation interactive
ou sans assistance. Le programme d’installation propose également la commande setup
.exe qui permet de lancer l’installation.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Les méthodes d’exécution du programme d’installation
Windows
L’installation avec Setup.exe
Sur le DVD d’installation de Windows Vista se trouve la commande setup.exe, qui
remplace winnt32.exe. Elle permet de lancer manuellement l’installation de Windows
Vista, que ce soit en mode interactif ou sans assistance, que ce soit une installation
propre ou une mise à jour.
La commande propose de nombreux commutateurs…
193
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
SETUP
Configure et exécute une installation de Windows Vista.
Syntaxe :
setup.exe [/1394debug:canal [baudrate:DébitEnBauds]]
[/debug:canal [baudrate:DébitEnBauds]] [/dudisable]
[/emsport: {com1 | com2 | usebiossettings | off}
[/emsbaudrate:DébitEnBauds]] [/m:nom_dossier] [/noreboot]
[/tempdrive:lettre_lecteur] [/unattend:fichier_réponses]
[/usbdebug:nomhôte]
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
[/1394debug:
canal [baudrate:
DébitEnBauds]]
Permet le débogage du noyau via un port IEEE 1394 (firewire)
pendant l’exécution de Windows et au cours de l’étape de
configuration WindowsPE de l’installation de Windows. Canal de
débogage. La valeur par défaut du canal est 1.
[baudrate:DébitEnBauds] spécifie le débit en bauds à utiliser
lors du transfert de données au cours du débogage. La valeur par
défaut est 19200. baudrate peut aussi posséder la valeur 115200
ou 57600. Par exemple : setup.exe /1394debug:1
/baudrate:115200.
[/debug:canal
[baudrate:Débit
EnBauds]]
[/dudisable]
194
Permet le débogage du noyau via un port de communications (COM)
pendant l’exécution de Windows et au cours de l’étape de
configuration WindowsPE de l’installation de Windows. Canal de
débogage.
La
valeur
par
défaut
du
canal
est 1.
[baudrate:DébitEnBauds] spécifie le débit en bauds à utiliser
lors du transfert de données au cours du débogage. La valeur par
défaut est 19200. baudrate peut aussi posséder la valeur 115200
ou
57600.
Par
exemple :
setup.exe
/debug:1
/baudrate:115200.
Désactive la mise à jour dynamique de Windows au cours de son
installation. Seuls des fichiers d’installation de Windows d’origine
sont utilisés pour installer Windows. Cette option désactive des
mises à jour dynamiques même si l’option DynamicUpdate est
spécifiée dans un fichier de réponses d’installation de Windows en
mode sans assistance. Par exemple : setup.exe /dudisable.
Le processus d’installation de Windows Vista
[/emsport:
{com1 | com2 |
usebiossettings
| off}
[/emsbaudrate:
DébitEnBauds]]
Spécifie au programme d’installation de copier des fichiers de
remplacement à partir d’un autre emplacement. Cette option
demande au programme d’installation de rechercher d’abord des
fichiers dans l’autre emplacement et, si des fichiers sont présents, de
les utiliser à la place des fichiers qui se trouvent à l’emplacement par
défaut. nom_dossier nom et emplacement du dossier contenant
les fichiers de remplacement. nom_dossier peut correspondre à
n’importe quel emplacement de lecteur local. Les chemins UNC ne
sont pas pris en charge. Vous devez savoir où les fichiers seront
installés dans l’installation de Windows. Tous les fichiers
supplémentaires doivent être copiés vers un dossier $OEM$ dans
votre source d’installation ou dans nom_dossier. La structure
$OEM$ fournit une représentation du disque d’installation de
destination. Par exemple : $OEM$\$1 effectue un mappage vers
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
[/m:nom
_dossier]
Active ou désactive les services de gestion d’urgence (EMS,
Emergency Management Services) pendant l’installation de Windows
et une fois le système d’exploitation serveur installé. Les arguments
suivants servent à spécifier le comportement des services de gestion
d’urgence au cours de l’installation de Windows : com1 autorise les
services de gestion d’urgence via COM1. Pris en charge pour les
systèmes x86 uniquement. com2 autorise les services de gestion
d’urgence via COM2. Pris en charge pour les systèmes x86
uniquement. usebiossettings utilise les paramètres spécifiés
dans le BIOS. Pour les systèmes x86, la valeur du tableau SPCR
(Serial Port Console Redirection) est utilisée. Pour les systèmes
fondés sur Itanium, l’interface EFI (Extensible Firmware Interface)
est utilisée. Si aucun tableau SPCR ou chemin de périphérique de
console d’interface EFI n’est spécifié dans le BIOS,
usebiossettings est désactivé. off (désactivé) désactive les
services EMS. Si vous désactivez les services EMS dans l’installation
de Windows, vous pouvez les activer ultérieurement en modifiant les
paramètres de démarrage. [/emsbaudrate:DébitEnBauds]
spécifie le débit en bauds à utiliser lors du transfert de données au
cours du débogage. La valeur par défaut est 19200. Le débit en
bauds peut aussi posséder la valeur 115200 ou 57600. Par
exemple : setup.exe /emsport:COM1 /emsbaudrate:
115200.
195
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
%SYSTEMDRIVE% comme le lecteur C. $OEM$\$$ effectue un
mappage vers %WINDIR% comme C:\Windows\. $OEM$\$progs
effectue un mappage vers le répertoire Program files. $OEM$\$docs
effectue un mappage vers le dossier Utilisateurs.
[/noreboot]
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
[/tempdrive:
lettre_lecteur]
196
[/unattend:
fichier
_réponses]
Demande à l’installation de Windows de ne pas redémarrer
l’ordinateur après l’achèvement de la phase de niveau inférieur de
l’installation de Windows. L’option /noreboot vous permet
d’exécuter des commandes supplémentaires avant le redémarrage
de Windows Vista. Cela supprime uniquement le premier
redémarrage. Les redémarrages suivants, le cas échéant, ne sont pas
supprimés. Par exemple : setup.exe /noreboot.
Indique à l’installation de Windows de placer les fichiers
d’installation temporaires sur la partition spécifiée. S’il s’agit d’une
mise à niveau, l’option /tempdrive affecte l’emplacement des
fichiers temporaires uniquement ; le système d’exploitation est mis à
niveau dans la partition à partir de laquelle vous avez exécuté le
ficher Setup.exe. lettre_lecteur est la partition où copier les
fichiers d’installation pendant l’installation de Windows. Par
exemple : setup.exe /tempdrive:H.
Active le mode d’installation de Windows sans assistance.
Vous pouvez également spécifier une valeur pour
fichier_réponses. Si vous spécifiez une valeur pour
fichier_réponses, l’installation de Windows applique les
valeurs dans le fichier de réponses au cours de l’installation. Si vous
ne spécifiez pas de valeur pour fichier_réponses, l’installation
de Windows met à niveau votre version existante de Windows. Tous
les paramètres proviennent de l’installation précédente,
l’intervention
de
l’utilisateur
est
donc
minimale.
fichier_réponses est le chemin d’accès et nom du fichier de
réponses de l’installation de Windows en mode sans assistance. Les
chemins d’accès à un fichier de réponses peuvent être un chemin
local ou un chemin UNC. Par exemple : setup.exe
/unattend:\\SRV−DC−01 \partage\unattend.xml.
Le processus d’installation de Windows Vista
[/usbdebug:
nomhôte]
Définit le débogage sur un port USB. Les données de débogage
entrent en vigueur lors du redémarrage suivant. nomhôte est le nom
de l’ordinateur à déboguer. Par exemple : setup.exe
/usbdebug:CVI−DK−01.
Utilisez Setup.exe pour configurer votre propre méthode d’installation ou pour créer un
script d’installation.
L’installation interactive de Windows Vista
Si l’utilisateur choisit cette méthode, il doit sélectionner l’emplacement d’installation de
Windows, lire et accepter les termes du contrat de licence logiciel et appliquer sa clé de
produit.
Cette méthode est utile pour un déploiement à petite échelle ou une installation sur un
seul ordinateur. Parce qu’elle utilise l’image par défaut fournie sur le média DVD de
Windows Vista, l’installation de Windows ne nécessite aucune tâche de préparation,
telle que la création de fichiers de réponses ou la capture d’images Windows. La
méthode interactive d’installation de Windows peut être utilisée en conjonction avec la
création et la capture d’images Windows personnalisées.
L’installation standard de Windows Vista ne déroge pas aux règles de simplicité.
Windows Vista reste très élémentaire à installer puisqu’il vous suffit de démarrer
l’ordinateur avec le DVD d’installation pour que celle-ci se réalise presque seule. Il vous
sera demandé d’entrer le numéro de série et de répondre à trois ou quatre questions, en
indiquant notamment votre pays, votre nom, votre mot de passe, etc.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Vous pouvez installer Windows de manière interactive ou mettre à niveau l’installation
à partir du média Windows Vista ou depuis un emplacement réseau après avoir stocké
et partagé les fichiers d’installation à partir du support de Windows. L’installation
interactive nécessite une intervention de l’utilisateur, qui doit spécifier notamment le
lecteur de destination, son nom d’utilisateur et son fuseau horaire.
L’installation sans assistance de Windows Vista
Le programme d’installation de Windows fait appel à un fichier de réponses
d’installation sans assistance pour automatiser les installations et les personnalisations
en ligne de Windows. Cette méthode est adaptée aux déploiements à grande échelle et
permet d’assurer une configuration cohérente et précise de chaque ordinateur. Le nom
le plus commun de ce fichier de réponses est Unattend.xml. Dans le jargon, on parle de
"fichier Unattend".
L’installation sans assistance nécessite la création d’un ou de plusieurs fichiers de
réponses contenant les personnalisations d’une installation. Vous pouvez par exemple
modifier la partition ou la configuration d’Internet Explorer.
197
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Le programme d’installation de Windows applique les fichiers réponses, au choix, en
spécifiant explicitement un fichier de réponses ou en le recherchant implicitement :
j
Vous pouvez spécifier explicitement un fichier de réponses à l’aide de la commande
setup.exe /unattend:\\SRV−DC−01\partage\unattend.xml. Ce fichier de
réponses permet de configurer l’installation Windows. Des redémarrages étant
nécessaires dans le cadre de l’installation, une copie de ce fichier de réponses est
placée en mémoire cache sur le système.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
j
Si vous ne spécifiez pas de fichier de réponses, le programme d’installation de
Windows recherche ce dernier dans divers emplacements. Il recherche un fichier de
réponses précédemment placé en mémoire cache, un fichier de réponses stocké sur
la racine d’un lecteur, ainsi que d’autres emplacements. Le programme
d’installation de Windows recherche un fichier de réponses au démarrage de chaque
étape de configuration. Lorsqu’il recherche un fichier de réponses, le programme
d’installation de Windows applique un ordre déterminé. Si un fichier de réponses
est détecté dans l’un des emplacements valides, il doit inclure des paramètres valides
associés à l’étape de configuration en cours. Si le fichier de réponses détecté ne
comprend pas de paramètre associé à l’étape de configuration spécifiée en cours
d’exécution, il n’est pas pris en compte.
Nom des fichiers de réponses
Seuls les fichiers de réponses nommés Unattend.xml sont utilisés. Cependant, parce
que certains fichiers de réponses comprennent des actions destructives telles que le
partitionnement de disque, vous devez attribuer à votre fichier Unattend.xml le nom
Autounattend.xml lors des étapes de configuration WindowsPE et OfflineServicing.
Ces actions s’exécutent lorsque vous exécutez pour la première fois WindowsPE ou
Setup.exe. Vous devez utiliser le fichier avec le nom Autounattend.xml lorsque vous
êtes dans le scénario où vous souhaitez automatiser l’installation de Windows Vista à
partir du DVD Vista tout en rajoutant le fichier de réponses stocké sur une clé USB.
Le programme d’installation de Windows identifie tous les fichiers de réponses
disponibles en fonction de l’ordre de recherche. Il utilise le fichier de réponses dont la
priorité est la plus élevée. Ce fichier est validé, puis placé en mémoire cache sur
l’ordinateur. Les fichiers de réponses valides sont placés en mémoire cache dans le
répertoire $Windows.~BT\Sources\Panther lors des étapes de configuration WindowsPE
et OfflineServicing. Une fois l’installation de Windows extraite sur le disque dur, le
fichier de réponses est placé en mémoire cache dans %WINDIR%\panther.
Tableau 6.4 : Ordre de recherche et emplacements du fichier de réponses
198
Ordre de
recherche
Emplacement
Description
1
Dans le Registre :
HKLM\System\Setup\UnattendFile
Spécifie dans le Registre un pointeur vers un
fichier de réponses. Le fichier de réponses
peut ne pas s’appeler Unattend.xml.
Le processus d’installation de Windows Vista
Emplacement
Description
2
%WINDIR%\panther\unattend
Le fichier de réponses doit être nommé
Unattend.xml ou Autounattend.xml.
3
%WINDIR%\panther
Le programme d’installation de Windows
place en mémoire cache les fichiers de
réponses dans cet emplacement.
4
Média amovible (clé USB, etc.), en fonction de Le nom du fichier de réponses doit
l’ordre de la lettre qui identifie le lecteur
correspondre à Unattend.xml ou
Autounattend.xml, et le fichier de réponses
doit résider sur la racine du lecteur.
5
Média amovible en lecture seule, en fonction
de l’ordre de la lettre qui identifie le lecteur
Le nom du fichier de réponses doit
correspondre à Unattend.xml ou
Autounattend.xml, et il doit résider sur la
racine du lecteur.
6
Répertoire \sources lors des passes de
configuration WindowsPE et
OfflineServicing
Répertoire %WINDIR%\system32\sysprep
lors des autres passes de configuration
Lors des passes de configuration
WindowsPE et OfflineServicing, le nom du
fichier de réponses doit correspondre à
Autounattend.xml.
Pour toutes les autres passes de
configuration, le nom du fichier de réponses
doit correspondre à Unattend.xml.
7
%SYSTEMDRIVE%
Le nom du fichier de réponses doit
correspondre à Unattend.xml ou
Autounattend.xml.
Si vous avez intégré des données sensibles dans les fichiers de réponses, le programme
d’installation les supprime à la fin de l’étape de configuration en cours.
Cependant, si un fichier de réponses est incorporé à un emplacement dont la priorité est
plus élevée que celle du fichier de réponses mis en cache, alors la réponse en cache peut
être remplacée au début de chaque étape de configuration suivante si le fichier de
réponses incorporé répond aux critères de recherche. Si, par exemple, le fichier de
réponses est incorporé à %WINDIR%\panther\unattend\unattend.xml, le fichier de
réponses incorporé remplace alors le fichier de réponses mis en cache au début de
chaque étape de configuration. Si, par exemple, le fichier de réponses incorporé spécifie
les deux passes Specialize et OobeSystem, alors le fichier de réponses incorporé est
découvert pour la passe Specialize, mis en cache, traité et les données sensibles sont
effacées. Le fichier de réponses incorporé est à nouveau découvert au cours de la passe
OobeSystem et mis à nouveau en cache. Par conséquent, les données sensibles de la
passe Specialize ne sont plus effacées. Les données sensibles pour les étapes
précédemment traitées ne seront pas à nouveau effacées. Il vous faut donc incorporer
les fichiers à un emplacement avec une priorité inférieure.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Ordre de
recherche
199
Chapitre 6 Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Après le traitement d’une passe de configuration, l’installation de Windows Vista
marque le fichier de réponses mis en cache pour indiquer que l’étape a été traitée. Si la
passe de configuration est à nouveau entrée et que le fichier de réponses mis en cache
n’a pas été remplacé ni mis à jour entre-temps, les paramètres du fichier de réponses ne
sont pas traités une seconde fois.
Vous pouvez, par exemple, installer Windows avec un fichier de réponses qui contient
les commandes RunSynchronous dans l’étape Specialize. Au cours de l’installation, la
passe Specialize s’exécute et les commandes RunSynchronous s’exécutent. Après
l’installation, exécutez la commande sysprep /generalize. S’il n’existe aucun fichier
de réponses avec une priorité plus élevée que celle du fichier de réponses mis en cache,
le programme d’installation exécute la passe Specialize lors du prochain démarrage de
l’ordinateur. Puisque le fichier de réponses mis en cache contient une marque selon
laquelle les paramètres de cette passe ont déjà été appliqués, les commandes
RunSynchronous ne s’exécutent pas.
Les scénarios d’installation sans assistance de Windows Vista
Pour mieux comprendre l’application des fichiers de réponses, prenons deux cas
concrets…
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Premier scénario : vous décidez d’utiliser le média DVD de Windows Vista pour faire
l’installation et d’utiliser un seul fichier de réponses pour automatiser les derniers
renseignements afin que vous n’ayez pas du tout à intervenir sur cette installation.
1. Créez un fichier de réponses nommé Autounattend.xml qui comprend des
paramètres associés à l’étape de configuration WindowsPE.
2. Copiez Autounattend.xml sur une clé USB.
3. Configurez le BIOS de votre ordinateur de sorte qu’il démarre à partir d’un lecteur
DVD.
4. Démarrez le DVD de Windows Vista.
5. Insérez la clé USB lors du démarrage de Windows.
Le programme d’installation de Windows démarre et identifie automatiquement
Autounattend.xml comme un fichier de réponses valide. Comme le fichier de réponses
utilise un nom de fichier valide, qu’il réside dans l’un des chemins de recherche valides
(la lettre de lecteur de la clé USB) et qu’il comprend des paramètres valides pour la
passe de configuration en cours (WindowsPE), il est utilisé.
Le fichier de réponses est placé en mémoire cache sur l’ordinateur. Si aucun autre
fichier de réponses n’est identifié par les passes de configuration ultérieures, le fichier
de réponses placé en mémoire cache est utilisé tout au long de l’installation de Windows.
Second scénario : sur la base du premier scénario, vous allez utiliser plusieurs fichiers de
réponses.
200
Le processus d’installation de Windows Vista
1. Installez Windows à l’aide d’un fichier de réponses en effectuant les procédures
décrites dans le cas de figure précédent. Le fichier de réponses utilisé pour installer
Windows est placé en mémoire cache sur le système dans le répertoire
%WINDIR%\panther.
2. Copiez un fichier Unattend.xml dans le répertoire %WINDIR%\system32\sysprep.
Ce fichier de réponses contient des paramètres associés à la passe de configuration
Generalize.
3. Exécutez la commande sysprep /generalize pour créer une image de référence.
Comme le répertoire %WINDIR%\system32\sysprep figure dans les chemins de
recherche, le fichier de réponses copié dans ce répertoire est détecté. Cependant, le
fichier de réponses utilisé pour installer Windows demeure en mémoire cache sur
l’ordinateur et contient des paramètres associés à la passe de configuration Generalize.
La priorité de ce fichier de réponses est plus élevée que celle du fichier copié dans le
répertoire Sysprep. Le fichier de réponses placé en mémoire cache est donc utilisé. Pour
utiliser le nouveau fichier de réponses, copiez-le dans un répertoire dont la priorité est
supérieure à celle du fichier de réponses placé en mémoire cache ou spécifiez le fichier
de réponses requis par le biais de l’option /unattend.
1. Copiez un fichier Unattend.xml sur une clé USB. Le fichier Unattend.xml ne contient
de paramètres que pour les passes de configuration AuditSystem et AuditUser.
2. Sur un système d’exploitation Windows installé, exécutez la commande sysprep
/generalize /oobe.
Les passes de configuration du programme d’installation de
Windows Vista
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Bien que le fichier de réponses réside dans l’un des chemins de recherche, le fichier
Unattend.xml n’est pas pris en compte, car il ne contient pas de paramètre valide pour
l’étape de configuration Generalize.
Pour mieux expliquer et comprendre comment s’installe Windows Vista, il est plus
simple de découper le processus d’installation en différentes phases appelées passes de
configuration. La démarche est plus structurante, mais il est également important de
s’imprégner de cette notion de passes de configuration car les outils qui améliorent
l’automatisation de l’installation sont fondés sur le même principe de compréhension.
Les passes de configuration servent à spécifier différentes phases de l’installation de
Windows. Des paramètres d’installation sans assistance peuvent être appliqués dans une
ou plusieurs passes de configuration.
Les passes de configuration sont des phases d’installation de Windows qui servent à
appliquer des paramètres dans un fichier de réponses d’installation en mode sans
assistance.
201
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Le tableau suivant décrit les différentes passes de configuration dans l’ordre dans
lesquelles elles se déroulent du lancement de l’installation jusqu’à ce que le système
d’exploitation soit opérationnel :
Tableau 6.5 : Les passes de configuration constituant une installation complète de
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Windows Vista
202
Étape de configuration
Description
WindowsPE
Configure des options WindowsPE ainsi que des options de l’installation de
Windows de base. Ces options peuvent inclure le paramétrage de la clé de
produit et la configuration d’un disque.
OfflineServicing
Applique des mises à jour à une image système Windows. Applique
également des packages, y compris des correctifs logiciels, des packs de
langue et autres mises à jour de sécurité.
Specialize
Crée et applique des informations spécifiques au système. Vous pouvez, par
exemple, configurer des paramètres réseau, des paramètres internationaux et
des informations de domaine.
Generalize
Vous permet de configurer sysprep /generalize de façon minime,
ainsi que de configurer d’autres paramètres Windows qui doivent persister sur
votre image de référence.
La commande sysprep /generalize supprime des informations
spécifiques au système. L’ID de sécurité unique (SID), par exemple, tout
comme d’autres paramètres spécifiques au matériel sont supprimés de
l’image.
L’étape Generalize s’exécute uniquement si vous exécutez sysprep
/generalize.
AuditSystem
Traite des paramètres d’installation en mode sans assistance pendant que
Windows s’exécute dans un contexte de système, avant qu’un utilisateur se
connecte à l’ordinateur en mode Audit. L’étape AuditSystem s’exécute
uniquement si vous démarrez en mode Audit.
AuditUser
Traite des paramètres d’installation en mode sans assistance après la
connexion d’un utilisateur à l’ordinateur en mode Audit. L’étape AuditUser
s’exécute uniquement si vous démarrez en mode Audit.
OobeSystem
Applique des paramètres à Windows avant le démarrage de l’Accueil de
Windows.
Le processus d’installation de Windows Vista
Le schéma suivant illustre la relation entre les passes de configuration :
Figure 6.7 : L’installation de Windows Vista découpée en phases
Il faut maintenant détailler une par une les différentes passes afin de comprendre toutes
les actions qui se déroulent lors d’une installation.
La passe de configuration WindowsPE sert à configurer des paramètres spécifiques à
Windows PE, ainsi que des paramètres qui s’appliquent à l’installation.
Vous pouvez, par exemple, spécifier la résolution d’affichage de Windows PE,
l’emplacement d’enregistrement d’un fichier journal et d’autres paramètres associés à
Windows PE.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
La passe WindowsPE
La passe de configuration WindowsPE vous permet aussi de spécifier des paramètres
relatifs à l’installation de Windows, dont le partitionnement et le formatage du disque
dur, la sélection d’une image système Windows spécifique à installer, le chemin d’accès
à cette image système et toute autre information d’identification requise pour accéder à
cette image système, la sélection d’une partition sur l’ordinateur de destination où vous
installez Windows, l’application de la clé de produit et du mot de passe d’administrateur,
l’exécution des commandes spécifiques au cours de l’installation de Windows.
La passe OfflineServicing
La passe de configuration OfflineServicing sert à appliquer des paramètres d’installation
sans assistance à une image système Windows qui n’est pas utilisée dans un processus
d’installation. Au cours de cette passe de configuration, vous pouvez ajouter des packs
203
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
de langues, des mises à jour Windows, des Service Packs ou même des applications
(packages) à l’image système hors connexion. La passe OfflineServicing est utile pour
optimiser la durée de vie de l’image : admettons que vous ayez créé une image puis,
quelques mois plus tard un nouvel équipement, nouveau type d’ordinateur fait son
apparition dans votre entreprise avec un nouveau pilote Vista associé, vous avez la
possibilité d’ajouter à froid le pilote à l’image créée précédemment sans avoir à refaire
l’image.
Les paramètres du fichier Unattend.xml dans la passe de configuration OfflineServicing
sont appliqués à l’image système Windows hors connexion. Vous utiliserez le
Gestionnaire de package (pkgmgr.exe) en complément d’un fichier de réponses pour
installer des packages.
La passe Generalize
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
L’étape Generalize de l’installation de Windows sert à créer une image système de
référence Windows qui peut être utilisée à travers l’organisation. Un paramètre de
l’étape Generalize vous permet d’automatiser le comportement pour tous les
déploiements de cette image de référence. En comparaison, un paramètre associé à
l’étape de configuration Specialize vous permet de remplacer le comportement d’un
déploiement unique et spécifique.
Lorsqu’un système est généralisé, des données de configuration spécifiques concernant
une installation donnée de Windows sont supprimées. Lors de l’étape Generalize, par
exemple, l’identificateur de sécurité unique (SID) tout comme d’autres paramètres
spécifiques au matériel sont supprimés de l’image.
La passe de configuration Generalize s’exécute uniquement lorsque vous utilisez la
commande sysprep /generalize. Les paramètres du fichier de réponses dans
Generalize sont appliqués au système avant que la généralisation de sysprep ne se
produise. Le système est ensuite arrêté.
Lors du démarrage suivant du système, La passe de configuration Specialize s’exécute
immédiatement.
La passe Specialize
Des informations spécifiques aux machines associées à l’image sont appliquées lors de
l’étape de configuration Specialize du programme d’installation Windows. Vous pouvez
par exemple configurer les paramètres réseau, les paramètres internationaux et les
informations relatives aux domaines.
La passe de configuration Specialize est utilisée en conjonction avec l’étape Generalize.
Celle-ci a pour objet de créer une image de référence Windows qui peut être utilisée
dans l’ensemble du parc informatique de l’entreprise. À partir de cette image de
référence Windows de base, vous pouvez ajouter d’autres personnalisations associées
204
Le processus d’installation de Windows Vista
aux diverses divisions d’une organisation ou à diverses installations de Windows. La
passe de configuration Specialize permet d’appliquer ces personnalisations spécifiques.
Lors de la passe de configuration Specialize, vous pouvez par exemple spécifier diverses
pages d’accueil associées dans Internet Explorer aux différents services ou
départements de l’entreprise. Ce paramètre remplace alors la page d’accueil par défaut
appliquée lors de la passe de configuration Generalize.
La passe AuditSystem
La passe AuditSystem, qui est facultative, traite des paramètres d’installation en mode
sans assistance dans le contexte d’un système en mode Audit. La passe AuditSystem
s’exécute immédiatement avant la passe AuditUser.
En général, AuditSystem sert à ajouter des pilotes de périphérique supplémentaires et à
affecter un nom au système spécifique pour le mode Audit.
Le mode Audit vous permet d’installer des pilotes de périphérique supplémentaires, des
applications et d’autres mises à jour. Lors du démarrage de Windows en mode Audit, les
paramètres d’installation de Windows en mode sans assistance AuditSystem et AuditUser
sont traités.
AuditSystem s’exécute uniquement lorsque vous configurez l’installation de Windows
pour un démarrage en mode Audit.
La passe AuditUser
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
En utilisant le mode Audit, vous pouvez gérer moins d’images système Windows car
vous pouvez créer une image de référence avec un ensemble minimal de pilotes. L’image
peut être mise à jour à l’aide de pilotes supplémentaires au cours du mode Audit. Vous
pouvez ensuite tester et résoudre tout problème associé à un dysfonctionnement ou à
une installation incorrecte de pilotes sur l’image système Windows.
La passe de configuration AuditUser, qui est facultative, traite les paramètres
d’installation sans assistance dans le contexte utilisateur en mode d’audit. Elle est
exécutée après l’étape de configuration AuditSystem.
En règle générale, AuditUser est utilisé pour exécuter des commandes RunSynchronous
ou RunAsynchronous. Ces commandes permettent d’exécuter des scripts, des
applications ou autres exécutables en mode d’audit.
Le mode d’audit vous permet d’installer d’autres pilotes de périphérique, applications et
mises à jour. Lorsque Windows démarre en mode d’audit, les paramètres AuditSystem et
AuditUser d’installation sans assistance sont traités.
L’utilisation du mode d’audit permet de gérer un nombre inférieur d’images Windows,
car vous pouvez créer une image de référence associée à un jeu minimal de pilotes. Vous
205
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
pouvez intégrer d’autres pilotes à l’image en mode d’audit. Vous pouvez alors identifier
et résoudre tout problème relatif à des périphériques qui ne fonctionnent pas
correctement ou dont l’installation est incorrecte dans l’image Windows.
AuditUser ne s’exécute que si vous configurez l’installation de Windows de sorte à
démarrer en mode d’audit.
La passe OobeSystem
Enfin, la passe de configuration OobeSystem configure des paramètres appliqués au
cours de l’expérience du premier démarrage pour l’utilisateur final, également appelé
Accueil Windows. Les paramètres OobeSystem sont traités avant la première ouverture
de session d’un utilisateur sous Windows Vista.
OOBE (Out-Of-Box-Experience) s’exécute lors du premier démarrage d’un nouvel
ordinateur. OOBE s’exécute avant que l’environnement Windows ou tout logiciel
supplémentaire ne soit exécuté, puis effectue un ensemble restreint de tâches
nécessaires à la configuration et à l’exécution de Windows.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Les administrateurs peuvent modifier la passe OobeSystem afin d’obtenir un Accueil
Windows personnalisé, qui peut s’avérer utile pour y renseigner les liens vers le site
intranet du centre d’appel de la société par exemple, ou le lien vers le site intranet des
Ressources Humaines ou le lien vers les sites internet des partenaires. OOBE peut
rajouter une certaine proximité entre l’utilisateur final et le service informatique par des
liens utiles toujours disponible dans l’Accueil Windows.
Vous pouvez configurer Windows pour qu’il démarre à partir de l’Accueil Windows en
exécutant la commande sysprep /oobe. Par défaut, après l’exécution de l’installation
de Windows, l’Accueil Windows démarre.
Les méthodes conseillées pour l’installation de Windows Vista
Voici quelques méthodes conseillées à utiliser avec l’installation de Windows Vista.
206
j
Installer, capturer et déployer vers la première partition active. Lorsque vous
installez une image système Windows, vous devez utiliser un seul disque,
notamment la première partition active sur le disque. Cela garantit que le système
d’exploitation Windows est installé sur la même lettre de lecteur.
j
Vérifiez que vous disposez d’un espace suffisant pour les fichiers temporaires de
l’installation de Windows Vista. Si vous installez Windows Vista à partir de
Windows XP, vérifiez que la quantité d’espace disque disponible est suffisante pour
les fichiers temporaires de l’installation de Windows. L’espace requis peut varier,
mais il peut atteindre jusqu’à 500 Mo.
j
Les installations de Windows précédentes sont déplacées vers un dossier Windows
.old. Si vous installez Windows sur une installation précédente de Windows, tous les
fichiers et répertoires précédents de Windows sont déplacés vers un dossier
Le processus d’installation de Windows Vista
Windows.old. Vous pouvez accéder à vos données dans le dossier Windows.old une
fois l’installation de Windows terminée.
j
Vérifiez toujours les logs. Si vous avez rencontré des problèmes au cours de
l’installation de Windows, analysez les fichiers journaux dans %WINDIR%\panther
et les emplacements adéquats.
Évoquons tout de même les limitations de tout ce processus d’installation :
Déployez des images système Windows Vista vers la même lettre de lecteur. Si vous
appliquez une image Windows Vista, la lettre du lecteur sur lequel est installée
l’image de référence doit correspondre exactement à celle reconnue par l’image
système Windows déployée. Si, par exemple, vous capturez une image système
Windows personnalisée sur le lecteur C, vous devez déployer cette image système
sur la partition que Windows Vista reconnaît en tant que lecteur C sur l’ordinateur
de destination.
j
Des applications peuvent nécessiter une lettre de lecteur cohérente. Si vous installez
des applications personnalisées sur votre image Windows Vista, installez Windows
sur la même lettre de lecteur sur l’ordinateur de destination, car certaines
applications nécessitent une lettre de lecteur cohérente. Les scénarios de
désinstallation, de maintenance et de réparation risquent de ne pas fonctionner de
manière appropriée si la lettre de lecteur du système ne correspond pas à celle
spécifiée dans l’application.
j
Déploiement de plusieurs images vers différentes partitions. Si vous capturez et
déployez plusieurs images vers différentes partitions, les conditions requises
suivantes doivent être respectées :
− Le nombre de disques, la structure de partition et l’emplacement du bus doivent
être identiques sur les ordinateurs de référence et de destination.
− La partition et la lettre de lecteur sur lesquels l’image système de référence
Windows est installée doivent correspondre exactement à la partition et à la
lettre de lecteur reconnues par l’image système Windows déployée.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
j
− Les types de partition (principale, étendue ou logique) doivent correspondre.
La partition active sur l’ordinateur de référence doit correspondre à
l’ordinateur de destination.
Il est primordial de bien comprendre les différentes installations, les modes et, surtout,
la manière dont se déroule une installation de Windows Vista. La notion de passes est
fondamentale afin de mieux comprendre les outils qui sont décrits dans les chapitres
suivants. L’illustration suivante vous montre une vue d’ensemble des passes de
configuration d’une installation :
207
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Figure 6.8 : Vue d’ensemble des passes de configuration de l’installation de Windows Vista
6.2.
L’Assistant Gestion d’installation
Il existe deux grandes méthodes de déploiement, la première par image, la seconde par
script. Windows Vista combine les deux méthodes, c’est-à-dire des images pour booter
et installer le système d’exploitation et des fichiers réponses pour personnaliser
l’installation. Puisque nous avons parcouru le déploiement par images avec Windows
Deployment Service, abordons maintenant l’outil de gestion de fichier Unattend.xml.
Pour créer les fichiers Unattend.xml, le resource kit de déploiement livre un outil en
interface graphique. Il s’agit de l’Assistant Gestion d’installation. L’ajout d’un fichier de
réponses à une image permet de descendre cette image dans un certain contexte avec
comme exemple la taille des partitions, les pilotes qui doivent être utilisés, etc. Ce fichier
sera lu par le Win PE pour être appliqué ensuite à votre image WIM.
6.3.
L’architecture de l’Assistant Gestion
d’installation
L’Assistant Gestion d’installation crée un fichier de réponses XML indispensable à
l’élaboration d’une installation sans assistance. Cet assistant crée également un fichier
catalogue (.clg) pour assurer un suivi des packages et des paramètres, ce qui implique
des mises à jour périodiques. Un fichier appelé "jeu de configuration" peut être créé et
208
L’architecture de l’Assistant Gestion d’installation
copié sur un support amovible pour constituer une version mobile des dossiers partagés
et facultatifs de la distribution.
L’Assistant Gestion d’installation utilise l’API CPI (Component Platform Interface) pour
créer un fichier de réponses sans assistance. Cet assistant se sert au départ de l’API CPI
pour monter une image système Windows. Les composants et les paramètres contenus
dans une image système Windows particulière sont utilisés pour créer un fichier
catalogue. Le fichier catalogue est ensuite exploité dans l’Assistant Gestion
d’installation pour créer des fichiers de réponses.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Figure 6.9 : Architecture de l’Assistant Gestion d’installation
Un ensemble facultatif de dossiers, nommé "partage de distribution", peut être ajouté
pour assurer le stockage des fichiers que vous utiliserez lors d’une personnalisation
ultérieure de votre installation Windows.
L’Assistant Gestion d’installation peut créer un jeu de configuration, c’est-à-dire une
version d’un partage de distribution plus légère et plus mobile. Les jeux de configuration
permettent aux utilisateurs d’exploiter les versions de taille plus réduite d’un partage de
distribution. Ces fichiers moins volumineux peuvent se révéler plus faciles à gérer.
Il vous est également possible d’utiliser l’API CPI pour créer vos propres applications
personnalisées qui peuvent automatiser la création et la gestion de fichiers de réponses
d’installation de Windows sans assistance.
209
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Tableau 6.6 : Terminologie spécifique à l’Assistant Gestion d’installation
210
Terme
Définition
Fichier de réponses
Fichier qui indique par script les réponses à apporter à une série de
boîtes de dialogue de l’interface graphique utilisateur. Le fichier de
réponses de l’installation de Windows se nomme généralement
Unattend.xml. Vous pouvez créer et modifier ce fichier de réponses en
utilisant l’Assistant Gestion d’installation ou les API CPI.
Fichier catalogue
Fichier binaire qui contient l’état de tous les paramètres et de tous les
packages dans une image système Windows. Lorsqu’un catalogue est
créé, il interroge l’image système Windows afin d’obtenir la liste de tous
les paramètres contenus dans cette image. Dans la mesure où le contenu
d’une image système Win PE peut varier avec le temps, il est important
de recréer le fichier catalogue lors de la mise à jour d’une image
système.
Composant
Partie du système d’exploitation Windows qui spécifie les fichiers, les
ressources et les paramètres d’une fonctionnalité spécifique de Windows,
ou seulement une partie de cette fonctionnalité. Certains composants
incluent les paramètres d’une installation sans assistance de Windows ;
ils sont utilisables pour les entreprises pour personnaliser l’installation.
Étape de configuration
Phase de l’installation de Windows. Diverses parties du système
d’exploitation Windows sont installées au cours des différentes étapes de
configuration. Vous pouvez spécifier l’application des paramètres
d’installation sans assistance de Windows dans une ou plusieurs étapes
de configuration.
Jeu de configuration
Structure de fichiers et de dossiers contenant les fichiers nécessaires au
contrôle du processus de préinstallation et définissant les informations
personnalisées des fabricants.
Partage de distribution
Un dossier qui contient les fichiers sources des produits Windows que
vous installez. Il peut également contenir des pilotes de périphériques et
des fichiers d’applications supplémentaires. Ce dossier peut être créé
manuellement ou à l’aide de l’Assistant Gestion d’installation.
Chemin d’accès du pilote
Chemin d’accès indiquant l’emplacement où récupérer le logiciel qui
permet au périphérique ou au composant matériel du pilote de
fonctionner.
Valeur d’image
Valeur d’un paramètre de configuration dans une image système
Windows.
Élément de liste
Paramètre de configuration présentant plusieurs entrées. Par exemple,
une liste de favoris, dans Internet Explorer, peut contenir aucun, un ou
plusieurs favoris.
Package
Un groupe de fichiers fournis par Microsoft aux clients OEM en vue de
modifier les fonctionnalités de Windows. Les types de packages incluent
les Services Packs, les mises à jour de sécurité, les modules
linguistiques et les correctifs logiciels. Exemples de packages : Product,
Windows Foundation et Feature Pack.
L’interface graphique
6.4.
Terme
Définition
Paramètre
Réglage de configuration d’un programme ou d’un système
d’exploitation.
Commande synchrone
Permet d’exécuter une application ou tout autre fichier exécutable durant
l’installation de Windows. Vous pouvez indiquer l’étape de configuration
dans laquelle vous voulez que la commande s’exécute.
Valider le fichier de réponses
Les paramètres doivent en premier lieu être validés pour que l’Assistant
Gestion d’installation puisse enregistrer un fichier de réponses. Lorsqu’un
fichier de réponses est correctement validé, toutes les valeurs des
paramètres de ce fichier sont applicables à l’image système Windows.
Fonctionnalité Windows
Fonctionnalité facultative de Windows pouvant être activée ou désactivée.
Fichier image système
Windows (.wim)
Un seul fichier compressé contenant une collection de fichiers et de
dossiers qui duplique une installation de Windows sur un volume de
disque.
L’interface graphique
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
L’interface utilisateur de l’Assistant Gestion d’installation contient plusieurs volets. Ces
volets permettent d’ouvrir des fichiers image système Windows, de créer des fichiers de
réponses sans assistance et d’ajouter des composants et des packages aux cinq étapes de
configuration correspondantes dans un fichier de réponses.
Figure 6.10 : Interface graphique de l’Assistant Gestion d’installation
211
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Chapitre 6 Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
j
Le volet Partage de distribution : il affiche le dossier de partage de distribution
actuellement ouvert dans l’arborescence. Vous sélectionnez, créez, explorez et
fermez les dossiers de partage de distribution en sélectionnant le nœud supérieur et
en cliquant avec le bouton droit de la souris sur le volet. Vous pouvez ajouter des
éléments à un fichier de réponses contenu dans un dossier de partage de distribution
en cliquant avec le bouton droit de la souris sur l’élément voulu.
j
Le volet Fichier de réponses : il affiche les étapes de configuration de l’installation
de Windows, ainsi que les paramètres à appliquer à chaque étape et les packages à
installer. Vous pouvez ouvrir et modifier un fichier de réponses existant, valider les
paramètres contenus dans un fichier de réponses par rapport à une image système
Windows ou créer un nouveau fichier de réponses.
j
Le volet Image système Windows : il affiche l’image système Windows actuellement
ouverte dans l’arborescence. Lorsque l’arborescence est développée, tous les
composants et les packages prévus pour l’image sont visibles et disponibles afin
d’être ajoutés à un fichier de réponses dans le volet Fichier de réponses.
j
Le volet Propriétés : il affiche les propriétés et les paramètres d’un composant ou
d’un package sélectionné. Le volet Propriétés permet de modifier les paramètres et,
lorsqu’il s’agit de packages, de modifier les sélections des fonctionnalités de
Windows. Dans le bas du volet Propriétés, l’Assistant Gestion d’installation affiche
le nom du paramètre et le type .NET associé.
j
Le volet Messages : il est composé de trois onglets nommés XML, Validation et Jeu
de configuration. En cliquant sur un des onglets du volet Messages, vous affichez le
type du message, un descriptif et l’endroit où le problème est survenu.
6.5.
Créer un fichier de réponses
1. Chargez le fichier image. Dans la section Image Windows, cliquez avec le bouton
droit de la souris sur Sélectionner une image Windows ou un fichier catalogue, puis
sur Sélectionnez l’image Windows.
2. Sélectionnez l’image du DVD d’installation, par exemple Install.wim. Un catalogue
des images instanciées se lance. Un certain nombre de versions sont disponibles.
Choisissez la version de Windows Vista que vous souhaitez personnaliser, la version
Intégrale par exemple. Cliquez sur OK (voir fig. 6.11).
La partie Image Windows est la partie la plus importante de l’outil puisqu’elle comprend
un certain nombre de packages qui vous permettront de personnaliser votre installation
en ajoutant ou en supprimant des composants comme les jeux ou la personnalisation du
DNS. Tous les composants seront listés et modifiés à partir de cette fenêtre.
212
Créer un fichier de réponses
Figure 6.11 :
Sélection de la version de
Windows Vista à
personnaliser
3. Dans la fenêtre Fichier de réponses, cliquez avec le bouton droit de la souris, puis
sélectionnez Créer ou ouvrir un fichier de réponses.
Un fichier de réponses contenant sept parties est créé :
WindowsPE ;
j
OfflineServicing ;
j
Generalize ;
j
Specialize ;
j
AuditSystem ;
j
AuditUser ;
j
OobeSystem.
Ces sections correspondent à une partie de l’installation de Windows Vista. Cette partie
permet de vous aiguiller au cours de la réalisation de votre fichier image. Cliquez avec le
bouton droit de la souris sur vos packages pour voir à quelle partie ils peuvent
appartenir. Par exemple, vous n’allez pas pouvoir créer une partition en fin
d’installation.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
j
4. Pour personnaliser l’installation, cliquez avec le bouton droit de la souris sur les
packages afin de voir à quelle section ils peuvent appartenir.
5. Une fois les packages sélectionnés, personnalisez-les en donnant des paramètres
comme le nom de domaine, le compte utilisateur, un mot de passe ou encore la taille
d’une partition, bref, tout ce qui caractérise un système d’exploitation de bout en
bout.
6. Une fois le fichier réalisé, sauvegardez-le afin de pouvoir l’utiliser avec des images
WIM. Pour sauvegarder le fichier de réponses, cliquez sur Fichier/Enregistrer sous.
Indiquez le chemin souhaité.
213
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Dans la plupart des cas, et en raison du nombre d’options à configurer, il est
recommandé de partir des deux fichiers que Microsoft propose en exemple : les fichiers
autounattend_sample et Corp_autounattend_sample.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Le fichier autounattend_sample
214
<?xml version="1.0" encoding="utf-8" ?>
- <unattend xmlns="urn:schemas-microsoft-com:unattend">
- <settings pass="windowsPE">
- <component name="Microsoft-Windows-Setup" processorArchitecture="x86"
✂ publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS"
✂ xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
+ <DiskConfiguration>
- <Disk>
- <CreatePartitions>
- <CreatePartition wcm:action="add">
<Order>1</Order>
<Size>20000</Size>
<Type>Primary</Type>
</CreatePartition>
</CreatePartitions>
- <ModifyPartitions>
- <ModifyPartition wcm:action="add">
<Active>true</Active>
<Extend>false</Extend>
<Format>NTFS</Format>
<Label>OS_Install</Label>
<Letter>C</Letter>
<Order>1</Order>
<PartitionID>1</PartitionID>
</ModifyPartition>
</ModifyPartitions>
<DiskID>0</DiskID>
<WillWipeDisk>true</WillWipeDisk>
</Disk>
<WillShowUI>OnError</WillShowUI>
</DiskConfiguration>
- <UserData>
- <ProductKey>
<Key><productkey></Key>
<WillShowUI>OnError</WillShowUI>
</ProductKey>
<AcceptEula>true</AcceptEula>
</UserData>
- <ImageInstall>
- <OSImage>
- <InstallTo>
<DiskID>0</DiskID>
<PartitionID>1</PartitionID>
Créer un fichier de réponses
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
</InstallTo>
<WillShowUI>OnError</WillShowUI>
</OSImage>
</ImageInstall>
</component>
- <component name="Microsoft-Windows-International-Core-WinPE"
✂ processorArchitecture="x86" publicKeyToken="31bf3856ad364e35"
✂ language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft
✂ .com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
- <SetupUILanguage>
<UILanguage>en-us</UILanguage>
</SetupUILanguage>
<InputLocale>0409:00000409</InputLocale>
<SystemLocale>en-us</SystemLocale>
<UILanguage>en-us</UILanguage>
<UserLocale>en-US</UserLocale>
</component>
</settings>
- <settings pass="oobeSystem">
- <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="x86"
✂ publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS"
✂ xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
- <OEMInformation>
<Manufacturer><company name></Manufacturer>
<Model><computer model></Model>
<SupportHours><support hours></SupportHours>
<SupportPhone><phone number></SupportPhone>
</OEMInformation>
</component>
- <component name="Microsoft-Windows-Deployment" processorArchitecture="x86"
✂ publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS"
✂ xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
- <Reseal>
<Mode>Audit</Mode>
</Reseal>
</component>
</settings>
</unattend>
Le fichier Corp_autounattend_sample
<?xml version="1.0" encoding="utf-8" ?>
- <unattend xmlns="urn:schemas-microsoft-com:unattend">
- <settings pass="windowsPE">
- <component name="Microsoft-Windows-Setup" processorArchitecture="x86"
✂ publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS"
✂ xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
215
Chapitre 6
-
-
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
-
-
-
-
216
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
<DiskConfiguration>
<Disk>
<CreatePartitions>
<CreatePartition wcm:action="add">
<Order>1</Order>
<Size>20000</Size>
<Type>Primary</Type>
</CreatePartition>
</CreatePartitions>
<ModifyPartitions>
<ModifyPartition wcm:action="add">
<Active>true</Active>
<Extend>false</Extend>
<Format>NTFS</Format>
<Label>OS_Install</Label>
<Letter>C</Letter>
<Order>1</Order>
<PartitionID>1</PartitionID>
</ModifyPartition>
</ModifyPartitions>
<DiskID>0</DiskID>
<WillWipeDisk>true</WillWipeDisk>
</Disk>
<WillShowUI>OnError</WillShowUI>
</DiskConfiguration>
<UserData>
<ProductKey>
<Key><productkey></Key>
<WillShowUI>OnError</WillShowUI>
</ProductKey>
<AcceptEula>true</AcceptEula>
<FullName><user name></FullName>
<Organization><company organization></Organization>
</UserData>
<ImageInstall>
<OSImage>
<InstallTo>
<DiskID>0</DiskID>
<PartitionID>1</PartitionID>
</InstallTo>
<WillShowUI>OnError</WillShowUI>
</OSImage>
</ImageInstall>
<UpgradeData>
<WillShowUI>OnError</WillShowUI>
</UpgradeData>
<Display>
<ColorDepth>16</ColorDepth>
<HorizontalResolution>1024</HorizontalResolution>
<RefreshRate>60</RefreshRate>
<VerticalResolution>768</VerticalResolution>
</Display>
Créer un fichier de réponses
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
</component>
- <component name="Microsoft-Windows-International-Core-WinPE"
✂ processorArchitecture="x86" publicKeyToken="31bf3856ad364e35"
✂ language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft
✂ .com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
- <SetupUILanguage>
<UILanguage>en-us</UILanguage>
</SetupUILanguage>
<InputLocale>0409:00000409</InputLocale>
<SystemLocale>en-us</SystemLocale>
<UILanguage>en-us</UILanguage>
<UserLocale>en-US</UserLocale>
</component>
</settings>
- <settings pass="oobeSystem">
- <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="x86"
✂ publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS"
✂ xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
- <OOBE>
<HideEULAPage>true</HideEULAPage>
<ProtectYourPC>3</ProtectYourPC>
<SkipMachineOOBE>true</SkipMachineOOBE>
<SkipUserOOBE>true</SkipUserOOBE>
</OOBE>
- <UserAccounts>
- <LocalAccounts>
- <LocalAccount wcm:action="add">
- <Password>
<Value><strongpassword></Value>
<PlainText>false</PlainText>
</Password>
<DisplayName><username></DisplayName>
<Name><username></Name>
<Group>administrators</Group>
</LocalAccount>
</LocalAccounts>
</UserAccounts>
- <OEMInformation>
<Manufacturer><company name></Manufacturer>
<Model><computer model></Model>
<SupportHours><support hours></SupportHours>
<SupportPhone><phone number></SupportPhone>
</OEMInformation>
<RegisteredOrganization><Your Organization></RegisteredOrganization>
<RegisteredOwner><Your Organization></RegisteredOwner>
</component>
</settings>
- <settings pass="specialize">
- <component name="Microsoft-Windows-IE-InternetExplorer"
✂ processorArchitecture="x86" publicKeyToken="31bf3856ad364e35"
217
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
✂ language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft
✂ .com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<BlockPopups>yes</BlockPopups>
<Home_Page><Company Home Page></Home_Page>
<IEWelcomeMsg>false</IEWelcomeMsg>
<PlaySound>true</PlaySound>
<ShowInformationBar>true</ShowInformationBar>
</component>
- <component name="Microsoft-Windows-UnattendedJoin" processorArchitecture="x86"
✂ publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS"
✂ xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
- <Identification>
- <Credentials>
<Domain><domain></Domain>
<Password><strongpassword></Password>
<Username><username></Username>
</Credentials>
</Identification>
</component>
</settings>
</unattend>
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Attribuer des fichiers Unattend à des images
Les étapes suivantes se déroulent au niveau du serveur WDS (Windows Deployment
Services).
Vous entrerez dans le détail du fonctionnement du serveur WDS au chapitre Le
service de déploiement qui lui est dédié.
Une fois votre fichier de réponses créé, vous devez effectuer encore quelques
manipulations sur votre serveur pour accrocher vos images à vos fichiers de réponses.
Procédez ainsi :
1. Cliquez sur le menu Démarrer/Tous les programmes/Outils d’administration.
Sélectionnez Windows Deployment Services.
2. Il faut définir la première option qui consiste à spécifier un fichier de réponses par
défaut en fonction des architectures. Sélectionnez votre serveur WDS, cliquez avec
le bouton droit de la souris, puis choisissez Propriété et Windows DS Client.
3. Cochez la case Enable Unattend mode.
4. Pour x86 Architecture, cliquez sur Parcourir, sélectionnez le fichier Unattend puis
cliquez sur Ouvrir. Pour ia64 Architecture, cliquez sur Parcourir, sélectionnez le
fichier Unattend puis cliquez sur Ouvrir. Pour x64 Architecture, cliquez sur
218
Créer un fichier de réponses
Parcourir, sélectionnez le fichier Unattend puis cliquez sur Ouvrir. Une fois les
fichiers déclarés, cliquez sur OK.
5. Attribuez des fichiers spécifiques à des images spécifiques. Placez-vous dans le
serveur WDS. Sélectionnez Images d’installation, puis le groupe d’images
précédemment créé et choisissez l’image à laquelle vous souhaitez attribuer le
fichier de réponses.
6. Cliquez avec le bouton droit de la souris sur votre image, puis sur Propriété. Dans la
fenêtre Propriété de l’image, sélectionnez l’onglet General.
7. Sous l’onglet General, cochez la case Autoriser l’image à s’installer en mode sans
assistance, puis cliquez sur Sélectionner un fichier. Choisissez votre fichier à l’aide
du bouton Parcourir et cliquez sur OK. Pour terminer, cliquez sur OK.
Figure 6.12 :
Attribution d’un fichier
Unattend.xml à une
image spécifique
Installation de packages
Une fois les différentes étapes de paramétrages réalisées, vous avez la possibilité
d’utiliser également des packages et des points de distribution qui pourront servir à
l’installation de logiciels supplémentaires après l’installation de Windows Vista.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Le fichier ImageUnattend.xml est ajouté pour l’image WIM dans le répertoire
E:\RemoteInstall\Images\Vista\Windows_Vista_Ultimate-CQXQK\Unattend de l’image
Ultimate de Windows Vista.
Quelques points importants
Voici quelques points et étapes importants de la réalisation du fichier de réponses
Unattend.xml. D’abord, vous devez ouvrir le fichier de réponses précédemment créé.
Dans un premier temps, nous avions vu comment fonctionne le principe de fichier de
réponses Unattend.xml avec Windows Deployment Services et les images WIM. À
219
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
présent, nous allons voir comment fonctionne le paramétrage du fichier avec une étape
importante qui est la partie 1 WindowsPE.
1. Dans la partie gauche de l’interface graphique, sélectionnez Windows Image, puis la
version d’images déjà présente. Ouvrez la section Components.
2. Sélectionnez le package x86_Microsoft-Windows-Setyp_(version de build)_neutral.
C’est dans ce package que vous allez créer une partition pour l’installation de Windows
Vista.
Vous allez pouvoir indiquer si vous souhaitez créer une partition ou bien garder la
partition existante, préciser également le type de partition (FAT ou NTFS) ainsi que la
taille, mais aussi des actions liées à l’éventuelle présence d’un autre système sur la
machine, et beaucoup d’autres options encore.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Bien que toutes les parties soient importantes, la partie du package à considérer est
WindowsDeploymentServices. Elle est divisée en deux sections…
j
ImageSelection : dans cette section, vous allez trouver le nom du fichier
d’installation, le groupe auquel il appartient (ce groupe a été précédemment créé
dans Windows Deployment Services pour descendre les images) ainsi que le nom
que vous avez donné à l’image sur le serveur WDS.
j
Login : dans cette section, vous allez pouvoir spécifier les credantials, le nom de
domaine, le compte utilisateur et le mot de passe pour pouvoir entrer dans le
domaine lors de l’installation.
Validation du fichier de réponses
N’oubliez pas de valider régulièrement votre fichier de réponses pour voir si vous
n’avez pas fait d’erreur dans les informations que vous avez données au fichier.
Exemple d’une partie du fichier Unattend.xml qui a été généré à la suite du paramétrage
proposé :
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
<servicing></servicing>
<settings pass="windowsPE">
<component name="Microsoft-Windows-Setup" processorArchitecture="x86"
✂ publicKeyToken="31bf3856ad364e35" language="neutral"
✂ versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/
✂ WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<DiskConfiguration>
<Disk>
<CreatePartitions>
<CreatePartition wcm:action="add">
<Size>30000</Size>
220
Créer un fichier de réponses
<Type>Primary</Type>
<Order>1</Order>
</CreatePartition>
</CreatePartitions>
<DiskID>0</DiskID>
</Disk>
</DiskConfiguration>
<WindowsDeploymentServices>
<ImageSelection>
<InstallImage>
<Filename>install.wim</Filename>
<ImageGroup>Vista</ImageGroup>
<ImageName>Ultimate</ImageName>
</InstallImage>
</ImageSelection>
<Login>
<Credentials>
<Domain>puzzmania.com</Domain>
<Username>admin</Username>
<Password>P@ssW0r2</Password>
</Credentials>
</Login>
</WindowsDeploymentServices>
</component>
</settings>
<cpi:offlineImage cpi:source="" xmlns:cpi="urn:schemas-microsoft-com:cpi" />
Un "partage de distribution" est un ensemble facultatif de dossiers contenant des fichiers
utilisés pour personnaliser Windows via des fichiers de réponses sans assistance.
Lorsque vous ajoutez des éléments à un fichier de réponses contenu dans un partage de
distribution, les chemins d’accès de ces éléments sont inclus dans le fichier de réponses.
Au cours de l’installation, le programme d’installation de Windows utilise ces chemins
pour installer les applications et les pilotes de périphériques supplémentaires. Par
exemple, lorsque vous vous connectez à un partage de distribution sur un réseau, le
chemin d’accès au réseau est référencé dans le fichier de réponses.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Présentation des partages de distribution et des jeux de
configuration
Lorsque vous créez un partage de distribution à l’aide de l’Assistant Gestion
d’installation, trois dossiers sont automatiquement créés. Ils sont nommés Dossiers
$OEM$, Pilotes non fournis avec Windows et Packages. Si vous créez votre propre
partage de distribution, celui-ci doit contenir au moins un de ces trois dossiers pour être
reconnu comme dossier de partage de distribution valide par l’Assistant Gestion
d’installation.
Le dossier et les sous-dossiers $OEM$ sont uniquement utilisables au cours de la
création de jeux de configuration. Vous utilisez des dossiers $OEM$ pour intégrer des
logos dans le cadre d’une stratégie de marque et pour ajouter des applications et des
221
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
fichiers supplémentaires permettant de personnaliser l’installation sans assistance. Les
dossiers $OEM$ ont été utilisés dans des précédentes versions de Windows et, dans
certains cas, ils ne sont pas pris en charge dans Windows Vista.
En règle générale, vous ajoutez des ressources et des nouveaux fichiers à Windows par
l’intermédiaire d’une image de données.
Voici les sections d’un partage de distribution :
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Tableau 6.7 : Prise en charge des anciens dossiers $OEM$
222
Ancienne dénomination
Ancienne définition
Prise en charge
$OEM$
Contient tous les fichiers et les dossiers supplémentaires
qui permettent une installation automatisée ou
personnalisée.
Oui
\$OEM$\Textmode
Contient les pilotes de stockage de masse et les fichiers
HAL mis à jour qui sont indispensables lors de la phase en
mode texte du programme d’installation.
Non
\$OEM$\$$
Contient les fichiers copiés dans le dossier %WINDIR%
(par exemple, C:\Windows) au cours de l’installation
Windows.
Oui
\$OEM$\$$\Help
Contient les fichiers d’aide personnalisés copiés dans le
dossier %WINDIR%\Help au cours de l’installation
Windows.
Non
\$OEM$\$$\System32
Contient les fichiers que copiés dans le dossier
%WINDIR%\System32 au cours de l’installation
Windows.
Oui
\$OEM$\$1
Représente la racine du lecteur où est installé Windows
Oui
(également appelée "partition de démarrage") et contient
des fichiers copiés dans la partition de démarrage au cours
de l’installation Windows.
\$OEM$\$1\pilotesPlugand-Play
Contient des pilotes Plug and Play (PnP) nouveaux ou mis
à jour. L’utilisateur indique le nom du dossier dans le
fichier Unattend.xml pour les installations sans
assistance. Ce dossier peut par exemple être nommé
\$OEM$\$1\pilotesPnP.
Oui
\$OEM$\$1\SysPrep
Contient les fichiers utilisés pour une installation préparée
avec Sysprep.
Non
\$OEM$\$Docs
Contient les fichiers copiés dans le dossier
%DOCUMENTS_AND_SETTINGS% au cours de
l’installation Windows.
Non
\$OEM$\$Progs
Contient les programmes copiés dans le dossier
%PROGRAM_FILES% au cours de l’installation
Windows.
Non
Sysprep
6.6.
Ancienne dénomination
Ancienne définition
Prise en charge
\$OEM$\$Progs\Internet
Explorer
Contient le fichier de paramètres pour personnaliser
Internet Explorer.
Non
\$OEM$\lettre_lecteur
\sous_dossier
Sous-dossier du lecteur qui contient les fichiers copiés
dans le sous-dossier au cours de l’installation Windows.
Plusieurs instances de ce type de dossier peuvent exister
dans le dossier \$OEM$\lettre_lecteur, par exemple
\$OEM$\D\MonDossier.
Oui
Sysprep
Dans la plupart des cas, en entreprise, pour déployer des ordinateurs Windows Vista,
vous souhaitez créer une image de Windows Vista personnalisée, qui contient les
applications métiers communes à la société afin de ne pas avoir à les installer une par
une sur chaque poste de travail.
Communément, vous allez utiliser un outil de création d’image pour créer une image
personnalisée. Ici, vous procéderez de la même façon qu’avec des outils tiers de création
et d’application d’images système (comme Symantec Ghost).
Voici un scénario de départ :
2. Vous y installez les diverses applications et vous vous assurez qu’elles fonctionnent
correctement.
3. Vous utilisez Sysprep pour préparer l’ordinateur à la duplication.
4. Vous éteignez l’ordinateur.
5. Vous récupérez l’image système associée.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
1. Vous installez Windows Vista sur un ordinateur de test.
À la différence près qu’avec Windows Vista vous n’avez pas besoin d’outil tiers et que
l’image créée fonctionnera sur n’importe quelle plateforme matérielle. Voyez
maintenant comment fonctionne l’outil Sysprep sous Windows Vista.
Introduction à Sysprep
L’outil Sysprep prépare une installation de Windows à la duplication, à l’audit et à la
livraison à l’utilisateur final. La duplication, également appelée "acquisition d’images",
permet de capturer une image système Windows Vista personnalisée que vous êtes à
même de réutiliser dans toute votre entreprise. Pour cela, Sysprep exécute un certain
nombre de tâches pour nettoyer le système (informations relatives au Registre, à
l’utilisateur logué, à la licence, au SID d’ordinateur) afin de le rendre neutre et
223
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
réutilisable pour n’importe quel autre utilisateur. Grâce au mode Audit, vous pouvez
ajouter des applications ou des pilotes de périphériques supplémentaires à une
installation de Windows. Une fois les applications et les pilotes installés, vous avez la
possibilité de tester l’intégrité de l’installation de Windows. Sysprep permet également
de préparer une image qui sera ensuite livrée à un utilisateur final. Ainsi, lorsque le
client démarre Windows, les écrans d’accueil de Windows s’affichent.
Sysprep n’est utilisable que pour configurer de nouvelles installations de Windows
Vista. Cet outil peut être exécuté autant de fois qu’il est nécessaire pour élaborer et
configurer votre installation de Windows. Toutefois, vous ne pouvez pas réinitialiser
l’activation de la plateforme de Windows Vista pour la protection contre le piratage plus
de trois fois. Vous ne devez pas utiliser Sysprep pour reconfigurer une installation
existante de Windows déjà déployée. Cet outil est uniquement utilisable pour la
configuration de nouvelles installations de Windows.
L’outil Sysprep est maintenant inclus à la base dans Windows Vista, plus besoin de
télécharger le Deployment Pack Microsoft. Suivez le chemin %WINDIR%\
system32\sysprep.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Sysprep présente un certain nombre d’avantages :
j
Il supprime des données spécifiques au système à partir de Windows. Il peut
supprimer toutes les informations spécifiques au système à partir d’une image
système Windows installée, y compris l’ID de sécurité. L’installation de Windows
peut ensuite être capturée et installée à travers toute l’entreprise.
j
Il configure Windows pour démarrer en mode Audit. Le mode Audit vous permet
d’installer des applications et des pilotes de périphérique tiers et de tester la
fonctionnalité de l’ordinateur.
j
Il configure Windows pour démarrer avec l’accueil du premier démarrage de
Windows. Il configure une installation de Windows pour initialiser l’accueil du
premier démarrage de Windows au prochain démarrage de l’ordinateur. En
général, vous configurez un système pour qu’il s’initialise à partir de cet accueil de
premier démarrage immédiatement avant la livraison de l’ordinateur à l’utilisateur
final. Celui-ci n’a plus qu’à entrer les quelques informations personnelles qu’il lui
manque.
j
Il réinitialise l’activation du produit Windows. Sysprep peut réinitialiser l’activation
du produit Windows jusqu’à trois fois.
Implémenter Sysprep
Reprenons notre scénario de départ : vous installez Windows Vista sur un ordinateur de
test, vous y installez toutes les applications que vous voulez inclure dans votre image
personnalisée et vous vérifiez leur fonctionnement. Maintenant, vous allez utiliser
Sysprep pour préparer l’ordinateur à la duplication.
1. Cliquez sur le logo Windows de démarrage.
224
Sysprep
2. Tapez Sysprep dans la fenêtre Exécuter que vous avez ouvert.
Figure 6.13 : Répertoire %WINDIR%\system32\sysprep
3. Ouvrez le répertoire Sysprep et cliquez deux fois sur l’application.
Figure 6.14 :
Application Sysprep
Le nettoyage du système
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Vous remarquez une interface graphique très épurée en comparaison de la précédente
version de Sysprep contenue dans le Deployment Pack Microsoft Windows XP. Deux
menus déroulants uniquement, donc deux choix à faire : un choix sur le mode de
nettoyage du système et un sur le mode d’extinction de l’ordinateur.
Dans le premier menu déroulant de l’application Sysprep, vous devez choisir l’action de
nettoyage du système à mener.
Figure 6.15 :
Choix d’action de
nettoyage du système
225
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
j
Entrer en mode OOBE (Out-Of-Box Experience) : OOBE, autrement appelé "accueil
de premier démarrage de Windows", représente la première expérience de
l’utilisateur et permet aux utilisateurs finaux de personnaliser leur installation
Windows. Les utilisateurs finaux peuvent créer des comptes utilisateurs, lire et
accepter les termes du contrat de licence logiciel Microsoft et choisir leur langue et
leur fuseau horaire. Par défaut, toutes les installations Windows démarrent d’abord
avec l’accueil de premier démarrage de Windows. La passe de configuration
OobeSystem s’exécute immédiatement avant le démarrage de l’accueil de premier
démarrage de Windows. C’est le choix le plus commun dans le sens où vous nettoyez
complètement le système pour une duplication en masse.
j
Entrer en mode d’audit système : le mode Audit permet aux fabricants d’ordinateurs
et aux entreprises d’ajouter des personnalisations à leurs images Windows. Le mode
Audit ne nécessite pas l’application de paramètres dans l’accueil de premier
démarrage de Windows. En ignorant l’accueil de Windows, vous pouvez accéder
plus rapidement au Bureau et apporter vos personnalisations. Vous pouvez ajouter
des pilotes de périphérique supplémentaires, installer des applications et tester la
validité de l’installation. En mode Audit, les paramètres d’un fichier de réponses, en
mode sans assistance, sont traités lors des étapes de configuration AuditSystem et
AuditUser. Dans une installation Windows Vista par défaut, une fois l’installation
terminée, l’accueil de Windows démarre. Cependant, vous pouvez ignorer l’accueil
de Windows et démarrer directement en mode Audit en appuyant sur les touches
[Ctrl]+[Maj]+[F3] à partir du premier écran d’accueil de Windows.
L’option Généraliser
Juste en dessous de la liste Action de nettoyage du système se trouve une case à cocher
très importante appelée Généraliser. Cette option est l’équivalent de l’option Resceller
sous Windows XP : c’est en la cochant que vous allez générer un SID ordinateur
différent à chaque application de l’image. Si vous utilisez Sysprep pour générer une
image de référence devant s’appliquer sur tous les postes de travail de l’entreprise,
alors il est primordial de cocher cette case.
Les options d’extinction
Dans le second menu déroulant de l’application Sysprep, vous devez faire un choix
d’options d’extinction : arrêter, quitter ou redémarrer l’ordinateur (voir fig. 6.16).
La fin de l’exécution de Sysprep se marque par l’option d’extinction. Dans la plupart des
cas, vous choisirez d’éteindre l’ordinateur. Là, votre ordinateur est prêt pour
redémarrer, mais en bootant sur un outil de récupération de l’image système.
226
Sysprep
Figure 6.16 :
Options d’extinction de
Sysprep
Le processus de Sysprep
Pour que Sysprep s’exécute sans problème, vous devez vous assurer du processus
suivant :
1. Vérifiez que Sysprep est capable de s’exécuter. Seul un administrateur peut exécuter
Sysprep, dont il est impossible de faire tourner plusieurs instances. Sysprep doit
également s’exécuter sur la version de Windows sur laquelle il a été installé.
2. Analysez les arguments de ligne de commande.
3. Si vous n’avez pas spécifié d’argument de ligne de commande, la fenêtre de Sysprep
qui s’affiche permet aux utilisateurs de définir des actions Sysprep.
5. Vérifiez que tous les fichiers .dll ont traité toutes leurs tâches, puis arrêtez le
système, relancez-le ou quittez Sysprep.
Réinitialiser l’activation de Windows Vista
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
4. Traitez les actions Sysprep, appelez les fichiers .dll et les exécutables appropriés,
puis ajoutez des actions au fichier journal.
Lorsque vous installez Windows Vista avec une clé de produit de licence unique, vous
disposez de 30 jours au cours desquels vous devez activer cette installation de Windows.
Si vous n’activez pas Windows Vista dans cette période de 30 jours et que vous ne
réinitialisez pas l’horloge d’activation, Windows entre en mode de fonctionnalité
réduite. Ce mode empêche les utilisateurs d’ouvrir une session sur l’ordinateur avant
l’activation de Windows.
Il n’existe aucune limite au nombre d’exécutions de Sysprep sur un ordinateur.
Cependant, l’horloge de l’activation de Windows Vista commence son décompte la
première fois que Windows est lancé. Vous pouvez utiliser la commande sysprep
/generalize pour réinitialiser l’activation du produit Windows à trois reprises au
maximum. Après trois exécutions de la commande sysprep /generalize, l’horloge ne
peut plus être réinitialisée.
227
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Lorsque vous exécutez la commande sysprep /generalize, l’horloge d’activation est
automatiquement réinitialisée. Vous pouvez ignorer la réinitialisation de l’horloge
d’activation à l’aide du paramètre SkipRearm dans le composant
Microsoft-Windows-Security-Licensing-SLC. Cela vous permet d’exécuter Sysprep à
plusieurs reprises sans réinitialiser l’horloge d’activation.
Figure 6.17 : Paramètre SkipRearm
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Selon le mode de licence, le comportement de réinitialisation de l’horloge d’activation
est différent.
j
L’activation peut être réinitialisée un nombre de fois illimité pour des clients du
service KMS. KMS est un mode de licence faisant parti des licences en volume qui
permet à l’entreprise de surveiller et de comptabiliser l’utilisation des licences au
sein de l’entreprise. C’est un service s’installant sur un serveur dédié aux ordinateurs
de l’entreprise toujours connectés au réseau. Les entreprises clientes du service
KMS doivent utiliser la commande sysprep /generalize avec la valeur du
paramètre SkipRearm égale à 0.
j
Pour les clients de clés d’activation multiples (MAK), la recommandation consiste à
installer ces clés d’activation multiples immédiatement avant d’exécuter Sysprep
pour la dernière fois avant la livraison de l’ordinateur à un utilisateur. MAK est
aussi un mode de licence faisant parti des licences en volume qui permet à
l’entreprise de surveiller et de comptabiliser l’utilisation des licences, mais il est plus
particulièrement dédié aux ordinateurs nomades de l’entreprise peu ou pas
connectés au réseau. Ce n’est pas un service que l’on installe, c’est un type de clé.
j
Pour les licences d’activation OEM, aucune activation n’est requise. L’activation
OEM n’est disponible que pour les fabricants d’ordinateurs OEM.
Image et activation
Vous ne pouvez pas créer d’image d’une installation Windows activée et dupliquer
cette image sur un autre ordinateur. Si vous le faites, Windows ne parvient pas à
reconnaître l’activation et force l’utilisateur final à réactiver manuellement
l’installation.
228
Sysprep
Utiliser des fichiers de réponses en conjonction avec Sysprep
Si vous installez Windows Vista par le biais d’un fichier de réponses, celui-ci est placé en
mémoire cache sur le système de sorte que lors des passes de configuration suivantes, les
paramètres définis dans le fichier de réponses soient appliqués au système.
Le fichier de réponses étant placé en mémoire cache, les paramètres qu’il contient sont
appliqués lorsque vous exécutez Sysprep. Si vous utilisez les paramètres extraits d’un
autre fichier de réponses, vous pouvez spécifier un autre fichier Unattend.xml par le biais
de l’option sysprep /unattend:fichierréponses.
Pour assurer la persistance des pilotes de périphérique lorsque vous exécutez la
commande sysprep /generalize, spécifiez le paramètre PersistentAll
DeviceInstalls dans le composant Microsoft-Windows-PnPSysprep. Lors de la passe
de configuration Specialize, la fonction plug and play analyse le système pour y
rechercher des périphériques et installe les pilotes correspondants. Par défaut, ces
pilotes de périphérique sont supprimés du système lors de la passe de configuration
Generalize. Si vous réglez PersistAllDeviceInstalls sur true dans un fichier de
réponses, Sysprep ne supprime pas les pilotes de périphérique détectés.
Vous pouvez configurer automatiquement une installation de Windows Vista de sorte à
activer le mode d’audit ou l’accueil de premier démarrage Windows (mode OOBE) une
fois l’installation de Windows terminée. L’utilisation du paramètre reseal dans le
composant Microsoft-Windows-Deployment vous permet de spécifier le mode de
démarrage de Windows. Si cette valeur n’est pas spécifiée, Windows démarre en mode
d’accueil de premier démarrage Windows par défaut (voir fig. 6.19).
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Figure 6.18 : Paramètre PersistAllDeviceInstalls
En mode d’audit, vous pouvez afficher l’état des commandes RunSynchronous
exécutées lors de la passe de configuration AuditUser. La fenêtre AuditUI affiche l’état
des commandes et fournit les informations suivantes :
j
Indicateur visuel montrant qu’une installation est en cours d’exécution.
229
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Figure 6.19 : Paramètre Reseal
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
j
Indication visuelle de la date, de l’heure et de l’emplacement des échecs. Cette
fonction permet d’établir un diagnostic rapide si la commande ne génère pas de
fichiers journaux.
Si le fichier de réponses contient des commandes RunSynchronous lors de la passe de
configuration AuditUser, la liste des commandes s’affiche dans la fenêtre AuditUI, dans
l’ordre spécifié par le paramètre Order qui se trouve dans le sous-élément
RunSynchronousCommand de l’élément RunSynchronous.
Figure 6.20 : Sous-élément RunSynchronousCommand
Chaque élément de la liste affichée dans l’interface utilisateur correspond à la chaîne
extraite du paramètre Description ou du paramètre Path.
Toutes les commandes RunSynchronous sont traitées dans l’ordre. Si la commande
aboutit, l’élément de liste correspondant est associé à une coche verte. Si la commande
230
Sysprep
échoue, l’élément de liste correspondant est associé à un X rouge. Si un redémarrage est
requis, la fenêtre AuditUI réapparaît après le redémarrage, mais seuls les éléments non
traités de la liste sont recensés. Les éléments précédemment traités ne sont plus
indiqués. Si la liste d’éléments affichés dépasse la hauteur de la fenêtre AuditUI, sa taille
est adaptée à l’écran et il est impossible de la faire défiler. De ce fait, certains éléments
risquent de ne pas être visibles.
Le programme d’installation de Windows Vista interprète les codes de retour 0 et
différents de 0 comme des valeurs d’état dans la fenêtre AuditUI. La valeur 0 indique un
succès, tandis qu’une autre valeur représente un échec. Selon la valeur du paramètre
WillReboot qui se trouve dans le sous-élément RunSynchronousCommand de l’élément
RunSynchronous, la valeur renvoyée par la commande risque d’affecter le
comportement de l’installation.
Figure 6.21 :
Paramètre WillReboot
Si le paramètre WillReboot est réglé sur Always, si la commande renvoie 0,
l’élément de liste correspondant est coché en vert. Un redémarrage est
immédiatement exécuté. Si la commande renvoie une autre valeur, l’élément de
liste correspondant est signalé par un X rouge. Un redémarrage est immédiatement
exécuté.
j
Si le paramètre WillReboot est réglé sur Never, si la commande renvoie 0,
l’élément de liste correspondant est coché en vert. Si la commande renvoie une
autre valeur, l’élément de liste correspondant est signalé par un X rouge. Une autre
valeur n’est pas considérée comme une erreur irrécupérable si WillReboot est réglé
sur Always ou Never.
j
Si le paramètre WillReboot est réglé sur OnRequest, si la commande renvoie 0,
l’élément de liste correspondant coché en vert. Si la commande renvoie 1, l’élément
de liste correspondant est coché en vert. Un redémarrage est immédiatement
exécuté. Si la commande renvoie 2, l’élément de liste correspondant est
temporairement coché en vert. Un redémarrage est immédiatement exécuté. À la
suite du redémarrage, l’élément de liste correspondant s’affiche à nouveau dans la
fenêtre AuditUI sans annotation car la commande est encore en cours d’exécution.
Si la commande renvoie d’autres valeurs, il se produit une erreur irrécupérable et
une boîte de dialogue de blocage s’affiche.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
j
231
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Les fichiers journaux de Sysprep
Sysprep consigne les actions d’installation de Windows dans divers répertoires, selon la
passe de configuration concernée. La passe de configuration Generalize supprimant
certains fichiers journaux du programme d’installation Windows, Sysprep consigne les
actions Generalize hors des fichiers journaux d’installation Windows standard.
Tableau 6.8 : Journaux de log de Sysprep
Élément
Chemin des fichiers journaux
Generalize
%WINDIR%\system32\sysprep\panther
Specialize
%WINDIR%\panther\
Actions d’installation sans assistance de
Windows
%WINDIR%\panther\unattendgc
Les limitations de Sysprep
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Sysprep comporte les limitations suivantes :
j
Vous devez uniquement utiliser la version de Sysprep installée avec l’image système
Windows que vous voulez configurer. Sysprep est installé avec chaque version de
Windows et doit toujours être exécuté à partir du répertoire %WINDIR%\
system32\sysprep.
j
Sysprep ne doit pas être utilisé sur des types d’installation de mise à niveau.
Exécutez Sysprep uniquement sur des installations propres.
j
Si vous prévoyez d’utiliser la commande imagex d’application d’une image système
Windows Vista à un ordinateur, le format de partition sur les ordinateurs de test et
de destination doit être identique. Par exemple, si vous capturez une image système
Windows personnalisée sur le lecteur C, vous devez toujours déployer cette image
système sur le lecteur C de l’ordinateur de destination. La liste suivante décrit les
paramètres de partition qui doivent être identiques sur les ordinateurs de test et de
destination…
− Le numéro de partition où est installé Windows Vista doit correspondre.
− Le type de partition (principale, étendue ou logique) doit correspondre.
− Si la partition est définie comme active sur l’ordinateur de référence,
l’ordinateur de destination doit également être défini comme actif.
j
232
Lors de la copie d’images système Windows entre différents systèmes, les
ordinateurs de test et de destination n’ont pas besoin de disposer de fichiers HAL
(Hardware Abstraction Layer) compatibles.
Windows PE 2.0
Les périphériques plug and play présents sur les ordinateurs de test et de
destination, tels que les modems, les cartes son, les cartes réseau et les cartes vidéo,
n’ont pas besoin d’être du même fabricant. Cependant, les lecteurs de ces
périphériques doivent être inclus dans l’installation.
j
L’horloge d’activation commence son compte à rebours la première fois que
Windows est démarré. Vous pouvez utiliser Sysprep au maximum trois fois pour
réinitialiser l’horloge en vue de l’activation de produit Windows. Après trois
exécutions de Sysprep, l’horloge ne peut plus être réinitialisée.
j
Que ce soit ImageX (outil de création d’image système de Windows Vista) ou que ce
soit des logiciels de création d’image système de disque tiers ou des périphériques
matériels de duplication de disque, ils sont nécessaires pour l’installation fondée sur
une image. Ces produits créent des images du disque dur d’un ordinateur, puis la
dupliquent sur un autre disque dur ou la stockent dans un fichier sur un disque
séparé.
j
Sysprep s’exécute seulement si l’ordinateur est membre d’un groupe de travail, et
non d’un domaine. Si l’ordinateur appartient à un domaine, Sysprep le retire de ce
domaine.
j
Si vous exécutez Sysprep sur une partition de système de fichiers NTFS qui contient
des fichiers ou des dossiers cryptés, les données contenues dans ces dossiers
deviennent complètement illisibles ou irrécupérables.
j
Sysprep convertit la variable d’environnement %COMPUTERNAME% en caractères
majuscules. Cependant, le nom réel de l’ordinateur ne change pas.
j
L’exécution de Sysprep fait que les écrans d’accueil de Windows vous demandent
une clé de produit. Vous pouvez utiliser un fichier de réponses avec Sysprep pour
éviter que les écrans d’accueil de Windows ne vous demandent une clé de produit.
Une fois le Sysprep effectué, la prochaine étape consiste à démarrer sur Windows PE 2
.0 pour avoir un environnement adéquat afin de capturer l’image qui servira de
référence au déploiement.
6.7.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
j
Windows PE 2.0
Une fois votre ordinateur de test configuré et la commande Sysprep effectuée,
l’environnement de préinstallation Windows PE 2.0 va vous permettre de démarrer sur
un environnement autonome et relativement complet afin de récupérer votre image
système.
Mais Windows PE 2.0 va quand même plus loin : cet environnement vous servira
également à appliquer les images, voire à diagnostiquer un poste de travail.
Windows PE 2.0 est incontournable quand on parle de déploiement car même le
processus d’installation de Windows Vista provenant du DVD Vista effectue en premier
lieu un démarrage sur Windows PE 2.0.
233
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Introduction à WIN PE
Windows PE 2.0 (Windows Preinstallation Environnement) constitue l’une des bases du
déploiement de Windows Vista. Il est conçu pour faciliter les déploiements de ce
nouveau système d’exploitation. C’est un environnement bootable limité conçu sur la
base de Windows Vista.
Windows PE 2.0
Jusqu’à présent Windows PE était réservé aux clients disposant d’un contrat
Microsoft Software Assurance (SA). La bonne nouvelle, c’est que Windows PE 2.0
devient disponible pour toutes les personnes ou sociétés désireuses d’installer ou de
déployer Windows Vista au travers du WAIK.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Windows PE (ou Win PE) offre de puissants outils de préparation et d’installation pour
Windows Vista. Même s’il ne dispose pas de toutes les classes WMI, il en possède un
certain nombre, ce qui vous permettra d’optimiser vos déploiements. Dans sa version 2.0,
Win PE est personnalisable au travers d’outils livrés dans le WAIK (Windows Automated
Installation Kit). Ainsi, il est possible d’ajouter simplement des pilotes ou des packages.
234
Windows PE
Win PE est un outil de démarrage système de Microsoft qui offre des fonctionnalités
avancées pour l’installation, le dépannage et la récupération. Il a été conçu pour
remplacer MS-DOS comme environnement de préinstallation. Win PE 2.0 est la
version liée à Windows Vista.
Les versions de Windows PE
Même si c’est la première fois que vous entendez parler ou utilisez Win PE 2.0, sachez
que Win PE offre plusieurs versions. Il sort une nouvelle version de Win PE à chaque
révision d’un système d’exploitation ou à l’arrivée d’un service pack. La dernière version
officielle avant la sortie de Windows Vista correspond à Windows Server 2003 SP1. Au
début de Win PE, un grand nombre d’applications ne pouvaient s’exécuter car elles
nécessitaient de l’espace de stockage temporaire, et Win PE était souvent lancé à partir
d’un support non inscriptible, tel qu’un CD. Les versions se sont enrichies et améliorées
pour prendre en charge le WMI, les périphériques plug and play, mais également en
apportant le support du Ramdisk et en permettant le démarrage à partir d’une clé USB :
j
Win PE 1.0, basé sur la version Windows XP ;
j
Win PE 1.1, basé sur la version Windows XP SP1 ;
j
Win PE 1.2, basé sur la version Windows 2003 Server ;
j
Win PE 1.5, basé sur la version Windows XP SP2 ;
j
Win PE 1.6, basé sur la version Service Pack 1 de Windows 2003.
Windows PE 2.0
Win PE 2.0
Que de chemin parcouru entre la version 1.0 et la version 2.0 de Win PE. La version 2.0
de Win PE s’appuie en effet sur les composants de Windows Vista. Par conséquent,
Win PE 2.0 prend en charge les pilotes Windows Vista et tire parti d’un grand nombre
d’améliorations apportées par Windows Vista, par exemple la protection améliorée
contre les attaques réseaux offertes par le pare-feu Windows. Désormais, cette nouvelle
version de Win PE prend en charge l’ajout de pilotes, ce qui vous permet de charger des
pilotes avant ou après le lancement de Win PE. Si vous démarrez Win PE et que vous
constatiez qu’il manque un pilote nécessaire, vous avez la possibilité de charger le pilote
non standard à partir d’un support amovible et d’utiliser aussitôt le matériel sans
redémarrage.
Pour plus de flexibilité, en particulier lors de la création de scripts de préinstallation,
Win PE 2.0 inclut désormais une prise en charge améliorée de WMI. Cela vous permet
d’effectuer la plupart des tâches de configuration et de gestion à partir d’un script ou de
la ligne de commandes.
Voici la liste des nouveautés apportées par la version 2.0 de Win PE…
j
Mises à jour de sécurité : Windows PE prend désormais en charge le protocole SSL
(Secure Socket Layer).
j
Outils de gestion des fichiers .wim : les fichiers .wim peuvent être personnalisés et
démarrés au moyen de l’outil de ligne de commandes ImageX et du pilote WIM FS
Filter (Windows Imaging File System Filter).
j
Prise en charge de nouvelles méthodes de démarrage : vous pouvez démarrer
Windows PE depuis le fichier .wim hébergé sur le DVD Windows AIK ou l’option
/boot de l’outil de ligne de commandes ImageX.
j
Prise en charge du redémarrage sur 72 heures : l’horloge de redémarrage de
Windows PE a été étendue de 24 à 72 heures.
j
Prise en charge du plug and play (PnP) : les périphériques matériels peuvent être
détectés et installés alors que Windows PE est en cours d’exécution. Tous les
périphériques PnP fournis sont pris en charge, y compris les médias amovibles et les
périphériques de stockage de masse. Cette prise en charge est activée par défaut.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Utilisation de Win PE
Win PE n’est pas une version Embedded du système d’exploitation. Il ne remplace
pas un système d’exploitation client ou serveur. Il reboote toutes les soixante-douze
heures. Windows PE est un outil amorçable fondé sur les composants de Windows
Vista. Contrairement à Windows Vista, qui est un système d’exploitation général,
Windows PE est conçu pour être utilisé dans le cadre de l’installation ou du
dépannage.
235
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
j
Outil Drvload : utilisez ce nouvel outil de ligne de commandes pour ajouter des
pilotes non fournis au démarrage de Windows PE. Drvload installe les pilotes en
utilisant les fichiers .inf des pilotes en tant qu’entrées.
j
Outil PEImg : utilisez ce nouvel outil de ligne de commandes pour personnaliser
une image de Windows PE hors ligne. PEImg vous permet d’ajouter et de
supprimer des pilotes, des composants de Windows PE et des modules linguistiques.
j
Données de configuration de démarrage (BCD) : utilisez ce nouveau fichier de
configuration de démarrage pour personnaliser les options de démarrage. Ce fichier
remplace le fichier Boot.ini.
j
Outil bootsect (secteur de démarrage) : utilisez cet outil pour permettre le
déploiement de versions antérieures de Windows en changeant le code de
démarrage de la précédente version de Windows en vue d’assurer la prise en charge
du gestionnaire de démarrage (Bootmgr) pour Windows Vista.
j
Disque virtuel inscriptible automatique : en cas de démarrage depuis un média en
lecture seule, Windows PE crée automatiquement un disque virtuel inscriptible
(disque X) et alloue 32 Mo de ce dernier au stockage général. En utilisant un
système de fichiers NTFS compressé, les 32 Mo sont adressables jusqu’à 60 Mo.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Avec l’arrivée de Windows Vista, Win PE sera donc disponible pour tout le monde.
Win PE 2.0 sera disponible dans le WAIK et utilisable pour déployer Windows Vista
dans toutes les entreprises sans problème de licence.
La première étape pour utiliser Win PE consiste à installer le WAIK. Dans l’un des
répertoires du kit d’installation automatique Windows se trouvent deux images WIM de
Win PE ainsi que des outils :
C:\Program Files\Windows AIK\Tools\x86>dir
Le volume dans le lecteur C n’a pas de nom.
Le numéro de série du volume est FC61-F515
Répertoire de C:\Program Files\Windows AIK\Tools\x86
14/05/2006
23/02/2006
09/11/2005
18/02/2006
18/02/2006
18/02/2006
18/02/2006
18/02/2006
18/02/2006
14/05/2006
14/05/2006
18/02/2006
18/02/2006
10/02/2006
18/02/2006
236
20:13
15:01
16:01
01:03
01:03
01:50
01:06
01:50
01:50
20:13
20:13
01:50
01:48
16:09
01:05
<REP>
125 123
1
409
59
337
2 041
231
189
<REP>
<REP>
1 318
2
75
231
301
024
980
392
920
344
424
440
912
560
776
424
boot
boot.wim
bootfix.bin
bootmgr
BootSect.exe
cbscore.dll
cmiv2.dll
dpx.dll
drvstore.dll
efi
en-us
msxml6.dll
msxml6r.dll
oscdimg.exe
peimg.exe
Windows PE 2.0
18/02/2006
18/02/2006
18/02/2006
18/02/2006
18/02/2006
18/02/2006
18/02/2006
18/02/2006
18/02/2006
18/02/2006
18/02/2006
01:50
01:50
01:05
01:50
1
01:50
01:02
01:05
01:05
14:07
132
01:05
01:33
23 fichier(s)
5 Rép(s)
9
781
43
19
282
287
3
110
176
400
233
116
824 smiengine.dll
520 smipi.dll
968 sys.exe
560 wcp.dll
744 wdscore.dll
113 wimfltr.inf
848 wimfltr.sys
640 wimgapi.dll
517 winpe.wim
984 ImageX.exe
224 xmllite.dll
265 479 439 octets
044 193 280 octets libres
La première image se nomme winpe.wim, c’est le Win PE 2.0 fourni pour déployer
Windows Vista. La seconde image s’appelle boot.wim. Les deux images font
sensiblement la même taille, 125 Mo et 130 Mo. Cependant, elles présentent quelques
différences non négligeables. Dans les versions précédentes de Win PE, il était souvent
reproché à Win PE de mettre trop longtemps à démarrer car il n’était pas optimisé. Ce
problème est résolu grâce à ces deux images.
Vous trouverez deux modes dans cette nouvelle version de Win PE, un mode Préparé et
un mode Non préparé. Vous créerez votre propre arborescence, ajouterez des éléments,
puis, au travers d’une commande, vous pourrez l’optimiser en fonction de son
démarrage via le réseau, un support USB ou un CD.
La version winpe.wim
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Le fichier boot.wim est la version de Win PE "préparée". La problématique du boot.win
et des versions préparées, c’est que vous ne pouvez plus ajouter de composants. Seul
l’ajout de pilotes sera possible dans ce mode. Il est donc très important de conserver une
version dite non préparée de Win PE, ce qui est le cas avec winpe.wim. Pour voir la
différence entre les versions, utilisez la commande suivante : ImageX /info
nom_image.wim.
Pour visualiser le contenu de la version de winpe.wim, utilisez l’instruction ImageX
/info winpe.wim.
C:\Program Files\Windows AIK\Tools\PETools\x86>imagex /info winpe.wim
ImageX Tool for Windows
Copyright (C) Microsoft Corp. 1981-2005. All rights reserved.
WIM Information:
---------------GUID:
{d86b36d5-4860-4a9d-baa7-5b251ba821aa}
Image Count: 1
237
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Compression: LZX
Part Number: 1/1
Boot Index: 1
Attributes: 0x8
Relative path junction
Available Image Choices:
-----------------------<WIM>
<TOTALBYTES>164491669</TOTALBYTES>
<IMAGE INDEX="1">
<NAME>Microsoft Windows Vista PE (X86)</NAME>
<DESCRIPTION>Microsoft Windows Vista PE (X86)</DESCRIPTION>
<WINDOWS>
<ARCH>0</ARCH>
<PRODUCTNAME>Microsoft "Windows" Operating System</PRODUCTNAME>
<PRODUCTTYPE>WinNT</PRODUCTTYPE>
<PRODUCTSUITE></PRODUCTSUITE>
<LANGUAGES>
<LANGUAGE>fr-FR</LANGUAGE>
<DEFAULT>fr-FR</DEFAULT>
</LANGUAGES>
<VERSION>
<MAJOR>6</MAJOR>
<MINOR>0</MINOR>
<BUILD>6000</BUILD>
<SPBUILD>16386</SPBUILD>
</VERSION>
<SYSTEMROOT>WINDOWS</SYSTEMROOT>
</WINDOWS>
<DIRCOUNT>2070</DIRCOUNT>
<FILECOUNT>8293</FILECOUNT>
<TOTALBYTES>708015723</TOTALBYTES>
<CREATIONTIME>
<HIGHPART>0x01C6FEC8</HIGHPART>
<LOWPART>0xBFD8DDC6</LOWPART>
</CREATIONTIME>
<LASTMODIFICATIONTIME>
<HIGHPART>0x01C6FEC8</HIGHPART>
<LOWPART>0xC375E20E</LOWPART>
</LASTMODIFICATIONTIME>
</IMAGE>
</WIM>
Dans la partie <NAME> se trouve le nom de l’image winpe.wim : Microsoft Windows
Vista PE (X86). Cette version est la version de Windows Vista. Vous découvrirez un
peu plus loin comment voir le contenu de chaque image. Cette version d’image est non
préparée, il est donc possible d’y ajouter des packages et des pilotes.
238
Windows PE 2.0
La version boot.wim
Pour visualiser le contenu de la seconde image de Win PE boot.wim, utilisez
l’instruction ImageX /info boot.wim.
C:\Program Files\Windows AIK\Tools\x86>ImageX /info boot.wim
ImageX Tool for Windows
Copyright (C) Microsoft Corp. 1981-2005. All rights reserved.
WIM Information:
---------------GUID:
{6c00797e-6e60-4b43-9be6-cf327f16f3f6}
Image Count: 1
Compression: LZX
Part Number: 1/1
Boot Index: 1
Attributes: 0x0
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Available Image Choices:
-----------------------<?xml version="1.0" encoding="UTF-16"?>
<WIM>
<TOTALBYTES>125121945</TOTALBYTES>
<IMAGE INDEX="1">
<DIRCOUNT>362</DIRCOUNT>
<FILECOUNT>2289</FILECOUNT>
<TOTALBYTES>319894252</TOTALBYTES>
<CREATIONTIME>
<HIGHPART>0x1C638CD</HIGHPART>
<LOWPART>0x196493A</LOWPART>
</CREATIONTIME>
<NAME>Windows Preinstallation Environment (x86)</NAME><WINDOWS
><ARCH>0</ARCH><PRODUCTNAME>Microsoft "Windows" Operating Syst
em</PRODUCTNAME><PRODUCTTYPE>WinNT</PRODUCTTYPE><PRODUCTSUITE
/><LANGUAGE>00000409</LANGUAGE><VERSION><MAJOR>6</MAJOR><MINOR
>0</MINOR><BUILD>5308</BUILD><SPBUILD>17</SPBUILD></VERSION><S
YSTEMROOT>WINDOWS</SYSTEMROOT></WINDOWS></IMAGE></WIM>
la partie <NAME> se trouve le nom de l’image boot.wim :
Windows Preinstallation Environment (x86). Cette version est la version de
Dans
démarrage de Windows Vista. À la différence de la version winpe.win, cette version
d’image est préparée, il est donc impossible d’y ajouter des packages, seuls les pilotes
peuvent y être ajoutés.
239
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
L’utilisation de Win PE
Win PE 2.0 est capable de traiter trois aspects spécifiques.
j
Installation de Windows Vista : Win PE s’exécute chaque fois que vous installez
Windows Vista. Les outils graphiques qui collectent les informations de
configuration au cours de la phase d’installation s’exécutent dans Windows PE.
j
Résolution des problèmes : Win PE sert également pour la résolution de problèmes.
Par exemple, Win PE démarre automatiquement et lance l’environnement de
récupération de Windows.
j
Récupération : il peut être utilisé pour créer des solutions personnalisées et
automatisées pour la récupération et la reconstruction d’ordinateurs basés sur
Windows Vista.
Win PE consomme moins de 100 Mo d’espace disque et peut s’exécuter intégralement à
partir de la mémoire vive, ce qui vous permet d’insérer un deuxième CD contenant les
pilotes ou les logiciels. Ces fonctionnalités permettent à Windows PE de s’exécuter sur
des ordinateurs qui ne sont pas encore équipés d’un disque dur formaté ou d’un système
d’exploitation installé. Cependant, Windows PE n’est pas un système d’exploitation
complet tel que Windows Vista. De plus, vous pouvez faire le test, Win PE redémarre
toutes les 72 heures.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Les limitations de Win PE
240
Win PE possède les limitations suivantes :
j
L’ordinateur doit être équipé d’un minimum de 256 Mo de RAM.
j
Windows PE nécessite un périphérique d’affichage compatible VESA et utilise la
résolution d’écran la plus élevée possible. Si Windows PE ne peut détecter les
paramètres vidéo, il utilise une résolution de 640 x 480 pixels.
j
Il prend en charge la résolution de noms DFS (Distributed File System) uniquement
pour les racines DFS autonomes.
j
Vous ne pouvez accéder aux fichiers ou dossiers d’un ordinateur exécutant Win PE
à partir d’un autre ordinateur ; le service Serveur n’est pas disponible dans Windows
PE.
j
Win PE prend en charge à la fois IPv4 et IPv6 mais ne prend pas en charge d’autres
protocoles, tels que IPX/SPX.
j
Les affectations de lettres d’unité ne sont pas persistantes d’une session à l’autre.
Après le redémarrage de Win PE, les affectations de lettres d’unité sont dans l’ordre
par défaut.
j
Windows PE ne prend pas en charge le .NET Framework.
Windows PE 2.0
j
Dans la mesure où WOW (Windows on Windows) n’est pas pris en charge, les
applications 16 bits ne s’exécutent pas dans les versions 32 bits de Windows PE, et
les applications 32 bits ne s’exécutent pas dans les versions 64 bits de Win PE.
j
Win PE redémarre 72 heures après le démarrage initial.
Les outils
Un certain nombre d’outils permettent d’utiliser Win PE, certains sont inclus dans
Win PE, d’autres non. Voici la liste et les fonctions de ces outils…
ImageX : il n’est pas présent dans Win PE, mais vous pouvez le trouver dans le
resource kit de déploiement. Il est utilisé pour l’ajout d’une image, la capture
d’images, l’application d’images, etc.
j
DiskPart : c’est un outil qui permet de créer ou supprimer des partitions. Il n’est
pas nouveau mais c’est uniquement après la création d’une partition que vous
pourrez descendre l’image WIM.
j
Drvload : c’est un nouvel outil. Vous pouvez utiliser la commande drvload pour
ajouter des pilotes de périphérique, comme des chipsets audio, vidéo et des chipsets
de carte mère à une image Windows PE. Vous pouvez également utiliser la
commande drvload pour charger dynamiquement un pilote après le démarrage de
Windows PE.
j
OSCDImg : cet outil permet de créer une image ISO de son Win PE.
j
PEImg : il permet de lister ou d’ajouter des composants en ligne de commandes dans
Win PE, mais également de préparer une image.
j
BCDEdit : cet outil permet d’éditer les données de configuration de démarrage
(Boot Configuration Data). Il est aussi utilisé pour ajouter WINPE dans un menu de
boot. C’est le remplaçant du boot.ini.
Personnaliser un Win PE non préparé
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
j
Pour être utile au déploiement et aussi aux tâches d’administration des postes de travail,
vous allez créer votre propre média bootable Win PE (clé USB, CD, etc.) qui réunira les
éléments les plus utiles pour mener à bien votre travail. Tout le travail va s’effectuer à
partir d’un ordinateur Windows Vista sur lequel le WAIK est installé.
Pour préparer et personnaliser Win PE, soit l’image winpe.wim, c’est-à-dire le Win PE
non préparé, il faut appliquer son contenu dans un répertoire afin d’utiliser ses fichiers
et son arborescence. Vous avez plusieurs possibilités : la première serait d’utiliser la
commande ImageX /mountrw, la seconde d’employer la commande ImageX /apply.
C’est la commande que nous utiliserons. Voici la syntaxe ImageX avec le commutateur
/apply (ce commutateur permet d’appliquer des images) avec le nom de l’image WIM
suivi du numéro d’indexation de l’image dans le fichier WIM, pour terminer le chemin
complet du répertoire de destination.
241
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
On obtient la syntaxe suivante : ImageX /apply winpe.wim 1 c:\extractPE.
Ajouter des packages
Une fois l’image ouverte et tous les fichiers Win PE accessibles, vous avez la possibilité
d’ajouter des packages qui offrent de la valeur ajoutée à l’utilisation de Win PE.
L’ajout de packages est une fonction très pratique de Win PE puisque ce dernier peut
également exécuter des fichiers batch, des scripts VBScript, des scripts WSH si le
composant optionnel WSH est installé, des applications HTA (HTML Applications) et
des objets ADO. Dans la mesure où Win PE offre un espace temporaire s’appuyant sur
la mémoire vive, Win PE peut exécuter des applications qui nécessitent la possibilité
d’écrire des fichiers temporaires sur le disque dur, même si aucun disque dur n’est
disponible.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Pour réaliser l’installation de packages, il faut disposer d’une version de Win PE non
préparée, par exemple winpe.wim. Vous devez lister les packages contenus dans cette
image. Pour cela, vous disposez de la commande peimg /list et avez la possibilité de
détailler le contenu des packages avec le commutateur /verbose. Une fois cette tâche
effectuée, vous pouvez ajouter des packages à l’aide de la commande peimg /install.
Vous pouvez également installer des pilotes avec la commande peimg /inf, à condition
de posséder le fichier INF de celui-ci. Une fois les ajouts terminés, il vous restera encore
deux étapes à suivre pour utiliser votre image. La première consiste à préparer l’image
avec la commande peimg /prep /f et la seconde, un peu plus complexe, ImageX /
boot /compress maximum /capture, permettra de capturer l’image.
Voici la procédure dans le détail.
Lister les packages contenus dans Win PE
Les images contiennent un ensemble de packages activés ou non. L’outil peimg permet
de voir les packages de l’image. La commande offre la possibilité de détailler ou non le
contenu des packages en utilisant le commutateur /verbose derrière le commutateur
/list. Pour lister les packages, saisissez la commande suivante : peimg
c:\extractPE\Windows /list /verbose.
Du résultat de cette commande, il est important de retenir deux informations parmi les
informations listées : le nom exact du package, par exemple WinPE-Scripting-Package,
vous servira pour la syntaxe d’installation ; les signes + et − vous permettront de
déterminer les packages installés. Le signe + indique un package installé, le signe − un
package non installé.
Ajouter un package
Une fois les packages listés, il vous faut installer les packages non installés. Si vous
souhaitez utiliser des applications HTML, il vous faudra ajouter le package HTA
(HTML Applications). Pour cela, utilisez la commande peimg avec le commutateur
242
Windows PE 2.0
/install suivi du signe = et du nom exact du package listé précédemment. Pour
installer le package HTA, saisissez la commande suivante :
C:\Program Files\Windows AIK\Tools\x86>peimg c:\extractPE\Windows
✂ /install=WinPE-HTA-Package
Pre-Installation Environment Image Setup Tool for Windows
Copyright (C) Microsoft Corp. 1981-2005. All rights reserved.
Lang | Version
| Ins | Name
------+-------------+-----+----------------------------------en-US |6.0.5308.17 | + | WinPE-HTA-Package
------+-------------+-----+----------------------------------|6.0.5308.17 | + | WinPE-HTA-Package
------+-------------+-----+----------------------------------Installed 2 packages.
PEIMG completed the operation successfully.
Faites de même pour les autres packages.
Ajouter des pilotes
C:\Program Files\Windows AIK\Tools\x86>peimg /inf:c:\drivers\lan\yukon.inf
✂ c:\extractpe\windows
Pre-Installation Environment Image Setup Tool for Windows
Copyright (C) Microsoft Corp. 1981-2005. All rights reserved.
Installing INF package: c:\drivers\lan\yukon.inf
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Win PE offre également une certaine flexibilité. En effet, si Windows Vista inclut les
pilotes pour votre matériel informatique, le matériel fonctionnera probablement aussi
avec Win PE car ce dernier inclut la plupart des pilotes Windows Vista. Vous pouvez
également ajouter de nouveaux pilotes. Pour réaliser cette tâche, vous devez disposer du
pilote et de son fichier .inf. Pour installer vos pilotes, utilisez la commande peimg /inf :
PEIMG completed the operation successfully.
C:\Program Files\Windows AIK\Tools\x86>
Win PE dans les environnements d’entreprise
Vous pouvez ajouter chaque pilote requis par n’importe quel ordinateur de votre
organisation à une image Windows PE unique, de sorte que l’image fonctionne avec
n’importe lequel de vos ordinateurs.
243
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Préparer l’image
Il existe deux modes d’images Win PE : un mode non préparé, qui permet l’ajout de
packages et pilotes et un mode préparé permettant d’optimiser votre version de Win PE
une fois celle-ci personnalisée. Le passage d’un mode à l’autre ne se fait pas
automatiquement, il faut utiliser la commande peimg /prep :
C:\Program Files\Windows AIK\Tools\x86>peimg c:\extractPE\windows /PREP
Pre-Installation Environment Image Setup Tool for Windows
Copyright (C) Microsoft Corp. 1981-2005. All rights reserved.
[==========================100.0%==========================]
PEIMG completed the operation successfully.
C:\Program Files\Windows AIK\Tools\x86>
Créer un CD Win PE personnalisé
Vous allez maintenant créer votre CD Win PE 2.0 qui vous suivra dans vos
déplacements d’administrateur :
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
1. Remplacez le fichier Boot.wim par défaut dans le répertoire
C:\extractPE\ISO\Sources de création de l’image Win PE par votre nouvelle image
préparée. L’image doit être ensuite renommée en Boot.wim.
2. Vous disposez maintenant d’une image de disque virtuel de Windows PE
personnalisée que vous pouvez placer sur un support de démarrage comme un CD.
Sur votre ordinateur de préinstallation, à l’Invite de commandes, créez un fichier
.iso au moyen de la commande Oscdimg. Tapez : oscdimg −n −bc:\extractPE
\boot\etfsboot.com c:\extractPE\ c:\winpeISO\winpeISO.iso.
3. Gravez l’image WinpeISO.iso sur un CD.
Créer une clé USB Win PE personnalisée
Plus moderne : au lieu de graver l’image sur CD, vous pouvez la copier sur une clé USB
et en faire une clé USB de dépannage fort utile et bootable (à condition que le BIOS de
l’ordinateur sur lequel vous utilisez la clé permette le démarrage sur clé USB). Pour
cela :
1. Remplacez le fichier Boot.wim par défaut dans le répertoire de création de l’image
Win PE par votre nouvelle image préparée. L’image doit être ensuite renommée en
Boot.wim.
2. Insérez votre clé USB. Si ce n’est déjà fait, formatez-la en FAT32 et déclarez la
partition comme active.
3. Copiez le contenu du répertoire C:\extractPE\ISO sur la clé USB.
244
Windows PE 2.0
Configuration de la clé USB
La clé USB doit être formatée en FAT32 et surtout la partition de cette clé doit être
marquée comme active. Sans quoi, le démarrage ne s’effectuera pas.
Repackager l’image
Une fois votre Win PE préparé, il ne reste plus qu’à remettre l’image au format WIM et
à la rendre bootable. Pour réaliser cette tâche, utilisez la commande ImageX avec les
connecteurs / boot si vous souhaitez rendre l’image bootable, /compress maximum
pour optimiser l’image, suivi du connecteur /capture pour capturer l’image.
C:\Program Files\Windows AIK\Tools\x86>ImageX /boot /compress
maximum /capture "c:\extractPE" "c:\lab-winPE\WINPE LAB.wim" W
inpeLab"
ImageX Tool for Windows
Copyright (C) Microsoft Corp. 1981-2005. All rights reserved.
Progress: 100%
Successfully imaged c:\extractPE
Pour réduire l’utilisation de la mémoire, Win PE peut s’exécuter à partir d’une image
compressée. Vous pouvez compresser Win PE dans un fichier WIM et l’exécuter à partir
de la mémoire sans le décompresser. Vous tirez parti de la compression à la fois lors du
stockage de l’image sur un disque et après son chargement dans la mémoire de
l’ordinateur.
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Win PE doit être le plus petit possible, afin de pouvoir être stocké sur un support
amovible tel qu’un CD ou une clé USB, être démarré rapidement et être stocké
intégralement dans la mémoire de l’ordinateur. La taille de Windows PE varie en
fonction de la façon dont vous personnalisez l’image, mais il consomme généralement
moins de 100 Mo lorsqu’il est compressé au format WIM. Les versions 64 bits de
Win PE sont plus volumineuses, et la personnalisation de l’image Win PE avec des
packs de langues ou des applications fait augmenter la taille.
Pour réduire le stockage sur disque, le format WIM stocke une seule instance des
fichiers dupliqués. Par conséquent, si vous disposez d’un fichier WIM avec deux images
Win PE, les fichiers partagés par les deux images sont stockés une seule fois.
Voici l’interface Windows PE que vous avez à l’écran lorsque vous démarrez sur votre
média personnalisé :
245
6. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 1
Chapitre 6
Le déploiement des ordinateurs Windows Vista en entreprise – phase 1
Figure 6.22 : Interface Windows PE
Windows PE contribue à rendre votre infrastructure informatique efficace et fiable.
Microsoft vous offre cet outil léger, puissant et flexible pour l’installation, la
configuration et le dépannage. Vous allez pouvoir créer vos propres médias
personnalisés et même utiliser Windows PE pour d’autres outils d’administration de
Windows Vista.
En ce qui concerne le déploiement, Windows PE est la brique de base de l’installation
car c’est la plateforme qui va vous permettre de manipuler l’image wim : la capturer ou
l’appliquer.
6.8.
En résumé
Vous venez d’étudier les outils très importants de préparation au déploiement. Le
chapitre suivant est la deuxième partie du déploiement de Windows Vista ; vous allez y
aborder la manière d’effectuer ce déploiement.
246
Chapitre 7
Le déploiement des
ordinateurs Windows
Vista en entreprise –
phase 2
7.1
7.2
7.3
7.4
7.5
Capturer une image avec ImageX .
Appliquer une image avec ImageX
Personnaliser l’image . . . . . . . .
La maintenance de l’image . . . . .
En résumé . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 249
. 265
. 267
. 283
. 299
Capturer une image avec ImageX
A
u chapitre précédent, vous avez appris la technologie autour du déploiement des
ordinateurs Windows Vista en entreprise et vous avez préparé le déploiement
(utilisation de Sysprep et de Win PE). Maintenant, créez, appliquez, personnalisez et
maintenez les images Windows Vista pour un déploiement efficace.
7.1.
Capturer une image avec ImageX
C’est une des nouveautés majeures de Windows Vista : l’apparition d’un format d’image
disque pour l’installation et le déploiement. Le format WIM va changer nos habitudes
en ce qui concerne l’installation et le déploiement. C’est la commande ImageX qui
permet de manipuler les fichiers WIM (les capturer, les appliquer, les maintenir, etc.).
Une fois que vous avez créé votre installation de référence sur un ordinateur de test,
exécuté la commande Sysprep, redémarré votre ordinateur sous Windows PE 2.0, vous
êtes fin prêt pour capturer l’image qui vous servira de référence dans votre processus de
déploiement.
Présentation d’ImageX
ImageX est un outil de ligne de commande (à l’ancienne !) qui permet aux entreprises
de capturer, de modifier et d’appliquer des images disques de fichiers pour réaliser des
déploiements rapides. L’outil ImageX fonctionne avec des fichiers image système
Windows WIM pour la copie vers un réseau, mais il peut utiliser d’autres technologies
qui exploitent les images .wim, comme l’installation de Windows, les services de
déploiement Windows et le Feature Pack de déploiement de système d’exploitation
pour SMS.
Les limites de l’acquisition d’images basées sur les secteurs (tel Ghost) ont conduit
Microsoft à développer la technologie ImageX et le format de fichier associé : image
système Windows (.wim). Vous pouvez utiliser ImageX pour créer une image, la
modifier sans l’extraire ni la recréer, et la déployer dans votre environnement sans
changer d’outil. La technologie ImageX intervient au niveau du fichier et offre, par
conséquent, de multiples possibilités…
j
La possibilité de travailler sur n’importe quelle plateforme matérielle prise en
charge par Windows : rien que cet argument devrait suffire à convaincre. Cela veut
dire que, peu importe la plateforme matérielle utilisée par l’ordinateur de test,
l’image capturée servira pour tous les ordinateurs de l’entreprise.
j
L’application d’images non destructive : ImageX ne procède à aucun remplacement
global du contenu de votre lecteur. Vous pouvez sélectionner les informations à
ajouter ou à supprimer. L’image s’appliquera même sur une partition sur laquelle
des données sont présentes (on pense aux cas de la réinstallation) ; lorsque vous
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Les avantages de l’outil ImageX
249
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
capturerez une image, vous pourrez à la fois capturer l’image d’une partition et
générer le fichier WIM associé sur cette même partition.
j
La possibilité d’inclure des images dans une seule et même image.
j
Une taille d’image réduite en raison de l’instanciation unique : cela signifie un
stockage distinct pour les données du fichier et les informations du chemin d’accès.
Cette particularité permet aux fichiers présents dans plusieurs chemins d’accès ou
plusieurs images d’être stockés une seule fois tout en étant partagés entre les
images.
j
La possibilité de traiter un fichier image comme un répertoire : vous pouvez ainsi
ajouter, copier, coller et supprimer des fichiers en utilisant un outil de gestion de
fichiers tel que l’Explorateur Windows. Vous pouvez travailler et maintenir l’image
à froid (hors connexion).
j
Plus de flexibilité et un contrôle accru sur le support déployé.
j
L’extraction rapide d’images pour raccourcir le temps d’installation.
j
Deux algorithmes de compression différents, Rapide et Maximum, pour diminuer
davantage la taille de vos images.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Nombreux sont les assembleurs et les entreprises qui ont besoin de déployer et
d’installer Windows en un temps record tout en intégrant les applications, paramètres et
mises à jour voulues. Le raccourcissement du temps d’installation et de déploiement
abaisse les coûts de production et peut diminuer le coût et les risques de planification
des déploiements réalisés par les entreprises. Des études ont montré que plus la
technique de déploiement d’un système d’exploitation était souple et performante et
plus le taux d’adoption du système d’exploitation par les entreprises était élevé.
250
Auparavant, les entreprises qui devaient réduire au minimum la durée de leur
installation de Windows utilisaient les outils tiers d’acquisition d’images fondée sur les
secteurs (les plus connus étant Symantec Ghost et Acronis True Image) pour dupliquer
une installation de Windows sur un nouveau matériel informatique.
Les outils d’acquisition d’images de secteurs présentent certaines limites :
j
L’acquisition d’images fondée sur les secteurs implique que l’ordinateur de
destination utilise la même couche d’abstraction matérielle, ou couche HAL
(Hardware Abstraction Layer), que l’ordinateur de test sur lequel l’image a été
capturée. Dans la plupart des cas, cela signifie que les modèles d’ordinateurs
doivent être les mêmes ! Ce qui vous oblige à avoir et à maintenir, par exemple, une
image pour les ordinateurs HP, une pour les Dell, une pour les IBM, etc., et même
une image différente pour les ordinateurs HP et une autre pour les portables HP…
j
Elle suppose que l’ordinateur de destination démarre à partir du même contrôleur
de stockage de masse que l’ordinateur de test sur lequel l’image a été capturée.
j
Elle détruit le contenu existant sur le disque dur de l’ordinateur de destination, ce
qui complique les scénarios de déploiement de Windows. L’opération est
destructive.
Capturer une image avec ImageX
j
Elle duplique scrupuleusement le disque dur, ce qui implique un déploiement de
l’image uniquement sur des partitions du même type, et de taille minimale
identique, que celles de l’ordinateur maître.
j
Elle ne permet pas la modification directe des fichiers mis en image.
j
Elle peut nécessiter l’achat d’applications et de services tiers.
La puissance et la souplesse du tandem ImageX et WIM permettent de passer outre ces
limitations.
Les scénarios ImageX
ImageX est un outil de ligne de commande qui permet la création, la modification et le
déploiement d’images en utilisant un format d’acquisition d’images partagé entre
différentes images de systèmes d’exploitation qui incluent des applications. Les
scénarios suivants sont ceux qui sont naturellement mis en avant pour l’utilisation
d’ImageX…
La création d’une image pour un déploiement rapide : le scénario le plus courant
qui est exécuté par ImageX est la capture et l’application d’une image à partir d’un
emplacement réseau pour réaliser un déploiement rapide. Ce scénario implique le
démarrage de l’ordinateur de test dans Windows PE, la capture de l’image avec
ImageX, la mise en place de cette image sur un partage réseau et l’application de
cette image sur les ordinateurs de destination. C’est ce que nous développons dans
les chapitres.
j
La modification d’un fichier image : un autre scénario d’ImageX classique consiste
à personnaliser une image existante en englobant les fichiers et les dossiers de mises
à jour. Ce scénario passe par l’ajout, la suppression, la modification et la copie de
fichiers à partir de votre image grâce au pilote WIM FS Filter (Windows Imaging File
System Filter) et à un outil de gestion de fichiers comme l’Explorateur Windows.
Les limites d’ImageX
ImageX présente tout de même des limites que vous devez connaître :
j
Vous pouvez utiliser ImageX uniquement pour capturer et appliquer une version
complète du système d’exploitation et des applications logicielles. Vous ne pouvez
pas utiliser cet outil pour capturer et appliquer des mises à niveau vers un système
d’exploitation ou pour des applications.
j
Vous pouvez utiliser uniquement des fichiers .wim pour interagir avec ImageX. Les
images précédentes, créées avec des outils d’acquisition d’images tiers, sont
inutilisables avec la technologie ImageX.
j
Seul un type de compression unique peut être utilisé pour un fichier .wim. Les
fichiers image ajoutés doivent utiliser le même type de compression que la capture
initiale.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
j
251
Chapitre 7
j
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
Vous pouvez monter une image uniquement à partir de Microsoft Windows XP
SP2, Microsoft Windows Server 2003 SP1 ou Windows Vista.
Les systèmes d’exploitation concernés par ImageX
Même si l’outil ImageX ne peut pas monter d’images à partir d’ordinateurs exécutant
d’autres systèmes d’exploitation, il peut néanmoins capturer et appliquer des images
pour toute version de Windows Vista, Windows Server 2003, Windows XP et
Windows 2000 Professionnel.
j
Il est possible de monter un fichier .wim doté d’autorisations de lecture/écriture
uniquement sur un système de fichiers NTFS. La limite des 2 Go imposée par les
systèmes de fichiers FAT est ainsi contournée, et la perte éventuelle de données due
aux systèmes de fichiers FAT ou non NTFS est évitée.
Utilisation d’ImageX selon le format de fichier
Même si l’outil ImageX ne peut monter un fichier .wim avec des autorisations de
lecture/écriture qu’à partir d’un système de fichiers NTFS, vous pouvez malgré tout
monter vos images en lecture seule à partir des systèmes de fichiers NTFS, FAT, ISO
et UDF. Il est impossible d’enregistrer les modifications apportées au fichier image
lorsqu’il est monté en lecture seule.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
j
ImageX et le format d’image .wim ne doivent pas être utilisés en conjonction pour se
substituer aux outils de sauvegarde/restauration de Windows Vista.
D’autres outils de Windows sont indispensables, par exemple Diskpart ou l’outil de
formatage, pour préparer les disques afin de constituer des images de volumes. Outils
qu’il vaut mieux intégrer directement dans une version personnalisée de Windows PE.
L’architecture d’ImageX
ImageX est un outil d’acquisition d’images construit à partir d’un ensemble d’API,
appelé API d’acquisition d’images système pour Windows. La principale utilité
d’ImageX est de capturer, de modifier et d’appliquer des images en vue de leur
déploiement dans un environnement informatique d’entreprise ou de fabrication.
ImageX prend en charge le nouveau format d’acquisition d’images de Windows Vista :
le format .wim.
ImageX repose sur différents composants, notamment sur l’exécutable ImageX
(ImageX.exe), sur le filtre du système de fichiers WIM (Wimfltr.sys et Wimfltr.inf), sur
l’ensemble d’API WIM et sur le format de fichier .wim.
252
Capturer une image avec ImageX
Voici un schéma représentant les interactions :
Figure 7.1 : Schématisation de l’architecture ImageX
Le tableau suivant décrit plus précisément l’architecture d’ImageX :
Tableau 7.1 : Description de l’architecture d’ImageX
Description
ImageX.exe
Programme exécutable qui utilise une couche API pour prendre en charge
l’interaction avec le fichier .wim. Cette interaction comprend la capture de
l’image, la compression de l’image, le montage et le démontage de l’image,
l’application de l’image, etc.
Filtre du système de fichiers
WIM
Après installation du pilote du filtre WIM FS, le filtre du système de fichiers
WIM gère les fonctions de navigation et de modification pour le fichier .wim.
Une fois que vous avez monté un fichier .wim dans un répertoire, le filtre
surveille toutes les demandes de fichiers ou de données provenant du
système de fichiers et mappe les demandes aux données appropriées dans le
fichier .wim. Cela vous permet de visualiser le contenu de votre fichier image
dans n’importe quel outil de gestion de fichiers standard, tel que l’Explorateur
Windows.
La maintenance hors connexion de votre image vous permet de visualiser et
de modifier vos fichiers .wim sans avoir à réappliquer et à recapturer l’image.
Pour monter et modifier le contenu de votre fichier .wim, un outil en mode
utilisateur et un filtre de système de fichiers en mode noyau interagissent à
l’aide d’un protocole de communication et de l’ensemble d’API WIM.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Composant
253
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
Composant
Description
Ensemble d’API WIM
Couche API qui interagit à la fois avec le programme exécutable ImageX et
avec le pilote du filtre WIM FS. C’est aussi l’interface principale pour les outils
tiers et la technologie d’installation.
Les API peuvent être classées selon les fonctions suivantes :
- ajouter, mettre à jour et supprimer des données de fichier ;
- ajouter, mettre à jour et supprimer des données d’image ;
- extraire des données d’image ;
- monter une image à l’aide du filtre du système de fichiers WIM ;
- gérer le fractionnement d’images ;
- surveiller le statut et la progression de la messagerie.
Fichier d’acquisition d’images
de Windows (.wim)
Une collection de fichiers image qui contient un système d’exploitation et ses
composants. ImageX utilise le format de fichier .wim pour la capture, la
maintenance hors connexion et le processus de déploiement. ImageX offre
ainsi une solution d’acquisition d’images complète pour vos scénarios de
déploiement.
La commande ImageX
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
ImageX est un outil de ligne de commande de Windows Vista que vous pouvez utiliser
pour créer et gérer des fichiers d’image Windows. Un fichier .wim contient une ou
plusieurs images de volumes, des volumes de disques contenant des images d’un système
d’exploitation Windows installé.
Pour modifier vos images de volumes, vous devez installer le pilote de filtre système de
fichier d’image Windows (filtre WIM FS) sur un ordinateur exécutant Windows XP
SP2, Windows Server 2003 SP1 ou Windows Vista. L’installation du pilote de filtre
WIM FS vous permet de monter un fichier .wim comme s’il s’agissait d’un répertoire et
de rechercher, copier, coller et éditer les images de volumes depuis un outil de gestion
de fichiers comme l’Explorateur Windows, sans extraire ou sans recréer l’image.
La commande ImageX comprend un certain nombre de commutateurs qui ont leur
propre rôle dans les différentes phases de manipulation d’une image WIM.
IMAGEX
Permet de manipuler les images WIM à l’aide de nombreux commutateurs.
254
Syntaxe :
imagex [indicateurs] {/append | /apply | /capture |
/delete | /dir | /export | /info | /split | /mount |
/mountrw | /unmount} [paramètres]
/append
Ajoute une image de volume à un fichier image Windows .wim
existant.
Capturer une image avec ImageX
/apply
Applique une image de volume à un disque spécifié.
/capture
Capture une image de volume issue d’un disque dans un nouveau
fichier .wim.
/delete
Supprime l’image de volume spécifiée d’un fichier .wim comportant
plusieurs images de volumes.
/dir
Affiche une liste des fichiers et des dossiers contenus dans l’image de
volume spécifiée.
/export
Exporte une copie du fichier .wim spécifié vers un autre fichier .wim.
/info
Renvoie les descriptions XML enregistrées pour le fichier .wim
spécifié.
/mount
Monte un fichier .wim avec droit de lecture seule vers un répertoire
spécifié.
/mountrw
Monte un fichier .wim avec droit de lecture/écriture vers un
répertoire spécifié.
/split
Divise un fichier .wim existant en plusieurs fichiers .wim divisés .swm
en lecture seule.
/unmount
Démonte l’image montée d’un répertoire spécifié.
Détaillons maintenant chaque commutateur un par un.
La commande Imagex /apply
Applique une image de volume à un disque spécifié.
Syntaxe :
imagex /apply [fichier_image numéro_image | nom_image
chemin_image] {/check | /ref | /scroll | /verify}
Fichier_image
Le nom et la situation de l’image de volume appliquée au répertoire.
numéro_image
Le numéro qui référence le volume spécifique dans le fichier .wim.
nom_image
Le nom qui identifie l’image dans le fichier .wim.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
IMAGEX /APPLY
255
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
chemin_image
Le chemin du fichier où l’image sera appliquée.
/check
Vérifie l’intégrité du fichier .wim. Si cette option n’est pas
mentionnée, les vérifications existantes sont supprimées.
/ref splitwim.swm Active la référence des fichiers .wim divisés (SWM). splitwim.swm est
le nom et la situation des fichiers divisés supplémentaires. Les
caractères génériques sont acceptés.
/scroll
Déroule la liste des répertoires pour rediriger le fichier résultant de
l’opération.
/verify
Active la vérification des ressources du fichier en recherchant les
erreurs et la duplication des fichiers.
Vous devez créer toutes les partitions du disque dur avant de commencer ce processus,
sauf si vous exécutez cette option à l’aide d’un script. Si vous utilisez l’option /apply
pour une structure de répertoire, cette option inclura le répertoire spécifié, y compris
tous les sous-répertoires et tous les fichiers.
Vous devez inclure le répertoire parent pour l’option /apply. Sinon, lorsque l’image
sera appliquée, elle remplacera tout ce qui se trouve à cet endroit. Par exemple, si vous
appliquez l’image au disque C, l’option /apply remplacera tout ce qui se trouve sur le
disque C par vos fichiers image.
Pour automatiser la création d’un répertoire, vous devez ajouter la commande mkdir
nom_répertoire à votre script avant d’exécuter imagex /apply.
Par exemple : imagex /apply e:\images\puzzmaniainstall.wim 1 c: /verify.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
La numérotation de l’image est importante dans l’application d’une image.
Figure 7.2 : imagex /apply
256
Capturer une image avec ImageX
La commande Imagex /capture
IMAGEX /CAPTURE
Capture une image de volume issue d’un disque dans un nouveau fichier .wim. Les
répertoires capturés comprennent tous les sous-dossiers et toutes les données. Vous ne
pouvez capturer un répertoire vide. Un répertoire doit contenir au moins un fichier.
Syntaxe :
imagex /capture chemin_image fichier_image "nom"
{"description"} {/boot | /check | /compress [type] |
/config | /flags "IDÉdition" | /scroll | /verify}
chemin_image
Le nom et la situation de l’image du volume pour la capture.
fichier_image
Le nom et la situation du nouveau fichier .wim.
"nom"
Le nom du nouveau fichier .wim. Cette valeur est obligatoire. Les
guillemets dactylographiques sont obligatoires.
"description"
Texte constituant des informations de référence supplémentaires.
Cette valeur est facultative. Les guillemets dactylographiques sont
obligatoires.
/boot
Marque une image de volume comme démarrable. Disponible
seulement pour les images Windows PE. Une seule image de volume
peut être marquée comme démarrable dans un fichier .wim.
/check
Vérifie l’intégrité du fichier .wim. Si cette option n’est pas
mentionnée, les vérifications existantes sont supprimées.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
/compress
[maximum | rapide
| aucune]
Spécifie le type de compression utilisée pour l’opération de capture
initiale. L’option maximum propose la meilleure compression mais
le temps de capture de l’image est le plus long. L’option rapide
propose une compression d’image plus rapide mais les fichiers
résultants ont une taille plus importante que ceux compressés avec
l’option maximum. C’est également le type de compression par
défaut, utilisé si vous laissez ce paramètre vide. L’option aucune ne
compresse pas du tout l’image capturée.
/config fichier
_configuration.ini Le nom et la situation du fichier de configuration. Vous pouvez
renommer ce fichier comme vous le souhaitez.
257
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
/flags "IDÉdition" Spécifie la version de Windows à capturer. La valeur de /flags est
obligatoire si vous redéployez un fichier Install.wim personnalisé
avec le programme d’installation de Windows. Les guillemets
dactylographiques sont obligatoires. Cet indicateur n’est pas
nécessaire si vous déployez l’image à l’aide d’ImageX. Les valeurs
valides de l’attribut IDÉdition sont les suivantes : HomeBasic,
HomePremium, Starter, Ultimate, Business, Enterprise,
ServerDatacenter, ServerEnterprise, ServerStandard.
/scroll
Déroule la liste des répertoires pour rediriger le fichier résultant de
l’opération.
/verify
Active la vérification des ressources du fichier en recherchant les
erreurs et la duplication des fichiers.
ImageX ne prend pas en charge les attributs étendus. ImageX ignore les attributs
étendus au cours d’une opération de capture. Pendant l’opération de capture, la
compression rapide est automatiquement appliquée. Si vous désirez un type de
compression différent, utilisez l’option /compress. Alors que le type de compression
que vous choisissez affecte le temps de capture, il n’affecte que légèrement le temps
d’application.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Si vous renommez votre fichier Liste_configuration.ini en Wimscript.ini et si vous
l’enregistrez dans votre répertoire ImageX (où est situé le fichier ImageX.exe), il sera
exécuté automatiquement lorsque vous exécutez l’option /capture, sans vous
demander d’utiliser l’option /config.
258
L’option /verify affectera le temps de capture global. Pendant l’opération de capture,
la barre de progression indique seulement l’état de l’opération de capture et non celui
de la vérification. Lorsque la capture est terminée, le processus de vérification
commence. Ce processus prend du temps même si la barre de progression affiche
100 %.
L’option de compression à maximum compresse à environ 40 % la taille de l’image, ce
qui est dans le standard élevé des outils tiers actuels du marché.
Par exemple : imagex /capture c: c:\images\puzzmaniainstall.wim /verify.
Capturer une image avec ImageX
Figure 7.3 : imagex /capture
La commande ImageX /info
Renvoie les descriptions XML enregistrées pour le fichier .wim spécifié, incluant mais
sans limitation à la taille totale du fichier, le numéro d’indice d’image, le nombre de
répertoires, le nombre de fichiers et une description.
Syntaxe :
imagex /info fichier_img [numéro_img | nom_img]
[nouveau_nom] [nouvelle_desc] {/boot | /check}
fichier_image
Le nom et la situation du fichier .wim pour révision des données
XML.
numéro_image
Le numéro qui identifie une image dans le fichier .wim.
nom_image
Le nom qui identifie une image dans le fichier .wim.
nouveau_nom
Le nouveau nom unique de l’image spécifiée.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
IMAGEX /INFO
259
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
nouvelle_desc
La nouvelle description de l’image spécifiée.
/boot
Marque une image de volume comme démarrable. Disponible
seulement pour les images Windows PE. Une seule image de volume
peut être marquée comme démarrable dans un fichier .wim.
/check
Vérifie l’intégrité du fichier .wim. Si cette option n’est pas
mentionnée, les vérifications existantes sont supprimées.
Par exemple : imagex /info c:\images\puzzmaniainstall.wim.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Cette commande est très utile pour connaître le contenu d’une image et savoir par
exemple si l’image contient d’autres images WIM.
Figure 7.4 : imagex /info
La commande ImageX /mountrw
IMAGEX /MOUNTRW
Monte un fichier .wim de Windows XP SP2, de Windows Server 2003 SP1 ou de
Windows Vista avec droit de lecture/écriture vers un répertoire spécifié. Une fois que le
fichier est monté, vous pouvez voir et modifier toutes les informations contenues dans le
répertoire.
260
Capturer une image avec ImageX
Syntaxe :
imagex /mountrw [fichier_image numéro_image | nom_image
chemin_image] {/check}
fichier_image
Le chemin du fichier .wim contenant l’image spécifiée.
numéro_image
Le numéro qui référence le volume spécifique dans le fichier .wim.
nom_image
Le nom qui référence l’image dans le fichier .wim.
chemin_image
Le chemin du fichier où l’image spécifiée sera montée.
/check
Vérifie l’intégrité du fichier .wim. Si cette option n’est pas
mentionnée, les vérifications existantes sont supprimées.
Vous devez installer le filtre WIM FS avant de pouvoir monter une image.
L’option /mountrw exige un accès exclusif au fichier .wim. Par conséquent, vous ne
pouvez pas utiliser l’option /mountrw si une image est déjà montée à l’aide de l’option
/mount ou de l’option /mountrw.
Vous ne devez pas monter une image vers le répertoire parent ou les sous-répertoires
d’un répertoire déjà monté. Lors du montage d’une image vers un répertoire contenant
des fichiers, les fichiers existants seront cachés jusqu’à ce vous exécutiez l’option
/unmount. De plus, vous ne devez pas monter votre image dans les dossiers réservés à
Windows.
Par exemple : imagex /mountrw c:\images\puzzmaniainstall.wim 1 c:\mount.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Figure 7.5 : imagex /mountrw
261
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
La commande ImageX /split
IMAGEX /SPLIT
Divise un fichier .wim existant en plusieurs fichiers .wim, divisés en .swm en lecture
seule.
Syntaxe :
imagex /split fichier_image dest_fichiers taille {/check}
fichier_image
Le nom et la situation du fichier .wim à diviser.
dest_fichier
Le chemin des fichiers divisés.
Taille
La taille maximale en mégaoctets (Mo) de chaque fichier créé.
/check
Vérifie l’intégrité du fichier .wim. Si cette option n’est pas
mentionnée, les vérifications existantes sont supprimées.
Cette commande crée des fichiers .swm dans le répertoire spécifié, nommant chaque
fichier par le nom spécifié dans fichier_image, mais en ajoutant un numéro et avec
l’extension .swm. Par exemple, si vous choisissez de diviser un fichier nommé Data.wim,
cette option créera les fichiers Data.swm, Data2.swm, Data3.swm, etc., définissant
chaque portion du fichier .wim divisé.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Par exemple : imagex /split c:\images\newvista.wim 600.
Figure 7.6 : imagex /split
262
Capturer une image avec ImageX
La commande Imagex /unmount
IMAGEX /UNMOUNT
Démonte l’image montée d’un répertoire spécifié.
Syntaxe :
imagex /unmount chemin_image {/commit}
chemin_image
Le chemin complet du répertoire pour démonter les fichiers. Si vous
ne spécifiez pas de répertoire, cette option dressera la liste de toutes
les images montées.
Vérifiez que vous disposez d’un espace disque suffisant pour ajouter les fichiers de votre
image. Vous devez compter la taille des fichiers que vous ajoutez au fichier .wim, plus
toute augmentation de taille due à la modification des fichiers existants, moins les
fichiers que vous avez supprimés, avant d’exécuter l’option /commit. Si l’espace disque
est insuffisant, une erreur se produira.
Si vous utilisez l’option /unmount sans l’option /commit, vos modifications seront
rejetées. Afin de pouvoir enregistrer vos modifications, vous devez monter l’image en
utilisant l’option /mountrw et utiliser l’option /commit lors du démontage de l’image ;
par exemple : imagex /unmount /commit c:\mount.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Figure 7.7 : imagex /unmount
Capturer une image
Reprenons le scénario de création d’image du chapitre précédent :
1. À partir d’un ordinateur de test, vous avez créé une image de référence contenant
Windows Vista, des configurations particulières et des applications installées.
263
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
2. Vous vous êtes assuré que le comportement du poste de travail était tout à fait
stable.
3. Vous avez exécuté la commande Sysprep afin de préparer le système à la
duplication.
4. Vous redémarrez l’ordinateur sur votre média personnalisé Windows PE 2.0 sur
lequel vous avez rajouté la commande ImageX.
5. Vous allez maintenant utiliser la commande ImageX /capture afin de créer
l’image de référence.
6. Dans la fenêtre d’Invite de commande Windows PE, tapez : imagex /compress
maximum /capture c: c:\images\puzzmaniainstall.wim /verify.
L’image de référence se crée. L’option de compression à maximum compresse à environ
40 % la taille de l’image, ce qui est dans le standard haut des outils tiers actuels du
marché. Remarquez que vous capturez la partition C: mais que vous êtes en train de
créer cette image sur cette même partition. C’est possible car ImageX est non destructif.
C’est un des nombreux avantages de l’outil.
Tout de même, ImageX /capture est destiné à capturer une image à des fins de
déploiement et non de sauvegarde de l’ordinateur.
Une fois l’image créée, vous pouvez redémarrer l’ordinateur en mode normal.
Dans l’utilisation des images WIM, la capture est d’autant plus cruciale qu’il faut bien
que vous gardiez à l’esprit que le but du jeu est de créer une et une seule image : un seul
fichier qui puisse servir au déploiement de Windows Vista sur tous les ordinateurs de
l’entreprise.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Voici quelques conseils de création d’image :
264
j
j
Ayez toujours à l’esprit que vous créer une image pour qu’elle soit unique pour toute
l’entreprise.
Maîtrisez et jouez avec tous les avantages du format WIM et de la commande
ImageX pour arriver à une image unique.
j
Configurez soigneusement et scrupuleusement l’ordinateur de test, c’est-à-dire la
version de Windows Vista installée, les paramètres, les applications, le style, la
sécurité, les comptes utilisateurs, les accès, etc.
j
Récupérez et conservez sur le réseau ou sur un support amovible l’image ainsi créée.
Sauvegardez cette image.
Appliquer une image avec ImageX
7.2.
Appliquer une image avec ImageX
Après avoir capturé votre image de référence, il sera temps pour vous de l’intégrer dans
votre processus de déploiement de postes de travail Windows Vista. Par la suite, Vous
pourrez utiliser WDS comme outil de déploiement, par exemple.
Mais vous serez peut-être amené à déployer uniquement avec les outils livrés avec
Windows Vista. Pour cela vous allez utiliser le tandem Windows PE 2.0 et ImageX pour
appliquer une image WIM à un ordinateur. Vous le ferez peut-être en conjonction d’un
fichier Autounattend.xml par exemple.
Dans ce chapitre, vous allez découvrir le déroulement de l’application manuelle d’une
image WIM sur un ordinateur à l’aide de Windows PE et ImageX et vous comprendrez
mieux le mécanisme d’installation par image. Ce chapitre vous détaille un scénario
d’utilisation de bout en bout de la commande ImageX.
La commande Imagex /apply
Reprenons notre scénario de création d’image :
1. À partir d’un ordinateur de test, vous avez créé une image de référence contenant
Windows Vista, des configurations particulières et des applications installées.
2. Vous vous êtes assuré que le comportement du poste de travail était tout à fait
stable.
3. Vous avez exécuté la commande Sysprep afin de préparer le système à la
duplication.
5. Vous avez maintenant utilisé la commande ImageX /capture afin de créer l’image
de référence que vous avez sauvegardée.
Maintenant partons du scénario suivant : vous devez déployer une image sur un poste de
travail.
1. Vous démarrez cet ordinateur à partir de votre média personnalisé Windows PE 2.0
sur lequel vous avez rajouté la commande ImageX.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
4. Vous redémarrez l’ordinateur sur votre média personnalisé Windows PE 2.0 sur
lequel vous avez rajouté la commande ImageX.
2. Assurez-vous que la configuration du disque dur de l’ordinateur est correcte.
Utilisez Diskpart.exe le cas échéant pour créer la partition d’installation, la formater
en NTFS, lui affecter une lettre de lecteur (la même que celle qui a été capturée
avec l’image, soit par défaut C:) et l’activer.
Voici un exemple des commandes à passer à partir de Diskpart.exe :
265
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
diskpart
select disk 0
create partition primary size=<taille souhaitée>
select partition 0
active
format fs=ntfs label="Système" quick
assign letter=c
exit
3. Assurez-vous que vous accédez correctement à votre image (qui se trouve soit sur un
média amovible, soit sur le réseau).
4. Vous allez maintenant utiliser la commande ImageX /apply pour appliquer
l’image sur la station de travail.
Vous devez créer toutes les partitions du disque dur avant de commencer ce
processus, sauf si vous exécutez cette option à l’aide d’un script. Si vous utilisez
l’option /apply pour une structure de répertoire, cette option inclura le répertoire
spécifié, y compris tous les sous-répertoires et tous les fichiers.
5. Dans la fenêtre d’Invite de commandes Windows PE, tapez la ligne suivante :
imagex /apply e:\puzzmaniainstall.wim 1 c: /verify.
Le processus est lancé. Votre image s’installe. Comptez une durée d’application de
11 ou 12 minutes avec une image standard de Windows Vista. Ce qui est intéressant,
c’est de constater qu’une image personnalisée, incluant par exemple le pack
Office 2007, ne prend qu’une minute de plus pour être appliquée.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
6. Une fois le processus terminé, redémarrez l’ordinateur. Vous entrez alors en mode
d’accueil de premier démarrage de Windows Vista (finalisation de l’installation),
qui peut être contrôlé et automatisé par l’ajout des fichiers Unattend.xml et/ou
Oobe.xml.
266
Voici quelques conseils pour l’application d’image :
j
j
Essayez, dans la mesure du possible, d’appliquer la même image Windows sur tous
les postes pour garder une cohérence et une efficacité de déploiement
Maîtrisez et jouez avec tous les avantages du format WIM et de la commande
ImageX pour arriver au but recherché.
j
Configurez correctement le disque dur de l’ordinateur de destination à l’aide de
Diskpart.exe si vous utilisez Windows PE ou à l’aide d’un fichier Autounattend.xml.
j
Avant de vous lancer, testez soigneusement et scrupuleusement l’application de
l’image sur un ordinateur de test et validez l’usage de l’image (la version de
Windows Vista installée, les paramètres, les applications, le look, la sécurité, les
comptes utilisateurs, les accès, etc.).
Personnaliser l’image
7.3.
Personnaliser l’image
Vous avez la possibilité de personnaliser l’image que vous avez capturée afin de lui
donner une identité d’entreprise plus marquée. Vous avez la possibilité de personnaliser
les écrans d’accueil de premier démarrage de Windows Vista, l’Accueil Windows et
l’abonnement auprès d’un fournisseur de services Internet en les configurant aux
couleurs de votre entreprise. De ce fait, Windows Vista vous permet, en tant que
membre d’un service informatique, d’apporter une proximité supplémentaire entre
l’utilisateur et son service informatique.
Le fichier Oobe.xml
Oobe.xml (prononcez "oubi") est un fichier qui sert à collecter du texte et des images
pour personnaliser les écrans d’accueil de premier démarrage de Windows Vista,
l’Accueil Windows et l’abonnement auprès d’un fournisseur de services Internet. Pour
créer une image système de Windows unique comprenant plusieurs langues et destinée
à être livrée dans plusieurs pays, vous pouvez ajouter différents fichiers Oobe.xml afin de
personnaliser le contenu en fonction des sélections de langue et de pays ou de région du
client.
Oobe.xml est un fichier de contenu qui peut être utilisé en liaison avec Unattend.xml
pour recevoir et déployer des personnalisations d’entreprises pour les écrans d’accueil
de premier démarrage de Windows (utile pour les constructeurs et assembleurs), pour
l’Accueil Windows et pour l’abonnement auprès d’un fournisseur de services Internet.
Le fichier Oobe.xml offre les avantages suivants :
un seul fichier pour recevoir les documentations et les ressources
d’accompagnement de personnalisation pour les écrans d’accueil de
personnalisation de Windows Vista ;
j
un espace de stockage pour les fichiers et les informations concernant les valeurs par
défaut des paramètres internationaux ;
j
un espace de stockage pour des offres spécifiques à une langue à l’intention des
utilisateurs ;
j
un espace de stockage pour les choix d’arrière-plan de Bureau des utilisateurs ;
j
un espace de stockage pour les termes du contrat de licence logiciel Microsoft et vos
termes du contrat de licence avec les utilisateurs.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
j
Le fichier Oobe.xml est généralement utilisé dans les scénarios suivants :
j
En liaison avec Unattend.xml, il permet de définir des valeurs par défaut d’entreprise
pour les écrans d’accueil de premier démarrage de Windows, pour l’Accueil
Windows et pour l’abonnement auprès d’un fournisseur de services Internet.
267
Chapitre 7
j
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
Sans Unattend.xml, il permet de définir des valeurs par défaut d’entreprise pour les
écrans d’accueil de Windows, pour l’Accueil Windows et pour l’abonnement auprès
d’un fournisseur de services Internet.
Bien que le fichier Oobe.xml puisse contenir toutes les informations dont vous avez
besoin pour personnaliser les écrans d’accueil de Windows, vous pouvez utiliser les
paramètres Unattend.xml pour définir si et comment l’utilisateur final pourra choisir les
options régionales. De plus, vous pouvez utiliser les paramètres Unattend.xml pour
montrer ou masquer différentes pages à des fins de test.
Voici les composants avec les paramètres Unattend.xml qui peuvent servir à manipuler
des pages d’écrans d’accueil de premier démarrage de Windows :
j
Microsoft-Windows-Setup ;
j
Microsoft-Windows-Shell-Setup ;
j
Microsoft-Windows-International-Core.
Faisons une correspondance entre les pages d’écrans d’accueil de premier démarrage
Windows Vista, les paramètres Unattend.xml et les résultats affichés.
Tableau 7.2 : Correspondance entre les pages d’écrans d’accueil de premier démarrage
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Windows Vista, les paramètres Unattend.xml et les résultats affichés
268
Pages des écrans d’accueil
de premier démarrage de
Windows
Paramètres Unattend.xml
Résultats
Paramètres régionaux
Microsoft−Windows−International
−Core | UILanguage
Microsoft−Windows−International
−Core | InputLocale
Microsoft−Windows−International
−Core | SystemLocale
Microsoft−Windows−International
−Core | UILanguageFallback
Microsoft−Windows−International
−Core | UserLocale
Si ces quatre paramètres sont définis, cette
page est ignorée.
Si des paramètres individuels sont définis,
les champs n’apparaissent pas sur cette
page.
Termes du contrat de
licence
Microsoft−Windows−Shell−Setup Si ce paramètre est défini, la page sera
| OOBE | HideEULAPage
ignorée. Il est supposé que l’administrateur
d’entreprise accepte les termes du contrat de
licence logiciel Microsoft pour les
utilisateurs.
Clé de produit
Microsoft−Windows−Setup |
UserData | ProductKey | Key
Microsoft−Windows−Setup |
UserData | ProductKey |
WillShowUI
Si Windows détecte une installation de
version commerciale dans laquelle
l’utilisateur a déjà entré une clé, une
installation de licence multiple ou une clé de
produit valide dans Unattend.xml, cette
page ne sera pas affichée.
Personnaliser l’image
Paramètres Unattend.xml
Résultats
Nom d’utilisateur
Microsoft−Windows−Shell−Setup
| UserAccounts |
LocalAccounts | LocalAccount
| Description
Microsoft−Windows−Shell−Setup
| UserAccounts |
LocalAccounts | LocalAccount
| DisplayName
Microsoft−Windows−Shell−Setup
| UserAccounts |
LocalAccounts | LocalAccount
| Group
Microsoft−Windows−Shell−Setup
| UserAccounts |
LocalAccounts | LocalAccount
| Name
Microsoft−Windows−Shell−Setup
| UserAccounts |
LocalAccounts | LocalAccount
| Password | PlainText
Microsoft−Windows−Shell−Setup
| UserAccounts |
LocalAccounts | LocalAccount
| Password | Value
Si un compte d’utilisateur a été créé avec ce
paramètre, cette page ne sera pas affichée.
Si cette page n’est pas affichée, une fenêtre
de l’utilisateur sera automatiquement
sélectionnée pour l’utilisateur. Il n’y a pas de
paramètre Unattend.xml pour définir une
fenêtre de l’utilisateur.
Nom d’ordinateur
Microsoft−Windows−Shell−Setup Si le paramètre ComputerName a été
| ComputerName
défini, cette page ne sera pas affichée.
Cette page contrôle aussi le choix du papier
peint initial. Si cette page n’est pas affichée,
le premier papier peint du bureau Windows
sera sélectionné par défaut. Ce paramètre
peut être défini en spécifiant un thème dans
Unattend.xml, mais ce paramètre ne
détermine pas si cette page est affichée ou
non.
Protégez votre PC
Microsoft−Windows−Shell−Setup Si ce paramètre a été défini, la page ne sera
| OOBE | ProtectYourPC
pas affichée et la valeur appropriée sera
définie. Les valeurs possibles sont :
- 1 (recommandées) ;
- 2 (seulement les mises à jour
d’installation) ;
- 3 (n’active aucune protection).
Page finale
Non applicable
Si toutes les pages des autres écrans
d’accueil de Windows sont ignorées, cette
page ne sera pas affichée.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Pages des écrans d’accueil
de premier démarrage de
Windows
Lorsqu’il est utilisé exclusivement pour la personnalisation, les paramètres
internationaux et les offres, Oobe.xml affiche toutes les pages d’écrans d’accueil de
Windows, la page unique de l’Accueil Windows et l’Assistant pour l’abonnement auprès
d’un fournisseur de services Internet.
269
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
Le fonctionnement d’Oobe.xml
L’accueil de premier démarrage de Windows, l’Accueil Windows et les opportunités
d’abonnement au fournisseur d’accès Internet qui occupent le contenu du fichier Oobe
.xml vérifieront et chargeront ce fichier aux endroits suivants et dans cet ordre :
1. %WINDIR%\system32\oobe\info\oobe.xml.
2. %WINDIR%\system32\oobe\info\default\<langue>\oobe.xml.
3. %WINDIR%\system32\oobe\info\<pays>\<langue>\oobe.xml.
Lorsque l’accueil de premier démarrage Windows trouve un nouveau fichier à l’un de
ces endroits, il remplace toutes les informations trouvées dans les fichiers Oobe.xml
précédents nœud par nœud. L’Accueil Windows et les opportunités d’abonnement au
fournisseur d’accès Internet n’effectueront pas de remplacement nœud par nœud. Au
lieu de cela, les informations trouvées dans le nouveau fichier Oobe.xml remplaceront
toutes les informations contenues dans les fichiers Oobe.xml précédents.
Lors d’un déploiement dans une seule langue, lorsqu’il s’exécute pour la première fois,
l’accueil de premier démarrage de Windows recherchera un fichier Oobe.xml à l’endroit
suivant : %WINDIR%\system32\oobe\info\.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Après la sélection par l’utilisateur d’un pays ou d’une région, l’accueil de premier
démarrage de Windows recherchera une autre version du fichier Oobe.xml à l’endroit
suivant : %WINDIR%\system32\oobe\info\<pays>.
270
Si un dossier de pays correspondant au pays sélectionné par le client est trouvé, l’accueil
de premier démarrage de Windows le charge et remplace les nœuds du fichier Oobe.xml
d’origine par ceux trouvés dans le fichier spécifique au pays. Si un tel dossier est trouvé,
l’accueil de premier démarrage de Windows chargera le fichier Oobe.xml de ce dossier
et remplacera toutes les informations trouvées dans les fichiers Oobe.xml antérieurs
nœud par nœud.
L’accueil de premier démarrage de Windows cherchera aussi un fichier oobe.xml dans
%WINDIR%\system32\oobe\info\default\<langue>\. En revanche, comme il n’y a qu’une
seule langue disponible sur le système, il n’est pas nécessaire de créer ce dossier.
Si vous expédiez avec plusieurs langues, créez plusieurs dossiers de pays pour vos pays
de destination et des dossiers de langue pour les langues cibles dans les dossiers de pays,
en y incluant un fichier Oobe.xml avec le contenu propre au pays et à la langue dans
chaque dossier de langue, aux endroits suivants :
j
%WINDIR%\system32\oobe\info\<pays1>\<langue1> ;
j
%WINDIR%\system32\oobe\info\<pays1>\<langue2> ;
j
%WINDIR%\system32\oobe\info\<pays2>\<langue1> ;
j
%WINDIR%\system32\oobe\info\<pays2>\<langue3>.
Personnaliser l’image
Par exemple, <pays1> peut être le Canada, <langue1> le français, <langue2>
l’anglais, etc.
Créez également des dossiers de langue avec le dossier default et placez un fichier
Oobe.xml localisé en conséquence dans chacun d’eux, pour s’adapter aux scénarios dans
lesquels l’utilisateur final ne sélectionne pas l’un de vos pays de destination :
%WINDIR%\system32\oobe\info\default\<langue>\oobe.xml.
Si vous configurez l’accueil de premier démarrage de Windows afin qu’il présente un
exemplaire des termes de votre contrat de licence, placez chaque fichier des termes du
contrat de licence localisés de manière adéquate dans son dossier de langue
correspondant : %WINDIR%\system32\oobe\info\<pays>\<langue>.
Implémenter Oobe.xml
Le fichier Oobe.xml n’est pas un fichier que vous allez créer à l’aide de Windows System
Image Manager. Il va falloir le construire de toutes pièces. Pour cela, partez de
l’exemple suivant qui pourra vous servir de modèle de fichier Oobe.xml :
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
<?xml version="1.0" encoding="utf-8" ?>
<FirstExperience>
<oobe>
<oem>
<name>Educsoft</name>
<logopath>c:\educsoft\educsoft.png</logopath>
<eulafilename>educsoft_eula.rtf</eulafilename>
<wallpaper>
<path>c:\educsoft\wallpapers\wallpaper1.jpg</path>
</wallpaper>
<wallpaper>
<path>c:\educsoft\wallpapers\wallpaper2.jpg</path>
</wallpaper>
<wallpaper>
<path>c:\educsoft\wallpapers\wallpaper3.jpg</path>
</wallpaper>
<offerheader>Accédez aux offres spéciales Educsoft</offerheader>
<offer type="list">
<title>Offer 1</title>
<imagepath>c:\educsoft\offers\offer1.bmp</imagepath>
<details>Lorem ipsum dolor sit amet, consectetuer adipiscing elit. Ut
✂ a est non mauris fringilla bibendum. Nulla aliquam facilisis est.
✂ Nullam venenatis velit. Nam congue sem nec ipsum.</details>
<detailsfilename>offer1.rtf</detailsfilename>
<shellexecute>%systemroot%\system32\notepad.exe</shellexecute>
</offer>
<offer type="list">
<title>Offer 2</title>
<imagepath>c:\educsoft\offers\offer2.bmp</imagepath>
271
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Chapitre 7
272
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
<details>Quisque congue faucibus lacus. Lorem ipsum dolor sit amet,
✂ consectetuer adipiscing elit. Nullam vel neque eu lacus viverra
✂ tincidunt.</details>
<shellexecute>%systemroot%\system32\calc.exe</shellexecute>
</offer>
<offer type="list">
<title>Offer 3</title>
<imagepath>c:\educsoft\offers\offer3.bmp</imagepath>
<details>Lorem ipsum dolor sit amet, consectetuer adipiscing elit. Ut
✂ a est non mauris fringilla bibendum. Nulla aliquam facilisis est.
✂ Nullam venenatis velit. Nam congue sem nec ipsum.</details>
<detailsfilename>offer3.rtf</detailsfilename>
<shellexecute>%systemroot%\system32\mspaint.exe</shellexecute>
</offer>
</oem>
<defaults>
<language>1036</language>
<location>54</location>
<locale>1036</locale>
<keyboard>0000040c</keyboard>
<timezone>Paris, Madrid</timezone>
</defaults>
</oobe>
<useroobe>
<oemStrip xmlns="http://schemas.microsoft.com/windows/oobetasks/v1">
<offerSource>Offres de Educsoft</offerSource>
<tasks>
<task id="{1D8650FD-8935-4657-A3E3-C6AD82DCFEB8}"
✂ xmlns="http://schemas.microsoft.com/windows/tasks/v1">
<name>nom tache exemple</name>
<icon>%systemroot%\system32\notepad.exe</icon>
<description>description exemple</description>
<command>http://tempurl/fwlink.asp=?id=test</command>
<sortPriority>1</sortPriority>
<infotip>Souscrivez maintenant!</infotip>
<previewPaneView
✂ xmlns="http://schemas.microsoft.com/windows/oobetasks/v1">
<previewBackground>%systemroot%\system32\oobe\info\background_wc.png
✂ </previewBackground>
<startText>bouton action tache exemple</startText>
<title>titre tache exemple</title>
<columnOne>
<para><text>texte exemple</text></para>
<para><bullet /><text>liste a puce texte exemple</text></para>
<para><bullet /><text>liste a puce texte exemple</text></para>
<para><bullet /><text>liste a puce texte exemple</text></para>
</columnOne>
</previewPaneView>
<!-- conditions (optional)
<conditions>
<condition name="shell://v1#IsUserAdmin" />
<condition name="shcond://v1#DateInRange">
Personnaliser l’image
<parameter name="Before" value="1/1/2006 5:00am" />
</condition>
</conditions>
-->
</task>
</tasks>
</oemStrip>
</useroobe>
</FirstExperience>
Vous n’avez qu’à le recopier dans un fichier Oobe.xml, l’adapter à votre entreprise et il
fonctionnera.
Pour mieux comprendre son fonctionnement et sa structure, décortiquons les grandes
lignes de ce fichier.
Description de la partie accueil de premier démarrage Windows
La section <oem>
Le tableau suivant indique les paramètres disponibles pour Oobe.xml et leurs valeurs
autorisées pour la section <oem> d’Oobe.xml.
Tableau 7.3 : Description de la section <oem> du fichier oobe.xml
Description
Valeur
name
Nom du fabricant ou de l’entreprise.
Caractères.
logopath
Chemin absolu vers le logo de
l’entreprise.
Chemin d’accès absolu au fichier de
logo, un fichier 32 bits au format
.png. 240 x 100 pixels.
nomfichiercluf
Langue et situation/version spécifique
du contrat de licence d’utilisateur final
de l’entreprise s’il y a lieu.
Chemin d’accès absolu d’un fichier .rtf
nominatif.
wallpaper
Chemin absolu du fichier de papier
peint. Peut en contenir jusqu’à trois
pour l’affichage.
Chemin d’accès absolu vers au plus
trois fichiers 32 bits au format .png
nommés. 128 x 128 pixels.
offerheader
Description initiale de l’offre. Plus pour
les assembleurs que pour les
entreprises.
Chaîne de caractères avec au
maximum 40 caractères.
title
Titre de l’offre.
Caractères.
imagepath
Chemin absolu d’un fichier .bmp.
Chemin d’accès absolu d’un fichier
32 bits .bmp ou .gif. 32 x 32 pixels.
Les fichiers de type .png ne sont pas
pris en charge.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Paramètre
273
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
Paramètre
Description
Valeur
details
Description plus approfondie de l’offre.
Chaîne de caractères avec au
maximum 128 caractères
detailsfilename
Fichier contenant des informations
concernant l’offre.
Chemin d’accès absolu d’un fichier
.rtf. Les graphiques intégrés ne
peuvent pas être affichés.
shellexecute
Chemin du fichier exécutable pour
l’offre.
Chemin d’accès absolu du programme
d’installation pour l’offre.
Références aux chemins d’accès dans Oobe.xml
Les dossiers et fichiers auxquels les chemins d’accès absolus dans Oobe.xml font
référence doivent être inclus dans l’image, soit hors connexion, soit lors de la création
de l’image avant d’effectuer le Sysprep.
La section <defaults>
Le tableau suivant indique les paramètres disponibles pour Oobe.xml et leurs valeurs
autorisées pour la section <defaults>.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Tableau 7.4 : Description de la section <defaults> du fichier oobe.xml
274
Paramètre
Description
Valeur
langue
Séparateur décimal de la langue par
défaut.
Identificateur décimal. Pour la France,
l’identificateur est 1036.
emplacement
L’emplacement est spécifié à l’aide d’une Identificateur décimal. Pour la France,
valeur décimale.
l’identificateur est 54.
Paramètres
régionaux
Les paramètres régionaux sont spécifiés
à l’aide d’une valeur.
Identificateur décimal. Pour la France,
l’identificateur est 1036.
clavier
La disposition du clavier est déterminée
par le format d’identifiant des paramètres
régionaux d’entrée, constitué par une
combinaison de la valeur hexadécimale
de l’identificateur linguistique et d’un
identificateur de périphérique.
Utilisez la valeur du paramètre keyboard
figurant dans le Registre sous
HKEY_LOCAL_MACHINE
\SYSTEM\ControlSet001\Control
\Keyboard Layouts et précédez-la de
la valeur du paramètre régional convertie
en hexadécimal. Pour la France, cette
valeur est 0x40c.
Personnaliser l’image
Paramètre
Description
Valeur
fuseauhoraire
Le fuseau horaire de l’endroit où se situe
l’ordinateur est spécifié par une chaîne.
Sa longueur maximale est de
256 caractères. De nouveaux fuseaux
horaires peuvent apparaître dans les
versions futures. Si vous souhaitez
ajouter la prise en charge d’un nouveau
fuseau horaire, vous devez taper la
chaîne exacte correspondante.
Voir le tableau suivant.
transparence
Valeur booléenne déterminant l’utilisation
de la transparence.
0 ou 1. La valeur 0 indique qu’aucune
transparence n’est utilisée.
Liens utiles pour le remplissage de la section <defaults>
Si vous souhaitez consulter la liste complète des valeurs langue, emplacement,
paramètres régionaux et clavier qu’il est possible de renseigner, ces liens vous
intéresseront :
j
http://msdn.microsoft.com/library/default.asp?url=/library/en-us/intl/nls_238z.asp ;
http://msdn.microsoft.com/library/default.asp?url=/library/en-us/intl/nls_locations.asp ;
j
http://www.microsoft.com/globaldev/reference/lcid-all.mspx.
j
Implémenter la partie accueil au premier démarrage Windows
1. Après avoir démarré pour la première fois son ordinateur, l’utilisateur arrive sur
l’écran d’accueil de premier démarrage de Windows Vista en mode personnalisé
(voir fig. 7.8).
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Voici un exemple d’un accueil de premier démarrage Windows remodelé à l’aide d’un
fichier Oobe.xml de personnalisation. Voici le rendu visuel qu’a l’utilisateur final devant
les yeux au moment où il démarre pour la première fois son nouvel ordinateur Windows
Vista. Nous sommes dans le cas où l’image a déjà été appliquée.
2. Cet écran d’accueil doit retranscrire les options d’emplacement géographique et
d’utilisation du clavier ainsi que le logo de constructeur (ou d’entreprise)
paramétrés dans Oobe.xml. Cliquez sur Suivant.
3. La fenêtre qui suit vous montre deux contrats d’utilisation : celui de Microsoft et le
vôtre (paramétré dans Oobe.xml). Vous ne pouvez passer qu’à l’étape suivante
qu’en cochant l’acceptation des deux contrats et en cliquant sur Suivant (voir
fig. 7.9).
275
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Figure 7.8 : Première fenêtre d’accueil de premier démarrage de Windows
Figure 7.9 : Les Contrats d’utilisation
276
Personnaliser l’image
4. Configurez votre compte d’utilisateur et cliquez sur Suivant.
Figure 7.10 : Renseignement du compte utilisateur
5. Entrez un nom à l’ordinateur et choisissez un fond d’écran. Vous remarquez que
certains fonds d’écran sont personnalisés. Cliquez sur Suivant.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Figure 7.11 : Choix du nom de l’ordinateur et du fond d’écran.
277
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
6. Vérifiez les paramètres d’heure et de date (provenant de Oobe.xml) et cliquez sur
Suivant.
Figure 7.12 : Vérification des paramètres de date et d’heure
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
7. Enfin, juste avant de terminer la personnalisation de l’installation, vous pouvez
consulter les offres. Lorsque vous sélectionnez une offre, vous serez redirigé vers le
lien de cette offre, une fois l’installation terminée et votre compte d’utilisateur
logué.
Figure 7.13 : Consultation des offres personnalisées
278
Personnaliser l’image
8. Cliquez sur Démarrer pour finaliser l’installation.
Description de la partie Accueil Windows
La section <useroobe>
Le tableau suivant indique les paramètres disponibles d’Oobe.xml pour la section
<useroobe> et leurs valeurs autorisées.
Tableau 7.5 : Description de la section <useroobe> du fichier Oobe.xml
Description
Valeur
oemStrip
Chemin du logo à apparaître dans le
volet de prévisualisation Détails de
l’ordinateur de l’Accueil Windows. Ce
paramètre doit contenir l’espace de
noms
xmlns="http://schemas.microsoft
.com/windows/oobetasks/v1".
Chemin d’un fichier .png. La taille
maximale est de 250 x 30 pixels.
name
Nom de l’offre. Apparaît dans la section
de titre du volet précédent.
Chaîne d’une longueur maximale de
255 caractères.
icône
Chemin absolu vers l’icône d’offre.
Chemin d’accès absolu à un fichier
.ico ou autre. Obligatoire.
description
Courte description de l’offre.
Chaîne d’une longueur maximale de
255 caractères
commande
Chemin du fichier exécutable.
Chemin absolu du fichier exécutable.
sortPriority
Valeur numérique déterminant l’ordre de Valeur numérique comprise entre 1
l’offre. Les nombres les plus importants et 99 inclus. La valeur par défaut est 1.
ont la priorité la plus haute. Par
conséquent, un élément ayant un
numéro de priorité de tri élevé
(comme 94) apparaîtra avant un
élément un numéro plus faible
(comme 7).
infotip
Courte description de l’offre affichée sur Chaîne d’une longueur maximale de
pointage de la souris.
255 caractères.
mots clés
Mots-clés utilisés à des fins de
recherche.
Chaîne délimitée par un point-virgule
(;).
Prévisualisation
Image
Chemin d’un fichier .png pour l’offre.
Chemin absolu d’un fichier .png.
128 x 128 pixels. Si cette valeur est
omise, le fichier spécifié pour la valeur
de <icon> correspondant à l’offre
sera affiché à sa place (si le contenu du
fichier .ico peut être mis à l’échelle
126 x 126).
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Paramètre
279
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
Paramètre
Description
Valeur
Prévisualisation
d’arrière−plan
Chemin d’un fichier .png pour l’arrièreplan de l’offre OEM.
Chemin absolu d’un fichier .png. La
taille maximale est de 800 x 178 pixels.
Textdémarrage
Courte description de la tâche de
démarrage.
Chaîne d’une longueur maximale de
64 caractères.
titre
Texte de titre de l’offre.
Chaîne d’une longueur maximale de
255 caractères.
puce
Crée une puce en face du paragraphe
de texte.
Chemin absolu d’un fichier .png.
texte
Texte décrivant l’offre.
Chaîne d’une longueur maximale de
255 caractères
Implémenter la partie Accueil Windows
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Une fois l’installation terminée, l’utilisateur ouvre sa session et l’Accueil Windows
s’ouvre automatiquement. Cette fois-ci l’Accueil Windows est personnalisé grâce au
fichier Oobe.xml.
Figure 7.14 : Accueil Windows personnalisé
280
Personnaliser l’image
Les entreprises peuvent se servir de l’Accueil Windows personnalisé pour proposer aux
utilisateurs des liens vers l’outil helpdesk interne, vers l’intranet, vers des applications
communes, la vie de l’entreprise etc. C’est un moyen mis à disposition des services
informatiques pour garder un contact avec l’utilisateur afin qu’il ait sous la main les
moyens de contacter facilement son service informatique. Cela augmentera la
satisfaction de l’utilisateur.
Description de la partie offres d’abonnement auprès d’un
fournisseur de services Internet
La section <oem>
Le tableau suivant indique les paramètres disponibles pour Oobe.xml et leurs valeurs
autorisées pour la section <oem> de Oobe.xml lorsqu’elles sont utilisées pour des offres
d’abonnement auprès de fournisseurs de services Internet.
Tableau 7.6 : Description de la section <oem> en vue de l’inscription d’un fournisseur
d’accès Internet
Description
Valeur
nom
Nom du fournisseur. Utilisé comme titre chaîne
de l’offre
type d’offre
Doit être un type de liste d’offres de
fournisseurs de services Internet (ISP).
list
showin
Paramètre déterminant l’endroit où est
affichée l’offre.
tous
informations
Description plus approfondie de l’offre.
Chaîne avec au maximum 60 caractères
imagepath
Chemin absolu d’un fichier .bmp.
Chemin absolu d’un fichier 32 bits
.bmp ou .gif. 32 x 32 pixels. Les
fichiers PNG et ICO ne sont pas pris en
charge.
detailsfilename
Fichier contenant des informations
concernant l’offre. Si cette étiquette est
omise, le contenu de l’étiquette
<informations> est de nouveau
affiché sur la page d’informations.
Chemin absolu d’un fichier .rtf. Les
graphiques intégrés ne peuvent pas être
affichés.
shellexecute
Chemin du fichier exécutable pour
l’offre.
Chemin absolu du programme
d’installation pour l’offre.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Paramètre
281
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
Les conditions dans Oobe.xml
Chaque tâche peut être affichée ou cachée aux utilisateurs en configurant certains
paramètres conditionnels. Les conditions sont interprétées à chaque fois que l’Accueil
Windows est démarré. Si aucune condition n’est exprimée, l’Accueil Windows affiche
alors la tâche par défaut. Les conditions sont cumulatives, ce qui signifie que la somme
de toutes les conditions exprimées est utilisée comme logique d’affichage.
Les conditions sont exprimées par un nom et peuvent contenir un jeu de paramètres.
Chaque condition appartient à l’espace de nom shcond://v1. Elles sont par
conséquent exprimées sous la forme <nom de condition= "shcond://v1#
%conditionName%">.
Chaque condition peut également s’inverser à l’aide de l’attribut invert="true". Par
exemple, pour afficher une tâche dans toutes les versions de Windows Vista à
l’exception de Windows Vista Ultimate, utilisez la condition suivante :
<nom de condition="shcond://v1#SkuEquals" invert="true">
<param name="Sku" value="Ultimate" />
</condition>
Le tableau suivant indique les noms de condition, leurs paramètres, leurs valeurs et leurs
descriptions :
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Tableau 7.7 : Description des conditions utilisables dans Oobe.xml
282
Nom de condition
Paramètres
Valeurs
Description
RegvalEquals
Regkey
Regval
RegvalExpected
Chemin de la clé de registre
Nom de la valeur de Registre
Valeur de Registre attendue
La valeur de Registre est la valeur
attendue.
RegvalExists
Regkey
Regval
Chemin de la clé de Registre
Nom de la valeur de Registre
La valeur de Registre existe.
RegkeyExists
Regkey
Chemin de la clé de Registre
La clé de Registre existe.
IsMachineOnDomain Aucun
Aucun
L’ordinateur est sur un domaine.
IsUserAdmin
Aucun
Aucun
L’utilisateur est un administrateur.
IsAuxDisplay
Connected
Aucun
Aucun
Un moniteur auxiliaire (Windows
SideShow) est connecté.
IsMobilePC
Aucun
Aucun
L’ordinateur est un ordinateur
portable.
IsOfflineFiles
Enabled
Aucun
Aucun
Des fichiers hors connexion ont
été activés.
La maintenance de l’image
Paramètres
Valeurs
Description
SkuEquals
Sku
Nom de SKU. Nom faisant
référence à la version du système
d’exploitation.
Lors de la définition de cette
condition, n’utilisez pas le nom de
référence (SKU) complet. Utilisez
au lieu de cela les valeurs qui
correspondent à la référence
souhaitée.
Windows Vista Édition Familiale
Basique : homebasic.
Windows Vista Édition Familiale
Premium : homepremium.
Windows Vista Professionnel :
business.
Windows Vista Entreprise :
enterprise.
Windows Vista Édition Intégrale :
ultimate.
IsTabletPC
Aucun
Aucun
L’ordinateur est un Tablet PC.
IsTouchAvailable Aucun
Aucun
L’ordinateur a un périphérique de
numérisation tactile activé.
DateInRange
1. Date et heure
2. Date
En combinant ces deux
conditions, on peut obtenir une
offre valide pendant un certain
laps de temps.
Définissez une plage de dates.
Utilisez un format régional de date
invariant.
1. Avant
2. Après
La maintenance de l’image
Le processus de déploiement ne s’arrête pas à l’unique projet de déploiement de
Windows Vista sur les ordinateurs de l’entreprise à la place de Windows XP, par
exemple. Il peut aussi être quotidien : dès qu’un nouvel employé arrive et qu’il a donc
besoin d’un ordinateur fraîchement installé. Et c’est aussi un processus qui évolue dans
le temps : de nouveaux équipements feront tôt ou tard leur apparition avec leurs
nouveaux pilotes, des mises à jours et des Service Packs de Windows Vista. Pour être
complet, le processus de déploiement doit fournir des outils qui permettent de mettre à
jour les images capturées sans avoir forcément à les recréer, c’est-à-dire des outils qui
permettent d’ajouter des packages, des packs de langue, des pilotes, des mises à jour à
une image hors connexion (à froid), et bien d’autres.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
7.4.
Nom de condition
283
Chapitre 7 Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
Ajouter une image dans une image
L’un des grands avantages du format d’images WIM est l’instanciation unique. Si vous
avez créé plusieurs images, vous avez la possibilité de les regrouper en une seule et
même image. Et le poids de cette nouvelle image ne sera pas la somme des tailles des
différentes images, mais uniquement la taille des fichiers communs de toutes les images
additionnée à la taille des fichiers différents entre les images. C’est là l’une des autres
qualités du format WIM : il est orienté fichier et non secteur. Cela offre un ensemble de
possibilités, notamment le travail en mode Delta dans l’instanciation des images.
Lorsque l’on ajoute l’image 2 à l’image 1, les seuls fichiers copiés sont les fichiers
différents de l’image 2. Cela permet d’économiser sur trois images les deux tiers de
l’espace disque. Si on le rapporte à des tailles de masters réelles – on parle alors de
gigaoctets et non de mégaoctets –, multiplié par le nombre de masters matériel et
service, ce n’est plus négligeable.
À présent, prenons comme exemple l’ajout d’une image image1.wim à l’image image2
.wim. Pour cela, il faut utiliser la commande ImageX avec le commutateur /export.
IMAGEX /EXPORT
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Exporte une copie du fichier .wim spécifié vers un autre fichier .wim. Les fichiers source
et destination doivent utiliser le même type de compression.
284
Syntaxe :
imagex /export [fichier_src numéro_src | nom_src
dest_fichier nom_dest] {/boot | /check | /compress [type]
| /ref [splitwim.swm]}
fichier_src
Le chemin du fichier .wim contenant l’image à copier.
numéro_src
Le numéro qui référence le volume spécifique dans le fichier .wim.
nom_src
Le nom qui identifie l’image dans le fichier source .wim.
dest_fichier
Le chemin du fichier .wim qui recevra l’image à copier.
nom_dest
Le nom unique qui identifie l’image dans le fichier .wim de
destination.
/boot
Marque une image de volume comme démarrable. Disponible
seulement pour les images Windows PE. Une seule image de volume
peut être marquée comme démarrable dans un fichier .wim.
/check
Vérifie l’intégrité du fichier .wim. Si cette option n’est pas
mentionnée, les vérifications existantes sont supprimées.
La maintenance de l’image
/compress
[maximum
| rapide | aucune] Spécifie le type de compression utilisée pour l’opération de capture
initiale. L’option maximum propose la meilleure compression, mais
le temps de capture de l’image est le plus long. L’option rapide
propose une compression d’image plus rapide, mais les fichiers
résultants ont une taille plus importante que ceux compressés avec
l’option maximum. C’est également le type de compression par
défaut, utilisé si vous laissez ce paramètre vide. L’option aucune ne
compresse pas du tout l’image capturée.
/ref splitwim.swm Active la référence des fichiers .wim divisés (SWM). splitwim.swm est
le nom et la situation des fichiers divisés supplémentaires. Les
caractères génériques sont acceptés.
À cela, il faudra ajouter le chemin de l’image ainsi que son numéro d’index, puis
terminer par le chemin de l’image de destination :
C:\Program Files\Windows AIK\Tools\x86>ImageX /export
c:\images\image1.wim 1 c:\images\image2.wim "image1"
ImageX Tool for Windows
Copyright (C) Microsoft Corp. 1981-2005. All rights reserved.
Exporting: [c:\images\image1.wim, 1] ->
[c:\images\image2.wim]
Progress: 100%
Successfully exported image #1.
ImageX /export
Lorsque vous utilisez la commande ImageX /export, il est important d’indiquer le
numéro d’indexation de l’image source, même si le fichier ne possède qu’une image.
Autrement, la commande ne fonctionnera pas. Il n’y aura pas de message d’erreur,
uniquement un retour à l’aide sur la commande image.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Une fois cette opération terminée, image1 se trouve dans le fichier image2.wim.
Le Gestionnaire de packages
Le Gestionnaire de packages est un outil de ligne de commandes (Pkgmgr.exe) que vous
pouvez utiliser hors connexion pour installer, pour supprimer ou pour mettre à jour des
packages Windows, des pilotes, des applications, des mises à jour de sécurité, des
Service Packs. Vous pouvez ajouter les packages fournis sous forme de fichiers .cab à
285
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
une image système Windows hors connexion. Le Gestionnaire de packages peut
également activer ou désactiver des fonctionnalités de Windows, hors connexion ou bien
sur une installation de Windows en cours d’exécution.
Le Gestionnaire de packages peut considérer un fichier de réponses d’installation sans
assistance comme une entrée et configurer les paramètres répertoriés dans la passe de
configuration OfflineServicing.
Le Gestionnaire de packages peut effectuer les tâches suivantes :
j
installer ou désinstaller des correctifs logiciels ;
j
installer des packs de langues ;
j
ajouter des pilotes de matériel ;
j
activer ou désactiver des fonctionnalités de Windows ;
j
accepter un fichier de réponses comme entrée (paramètres OfflineServicing
uniquement) ;
j
ajouter des packages à une image de Windows hors connexion ;
j
installer ou désinstaller plusieurs packages avec une seule chaîne de commandes.
Le Gestionnaire de packages peut fonctionner sur une image Windows montée ou
appliquée. Il peut être utilisé avec d’anciens fichiers image Windows (.wim), mais non
avec des images Windows plus récentes que la version installée du WAIK dans lequel le
Gestionnaire de packages est distribué.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Le Gestionnaire de packages peut s’exécuter sur les systèmes d’exploitation suivants :
286
j
Windows XP SP2 ;
j
Windows Server 2003 SP1 ;
j
Windows Vista.
Certains packages exigent que d’autres packages soient d’abord installés. En raison de
cette condition de dépendance, si vous installez plusieurs packages, procédez de l’une
des manières suivantes :
j
Utilisez un fichier de réponses. En transmettant un fichier de réponses au
Gestionnaire de packages, plusieurs packages peuvent être installés dans l’ordre
correct. C’est la méthode recommandée pour installer plusieurs packages.
j
Installez ou supprimez plusieurs packages dans une seule commande en les séparant
par un point-virgule dans une liste. Les packages peuvent apparaître dans n’importe
quel ordre. Le Gestionnaire de packages installe ou supprime les packages dans
l’ordre correct.
La maintenance de l’image
La commande Pkgmgr.exe
Avant de détailler l’utilisation du Gestionnaire de packages et la manière de mettre à
jour une image, voici les descriptions des commutateurs de l’outil en ligne de commande
Pkgmgr.exe.
PKGMGR
Installe, désinstalle, configure et met à jour des fonctionnalités et des packages pour
Windows Vista.
pkgmgr.exe [/?] [/h] [/help] [/l:nom_fichier] [/ip]
[/iu:nom_fonctionnalité_Windows] [/m:répertoire_package]
[/n:fichier_réponses] [/norestart]
[/o:chemin_disque_système;
chemin_répertoire_Windows_hors_connexion]
[/p:nom_package] [/quiet] [/s:répertoire_sandbox]
[/up:nom_package] [/uu:nom_fonctionnalité_Windows]
/?, /h, /help
Affiche l’aide lorsque cette commande est exécutée sans option.
Utilisable en ligne ou hors connexion.
/ip
Installe les packages. Le nom de package respecte la casse. Exige que
les packages soient désignés par l’option /m ou par l’option /p.
Plusieurs packages peuvent être installés avec une seule commande
et doivent être séparés par des points-virgules. Utilisable en ligne ou
hors connexion. Vous devez pointer vers le répertoire du package
développé ; une option /ip doit aussi être accompagnée d’une
option /m.
/l: nom_fichier
Désigne le fichier journal pour la sortie de diagnostic. Utilisable en
ligne ou hors connexion. Les journaux par défaut sont situés dans le
répertoire %WINDIR%\logs\cbs\cbs.log. Setupact.log est un journal
complet et Setuperr.log ne répertorie que les erreurs.
L’enregistrement dans un journal ne fonctionne pas lors de
l’installation depuis un support en lecture seule, comme un CD
Windows PE.
/iu: nom_
fonction-nalité
_Windows
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Syntaxe :
Spécifie la fonctionnalité Windows à activer. Plusieurs
fonctionnalités Windows peuvent être installées avec une seule
commande et doivent être séparées par des points-virgules.
Utilisable en ligne ou hors connexion. Si vous installez une mise à
jour, vous avez alors besoin du nom de la mise à jour si son package
287
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
est dans le package Windows Foundation. Si ce n’est pas le cas,
l’option /iu exige aussi l’identité du package spécifiée par l’option /p,
qui est supposée être par défaut l’option de Windows Foundation
pour l’option /iu. Si ce n’est pas le cas, annulez cette option.
/m: répertoire
_package
/n: fichier
_réponses
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
/norestart
Spécifie le nom du fichier de réponses d’installation sans assistance.
Utilisable en ligne ou hors connexion. Toutes les installations sans
assistance exigent l’option /n.
Supprime le redémarrage. Si le redémarrage n’est pas nécessaire,
cette commande ne fait rien. Utilisable en ligne seulement.
Utilisable avec l’option /quiet.
/o: chemin_disque
_système ; chemin
_répertoire
_Windows _hors
_connexion
Spécifie
une
installation
hors
connexion.
Le
chemin_disque_système définit la situation du Gestionnaire de
démarrage, d’après le mappage donné par le système d’exploitation
hôte. Chemin _répertoire_Windows_hors_connexion
spécifie le chemin complet du répertoire Windows hors connexion
tel qu’il est vu par le système d’exploitation actif. Toutes les
opérations hors connexion exigent l’option /o pour spécifier l’image
dont vous avez l’intention d’effectuer la maintenance hors
connexion.
/p: nom_package
Installe la totalité du package. Utilisable hors connexion. Exigé pour
l’option /up.
/quiet
S’exécute en mode silencieux. Aucune interface utilisateur, ni de
sortie console n’est fournie. Si un redémarrage est nécessaire,
celui-ci est forcé automatiquement, sans afficher de boîte de
dialogue de demande de confirmation. Utilisable en ligne ou hors
connexion.
/s: répertoire
_sandbox
288
Spécifie le répertoire avec le manifeste et la charge utile du package.
Des répertoires source supplémentaires peuvent être spécifiés après
un point-virgule. Utilisable hors connexion. Exigé pour l’option /up.
Si vous installez un package, vous devez pointer vers le répertoire du
package développé, auquel cas une option /ip doit aussi être
accompagnée d’une option /m.
Spécifie le répertoire sandbox dans lequel les fichiers sont extraits.
Cette option est nécessaire pour un traitement correct des fichiers
La maintenance de l’image
lors de l’installation des packages depuis un réseau. Utilisable en
ligne ou hors connexion.
/up: nom _package Désinstalle les packages. Exige que les packages soient désignés par
l’option /m ou par l’option /p. Plusieurs packages peuvent être
désinstallés avec une seule commande et doivent être séparés par des
points-virgules. Utilisable hors connexion.
/uu: nom_fonctionnalité_Windows
Spécifie la fonctionnalité de Windows à désactiver. Une
fonctionnalité au moins de Windows doit être spécifiée. Plusieurs
fonctionnalités Windows peuvent être désactivées avec une seule
commande et doivent être séparées par des points-virgules.
Utilisable en ligne ou hors connexion. L’option /uu fonctionne de la
même manière que l’option /iu.
Ajouter des pilotes à une image de Windows hors connexion
Un scénario très intéressant consiste à modifier l’image .wim de référence à froid pour
y rajouter des pilotes pour de nouveaux équipements. Pas besoin de recréer une
installation de référence sur un ordinateur de test pour faire vivre l’image. Et le ou les
pilotes rajoutés ne seront utilisés que dans la phase de détection Plug and Play du
matériel.
Vous pouvez utiliser le Gestionnaire de packages pour installer un ou plusieurs pilotes
de périphériques dans une image de Windows hors connexion. Vous pouvez ainsi
ajouter à Windows, avant l’installation, des pilotes de périphériques indispensables au
démarrage.
Les pilotes indispensables au démarrage sont insérés sur le système. L’insertion d’un
pilote est le processus consistant à installer un pilote sur un ordinateur qui est ou non
doté d’un périphérique pour ce pilote. Généralement, cela comprend la copie des
fichiers de pilote vers un emplacement de destination et la création du service.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Lorsque vous utilisez le Gestionnaire de packages pour installer un pilote de
périphérique dans une image hors connexion, le pilote de périphérique est ajouté au
magasin de pilotes. Le magasin de pilotes est un emplacement sur l’ordinateur qui
contient tous les pilotes pour cet ordinateur. Lorsque le Plug and Play est exécuté, les
périphériques détectés sont associés aux pilotes de périphériques dans le magasin de
pilotes. Le magasin de pilotes remplace Drivers.cab.
Pour ajouter des pilotes à une image de Windows hors connexion :
1. Recherchez les fichiers .inf des pilotes de périphériques que vous souhaitez installer
sur votre image de Windows. Vous pouvez les chercher sur le site Internet de
l’éditeur. Par exemple, créez un répertoire C:\pilotes qui contiendra les fichiers de ce
pilote.
289
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
2. Utilisez Windows SIM : ouvrez un catalogue existant en cliquant avec le bouton
droit de la souris sur Sélectionner une image Windows ou un fichier catalogue et en
spécifiant le type de fichier catalogue dans le menu contextuel (.clg), ou créez un
nouveau catalogue en cliquant sur Créer un catalogue dans le menu Outils.
Vous allez créer un fichier de réponses contenant les chemins d’accès aux pilotes de
périphériques à installer :
3. Ajoutez le composant Microsoft-Windows-PnpCustomizationsNonWinPE à votre
fichier de réponses dans la passe de configuration OfflineServicing.
4. Développez le nœud Microsoft-Windows-PnpCustomizationsNonWinPE dans le
fichier de réponses. Cliquez avec le bouton droit de la souris sur DevicePaths, puis
sélectionnez Insérer un nouvel élément PathAndCredentials. Un nouvel élément
est intégré à la liste PathAndCredentials.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Figure 7.15 : Élément PathAndCredentials
290
5. Si vous devez rajouter plusieurs pilotes qui se trouvent à plusieurs emplacements
différents, alors ajoutez autant d’élément sur la liste PathAndCredentials qu’il y a
d’emplacements différents à ajouter.
6. Dans les propriétés du composant Microsoft-Windows-Pnp CustomizationsNon
WinPE, spécifiez le chemin d’accès au pilote de périphérique et les informations
d’identification utilisées pour accéder au fichier si celui-ci réside sur un partage
réseau.
Figure 7.16 :
Configuration du
chemin d’accès au pilote
La maintenance de l’image
Gestion de l’élément Key
En ajoutant plusieurs éléments de la liste PathAndCredentials, vous pouvez inclure
plusieurs chemins d’accès aux pilotes de périphériques. Si vous ajoutez plusieurs
éléments de la liste, vous devez incrémenter la valeur de Key pour chaque chemin. Par
exemple, vous pouvez ajouter deux chemins d’accès distincts dans lesquels la valeur
de Key égale 1 pour le premier chemin d’accès et la valeur de Key égale 2 pour le
second chemin d’accès.
7. Enregistrez le fichier de réponses sous le nom pilotes.xml par exemple et quittez
Windows SIM.
Le fichier de réponses doit être similaire à l’extrait suivant :
8. Montez l’image de Windows dans laquelle vous voulez installer les pilotes à l’aide
d’ImageX. Tapez imagex /mountrw C:\images\moninstall.wim 1 C:\mount,
où l’image de référence à modifier se trouve dans le répertoire C:\images et s’appelle
moninstall.wim et le répertoire de montage s’appelle C:\mount. La première image
de Windows dans le fichier moninstall.wim est montée sur C:\mount.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
<settings pass="offlineServicing">
<component name="Microsoft-Windows-PnpCustomizationsNonWinPE"
✂ processorArchitecture="x86" publicKeyToken="31bf3856ad364e35"
✂ language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas
✂ .microsoft.com/WMIConfig/2002/State"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<DriverPaths>
<PathAndCredentials wcm:action="add" wcm:keyValue="1">
<Credentials>
<Domain>PUZZMANIA</Domain>
<Password>*</Password>
<Username>Administrateur</Username>
</Credentials>
<Path>C:\Pilotes</Path>
</PathAndCredentials>
</DriverPaths>
</component>
</settings>
<cpi:offlineImage cpi:source="catalog:c:/images/puzzmaniainstall.clg"
✂ xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>
Voici la définition de la commande imagex /mountrw :
291
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
IMAGEX /MOUNTRW
Monte un fichier .wim de Windows XP SP2, de Windows Server 2003 SP1 ou de
Windows Vista, avec droit de lecture/écriture vers un répertoire spécifié. Une fois que le
fichier est monté, vous pouvez voir et modifier toutes les informations contenues dans le
répertoire.
Syntaxe :
imagex /mountrw [fichier_image numéro_image | nom_image
chemin_image] {/check}
fichier_image
Le nom et le chemin du fichier .wim à monter avec les droits de
lecture/écriture.
numéro_image
Le numéro qui référence le volume spécifique dans le fichier .wim.
nom_image
Le nom qui référence l’image dans le fichier .wim.
chemin_image
Le chemin du fichier où l’image spécifiée sera montée.
/check
Vérifie l’intégrité du fichier .wim. Si cette option n’est pas
mentionnée, les vérifications existantes sont supprimées.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Utilisation de la commande Imagex /mountrw lors de l’utilisation du Gestionnaire de
packages
Veillez à utiliser la commande Imagex avec le commutateur /mountrw lorsque vous
montez une image en vue d’une utilisation avec le Gestionnaire de packages et non le
commutateur /mount car celui-ci ne permettrait pas au Gestionnaire de packages de
modifier l’image.
292
9. Activez la journalisation dans un fichier journal distinct de certaines actions
d’injection de pilote de périphérique. Sur l’ordinateur sur lequel vous exécutez le
Gestionnaire de packages, modifiez la clé de Registre DebugPkgMgr située dans
HKLM\Software\Microsoft\Windows\CurrentVersion\Device Installer et donnez-lui la
valeur 0x01.
Cela crée un fichier Drivers.log pendant l’injection du package de pilote. Ce fichier
journal enregistre toutes les actions du processus d’injection du pilote.
La maintenance de l’image
Figure 7.17 : Création de la nouvelle valeur DWORD DebugPkgMgr
10. Utilisez le Gestionnaire de packages pour appliquer le fichier de réponses de
l’installation sans assistance à l’image de Windows Vista montée. Spécifiez un
emplacement pour le fichier journal à créer. Tapez : pkgmgr
/o:"C:\mount\;C:\mount\Windows"
logfile.txt".
/n:"C:\pilotes.xml"
/l:"C:\pkgmgrlogs\
Les fichiers .inf référencés dans le chemin d’accès du fichier de réponses sont ajoutés à
l’image de référence Windows Vista. Vous pouvez ouvrir le fichier Drivers.log et
examiner les actions d’injection du pilote de Gestionnaire de packages. Un fichier
journal est créé dans le répertoire C:\pkgmgrlogs\.
Examinez le contenu du répertoire \Windows\inf dans l’image de Windows Vista montée
pour vérifier que les fichiers .inf ont été installés. Les pilotes ajoutés à l’image de
Windows sont nommés oem*.inf. Cette opération assure que les nouveaux pilotes
intégrés sur l’ordinateur portent un nom unique. Ainsi, les fichiers Pilote1.inf et Pilote2
.inf sont renommés oem0.inf et oem1.inf.
11. Enfin, démontez le fichier .wim et validez les modifications. Tapez : imagex
/unmount /commit C:\mount.
L’image de Windows est fermée et prête à repartir dans votre processus de déploiement.
Vous avez mis à jour le contenu de l’image à partir de votre poste, sans pour autant avoir
à rejouer un Sysprep et une recréation d’image.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Figure 7.18 :
Contenu du répertoire
\Windows\inf de l’image
montée
Activer ou désactiver les fonctionnalités Windows lorsque le
système d’exploitation est hors connexion
Pour activer ou désactiver des fonctionnalités Windows d’une image Windows hors
connexion, créez un fichier de réponses d’installation sans assistance avec Windows SIM
293
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
et utilisez-le comme entrée pour le Gestionnaire de packages. Un peu comme ce que
vous venez de le faire avec l’ajout de pilotes mais les composants à utiliser ne sont pas les
mêmes.
1. Utilisez Windows SIM : ouvrez un catalogue existant en cliquant avec le bouton
droit de la souris sur Sélectionner une image Windows ou un fichier catalogue et en
spécifiant le type de fichier catalogue dans le menu contextuel (.clg), ou créez un
nouveau catalogue en cliquant sur Créer un catalogue dans le menu Outils.
2. Développez le catalogue dans le volet Image Windows et développez les lignes
Packages, puis Foundation.
Figure 7.19 :
Le package Windows Foundation
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
3. Cliquez avec le bouton droit de la souris sur Microsoft-Windows
-Foundation-Package et cliquez sur Ajouter au fichier de réponses.
Figure 7.20 : Configuration du package Windows Foundation
294
La maintenance de l’image
4. Cliquez sur Activé ou sur Désactivé (Enabled ou Disabled) près des fonctionnalités
que vous souhaitez activer ou désactiver. Cliquez sur la flèche pour sélectionner le
contraire.
5. Vous devrez peut-être développer un élément pour voir tous ses enfants. Le parent
doit être activé si l’un de ses enfants est activé.
6. Cliquez sur Outils dans le menu principal et cliquez sur Valider le fichier de
réponses.
7. Corrigez toutes les erreurs qui apparaissent dans le volet Messages et sauvegardez
le fichier de réponses, par exemple sous le chemin C:\addwinfeatures.xml.
8. Montez
l’image Windows hors connexion. Tapez imagex /mountrw
C:\images\moninstall.wim 1 C:\mount, où l’image de référence à modifier se
trouve dans le répertoire C:\images et s’appelle moninstall.wim et le répertoire de
montage s’appelle C:\mount. La première image de Windows dans le fichier
moninstall.wim est montée sur C:\mount.
9. Dans l’Invite de commandes, exécutez la commande suivante : pkgmgr
/o:"C:\mount\;C:\mount\Windows" /n:"C:\addwinfeatures.xml".
10. Enfin, démontez le fichier .wim et validez les modifications. Tapez : imagex
/unmount /commit C:\mount.
L’image de Windows est fermée et prête à repartir dans votre processus de déploiement.
Vous avez ajouté, dans cet exemple, l’installation de la fonctionnalité Windows de
serveur web personnel comme effective pour chaque nouvelle installation faite à partir
de cette image.
Pour installer ou supprimer des packages à une image hors connexion, procédez de la
sorte :
1. Utilisez Windows SIM : ouvrez un catalogue existant en cliquant avec le bouton
droit de la souris sur Sélectionner une image Windows ou un fichier catalogue et en
spécifiant le type de fichier catalogue dans le menu contextuel (.clg), ou créez un
nouveau catalogue en cliquant sur Créer un catalogue dans le menu Outils.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Installer ou supprimer des packages hors connexion à l’aide
du Gestionnaire de package
2. Cliquez sur Insérer dans le menu principal et sélectionnez Packages.
3. Cherchez le package désiré et cliquez sur Ouvrir. Les packages sont des fichiers
.cab.
4. Validez et sauvegardez le fichier de réponses, par exemple sous le chemin
C:\newpackage.xml.
5. Montez l’image Windows hors connexion. Dans une Invite de commandes, tapez
imagex /mountrw C:\images\moninstall.wim 1 C:\mount, où l’image de
295
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
référence à modifier se trouve dans le répertoire C:\images et s’appelle moninstall
.wim et le répertoire de montage s’appelle C:\mount. La première image de
Windows dans le fichier moninstall.wim est montée sur C:\mount.
6. Dans la même fenêtre d’Invite de commandes, tapez la commande suivante :
pkgmgr
/o:"C:\mount\;C:\mount\Windows"
/l:"C:\pkgmgrlogs\logfile.txt".
/n:"C:\newpackage.xml"
7. Ouvrez le fichier journal afin de vérifier si le package a été ajouté avec succès.
8. Procédez aux modifications et au démontage de l’image. Tapez : imagex /unmount
/commit C:\mount.
Vous avez rajouté un package de type fichier .cab à une image à froid.
Installer un pack de langues dans une image hors connexion
Vous pouvez utiliser le Gestionnaire de packages pour installer un ou plusieurs modules
linguistiques (packs de langues) dans une image de Windows hors connexion.
L’ajout de plusieurs modules linguistiques à une image de Windows peut en augmenter
la taille de façon importante. Un fichier d’image .wim de Windows Vista avec différents
modules linguistiques peut comporter plusieurs gigaoctets de plus qu’un fichier image
de Windows Vista en une seule langue. L’installation de grandes images de Windows sur
le réseau risque de ralentir les installations.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Pour utiliser le Gestionnaire de packages afin d’installer un nouveau module
linguistique :
1. Naviguez avec l’Explorateur Windows jusqu’à un ou plusieurs modules linguistiques
à installer dans le fichier image de Windows. Les modules linguistiques sont
enregistrés dans des fichiers .cab et sont appelés Lp.cab.
2. Utilisez Windows SIM pour créer un fichier de réponses contenant uniquement les
modules linguistiques que vous souhaitez installer.
Pour ajouter un module linguistique directement à un fichier de réponses :
3. Ouvrez un catalogue existant en cliquant avec le bouton droit de la souris sur
Sélectionner une image Windows ou un fichier catalogue et en spécifiant le type de
fichier catalogue dans le menu contextuel (.clg), ou créez un nouveau catalogue en
cliquant sur Créer un catalogue dans le menu Outils. Cliquez sur Insérer dans le
menu principal et sélectionnez Packages. Cherchez le package désiré et cliquez sur
Ouvrir. Les packages sont des fichiers .cab.
4. Enregistrez le fichier de réponses en lui donnant le chemin C:\langpack.xml par
exemple et fermez Windows SIM.
296
La maintenance de l’image
Le fichier de réponses doit être similaire à l’extrait suivant :
<?xml version="1.0" encoding="utf-8" ?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
<servicing>
<package action="install">
<assemblyIdentity name="Microsoft-Windows-LanguagePack-Package"
✂ version="6.0.5350.0" processorArchitecture="x86"
✂ publicKeyToken="31bf3856ad364e35" language="fr-FR" />
<source location="C:\LPs\fr-fr\lp.cab" />
</package>
<package action="install">
<assemblyIdentity name="Microsoft-Windows-LanguagePack-Package"
✂ version="6.0.5350.0" processorArchitecture="x86"
✂ publicKeyToken="31bf3856ad364e35" language="fr-FR" />
<source location="C:\LPs\fr-FR\lp.cab" />
</package>
</servicing>
<cpi:offlineImage cpi:source="wim:C:\images\puzzmaniainstall.wim#Windows
✂ Vista ULTIMATE" xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>
5. Utilisez ImageX pour monter l’image de Windows que vous souhaitez appliquer au
module linguistique. Dans une Invite de commandes, tapez imagex /mountrw
C:\images\moninstall.wim 1 C:\mount, où l’image de référence à modifier se
trouve dans le répertoire C:\images et s’appelle moninstall.wim et le répertoire de
montage s’appelle C:\mount. La première image de Windows dans le fichier
moninstall.wim est montée sur C:\mount.
6. Utilisez le Gestionnaire de packages pour appliquer le fichier de réponses de
l’installation sans assistance à l’image de Windows montée. Tapez : pkgmgr
/o:"C:\mount\;C:\mount\Windows" /n:"C:\langpack.xml".
7. Utilisez Intlcfg.exe pour recréer le fichier Lang.ini et sélectionner les valeurs
internationales par défaut. Lorsque vous ajoutez ou supprimez des modules
linguistiques dans une image de Windows, vous devez recréer le fichier Lang.ini. Le
fichier Lang.ini est utilisé pendant l’installation de Windows et contient une liste de
tous les modules linguistiques disponibles, les emplacements des modules
linguistiques et la langue par défaut à utiliser pendant l’installation de Windows.
Recréez le fichier Lang.ini avec la commande suivante : intlcfg −genlangini
−dist:C:\images −image:C:\mount –defaultlang:fr−FR –all:fr−FR.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Le module linguistique est installé dans l’image de Windows.
Le fichier Lang.ini est recréé et comprend une liste des modules linguistiques installés.
En outre, la langue par défaut à utiliser pendant le processus d’installation de Windows
et la langue par défaut de l’installation de Windows sont définies à fr−FR.
8. Vous pouvez afficher les langues qui sont disponibles ou qui sont installées dans
l’image de Windows avec l’option −report de la commande Intlcfg. Tapez :
intlcfg −report −dist:C:\images −image:C:\mount.
297
Chapitre 7
Le déploiement des ordinateurs Windows Vista en entreprise – phase 2
Vérifiez que la langue installée apparaît. Voici un retour de cette commande :
Reporting offline settings...
The installed languages are:
fr-FR:
Type: Fully localized language
Reporting distribution languages...
The other available languages in the distribution are:
No languages found
The default system UI language is 040C
System locale is 040c
The default timezone is Romance Standard Time
User locale for default user is fr-FR
The location is 84
The active keyboards are:
0409:00000409, 040c:0000040c
The default keyboard is 040c:0000040c
9. Procédez aux modifications et au démontage de l’image. Tapez : imagex /unmount
/commit C:\mount.
L’image de Windows est prête à être réinjectée dans votre processus de déploiement.
Si vous voulez modifier la langue utilisée pendant l’installation de Windows, vous devez
ajouter les ressources localisées de l’installation de Windows à la distribution de
Windows.
Les limitations du Gestionnaire de packages
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
Le Gestionnaire de packages possède tout de même un certain nombre de limitations
qu’il vous faut connaître afin de mesurer au mieux son champ d’action :
298
j
L’installation des packages sur un ordinateur distant à travers un réseau n’est pas
prise en charge. L’image de Windows doit être présente sur le système local. Le
Gestionnaire de packages peut prélever des packages sur un partage réseau, mais il
doit les copier sur un répertoire temporaire local, accessible en écriture, appelé
répertoire bac à sable (sandbox).
j
Le Gestionnaire de packages s’exécute à partir d’une Invite de commandes et
comporte une interface utilisateur très limitée.
j
Si vous spécifiez un fichier de réponses avec le Gestionnaire de packages, seuls les
paramètres spécifiés dans la passe de configuration OfflineServicing sont appliqués.
Tous les autres paramètres dans le fichier de réponses sont ignorés.
j
Le Gestionnaire de packages peut être utilisé avec des fichiers image de Windows
plus anciens (.wim), mais pas avec des images de Windows qui sont plus récentes que la
version installée du WAIK de Windows Vista avec lequel le Gestionnaire de packages est
distribué.
En résumé
j
Le Gestionnaire de packages peut installer uniquement des fichiers .cab. Les
composants de MSI doivent être installés en ligne à l’aide d’OCSetup.
j
N’utilisez pas le Gestionnaire de packages pour installer Windows PE. Le
Gestionnaire de packages peut servir à la maintenance dans Windows PE des
images appliquées hors connexion, mais les opérations de montage d’ImageX ne
sont pas prises en charge.
j
Les Service Packs doivent être installés en ligne avec l’utilitaire d’installation
Windows Update StandAlone.
7.5.
En résumé
Dans ces grandes lignes, le déploiement de Windows Vista n’a plus de secret pour vous.
Vous savez capturer et appliquer une image. Vous savez également que Windows Vista
met en œuvre un certain nombre d’outils qui permettent d’ajouter de la valeur, comme
Oobe.xml et la mise à jour à froid d’une image. Ces outils offrent une grande souplesse
dans la durée de vie de l’image dans le processus de déploiement. Utilisez-les.
7. Le déploiement des
ordinateurs Windows Vista
en entreprise – phase 2
299
Chapitre 8
Les services de
déploiement
Windows
8.1
8.2
8.3
8.4
8.5
8.6
8.7
8.8
8.9
8.10
8.11
8.12
Le fonctionnement des services de déploiement Windows . . . . . . .
Installer les services de déploiement Windows . . . . . . . . . . . . . .
Les modes de fonctionnement des services de déploiement Windows
Configurer les services de déploiement Windows . . . . . . . . . . . . .
Configurer DHCP pour les services de déploiement Windows . . . . .
Les images de démarrage . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Les images d’installation . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Les groupes d’images . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
La stratégie de noms de clients et l’emplacement de compte . . . . .
Le programme de démarrage par défaut . . . . . . . . . . . . . . . . . .
WDSUTIL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 303
. 305
. 309
. 310
. 312
. 315
. 319
. 320
. 326
. 332
. 333
. 347
Le fonctionnement des services de déploiement Windows
J
usqu’à présent Windows Server 2003 ne disposait que d’un seul moyen de
déploiement nommé RIS (Remote Installation Services, "services d’installation à
distance"). Cet ensemble de services répondait aux besoins des entreprises, jusqu’à
l’arrivée de Windows Vista qui bouleverse les méthodes de déploiement chez Microsoft.
Pour répondre à ces changements, Windows Server 2003 SP2 inclut une version
profondément remaniée de RIS désormais nommée "services de déploiement Windows"
ou WDS, qui aide les entreprises à préparer l’arrivée de Windows Vista et de Windows
Server 2008. WDS assure le stockage, l’administration et le déploiement des images qui
utilisent le nouveau format WIM (Windows Imaging).
Les services de déploiement Windows améliorent RIS sur plusieurs points :
j
la prise en charge native de Windows PE comme système d’exploitation
d’amorçage ;
j
la prise en charge native du format de fichier WIM (Windows Imaging) ;
j
le composant serveur PXE extensible et plus performant ;
j
le nouveau menu d’amorçage client pour choisir le système d’exploitation.
Les services de déploiement Windows réduisent le coût total de possession et la
complexité des déploiements en apportant une solution de bout en bout pour déployer
des systèmes d’exploitation Windows sur des ordinateurs sans systèmes d’exploitation.
WDS prend en charge des environnements mixtes incluant Windows XP et Windows
Server 2003.
Services de déploiement Windows
Les services de déploiement Windows sont livrés dans les services Pack 2 de Windows
Server 2003. Cependant, les entreprises qui souhaitent utiliser ces services avant de
déployer les services Pack les trouveront en téléchargement et peuvent les installer si
les prérequis sont respectés.
Le fonctionnement des services de déploiement
Windows
8. Les services de
déploiement Windows
8.1.
Même si, dans l’ensemble, les démos ou les documents Microsoft montre l’exécution des
services de déploiement Windows sur des serveurs Longhorn, il n’en reste pas moins que
le composant peut être installé à partir des versions de serveurs Windows Server 2003
Service Pack 1. Il doit également fonctionner dans un environnement Active Directory,
ou un serveur DHCP doit être présent avec des adresses disponibles ainsi que DNS.
WDS (Windows Deployment Services) prend en charge nativement le format WIM et
Win PE en version optimisée et en version personnalisée. Le composant PXE devient
plus performant et plus facile à administrer grâce à un ensemble de commandes.
303
Chapitre 8
Les services de déploiement Windows
8. Les services de
déploiement Windows
Globalement, WDS ressemble à RIS, puisque le premier prérequis pour installer WDS
consiste à installer le service RIS. Sachez qu’avec les services de déploiement Windows,
vous avez différents modes d’utilisation. On peut imaginer en effet que certaines
entreprises possèdent déjà un environnement RIS avec des images. Si vous installez les
services de déploiement Windows sur votre serveur RIS, les services de déploiement
Windows vont pouvoir fonctionner en mode mixte et vous pourrez réutiliser vos images
après les avoir converties. Cela signifie qu’il existe un chemin de migration entre les
serveurs RIS actuels et les services de déploiement Windows. Libre à vous de repartir de
zéro sur un serveur de services de déploiement Windows "propre" ou de réaliser une
mise à niveau de votre serveur RIS.
Figure 8.1 : Fonctionnement de Windows Deployment Services en six étapes
Le fonctionnement des services de déploiement Windows se déroule en six étapes :
304
j
Le poste démarre et demande une adresse DHCP.
j
Le serveur DHCP alloue une adresse.
j
Le client contacte le serveur de services de déploiement Windows.
j
Les services de déploiement Windows vérifient si le poste existe dans l’Active
Directory.
Installer les services de déploiement Windows
j
Les services de déploiement Windows répondent ou transfèrent la demande au
service de déploiement Windows le plus proche.
j
L’image est installée sur le poste.
8.2.
Installer les services de déploiement Windows
L’installation des services de déploiement Windows est cependant très simple puisqu’il
ne s’agit en fait que d’installer un service.
Pour cela, vous devez aller dans le sous-répertoire WDS du répertoire WAIK.
Installation des services de déploiement Windows
Deux cas de figure sont possibles : l’installation des services de déploiement à partir
d’un fichier téléchargé et l’installation à partir de l’ajout d’un composant du Services
Pack 2 de Windows Server 2003.
Nous avons souhaité montrer l’installation à partir d’un fichier téléchargé. Cela
permet de présenter les prérequis, mais aussi d’accompagner les entreprises encore en
Services Pack 1 de Windows 2003 Server.
Figure 8.2 : Chemin de l’exécutable du service WDS
8. Les services de
déploiement Windows
Prérequis
Avant de commencer l’installation des services de déploiement Windows, vous devez
ajouter le service RIS. Pour cela, rendez-vous dans le menu Démarrer. Dans le
Panneau de configuration, sélectionnez Ajout et suppression de programme, puis
Ajout et suppression de composants Windows. Cochez la case Service d’installation à
distance.
305
Chapitre 8
Les services de déploiement Windows
Figure 8.3 : Ajout du service RIS comme prérequis d’installation des services de
déploiement Windows
Pour réaliser l’installation, procédez ainsi :
1. Placez-vous dans le répertoire WAIK\WDS pour lancer l’installation du service.
Cliquez sur windows-deployment-services-update-x86.exe si votre serveur est une
machine X86 ou sur windows-deployment-services-update-amd64.exe si votre serveur
est une machine à base de processeurs 64 bits d’AMD.
2. Dans la fenêtre d’accueil Mises à jour des services de déploiement Windows pour
Windows Server 2003, cliquez sur Suivant pour démarrer l’installation.
3. Acceptez les termes de licence en cliquant sur J’accepte. Cliquez sur Suivant pour
passer à l’étape suivante.
8. Les services de
déploiement Windows
4. À la fin de l’installation, si vous ne souhaitez pas redémarrer votre serveur, cochez
la case Ne pas redémarrer, puis cliquez sur Terminer. Sinon, cliquez uniquement sur
Terminer. Votre serveur rebootera en fin d’installation.
Pour installer les services de déploiement Windows à partir d’une Invite de commandes,
procédez ainsi :
1. Ouvrez une fenêtre d’Invite de commandes en tant qu’administrateur et placez-vous
sur le dossier contenant l’installation du service.
2. Dans
la
fenêtre
d’Invite
tapez WINDOWS−DEPLOYMENT
pour l’architecture de
l’ordinateur et l’architecture du système d’exploitation.
−SERVICES−UPDATE−X86
306
de
/quiet
commandes,
/forcerestart
Installer les services de déploiement Windows
Figure 8.4 : Installation des services de déploiement Windows en ligne de commandes en
mode silencieux avec un redémarrage forcé
Une fois l’installation terminée, le serveur redémarre. Cependant, il faut vérifier que les
services sont bien installés. Pour cela, vous pouvez aller dans les outils d’administration
et vérifier la présence du service Héritage de service de déploiement Windows et des
services de déploiement Windows.
8. Les services de
déploiement Windows
Figure 8.5 : Vérification des services de déploiement dans le menu Outils d’administration
307
Chapitre 8
Les services de déploiement Windows
Vous pouvez également utiliser des options pour modifier le comportement de
l’installation. Voici la liste d’option d’installation des services de déploiement Windows.
Tableau 8.1 : Options d’installation des services de déploiement Windows
Option
Explication
/help
Vous pouvez l’utiliser dans la ligne de commandes pour répertorier
ces options.
/quiet
Vous pouvez l’utiliser lorsque vous ne voulez aucune interaction
utilisateur, ni affichage d’informations durant l’installation.
/passive
Vous pouvez l’utiliser lorsque vous ne voulez aucune interaction
utilisateur, mais que vous voulez voir une barre d’état pour contrôler
la progression de l’installation.
/norestart
Vous pouvez l’utiliser pour supprimer le redémarrage après
l’installation.
/forcerestart
Vous pouvez l’utiliser pour vous assurer du redémarrage après
l’installation.
/warnrestart[:<secondes>]
Vous pouvez l’utiliser lorsque vous voulez être averti avant le
redémarrage de l’ordinateur, après l’installation. La valeur par défaut,
si aucun argument n’est fourni, consiste à vous prévenir
20 secondes avant le redémarrage.
/promptrestart
Vous pouvez l’utiliser lorsque vous voulez qu’un message vous
demande si un redémarrage est requis.
/overwriteoem
Vous pouvez l’utiliser si vous voulez remplacer des répertoires OEM
existants et supprimer les fichiers existants dans les répertoires.
/nobackup
Vous pouvez l’utiliser si vous ne voulez pas sauvegarder les fichiers
nécessaires à la désinstallation des services de déploiement
Windows.
/forceappsclose
Vous pouvez l’utiliser lorsque vous voulez fermer les autres
applications susceptibles d’empêcher l’ordinateur de redémarrer.
8. Les services de
déploiement Windows
/integrate:<chemin_complet> Vous pouvez l’utiliser pour installer les mises à jour logicielles avec
les services de déploiement Windows.
/log:<chemin_complet>
308
Vous pouvez l’utiliser pour créer un fichier journal dans le chemin
indiqué.
Les modes de fonctionnement des services de déploiement Windows
8.3.
Les modes de fonctionnement des services de
déploiement Windows
Puisque les services de déploiement Windows se doivent d’assurer la transition et la
convergence des différents formats d’image, ils prennent en charge trois modes de
fonctionnement : hérité, mixte et natif.
Le mode hérité
Le mode hérité des services de déploiement Windows fonctionne de manière similaire
aux services d’installation à distance (RIS). Dans ce mode, seul OSChooser est présent
comme système d’exploitation de démarrage et seules les images RISETUP et RIPREP
sont prises en charge. Les nouveaux outils de gestion des services de déploiement
Windows ne sont pas utilisés ; les utilitaires RIS hérités sont les seuls à autoriser la
gestion du serveur. Vous pouvez utiliser le mode hérité des services de déploiement
Windows en installant la mise à jour des services de déploiement Windows, mais sans la
configurer, par le biais de l’assistant d’installation ou à l’aide de WDSUTIL à partir
d’une Invite de commandes. Le mode hérité n’est pas pris en charge par Windows
Server 2003.
Le mode mixte
8. Les services de
déploiement Windows
Le mode mixte des services de déploiement Windows décrit un état du serveur prenant
en charge les services RIS hérités et la nouvelle fonctionnalité des services de
déploiement Windows. En mode mixte, le menu OSChooser est disponible en même
temps que les images de démarrage Win PE. Dans ce mode, il sera possible d’accéder
aux anciens types d’images RISETUP et RIPREP par le biais d’OSChooser et les
nouvelles images de format WIM seront disponibles en utilisant une image de
démarrage Win PE (image de démarrage Windows Vista PE avec le client Services de
déploiement Windows). Du point de vue du client, un menu de démarrage permettra
d’effectuer des sélections dans RIS ou dans Windows Server Longhorn Win PE. D’un
point de vue gestion, un administrateur utilisera les outils de gestion hérités pour
administrer les images RISETUP et RIPREP et il utilisera les outils WDS pour
administrer le serveur et les images WIM. Le mode mixte des services de déploiement
Windows n’est disponible que dans Windows Server 2003. Vous l’obtenez en installant
la mise à jour des services de déploiement Windows sur un serveur RIS configuré
précédemment et en configurant WDS à l’aide de l’assistant d’installation ou de
l’utilitaire WDSUTIL à partir d’une Invite de commandes.
Le mode natif
Le mode natif des services de déploiement Windows s’applique à un serveur WDS avec
des images de démarrage Win PE uniquement. Dans ce mode, OSChooser n’est pas
disponible et les images WIM sont le seul type d’images pris en charge pour le
309
Chapitre 8
Les services de déploiement Windows
déploiement vers les clients. La gestion du serveur s’effectue entièrement à partir des
nouveaux utilitaires de gestion des services de déploiement Windows. Le mode natif des
services de déploiement Windows est disponible sous Windows Server 2003, et
Windows Server Longhorn Il est le seul mode des services de déploiement Windows pris
en charge sous Windows Server Longhorn. Pour utiliser le mode natif sur un serveur
Windows Server 2003, installez, mais ne configurez pas RIS, puis installez et configurez
les services de déploiement Windows. Vous pouvez également forcer votre serveur à
passer en mode natif en exécutant WDSUtil /set−server /ForceNative.
8.4.
Configurer les services de déploiement Windows
Une fois installés, les services de déploiement Windows ne sont pas pour autant
fonctionnels. Il est nécessaire de les configurer.
Pour configurer les services de déploiement Windows à partir de l’assistant, procédez
ainsi :
8. Les services de
déploiement Windows
1. Pour ouvrir le composant logiciel enfichable Services de déploiement Windows,
activez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
Figure 8.6 : Lancement des services de déploiement Windows
310
Configurer les services de déploiement Windows
2. Dans le volet gauche du composant logiciel enfichable Services de déploiement
Windows, cliquez avec le bouton droit de la souris sur le serveur, puis cliquez sur
Configurer le serveur.
3. Dans la page d’accueil de l’Assistant Installation de Services de déploiement
Windows, assurez-vous que votre environnement répond aux conditions énoncées,
puis cliquez sur Suivant.
4. Entrez un chemin pour le dossier d’installation distante et cliquez sur Suivant.
5. Si vous choisissez d’installer les services de déploiement Windows sur le lecteur
système, un message d’avertissement s’affiche. Cliquez sur Oui pour continuer
l’installation, ou sur Non pour sélectionner un nouvel emplacement d’installation.
Figure 8.7 : Avertissement d’installation sur le volume système
Figure 8.8 :
Installation d’un autre
chemin d’accès que la
partition système
8. Les services de
déploiement Windows
6. Dans la fenêtre Emplacement du dossier d’installation à distance, saisissez le
chemin d’accès, par exemple D:\RemoteInstall (voir fig. 8.9).
7. Dans la page de fin de l’Assistant Configuration des services de déploiement
Windows, vous pouvez ajouter des images au serveur ou désélectionner la case à
cocher Ajouter les images au serveur de déploiement Windows maintenant si vous
souhaitez ajouter des images ultérieurement. Cliquez sur Terminer.
311
Chapitre 8
Les services de déploiement Windows
Figure 8.9 :
Paramètres initiaux du
serveur
Configuration des services de déploiement Windows
Même si vous avez déjà configuré les services de déploiement Windows à partir de
l’assistant d’installation, il est toujours possible de les configurer et de modifier la
configuration à partir de la console d’administration. Pour cela, cliquez du bouton
droit de la souris sur le nom de votre serveur, puis sélectionnez PXE Server Setting.
8. Les services de
déploiement Windows
Une fois la console lancée, vous pouvez voir vos services de déploiement Windows dans
votre domaine Active Directory. En dessous du serveur se trouvent quatre icônes.
j
Images d’installation : vous y trouvez toutes les images parsées.
j
Images de démarrage : ici se trouve tout ce qui peut être bootable, Boot.wim (le
Win PE optimisé pour l’installation de Windows Vista) ainsi que vos Win PE
personnalisés.
j
Images héritées : c’est la partie où sont stockées toutes les anciennes images RIS
réalisées à partir de Risetup.
j
Périphériques en attente : liste l’ensemble des machines autorisées ou non à se
connecter au serveur WDS.
8.5.
Configurer DHCP pour les services de
déploiement Windows
Nous avons vu en introduction que les services de déploiement Windows ont comme
prérequis Active Directory et un serveur DHCP actif sur le réseau. Ils se basent sur
l’environnement PXE, qui à son tour utilise DHCP. Dans le cas où l’entreprise
312
Configurer DHCP pour les services de déploiement Windows
n’utiliserait qu’un seul serveur de déploiement, Il est nécessaire de modifier la
configuration DHCP si les services de déploiement Windows et DHCP sont installés sur
un seul serveur.
L’option DHCP 60
Si votre serveur DHCP est installé sur le même serveur que les services de déploiement
Windows, l’assistant Installation des services de déploiement Windows ajoute la
balise 60 de l’option DHCP, avec le paramètre de client PXE sélectionné, à toutes les
étendues DHCP en tant qu’option DHCP globale. C’est nécessaire pour qu’un client
PXE de démarrage reçoive une notification de la présence d’un serveur PXE en écoute
sur le réseau.
Si vous ajoutez le service DHCP à un serveur ou les services de déploiement Windows
sont existants, vous devez reconfigurer manuellement l’option DHCP 60. Vous disposez
pour cela de deux possibilités :
j
la configuration à l’aide de la console d’administration Services de déploiement
Windows ;
j
la configuration à l’aide de l’utilitaire WDSUTIL.
Pour configurer l’option DHCP 60 à partir de la console Services de déploiement
Windows, procédez ainsi :
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur le
lien Serveurs pour développer la liste correspondante.
3. Cliquez avec le bouton droit de la souris sur le serveur, puis cliquez sur Propriétés.
8. Les services de
déploiement Windows
Figure 8.10 : Propriété du serveur de déploiement
313
Chapitre 8
Les services de déploiement Windows
4. Dans la page Propriétés du serveur, cliquez sur l’onglet DHCP.
5. Dans la page Options DHCP, cliquez sur Configurer l’option DHCP 60 avec la
valeur « PXEClient ».
Figure 8.11 :
Configuration de
l’option DHCP 60 dans
le serveur de déploiement
Droits utilisateur
Pour exécuter cette procédure, vous devez être membre du groupe Opérateurs de
compte ou du groupe Administrateurs du domaine, ou avoir reçu par délégation les
autorisations nécessaires.
8. Les services de
déploiement Windows
Le port 67
Si le service DHCP est installé sur le même serveur que les services de déploiement
Windows, l’assistant de configuration des services de déploiement Windows configurera
WDS en sélectionnant l’option Ne pas écouter sur le port 67. C’est nécessaire pour que les
clients de démarrage puissent détecter le serveur DHCP sur le réseau.
Si vous ajoutez le service DHCP à un serveur de services de déploiement Windows
existant, vous devez reconfigurer le port 67, ce qui est possible à l’aide de l’une des deux
procédures suivantes :
314
j
la configuration de l’option Port 67 à l’aide de la console d’administration Services
de déploiement Windows ;
j
la configuration de l’option Port 67 à l’aide de l’utilitaire WDSUTIL.
Les images de démarrage
Pour configurer le port 67 à l’aide de la console d’administration Services de
déploiement Windows, procédez ainsi :
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur le
lien Serveurs pour développer la liste correspondante.
3. Cliquez avec le bouton droit de la souris sur le serveur, puis cliquez sur Propriétés.
4. Dans la page Propriétés du serveur, cliquez sur l’onglet DHCP.
5. Dans la page Options DHCP, cliquez sur Ne pas écouter sur le port 67.
Figure 8.12 :
Configuration du port 67
8.6.
8. Les services de
déploiement Windows
Droits utilisateur
Pour exécuter cette procédure, vous devez être membre du groupe Opérateurs de
compte ou du groupe Administrateurs du domaine, ou avoir reçu par délégation les
autorisations nécessaires.
Les images de démarrage
Les images de démarrage sont des images Win PE contenant le client Services de
déploiement Windows. Elles sont utilisées pour présenter un menu de démarrage initial
lorsqu’un client contacte le serveur de services de déploiement Windows.
315
Chapitre 8
j
j
Les services de déploiement Windows
Les images d’installation représentent le type d’image par défaut lorsque vous
exportez une image de démarrage à partir du magasin d’images des services de
déploiement Windows. Lorsqu’un client démarre une image d’installation, le
programme d’installation de Windows est immédiatement appelé.
Les images de capture offrent une alternative à l’utilitaire de ligne de commande
ImageX lors de la capture d’une image préparée avec l’utilitaire Sysprep. Lorsqu’un
client démarre sur une image de capture, l’utilitaire de capture des services de
déploiement Windows est appelé et vous guide pour la capture et l’ajout d’une
nouvelle image.
j
Les images de découverte sont des images de démarrage qui prennent en compte les
services de déploiement Windows, pouvant être copiées sur un CD pour être utilisé
lorsque les services de démarrage de l’environnement d’exécution de prédémarrage
(PXE) sont indisponibles. Après le démarrage sur une image de découverte,
l’utilisateur voit s’afficher le menu client des services de déploiement Windows et
continue le programme d’installation comme lorsqu’un démarrage PXE se produit.
Ajouter une image de démarrage
Pour ajouter une image de démarrage à l’aide de la console d’administration Services de
déploiement Windows, procédez ainsi :
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur le
lien Serveurs pour développer la liste correspondante.
8. Les services de
déploiement Windows
3. Cliquez avec le bouton droit de la souris sur le dossier Images de démarrage et
cliquez sur Ajouter une image de démarrage.
Figure 8.13 : Ajout d’une image de démarrage
316
Les images de démarrage
4. Dans la fenêtre Fichier Image, cliquez sur Parcourir pour sélectionner l’image à
ajouter, puis cliquez sur Suivant.
Figure 8.14 :
Emplacement du fichier
d’image bootable
5. Dans la fenêtre Métadonnées d’image, entrez le nom de l’image et sa description,
puis cliquez sur Suivant.
6. Cliquez sur Suivant dans la fenêtre Résumé.
7. Une fois la progression de la copie achevée, cliquez sur Terminer.
8. Les services de
déploiement Windows
Figure 8.15 : Fin de la copie d’installation
317
Chapitre 8
Les services de déploiement Windows
Exporter une image de démarrage
Pour exporter une image de démarrage à l’aide de la console d’administration des
services de déploiement Windows, procédez ainsi :
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur le
lien Serveurs pour développer la liste correspondante.
3. Sélectionnez le dossier Images de démarrage.
4. Cliquez avec le bouton droit de la souris sur une image, puis cliquez sur Exporter
l’image.
Figure 8.16 : Export d’une image
8. Les services de
déploiement Windows
5. Dans la fenêtre Exporter en tant que, sélectionnez le chemin et tapez un nom de
fichier pour l’image. Cliquez sur Enregistrer.
Figure 8.17 : Nom et destination de l’image exportée
318
Les images d’installation
Supprimer une image de démarrage
Pour supprimer une image de démarrage à l’aide de la console d’administration Services
de déploiement Windows, procédez ainsi :
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur le
lien Serveurs pour développer la liste correspondante.
3. Sélectionnez l’entrée Images de démarrage.
4. Dans le volet droit de la console d’administration, cliquez avec le bouton droit de la
souris sur l’image et cliquez sur Supprimer l’image.
Figure 8.18 : Suppression d’une image de démarrage
5. Dans la boîte de dialogue de confirmation, cliquez sur Oui pour supprimer l’image.
8.7.
Les images d’installation
8. Les services de
déploiement Windows
Les images d’installation sont des images du système d’exploitation qui sera installé sur
les ordinateurs clients, qui démarrent sur un serveur des services de déploiement
Windows.
j
Format WIM : les fichiers WIM représentent un nouveau format de fichier
contenant une ou plusieurs images Windows compressées. Les fichiers WIM
reposent sur des fichiers, plutôt que sur des secteurs, ce qui facilite la mise à jour des
images existantes. Les fichiers WIM intègrent également la technologie SIS (Single
Instance Storage), pour éviter les doublons de fichiers au sein d’un WIM.
j
Images RIPREP : les images RIPREP sont des images des services d’installation à
distance héritées. Les services de déploiement Windows, en mode hérité ou mixte,
319
Chapitre 8
Les services de déploiement Windows
peuvent déployer des images RIPREP. Les images RIPREP dépendent de la
couche HAL et de la langue, ce qui rend leur prise en charge très coûteuse.
j
8.8.
Images RISETUP : les images RISETUP représentent le premier type d’image des
services d’installation à distance. Pour l’essentiel, il s’agit d’une copie de la structure
de répertoires du CD (répertoire i386) sur un partage de fichiers sur le serveur des
services d’installation à distance. Les images RISETUP présentent un avantage
considérable par rapport aux images RIPREP des services d’installation à distance :
elles ne dépendent pas de la couche HAL.
Les groupes d’images
8. Les services de
déploiement Windows
Un groupe d’images est un ensemble de fichiers image WIM qui partage une sécurité et
des ressources de fichiers communes. Les groupes d’images limitent les services car
l’action de maintenir une image au sein d’un groupe d’images, par exemple l’application
d’un correctif logiciel, d’un Service Pack ou la mise à jour de fichiers, nécessite un accès
exclusif au groupe. Les ressources de fichiers sont partagées sur le groupe d’images à
instance unique bien que les métadonnées de chaque image résident dans un fichier
WIM physique à part. Les groupes d’images contiennent deux types de fichiers :
j
Res.rwm contient les flux de fichiers des images, comme il est défini dans Install.wim,
Install2.wim et WinXP.wim. Notez que chaque groupe d’images possède son propre
fichier Res.rwm.
j
Install.wim contient les métadonnées d’image décrivant le contenu d’une image de
système d’exploitation. Les ressources de fichiers réelles de l’image se trouvent dans
Res.rwm.
Figure 8.19 : Fichiers Res.rwm et Install.wim du groupe d’images Windows Vista x64
Chaque groupe d’images possède un fichier Res.rwm créé lors de l’ajout de la première
image au groupe. Res.rwm est connu comme étant un fichier WIM réservé aux
ressources uniquement ; toutes les ressources de tous les fichiers résident dans Res.rwm.
Le fichier .rwm est un fichier .wim renommé de manière à établir une distinction entre
le fichier .wim réservé aux ressources et le fichier .wims de métadonnées et à accélérer
320
Les groupes d’images
l’énumération des images. Dans la mesure où l’énumération d’images ne fonctionne que
sur les fichiers .wim, le fichier Res.rwm sera ignoré.
Les données d’un fichier WIM sont à instance unique, les fichiers dupliqués ne sont
donc stockés qu’une seule fois, ce qui réduit fortement le volume de stockage des images
d’un groupe d’images sur le disque.
Créer des groupes d’images
Pour créer un groupe d’images à l’aide de la console d’administration des services de
déploiement Windows, procédez ainsi :
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur
Serveurs pour développer la liste correspondante.
3. Sélectionnez le dossier Images d’installation, cliquez avec le bouton droit de la
souris, puis sélectionnez Ajouter un groupe d’images.
8. Les services de
déploiement Windows
Figure 8.20 : Création d’un nouveau groupe d’images
4. dans le champ Entrez un nom pour le groupe d’images de la fenêtre Ajouter un groupe
d’images, saisissez Windows Vista x64, puis cliquez sur OK.
321
Chapitre 8
Les services de déploiement Windows
Figure 8.21 : Saisie du nom du nouveau groupe d’images
Ajouter une image d’installation
Pour ajouter une image d’installation à l’aide de la console d’administration des services
de déploiement Windows, procédez ainsi :
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur
Serveurs pour développer la liste.
8. Les services de
déploiement Windows
3. Sélectionnez le dossier Images d’installation, cliquez avec le bouton droit de la souris
sur le groupe d’images dans lequel vous souhaitez ajouter l’image, par exemple
Windows Vista x64 dans notre étude de cas, et cliquez sur Ajouter une image
d’installation.
Figure 8.22 : Sélection du groupe dans lequel vous allez ajouter votre image
322
Les groupes d’images
4. Dans la fenêtre Fichier image, cliquez sur Parcourir pour sélectionner l’image à
ajouter, puis cliquez sur Suivant.
Figure 8.23 : Nom et chemin de l’image à ajouter dans le magasin du groupe d’images
Windows x64
5. Dans la fenêtre Liste des images disponibles, sélectionnez les images, activez
l’option Utilisez le nom par défaut et la description pour chaque image sélectionnée et
cliquez sur Suivant.
6. Dans la fenêtre Résumé, cliquez sur Suivant, puis sur Terminer.
Supprimer une image d’installation
Pour supprimer une image d’installation à l’aide de la console d’administration des
services de déploiement Windows, procédez ainsi :
8. Les services de
déploiement Windows
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur
Serveurs pour développer la liste.
3. Sélectionnez Images d’installation.
4. Sélectionnez le groupe d’images contenant l’image, par exemple Windows Vista x64.
323
Chapitre 8
Les services de déploiement Windows
Figure 8.24 : Sélection du groupe qui possède l’image à supprimer
5. Dans le volet droit, cliquez avec le bouton droit de la souris sur l’image et cliquez sur
Supprimer l’image.
8. Les services de
déploiement Windows
Figure 8.25 : Suppression de l’image
6. Dans la boîte de dialogue, confirmez la suppression de l’image, cliquez sur Oui pour
supprimer l’image.
Figure 8.26 :
Confirmation de la suppression de l’image
324
Les groupes d’images
Exporter une image d’installation
Pour exporter une image d’installation à l’aide de la console d’administration des
services de déploiement Windows, procédez ainsi :
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur
Serveurs pour développer la liste.
3. Cliquez sur le serveur, puis sur le dossier Images d’installation.
4. Sélectionnez le groupe d’images, puis cliquez avec le bouton droit de la souris sur
une image et sélectionnez Exporter l’image.
Figure 8.27 : Export d’une image d’installation
5. Dans la fenêtre Exporter en tant que, choisissez le chemin et le nom donné au
fichier, puis cliquez sur Enregistrer.
8. Les services de
déploiement Windows
Figure 8.28 : Export de l’image
325
Chapitre 8
8.9.
Les services de déploiement Windows
La stratégie de noms de clients et l’emplacement
de compte
Vous pouvez utiliser la page Propriétés des services d’annuaire du serveur de
déploiement pour définir la stratégie de noms de clients par défaut et l’emplacement du
compte client. Les services de déploiement Windows offrent quatre méthodes pour
nommer un ordinateur et le placer dans une unité d’organisation :
j
L’administrateur spécifie le nom de l’ordinateur et l’unité d’organisation.
j
Le serveur spécifie le nom de l’ordinateur et l’unité d’organisation.
j
Le client effectue toutes les actions d’ajout à un domaine lors du premier
démarrage.
j
Un administrateur crée une interface utilisateur personnalisée.
L’administrateur spécifie le nom de l’ordinateur et l’unité
d’organisation
8. Les services de
déploiement Windows
Vous pouvez spécifier le nom de l’ordinateur et l’unité d’organisation à rejoindre
ordinateur par ordinateur. Ce scénario vous demande d’activer la stratégie d’ajout
automatique des périphériques en attente, puis d’utiliser la console d’administration des
services de déploiement Windows pour spécifier le nom de l’ordinateur et l’unité
d’organisation une fois l’ordinateur approuvé. Les paramètres sont utilisés de deux
manières…
j
Dans le cadre du processus d’approbation des périphériques en attente : il s’agit de
paramètres par serveur ou par architecture qui s’applique à tous les périphériques
approuvés. L’administrateur peut les ignorer sur ordinateur par ordinateur lors de
l’approbation.
j
Pour les scénarios d’ajout à un domaine impliquant le client WDS : par défaut,
toutes les installations effectuées à l’aide du client Services de déploiement
Windows entraînent l’ajout de l’ordinateur au domaine à la fin du processus. Si
l’installation a lieu sur un client prédéfini (créé manuellement ou via Périphériques
en attente), le client est ajouté en tant que périphérique existant. Si l’installation est
effectuée sur un nouvel ordinateur, le client Services de déploiement Windows crée
un compte d’ordinateur dans Active Directory en fonction de ces paramètres de
stratégie. Le client sera alors joint en tant que nouveau compte.
Spécifier la stratégie de noms de clients et l’unité
d’organisation lors de l’approbation
Pour spécifier la stratégie de noms de clients et l’unité organisationnelle lors de
l’approbation, procédez de la façon suivante :
326
La stratégie de noms de clients et l’emplacement de compte
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Dans le volet gauche de la console Services de déploiement Windows, cliquez sur
Serveurs pour développer la liste.
3. Cliquez avec le bouton droit de la souris sur le serveur, puis cliquez sur Propriétés.
4. Sélectionnez l’onglet Paramètres de réponse PXE.
Figure 8.29 :
Onglet Paramètres de
réponse PXE du serveur
de déploiement
5. Cliquez sur Répondre à tous les ordinateurs clients (connus et inconnus).
6. Cliquez sur Pour les clients inconnus, informer l’administrateur et répondre après
accord.
7. Effectuez un démarrage PXE de l’ordinateur client.
8. Les services de
déploiement Windows
Sur l’ordinateur client, un message s’affiche et indique l’ID de demande et l’adresse IP
du serveur qui a été contacté lors du démarrage de l’ordinateur client.
8. Dans le composant logiciel enfichable Services de déploiement Windows,
sélectionnez le serveur que le client a contacté pour afficher le nouveau client sous
la rubrique Périphériques en attente.
327
Chapitre 8
Les services de déploiement Windows
Figure 8.30 : Client en attente dans le serveur dans la file d’attente du serveur de
déploiement
9. Cliquez avec le bouton droit de la souris sur le périphérique, puis cliquez sur
Approuver.
Figure 8.31 : Approbation du client en attente
10. Tapez un nom d’ordinateur et une unité d’organisation.
11. Cliquez sur OK.
12. Sur l’ordinateur client, choisissez une image dans le menu et appuyez sur [Ä].
Le serveur spécifie le nom de l’ordinateur et l’unité
d’organisation
8. Les services de
déploiement Windows
Vous pouvez définir le nom de l’ordinateur et l’unité d’organisation serveur par serveur,
puis tous les clients créés à partir d’un serveur déterminé seront constitués avec une
stratégie de noms d’ordinateur cohérente et dans le même domaine. Ces paramètres
sont définis sous les onglets Propriétés du serveur et les valeurs sont utilisées lorsque le
client Services de déploiement Windows démarre la première phase de l’installation.
Pour spécifier la stratégie de noms de clients et l’unité d’organisation par serveur,
procédez ainsi :
1. Sélectionnez le menu Démarrer/Outils d’administration/Services de déploiement
Windows.
2. Cliquez avec le bouton droit de la souris sur le serveur, puis cliquez sur Propriétés.
3. Cliquez sur l’onglet Paramètres de réponse PXE.
328
La stratégie de noms de clients et l’emplacement de compte
4. Dans la partie Stratégie de réponse PXE, cliquez sur Répondre à tous les ordinateurs
clients (connus et inconnus).
Figure 8.32 :
Paramètres de réponse
PXE
5. Cliquez sur l’onglet Services d’annuaire.
6. Définissez la stratégie de nom de clients.
Stratégie de nom client
La stratégie de nom de clients par défaut est définie par le nom d’utilisateur suivi de
deux chiffres aléatoires. Vous pouvez utiliser les chiffres 1 à 9 pour modifier le nombre
de chiffres après le nom d’utilisateur.
8. Les services de
déploiement Windows
7. Sous l’onglet Emplacement du compte client, choisissez l’unité d’organisation par
défaut (même domaine que le serveur des services de déploiement Windows) ou
définissez une unité d’organisation pour le serveur.
8. Effectuez un démarrage PXE d’un ordinateur client pour le créer à l’aide de la
stratégie de nom de clients et de l’unité d’organisation spécifiées.
Définir la stratégie de noms d’ordinateurs
1. Pour vérifier que chaque ordinateur client est doté d’un nom d’ordinateur unique,
sélectionnez une option automatique d’attribution de noms sur la liste appropriée.
329
Chapitre 8
Les services de déploiement Windows
Toutes les options automatiques d’attribution de nom basées sur le nom de
l’utilisateur ajoutent un numéro incrémentiel au nom de l’utilisateur pour qu’il soit
unique.
2. Sélectionnez une option dans le tableau suivant pour créer automatiquement le
nom d’ordinateur personnalisé.
Tableau 8.2 : Définir une stratégie de noms d’ordinateurs
Variable
Résultat
%First
Le prénom de l’utilisateur est utilisé en tant que nom de l’ordinateur.
%Last
Le nom de l’utilisateur est utilisé en tant que nom de l’ordinateur.
%Username
Le nom d’utilisateur est utilisé en tant que nom de l’ordinateur.
%MAC
L’adresse de contrôle d’accès au média de la carte réseau est utilisée en
tant que nom de l’ordinateur.
%[0][n]#
Le nom d’ordinateur contient un numéro incrémentiel comprenant
n chiffres. Pour entrer un caractère de remplissage (0) dans le numéro
incrémentiel, tapez un zéro, comme indiqué. Par exemple, si vous
choisissez %03#, entrez un nombre à trois chiffres compris entre 001 et
999.
Bonne pratique
Évitez de créer une convention de nom qui pourrait générer des noms d’ordinateurs
dupliqués. Pour l’éviter, utilisez l’option de numéro incrémentiel décrite dans le
tableau précédent.
8. Les services de
déploiement Windows
Lorsque vous définissez la règle d’attribution de noms de votre ordinateur, vous pouvez
limiter la longueur du nom de l’ordinateur en ajoutant une valeur numérique à la chaîne
de texte. Par exemple, pour réduire à trois caractères le nom d’ordinateur, avec un
numéro incrémentiel à deux chiffres ajoutés au nom de famille du dernier utilisateur,
utilisez la chaîne %3Last%02#. Le nom d’ordinateur attribué au cinquième utilisateur de
l’ordinateur dont le nom de famille est Paul, sera donc Paul05.
Vous pouvez utiliser séparément ou combiner les options d’attribution de noms
personnalisées. Par exemple, si vous voulez que le nom d’ordinateur contienne les trois
premières lettres du prénom de l’utilisateur, puis les trois premières lettres du nom de
famille de l’utilisateur, suivi d’un nombre incrémentiel à trois chiffres, vous pouvez
utiliser la chaîne %3First%3Last%03#.
330
La stratégie de noms de clients et l’emplacement de compte
Effectuer toutes les actions d’ajout à un domaine lors du
premier démarrage
Les informations d’ajout à un domaine, y compris le nom d’ordinateur, le domaine et les
informations d’identification des utilisateurs, sont ajoutées par le client Services de
déploiement Windows dans le fichier d’installation sans assistance d’image utilisé lors
de l’installation du client. Si un fichier d’installation sans assistance existant est associé
à l’image que le client installe, ce fichier est mis à jour. Si l’image que le client installe
n’est pas associée à un fichier d’installation sans assistance, un fichier d’installation sans
assistance "modèle" est utilisé. Le modèle d’installation sans assistance des images de
bas niveau se trouve dans le répertoire \Templates du partage REMINST. Le modèle
d’installation sans assistance pour les images Windows Vista et Windows Server
Longhorn se trouve dans l’image elle-même, sous le nom \Windows\system32
\WdsUnattendFile.xml.
8. Les services de
déploiement Windows
Figure 8.33 : Fichier WdsUnattendFile.xml
Si vous utilisez un fichier d’installation sans assistance d’image, assurez-vous que le
fichier contient les balises adéquates :
j
La balise <UnsecureJoin> est utilisée pour Unattend.xml.
331
Chapitre 8
j
Les services de déploiement Windows
La balise <DoOldStyleDomainJoin> est utilisée pour Sysprep.inf.
La présence de ces balises indique que les services de déploiement Windows doivent
insérer les informations d’ajout au domaine.
La section Microsoft-Windows-Shell-Setup dans la passe <specialize> doit être
présente dans votre fichier d’installation sans assistance. Le nom d’ordinateur n’est pas
ajouté si la passe <specialize> ne contient pas au moins une section
Microsoft-Windows-Shell-Setup vide. L’objectif ici consiste à éviter le codage irréversible
des attributs de ce composant, notamment de publicKeyToken et de la langue.
8.10. Le programme de démarrage par défaut
8. Les services de
déploiement Windows
Vous pouvez définir les paramètres du programme de démarrage par défaut pour
définir la façon dont le client PXE interagit avec le serveur de services de déploiement
Windows par architecture. Le tableau suivant décrit les programmes de démarrage
disponibles :
332
Programme de
démarrage
Fonctionnalité
Abortpxe.com
Ce programme est envoyé à un ordinateur client lorsqu’un
administrateur rejette un périphérique en attente.
Bootmgfw.efi
La version EFI de pxeboot.com inclut toutes les fonctionnalités de
pxeboot.com, pxeboot.n12, abortpxe.com et bootmgr.exe.
Uniquement disponible pour ia64 actuellement.
Hdlscom1.com
Vous pouvez utiliser ce programme pour rediriger la sortie du
microprogramme vers le port COM1 des systèmes qui ne prennent
pas en charge la redirection du microprogramme vers la console.
Vous pouvez ensuite appuyer sur [F12] pour passer au processus de
démarrage ou quitter ce processus en n’appuyant pas sur [F12].
Hdlscom1.n12
Vous pouvez utiliser ce programme pour rediriger la sortie du
microprogramme vers le port COM1 des systèmes qui ne prennent
pas en charge la redirection du microprogramme vers la console. Ce
programme ignorera la touche [F12] et démarrera directement le
serveur PXE.
Hdlscom2.com
Vous pouvez utiliser ce programme pour rediriger la sortie du
microprogramme vers le port COM2 des systèmes qui ne prennent
pas en charge la redirection du microprogramme vers la console.
Vous pouvez ensuite appuyer sur [F12] pour passer au processus de
démarrage ou quitter ce processus en n’appuyant pas sur [F12].
WDSUTIL
Programme de
démarrage
Fonctionnalité
Hdlscom2.n12
Vous pouvez utiliser ce programme pour rediriger la sortie du
microprogramme vers le port COM2 des systèmes qui ne prennent
pas en charge la redirection du microprogramme vers la console. Ce
programme ignorera la touche [F12] et démarrera directement le
serveur PXE.
Pxeboot.com
Vous pouvez utiliser ce programme de démarrage (par défaut) pour
inviter l’utilisateur à appuyer sur la touche [F12] pour accéder aux
services de démarrage.
Pxeboot.n12
Vous pouvez utiliser ce programme de démarrage pour ignorer la
touche [F12] et démarrer directement sur le serveur PXE.
Wdsnbp.com
Wdsnbp.com est un programme de démarrage réseau utilisé par
les services de déploiement Windows et ne doit jamais être utilisé en
tant que programme de démarrage par défaut. Wdsnbp.com sert
les opérations générales suivantes :
- Il bloque le démarrage PXE. Cela permet aux services de
déploiement Windows d’exécuter la logique de réponse avancée en
évitant que le client n’expire tandis qu’il attend le serveur.
- Il rapporte l’architecture du client de démarrage lorsque celle-ci ne
peut pas être déterminée à partir du paquet réseau de démarrage
PXE. C’est particulièrement important sur les systèmes x64 qui ne
rapportent pas leur architecture 64 bits.
- Il résout les cas de références PXE lorsque les services de
déploiement Windows et services d’installation à distance sont
présents sur le même réseau ou segment réseau.
- Il agit en tant que protocole de démarrage réseau pour les cas
d’ajouts automatiques où il bloquera le processus de démarrage PXE
et interrogera le serveur sur l’état d’approbation.
8.11. WDSUTIL
8. Les services de
déploiement Windows
wdsutil
wdsutil est l’outil en ligne de commandes qui permet de configurer et d’administrer les
services de déploiement de Windows.
Syntaxe :
wdsutil <cmd> [option]
/Get−AllDevices
Affiche des informations
préintermédiaires.
sur
tous
les
périphériques
333
8. Les services de
déploiement Windows
Chapitre 8
Les services de déploiement Windows
/Get−AllImageGroups
Affiche les informations sur tous les groupes d’images.
/Get−AllImages
Affiche les informations sur toutes les images.
/Get−AllServers
Affiche les informations sur tous les serveurs de services de
déploiement Windows.
/New−CaptureImage
Crée une image Win PE utilisée dans la capture des images du
système d’exploitation.
/New−DiscoverImage
Crée une image Win PE utilisée dans la découverte du serveur
des services de déploiement Windows.
/Add−Device
Ajoute un périphérique préintermédiaire.
/Get−Device
Affiche les attributs d’un périphérique existant.
/Set−Device
Change les attributs d’un périphérique existant.
/Add−Image
Ajoute les images de démarrage ou d’installation.
/Copy−Image
Copie une image dans le magasin d’images.
/Export−Image
Exporte une image du magasin d’images vers un fichier WIM.
/Get−Image
Affiche les attributs d’une image existante.
/Remove−Image
Supprime une image de démarrage ou d’installation.
/Replace−image
Remplace une image de démarrage ou d’installation par une
nouvelle version.
/Set−Image
Change les attributs d’une image existante.
/Get−ImageFile
Affiche les informations sur les images d’un fichier WIM.
/Add−ImageGroup
Ajoute un groupe d’images.
/Get−ImageGroup
Affiche les informations d’un groupe d’images.
/Remove−ImageGroup
Supprime un groupe d’images.
/Set−ImageGroup
Change les attributs d’un groupe d’images existant.
/Approve−AutoAddDevices Approuve les périphériques d’ajout automatique en attente sur
le serveur.
/Reject−AutoAddDevices Refuse les périphériques d’ajout automatique en attente sur le
serveur.
/Get−AutoAddDevices
334
Affiche les périphériques d’ajout automatique du serveur.
WDSUTIL
/Delete−AutoAddDevices Supprime les périphériques dans la base de données de
périphériques d’ajout automatique.
/Convert−RiPrepImage
Convertit une image RIPREP existante en un fichier WMI.
/Disable−Server
Désactive l’ensemble des services de déploiement Windows sur
un serveur.
/Enable−Server
Active l’ensemble des services de déploiement Windows sur un
serveur.
/Get−Server
Affiche les informations sur un serveur de services de
déploiement Windows.
/Initialize−Server
Configure un serveur de services de déploiement Windows pour
une utilisation initiale.
/Set−Server
Configure les paramètres d’un serveur de services de
déploiement Windows.
/Start−Server
Démarre tous les services du serveur de services de déploiement
Windows.
/Stop−Server
Arrête tous les services du serveur de services de déploiement
Windows.
/Uninitialize−Server
Restaure les modifications effectuées lors de l’initialisation du
serveur.
/Update−ServerFiles
Met à jour les fichiers du serveur sur le partage REMINST.
Pour illustrer la commande WDSUtil, voyez maintenant quelques exemples
d’administration du serveur en ligne de commandes…
Configurer l’option 60 en ligne de commandes
8. Les services de
déploiement Windows
Pour configurer l’option DHCP 60 à l’aide de l’utilitaire WDSUtil, procédez ainsi :
1. Sélectionnez le menu Démarrer/Tous les programmes/Accessoires, cliquez avec le
bouton droit de la souris sur Invite de commandes, puis cliquez sur Exécuter en
tant qu’administrateur.
2. Dans la fenêtre d’Invite de commandes, tapez WDSUTIL /set−server
/DHCPOption60:yes.
C:\Documents and Settings\Administrateur>WDSUTIL /set-server
✂ /DHCPOption60:yes
335
Chapitre 8
Les services de déploiement Windows
Utilitaire de gestion des services de déploiement Windows [Version
✂ 6.0.6000.16386]
Copyright (C) Microsoft Corporation. Tous droits réservés.
La commande s’est terminée correctement.
C:\Documents and Settings\Administrateur>
Configurer le port 67 en ligne de commandes
Pour configurer le port 67 à l’aide de l’utilitaire WDSUtil, procédez ainsi :
1. Sélectionnez le menu Démarrer/Tous les programmes/Accessoires, cliquez avec le
bouton droit de la souris sur Invite de commandes, puis cliquez sur Exécuter en tant
qu’administrateur.
2. Dans la fenêtre d’Invite de commandes, tapez WDSUTIL /set−server
/usedhcpports:no.
C:\Documents and Settings\Administrateur>WDSUTIL /set-server /usedhcpports:no
Utilitaire de gestion des services de déploiement Windows [Version
✂ 6.0.6000.16386]
Copyright (C) Microsoft Corporation. Tous droits réservés.
La commande s’est terminée correctement.
C:\Documents and Settings\Administrateur>
Ajouter une image de démarrage en ligne de commandes
Pour ajouter une image de démarrage à l’aide de l’utilitaire WDSUtil à partir d’une
Invite de commandes :
1. Sélectionnez le menu Démarrer/Tous les programmes/Accessoires, cliquez avec le
bouton droit de la souris sur Invite de commandes, puis cliquez sur Exécuter en
tant qu’administrateur.
2. Dans
la fenêtre d’Invite de commandes, tapez WDSUTIL /add−image
/imagefile:\\server\share\sources\boot.wim /imagetype:boot.
8. Les services de
déploiement Windows
C:\Documents and Settings\Administrateur>WDSUTIL /add-image
✂ /imagefile:\\stlscpap01\share\sources\boot.wim /imagetype:boot
Utilitaire de gestion des services de déploiement Windows [Version
✂ 6.0.6000.16386]
Copyright (C) Microsoft Corporation. Tous droits réservés.
La commande s’est terminée correctement.
C:\Documents and Settings\Administrateur>
Ajouter une image d’installation
La même manipulation en ligne de commandes existe pour ajouter une image
d’installation, la seule grande différence étant que cette image appartient à un groupe.
336
WDSUTIL
Pour plus d’informations sur les commandes de WDSUTIL, ouvrez une Invite de
commandes et saisissez wdsutil /allhelp pour avoir la totalité des commandes du
serveur.
Supprimer une image de démarrage en ligne de commandes
Pour supprimer une image de démarrage à l’aide de l’utilitaire WDSUTIL à partir d’une
Invite de commandes, procédez ainsi :
1. Sélectionnez le menu Démarrer/Tous les programmes/Accessoires, cliquez avec le
bouton droit de la souris sur Invite de commandes, puis cliquez sur Exécuter en tant
qu’administrateur.
2. Dans la fenêtre d’Invite de commandes, tapez WDSUTIL /Remove−Image
/Image:Nom_image /ImageType:boot.
C:\Documents and Settings\Administrateur>WDSUTIL /Remove-Image
✂ /Image:"Microsoft Windows Longhorn Setup (x86)" /ImageType:boot
✂ /Architecture:x86
Utilitaire de gestion des services de déploiement Windows [Version
✂ 6.0.6000.16386]
Copyright (C) Microsoft Corporation. Tous droits réservés.
La commande s’est terminée correctement.
C:\Documents and Settings\Administrateur>
8. Les services de
déploiement Windows
Supprimer une image d’installation
La même manipulation en ligne de commandes existe pour supprimer une image
d’installation, la seule grande différence étant que cette image appartient à un groupe.
Pour plus d’informations sur les commandes de WDSUTIL, ouvrez une Invite de
commandes et saisissez wdsutil /allhelp pour avoir la totalité des commandes du
serveur.
Obtenir des informations sur le serveur de déploiement en
ligne de commandes
Pour lister la configuration de votre serveur à un instant donné, vous pouvez utiliser la
commande suivante :
1. Sélectionnez le menu Démarrer/Tous les programmes/Accessoires, cliquez avec le
bouton droit de la souris sur Invite de commandes, puis cliquez sur Exécuter en tant
qu’administrateur.
337
Chapitre 8
Les services de déploiement Windows
2. Dans la fenêtre d’Invite de commandes, tapez wdsutil /verbose /get−server
/Server:serveurWDS /Show:All /detailed.
C:\Documents and Settings\Administrateur>wdsutil /verbose /get-server
✂ /Server: stlscpap01 /Show:All /detailed
Utilitaire de gestion des services de déploiement Windows [Version
✂ 6.0.6000.16386]
Copyright (C) Microsoft Corporation. Tous droits réservés.
INFORMATIONS D’INSTALLATION POUR LE SERVEUR stlscpap01
[----------------------------------------------------------------------------]
État du serveur :
Version du système : 5.2
Mode de fonctionnement WDS : Natif
État de l’installation :
Emplacement REMINST : e:\RemoteInstall
Partage REMINST à jour : Oui
Fichiers de démarrage installés :
x86 - Oui
x64 - Oui
ia64 - Non
[----------------------------------------------------------------------------]
INFORMATIONS DE CONFIGURATION POUR LE SERVEUR stlscpap01
[----------------------------------------------------------------------------]
Autorisation de serveur :
État de l’autorisation : Non autorisé
Stratégie de réponse :
Répondre aux clients : Oui
Répondre uniquement aux clients connus : Non
Délai de réponse : 0 secondes
8. Les services de
déploiement Windows
Stratégie d’utilisation des services d’annuaire :
Contrôleur de domaine préféré :
Catalogue global préféré :
Prédéfinir les périphériques à l’aide de MAC : Non
Stratégie de nommage des nouveaux ordinateurs : %61Username%#
Ordre de recherche de domaine : Catalogue global uniquement
Domaine de jointure des nouveaux ordinateurs : Oui
Unité d’organisation Nouvel ordinateur :
Type d’unité d’organisation : ServerDomain
Unité d’organisation : CN=Computers,DC=Copr,DC=puzzmania,DC=com
Configuration DHCP :
État du service DHCP : En cours d’exécution
338
WDSUTIL
Option DHCP 60 configurée : Oui
Stratégie de liaison PXE :
Utiliser les ports DHCP : Oui
Détection de serveurs non autorisés : Désactivé
Port RPC : 5040
Stratégie de liaison d’interface :
Stratégie : Exclure les inscrits
Interfaces inscrites :
Stratégie de programme de démarrage :
Autoriser N12 pour les nouveaux clients : Non
Découverte d’architecture : Désactivé
Réinitialiser le programme de démarrage : Non
Programmes de démarrage par défaut :
x86 - boot\x86\pxeboot.com
x64 - boot\x64\pxeboot.com
ia64 - boot\ia64\bootmgfw.efi
Programmes de démarrage N12 par défaut :
x86 - boot\x86\pxeboot.n12
x64 - boot\x64\pxeboot.n12
ia64 - boot\ia64\bootmgfw.efi
Liste des GUID bannis :
Stratégie d’image de démarrage :
Type d’image par défaut pour les clients x64 : Les deux
Images de démarrage par défaut :
x86 x64 ia64 Stratégie de client WDS :
Stratégie d’enregistrement :
Activée : Non
Niveau d’enregistrement : Informations
8. Les services de
déploiement Windows
Stratégie autonome :
Activée : Non
Précédence de ligne de commande : Non
Fichiers d’installation sans assistance WDS :
x86 x64 ia64 Stratégie OSChooser :
Nom de menu :
Stratégie d’actualisation automatique de serveur :
Délai d’actualisation : 900 secondes
339
Chapitre 8
Les services de déploiement Windows
Stratégie d’actualisation de BCD :
Activée : Non
Délai d’actualisation : 60 minutes
8. Les services de
déploiement Windows
Stratégie d’ajout automatique :
Stratégie : Désactivé
Intervalle d’interrogation : 10 secondes
Nombre max. de tentatives : 2160 fois
Message :
Période de rétention :
Périphériques approuvés : 30 jours
Autres périphériques : 1 jours
Valeurs par défaut pour x86 :
Serveur de référence :
Chemin d’accès au programme de démarrage
Chemin d’accès au fichier d’installation
✂ :
Chemin d’accès à l’image de démarrage :
Utilisateur : Domain Admins
Droits de jointure : Complet
Domaine de jointure : Oui
Valeurs par défaut pour x64 :
Serveur de référence :
Chemin d’accès au programme de démarrage
Chemin d’accès au fichier d’installation
✂ :
Chemin d’accès à l’image de démarrage :
Utilisateur : Domain Admins
Droits de jointure : Complet
Domaine de jointure : Oui
Valeurs par défaut pour ia64 :
Serveur de référence :
Chemin d’accès au programme de démarrage
Chemin d’accès au fichier d’installation
✂ :
Chemin d’accès à l’image de démarrage :
Utilisateur : Domain Admins
Droits de jointure : Complet
Domaine de jointure : Oui
:
sans assistance client WDS
:
sans assistance client WDS
:
sans assistance client WDS
Fournisseurs PXE WDS :
Nom : BINLSVC
Chemin d’accès : C:\WINDOWS\system32\binlsvc.dll
Ordre : 1
Critique : Oui
340
WDSUTIL
[----------------------------------------------------------------------------]
INFORMATIONS SUR LES IMAGES POUR LE SERVEUR stlscpap01
[----------------------------------------------------------------------------]
IMAGES DE DÉMARRAGE
==============================================================================
-----------------------------Images de démarrage pour x86
-----------------------------Nombre d’images : 2
-----------------------------Informations sur les images :
-----------------------------Microsoft Windows Longhorn Setup (x86)
Nom du fichier : boot.wim
Nom de l’image : Microsoft Windows Longhorn Setup (x86)
Description : Microsoft Windows Longhorn Setup (x86)
Architecture : x86
Type d’image : Démarrage
Groupe d’images : <Non applicable>
Taille : 338034861 octets
Type HAL :
Heure de création : jeudi 2 novembre 2006 14:22:57
Dernière modification : samedi 3 février 2007 21:20:46
Langue par défaut : Français (France)
Autres langues :
Version du système d’exploitation : MicrosoftT WindowsT Operating System,
✂ 6.0.6000
Niveau de Service pack : 16386
Filtre utilisateur : <Non applicable>
Fichier d’installation sans assistance présent : Non
État : Activé
******************************************************************************
8. Les services de
déploiement Windows
Maintenance x86 v.1.3
Nom du fichier : Maintenance.wim
Nom de l’image : Maintenance x86 v.1.3
Description : Maintenance x86 v.1.3
Architecture : x86
Type d’image : Démarrage
Groupe d’images : <Non applicable>
Taille : 338034861 octets
Type HAL :
Heure de création : jeudi 2 novembre 2006 14:22:57
Dernière modification : samedi 3 février 2007 21:32:22
Langue par défaut : Français (France)
341
Chapitre 8
Les services de déploiement Windows
Autres langues :
Version du système d’exploitation : MicrosoftT WindowsT Operating System,
✂ 6.0.6000
Niveau de Service pack : 16386
Filtre utilisateur : <Non applicable>
Fichier d’installation sans assistance présent : Non
État : Activé
******************************************************************************
-----------------------------Images de démarrage pour ia64
-----------------------------Nombre d’images : 0
-----------------------------Informations sur les images :
-----------------------------Aucune image ne correspond aux critères spécifiés.
-----------------------------Images de démarrage pour x64
-----------------------------Nombre d’images : 2
-----------------------------Informations sur les images :
-----------------------------Microsoft Windows Longhorn Setup (x64)
8. Les services de
déploiement Windows
Nom du fichier : boot.wim
Nom de l’image : Microsoft Windows Longhorn Setup (x64)
Description : Microsoft Windows Longhorn Setup (x64)
Architecture : x64
Type d’image : Démarrage
Groupe d’images : <Non applicable>
Taille : 383339906 octets
Type HAL :
Heure de création : jeudi 2 novembre 2006 16:07:42
Dernière modification : samedi 3 février 2007 21:29:20
Langue par défaut : Français (France)
Autres langues :
Version du système d’exploitation : MicrosoftT WindowsT Operating System,
✂ 6.0.6000
Niveau de Service pack : 16386
Filtre utilisateur : <Non applicable>
Fichier d’installation sans assistance présent : Non
État : Activé
******************************************************************************
Maintenance x64 v.1.1
342
WDSUTIL
Nom du fichier : Maintenance x64 v.1.1.wim
Nom de l’image : Maintenance x64 v.1.1
Description : Maintenance x64 v.1.1
Architecture : x64
Type d’image : Démarrage
Groupe d’images : <Non applicable>
Taille : 383339906 octets
Type HAL :
Heure de création : jeudi 2 novembre 2006 16:07:42
Dernière modification : samedi 3 février 2007 21:34:27
Langue par défaut : Français (France)
Autres langues :
Version du système d’exploitation : MicrosoftT WindowsT Operating System,
✂ 6.0.6000
Niveau de Service pack : 16386
Filtre utilisateur : <Non applicable>
Fichier d’installation sans assistance présent : Non
État : Activé
******************************************************************************
==============================================================================
-------Résumé :
-------Nombre total de magasins d’images de démarrage : 3
Nombre total d’images de démarrage : 4
--------
IMAGES D’INSTALLATION
==============================================================================
8. Les services de
déploiement Windows
-------------------Groupe d’images Windows Vista x64
-------------------Nom : Windows Vista x64
Sécurité :
✂ O:BAG:DUD:(A;OICI;FA;;;SY)(A;OICI;FA;;;BA)(A;OICI;0x1200a9;;;AU)(A;OICI;
✂ FA;;;S-1-5-80-1688844526-3235337491-1375791646-891369040-3692469510)
Nombre d’images : 2
----------------------------Informations sur les images :
-----------------------------
Windows Vista ULTIMATE
Nom du fichier : install-(2).wim
343
Chapitre 8
Les services de déploiement Windows
Nom de l’image : Windows Vista ULTIMATE
Description : Windows Vista Ultimate
Architecture : x64
Type d’image : Installation
Groupe d’images : Windows Vista x64
Taille : 11666352356 octets
Type HAL : acpiapic
Heure de création : jeudi 2 novembre 2006 16:44:01
Dernière modification : dimanche 4 février 2007 14:13:43
Langue par défaut : Français (France)
Autres langues :
Version du système d’exploitation : MicrosoftT WindowsT Operating System,
✂ 6.0.6000
Niveau de Service pack : 16386
Filtre utilisateur :
✂ O:BAG:DUD:(A;;FA;;;SY)(A;;FA;;;BA)(A;;0x1200a9;;;AU)(A;;FA;;;S-1-5-80
✂ -1688844526-3235337491-1375791646-891369040-3692469510)
Fichier d’installation sans assistance présent : Non
État : Activé
******************************************************************************
Windows Vista BUSINESS
8. Les services de
déploiement Windows
Nom du fichier : install.wim
Nom de l’image : Windows Vista BUSINESS
Description : Windows Vista Business
Architecture : x64
Type d’image : Installation
Groupe d’images : Windows Vista x64
Taille : 10604416502 octets
Type HAL : acpiapic
Heure de création : jeudi 2 novembre 2006 16:37:21
Dernière modification : dimanche 4 février 2007 14:11:50
Langue par défaut : Français (France)
Autres langues :
Version du système d’exploitation : MicrosoftT WindowsT Operating System,
✂ 6.0.6000
Niveau de Service pack : 16386
Filtre utilisateur :
✂ O:BAG:DUD:(A;;FA;;;SY)(A;;FA;;;BA)(A;;0x1200a9;;;AU)(A;;FA;;;S-1-5-80
✂ -1688844526-3235337491-1375791646-891369040-3692469510)
Fichier d’installation sans assistance présent : Non
État : Activé
*****************************************************************************
-------------------Groupe d’images Windows Vista x86
-------------------Nom : Windows Vista x86
Sécurité :
✂ O:BAG:DUD:(A;OICI;FA;;;SY)(A;OICI;FA;;;BA)(A;OICI;0x1200a9;;;AU)(A;OICI;
✂ FA;;;S-1-5-80-1688844526-3235337491-1375791646-891369040-3692469510)
344
WDSUTIL
Nombre d’images : 2
----------------------------Informations sur les images :
----------------------------Windows Vista ULTIMATE
Nom du fichier : install-(2).wim
Nom de l’image : Windows Vista ULTIMATE
Description : Windows Vista Ultimate
Architecture : x86
Type d’image : Installation
Groupe d’images : Windows Vista x86
Taille : 8018307216 octets
Type HAL : acpiapic
Heure de création : jeudi 2 novembre 2006 13:41:31
Dernière modification : dimanche 4 février 2007 14:20:48
Langue par défaut : Français (France)
Autres langues :
Version du système d’exploitation : MicrosoftT WindowsT Operating System,
✂ 6.0.6000
Niveau de Service pack : 16386
Filtre utilisateur :
✂ O:BAG:DUD:(A;;FA;;;SY)(A;;FA;;;BA)(A;;0x1200a9;;;AU)(A;;FA;;;S-1-5-80✂ 1688844526-3235337491-1375791646-891369040-3692469510)
Fichier d’installation sans assistance présent : Non
État : Activé
******************************************************************************
Windows Vista BUSINESS
8. Les services de
déploiement Windows
Nom du fichier : install.wim
Nom de l’image : Windows Vista BUSINESS
Description : Windows Vista Business
Architecture : x86
Type d’image : Installation
Groupe d’images : Windows Vista x86
Taille : 7066175656 octets
Type HAL : acpiapic
Heure de création : jeudi 2 novembre 2006 13:37:02
Dernière modification : dimanche 4 février 2007 14:20:03
Langue par défaut : Français (France)
Autres langues :
Version du système d’exploitation : MicrosoftT WindowsT Operating System,
✂ 6.0.6000
Niveau de Service pack : 16386
Filtre utilisateur :
✂ O:BAG:DUD:(A;;FA;;;SY)(A;;FA;;;BA)(A;;0x1200a9;;;AU)(A;;FA;;;S-1-5-80✂ 1688844526-3235337491-1375791646-891369040-3692469510)
Fichier d’installation sans assistance présent : Non
État : Activé
345
Chapitre 8
Les services de déploiement Windows
******************************************************************************
==============================================================================
-------Résumé :
-------Nombre total de groupes d’images d’installation : 2
Nombre total d’images d’installation : 4
-------IMAGES NON NATIVES
==============================================================================
-------Résumé :
-------Nombre total de groupes d’images non natives : 0
Nombre total d’images non natives : 0
-------[----------------------------------------------------------------------------]
-----------------------------RÉSUMÉ GLOBAL SUR LES IMAGES :
-----------------------------Nombre total de magasins d’images de démarrage : 3
Nombre total d’images de démarrage : 4
Nombre total de groupes d’images d’installation : 2
Nombre total d’images d’installation : 4
Nombre total de groupes d’images non natives : 0
Nombre total d’images non natives : 0
-----------------------------La commande s’est terminée correctement.
8. Les services de
déploiement Windows
Démarrer le serveur en ligne de commandes
Si vous souhaitez démarrer ou redémarrer votre serveur en ligne de commandes,
procédez ainsi :
1. Sélectionnez le menu Démarrer/Tous les programmes/Accessoires, cliquez avec le
bouton droit de la souris sur Invite de commandes, puis cliquez sur Exécuter en tant
qu’administrateur.
2. Dans la fenêtre d’Invite de commandes, tapez wdsutil /start−server.
C:\Documents and Settings\Administrateur>wdsutil /start-server
Utilitaire de gestion des services de déploiement Windows [Version
✂ 6.0.6000.16386]
346
En résumé
Copyright (C) Microsoft Corporation. Tous droits réservés.
La commande s’est terminée correctement.
C:\Documents and Settings\Administrateur>
Arrêter le serveur en ligne de commandes
Si vous souhaitez arrêter votre serveur en ligne de commandes, procédez ainsi :
1. Sélectionnez le menu Démarrer/Tous les programmes/Accessoires, cliquez avec le
bouton droit de la souris sur Invite de commandes, puis cliquez sur Exécuter en tant
qu’administrateur.
2. Dans la fenêtre d’Invite de commandes, tapez wdsutil /stop−server.
C:\Documents and Settings\Administrateur>wdsutil /stop-server
Utilitaire de gestion des services de déploiement Windows [Version
✂ 6.0.6000.16386]
Copyright (C) Microsoft Corporation. Tous droits réservés.
La commande s’est terminée correctement.
C:\Documents and Settings\Administrateur>
8.12. En résumé
Dans ce chapitre, nous avons vu que Windows Server 2003 possède à présent deux
services de déploiement : le serveur RIS en natif depuis l’arrivée de Windows
Server 2003 et les services de déploiement Windows. Ces nouveaux services de
déploiement permettent de continuer à déployer les anciennes images présentes dans
votre système d’informations, mais également les images de Windows Vista. Pour
assurer la compatibilité, ce serveur peut fonctionner selon trois modes.
j
8. Les services de
déploiement Windows
Pour décrire le niveau de fonctionnalité associé à chaque mode configuration possible
de WDS, l’administration et l’exploitation des serveurs sont classées en trois catégories,
connues sous le nom de "modes serveurs".
Le mode compatible WDS est fonctionnellement équivalent à RIS. Les binaires de
WDS se comportent comme RIS. Dans ce mode, seul OSChooser sera présent
comme système d’exploitation d’amorçage. Cependant, seules les images RISETUP
et RIPREP sont prises en charge. Les nouveaux outils d’administration de WDS ne
sont pas utilisés. Les anciens utilitaires RIS sont les seuls moyens pour administrer
le serveur. Le mode compatible WDS ne peut fonctionner que sur Windows
Server 2003.
347
Chapitre 8
Les services de déploiement Windows
Tableau 8.3 : Le mode compatible WDS
Fonctionnalité
Valeur
Environnement d’amorçage
OSChooser
Types d’images
RISETUP et RIPREP
Outils d’administration
Utilitaires RIS
j
Le mode mixte de WDS décrit un état serveur ou les deux images d’amorçage,
OSChooser et Windows PE, sont disponibles. Dans ce mode, l’accès aux anciens
types d’images RISETUP et RIPREP est possible via OSChooser. En outre, il est
possible d’exploiter le nouveau format WIM via une image d’amorçage
Windows PE. Du côté poste client, un menu d’amorçage permettra de choisir entre
RIS et Windows PE. L’administrateur pourra exploiter les anciens outils pour gérer
les images RISETUP et RIPREP, et utiliser les nouveaux outils WDS pour gérer
toutes les facettes du serveur aussi bien que les images WIM. Le mode mixte WDS
ne peut fonctionner que sur Windows Server 2003.
Tableau 8.4 : Le mode mixte WDS
Fonctionnalité
Valeur
Environnement d’amorçage
OSChooser et Windows PE
Types d’images
WIM, RISETUP et RIPREP
Outils d’administration
Utilitaires RIS et administration WDS
8. Les services de
déploiement Windows
j
Le mode natif WDS correspond à un serveur WDS et à des images d’amorçage
uniquement de type Windows PE. Dans ce mode, OSChooser disparaît et les images
WIM sont les seules à être prises en charge pour un déploiement sur les clients.
L’administration du serveur s’effectue via les outils WDS. Le mode natif WDS
s’applique à Windows Server 2003 et à Windows Server 2008. Pour Windows
Server 2008, il s’agit du seul mode serveur WDS pris en charge.
Tableau 8.5 : Le mode natif WDS
Fonctionnalité
Valeur
Environnement d’amorçage
Windows PE
Types d’images
WIM
Outils d’administration
Administration WDS
Ces différents modes permettent une transition en douceur entre les fonctionnalités
RIS existantes et les nouvelles de WDS qui seront les seules à exister dans Windows
Server 2008.
348
En résumé
Le passage d’une exploitation RIS à WDS en mode compatible (binaires WDS mais
fonctionnalités RIS) s’effectue lorsqu’un serveur RIS existant est mis à jour vers WDS.
À partir de cet instant, l’utilisation des outils d’administration WDS (tels que MMC et
l’interface à la ligne de commandes) pour initialiser le serveur fait passer WDS en mode
mixte. Le passage en mode natif s’effectue lorsque les images anciennes sont converties
au format WIM et que la fonctionnalité OSChooser est inhibée (via la commande
/forceNative).
Le serveur de déploiement peut être installé avec le Services Pack 2 de Windows
Server 2003 ou depuis un fichier téléchargé sur les sites de Microsoft. Dans ce cas, le
serveur doit répondre à l’ensemble des prérequis d’installation.
Les services de déploiement fonctionnent depuis l’interface graphique, mais également
en ligne de commandes à partir de l’outil WDSutil.
Pour conclure ce chapitre, ce qu’il faut retenir est que ce nouveau service de
déploiement a pour objectif d’unifier les anciens modes de déploiement tel que RIS et
les nouveaux modes de déploiement de type WIM. Le service fonctionne avec trois
niveaux de compatibilité. Ce service demande quelques prérequis tel que le Service Pack
1 de Windows Server 2003 ou encore le Framework .Net. Le grand avantage proposé par
le service de déploiement est qu’il est quasiment administrable en ligne de commandes.
8. Les services de
déploiement Windows
349
Chapitre 9
L’intégration de
Windows Vista dans
l’infrastructure
9.1
9.2
9.3
9.4
L’intégration dans le domaine Active Directory . . . . . . . . . . . . . . . . . .
Les stratégies de groupe avec Windows Vista . . . . . . . . . . . . . . . . . . . .
La compatibilité des nouvelles fonctionnalités de Windows Vista dans Active
Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
. . . . 353
. . . . 362
. . . . 382
. . . . 397
L’intégration dans le domaine Active Directory
ans le monde des entreprises, les services informatiques mettent en œuvre, font
évoluer et modifient les infrastructures systèmes leur permettant de mieux
contrôler et administrer tous les services déployés pour les utilisateurs. Chez Microsoft,
l’infrastructure qui permet une administration centralisée des ressources s’appelle
Active Directory.
Windows Vista remplace Windows XP dans le contexte d’entreprise. Windows Vista est
taillé pour répondre aux exigences, de plus en plus grandes, d’amélioration de la
productivité des utilisateurs en entreprise.
9. L’intégration de
Windows Vista dans
l’infrastructure
D
Windows Vista arrive dans les entreprises et ces dernières disposent toutes d’un système
d’information existant. Que ce soit la petite PME avec cinq ou six postes ou la grande
entreprise avec plus de 2000 utilisateurs. Windows Vista va devoir cohabiter avec les
différentes versions de systèmes d’exploitation existants dans l’entreprise et surtout,
Windows Vista va devoir cohabiter au sein de l’infrastructure système et réseau de
l’entreprise. Dans le cadre des systèmes d’exploitation Microsoft, Windows Vista devra
cohabiter au sein des forêts et domaines Active Directory.
9.1.
L’intégration dans le domaine Active Directory
Pour mieux comprendre la problématique actuelle, faisons un petit rappel historique. À
l’époque, Windows 2000 Server et Windows 2000 Professionnel (la version cliente) sont
sortis simultanément, la première version d’Active Directory couvrant parfaitement
toutes les options de configuration de Windows 2000 Professionnel. En 2001,
Windows XP Professionnel fait son apparition. Il s’intègre dans les forêts Active
Directory Windows 2000 Server, mais il possède des capacités de configuration plus
grandes que Windows 2000 Professionnel. Il faut donc attendre 2003 et la sortie de
Windows Server 2003 pour mettre à niveau les fonctionnalités d’Active Directory et
tirer parti de tout le potentiel de configuration et d’amélioration de la productivité du
tandem Windows XP Professionnel et Windows Server 2003.
Il en va de même pour Windows Vista. Il s’intègre bien dans les forêts et les domaines
Active Directory existants, mais nous en tirerons tout le potentiel uniquement lorsque le
successeur de Windows Server 2003 (connu sous le nom actuel de Windows Server
Longhorn) sera sorti et que l’infrastructure Active Directory sera mise à niveau,
c’est-à-dire pas avant fin 2007.
Prenons l’exemple d’une société fictive pour étayer nos démonstrations. Cette société se
compose d’un domaine, lui-même composé de stations de travail Windows XP
Professionnel. Aujourd’hui, cette entreprise installe des ordinateurs Windows Vista
pour répondre aux besoins d’une certaine population de l’entreprise et souhaite les
intégrer au domaine existant.
Ces ordinateurs Windows Vista ont déjà été installés selon la procédure adéquate. Voici
comment procéder pour les intégrer au domaine…
353
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
9. L’intégration de
Windows Vista dans
l’infrastructure
L’interface graphique
1. Loguez-vous sous Windows Vista avec un compte administrateur local.
2. Cliquez sur le logo Windows pour ouvrir le menu de démarrage, puis cliquez avec le
bouton droit de la souris de la souris sur Ordinateur.
Figure 9.1 : Sélection du menu Ordinateur
3. Cliquez sur Propriétés. La fenêtre d’information système de votre ordinateur
s’ouvre.
Figure 9.2 : La fenêtre d’information système
354
L’intégration dans le domaine Active Directory
4. Cliquez sur Modifier les paramètres en bas à droite de la fenêtre.
9. L’intégration de
Windows Vista dans
l’infrastructure
Figure 9.3 : Validation du changement de configuration
5. Au message du contrôle de compte utilisateur, cliquez sur Continuer. La fenêtre des
propriétés système s’ouvre.
Figure 9.4 : La fenêtre des propriétés système
355
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
6. Cliquez sur Modifier. Cochez l’option Domaine et entrez le nom du domaine
corp.puzzmania.com.
Figure 9.5 : Configuration du domaine à rejoindre
7. Validez, puis tapez l’identifiant d’un compte du domaine possédant les droits pour
ajouter un ordinateur au domaine. Cliquez sur OK.
Figure 9.6 : Fenêtre d’identification d’un compte du domaine possédant les droits
d’ajouter un ordinateur au domaine
356
L’intégration dans le domaine Active Directory
9. L’intégration de
Windows Vista dans
l’infrastructure
Si tout se passe bien, vous verrez apparaître un message de bienvenue dans votre
domaine. Vous devrez, comme dans toutes les versions précédentes de Windows,
redémarrer l’ordinateur pour que les changements prennent effet.
Figure 9.7 : Vous devez redémarrer pour que vos changements prennent effet
Une fois l’ordinateur redémarré, la nouvelle fenêtre de login, propre aux
ordinateurs Windows en réseau, fait son apparition, accessible par la fameuse
combinaison de touches [Ctrl]+[Alt]+[Suppr].
Figure 9.8 : la fenêtre de login
357
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
9. L’intégration de
Windows Vista dans
l’infrastructure
8. Tapez sur la combinaison de touches et entrez votre identifiant de domaine.
Figure 9.9 : Entrez votre identifiant de domaine
Après la validation, votre session de travail s’ouvre.
S’identifier dans un autre domaine
Si vous souhaitez vous loguer dans un autre domaine que le domaine d’appartenance
de l’ordinateur, domaine approuvé dans lequel vous avez le droit de vous loguer, à la
différence des versions antérieures de Windows, il n’y a pas de section vous
permettant de sélectionner un autre domaine. Vous devez taper le nom du domaine
dans la partie réservée au nom de l’utilisateur selon le format nomdomaine
\nomutilisateur.
Regardons maintenant de plus près comment ce nouvel ordinateur apparaît sous Active
Directory Windows Server 2003. Pour cela, connectez-vous à un contrôleur de domaine
ou un serveur Windows Server 2003 ou encore à une station de travail comprenant les
outils d’administration permettant de lancer l’outil Utilisateurs et Ordinateurs Active
Directory (cette dernière méthode est la plus sécurisée). Nous considérons que vous
êtes administrateur de l’infrastructure Active Directory de l’entreprise.
358
L’intégration dans le domaine Active Directory
L’interface graphique
9. L’intégration de
Windows Vista dans
l’infrastructure
1. À partir de STLSCPDC01, lancez l’utilitaire d’administration Utilisateurs et
Ordinateurs Active Directory en cliquant sur Démarrer/Programmes/Outils
d’administration et Utilisateurs et Ordinateurs Active Directory.
Figure 9.10 : Vue Utilisateurs et Ordinateurs Active Directory de votre domaine
2. Cliquez sur le conteneur Computers ; vous voyez apparaître le compte d’ordinateur
de la machine WTLSCPVI01 fraîchement ajoutée au domaine.
Figure 9.11 :
Vue du conteneur
Computers
3. Cliquez deux fois sur le compte d’ordinateur WTLSCPVI01. La fenêtre des propriétés
du compte s’ouvre. Cliquez sur l’onglet Système d’Exploitation.
359
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
Figure 9.12 :
Onglet Système
d’Exploitation de la
fenêtre Propriétés du
compte d’ordinateur
WTLSCPVI01
Vous retrouvez la version de Windows Vista, signifiant que l’inscription du compte
d’ordinateur s’est bien effectuée.
Version de Windows Vista
Pour les nostalgiques et les curieux, sous l’onglet Système d’Exploitation de la fenêtre
Propriétés d’un compte d’ordinateur Windows Vista, le champ Version est défini à 6.
Cela signifie qu’étant conçu à partir des versions de Windows NT Windows Vista
serait en fait Windows NT 6 si Microsoft n’avait pas revu sa convention de
dénomination, Windows 2000 étant NT 5 et Windows XP étant NT 5.1.
Toutefois, nous vous recommandons de bien isoler tous les comptes d’ordinateurs de
machines Windows Vista en les sortant du conteneur Computers et en les mettant à part,
soit dans une unité d’organisation spécifique commune à l’infrastructure, soit dans une
sous-unité d’organisation spécifique à chaque unité d’organisation représentant un
service de l’entreprise. Vous simplifierez ainsi votre vision du parc informatique et
l’administration centralisée des machines.
Prenons l’exemple d’une unité d’organisation spécifique à toutes les stations de travail
Windows Vista de l’entreprise.
1. Créez une unité d’organisation appelée Ordinateurs Vista.
2. Par glisser-déposer, placez le compte d’ordinateur WTLSCPVI01 dans la nouvelle
unité d’organisation. Le compte d’ordinateur est plus facilement identifiable et
administrable.
360
L’intégration dans le domaine Active Directory
9. L’intégration de
Windows Vista dans
l’infrastructure
Figure 9.13 :
Une unité d’organisation
particulière pour tous les
ordinateurs Windows
Vista
Votre ordinateur Windows Vista est prêt à être administré de façon centralisée via les
stratégies de groupe.
Changer rapidement d’utilisateur
Dorénavant, il est possible de basculer d’un utilisateur à un autre, sans fermer de
session, au sein d’un même domaine.
Qu’est-ce que le changement rapide d’utilisateur ? Cette fonctionnalité de Windows
vous permet de basculer vers un autre compte d’utilisateur sans fermer de programmes,
ni de fichiers au préalable. Cette opération simplifie le partage d’un ordinateur avec
d’autres utilisateurs. Cette fonctionnalité est activée par défaut.
Attention tout de même : si vous éteignez l’ordinateur alors qu’un autre utilisateur a des
programmes en cours d’exécution, ses fichiers non enregistrés seront perdus.
Pour changer d’utilisateurs sans fermer la session :
1. Cliquez sur le logo Windows de démarrage, puis cliquez sur la flèche en regard du
bouton de verrouillage (voir fig. 9.14).
2. Cliquez sur Changer d’utilisateur, puis sur l’utilisateur vers lequel vous souhaitez
basculer.
Assurez-vous d’enregistrer les fichiers ouverts avant de changer d’utilisateurs car
Windows n’enregistre pas automatiquement les fichiers ouverts. Si vous basculez vers un
autre utilisateur et que celui-ci arrête l’ordinateur, toutes les modifications non
enregistrées que vous avez apportées aux fichiers ouverts sur votre compte seront
perdues.
361
L’intégration de Windows Vista dans l’infrastructure
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
Figure 9.14 : Accès au changement rapide d’utilisateur
9.2.
Les stratégies de groupe avec Windows Vista
Un ordinateur, équipé de Windows Vista et membre d’un domaine, est parfaitement
administrable à partir de l’infrastructure Active Directory. L’un des enjeux majeurs de
Windows Vista est également de réduire les coûts opérationnels du système
d’information de l’entreprise. La direction du système d’information étant
perpétuellement en quête de réduction des coûts, les administrateurs de l’entreprise
doivent avoir en main des outils et des technologies à la fois simples et efficaces afin
d’administrer de façon centralisée tout le parc informatique. Selon la taille de
l’entreprise, arriver à centraliser l’administration peut devenir un vrai casse-tête. Par
contre, quand le défi est réussi, qui dit administration centralisée, dit gain de temps et
qui dit gain de temps, dit gain d’argent.
Windows Vista renforce la notion des stratégies de groupe, bien connues depuis
Windows 2000, afin de toujours améliorer et simplifier les opérations d’administration.
Ces nouveautés des stratégies de groupe vont tendre vers une administration du parc
informatique toujours plus centralisée.
362
Les stratégies de groupe avec Windows Vista
9. L’intégration de
Windows Vista dans
l’infrastructure
Les stratégies de groupe permettent de configurer et de personnaliser de façon
centralisée le comportement des ordinateurs et des utilisateurs et d’appliquer ces
paramètres en masse sur tous les ordinateurs et les utilisateurs. Il existe des stratégies de
groupe locales, c’est-à-dire configurables et applicables localement à l’ordinateur, et des
stratégies de groupe d’infrastructure, c’est-à-dire configurables via Active Directory soit
au niveau de l’unité d’organisation, soit au niveau du site ou du domaine et applicables
en même temps sur tout le spectre d’ordinateurs et d’utilisateurs concernés (par
exemple tous les ordinateurs et les utilisateurs d’une même unité d’organisation). Ces
dernières, au contraire des stratégies de groupe locales, permettent de configurer de
façon centralisée une seule stratégie de groupe applicable potentiellement sur tous les
utilisateurs et les ordinateurs d’un domaine ou d’une unité d’organisation ou d’un site.
Au sein d’une stratégie de groupe, de très nombreux paramètres peuvent être modifiés :
que ce soit au niveau de l’ordinateur (icônes du Bureau, longueur des mots de passe,
etc.) ou au niveau de l’utilisateur (personnalisation d’Internet Explorer, redirection de
dossiers, etc.). Sous Windows XP près de 1500 paramètres sont configurables. Sachez
que sous Windows Vista, près de 3000 paramètres sont configurables, c’est-à-dire le
double.
Vous trouverez dans les chapitres suivants de ce volume tout ce qu’il faut savoir sur
Active Directory. Le tome II, quant à lui, détaillera les stratégies de groupe, entre
autres.
Voici les principales nouveautés apportées par les stratégies de groupes sous Windows
Vista…
Les fichiers ADMX
Jusqu’à présent, il était possible de configurer, d’ajouter et de créer des modèles
d’administration au sein d’une stratégie de groupe à partir de fichiers de type ADM.
Ouvrez une stratégie de groupe créée auparavant par l’infrastructure Active Directory
Windows Server 2003 R2 de corp.puzzmania.com à l’aide de la GPMC (console de
gestion de stratégie de groupe), téléchargeable à partir du site de Microsoft.
Téléchargement et installation de la GPMC
Connectez-vous sur le site www.microsoft.com/france/technet/produits/win2003/default
.mspx et suivez la procédure d’installation.
1. À partir d’un ordinateur membre de corp.puzzmania.com, cliquez sur Démarrer,
pointez sur Outils d’administration, cliquez avec le bouton droit sur Gestion de
stratégie de groupe, puis cliquez sur Exécuter en tant que.
363
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
2. Dans la boîte de dialogue Exécuter en tant que, cliquez sur L’utilisateur suivant,
tapez CORP\Administrateur comme nom d’utilisateur, puis le mot de passe
associé et cliquez sur OK.
3. Développez successivement les rubriques Forêt, Domaines, corp.puzzmania.com,
Objets de stratégie de groupe, cliquez avec le bouton droit sur Objets de stratégie de
groupe, puis cliquez sur Modifier.
Figure 9.15 : Édition d’une stratégie de groupe avec la console de gestion des stratégies
de groupe
4. Développez les rubriques Configuration de l’ordinateur et Modèles d’administration.
Figure 9.16 : Édition d’une stratégie de groupe placée sur une unité d’organisation
364
Les stratégies de groupe avec Windows Vista
9. L’intégration de
Windows Vista dans
l’infrastructure
5. Cliquez avec le bouton droit de la souris sur Modèles d’administration et sélectionnez
Ajout/suppression de modèles. La fenêtre de sélection ou d’ajout de fichiers ADM
s’ouvre.
Figure 9.17 : Fenêtre de sélection des fichiers ADM
6. Sélectionnez un fichier ADM (les fichiers sont souvent classés selon leur rôle,
Windows Media Player par exemple). Une fois sélectionné, vous pouvez configurer
les paramètres que vous souhaitez en fonction du modèle ADM.
Les fichiers ADM modifient des paramètres de la base de Registre. En employant les
fichiers ADM sous Windows 2000, Windows Server 2003 et Windows XP, les
utilisateurs et Microsoft se sont aperçus de deux inconvénients :
j
Le format ADM n’est pas standard.
j
Tous les fichiers ADM sont dupliqués pour chaque stratégie de groupe
d’infrastructure, alourdissant ainsi son application.
Windows Vista introduit les fichiers ADMX, une collection de fichiers ayant la même
fonction que les fichiers ADM, mais qui ont la particularité d’être des fichiers standards
XML : il est possible de créer un répertoire de stockage central où toutes les stratégies
de groupe du domaine viendront lire les informations dont elles ont besoin. Ce nouveau
format permet de résoudre les inconvénients détectés au préalable avec le format ADM.
Les fichiers ADMX permettent également la gestion unifiée des langues prises en
charge avec l’introduction des fichiers ADML qui donnent la possibilité d’ajuster les
paramètres des stratégies de groupe avec des langues différentes, selon les applications
par exemple.
365
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
Considérations sur la compatibilité du format ADMX
Le format ADMX étant une nouveauté Windows Vista, seul Windows Vista
aujourd’hui est capable d’en tirer les bénéfices. Les nouvelles options de
paramétrages de Windows Vista sont uniquement accessibles dans un fichier ADMX,
donc invisibles des outils d’administration Windows XP ou Server 2003. Le format
n’est pas rétrocompatible avec les versions antérieures de Windows. Par contre, qui
peut le plus, peut le moins : un ordinateur Windows Vista sait parfaitement gérer les
fichiers ADM des versions antérieures de Windows.
Pour mettre en œuvre les fichiers ADMX, considérons deux cas : le cas simple de la
stratégie locale, puis le cas de l’implémentation des fichiers ADMX dans un
environnement Active Directory existant.
Le cas de la stratégie locale
Sous Windows Vista, pour éditer la stratégie locale, donc charger les fichiers ADMX et
modifier un paramètre, procédez comme suit :
1. Cliquez sur le logo Windows de la barre des tâches.
2. Tapez gpedit.msc et validez. La stratégie locale s’ouvre.
Figure 9.18 : La stratégie locale sous Windows Vista
L’éditeur de stratégies de groupe que vous venez de lancer va lire automatiquement les
fichiers de configuration au format ADMX.
3. Vous pouvez développer l’arborescence, éditer et modifier un paramètre (voir
fig. 9.19).
Sous Windows Vista, les fichiers ADMX sont localisés sous %systemroot%
\PolicyDefinitions\. Par défaut %systemroot% correspond à C:\WINDOWS. En
comparaison, les fichiers ADM se trouvaient sous %systemroot% \inf\. Et les fichiers
ADML sont localisés sous %systemroot%\PolicyDefinitions\fr-FR pour la France.
366
Les stratégies de groupe avec Windows Vista
9. L’intégration de
Windows Vista dans
l’infrastructure
Figure 9.19 : Exemple d’un paramètre de stratégie de groupe
4. Fermez les fenêtres.
Regardez le contenu du répertoire PolicyDefinitions. Pour cela, procédez comme suit :
1. Ouvrez l’Explorateur Windows en cliquant sur le logo Windows de la barre des
tâches, puis sur Tous les programmes, Accessoires et Explorateur Windows.
2. Parcourez l’Explorateur jusqu’à C:\Windows\PolicyDefinitions.
Figure 9.20 : Le répertoire C:\Windows\PolicyDefinitions
367
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
368
L’intégration de Windows Vista dans l’infrastructure
Il existe, à la base, 132 fichiers ADMX. Autrement dit, contrairement aux versions
antérieures de Windows et aux fichiers ADM, à peu près tous les paramètres sont
configurables au format ADMX.
Éditons un fichier ADMX pour constater qu’il est bien au format XML standard.
Cliquez deux fois sur un fichier ADMX. Prenons l’exemple du fichier
AddRemovePrograms.admx ; il contient les éléments suivants :
<?xml version="1.0" encoding="utf-8"?>
<!-- (c) 2006 Microsoft Corporation -->
<policyDefinitions xmlns:xsd="http://www.w3.org/2001/XMLSchema"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0"
✂ schemaVersion="1.0"
✂ xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
<policyNamespaces>
<target prefix="addremoveprograms" namespace="Microsoft.Policies
✂ .AddRemovePrograms" />
<using prefix="windows" namespace="Microsoft.Policies.Windows" />
</policyNamespaces>
<resources minRequiredRevision="1.0" />
<categories>
<category name="Arp" displayName="$(string.Arp)">
<parentCategory ref="windows:ControlPanel" />
</category>
</categories>
<policies>
<policy name="DefaultCategory" class="User" displayName="$(string
✂ .DefaultCategory)" explainText="$(string.DefaultCategory_Help)"
✂ presentation="$(presentation.DefaultCategory)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
<elements>
<text id="DefaultCategoryBox" valueName="DefaultCategory" required="true"
✂ />
</elements>
</policy>
<policy name="NoAddFromCDorFloppy" class="User" displayName="$(string
✂ .NoAddFromCDorFloppy)" explainText="$(string.NoAddFromCDorFloppy_Help)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoAddFromCDorFloppy">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
<policy name="NoAddFromInternet" class="User" displayName="$(string
✂ .NoAddFromInternet)" explainText="$(string.NoAddFromInternet_Help)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoAddFromInternet">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
Les stratégies de groupe avec Windows Vista
9. L’intégration de
Windows Vista dans
l’infrastructure
<policy name="NoAddFromNetwork" class="User" displayName="$(string
✂ .NoAddFromNetwork)" explainText="$(string.NoAddFromNetwork_Help)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoAddFromNetwork">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
<policy name="NoAddPage" class="User" displayName="$(string.NoAddPage)"
✂ explainText="$(string.NoAddPage_Help)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoAddPage">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
<policy name="NoAddRemovePrograms" class="User" displayName="$(string
✂ .NoAddRemovePrograms)" explainText="$(string.NoAddRemovePrograms_Help)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoAddRemovePrograms">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
<policy name="NoChooseProgramsPage" class="User" displayName="$(string
✂ .NoChooseProgramsPage)" explainText="$(string.NoChooseProgramsPage_Help)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoChooseProgramsPage">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
<policy name="NoRemovePage" class="User" displayName="$(string.NoRemovePage)"
✂ explainText="$(string.NoRemovePage_Help)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoRemovePage">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
<policy name="NoServices" class="User" displayName="$(string.NoServices)"
✂ explainText="$(string.NoServices_Help)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoServices">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
<policy name="NoSupportInfo" class="User" displayName="$(string
✂ .NoSupportInfo)" explainText="$(string.NoSupportInfo_Help)"
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoSupportInfo">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
<policy name="NoWindowsSetupPage" class="User" displayName="$(string
✂ .NoWindowsSetupPage)" explainText="$(string.NoWindowsSetupPage_Help)"
369
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
✂ key="Software\Microsoft\Windows\CurrentVersion\Policies\Uninstall"
✂ valueName="NoWindowsSetupPage">
<parentCategory ref="Arp" />
<supportedOn ref="windows:SUPPORTED_WindowsPreVista" />
</policy>
</policies>
</policyDefinitions>
Vous retrouvez tous les éléments paramétrables de l’Ajout Suppression de
Programmes, ainsi que les clés de Registre à modifier et les versions de Windows prises
en charge. Sous l’éditeur de la stratégie de groupe locale, vous obtiendriez la vue
suivante :
Figure 9.21 : Les paramètres de stratégie de groupe concernant l’ajout et la suppression de
programmes au travers de l’éditeur de stratégie de groupe
Vous remarquez que les paramètres sont traduits en français. C’est possible grâce au
fichier AddRemovePrograms.adml correspondant qui fait le lien entre les paramètres
définis en anglais et une traduction française. Voici un tout petit extrait du contenu du
fichier ADML sur un seul paramètre :
<?xml version="1.0" encoding="utf-8"?>
<!-- (c) 2006 Microsoft Corporation -->
<policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema"
✂ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0"
✂ schemaVersion="1.0"
✂ xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
<displayName>tapez le nom complet ici</displayName>
<description>tapez la description ici</description>
370
Les stratégies de groupe avec Windows Vista
Si
✂
✂
✂
✂
vous activez ce paramètre, seuls sont affichés les programmes appartenant à
la catégorie que vous spécifiez lorsque la page "Ajouter de nouveaux
programmes" s’ouvre. Les utilisateurs peuvent utiliser la zone Catégorie sur
la page "Ajouter de nouveaux programmes" pour afficher les programmes dans
d’autres catégories.
9. L’intégration de
Windows Vista dans
l’infrastructure
<resources>
<stringTable>
<string id="Arp">Ajouter ou supprimer des programmes</string>
<string id="DefaultCategory">Spécifie la catégorie par défaut pour Ajouter
✂ de nouveaux programmes</string>
<string id="DefaultCategory_Help">Spécifie la catégorie des programmes qui
✂ apparaît quand les utilisateurs ouvrent la page "Ajouter de nouveaux
✂ programmes".
Pour utiliser ce paramètre, tapez le nom d’une catégorie dans la zone Catégorie
✂ pour ce paramètre. Vous devez entrer une catégorie qui est déjà définie dans
✂ Ajouter ou supprimer des programmes. Pour définir une catégorie, utilisez
✂ Installation de logiciel.
Si vous désactivez ce paramètre ou ne le configurez pas, tous les programmes
✂ (Catégorie : toutes) sont affichés lorsque la page "Ajouter de nouveaux
✂ programmes" s’ouvre.
Vous pouvez utiliser ce paramètre pour diriger les utilisateurs vers les
✂ programmes dont ils auront certainement besoin.
Remarque : ce paramètre est ignoré si le paramètre "Supprimer l’application
✂ Ajouter ou supprimer des programmes" ou le paramètre "Masquer la page Ajouter
✂ de nouveaux programmes" est activé.</string>…
Le cas de la stratégie de groupe dans Active Directory
Les ordinateurs Windows Vista vont, dans un premier temps, se retrouver membres de
domaines Active Directory Windows Server 2003 ou Windows Server 2003 R2. La
fonctionnalité des fichiers ADMX offre la possibilité de créer un répertoire de stockage
central au domaine, dans lequel vous pouvez stocker tous les fichiers ADMX. Ainsi,
toutes les stratégies de groupe créées au sein du domaine afin de contrôler les
paramètres des utilisateurs et des ordinateurs Windows Vista s’appuieront sur la même
référence de fichiers, allégeant la taille des stratégies de groupe.
Pour créer le répertoire central, procédez ainsi :
1. À partir d’un ordinateur Windows Vista, loguez-vous avec un compte possédant des
droits d’administration dans le domaine ou, au moins, les droits d’écriture dans le
répertoire d’infrastructure Sysvol.
2. Cliquez
sur
le
logo
Windows
de
la
barre
des
tâches,
puis
tapez
\\STLSCPDC01\SYSVOL\corp.puzzmania.com\Policies et validez.
371
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
3. Une fenêtre s’ouvre pointant sur le sous-répertoire Policies dans Sysvol. Vous
remarquez les répertoires représentant les identifiants uniques des stratégies de
groupe déjà existantes. Créez un nouveau répertoire que vous appelez
PolicyDefinitions.
Figure 9.22 : Créez un répertoire PolicyDefinitions dans Sysvol
4. Recopiez le contenu du répertoire local C:\WINDOWS\PolicyDefinitions\ dans le
répertoire PolicyDefinitions que vous venez de créer dans le dossier Sysvol. Vous
recopiez alors tous les fichiers ADMX et tous les fichiers ADML. Votre répertoire
central est créé et peuplé.
Figure 9.23 : Les fichiers ADMX et ADML sont copiés dans le répertoire
PolicyDefinitions du Sysvol
Pour tirer parti de ce répertoire central, vous allez créer une stratégie de groupe afin de
contrôler les paramètres de tous les ordinateurs Windows Vista contenus dans l’unité
d’organisation Ordinateurs Vista.
Attention, cette stratégie de groupe sera créée dans un domaine Active Directory
Windows Server 2003 pour contrôler des ordinateurs Windows Vista. La condition sine
372
Les stratégies de groupe avec Windows Vista
1. Cliquez sur le logo Windows de la barre des tâches, puis tapez gpmc.msc et validez.
La console de gestion des stratégies de groupe s’ouvre.
2. Développez l’arborescence jusqu’au conteneur Objets de stratégie de groupe.
9. L’intégration de
Windows Vista dans
l’infrastructure
qua non pour que cela fonctionne est qu’il faut que cette stratégie de groupe soit créée
à partir d’un ordinateur Windows Vista. Pour cela, Windows Vista intègre par défaut la
console de gestion des stratégies de groupe GPMC (Group Policy Management Console).
Figure 9.24 : La console de gestion des stratégies de groupe de Windows Vista
3. Cliquez avec le bouton droit de la souris sur Objets de stratégie de groupe. Un menu
déroulant apparaît. Cliquez sur Nouveau.
Figure 9.25 : Création d’une nouvelle GPO
4. Donnez un nom à votre stratégie de groupe, par exemple param ordi vista.
373
L’intégration de Windows Vista dans l’infrastructure
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
Figure 9.26 : La GPO param ordi vista
5. Cliquez avec le bouton droit de la souris sur l’objet Stratégie de groupe. Dans le menu
déroulant, cliquez sur Modifier. La stratégie de groupe param ordi vista s’ouvre.
Vous n’avez qu’à modifier les paramètres que vous souhaitez. Automatiquement, la
stratégie de groupe lira les fichiers ADMX localisés dans le répertoire de stockage
central.
6. Liez la stratégie de groupe à l’unité d’organisation Ordinateurs Vista. Pour cela, dans
l’interface de la GPMC, glissez la stratégie de groupe param ordi vista du conteneur
Objets de stratégie de groupe vers l’unité d’organisation Ordinateurs Vista.
Figure 9.27 : La GPO est liée à une unité d’organisation
374
Les stratégies de groupe avec Windows Vista
Maintenance des stratégies de groupe de Windows Vista
Pour sauvegarder un objet de stratégie de groupe, procédez ainsi :
9. L’intégration de
Windows Vista dans
l’infrastructure
Même sous Windows Vista vous devez porter une attention toute particulière à la
sauvegarde des stratégies de groupe afin d’anticiper toute éventualité de sinistre. Grâce
à la GPMC intégrée à Windows Vista, vous avez l’occasion de réaliser la sauvegarde de
toutes les stratégies de groupe et être sûr que ses sauvegardes prendront en compte les
nouveautés apportées par Windows Vista.
1. Ouvrez la console GPMC.
2. Dans l’arborescence de la console, déployez la forêt et le domaine contenant l’objet
de stratégie de groupe à sauvegarder, puis double-cliquez sur Objets de stratégie de
groupe.
3. Pour sauvegarder un unique objet de stratégie de groupe, cliquez dessus avec le
bouton droit de la souris, puis cliquez sur Sauvegarder. Pour sauvegarder tous les
objets de stratégie de groupe du domaine, cliquez avec le bouton droit de la souris
sur Objets de stratégie de groupe, puis cliquez sur Sauvegarder tout.
Figure 9.28 : Sauvegarde de GPO
4. Dans la zone Emplacement de la boîte de dialogue Sauvegarde de l’objet GPO,
entrez le chemin d’accès à l’emplacement choisi pour stocker la ou les sauvegardes
de GPO ou cliquez sur Parcourir pour rechercher le dossier où les stocker, puis
cliquez sur OK.
5. Dans la zone Description, entrez la description des GPO à sauvegarder, puis cliquez
sur Sauvegarder. En cas de sauvegarde de plusieurs GPO, la description s’applique
à tous les GPO concernés.
375
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
9. L’intégration de
Windows Vista dans
l’infrastructure
Figure 9.29 :
Description de
sauvegarde de GPO
6. Une fois l’opération terminée, cliquez sur OK.
Figure 9.30 :
Fin de l’opération de
sauvegarde
Pour restaurer un objet de stratégie de groupe sauvegardé, procédez comme suit :
1. Ouvrez la console GPMC.
2. Recherchez l’entrée Objets de stratégie de groupe dans l’arborescence de la console,
dans la forêt et dans le domaine contenant l’objet de stratégie de groupe à restaurer.
376
Les stratégies de groupe avec Windows Vista
1. Double-cliquez sur Objets de stratégie de groupe, cliquez avec le bouton droit de la
souris sur l’objet de stratégie de groupe à restaurer, puis cliquez sur Restaurer à
partir d’une sauvegarde.
9. L’intégration de
Windows Vista dans
l’infrastructure
Deux options s’offrent à vous. Pour restaurer une version précédente d’un objet de
stratégie de groupe existant, procédez comme suit :
Figure 9.31 : Restaurer à partir d’une sauvegarde
2. Lorsque l’Assistant Restauration d’objets de stratégie de groupe s’affiche, suivez les
instructions et fournissez les informations appropriées sur l’objet de stratégie de
groupe à restaurer, puis cliquez sur Terminer.
3. Une fois l’opération de restauration effectuée par l’Assistant Restauration d’objets
de stratégie de groupe, cliquez sur OK.
Pour restaurer un objet de stratégie de groupe supprimé, procédez ainsi :
1. Cliquez avec le bouton droit de la souris sur Objets de stratégie de groupe, puis
sélectionnez Gérer les sauvegardes (voir fig. 9.32).
2. Dans la boîte de dialogue Gérer les tâches de sauvegarde, sous la rubrique
Emplacement de sauvegarde, tapez le chemin du dossier de sauvegarde. Vous pouvez
également utiliser Parcourir pour rechercher le dossier de sauvegarde.
3. Dans la boîte de dialogue Objets de stratégie de groupe sauvegardés, choisissez sur
la liste des GPO la version à restaurer en vous appuyant sur les différentes versions
de sauvegarde, puis cliquez sur Restaurer (voir fig. 9.33).
377
L’intégration de Windows Vista dans l’infrastructure
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
Figure 9.32 : Gérer les sauvegardes
Figure 9.33 : Choix de la version à restaurer
4. Lorsque le système vous invite à confirmer l’opération de restauration, cliquez sur
OK
378
Les stratégies de groupe avec Windows Vista
Les stratégies de groupe locales multiples
9. L’intégration de
Windows Vista dans
l’infrastructure
La stratégie de groupe locale vous permet d’appliquer localement des paramètres liés à
la configuration de l’utilisateur (le fond d’écran, Internet Explorer, etc.) et/ou liés à la
configuration de l’ordinateur (les droits d’accès à l’ordinateur, par exemple). Dans les
versions antérieures de Windows, une seule stratégie de groupe locale existait. Cela peut
paraître normal : une seule stratégie locale pour contrôler soit les paramètres
d’ordinateur, soit les paramètres d’utilisateur. Dans certains cas cependant, le fait qu’il
n’y ait qu’une stratégie de groupe locale peut entraîner certaines limitations. En effet, si
vous utilisez votre ordinateur Windows, hors domaine, comme kiosque ou borne d’accès
en libre-service, vous allez configurer la stratégie de groupe locale afin de répondre à vos
besoins, c’est-à-dire pour sécuriser et simplifier son accès. Mais, lorsque vous agissez
ainsi, vous appliquez la stratégie locale à tous les utilisateurs qui se loguent sur cet
ordinateur, y compris l’administrateur, entraînant alors des difficultés d’administration.
Windows Vista lève cette limitation en permettant de créer et de configurer de multiples
stratégies de groupe locales. Ces stratégies de groupe locales s’appliquent en fonction
des utilisateurs locaux (quels qu’ils soient) ou des profils (les administrateurs ou les
non-administrateurs). Ainsi, sur vos ordinateurs bornes d’accès, vous pouvez configurer
pour les utilisateurs qui ne sont pas administrateurs une utilisation très sécurisée et
directive et, pour les administrateurs, vous pouvez définir des paramètres moins
restrictifs.
Pour créer et configurer plusieurs stratégies locales sous Windows Vista, suivez cette
procédure :
1. Cliquez sur le logo Windows de la barre des tâches, puis tapez mmc et validez. La
console MMC s’ouvre. Windows Vista en propose la version 3.
Figure 9.34 : La console mmc v3.0
379
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
9. L’intégration de
Windows Vista dans
l’infrastructure
2. Cliquez sur Fichier, puis sur Ajouter/Supprimer un composant logiciel enfichable.
Figure 9.35 : La fenêtre Ajouter/Supprimer un composant logiciel enfichable…
3. Dans la colonne de gauche, contenant les composants logiciels enfichables
disponibles, sélectionnez le composant Editeur d’objets de stratégie de groupe et
cliquez sur Ajouter >.
Figure 9.36 : La fenêtre de sélection de la stratégie de groupe
380
Les stratégies de groupe avec Windows Vista
4. Cliquez sur le bouton Parcourir.
9. L’intégration de
Windows Vista dans
l’infrastructure
Figure 9.37 : Choix de la stratégie de groupe
5. Une fenêtre s’ouvre afin que vous choisissiez une stratégie de groupe. Cliquez sur
l’onglet Utilisateurs.
Figure 9.38 :
Onglet Utilisateurs
6. Choisissez l’utilisateur local ou le groupe local que vous souhaitez configurer. Vous
ne voyez pas tous vos groupes locaux sur la liste, mais uniquement deux catégories :
les administrateurs et les non-administrateurs. Validez, puis cliquez sur OK.
381
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
9. L’intégration de
Windows Vista dans
l’infrastructure
Répétez cette opération pour tous les utilisateurs que vous souhaitez configurer.
Vous obtenez la console de configuration suivante :
Figure 9.39 : Stratégies de groupe locales multiples
Vous avez là plusieurs stratégies de groupe locales basées sur des utilisateurs locaux ou
sur des catégories d’utilisateurs locaux : les administrateurs ou les non-administrateurs.
Vous pouvez alors procéder à des paramétrages différents.
9.3.
La compatibilité des nouvelles fonctionnalités de
Windows Vista dans Active Directory
Toutes les nouveautés, toutes les améliorations apportées par les paramètres des
stratégies de groupe de Windows Vista seront entièrement exploitables uniquement
avec une version d’Active Directory provenant de serveurs Windows Server Longhorn.
Les administrateurs ont déjà connu cette phase de transition avec Windows XP
Professionnel, en attendant la sortie de Windows Server 2003.
Toutefois, il sera possible de prendre en compte certains nouveaux paramétrages des
stratégies de groupe de Windows Vista en modifiant la version existante du schéma
Active Directory Windows Server 2003 ou Windows Server 2003 R2. La totalité de ces
améliorations seront applicables aux ordinateurs Windows Vista, qui sont les seuls à
savoir en tirer pleinement parti, ce qui vous permettra de profiter d’une très bonne
382
La compatibilité des nouvelles fonctionnalités de Windows Vista dans Active Directory
Les nouveaux paramètres de stratégie de groupe apportent un support avancé pour les
ordinateurs Windows Vista en ce qui concerne la gestion des réseaux filaires Ethernet
IEEE 802.3, la gestion des réseaux sans fil Ethernet IEEE 802.11 et la prise en charge de
la fonctionnalité de cryptage fort de la partition du disque dur : Bitlocker. C’est sur la
prise en compte de ces nouveaux paramètres que vous allez pouvoir modifier le schéma
de votre infrastructure Active Directory existante afin de tirer parti de ces améliorations
au plus tôt, sans attendre Windows Server Longhorn.
9. L’intégration de
Windows Vista dans
l’infrastructure
intégration des machines Windows Vista dans votre infrastructure. Une partie de ces
améliorations reste tout de même applicable aux ordinateurs Windows XP, ce qui est un
atout indéniable.
Gérer les réseaux filaires IEEE 802.3
Contrairement à Windows XP, Windows Vista permet de contrôler, grâce aux stratégies
de groupe, les paramètres relatifs à l’authentification IEEE 802.1X des réseaux filaires
Ethernet IEEE 802.3.
Dans une infrastructure Active Directory existante de niveau Windows Server 2003 ou
Windows Server 2003 R2, vous pouvez étendre le schéma Active Directory pour que vos
ordinateurs Windows Vista profitent de ces paramètres. L’exercice consiste à ajouter les
attributs suivants dans Active Directory :
j
ms−net−ieee−8023−GP−PolicyGUID : identificateur unique pour la gestion des
réseaux filaires dans les objets de stratégie de groupe.
j
ms−net−ieee−8023−GP−PolicyData : inclut les valeurs des paramètres pour la
gestion des réseaux filaires dans les objets de stratégie de groupe.
j
ms−net−ieee−8023−GP−PolicyReserved : réservé à un usage futur.
Notions relatives à l’extension de schéma
Avant d’étendre le schéma d’Active Directory, vous devez prendre en compte les
points suivants :
La modification du schéma est globale à tous les domaines de la forêt.
j L’extension de schéma est irréversible. Les attributs ou les classes ne peuvent être
supprimés après leur création. Au mieux, ils peuvent être désactivés.
j Une sauvegarde de tous vos contrôleurs de domaine est nécessaire avant la
modification.
j Veillez à bien documenter vos changements. Une des meilleures solutions
consisterait à procéder d’abord à la modification de schéma sur un domaine de
test, proche de la configuration du domaine de production.
j
383
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
Pour plus d’informations sur le schéma d’Active Directory, consultez l’adresse
www.microsoft.com/technet/prodtechnol/windowsserver2003/fr/default.mspx.
Pour étendre le schéma Active Directory de votre infrastructure existante, afin de
prendre en compte les paramètres de gestion des réseaux filaires IEEE 802.3, procédez
comme suit :
1. Sur le contrôleur de domaine approprié (par expérience, celui qui détient le rôle de
maître de schéma), ouvrez le Bloc-notes et copiez le script suivant :
# ----------------------------------------------------------✂ #
Copyright (c) 2006 Microsoft Corporation
#
#
MODULE:
802.3Schema.ldf
# ----------------------------------------------------------# ----------------------------------------------------------#
define schemas for these attributes:
#ms-net-ieee-8023-GP-PolicyGUID
#ms-net-ieee-8023-GP-PolicyData
#ms-net-ieee-8023-GP-PolicyReserved
# ----------------------------------------------------------dn: CN=ms-net-ieee-8023-GP-PolicyGUID,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: attributeSchema
ldapDisplayName: ms-net-ieee-8023-GP-PolicyGUID
adminDisplayName: ms-net-ieee-8023-GP-PolicyGUID
adminDescription: This attribute contains a GUID which identifies a specific
✂ 802.3 group policy object on the domain.
attributeId: 1.2.840.113556.1.4.1954
attributeSyntax: 2.5.5.12
omSyntax: 64
isSingleValued: TRUE
systemOnly: FALSE
searchFlags: 0
rangeUpper: 64
schemaIdGuid:: WrCnlLK4WU+cJTnmm6oWhA==
showInAdvancedViewOnly: TRUE
systemFlags: 16
dn: CN=ms-net-ieee-8023-GP-PolicyData,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: attributeSchema
ldapDisplayName: ms-net-ieee-8023-GP-PolicyData
adminDisplayName: ms-net-ieee-8023-GP-PolicyData
adminDescription: This attribute contains all of the settings and data which
✂ comprise a group policy configuration for 802.3 wired networks.
attributeId: 1.2.840.113556.1.4.1955
attributeSyntax: 2.5.5.12
omSyntax: 64
isSingleValued: TRUE
384
La compatibilité des nouvelles fonctionnalités de Windows Vista dans Active Directory
dn: CN=ms-net-ieee-8023-GP-PolicyReserved,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: attributeSchema
ldapDisplayName: ms-net-ieee-8023-GP-PolicyReserved
adminDisplayName: ms-net-ieee-8023-GP-PolicyReserved
adminDescription: Reserved for future use
attributeId: 1.2.840.113556.1.4.1956
attributeSyntax: 2.5.5.10
omSyntax: 4
isSingleValued: TRUE
systemOnly: FALSE
searchFlags: 0
rangeUpper: 1048576
schemaIdGuid:: xyfF0wYm602M/RhCb+7Izg==
showInAdvancedViewOnly: TRUE
systemFlags: 16
9. L’intégration de
Windows Vista dans
l’infrastructure
systemOnly: FALSE
searchFlags: 0
rangeUpper: 1048576
schemaIdGuid:: i5SYg1d0kU29TY1+1mnJ9w==
showInAdvancedViewOnly: TRUE
systemFlags: 16
# ----------------------------------------------------------✂ #
Reload the schema cache to pick up altered classes and attributes
# ----------------------------------------------------------dn:
changetype: ntdsSchemaModify
add: schemaUpdateNow
schemaUpdateNow: 1
# ----------------------------------------------------------#
define schemas for the parent class:
#ms-net-ieee-8023-GroupPolicy
# ----------------------------------------------------------dn: CN=ms-net-ieee-8023-GroupPolicy,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: classSchema
ldapDisplayName: ms-net-ieee-8023-GroupPolicy
adminDisplayName: ms-net-ieee-8023-GroupPolicy
adminDescription: This class represents an 802.3 wired network group policy
✂ object. This class contains identifiers and configuration data relevant
✂ to an 802.3 wired network.
governsId: 1.2.840.113556.1.5.252
objectClassCategory: 1
rdnAttId: 2.5.4.3
subClassOf: 2.5.6.0
systemMayContain: 1.2.840.113556.1.4.1956
systemMayContain: 1.2.840.113556.1.4.1955
systemMayContain: 1.2.840.113556.1.4.1954
385
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
systemPossSuperiors: 1.2.840.113556.1.3.30
systemPossSuperiors: 1.2.840.113556.1.3.23
systemPossSuperiors: 2.5.6.6
schemaIdGuid:: ajqgmRmrRkSTUAy4eO0tmw==
defaultSecurityDescriptor:
✂ D:(A;;RPWPCRCCDCLCLORCWOWDSDDTSW;;;DA)(A;;RPWPCRCCDCLCLORCWOWDSDDTSW;;;SY)
✂ (A;;RPLCLORC;;;AU)
showInAdvancedViewOnly: TRUE
defaultHidingValue: TRUE
systemOnly: FALSE
defaultObjectCategory:
✂ CN=ms-net-ieee-8023-GroupPolicy,CN=Schema,CN=Configuration,DC=X
systemFlags: 16
# ----------------------------------------------------------#
Reload the schema cache to pick up altered classes and attributes
# ----------------------------------------------------------dn:
changetype: ntdsSchemaModify
add: schemaUpdateNow
schemaUpdateNow: 1
2. Sauvegardez le fichier sous le nom 802.3Schema.ldf et au format ANSI.
Stockez-le à un endroit simple pour le récupérer, C:\TEMP par exemple.
3. Cliquez sur Démarrer, puis sur Exécuter. Tapez cmd.
4. Dans l’Invite de commandes, tapez la ligne ldifde −i −v −k −f 802.3Schema
.ldf −c DC=X Nom_LDAP_complet_du_domaine, où Nom_LDAP_complet
_du_domaine correspond au nom unique LDAP du domaine.
Figure 9.40 : Ligne de commandes de modification du schéma pour la gestion des
paramètres de GPO des réseaux filaires IEE802.3
Le schéma est modifié.
5. Redémarrez le contrôleur de domaine sur lequel vous avez lancé la commande pour
que les changements soient pris en compte.
Le schéma est modifié. Il ne vous reste plus qu’à créer ou ouvrir une stratégie de groupe
existante, à partir d’un ordinateur Windows Vista :
1. Cliquez sur le logo Windows de la barre des tâches, puis tapez gpmc.msc et validez.
La console de gestion des stratégies de groupe s’ouvre.
2. Développez l’arborescence jusqu’au conteneur Objets de stratégie de groupe.
386
La compatibilité des nouvelles fonctionnalités de Windows Vista dans Active Directory
4. Développez les rubriques Configuration ordinateur, Paramètres Windows et
Paramètres de sécurité. Cliquez avec le bouton droit de la souris sur Stratégie de
réseau filaire (IEEE 802.3).
5. Cliquez sur Créer une nouvelle stratégie Windows Vista. La fenêtre des propriétés
s’ouvre.
9. L’intégration de
Windows Vista dans
l’infrastructure
3. Cliquez avec le bouton droit de la souris sur la stratégie de groupe que vous
souhaitez éditer. Dans le menu déroulant, cliquez sur Modifier.
6. Vous pouvez entrer un nom et une description. Cliquez sur l’onglet Sécurité. Vous
pouvez ajuster vos paramètres d’authentification que tous les adaptateurs réseau
affectés par cette stratégie de groupe appliqueront.
Gérer les réseaux sans fil IEEE 802.11
Concernant la gestion des réseaux sans fil IEEE 802.11, les nouveaux paramètres de
stratégie de groupe inclus dans Windows Vista (et nativement dans Windows Server
Longhorn) apportent davantage de flexibilité et améliore la qualité d’administration,
notamment sur les fonctions suivantes…
j
Un mode de sécurité mixte : vous pouvez maintenant configurer plusieurs profils
avec le même SSID, mais avec des méthodes de sécurité différentes. Le SSID
(Service Set IDentifier) désigne le réseau auquel est attaché le poste. Ainsi, les
ordinateurs clients possédant des capacités de niveau de sécurité différentes
pourront malgré tout se connecter au même réseau sans fil.
j
Permettre et refuser les listes pour les réseaux sans fil : vous pouvez configurer une
liste de réseaux sans fil auxquels le client sans fil de Windows Vista peut se relier et
une liste de réseaux sans fil auxquels le client sans fil de Windows Vista ne peut pas
se relier.
j
L’extensibilité : vous pouvez importer les profils qui ont des paramètres spécifiques
de connectivité et de sécurité des fournisseurs sans fil, tels que différents types
d’EAP.
Vous pouvez étendre le schéma Active Directory pour que vos ordinateurs Windows
Vista puissent profiter de ces paramètres. L’exercice consiste à ajouter les attributs
suivants dans Active Directory…
j
ms−net−ieee−80211−GP−PolicyGUID : identificateur unique pour la gestion des
réseaux sans fil dans les objets de stratégie de groupe.
j
ms−net−ieee−80211−GP−PolicyData : inclut les valeurs des paramètres pour la
gestion des réseaux sans fil dans les objets de stratégie de groupe.
j
ms−net−ieee−80211−GP−PolicyReserved : réservé pour un usage futur.
387
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
Pour étendre le schéma Active Directory de votre infrastructure existante afin de
prendre en compte les paramètres de gestion des réseaux sans fil IEEE 802.11, procédez
ainsi :
1. Sur le contrôleur de domaine approprié (par expérience, celui qui détient le rôle de
maître de schéma), ouvrez le Bloc-notes et copiez le script suivant :
# ----------------------------------------------------------#
Copyright (c) 2006 Microsoft Corporation
#
#
MODULE:
802.11Schema.ldf
# ----------------------------------------------------------# ----------------------------------------------------------#
define schemas for these attributes:
#ms-net-ieee-80211-GP-PolicyGUID
#ms-net-ieee-80211-GP-PolicyData
#ms-net-ieee-80211-GP-PolicyReserved
# ----------------------------------------------------------dn: CN=ms-net-ieee-80211-GP-PolicyGUID,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: attributeSchema
ldapDisplayName: ms-net-ieee-80211-GP-PolicyGUID
adminDisplayName: ms-net-ieee-80211-GP-PolicyGUID
adminDescription: This attribute contains a GUID which identifies a specific
✂ 802.11 group policy object on the domain.
attributeId: 1.2.840.113556.1.4.1951
attributeSyntax: 2.5.5.12
omSyntax: 64
isSingleValued: TRUE
systemOnly: FALSE
searchFlags: 0
rangeUpper: 64
schemaIdGuid:: YnBpNa8ei0SsHjiOC+T97g==
showInAdvancedViewOnly: TRUE
systemFlags: 16
dn: CN=ms-net-ieee-80211-GP-PolicyData,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: attributeSchema
ldapDisplayName: ms-net-ieee-80211-GP-PolicyData
adminDisplayName: ms-net-ieee-80211-GP-PolicyData
adminDescription: This attribute contains all of the settings and data which
✂ comprise a group policy configuration for 802.11 wireless networks.
attributeId: 1.2.840.113556.1.4.1952
attributeSyntax: 2.5.5.12
omSyntax: 64
isSingleValued: TRUE
systemOnly: FALSE
searchFlags: 0
rangeUpper: 4194304
schemaIdGuid:: pZUUnHZNjkaZHhQzsKZ4VQ==
showInAdvancedViewOnly: TRUE
388
La compatibilité des nouvelles fonctionnalités de Windows Vista dans Active Directory
systemFlags: 16
9. L’intégration de
Windows Vista dans
l’infrastructure
dn: CN=ms-net-ieee-80211-GP-PolicyReserved,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: attributeSchema
ldapDisplayName: ms-net-ieee-80211-GP-PolicyReserved
adminDisplayName: ms-net-ieee-80211-GP-PolicyReserved
adminDescription: Reserved for future use
attributeId: 1.2.840.113556.1.4.1953
attributeSyntax: 2.5.5.10
omSyntax: 4
isSingleValued: TRUE
systemOnly: FALSE
searchFlags: 0
rangeUpper: 4194304
schemaIdGuid:: LsZpD44I9U+lOukjzsB8Cg==
showInAdvancedViewOnly: TRUE
systemFlags: 16
# ----------------------------------------------------------#
Reload the schema cache to pick up altered classes and attributes
# ----------------------------------------------------------dn:
changetype: ntdsSchemaModify
add: schemaUpdateNow
schemaUpdateNow: 1
# ----------------------------------------------------------#
define schemas for the parent class:
#ms-net-ieee-80211-GroupPolicy
# ----------------------------------------------------------dn: CN=ms-net-ieee-80211-GroupPolicy,CN=Schema,CN=Configuration,DC=X
changetype: ntdsSchemaAdd
objectClass: classSchema
ldapDisplayName: ms-net-ieee-80211-GroupPolicy
adminDisplayName: ms-net-ieee-80211-GroupPolicy
adminDescription: This class represents an 802.11 wireless network group
✂ policy object. This class contains identifiers and configuration data
✂ relevant to an 802.11 wireless network.
governsId: 1.2.840.113556.1.5.251
objectClassCategory: 1
rdnAttId: 2.5.4.3
subClassOf: 2.5.6.0
systemMayContain: 1.2.840.113556.1.4.1953
systemMayContain: 1.2.840.113556.1.4.1952
systemMayContain: 1.2.840.113556.1.4.1951
systemPossSuperiors: 1.2.840.113556.1.3.30
systemPossSuperiors: 1.2.840.113556.1.3.23
systemPossSuperiors: 2.5.6.6
schemaIdGuid:: Yxi4HCK4eUOeol/3vcY4bQ==
389
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
defaultSecurityDescriptor:
✂ D:(A;;RPWPCRCCDCLCLORCWOWDSDDTSW;;;DA)(A;;RPWPCRCCDCLCLORCWOWDSDDTSW;;;SY)
✂ (A;;RPLCLORC;;;AU)
showInAdvancedViewOnly: TRUE
defaultHidingValue: TRUE
systemOnly: FALSE
defaultObjectCategory:
✂ CN=ms-net-ieee-80211-GroupPolicy,CN=Schema,CN=Configuration,DC=X
systemFlags: 16
# ----------------------------------------------------------#
Reload the schema cache to pick up altered classes and attributes
# ----------------------------------------------------------dn:
changetype: ntdsSchemaModify
add: schemaUpdateNow
schemaUpdateNow: 1
2. Sauvegardez le fichier sous le nom 802.11Schema.ldf et au format ANSI.
Stockez-le à un endroit simple pour le récupérer, C:\TEMP par exemple.
3. Cliquez sur Démarrer puis Exécuter. Tapez cmd.
4. Dans l’Invite de commandes, tapez ldifde −i −v −k −f 802.11Schema.ldf −c
DC=X Nom_LDAP_complet_du_domaine.
Figure 9.41 : Ligne de commandes de modification du schéma pour la gestion des
paramètres de GPO des réseaux sans fil IEE802.11
La modification du schéma s’exécute.
5. Redémarrez le contrôleur de domaine sur lequel vous avez lancé la commande pour
que les changements soient pris en compte.
Le schéma est maintenant modifié. Il ne vous reste plus qu’à créer ou à ouvrir une
stratégie de groupe existante, à partir d’un ordinateur Windows Vista :
1. Cliquez sur le logo Windows de la barre des tâches, puis tapez gpmc.msc et validez.
La console de gestion des stratégies de groupe s’ouvre.
2. Développez l’arborescence jusqu’au conteneur Objets de stratégie de groupe.
3. Cliquez avec le bouton droit de la souris sur la stratégie de groupe que vous
souhaitez éditer. Dans le menu déroulant, cliquez sur Modifier.
390
La compatibilité des nouvelles fonctionnalités de Windows Vista dans Active Directory
5. Cliquez sur Créer une nouvelle stratégie Windows Vista. La fenêtre des propriétés
s’ouvre.
6. Vous pouvez entrer un nom et une description. Vous pouvez entrer la liste des SSID
autorisés. Cliquez sur l’onglet Permissions réseau. Vous pouvez ajuster vos
paramètres d’authentification que tous les adaptateurs réseau sans fil affectés par
cette stratégie de groupe appliqueront.
9. L’intégration de
Windows Vista dans
l’infrastructure
4. Développez les rubriques Configuration ordinateur, Paramètres Windows, puis
Paramètres de sécurité. Cliquez avec le bouton droit de la souris sur Stratégie de
réseau sans fil (IEEE 802.11).
Vous pouvez également créer une stratégie sans fil pour Windows XP, comme cela
existait déjà avec une infrastructure Active Directory Windows Server 2003 et
Windows XP.
1. Cliquez avec le bouton droit de la souris sur la stratégie de groupe que vous
souhaitez éditer. Dans le menu déroulant, cliquez sur Modifier.
2. Développez les rubriques Configuration ordinateur, Paramètres Windows, puis
Paramètres de sécurité. Cliquez avec le bouton droit de la souris sur Stratégie de
réseau sans fil (IEEE 802.11).
3. Cliquez sur Créer une nouvelle stratégie Windows XP. La fenêtre des propriétés
s’ouvre.
4. Vous pouvez entrer un nom, une description et configurer vos préférences. Les
possibilités sont moins étendues que sous Windows Vista.
Gérer Bitlocker
Lorsque vous activez Bitlocker sur un ordinateur Windows Vista vous chiffrez de façon
forte la partition de votre disque dur. La fonctionnalité Bitlocker s’appuie sur une puce
matérielle appelée TPM, ce qui rend encore plus fort son chiffrement.
Pour pouvoir crypter et décrypter les données, vous avez besoin de gérer les clés
Bitlocker ainsi que les mots de passe TPM. Active Directory vous donne l’occasion de
les sauvegarder de façon centralisée, à condition que vous mettiez à niveau le schéma.
Les informations de récupération incluent le mot de passe de récupération pour chaque
volume Bitlocker activé, le mot de passe TPM, et l’information permettant d’identifier
à quel ordinateur s’applique le cryptage.
Sauvegarder le mot de passe de récupération pour chaque volume Bitlocker activé ainsi
que le mot de passe TPM permet aux administrateurs d’accéder et de récupérer des
données de volumes verrouillés. Ce qui assure aux administrateurs de l’entreprise de
garantir l’accès aux données cryptées à l’utilisateur, même si celui-ci a perdu la clé
Bitlocker et le mot de passe.
391
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
Prise en charge de l’extension de schéma pour Bitlocker
Toutes les versions d’Active Directory ne prennent pas en charge l’extension de
schéma pour Bitlocker : tous les contrôleurs de domaine de l’infrastructure doivent
être au préalable sous Windows Server 2003, avec le Service Pack 1 au minimum.
Pour étendre le schéma Active Directory de votre infrastructure existante et prendre en
compte la sauvegarde des paramètres de récupération Bitlocker, procédez ainsi :
1. Sur le contrôleur de domaine approprié (par expérience, celui qui détient le rôle de
maître de schéma), ouvrez le Bloc-notes et copiez ce script…
#=============================================================================
# TPM Recovery Information - Attributes
#=============================================================================
#
# ms-TPM-OwnerInformation
#
dn: CN=ms-TPM-OwnerInformation,CN=Schema,CN=Configuration,DC=X
changetype: add
objectClass: attributeSchema
ldapDisplayName: msTPM-OwnerInformation
adminDisplayName: TPM-OwnerInformation
adminDescription: This attribute contains the owner information of a
✂ particular TPM.
attributeId: 1.2.840.113556.1.4.1966
attributeSyntax: 2.5.5.12
omSyntax: 64
isSingleValued: TRUE
searchFlags: 136
schemaIdGuid:: bRpOqg1VBU6MNUr8uRep/g==
showInAdvancedViewOnly: TRUE
#=============================================================================
# Bitlocker Recovery Information - Attributes
# NOTE: FVE is the acronym for Full Volume Encryption, a pre-release name
#=============================================================================
#
# ms-FVE-RecoveryGuid
#
dn: CN=ms-FVE-RecoveryGuid,CN=Schema,CN=Configuration,DC=X
changetype: add
objectClass: attributeSchema
ldapDisplayName: msFVE-RecoveryGuid
adminDisplayName: FVE-RecoveryGuid
adminDescription: This attribute contains the GUID associated with a Full
✂ Volume Encryption (FVE) recovery password.
attributeID: 1.2.840.113556.1.4.1965
attributeSyntax: 2.5.5.10
omSyntax: 4
isSingleValued: TRUE
searchFlags: 137
392
La compatibilité des nouvelles fonctionnalités de Windows Vista dans Active Directory
9. L’intégration de
Windows Vista dans
l’infrastructure
schemaIdGuid:: vAlp93jmoEews/hqAETAbQ==
showInAdvancedViewOnly: TRUE
#
# ms-FVE-RecoveryPassword
#
dn: CN=ms-FVE-RecoveryPassword,CN=Schema,CN=Configuration,DC=X
changetype: add
objectClass: attributeSchema
ldapDisplayName: msFVE-RecoveryPassword
adminDisplayName: FVE-RecoveryPassword
adminDescription: This attribute contains the password required to recover a
✂ Full Volume Encryption (FVE) volume.
attributeId: 1.2.840.113556.1.4.1964
attributeSyntax: 2.5.5.12
omSyntax: 64
isSingleValued: TRUE
searchFlags: 136
schemaIdGuid:: wRoGQ63IzEy3hSv6wg/GCg==
showInAdvancedViewOnly: TRUE
#=============================================================================
# Attributes - Schema Update
#=============================================================================
dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
#=============================================================================
# BitLocker Recovery Information - Class
#=============================================================================
#
# ms-FVE-RecoveryInformation
#
dn: CN=ms-FVE-RecoveryInformation,CN=Schema,CN=Configuration,DC=X
changetype: add
objectClass: classSchema
ldapDisplayName: msFVE-RecoveryInformation
adminDisplayName: FVE-RecoveryInformation
adminDescription: This class contains a Full Volume Encryption recovery
✂ password with its associated GUID.
governsID: 1.2.840.113556.1.5.253
objectClassCategory: 1
subClassOf: top
systemMustContain: msFVE-RecoveryGuid
systemMustContain: msFVE-RecoveryPassword
systemPossSuperiors: computer
schemaIdGUID:: MF1x6lOP0EC9HmEJGG14LA==
defaultSecurityDescriptor:
✂ D:(A;;RPWPCRCCDCLCLORCWOWDSDDTSW;;;DA)(A;;RPWPCRCCDCLCLORCWOWDSDDTSW;;;SY)
defaultHidingValue: TRUE
defaultObjectCategory:
✂ CN=ms-FVE-RecoveryInformation,CN=Schema,CN=Configuration,DC=X
393
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
L’intégration de Windows Vista dans l’infrastructure
#=============================================================================
# Classes - Schema Update
#=============================================================================
dn: CN=computer,CN=Schema,CN=Configuration,DC=X
#changetype: ntdsSchemaModify
changetype: modify
add: mayContain
mayContain: msTPM-OwnerInformation
dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
#=============================================================================
# Bitlocker Recovery Information - Additional Attributes
#=============================================================================
#
# ms-FVE-VolumeGuid
#
dn: CN=ms-FVE-VolumeGuid,CN=Schema,CN=Configuration,DC=X
changetype: add
objectClass: attributeSchema
ldapDisplayName: msFVE-VolumeGuid
adminDisplayName: FVE-VolumeGuid
adminDescription: This attribute contains the GUID associated with a
✂ BitLocker-supported disk volume. Full Volume Encryption (FVE) was the
✂ pre-release name for BitLocker Drive Encryption.
attributeID: 1.2.840.113556.1.4.1998
attributeSyntax: 2.5.5.10
omSyntax: 4
isSingleValued: TRUE
searchFlags: 27
schemaIdGuid:: z6Xlhe7cdUCc/aydtqLyRQ==
showInAdvancedViewOnly: TRUE
isMemberOfPartialAttributeSet: TRUE
rangeUpper: 128
#
# ms-FVE-KeyPackage
#
dn: CN=ms-FVE-KeyPackage,CN=Schema,CN=Configuration,DC=X
changetype: add
objectClass: attributeSchema
ldapDisplayName: msFVE-KeyPackage
adminDisplayName: FVE-KeyPackage
adminDescription: This attribute contains a volume’s BitLocker encryption key
✂ secured by the corresponding recovery password. Full Volume Encryption
✂ (FVE) was the pre-release name for BitLocker Drive Encryption.
attributeId: 1.2.840.113556.1.4.1999
attributeSyntax: 2.5.5.10
394
La compatibilité des nouvelles fonctionnalités de Windows Vista dans Active Directory
9. L’intégration de
Windows Vista dans
l’infrastructure
omSyntax: 4
isSingleValued: TRUE
searchFlags: 152
schemaIdGuid:: qF7VH6eI3EeBKQ2qlxhqVA==
showInAdvancedViewOnly: TRUE
isMemberOfPartialAttributeSet: FALSE
rangeUpper: 102400
#=============================================================================
# Additional Attributes - Schema Update
#=============================================================================
dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
#=============================================================================
# Updates to BitLocker Recovery Information Class
#=============================================================================
dn: CN=ms-FVE-RecoveryInformation,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: adminDescription
adminDescription: This class contains BitLocker recovery information
✂ including GUIDs, recovery passwords, and keys. Full Volume Encryption
✂ (FVE) was the pre-release name for BitLocker Drive Encryption.
dn: CN=ms-FVE-RecoveryInformation,CN=Schema,CN=Configuration,DC=X
changetype: modify
add: mayContain
mayContain: msFVE-VolumeGuid
mayContain: msFVE-KeyPackage
#=============================================================================
# Updates to pre-RC1 Attributes
#=============================================================================
#
# Updates to ms-TPM-OwnerInformation
#
dn: CN=ms-TPM-OwnerInformation,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: searchFlags
searchFlags: 152
dn: CN=ms-TPM-OwnerInformation,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: rangeUpper
rangeUpper: 128
#
395
9. L’intégration de
Windows Vista dans
l’infrastructure
Chapitre 9
396
L’intégration de Windows Vista dans l’infrastructure
# Updates to ms-FVE-RecoveryGuid
#
dn: CN=ms-FVE-RecoveryGuid,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: adminDescription
adminDescription: This attribute contains the GUID associated with a
✂ BitLocker recovery password. Full Volume Encryption (FVE) was the
✂ pre-release name for BitLocker Drive Encryption.
dn: CN=ms-FVE-RecoveryGuid,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: searchFlags
searchFlags: 27
dn: CN=ms-FVE-RecoveryGuid,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: rangeUpper
rangeUpper: 128
dn: CN=ms-FVE-RecoveryGuid,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: isMemberOfPartialAttributeSet
isMemberOfPartialAttributeSet: TRUE
#
# Updates to ms-FVE-RecoveryPassword
#
dn: CN=ms-FVE-RecoveryPassword,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: adminDescription
adminDescription: This attribute contains a password that can recover a
✂ BitLocker-encrypted volume. Full Volume Encryption (FVE) was the
✂ pre-release name for BitLocker Drive Encryption.
dn: CN=ms-FVE-RecoveryPassword,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: searchFlags
searchFlags: 152
dn: CN=ms-FVE-RecoveryPassword,CN=Schema,CN=Configuration,DC=X
changetype: modify
replace: rangeUpper
rangeUpper: 256
#
# Reload the schema cache to pick up updated attributes
#
dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
En résumé
3. Cliquez sur Démarrer, puis Exécuter. Tapez cmd.
4. Dans
l’Invite
de
commandes,
tapez
ldifde
−i
−v
−k
−f
BitLockerTPMSchemaExtension.ldf −c DC=X Nom_LDAP_complet_du_domaine.
9. L’intégration de
Windows Vista dans
l’infrastructure
2. Sauvegardez le fichier sous le nom BitLockerTPMSchemaExtension.ldf et au
format ANSI. Stockez-le dans un endroit simple pour le récupérer, C:\TEMP par
exemple.
Figure 9.42 : Ligne de commandes de modification du schéma pour la gestion des
paramètres Bitlocker
La modification du schéma s’exécute.
5. Redémarrez le contrôleur de domaine sur lequel vous avez lancé la commande pour
que les changements soient pris en compte.
N’étendez pas le schéma d’Active Directory à l’aide du DVD d’installation de Windows
Vista !
Le DVD d’installation de Windows Vista contient l’utilitaire adprep.exe qui est censé
étendre le schéma d’Active Directory pour la prise en compte des réseaux filaires
IEEE 802.3, des réseaux sans fil IEEE 802.11 et de Bitlocker de façon unifiée. Or, la
version adprep.exe contenue sur le DVD d’installation de Windows Vista est une
version bêta qui ne fonctionne pas en production et qui n’est pas prise en charge. Vous
devez impérativement suivre les procédures et les scripts qui viennent de vous être
décrits.
9.4.
En résumé
Microsoft fait tout pour que Windows Vista s’intègre le mieux possible à un domaine
existant, et c’est normal : il y va de l’adoption du produit par les entreprises.
Outre les nombreuses nouveautés des paramètres de stratégie de groupe ou les
optimisations de leur traitement, notez la présence de la console de gestion des
stratégies de groupe (GPMC) de base sous Windows Vista, qui vous permet d’exploiter
immédiatement des stratégies de groupe pour les ordinateurs Windows Vista.
397
Chapitre 10
Windows
PowerShell
10.1
10.2
10.3
10.4
10.5
10.6
10.7
10.8
10.9
10.10
Présentation de Windows PowerShell . . . . . .
Installer Windows PowerShell . . . . . . . . . . .
Exécuter Windows PowerShell . . . . . . . . . . .
Les applets de commande Windows PowerShell
Le traitement d’objets . . . . . . . . . . . . . . . .
L’interaction et les scripts . . . . . . . . . . . . .
Utiliser Windows PowerShell . . . . . . . . . . . .
Naviguer dans Windows PowerShell . . . . . . .
PowerShell et Active Directory . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . .
....
....
....
...
....
....
....
....
....
....
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 401
. 402
. 403
. 404
. 410
. 413
. 415
. 424
. 427
. 428
Présentation de Windows PowerShell
W
indows PowerShell est un environnement de ligne de commande Windows
spécialement conçu pour les administrateurs système. Il comprend une ligne de
commandes interactive et un environnement de script qui peuvent être utilisés
indépendamment l’un de l’autre ou ensemble. Le parallèle est tout de suite évident avec
les puissants outils de ligne de commande et d’environnement de scripts présents sous
Unix/Linux.
10. Windows
PowerShell
Même si Windows PowerShell n’est pas natif dans Windows Server 2003 ou dans
Windows Vista, il y a fort à parier qu’il va occuper une place importante dans
l’administration de postes utilisateurs et des serveurs dans les années à venir.
Windows PowerShell peut être utilisé également sur Windows XP ainsi que
Windows Server 2003. Le seul prérequis pour qu’il puisse fonctionner est la présence de
l’environnement .NET Framework 2.0.
10.1. Présentation de Windows PowerShell
Windows PowerShell est basé sur le Common Language Runtime (CLR) .NET, le .NET
Framework 2.0 et accepte et retourne des objets .NET. Cette modification
fondamentale de l’environnement apporte des méthodes et des outils entièrement
nouveaux pour la gestion et la configuration de Windows.
Windows PowerShell introduit le concept d’applet de commande, un outil de ligne de
commande simple, à fonction unique, intégré dans l’environnement. Vous pouvez utiliser
chaque applet de commande séparément, mais leur puissance se révèle lorsque vous
combinez ces outils simples pour effectuer des tâches complexes. Windows PowerShell
inclut plus de cent applets de commande principales. Vous pouvez également écrire vos
propres applets de commande et les partager avec d’autres utilisateurs.
Comme de nombreux environnements, Windows PowerShell vous donne accès au
système de fichiers de l’ordinateur. En outre, les fournisseurs de Windows PowerShell
vous permettent d’accéder à d’autres magasins de données, tels que le Registre et les
magasins de certificats de signatures numériques, aussi facilement que vous accédez au
système de fichiers.
La plupart des environnements, y compris la ligne de commande Windows et les
environnements Unix/Linux fonctionnent en exécutant une commande ou un utilitaire
dans un nouveau processus, et en présentant les résultats à l’utilisateur sous forme de
texte. Ces environnements présentent aussi des commandes intégrées à
l’environnement et qui s’exécutent dans le processus de l’environnement. La présence
dans la plupart des environnements d’un nombre limité de commandes intégrées a
donné lieu à la création de beaucoup d’utilitaires complémentaires.
Windows PowerShell est en cela très différent des utilitaires disponibles aujourd’hui.
j
Windows PowerShell ne traite pas de texte, mais des objets basés sur la plateforme
.NET.
401
Chapitre 10
Windows PowerShell
j
Windows PowerShell est livré avec un important jeu de commandes intégrées,
dotées d’une interface homogène.
j
Toutes les commandes de l’environnement utilisent le même analyseur de
commande, au lieu d’analyseurs différents pour chaque outil. L’utilisation de
chaque commande est ainsi beaucoup plus simple à acquérir.
10. Windows
PowerShell
Mieux, vous n’avez pas à abandonner les outils auxquels vous êtes habitué. Vous pouvez
toujours utiliser les outils Windows traditionnels, tels que net, sc et reg.exe dans Windows
PowerShell.
Concernant la conception de PowerShell, les développeurs sont partis de zéro pour
redéfinir le Shell avec comme inspiration ce qui se faisait déjà dans les autres systèmes :
j
Unix pour le modèle de composition très puissant ;
j
AS400 et VMS pour les nommages et la syntaxe consistante facilitant
l’apprentissage ;
j
TCL et WSH pour le support multilangage ;
j
Bash, Perl, C# pour le style et la richesse des expressions.
Windows PowerShell utilise son propre langage au lieu de réutiliser un langage existant,
parce que Windows PowerShell avait besoin d’un langage pour la gestion des objets
.NET qui permette de fournir un environnement cohérent d’utilisation des applets de
commande qui permette la prise en charge de tâches complexes, sans compliquer les
tâches simples et qui permette enfin une cohérence avec les langages de niveau
supérieur utilisés en programmation .NET, comme C#.
10.2. Installer Windows PowerShell
Windows PowerShell nécessite certains prérequis pour pouvoir fonctionner
correctement. Windows PowerShell requiert les programmes suivants :
j
Windows Vista, Windows XP Service Pack 2 ou Windows Server 2003 Service
Pack 1 ;
j
Microsoft .NET Framework 2.0.
Windows PowerShell
Windows PowerShell n’est pas fourni à la base. Vous pouvez le télécharger à l’adresse
www.microsoft.com/windowsserver2003/technologies/management/powershell/download
.mspx. Choisissez alors la version que vous souhaitez en adéquation avec le système
d’exploitation.
402
Exécuter Windows PowerShell
Pour installer Windows PowerShell :
1. Exécutez le fichier que vous venez de télécharger.
2. Suivez les instructions des pages de l’assistant d’installation.
10. Windows
PowerShell
Figure 10.1 :
Installation de Windows
PowerShell
Vous avez la possibilité de procéder à l’installation de façon silencieuse depuis un
partage réseau.
3. Une fois que vous avez recopié le fichier d’installation sur le partage réseau
souhaité, ouvrez une Invite en ligne de commande, accédez au partage réseau, puis
tapez <Nom_fichier_exe_PowerShell> /quiet.
10.3. Exécuter Windows PowerShell
Pour lancer Windows PowerShell :
j
À partir du menu de démarrage de Windows, cliquez sur le logo Windows, sur Tous
les programmes, sur Windows PowerShell 1.0, puis sur l’icône de Windows
PowerShell.
j
À partir de la zone d’exécution, cliquez sur le logo Windows, tapez powershell et
validez.
j
À partir d’une fenêtre d’Invite de commandes, tapez powershell. Parce que
Windows PowerShell s’exécute dans une session de console, vous pouvez utiliser
cette technique pour l’exécuter au cours d’une session Telnet ou SSH à distance.
Pour revenir à votre session d’invite de commandes, tapez exit.
403
10. Windows
PowerShell
Chapitre 10
Windows PowerShell
Figure 10.2 : Exécution de Windows PowerShell par la ligne de commande
Vous remarquez que l’invite PowerShell commence par les deux lettres PS.
10.4. Les applets de commande Windows PowerShell
Applet
Une applet de commande est une commande à fonctionnalité unique qui manipule
des objets dans Windows PowerShell.
Les applets sont identifiables au format de leur nom : un verbe et un substantif anglais,
séparés par un tiret, comme Get−Help, Get−Process et Start−Service. L’abréviation
donnée à ces applets de commande est Cmdlet.
Voici la liste des applets de commande ainsi que leur description (ce tableau pourra
vous servir de référence lorsque vous devrez administrer sous Windows PowerShell) :
Tableau 10.1 : Toutes les applets de commande utilisables dans Windows PowerShell
Applet de commande
Description
Add−Content
Ajoute le contenu aux éléments spécifiés.
Add−History
Ajoute des entrées à l’historique de la session.
Add−Member
Ajoute un membre personnalisé défini par l’utilisateur à une instance d’un
objet Windows PowerShell.
Add−PSSnapin
Ajoute un ou plusieurs composants logiciels enfichables Windows PowerShell
à la console actuelle.
Clear−Content
Supprime le contenu d’un élément, par exemple le texte d’un fichier, mais ne
supprime pas l’élément.
Clear−Item
Supprime le contenu d’un élément, mais ne supprime pas l’élément.
Clear−ItemProperty
Supprime la valeur d’une propriété, mais ne supprime pas la propriété.
Clear−Variable
Supprime la valeur d’une variable.
Compare−Object
Compare deux jeux d’objets.
ConvertFrom−SecureString Convertit une chaîne sécurisée en chaîne standard chiffrée.
404
Les applets de commande Windows PowerShell
Description
Convert−Path
Convertit un chemin d’accès Windows PowerShell en chemin d’accès à un
fournisseur de Windows PowerShell.
ConvertTo−Html
Crée une page HTML qui représente un objet ou un jeu d’objets.
ConvertTo−SecureString
Convertit des chaînes standards chiffrées en chaînes sécurisées. Cette
commande peut aussi convertir du texte brut en chaînes sécurisées. Elle est
utilisée avec ConvertFrom−SecureString et Read−Host.
Copy−Item
Copie un élément d’un emplacement vers un autre dans un espace de noms.
Copy−ItemProperty
Copie une propriété et une valeur d’un emplacement spécifié vers un autre
emplacement.
Export−Alias
Exporte vers un fichier les informations sur les alias actuellement définis.
Export−Clixml
Crée une représentation XML d’un ou de plusieurs objets et la stocke dans un
fichier.
Export−Console
Exporte la configuration de la console actuelle vers un fichier afin que vous
puissiez la réutiliser ou la partager.
Export−Csv
Crée un fichier de valeurs séparées par des virgules (CSV) qui représente les
objets d’entrée.
ForEach−Object
Exécute une opération en fonction de chacun des jeux d’objets d’entrée.
Format−Custom
Utilise un affichage personnalisé pour mettre en forme la sortie.
Format−List
Met en forme la sortie en tant que liste de propriétés sur laquelle chaque
propriété apparaît sur une nouvelle ligne.
Format−Table
Met en forme la sortie en tant que tableau.
Format−Wide
Met en forme les objets en tant que large table qui affiche une seule propriété
de chaque objet.
Get−Acl
Obtient le descripteur de sécurité d’une ressource, comme un fichier ou une
clé de Registre.
Get−Alias
Obtient les alias pour la session active.
10. Windows
PowerShell
Applet de commande
Get−AuthenticodeSignature Obtient les informations relatives à la signature Authenticode d’un fichier.
Get−ChildItem
Obtient les éléments et les éléments enfants à un ou à plusieurs
emplacements spécifiés.
Get−Command
Obtient des informations de base sur les applets de commande et sur d’autres
éléments des commandes Windows PowerShell.
Get−Content
Obtient le contenu de l’élément à l’emplacement spécifié.
Get−Credential
Obtient un objet credential (informations d’identification) basé sur le
nom et le mot de passe d’un utilisateur.
Get−Culture
Obtient des informations à propos des paramètres régionaux sur un
ordinateur.
Get−Date
Obtient l’heure et la date actuelles.
405
10. Windows
PowerShell
Chapitre 10
406
Windows PowerShell
Applet de commande
Description
Get−EventLog
Obtient des informations à propos des journaux des événements locaux ou
des entrées stockées dans ces journaux des événements.
Get−ExecutionPolicy
Obtient la stratégie d’exécution actuelle de l’environnement.
Get−Help
Affiche des informations sur les applets de commande et les concepts
Windows PowerShell.
Get−History
Obtient la liste des commandes entrées pendant la session active.
Get−Host
Obtient une référence à l’objet hôte de la console actuelle. Affiche la version
Windows PowerShell et les informations régionales par défaut.
Get−Item
Obtient l’élément à l’emplacement spécifié.
Get−ItemProperty
Récupère les propriétés de l’élément spécifié.
Get−Location
Obtient des informations à propos de l’emplacement de travail actif.
Get−Member
Obtient des informations sur les objets ou les collections d’objets.
Get−PfxCertificate
Obtient des informations sur les fichiers de certificat .pfx de l’ordinateur.
Get−Process
Obtient les processus qui s’exécutent sur l’ordinateur local.
Get−PSDrive
Obtient des informations à propos des lecteurs Windows PowerShell.
Get−PSProvider
Obtient des informations se rapportant au fournisseur de Windows PowerShell
spécifié.
Get−PSSnapin
Obtient les composants logiciels enfichables Windows PowerShell situés sur
l’ordinateur.
Get−Service
Obtient les services sur l’ordinateur local.
Get−TraceSource
Obtient les composants Windows PowerShell qui sont instrumentés pour le
traçage.
Get−UICulture
Obtient des informations sur la culture de l’interface utilisateur actuelle pour
Windows PowerShell.
Get−Unique
Retourne les éléments uniques sur une liste triée.
Get−Variable
Obtient les variables dans la console actuelle.
Get−WmiObject
Obtient des instances de classes WMI ou des informations à propos des
classes disponibles.
Group−Object
Regroupe les objets qui contiennent la même valeur pour les propriétés
spécifiées.
Import−Alias
Importe une liste d’alias à partir d’un fichier.
Import−Clixml
Importe un fichier CLIXML et crée des objets correspondants dans Windows
PowerShell.
Import−Csv
Importe des fichiers de valeurs séparées par des virgules (CSV) dans le
format produit par l’applet de commande Export−Csv et retourne des
objets qui correspondent aux objets représentés dans ce fichier CSV.
Invoke−Expression
Exécute une expression Windows PowerShell qui est fournie sous la forme
d’une chaîne.
Les applets de commande Windows PowerShell
Description
Invoke−History
Exécute les commandes depuis l’historique de la session.
Invoke−Item
Appelle l’action par défaut spécifique au fournisseur sur l’élément spécifié.
Join−Path
Combine un chemin d’accès et un chemin d’accès d’enfant en un seul chemin
d’accès. Le fournisseur fournit les séparateurs de chemin d’accès.
Measure−Command
Mesure le temps qu’il faut pour exécuter des blocs de script et des applets de
commande.
Measure−Object
Mesure les caractéristiques des objets et leurs propriétés.
Move−Item
Déplace un élément d’un emplacement à un autre.
Move−ItemProperty
Déplace une propriété d’un emplacement à un autre.
New−Alias
Crée un alias.
New−Item
Crée un nouvel élément dans un espace de noms.
New−ItemProperty
Définit une nouvelle propriété d’élément à un emplacement.
New−Object
Crée une instance d’un objet .NET ou COM.
New−PSDrive
Installe un nouveau lecteur Windows PowerShell.
New−Service
Crée une entrée pour un service Windows dans le Registre et dans la base de
données de services.
New−TimeSpan
Crée un objet TimeSpan.
New−Variable
Crée une variable.
Out−Default
Envoyez la sortie au formateur par défaut et à l’applet de commande de sortie
par défaut. Cette applet de commande n’a aucun effet sur la mise en forme ou
la sortie. C’est un espace réservé qui vous permet d’écrire votre propre
fonction Out−Default ou une applet de commande.
Out−File
Envoie la sortie à un fichier.
Out−Host
Envoie la sortie à la ligne de commande.
Out−Null
Supprime la sortie au lieu de l’envoyer à la console.
Out−Printer
Envoie la sortie à une imprimante.
Out−String
Envoie des objets à l’hôte en tant que série de chaînes.
Pop−Location
Définit l’emplacement actuel sur le dernier emplacement placé sur la pile à
l’aide d’une opération push. Vous pouvez extraire l’emplacement à partir de
la pile par défaut ou d’une pile créée à l’aide de Push−Location.
Push−Location
Exécute une opération push qui place l’emplacement actuel sur la pile.
Read−Host
Lit une ligne d’entrée à partir de la console.
Remove−Item
Supprime les éléments spécifiés.
Remove−ItemProperty
Supprime la propriété et sa valeur d’un élément.
Remove−PSDrive
Supprime un lecteur Windows PowerShell de son emplacement.
Remove−PSSnapin
Supprime les composants logiciels enfichables Windows PowerShell de la
console actuelle.
10. Windows
PowerShell
Applet de commande
407
10. Windows
PowerShell
Chapitre 10
Windows PowerShell
Applet de commande
Description
Remove−Variable
Supprime une variable et sa valeur.
Rename−Item
Renomme un élément dans un espace de noms du fournisseur de Windows
PowerShell.
Rename−ItemProperty
Renomme la propriété d’un élément.
Resolve−Path
Résout les caractères génériques inclus dans un chemin d’accès et affiche le
contenu de ce dernier.
Restart−Service
Arrête, puis démarre un ou plusieurs services.
Resume−Service
Reprend un ou plusieurs services interrompus (suspendus).
Select−Object
Sélectionne des propriétés spécifiées d’un objet ou d’un jeu d’objets. Il peut
également sélectionner des objets uniques d’un tableau d’objets ou
sélectionner un nombre spécifié d’objets du début ou de la fin d’un tableau
d’objets.
Select−String
Identifie des modèles dans les chaînes.
Set−Acl
Modifie le descripteur de sécurité de la ressource spécifiée, telle qu’un fichier
ou une clé de Registre.
Set−Alias
Crée ou modifie un alias (autre nom) pour une applet de commande ou un
autre élément de commande dans la session Windows PowerShell actuelle.
Set−AuthenticodeSignature Utilise une signature Authenticode pour signer un script Windows PowerShell
ou autre fichier.
408
Set−Content
Écrit ou remplace le contenu d’un élément par un nouveau contenu.
Set−Date
Modifie l’heure système sur l’ordinateur en la remplaçant par l’heure que vous
spécifiez.
Set−ExecutionPolicy
Modifie la préférence utilisateur pour la stratégie d’exécution de
l’environnement.
Set−Item
Remplace la valeur d’un élément par la valeur spécifiée dans la commande.
Set−ItemProperty
Définit la valeur d’une propriété à l’emplacement spécifié.
Set−Location
Définit l’emplacement de travail actif sur un emplacement spécifié.
Set−PSDebug
Active/désactive les fonctions de débogage, définit le niveau de suivi et
active/désactive le mode strict.
Set−Service
Modifie le nom d’affichage, la description ou le mode de démarrage d’un
service.
Set−TraceSource
Configure, démarre et arrête une trace des composants Windows PowerShell.
Set−Variable
Définit la valeur d’une variable. Crée la variable si aucune variable avec le nom
demandé n’existe pas.
Sort−Object
Trie les objets par les valeurs de propriété.
Split−Path
Retourne la partie spécifiée d’un chemin d’accès.
Start−Service
Démarre un ou plusieurs services arrêtés.
Les applets de commande Windows PowerShell
Description
Start−Sleep
Interrompez l’environnement, le script ou l’activité de l’instance d’exécution
pour l’intervalle de temps spécifié.
Start−Transcript
Crée un enregistrement de tout ou partie d’une session Windows PowerShell
dans un fichier texte.
Stop−Process
Arrête un ou plusieurs processus en cours d’exécution.
Stop−Service
Arrête un ou plusieurs services en cours d’exécution.
Stop−Transcript
Arrête une transcription.
Suspend−Service
Interrompt (suspend) un ou plusieurs services en cours d’exécution.
Tee−Object
Dirige l’entrée d’objet vers un fichier ou une variable, puis passe l’entrée le
long du pipeline.
Test−Path
Détermine si tous les éléments d’un chemin d’accès existent.
Trace−Command
L’applet de commande Trace−Command configure et démarre une trace
de l’expression ou de la commande spécifiée.
Update−FormatData
Met à jour et ajoute les fichiers de données de mise en forme.
Update−TypeData
Met à jour la configuration de type étendu actuelle en rechargeant en mémoire
les fichiers *.types.ps1xml.
Where−Object
Crée un filtre qui contrôle les objets qui seront passés le long d’un pipeline de
commandes.
Write−Debug
Écrit un message de débogage pour l’affichage hôte.
Write−Error
Écrit un objet au pipeline d’erreur.
Write−Host
Affiche des objets à l’aide de l’interface utilisateur hôte
Write−Output
Écrit des objets au pipeline de succès.
Write−Progress
Affiche une barre de progression dans une fenêtre de commande Windows
PowerShell.
Write−Verbose
Écrit une chaîne pour l’affichage commenté de l’hôte.
Write−Warning
Écrit un message d’avertissement.
10. Windows
PowerShell
Applet de commande
Dans les environnements traditionnels, les commandes sont des programmes
exécutables allant de la commande simple comme dir au très complexe comme netsh.
Dans Windows PowerShell, la plupart des applets de commande sont très simples et
conçues pour une utilisation en association avec d’autres applets de commande. Par
exemple, les applets de commande get ne font que récupérer des données, les applets
de commande set permettent uniquement de définir ou de modifier des données, les
applets de commande format servent exclusivement à la mise en forme de données et
les applets de commande out seulement à diriger la sortie vers une destination spécifiée.
Chaque applet de commande est assortie d’un fichier d’aide auquel vous pouvez accéder
en tapant get−help <nom_applet_commande> −detailed.
409
Chapitre 10
Windows PowerShell
10. Windows
PowerShell
L’affichage détaillé du fichier d’aide de l’applet de commande comprend une
description de l’applet de commande, la syntaxe de commande, la description des
paramètres et un exemple qui illustre l’utilisation de l’applet de commande.
Figure 10.3 : Un exemple de fichier d’aide d’une applet de commande
10.5. Le traitement d’objets
Bien que vous puissiez ne pas vous en rendre compte, lorsque vous travaillez dans
Windows PowerShell, vous travaillez avec des objets .NET. D’un point de vue
technique, un objet .NET est une instance d’une classe .NET constitué de données et
des opérations associées à ces données. Vous pouvez cependant considérer un objet
comme une entité de données assortie de propriétés, qui sont en quelque sorte des
caractéristiques, et des méthodes, qui sont des actions que vous pouvez effectuer sur
l’objet.
Par exemple, lorsque vous obtenez un service dans Windows PowerShell, vous obtenez
en réalité un objet qui représente le service. Lorsque vous consultez des informations
sur un service, vous consultez les propriétés de son objet service. Et lorsque vous
démarrez un service, c’est-à-dire lorsque vous affectez à la propriété Status du service
la valeur started, vous utilisez une méthode de l’objet service.
Tous les objets du même type ont les mêmes propriétés et méthodes, mais chaque
instance d’un objet peut avoir des valeurs différentes pour les propriétés. Pour
déterminer le type d’objet obtenu par une applet de commande, utilisez un opérateur de
pipeline | afin d’envoyer les résultats d’une commande get à la commande
Get−Member. Par exemple, la commande get−service | get−member envoie les
objets récupérés par une commande Get−Service à Get−Member.
PS C:\Documents and Settings\Administrateur> get-service | get-member
TypeName: System.ServiceProcess.ServiceController
410
Le traitement d’objets
10. Windows
PowerShell
Name
MemberType
Definition
---------------------Name
AliasProperty Name = ServiceName
add_Disposed
Method
System.Void add_Disposed(EventHandler
✂ value)
Close
Method
System.Void Close()
Continue
Method
System.Void Continue()
CreateObjRef
Method
System.Runtime.Remoting.ObjRef
✂ CreateObjRef(Type requestedType)
Dispose
Method
System.Void Dispose()
Equals
Method
System.Boolean Equals(Object obj)
ExecuteCommand
Method
System.Void ExecuteCommand(Int32 command)
GetHashCode
Method
System.Int32 GetHashCode()
GetLifetimeService
Method
System.Object GetLifetimeService()
GetType
Method
System.Type GetType()
get_CanPauseAndContinue
Method
System.Boolean get_CanPauseAndContinue()
get_CanShutdown
Method
System.Boolean get_CanShutdown()
get_CanStop
Method
System.Boolean get_CanStop()
get_Container
Method
System.ComponentModel.IContainer
✂ get_Container()
get_DependentServices
Method
System.ServiceProcess.ServiceController[]
✂ get_DependentServices()
get_DisplayName
Method
System.String get_DisplayName()
get_MachineName
Method
System.String get_MachineName()
get_ServiceHandle
Method
System.Runtime.InteropServices.SafeHandle
✂ get_ServiceHandle()
get_ServiceName
Method
System.String get_ServiceName()
get_ServicesDependedOn
Method
System.ServiceProcess.ServiceController[]
✂ get_ServicesDependedOn()
get_ServiceType
Method
System.ServiceProcess.ServiceType
✂ get_ServiceType()
get_Site
Method
System.ComponentModel.ISite get_Site()
get_Status
Method
System.ServiceProcess
✂ .ServiceControllerStatus get_Status()
InitializeLifetimeService Method
System.Object InitializeLifetimeService()
Pause
Method
System.Void Pause()
Refresh
Method
System.Void Refresh()
remove_Disposed
Method
System.Void remove_Disposed(EventHandler
✂ value)
set_DisplayName
Method
System.Void set_DisplayName(String value)
set_MachineName
Method
System.Void set_MachineName(String value)
set_ServiceName
Method
System.Void set_ServiceName(String value)
set_Site
Method
System.Void set_Site(ISite value)
Start
Method
System.Void Start(), System.Void
✂ Start(String[] args)
Stop
Method
System.Void Stop()
ToString
Method
System.String ToString()
WaitForStatus
Method
System.Void
✂ WaitForStatus(ServiceControllerStatus desiredStatus), System.Void
✂ WaitForStatus(ServiceControllerStatus desiredStatus, TimeSpan timeout)
CanPauseAndContinue
Property
System.Boolean CanPauseAndContinue {get;}
CanShutdown
Property
System.Boolean CanShutdown {get;}
411
Chapitre 10
Windows PowerShell
10. Windows
PowerShell
CanStop
Property
System.Boolean CanStop {get;}
Container
Property
System.ComponentModel.IContainer
✂ Container {get;}
DependentServices
Property
System.ServiceProcess.ServiceController[]
✂ DependentServices {get;}
DisplayName
Property
System.String DisplayName {get;set;}
MachineName
Property
System.String MachineName {get;set;}
ServiceHandle
Property
System.Runtime.InteropServices.SafeHandle
✂ ServiceHandle {get;}
ServiceName
Property
System.String ServiceName {get;set;}
ServicesDependedOn
Property
System.ServiceProcess.ServiceController[]
✂ ServicesDependedOn {get;}
ServiceType
Property
System.ServiceProcess.ServiceType
✂ ServiceType {get;}
Site
Property
System.ComponentModel.ISite Site
✂ {get;set;}
Status
Property
System.ServiceProcess
✂ .ServiceControllerStatus Status {get;}
Get−Member affiche des informations sur l’objet service, y compris le nom de type
(TypeName) de l’objet et une liste de ses propriétés et méthodes.
Pour rechercher les valeurs de toutes les propriétés d’un objet particulier, utilisez un
opérateur de pipeline afin d’envoyer les résultats d’une commande get à une
commande Format−List ou Format−Table. Utilisez le paramètre Property des
applets de commande Format avec une valeur visant à tout inclure. Par exemple, pour
rechercher toutes les propriétés du service Planification du système, tapez
get−service schedule | format−list −property *.
Figure 10.4 : résultat de la commande get-service schedule | format-list –property *
Les pipelines d’objets
L’un des avantages liés à l’utilisation d’objets est qu’elle permet de canaliser la
commande en pipeline, c’est-à-dire de passer la sortie d’une commande à une autre
commande, en tant qu’entrée. La communication requiert souvent la manipulation de
412
L’interaction et les scripts
chaînes afin de convertir la sortie d’un format en un autre et de supprimer des titres et
des en-têtes de colonnes.
10. Windows
PowerShell
Windows PowerShell fournit un nouveau modèle interactif basé sur les objets, plutôt
que sur du texte. L’applet de commande qui reçoit un objet peut agir directement sur ses
propriétés et méthodes sans la moindre conversion ou manipulation. Les utilisateurs
peuvent faire référence aux propriétés et méthodes de l’objet par nom, plutôt que
d’avoir à calculer la position des données dans la sortie.
Prenons un exemple : le résultat d’une commande IpConfig est passé à une commande
Findstr. L’opérateur de pipeline envoie le résultat de la commande située à sa gauche
à la commande située à sa droite.
Figure 10.5 : Utilisation de l’opérateur de pipeline
Le résultat est l’affichage de la ligne contenant la chaîne de caractères Adresse comme
seul résultat de la commande IpConfig.
10.6. L’interaction et les scripts
Comme d’autres environnements, Windows PowerShell prend en charge un
environnement interactif complet. Lorsque vous tapez une commande à l’invite, la
commande est traitée et la sortie s’affiche dans la fenêtre d’environnement. Vous
pouvez envoyer la sortie d’une commande à un fichier ou une imprimante, ou bien
utiliser l’opérateur de pipeline pour envoyer la sortie à une autre commande.
Si vous exécutez de façon répétitive des commandes ou des séquences de commandes
particulières, ou si vous développez une série de commandes pour effectuer une tâche
complexe, vous pouvez enregistrer vos commandes dans un fichier et exécuter le fichier
de commandes au lieu de taper des commandes à l’invite. C’est le principe du script.
En plus de son interface interactive, Windows PowerShell prend pleinement en charge
les scripts. Dans Windows PowerShell, les fichiers de script ont l’extension de nom de
fichier .ps1. Pour exécuter un script, tapez le nom du script à l’Invite de commandes, par
exemple c:\script.ps1.
Vous devez spécifier le chemin d’accès complet au fichier de script, même si le script se
trouve dans le répertoire actif. Pour indiquer le répertoire actif, tapez son nom ou
utilisez un point (.) pour le représenter, par exemple .\testscript.ps1.
Windows PowerShell inclut également un langage de script très élaboré qui vous permet
de créer des scripts des plus simples aux plus complexes. Il prend en charge des
413
Chapitre 10
Windows PowerShell
constructions de langage pour les boucles, les conditions, le contrôle de flux et
l’affectation de valeurs aux variables.
La stratégie d’exécution
10. Windows
PowerShell
Bien que les scripts soient extrêmement utiles, voire essentiels, dans certaines
entreprises, ils peuvent être utilisés pour diffuser du code malveillant. En conséquence,
la stratégie de sécurité dans Windows PowerShell, appelée "stratégie d’exécution", vous
permet de déterminer si des scripts peuvent s’exécuter et s’ils doivent inclure une
signature numérique. Pour éliminer un risque évident, aucune des stratégies d’exécution
de Windows PowerShell ne vous permet d’exécuter un script par un double-clic sur son
icône.
Pour obtenir plus d’informations, sous Windows PowerShell, tapez get−help
about_signing.
Les stratégies d’exécution PowerShell assurent la sécurité de l’environnement de script
en déterminant les conditions dans lesquelles PowerShell charge des fichiers de
configuration et exécute des scripts.
Les stratégies d’exécution PowerShell sont énumérées dans le tableau suivant :
Tableau 10.2 : Les différentes stratégies d’exécution de Windows PowerShell
414
Stratégie d’exécution
Description
Restricted
Stratégie d’exécution par défaut. Autorise l’exécution de commandes
individuelles, mais de scripts.
AllSigned
Les scripts peuvent être exécutés. Requiert la signature numérique d’un
éditeur approuvé sur tous les scripts et les fichiers de configuration, y
compris les scripts que vous écrivez sur l’ordinateur local, vous demande
confirmation avant d’exécuter des scripts provenant d’éditeurs approuvés
et risque d’exécuter des scripts signés mais malveillants.
RemoteSigned
Les scripts peuvent être exécutés. Requiert la signature numérique d’un
éditeur approuvé sur les scripts et fichiers de configuration téléchargés à
partir d’Internet (y compris les programmes de messagerie électronique
et de messagerie instantanée), ne requiert pas de signatures numériques
sur les scripts exécutés depuis l’ordinateur local, ne vous demande pas
de confirmation avant d’exécuter des scripts provenant d’éditeurs
approuvés et risque d’exécuter des scripts signés mais malveillants.
Unrestricted
Les scripts non signés peuvent être exécutés. Les scripts et fichiers de
configuration téléchargés à partir d’Internet (y compris Microsoft Outlook,
Windows Mail et Windows Messenger) sont exécutés après que vous
avez été informé de leur provenance. Risque d’exécuter des scripts
malveillants.
Utiliser Windows PowerShell
Restricted est la stratégie la plus sûre. C’est la valeur par défaut. Elle autorise
l’exécution de commandes individuelles, mais pas celle de scripts.
Lorsqu’une stratégie d’exécution empêche PowerShell de charger un fichier ou
d’exécuter un script, un avertissement qui explique la restriction s’affiche.
10. Windows
PowerShell
Pour charger le fichier ou autoriser l’exécution de scripts, changez de stratégie
d’exécution. Le changement prend immédiatement effet et est conservé jusqu’à ce que
vous en changiez de nouveau. Seuls les administrateurs sont autorisés à changer de
stratégie.
Pour changer de stratégie d’exécution :
1. Sous Windows PowerShell, tapez Set−ExecutionPolicy <nom_stratégie>, par
exemple Set−ExecutionPolicy RemoteSigned.
2. Si la commande aboutit, PowerShell affiche l’Invite de commandes. Aucun message
de réussite ne s’affiche. Si la commande échoue, PowerShell affiche un message
d’erreur et rétablit la stratégie d’exécution antérieure.
Pour consulter la stratégie d’exécution PowerShell :
3. Sous Windows PowerShell, tapez Get−ExecutionPolicy.
Figure 10.6 :
Résultat de la
commande
Get-ExecutionPolicy
10.7. Utiliser Windows PowerShell
Plongez-vous maintenant dans les principes fondamentaux de l’utilisation de Windows
PowerShell. Vous allez apprendre les bonnes pratiques d’utilisation
L’importance de l’aide
L’applet de commande Get−Help est un outil pratique pour en apprendre davantage sur
Windows PowerShell. En lisant les descriptions des applets de commande, en étudiant
les concepts et en explorant les rubriques liées au langage, vous pouvez commencer à
comprendre comment utiliser Windows PowerShell. La première rubrique d’intérêt est
donc le système d’aide.
j
Pour afficher des informations sur le système d’aide de Windows PowerShell, tapez
get−help.
415
Windows PowerShell
10. Windows
PowerShell
Chapitre 10
Figure 10.7 : Résultat de la commande get-help
Pour commencer à utiliser Windows PowerShell, vous souhaiterez donc en savoir plus
sur quelques applets de commande de base, telles que Get−Command, Get−Process,
Get−Service, Get−Eventlog, etc.
j
Pour afficher la forme la plus simple de l’aide d’une applet de commande, tapez
get−help, suivi du nom de l’applet de commande en question. Par exemple, pour
obtenir de l’aide sur Get−Command, tapez get−help get−command.
416
j
Pour afficher l’aide détaillée d’une applet de commande, qui inclut la description
des paramètres et des exemples, utilisez le paramètre Detailed de Get−Help. Par
exemple, pour obtenir l’aide détaillée relative à l’applet de commande
Get−Command, tapez get−help get−command −detailed.
j
Pour afficher l’intégralité de l’aide disponible pour une applet de commande, y
compris des informations techniques sur cette applet de commande et ses
paramètres, utilisez le paramètre Full. Par exemple, pour obtenir l’intégralité de
l’aide relative à l’applet de commande Get−Command, tapez get−help
get−command −full.
Utiliser Windows PowerShell
Vous pouvez aussi afficher des parties sélectionnées du fichier d’aide. Pour
consulter uniquement les exemples, utilisez le paramètre Examples. Par exemple,
pour afficher les exemples de l’applet de commande Get−Command, tapez get−help
get−command −examples.
j
Pour consulter uniquement des descriptions détaillées de paramètres, utilisez le
paramètre Parameter de Get−Help. Vous pouvez spécifier le nom d’un paramètre
ou utiliser le caractère générique * pour spécifier tous les paramètres. Par exemple,
pour consulter une description du paramètre TotalCount de Get−Command, tapez
get−help get−command −parameter totalcount. Pour consulter tous les
paramètres de l’applet de commande Get−Command, tapez get−help
get−command −parameter *.
10. Windows
PowerShell
j
Vous pouvez également utiliser l’une des fonctions de Windows PowerShell qui
appellent Get−Help. La fonction Help affiche un écran d’aide complet à la fois. La
fonction Man affiche une aide qui ressemble aux pages Man sous Unix (tiens ?…).
j
Pour utiliser les fonctions Help et Man afin d’afficher l’aide de l’applet de commande
Get−Command, tapez man get−command ou help get−command.
Figure 10.8 : Résultat de la commande man get-command
Lorsque vous demandez une rubrique d’aide particulière, Get−Help affiche le contenu
de la rubrique. Mais lorsque vous utilisez des caractères génériques pour demander
plusieurs rubriques, Get−Help affiche une liste de rubriques. Par exemple, pour
consulter la liste des rubriques d’aide relatives aux applets de commande Get, tapez
get−help get−*.
L’aide sur les concepts de Windows PowerShell commence par about_. Pour afficher de
l’aide sur un concept Windows PowerShell, tapez get−help, suivi du nom du concept
qui vous intéresse. Par exemple, pour obtenir de l’aide sur les caractères génériques,
tapez get−help about_wildcard. Pour afficher une liste de toutes les rubriques
conceptuelles de Windows PowerShell, tapez get−help about_*.
417
Chapitre 10
Windows PowerShell
La lecture des rubriques d’aide et l’essai des exemples vous permettront de vous
familiariser avec le fonctionnement de Windows PowerShell et la manière dont vous
pouvez l’utiliser dans votre rôle d’administrateur.
Utiliser des applets de commande
10. Windows
PowerShell
Commencez en tapant le nom de l’applet de commande à l’Invite de commandes de
Windows PowerShell. Les commandes Windows PowerShell ne respectent pas la casse :
vous pouvez les taper à votre convenance en majuscules ou en minuscules.
Figure 10.9 :
Exemple de commande
get-date
Pour répertorier les applets de commande de votre session, utilisez l’applet de
commande Get−Command sans paramètres de commande. L’affichage par défaut de
Get−Command comprend trois colonnes : CommandType, Name et Definition.
Lorsqu’il s’agit d’afficher la liste des applets de commande, la colonne Definition
affiche la syntaxe de l’applet de commande. L’applet de commande Get−Command
obtient également des commandes et éléments de commande autres que des applets de
commande, notamment les alias (surnoms de commandes), fonctions et fichiers
exécutables disponibles dans Windows PowerShell.
Voici un exemple qui répertorie les fichiers exécutables disponibles dans Windows
PowerShell en utilisant Get−Command, l’image correspondante ne montre qu’une petite
partie du résultat :
Figure 10.10 : Une partie des résultats de get-command *.exe
Dans cet exemple, lorsqu’il s’agit d’afficher la liste des fichiers exécutables, la colonne
Definition contient le chemin d’accès complet au fichier exécutable.
Maintenant, essayez d’autres applets de commande, comme Get−Process,
Get−Service, Get−EventLog et Get−Alias. Lorsque vous serez à l’aise avec les
418
Utiliser Windows PowerShell
applets de commande de type Get− simples, essayez-en une plus intéressante, comme
Get−WmiObject. Cette applet de commande vous permet d’afficher et de modifier les
composants d’ordinateurs distants. Par exemple, la commande get−wmiobject
win32_bios −computername srv−dc−01 obtient des informations sur le BIOS du
serveur SRV−DC−01.
10. Windows
PowerShell
Et n’oubliez pas d’utiliser la commande get−help avec ses multiples commutateurs
pour entrer dans les détails techniques de la commande.
Mettre en forme la sortie des commandes
Dans Windows PowerShell, vous avez la possibilité de faire appel à des applets de
commande qui mettent en forme la sortie de la commande que vous voulez exécuter. Ce
sont les applets de commande format :
j
Format−List ;
j
Format−Custom ;
j
Format−Table ;
j
Format−Wide.
Aucune autre applet de commande ne met en forme la sortie. Lorsque vous exécutez
une commande, Windows PowerShell appelle le formateur par défaut, déterminé par le
type des données affichées. Le formateur détermine les propriétés de la sortie à afficher
et si elles doivent être affichées sous forme de liste ou de tableau.
Par exemple, lorsque vous utilisez l’applet de commande Get−Service, l’affichage par
défaut est un tableau à trois colonnes comme dans l’image suivante (qui ne contient
qu’une petite partie du résultat) :
Figure 10.11 :
Une partie des résultats
de get-service
Pour modifier le format de la sortie de toute applet de commande, utilisez l’opérateur
de pipeline afin d’envoyer la sortie de la commande à une applet de commande Format.
Par exemple, la commande suivante envoie la sortie d’une commande Get−Service à
l’applet de commande Format−List. En conséquence, les données de service sont
présentées sous forme de liste pour chaque service.
419
Windows PowerShell
10. Windows
PowerShell
Chapitre 10
Figure 10.12 : Une partie des résultats de get-service | format-list
Dans ce format, non seulement les données apparaissent dans une liste au lieu d’un
tableau, mais les informations sur chaque service sont plus nombreuses. Au lieu de trois
colonnes de données pour chaque service, il y a neuf lignes de données. Format−List
n’a pas récupéré les informations de service supplémentaires. Les données étaient
présentes avec les objets récupérés par Get−Service, mais Format−Table, le
formateur par défaut, les a omises car il ne pouvait pas afficher plus de trois colonnes sur
la largeur de l’écran.
Utiliser des alias
La saisie des noms d’applets de commande peut être fastidieuse. Pour réduire la saisie
et faciliter l’utilisation de Windows PowerShell par des utilisateurs habitués à d’autres
environnements, Windows PowerShell prend en charge le concept d’alias, c’est-à-dire
un autre nom pour une commande. Vous pouvez créer un alias pour un nom d’applet de
commande, de fonction ou de fichier exécutable, puis taper l’alias au lieu du nom dans
toute commande.
Windows PowerShell inclut de nombreux alias intégrés et vous pouvez créer les vôtres.
Les alias que vous créez sont valides uniquement dans la session active. Voici la liste des
alias intégrés à la base dans PowerShell :
420
Utiliser Windows PowerShell
Tableau 10.3 : Liste des alias préconfigurés sous PowerShell
Commande PowerShell correspondante
%
ForEach−Object
?
Where−Object
ac
Add−Content
asnp
Add−PSSnapin
cat
Get−Content
cd
Set−Location
chdir
Set−Location
clc
Clear−Content
clear
Clear−Host
cli
Clear−Item
clp
Clear−ItemProperty
cls
Clear−Host
clv
Clear−Variable
copy
Copy−Item
cp
Copy−Item
cpi
Copy−Item
cpp
Copy−ItemProperty
cvpa
Convert−Path
del
Remove−Item
diff
Compare−Object
dir
Get−ChildItem
echo
Write−Output
epal
Export−Alias
epcsv
Export−Csv
erase
Remove−Item
fc
Format−Custom
fl
Format−List
foreach
ForEach−Object
ft
Format−Table
fw
Format−Wide
gal
Get−Alias
gc
Get−Content
gci
Get−ChildItem
10. Windows
PowerShell
Alias
421
10. Windows
PowerShell
Chapitre 10
422
Windows PowerShell
Alias
Commande PowerShell correspondante
gcm
Get−Command
gdr
Get−PSDrive
ghy
Get−History
gi
Get−Item
gl
Get−Location
gm
Get−Member
gp
Get−ItemProperty
gps
Get−Process
group
Group−Object
gsnp
Get−PSSnapin
gsv
Get−Service
gu
Get−Unique
gv
Get−Variable
gwmi
Get−WmiObject
h
Get−History
history
Get−History
iex
Invoke−Expression
ihy
Invoke−History
ii
Invoke−Item
ipal
Import−Alias
ipcsv
Import−Csv
kill
Stop−Process
lp
Out−Printer
ls
Get−ChildItem
mi
Move−Item
mount
New−PSDrive
move
Move−Item
mp
Move−ItemProperty
mv
Move−Item
nal
New−Alias
ndr
New−PSDrive
ni
New−Item
nv
New−Variable
oh
Out−Host
Utiliser Windows PowerShell
Alias
Commande PowerShell correspondante
popd
Pop−Location
Get−Process
pushd
Push−Location
pwd
Get−Location
r
Invoke−History
rd
Remove−Item
rdr
Remove−PSDrive
ren
Rename−Item
ri
Remove−Item
rm
Remove−Item
rmdir
Remove−Item
rni
Rename−Item
rnp
Rename−ItemProperty
rp
Remove−ItemProperty
rsnp
Remove−PSSnapin
rv
Remove−Variable
rvpa
Resolve−Path
sal
Set−Alias
sasv
Start−Service
sc
Set−Content
select
Select−Object
set
Set−Variable
si
Set−Item
sl
Set−Location
sleep
Start−Sleep
sort
Sort−Object
sp
Set−ItemProperty
spps
Stop−Process
spsv
Stop−Service
sv
Set−Variable
tee
Tee−Object
type
Get−Content
where
Where−Object
write
Write−Output
10. Windows
PowerShell
ps
423
Chapitre 10
Windows PowerShell
Dans ces alias, vous en remarquerez des biens connus d’Unix/Linux comme ls, rm, etc.
Créer un alias
10. Windows
PowerShell
Pour créer des alias pour les applets de commande et les commandes dans Windows
PowerShell, utilisez l’applet de commande Set−Alias. Par exemple, pour créer l’alias
gh pour l’applet de commande Get−Help, tapez set−alias gh get−help.
Supprimer un alias
Pour supprimer un alias, utilisez l’applet de commande Remove−Item. Par exemple,
pour supprimer l’alias ls, tapez remove−item alias:ls.
10.8. Naviguer dans Windows PowerShell
Une fonctionnalité particulièrement intéressante de Windows PowerShell est qu’il vous
permet de naviguer à travers de nombreux magasins de données différents en utilisant
les techniques auxquelles vous êtes habitué dans le système de fichiers.
En plus des lecteurs classiques du système de fichiers, comme C: et D:, Windows
PowerShell inclut des lecteurs qui représentent les ruches HKEY_LOCAL_MACHINE
(HKLM:) et HKEY_CURRENT_USER (HKCU:) du Registre, le magasin de certificats
de signatures numériques de votre ordinateur et les fonctions de la section active, entre
autres. Il s’agit des lecteurs Windows PowerShell.
Windows PowerShell est livré avec plusieurs lecteurs pratiques, pris en charge par les
fournisseurs de Windows PowerShell.
Pour obtenir la liste des lecteurs Windows PowerShell, tapez get−psdrive.
Figure 10.13 : Les lecteurs Windows PowerShell
Naviguer dans le système de fichiers
Pour naviguer dans le lecteur de système de fichiers, utilisez les applets de commande
Set−Location (qui a comme alias cd) et Get−Childitem (qui a comme alias dir ou
ls). Dans Windows PowerShell, les lecteurs sont indiqués par leur nom, suivi d’un
424
Naviguer dans Windows PowerShell
deux-points et les éléments parents sont séparés des éléments enfants par des barres
obliques inversées (\), comme lorsque vous tapez C:\windows, ou des barres obliques
(/).
La navigation dans Windows PowerShell est facilitée grâce à quelques fonctionnalités :
Des symboles représentent le répertoire actif (le point) et le contenu d’un
répertoire *.
j
Des variables intégrées représentent votre répertoire de base $home et le répertoire
d’installation de Windows PowerShell $pshome.
10. Windows
PowerShell
j
Comme dans d’autres environnements, vous pouvez passer d’un emplacement à un
autre, créer, supprimer, déplacer et copier des répertoires et des fichiers ou modifier
leurs propriétés. Vous pouvez même utiliser la saisie automatique par tabulation pour
les noms de chemins d’accès. Les commandes Item vous seront très utiles pour cela.
Naviguer dans le Registre
Vous pouvez naviguer dans la base de Registre Windows en utilisant les mêmes
techniques de navigation que dans le lecteur de système de fichiers. Dans Windows
PowerShell, la ruche HKEY_LOCAL_MACHINE est mappée au lecteur Windows
PowerShell HKLM: et HKEY_CURRENT_USER au lecteur Windows PowerShell
HKCU:.
Vous pouvez manipuler le lecteur de Registre comme dans l’image suivante :
Figure 10.14 : Exemple de navigation dans le registre
425
Chapitre 10
Windows PowerShell
10. Windows
PowerShell
Vous remarquerez que le résultat de la commande dir (Get−ChildItem) dans les
lecteurs de Registre est différent de celui du système de fichiers. Parce que le Registre
propose des informations différentes sur différents lecteurs, l’environnement fournit
une vue différente des données. Dans ce cas, il est important de savoir combien de
sous-clés et d’entrées sont présentes, de sorte que la sortie inclut un nombre de sous-clés
et un nombre d’entrées de valeurs, en plus des noms des sous-clés et des entrées.
Figure 10.15 : Informations sur les sous-clés et les valeurs
Vous ne rencontrerez que peu de différences de navigation jusqu’à l’accès aux entrées
du Registre. Les entrées d’une clé de Registre sont considérées comme étant les
propriétés de la clé sous laquelle elles se trouvent. Comme telles, vous pouvez les
récupérer au moyen de l’applet de commande Get−ItemProperty.
Figure 10.16 : Propriétés d’une clé dans Windows PowerShell
Naviguer dans le magasin de certificats
Vous pouvez aussi naviguer dans le magasin de certificats de signatures numériques de
votre ordinateur. Le magasin de certificats est mappé au lecteur Windows PowerShell
Cert: comme dans l’exemple suivant :
426
PowerShell et Active Directory
10. Windows
PowerShell
Figure 10.17 : Exemple de navigation dans le magasin de certificat
10.9. PowerShell et Active Directory
Pour mettre en exergue la puissance de PowerShell dans Active Directory, voyez un
exemple de script lié à l’administration d’Active Directory. Ce script issu du script center
vous permet de lister les informations liées au domaine :
$strComputer = "."
$colItems = get-wmiobject -class "Win32_NTDomain" -namespace "root\CIMV2" ′
-computername $strComputer
foreach ($objItem in $colItems) {
write-host "Caption: " $objItem.Caption
write-host "Client Site Name: " $objItem.ClientSiteName
write-host "Creation Class Name: " $objItem.CreationClassName
write-host "DC Site Name: " $objItem.DcSiteName
write-host "Description: " $objItem.Description
write-host "DNS Forest Name: " $objItem.DnsForestName
write-host "Domain Controller Address: " $objItem.DomainControllerAddress
write-host "Domain Controller Address Type: "
✂ $objItem.DomainControllerAddressType
write-host "Domain Controller Name: " $objItem.DomainControllerName
write-host "Domain GUID: " $objItem.DomainGuid
427
Chapitre 10
Windows PowerShell
10. Windows
PowerShell
write-host "Domain Name: " $objItem.DomainName
write-host "DS Directory Service Flag: " $objItem.DSDirectoryServiceFlag
write-host "DS DNS Controller Flag: " $objItem.DSDnsControllerFlag
write-host "DS DNS Domain Flag: " $objItem.DSDnsDomainFlag
write-host "DS DNS Forest Flag: " $objItem.DSDnsForestFlag
write-host "DS Global Catalog Flag: " $objItem.DSGlobalCatalogFlag
write-host "DS Kerberos Distribution Center Flag: "
✂ $objItem.DSKerberosDistributionCenterFlag
write-host "DS Primary Domain Controller Flag: "
✂ $objItem.DSPrimaryDomainControllerFlag
write-host "DS Time Service Flag: " $objItem.DSTimeServiceFlag
write-host "DS Writable Flag: " $objItem.DSWritableFlag
write-host "Installation Date: " $objItem.InstallDate
write-host "Name: " $objItem.Name
write-host "Name Format: " $objItem.NameFormat
write-host "Primary Owner Contact: " $objItem.PrimaryOwnerContact
write-host "Primary Owner Name: " $objItem.PrimaryOwnerName
write-host "Roles: " $objItem.Roles
write-host "Status: " $objItem.Status
write-host
10.10. En résumé
Windows PowerShell est un noyau et, au moins pour ce qui nous concerne, vous pouvez
comparer un noyau à un interpréteur de ligne de commande. Bien que VBScript puisse
s’exécuter à partir de la ligne de commande, un fichier VBScript ne peut pas être
exécuté ligne par la ligne. Un script Windows PowerShell, par contre, peut être
immédiatement créé comme une série de commandes individuelles. De plus, Windows
PowerShell dispose de fonctions dont le comportement s’apparente beaucoup à des
sous-routines VBScript, ce qui peut être créé en temps réel au niveau de l’invite de
commande de Windows PowerShell.
Encore mieux, Windows PowerShell est construit sur Microsoft .NET Framework,
tandis que VBScript se base sur la technologie COM plus ancienne. Cela signifie que la
vaste quantité de code .NET produite aujourd’hui peut être directement utilisée à partir
de Windows PowerShell.
Pour conclure, avec Windows PowerShell, vous avez une prise en charge complète du
script et un mode interactif, tout en un. Cependant, même si PowerShell doit s’imposer
comme standard dans les années à venir, il n’en reste pas moins qu’il sera nécessaire de
convertir les milliers de lignes de VBScript existantes.
428
Chapitre 11
La maintenance
des serveurs
11.1
11.2
11.3
Préparer l’administration d’un serveur . . . . . . . . . . . . . . . . . . . . . . . . . . . 431
Analyser les performances du serveur . . . . . . . . . . . . . . . . . . . . . . . . . . . . 451
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 476
Préparer l’administration d’un serveur
L
a surveillance et la gestion des serveurs ne sont pas des activités qui supportent les
approximations. Elles doivent être planifiées correctement.
Cette leçon présente les tâches, les outils et les droits requis pour administrer un
serveur. Ces informations sont essentielles à la bonne marche de votre travail
d’administrateur système. Ce chapitre décrit les conditions d’emploi et les fonctions des
outils que vous utilisez pour administrer un serveur. Il explique également les concepts
d’administration d’un serveur local ou distant.
11. La maintenance
des serveurs
11.1. Préparer l’administration d’un serveur
Cette section met en avant tous les outils et techniques que doit maîtriser un
administrateur afin de se connecter de façon sécurisée au serveur qu’il doit administrer.
Cela comprend l’utilisation de l’appartenance aux groupes, la fonction Exécuter en tant
que, l’outil Gestion de l’ordinateur et le Bureau à distance.
Utiliser les appartenances de groupe pour administrer un
serveur
Pour administrer un serveur, vous devez disposer des autorisations requises. Il est
essentiel de bien se familiariser avec les autorisations affectées aux groupes locaux de
domaine et permettant à leurs membres d’effectuer des tâches spécifiques. En effet,
vous pouvez utiliser ces groupes pour effectuer des tâches administratives courantes.
Les groupes locaux de domaine intégrés
Lorsqu’un ordinateur devient contrôleur de domaine, les groupes intégrés (appelés
"groupes locaux au serveur") sont créés dans le service d’annuaire Active Directory. Par
défaut, ces groupes disposent d’autorisations prédéfinies qui déterminent les tâches que
les membres d’un groupe intégré peuvent accomplir. Il est impossible de supprimer ces
groupes.
La liste ci-après présente les groupes locaux de domaine intégrés et le niveau prédéfini
de leurs autorisations respectives.
j
Administrateurs : les membres du groupe Administrateurs peuvent effectuer toutes
les tâches prises en charge par le système d’exploitation. Les administrateurs
peuvent s’attribuer n’importe quel droit d’utilisateur dont ils ne disposent pas par
défaut. L’appartenance au groupe local Administrateurs doit être limitée aux seuls
utilisateurs qui ont besoin d’un accès total au système. Connectez-vous en tant
qu’administrateur uniquement lorsque c’est nécessaire. Soyez très prudent lorsque
vous ajoutez d’autres utilisateurs au groupe Administrateurs. Par exemple, si le
personnel d’assistance technique est responsable des imprimantes de votre
431
Chapitre 11
La maintenance des serveurs
11. La maintenance
des serveurs
organisation, ajoutez-le dans le groupe Opérateurs d’impression plutôt que dans le
groupe Administrateurs.
j
Opérateurs de sauvegarde : les membres de ce groupe peuvent sauvegarder et
restaurer les fichiers en utilisant l’outil de sauvegarde.
j
Opérateurs de compte : les membres de ce groupe peuvent gérer les comptes
d’utilisateurs et les groupes, à l’exception du groupe Administrateurs ou de tout
groupe d’opérateurs qui ne peuvent être modifiés que par un membre du groupe
Administrateurs.
j
Opérateurs de serveur : les membres de ce groupe peuvent partager les ressources
disque, se connecter à un serveur de manière interactive, créer et supprimer les
partages réseau, démarrer et arrêter des services, formater le disque dur du serveur
et arrêter l’ordinateur. Ils peuvent également sauvegarder et restaurer les fichiers à
l’aide de l’outil de sauvegarde.
j
Opérateurs d’impression : les membres de ce groupe peuvent configurer les
imprimantes locales et réseau de sorte que les utilisateurs puissent facilement s’y
connecter et utiliser leurs ressources.
Figure 11.1 : Groupes prédéfinis
Les groupes locaux de domaine et protection des ressources
Le recours à plusieurs groupes locaux de domaine et à leurs autorisations respectives
peut protéger les ressources contre les violations de la sécurité. Un administrateur
système doit toujours être membre du groupe le plus restreint, qui fournit cependant les
droits appropriés ainsi que les autorisations requises pour accomplir la tâche. Par
exemple, un administrateur système chargé de gérer uniquement les imprimantes et la
sauvegarde des données de serveur doit être membre du groupe d’opérateurs
d’impression et disposer des droits nécessaires à la sauvegarde des données serveur.
432
Préparer l’administration d’un serveur
Les autorisations des groupes locaux de domaine
Les membres des groupes locaux de domaine se voient accorder des autorisations leur
permettant d’accomplir des tâches système telles que la sauvegarde et la restauration de
fichiers et la modification de l’horloge système. Vous pouvez utiliser ces groupes pour
administrer les ressources telles que des systèmes de fichiers ou des imprimantes de tous
les ordinateurs du domaine pour lesquels des autorisations d’accès courantes sont
requises.
11. La maintenance
des serveurs
Lorsque vous effectuez des tâches sur un ordinateur en tant que membre du groupe
Administrateurs, le système devient vulnérable aux attaques de type chevaux de Troie ou
à tout autre risque en termes de sécurité. Le simple fait de consulter un site Internet ou
d’ouvrir la pièce jointe d’un courrier électronique risque d’endommager le système car
une pièce jointe ou un site Internet inconnu peuvent contenir un programme malveillant
qui peut être téléchargé vers le système puis exécuté.
La commande Exécuter en tant que
À l’aide de la commande Exécuter en tant que, qui correspond à l’ouverture d’une
session secondaire, les administrateurs peuvent ouvrir une session avec un compte non
administratif et, sans fermer la session, effectuer des tâches en exécutant des
programmes approuvés pour la réalisation de tâches administratives.
Deux comptes d’utilisateurs sont requis. En effet, pour employer la commande Exécuter
en tant que dans le cadre de l’exécution de tâches administratives, les administrateurs
système doivent posséder deux comptes d’utilisateurs : un compte normal disposant des
privilèges de base et un compte administratif. Les administrateurs peuvent posséder
chacun un compte administratif différent ou partager le même compte administratif.
Quand utiliser la commande Exécuter en tant que ?
Utilisez la commande Exécuter en tant que pour la plupart des activités. L’ouverture
d’une session en tant que membre du groupe Administrateurs peut poser un problème de
sécurité. Certains éléments, tels que l’Explorateur Windows, le dossier Imprimantes et
les éléments du Bureau, sont lancés indirectement par Windows. Ils ne peuvent être
activés à l’aide de la commande Exécuter en tant que.
Pour les tâches qui ne peuvent être réalisées avec la commande Exécuter en tant que,
telles que la mise à niveau du système d’exploitation ou la configuration des paramètres
système, fermez la session ouverte avec le compte d’utilisateur, puis ouvrez une nouvelle
session avec le compte d’administrateur.
Utilisez la commande Exécuter en tant que pour ouvrir les composants logiciels
enfichables personnalisés. En effet, pour administrer des ordinateurs locaux ou distants,
vous pouvez utiliser la commande Exécuter en tant que afin d’ouvrir les consoles
personnalisées que vous avez créées. L’utilisation de cette commande vous donne accès
433
Chapitre 11
La maintenance des serveurs
aux services et aux outils d’administration inclus dans la console et vous fait bénéficier
des autorisations appropriées pour intervenir sur les composants administrés par la
console.
Tout utilisateur peut employer la commande Exécuter en tant que. Bien que la
commande Exécuter en tant que soit avant tout destinée aux administrateurs système,
n’importe quel utilisateur disposant de plusieurs comptes peut employer cette
commande pour lancer des programmes avec différents comptes sans pour autant
fermer de session.
11. La maintenance
des serveurs
Accéder à la commande Exécuter en tant que
Il existe trois solutions pour accéder à la commande Exécuter en tant que :
j
Dans le menu Démarrer, cliquez du bouton droit de la souris sur le programme de
votre choix, puis cliquez sur la commande Exécuter en tant que.
j
Dans l’Explorateur Windows, cliquez du bouton droit de la souris sur le programme
de votre choix, puis cliquez sur la commande Exécuter en tant que.
j
Activez la commande Exécuter en tant que à partir d’une Invite de commandes.
Cette méthode est généralement utilisée pour le script de tâches administratives ou
le lancement d’une Invite de commandes dans le cadre d’une administration locale.
Pour exécuter la commande, tapez runas /user:nom_domaine\nom
_utilisateur nom_programme.
Figure 11.2 : Exécuter en tant que depuis l’Explorateur
434
Préparer l’administration d’un serveur
Par exemple, pour activer l’outil Gestion de l’ordinateur en tant qu’administrateur à
partir de la ligne de commandes, ouvrez une Invite de commandes et tapez runas
/user:corp\administrateur "mmc %windir%\system32\compmgmt.msc.
Figure 11.3 :
Lancement de l’outil de
gestion de l’ordinateur de
la commande runas
11. La maintenance
des serveurs
Figure 11.4 : Invite de commandes pour l’authentification de la commande Exécuter en tant
que
Configurer des raccourcis associés à la commande Exécuter en tant
que
Vous pouvez également configurer des raccourcis associés à la commande Exécuter en
tant que vers les services et les outils d’administration que vous utilisez le plus souvent :
par exemple la console Performances, l’outil Gestion de l’ordinateur, le Gestionnaire de
périphériques et l’outil Gestion des disques.
Comment configurer les raccourcis associés à la commande Exécuter en tant que ?
Pour gagner du temps, vous pouvez configurer des raccourcis sur le Bureau, associés à la
commande Exécuter en tant que, vers les outils d’administration que vous utilisez le plus
souvent. Pour configurer un raccourci associé à la commande Exécuter en tant que vers
l’outil Performances :
1. Cliquez du bouton droit de la souris sur le Bureau, pointez sur Nouveau, puis cliquez
sur Raccourci.
2. Sur la page Création d’un raccourci, tapez runas /user:corp\administrateur
"mmc %windir%\system32\perfmon.msc" dans le champ Entrez l’emplacement de
l’élément, puis cliquez sur Suivant.
435
Chapitre 11
La maintenance des serveurs
11. La maintenance
des serveurs
Figure 11.5 :
Création du raccourci
avec la commande runas
3. Dans la page Sélection d’un titre pour le programme, tapez Performances dans le
champ Entrez un nom pour ce raccourci, puis cliquez sur Terminer.
4. Sur le Bureau, double-cliquez sur l’icône Performances, puis choisissez Gestion de
l’ordinateur, Gestionnaire de périphériques ou Gestion des disques.
5. Saisissez votre mot de passe.
Figure 11.6 :
Propriété du raccourci
permon
436
Préparer l’administration d’un serveur
Tableau 11.1 : Raccourcis associés à la commande Exécuter en tant que
Ligne de commandes
Gestion de l’ordinateur
runas /user:corp\administrateur "mmc
%windir%\system32\compmgmt.msc"
Gestion de périphériques
runas /user:corp\administrateur "mmc
%windir%\system32\devmgmt.msc"
Gestion des disques
runas /user:corp\administrateur "mmc
%windir%\system32\diskmgmt.msc"
Utilisateurs et ordinateurs
Active Directory
runas /user:corp\administrateur "mmc
%windir%\system32\dsa.msc"
MMC
runas /user:corp\administrateur mmc
Invite de commandes
runas /user:corp\administrateur cmd
11. La maintenance
des serveurs
Outil
Comment utiliser la commande Exécuter en tant que ?
Utilisez la commande Exécuter en tant que pour lancer une console MMC à partir d’un
compte disposant des droits appropriés pour l’exécution de cette tâche. Par exemple, si
vous ouvrez une session sur un serveur en tant qu’utilisateur et que vous souhaitiez
installer un nouveau logiciel, vous pouvez fermer la session, en ouvrir une autre en tant
qu’administrateur, ouvrir le Panneau de configuration, utiliser la fonction Ajout/
Suppression de programmes pour installer le nouveau logiciel, fermer la session en tant
qu’administrateur, puis rouvrir une nouvelle session avec votre compte d’utilisateur.
Avec la commande Exécuter en tant que, vous pouvez ouvrir le Panneau de
configuration, appuyer sur la touche [Maj], cliquer du bouton droit de la souris sur
Ajout/Suppression de programmes, puis utiliser la commande Exécuter en tant que
pour ajouter ou supprimer des programmes en tant qu’administrateur.
Pour utiliser la commande Exécuter en tant que à partir du menu Démarrer, procédez
comme suit :
1. Dans le menu Démarrer, cliquez du bouton droit de la souris sur le fichier
exécutable du programme de votre choix.
2. Cliquez sur Exécuter en tant que (voir fig. 11.17).
3. Cliquez sur L’utilisateur suivant.
4. Dans les champs Nom d’utilisateur et Mot de passe, saisissez le nom et le mot de passe
du compte.
437
La maintenance des serveurs
11. La maintenance
des serveurs
Chapitre 11
Figure 11.7 : Lancement d’un programme avec un compte différent de celui de la
session en cours
5. Cliquez sur OK.
Figure 11.8 : contexte d’exécution de l’outil Utilisateurs et Ordinateurs avec la
commande en tant que
438
Préparer l’administration d’un serveur
Pour utiliser la commande Exécuter en tant que à partir de l’Invite de commandes,
procédez ainsi :
1. Dans
le menu Démarrer, cliquez sur Exécuter, tapez runas
/user:corp\administrateur cmd, sachant que corp doit correspondre au nom
de votre domaine, puis cliquez sur OK.
2. Une fenêtre d’Invite de commandes apparaît vous proposant d’entrer un mot de
passe pour le compte corp\administrateur. Saisissez le mot de passe correspondant
au compte d’administrateur, puis appuyez sur [Ä].
11. La maintenance
des serveurs
3. Une nouvelle console apparaît, exécutée en mode Administrateur. Le titre de la
console affiche "en tant qu’utilisateur corp\administrateur".
Figure 11.9 : La commande Exécuter en tant que à partir de l’Invite de commandes
L’outil Gestion de l’ordinateur
La Gestion de l’ordinateur offre un ensemble d’outils qui vous permettront
d’administrer un ordinateur local ou distant.
Utilisez l’outil Gestion de l’ordinateur pour :
j
analyser les événements système tels que les heures d’ouverture de session et les
erreurs applicatives ;
j
créer et gérer des ressources partagées ;
j
afficher la liste des utilisateurs connectés à un ordinateur local ou distant ;
439
Chapitre 11
La maintenance des serveurs
j
démarrer et arrêter les services système tels que le Planificateur de tâches et le
service d’indexation ;
j
définir les propriétés des périphériques de stockage ;
j
afficher les configurations de périphérique et ajouter de nouveaux pilotes de
périphériques ;
j
gérer les applications et les services.
11. La maintenance
des serveurs
La console Gestion de l’ordinateur répartit les outils d’administration en trois
catégories :
j
Les outils système : ils sont destinés à la gestion des événements système et des
performances de l’ordinateur.
− L’Observateur d’événements : utilisez cet outil pour gérer et afficher les
événements enregistrés dans le journal des applications, le journal de sécurité et
le journal système. Vous pouvez analyser les journaux pour suivre les
événements de sécurité et identifier d’éventuels problèmes liés aux logiciels, au
matériel ou au système.
− Les Dossiers partagés : utilisez cet outil pour visualiser les connexions et les
ressources en cours d’utilisation sur l’ordinateur. Vous pouvez créer, afficher et
gérer les ressources partagées, afficher les sessions et les fichiers ouverts, fermer
les fichiers et déconnecter les sessions.
− Les Utilisateurs et groupes locaux : utilisez cet outil pour créer et gérer les
groupes et comptes d’utilisateurs locaux.
− Les Journaux et alertes de performance : utilisez cet outil pour analyser et
collecter les données relatives aux performances de l’ordinateur.
− Le Gestionnaire de périphériques : utilisez cet outil pour afficher les
périphériques matériels installés sur l’ordinateur, mettre à jour les pilotes de
périphériques, modifier les paramètres matériels et résoudre les conflits de
périphériques.
j
Le stockage : les outils de stockage sont destinés à la gestion des propriétés des
périphériques de stockage.
− Le Stockage amovible : utilisez cet outil pour assurer le suivi des supports de
stockage amovibles et gérer les bibliothèques ou les systèmes de stockage de
données les contenant.
− Le Défragmenteur de disque : utilisez cet outil pour analyser et défragmenter des
volumes sur les disques durs.
− La Gestion des disques : utilisez cet outil pour effectuer les tâches liées au
disque, telles que la conversion de disques ou la création et le formatage de
volumes. L’outil Gestion des disques vous aide à gérer les disques durs ainsi que
les partitions ou les volumes qu’ils contiennent.
440
Préparer l’administration d’un serveur
j
Les services et applications : les outils de la catégorie des services et des
applications vous aident à gérer les services et les applications de l’ordinateur.
− Les Services : utilisez cet outil pour gérer les services sur des ordinateurs locaux
ou distants. Vous pouvez démarrer, arrêter, interrompre, reprendre ou
désactiver un service. Ainsi, vous pouvez employer l’outil Services pour arrêter
un service sur un ordinateur distant.
− Le Contrôle WMI : utilisez cet outil pour configurer et gérer le service de gestion
Windows.
11. La maintenance
des serveurs
− Le Service d’indexation : utilisez cet outil pour gérer l’indexation, créer et
configurer des catalogues supplémentaires pour stocker les informations
d’index.
Figure 11.10 : La console Gestion de l’ordinateur
Pour utiliser l’outil Gestion de l’ordinateur afin d’administrer un ordinateur à distance,
procédez ainsi :
1. Dans le menu Démarrer, cliquez du bouton droit de la souris sur Poste de travail,
puis cliquez sur Gérer.
2. Cliquez du bouton droit de la souris sur Gestion de l’ordinateur (local), puis cliquez
sur Se connecter à un autre ordinateur.
3. Cliquez sur Un autre ordinateur, tapez le nom de l’ordinateur que vous souhaitez
gérer à distance ou cliquez sur Parcourir pour le rechercher. Cliquez sur OK.
441
Chapitre 11
La maintenance des serveurs
11. La maintenance
des serveurs
Figure 11.11 :
Gestion de d’un
ordinateur à distance
4. Dans l’arborescence de la console Gestion de l’ordinateur, développez les entrées
Outils système, Stockage ou Services et applications.
5. Cliquez sur l’élément, puis sélectionnez les outils que vous souhaitez utiliser.
Figure 11.12 : Gestion de d’un ordinateur à distance
Les administrateurs système doivent souvent travailler en dehors du site. Ainsi, en tant
qu’administrateur, vous pouvez vous trouver sur un site et devoir effectuer la
maintenance d’un serveur sur un autre site. Dans ce cas, vous pouvez utiliser la console
MMC pour gérer le serveur à distance. Par exemple, vous pouvez démarrer ou arrêter
des services sur un serveur distant, consulter le journal des événements et gérer les
partages ou les disques.
442
Préparer l’administration d’un serveur
Pour configurer la console MMC afin de gérer un serveur à distance, procédez comme
suit :
1. Ouvrez la console MMC en cliquant sur Démarrer, puis sur Exécuter. Tapez mmc et
validez.
2. Dans le menu Fichier, cliquez sur Ajouter/Supprimer un composant logiciel
enfichable, puis cliquez sur Ajouter.
3. Sur la liste des composants logiciels enfichables, cliquez sur Gestion de l’ordinateur,
puis sur Ajouter.
11. La maintenance
des serveurs
4. À l’invite, sélectionnez l’ordinateur local ou distant que vous souhaitez gérer à l’aide
de ce composant logiciel enfichable, puis cliquez sur Terminer.
5. Cliquez sur Fermer, puis sur OK.
Le Bureau à distance
À l’aide de l’outil Bureau à distance pour administration, vous pouvez gérer un ou
plusieurs ordinateurs distants à partir d’un seul emplacement. Dans une grande
entreprise, vous pouvez avoir recours à l’administration à distance pour centraliser la
gestion de plusieurs ordinateurs situés dans d’autres bâtiments, voire dans d’autres
villes. Dans une petite entreprise, vous pouvez avoir recours à l’administration à
distance pour gérer un seul serveur situé dans un bureau voisin ou dans un autre site.
L’outil Bureau à distance pour administration fournit un accès au serveur à partir d’un
ordinateur situé sur un autre site, à l’aide du protocole RDP (Remote Desktop Protocol).
Ce protocole transmet l’interface utilisateur à la session cliente. De même, il transmet
les manipulations sur le clavier et les clics de souris du client vers le serveur.
Vous pouvez créer jusqu’à deux connexions distantes simultanées. Chaque session que
vous ouvrez est indépendante des autres sessions clientes et de celle de la console du
serveur. Lorsque vous utilisez l’outil Bureau à distance pour administration afin d’ouvrir
une session sur un serveur distant, la connexion est établie comme s’il s’agissait de
l’ouverture d’une session sur le serveur local.
Le Bureau à distance pour administration fournit deux outils permettant d’administrer
un serveur distant : la Connexion Bureau à distance et le composant logiciel enfichable
des Bureaux à distance. Chaque instance de l’outil Connexion Bureau à distance crée sa
propre fenêtre. Vous pouvez administrer un serveur distant par fenêtre. Chaque
instance démarre toujours une nouvelle session sur le serveur.
Configurer le Bureau à distance
Un administrateur système peut utiliser la fonction Bureau à distance pour effectuer des
tâches, telles que l’ajout d’un logiciel et l’installation de Services Packs sur un serveur
distant.
443
Chapitre 11
La maintenance des serveurs
Pour configurer les connexions serveur afin d’administrer un serveur à distance,
procédez ainsi :
1. Connectez-vous en tant qu’administrateur.
2. Dans le menu Démarrer, cliquez du bouton droit de la souris sur Poste de travail.
3. Cliquez sur Propriétés.
4. Cliquez sur Utilisation à distance.
5. Cochez la case Autoriser les utilisateurs à se connecter à distance à cet ordinateur.
11. La maintenance
des serveurs
Figure 11.13 :
Configuration de
l’assistance à distance
pour l’administration du
serveur
Configurer les préférences du client
Pour configurer la connexion Bureau à distance, vous devez paramétrer les préférences
du client. Pour cela, utilisez l’interface Connexion Bureau à distance pour configurer les
données relatives à la connexion et à l’ordinateur client. Pour procéder à la
configuration, définissez les préférences du client sous les onglets suivants :
j
444
Utilisez l’onglet Général pour fournir les informations requises pour la connexion
automatique au serveur distant. Ces informations sont le nom du serveur, le nom et
le mot de passe de l’utilisateur et le nom de domaine. Vous pouvez également
enregistrer votre mot de passe et les paramètres de connexion, et ouvrir une
connexion enregistrée.
Préparer l’administration d’un serveur
j
Utilisez l’onglet Affichage pour modifier la taille de l’affichage et les paramètres de
couleur du Bureau distant, et pour afficher ou masquer la barre de connexion en
mode Plein écran.
j
Utilisez l’onglet Ressources locales pour choisir d’autoriser ou non un Bureau
distant à avoir accès aux lecteurs de disque, aux ports série, aux imprimantes ou à la
carte à puce de l’ordinateur local. On appelle "redirection des ressources" le fait
d’autoriser l’accès depuis le Bureau distant. Lorsque vous autorisez le Bureau
distant à avoir accès à ces ressources, il peut les utiliser pendant toute la durée de la
session.
j
Utilisez l’onglet Programmes pour spécifier un programme à démarrer lors de la
connexion au serveur distant.
j
Utilisez l’onglet Avancé pour améliorer la performance de la connexion au serveur
distant en autorisant l’affichage de certaines caractéristiques de la session Windows
distante, telles que l’arrière-plan du Bureau, comme si elles étaient activées sur
l’ordinateur distant. Pour optimiser les performances de la connexion, sélectionnez
une vitesse de connexion plus rapide. La vitesse de connexion par défaut, de
56 kbits/s, offre de bonnes performances pour la plupart des réseaux. Mais vous
pouvez utiliser des paramètres de vitesse supérieurs pour activer des fonctions
graphiques plus performantes, telles que le papier peint du Bureau et l’affichage ou
le masquage des menus.
11. La maintenance
des serveurs
Admettons que vous choisissiez d’autoriser l’accès au disque dur local depuis le Bureau
distant. Cette autorisation vous permet de facilement copier des fichiers depuis ou vers
le Bureau distant, mais elle signifie également que le Bureau distant dispose d’un accès
au contenu du disque dur local. Si cet accès n’est pas approprié, vous pouvez décocher
la case correspondante afin d’empêcher que le disque dur local ou toute autre ressource
ne soient redirigés vers le Bureau distant.
Se connecter à un serveur distant
En tant qu’administrateur système, vous vous êtes sûrement retrouvé à perdre du temps
en vous déplaçant sur les sites des serveurs distants pour effectuer des tâches
administratives. En utilisant l’outil Connexion Bureau à distance pour administrer à
distance les serveurs de votre entreprise, vous pouvez économiser du temps sur vos
déplacements et consacrer ainsi plus de temps à votre travail.
Pour vous connecter à un serveur distant à l’aide de l’outil Connexion Bureau à distance,
procédez ainsi :
1. Sur l’ordinateur client, cliquez sur Démarrer, puis choisissez Tous les programmes/
Accessoires/Communications. Cliquez sur Connexion Bureau à distance.
2. Dans la zone Ordinateur, tapez le nom d’un ordinateur ou l’adresse IP du serveur
exécutant Windows Server 2003 et sur lequel le service de Bureau à distance est
installé.
445
Chapitre 11
La maintenance des serveurs
11. La maintenance
des serveurs
Figure 11.14 :
Connexion de Bureau à
distance
Figure 11.15 : Ouverture de sessions sur le serveur distant
3. Lorsque vous avez terminé de travailler sur la session distante, dans le menu
Démarrer, cliquez sur Fermer la session.
En tant qu’administrateur système, vous êtes amené à vous connecter à la session de la
console afin de voir les messages système envoyés à la console. Vous devez peut-être
également gérer simultanément plusieurs serveurs. Pour cela, utilisez le composant
logiciel enfichable Bureaux à distance.
446
Préparer l’administration d’un serveur
Pour vous connecter à un ou à plusieurs serveurs à l’aide du composant logiciel
enfichable Bureaux à distance :
1. Dans le menu Démarrer, cliquez sur Outils d’administration, puis sur Bureaux à
distance.
11. La maintenance
des serveurs
Figure 11.16 : Bureau à distance
2. Dans l’arborescence de la console, cliquez du bouton droit de la souris sur Bureaux
à distance, puis sur Ajouter une nouvelle connexion.
3. Dans la boîte de dialogue Ajouter une nouvelle connexion, entrez le nom du serveur,
un nom de connexion, un nom d’utilisateur, le mot de passe correspondant et le nom
du domaine.
Figure 11.17 :
Ajout d’une nouvelle
connexion
4. Si vous souhaitez vous connecter à la session de la console, activez l’option Se
connecter à la console.
447
Chapitre 11
La maintenance des serveurs
11. La maintenance
des serveurs
Figure 11.18 :
Activer le mode Se
connecter en mode
Console
5. Pour gérer plusieurs serveurs, répétez les étapes 2 et 3.
Figure 11.19 : Bureau à distance en mode Console
6. Lorsque vous avez terminé de travailler sur la session distante, dans le menu
Démarrer, cliquez sur Fermer la session.
Pour vous connecter à la session de la console sur un serveur distant à l’aide de l’outil de
ligne de commandes mstsc :
1. Dans le menu Démarrer, cliquez sur Exécuter, tapez cmd, puis cliquez sur OK.
448
Préparer l’administration d’un serveur
2. À l’invite, tapez la commande mstsc /v:stlscpdc01 /console, puis validez
(Stlscpdc01 correspond au nom du serveur distant).
11. La maintenance
des serveurs
Figure 11.20 : Se connecter à un serveur distant à l’aide de l’outil de ligne de commandes
mstsc
3. Connectez-vous au serveur distant.
L’utilisation des paramètres de délai peut vous aider à gérer les ressources du serveur.
Après avoir défini les limites des connexions de session, vous pouvez administrer le
serveur plus efficacement.
Pour configurer un paramètre de délai pour une connexion distante, procédez comme
suit :
1. Cliquez sur Démarrer, puis sur Outils d’administration. Cliquez sur Configuration
des services Terminal Server.
Figure 11.21 : Configuration des services Terminal Server
2. Dans le volet d’informations, cliquez du bouton droit de la souris sur RDP-Tcp, puis
cliquez sur Propriétés (voir fig. 11.22).
3. Sous l’onglet Sessions, activez la première option Remplacer les paramètres de
l’utilisateur.
449
Chapitre 11
La maintenance des serveurs
11. La maintenance
des serveurs
Figure 11.22 :
Propriété de RDP-Tcp
4. Modifiez les paramètres appropriés : Fin d’une session déconnectée, Limite de session
active ou Limite de session inactive.
Nombre de connexions
En mode Administration à distance, le nombre de connexions est limité à deux.
Figure 11.23 :
Nombre de connexions
en mode Administration
à distance
Déconnexion des sessions
Une session déconnectée doit impérativement être fermée pour être terminée. Aussi,
n’oubliez pas de bien fermer les sessions quand vous avez fini vos opérations. Sinon,
vous vous trouverez dans l’impossibilité d’ouvrir d’autres sessions, du moins jusqu’à
ce que vous fassiez le ménage dans les sessions.
450
Analyser les performances du serveur
11.2. Analyser les performances du serveur
L’analyse des performances du serveur constitue une part importante de
l’administration et de la maintenance du système d’exploitation. Elle permet non
seulement d’analyser le comportement du serveur en cas de problème, mais également
d’obtenir des informations qui peuvent être utilisées pour prévoir une évolution future
et anticiper sur la façon dont les modifications des configurations du système peuvent
affecter l’exploitation ultérieure.
11. La maintenance
des serveurs
Pourquoi analyser les performances ?
L’analyse des performances est indispensable à la maintenance du serveur. Effectuée de
façon quotidienne, hebdomadaire ou mensuelle, elle permet de définir les performances
de base du serveur. Grâce à cette analyse, vous obtenez des données sur les
performances qui facilitent le diagnostic des problèmes du serveur.
Les données sur les performances permettent :
j
de comprendre pourquoi la charge de travail d’un serveur augmente soudainement ;
j
d’observer les modifications et les tendances de l’utilisation des ressources afin de
planifier les mises à niveau matérielles ultérieures ;
j
de tester les changements de configuration ou tout autre effort de réglage des
performances en analysant les résultats ;
j
de diagnostiquer les problèmes et d’identifier les composants ou les processus pour
optimiser les performances.
Analyser les données de performances et les goulets d’étranglement
L’analyse des données de performances peut révéler des problèmes, tels qu’une
demande excessive de certaines ressources entraînant des goulets d’étranglement. Un
engorgement se produit lorsqu’une seule ressource a un impact négatif sur les
performances de l’ensemble du système. La demande d’une ressource peut devenir
excessive au point de provoquer l’engorgement des quatre sous-systèmes principaux que
sont la mémoire, le processeur, le disque et le réseau.
Les causes d’un engorgement sont diverses et peuvent être les suivantes :
j
Les sous-systèmes sont insuffisants, et des composants supplémentaires ou mis à
niveau sont alors requis (par exemple, les goulets d’étranglement sont souvent dus à
une mémoire insuffisante).
j
Les sous-systèmes ne partagent pas les charges de travail de façon équitable et un
équilibrage est nécessaire (par exemple, une ancienne carte réseau est installée sur
un nouveau serveur).
451
11. La maintenance
des serveurs
Chapitre 11
La maintenance des serveurs
j
Un sous-système ne fonctionne pas correctement et doit être remplacé (par
exemple, un disque dur qui présente souvent des problèmes mineurs avant de
tomber définitivement en panne).
j
Un programme monopolise une ressource particulière (par exemple, la mémoire
n’est pas correctement partagée par une application développée maison). Pour
résoudre ce problème, il est nécessaire de demander à un développeur de réécrire le
programme, d’ajouter ou de mettre à niveau des ressources ou d’exécuter le
programme durant des périodes de faible utilisation.
j
Un sous-système n’est pas correctement configuré, et les paramètres de
configuration doivent donc être modifiés (par exemple, il se peut qu’une ancienne
carte réseau à plusieurs vitesses soit configurée pour 10 Mbits/s au lieu de
100 Mbit/s).
Établir une ligne de base
On détermine une base de référence à partir d’un ensemble de données relevées sur une
période étendue au cours de charges de travail et de connexions utilisateur de types
divers mais représentatifs. La ligne de base est un indicateur qui permet de connaître
l’utilisation des ressources système individuelles ou d’un groupe de ressources en
période d’activité normale.
Postulat de base : relever des échantillons de valeurs des compteurs toutes les 30 à
45 minutes pendant une semaine, lors de niveaux d’exploitation élevés, normaux et
faibles. Les principales étapes de création d’une ligne de base sont :
j
l’identification des ressources ;
j
la capture des données ;
j
l’enregistrement des données.
Les quatre principales ressources système pour les lignes de base des performances
sont :
j
la mémoire ;
j
le processeur ;
j
le disque physique ;
j
le réseau.
Ce sont des objets de performance. Il s’agit de données générées par un composant ou
une ressource du système. Chaque objet de performance inclut des compteurs, qui
comprennent des données concernant des aspects spécifiques des performances du
système. Les objets de performances peuvent avoir plusieurs instances.
452
Analyser les performances du serveur
Choisir entre analyse programmée et analyse en temps réel
11. La maintenance
des serveurs
Les administrateurs peuvent utiliser l’analyse programmée pour contrôler régulièrement
les serveurs. Il est possible, avec cette méthode, de définir les performances de base et
d’utiliser l’analyse des tendances pour identifier les problèmes du serveur. Par exemple, si
vous suspectez des ralentissements sur un serveur, vous pouvez vérifier les fichiers journaux
correspondants pour rechercher l’origine du problème. Les administrateurs doivent
également identifier les problèmes dus à des événements spécifiques. Pour ce type de
problème, il est nécessaire d’effectuer une analyse en temps réel. Par exemple, si on vous
informe que les imprimantes connectées au serveur d’impression fonctionnent par
intermittence, utilisez un outil d’analyse en temps réel, tel que le Gestionnaire des tâches
ou le Moniteur système, pour rechercher l’origine du problème.
La console Performances
Windows Server 2003 fournit les outils suivants qui font partie de la console
Performances et permettent d’analyser l’utilisation des ressources sur votre ordinateur :
j
le Moniteur système ;
j
les Journaux et alertes de performance.
Vous pouvez afficher les données de compteur enregistrées à l’aide du Moniteur
système ou les exporter vers des tableurs ou des bases de données pour les analyser et
générer un rapport. Le Moniteur système permet de créer des graphiques, des
histogrammes et des rapports concernant les données des compteurs de performance.
L’affichage graphique, qui représente l’affichage par défaut, propose le plus grand choix
de paramètres facultatifs.
L’affichage graphique
Il permet d’analyser en temps réel tous les processus d’un système.
Les données des compteurs d’une période définie sont présentées sous forme de
graphique linéaire.
L’histogramme
Il permet de détecter les goulets d’étranglement au niveau du processeur.
Les données de compteurs sont présentées sous forme de diagramme en bâtons (une
valeur par instance de compteur).
Le rapport
Il permet d’analyser les valeurs numériques de chaque compteur.
Les données de compteurs sont présentées dans un tableau (une valeur par instance de
compteur).
453
Chapitre 11
La maintenance des serveurs
L’analyse en temps réel
Avec cette méthode, le Moniteur système traite les compteurs de données et les met à
jour dès réception des données provenant du système d’exploitation. Utilisez l’analyse
en temps réel pour déterminer l’état actuel des quatre sous-systèmes (mémoire,
processeur, disque et réseau). Ainsi, si les utilisateurs signalent un long délai de réponse
pour une application client/serveur dans une situation qui n’avait jusqu’à présent généré
aucun problème, vous pouvez employer le Moniteur système pour réaliser un diagnostic
et résoudre le problème.
11. La maintenance
des serveurs
Pour effectuer une analyse en temps réel avec la console Performances, procédez ainsi :
1. Pour lancer la console Performances,
d’administration/Performances.
cliquez
sur
Démarrer/Outils
Figure 11.24 : Moniteur système
2. Cliquez sur Moniteur système.
3. Cliquez du bouton droit de la souris dans le volet des informations, puis sur Ajouter
des compteurs.
Pour chaque compteur ou groupe de compteurs à ajouter au journal :
4. Dans la zone Objet de performance, sélectionnez le type d’objet de performance à
analyser. Pour ajouter des compteurs, sélectionnez l’option Tous les compteurs si
vous souhaitez inclure tous les compteurs pour l’objet de performance sélectionné
454
Analyser les performances du serveur
ou l’option Choisir les compteurs dans la liste si vous souhaitez choisir les compteurs
pour l’objet de performance sélectionné. Pour analyser les instances du compteur
sélectionné, sélectionnez l’option Toutes les instances si vous souhaitez analyser
toutes les instances des compteurs sélectionnés ou l’option Choisir les instances si
vous souhaitez analyser les instances choisies dans la liste des compteurs
sélectionnés.
Figure 11.25 :
Ajouter des compteurs
11. La maintenance
des serveurs
5. Cliquez sur Ajouter.
Figure 11.26 : Moniteur système avec les compteurs de performance
455
Chapitre 11
La maintenance des serveurs
6. Cliquez sur Fermer.
Information sur les compteurs
Pour obtenir la description d’un compteur, sélectionnez celui-ci, puis cliquez sur
Expliquer.
11. La maintenance
des serveurs
Figure 11.27 :
Expliquer les compteurs
de performance
Cas particuliers
Certains types d’objets possèdent plusieurs instances. Par exemple, si un serveur
possède plusieurs processeurs, le type d’objet Processeur dispose de plusieurs
instances. Si un système contient deux disques, le type d’objet Disque physique
possède deux instances. Certains objets, tels que ceux de la mémoire ou du serveur, ne
disposent que d’une seule instance. Si un type d’objet a plusieurs instances, vous
pouvez ajouter des compteurs pour réaliser le suivi statistique de chaque instance ou,
dans de nombreux cas, de toutes les instances à la fois.
L’analyse programmée
L’analyse programmée consiste à récupérer et conserver des données sur une période
définie pour les analyser ultérieurement. Cela permet d’établir une ligne de base, de
détecter les goulets d’étranglement et de déterminer si des modifications du système se
456
Analyser les performances du serveur
sont produites au cours de cette période. Utilisez l’outil Journaux et alertes de
performance pour effectuer une analyse programmée.
Pour effectuer une analyse programmée à l’aide de la console Performances, procédez
ainsi :
1. Pour lancer la console Performances,
d’administration/Performances.
cliquez
sur
Démarrer/Outils
2. Double-cliquez sur Journaux et alertes de performance.
11. La maintenance
des serveurs
Figure 11.28 : Journaux et alertes
3. Cliquez du bouton droit de la souris sur Journaux de compteur, puis sur Nouveaux
paramètres de journal.
4. Dans la boîte de dialogue qui apparaît, indiquez le nom du journal, puis cliquez sur
OK.
Figure 11.29 :
Nom du nouveau fichier
journal
5. Sous l’onglet Général, cliquez sur Ajouter des compteurs.
Pour chaque compteur ou groupe de compteurs à ajouter au journal :
6. Dans la zone Objet de performance, sélectionnez le type d’objet de performance à
analyser. Pour ajouter des compteurs, sélectionnez l’option Tous les compteurs si
vous souhaitez inclure tous les compteurs pour l’objet de performance sélectionné
ou l’option Choisir les compteurs dans la liste si vous souhaitez choisir les compteurs
pour l’objet de performance sélectionné. Pour analyser les instances du compteur
sélectionné, sélectionnez l’option Toutes les instances si vous souhaitez analyser
toutes les instances des compteurs sélectionnés ou l’option Choisir les instances si
vous souhaitez analyser les instances choisies dans la liste des compteurs
sélectionnés.
457
Chapitre 11
La maintenance des serveurs
11. La maintenance
des serveurs
Figure 11.30 :
Sélection des objets et
compteurs
7. Cliquez sur Ajouter, puis sur Fermer.
8. Sous l’onglet Général, modifiez l’intervalle dans le champ correspondant.
Figure 11.31 :
Modification de la
période
d’échantillonnage des
données
9. Sous l’onglet Planification, modifiez le jour et l’heure du démarrage et de l’arrêt du
journal, puis cliquez sur OK.
458
Analyser les performances du serveur
Figure 11.32 :
Planification du
démarrage et de l’arrêt
du journal
11. La maintenance
des serveurs
10. Si un message vous invite à créer un dossier de journal, cliquez sur Oui.
Figure 11.33 : Journaux de compteur avec la tâche planifiée
Le Gestionnaire des tâches
Le Gestionnaire des tâches offre une vue d’ensemble de l’activité et des performances
du système et fournit des informations concernant les programmes et les processus en
cours d’exécution sur votre ordinateur. Il indique également le type de mesure des
performances du processus le plus utilisé. De plus, vous pouvez l’employer pour une
analyse en temps réel.
459
Chapitre 11
La maintenance des serveurs
11. La maintenance
des serveurs
Le Gestionnaire des tâches peut permettre d’analyser les indicateurs clés des
performances de votre ordinateur :
j
Vous pouvez afficher l’état des programmes en cours d’exécution et terminer ceux
qui ne répondent plus.
j
L’activité des processus en cours peut être évaluée en utilisant jusqu’à
15 paramètres, et des graphiques ainsi que des données concernant l’utilisation du
processeur et de la mémoire peuvent être affichés.
j
Si vous êtes connecté à un réseau, vous avez la possibilité d’afficher l’état de ce
réseau.
j
Si plusieurs utilisateurs sont connectés à votre ordinateur, vous pouvez savoir qui ils
sont, quels fichiers sont utilisés et leur envoyer un message. Le Gestionnaire des
tâches propose cinq onglets qui permettent d’effectuer l’ensemble de ces actions.
Figure 11.34 :
Le gestionnaire des
tâches
Analyser un serveur distant
La charge de travail supplémentaire apportée au serveur par le Gestionnaire des tâches
et la console Performances peut entraîner une représentation incorrecte des données
récupérées. L’analyse du serveur à distance permet de limiter ce type de problème.
Analyser des ordinateurs distants
Si vous envisagez d’analyser des ordinateurs distants, vous devez disposer des droits
d’accès requis.
460
Analyser les performances du serveur
Pour analyser un serveur distant, procédez ainsi :
1. Pour lancer la console Performances,
d’administration/Performances.
cliquez
sur
Démarrer/Outils
2. Cliquez du bouton droit de la souris dans le volet droit du Moniteur système, puis
cliquez sur Ajouter des compteurs.
3. Cliquez sur Choisir les compteurs sur, puis tapez le nom de l’ordinateur distant.
Figure 11.35 :
11. La maintenance
des serveurs
Ajout d’un compteur
depuis un ordinateur
distant
4. Dans Objet de performance, sélectionnez les objets à analyser. Pour chaque objet de
performance, sélectionnez les compteurs correspondants sur la liste. Cliquez sur
Ajouter après chaque sélection de compteur, puis cliquez sur Fermer.
Figure 11.36 : Moniteur système avec les compteurs d’ordinateurs distants
461
Chapitre 11
La maintenance des serveurs
Les journaux
Windows Server 2003 peut récupérer des données concernant les ressources disque, la
mémoire, les processeurs et les composants réseau. De plus, certaines applications, par
exemple Exchange Server, peuvent également récupérer des données. Celles-ci
constituent des objets de performances et leur nom est généralement celui du
composant qui les génère. L’objet Processeur représente un ensemble de données de
performances relatives aux processeurs du serveur.
11. La maintenance
des serveurs
Les journaux sont des compteurs qui indiquent les données enregistrées dans le fichier
journal. Les journaux de compteur permettent de sélectionner les compteurs pour
récupérer les données sur les performances.
Pour créer un journal de compteur, procédez ainsi :
1. Pour lancer la console Performances,
d’administration/Performances.
cliquez
sur
Démarrer/Outils
2. Double-cliquez sur Journaux et alertes de performance, puis cliquez sur Journaux de
compteur.
Tous les journaux de compteur existants apparaissent dans le volet des informations.
L’icône verte indique qu’un journal est en cours et l’icône rouge signale l’arrêt du
journal.
3. Cliquez du bouton droit de la souris sur une zone vierge du volet des informations,
puis cliquez sur Nouveaux paramètres de journal.
4. Dans la zone de texte Nom, tapez le nom du journal, puis cliquez sur OK.
5. Sous l’onglet Général, cliquez sur Ajouter des compteurs pour sélectionner les
compteurs à enregistrer.
6. Si vous souhaitez modifier le fichier par défaut et planifier des informations, utilisez
les onglets Fichiers journaux et Planification.
7. Pour enregistrer les paramètres d’un journal de compteur, cliquez du bouton droit
de la souris sur celui-ci dans le volet situé à droite dans la console Performances,
puis cliquez sur Enregistrer les paramètres sous. Vous pouvez indiquer le fichier
.htm dans lequel enregistrer les paramètres.
8. Pour réutiliser les paramètres enregistrés avec un autre journal de compteur,
cliquez du bouton droit de la souris dans le volet situé à droite, puis cliquez sur
Nouveaux paramètres de journalisation issus de. Cela permet de générer
facilement de nouveaux paramètres à partir de la configuration d’un journal de
compteur. Vous pouvez également ouvrir le fichier HTML dans Internet Explorer
pour afficher un graphique du Moniteur système.
Les journaux de compteur pouvant rapidement remplir l’espace disque, prenez
l’habitude de les supprimer lorsque vous n’en avez plus besoin ; généralement, après
avoir établi une ligne de base et enregistré les informations correspondantes. Il est
462
Analyser les performances du serveur
conseillé d’établir une ligne de base une fois par semaine et de supprimer les journaux
ayant plus de 30 jours.
Pour supprimer un journal de compteur, procédez ainsi :
1. Pour lancer la console Performances,
d’administration/Performances
cliquez
sur
Démarrer/Outils
2. Double-cliquez sur Journaux et alertes de performance, puis cliquez sur Journaux de
compteur.
11. La maintenance
des serveurs
3. Dans le volet des informations, cliquez du bouton droit de la souris sur le journal de
compteur à supprimer.
Figure 11.37 : Suppression d’un journal
4. Cliquez sur Supprimer.
Voici les différents formats de fichiers journaux :
Tableau 11.2 : Journaux et alertes de performance
Format du fichier journal
Description
Utilisation
Fichier texte (délimité par des
virgules)
Définit un fichier journal délimité par
des virgules (extension .csv).
Utilisez ce format pour exporter les
données du journal vers un tableur, par
exemple.
Fichier texte (délimité par des
tabulations)
Définit un fichier journal délimité par
des tabulations (extension .csv).
Utilisez ce format pour exporter les
données du journal vers un tableur, par
exemple.
463
11. La maintenance
des serveurs
Chapitre 11
La maintenance des serveurs
Format du fichier journal
Description
Utilisation
Fichier binaire
Définit un fichier journal séquentiel
binaire (extension .blg). Seuls les
formats binaires peuvent intégrer
des instances discontinues.
Utilisez ce format de fichier pour
enregistrer les instances de données
intermittentes, à savoir celles qui
s’arrêtent et reprennent une fois le
journal commencé.
Utilisez la commande tracerpt
pour convertir les fichiers binaires en
fichiers journaux délimités par des
virgules.
Fichier circulaire binaire
Définit un fichier journal circulaire
binaire (extension .blg).
Utilisez ce format pour enregistrer des
données en continu dans le même
fichier journal, les nouvelles données
remplaçant les enregistrements
précédents lorsque la taille maximale
du fichier est atteinte.
Utilisez la commande tracerpt
pour convertir les fichiers binaires en
fichiers journaux délimités par des
virgules.
Base de données SQL
Définit le nom d’une base de
données SQL et d’un ensemble de
journaux au sein de la base de
données dans laquelle les données
sur les performances seront lues ou
écrites.
Utilisez ce format de fichier pour
récupérer les données sur les
performances au niveau de l’entreprise
et non pour chaque ordinateur.
Pour définir les paramètres de fichier d’un journal de compteur, procédez ainsi :
1. Pour lancer la console Performances,
d’administration/Performances.
cliquez
sur
Démarrer/Outils
2. Double-cliquez sur Journaux et alertes de performance.
3. Pour définir les propriétés de fichier d’un journal de compteur, double-cliquez sur
Journaux de compteur.
4. Dans le volet des informations, double-cliquez sur le journal.
5. Passez sous l’onglet Fichiers journaux.
6. Sur la liste Type de fichier journal, sélectionnez le format souhaité pour ce fichier
journal, paramétrez les options, puis cliquez sur le bouton Configurer.
7. Dans la zone Configurer, déterminez les paramètres de configuration à l’aide des
options Configurer les fichiers journaux ou Configurer les journaux SQL, selon le type
de fichier journal choisi sur la liste correspondante.
8. Activez l’option Terminer les noms de fichiers avec, puis, sur la liste, cliquez sur le
style de suffixe souhaité. Utilisez cette option pour distinguer les fichiers journaux
464
Analyser les performances du serveur
ayant le même nom de fichier dans un groupe de journaux générés
automatiquement.
9. Dans la zone Démarrer la numérotation à partir de, indiquez le premier chiffre de la
numérotation automatique des fichiers, lorsque vous sélectionnez nnnnnn pour
l’option Terminer les noms de fichiers avec.
10. Dans la zone Commentaire, tapez si nécessaire un commentaire ou une description
concernant le fichier journal.
11. La maintenance
des serveurs
Figure 11.38 :
Les différents types de
fichiers journal
11. Dans la boîte de dialogue Configurer les fichiers journaux, sous la rubrique Taille
du fichier journal, activez l’option Limite maximale pour que les données soient
récupérées de façon continue dans un fichier journal jusqu’à ce que sa taille limite
définie par les quotas de disque ou le système d’exploitation soit atteinte. Pour les
journaux SQL, les données sont récupérées dans une base de données jusqu’à ce que
sa taille limite définie par le nombre d’enregistrements effectués soit atteinte.
Choisissez Limite de et indiquez la taille limite du fichier journal. Pour les journaux
de compteur et de traçage, indiquez la taille maximale en mégaoctets. Pour les
journaux SQL, indiquez la taille maximale dans les enregistrements (voir fig. 11.39).
Pour définir les paramètres de début et de fin d’un journal de compteur, procédez ainsi :
1. Pour lancer la console Performances,
d’administration/Performances.
cliquez
sur
Démarrer/Outils
2. Double-cliquez sur Journaux et alertes de performance, puis cliquez sur Journaux de
compteur.
465
Chapitre 11
La maintenance des serveurs
11. La maintenance
des serveurs
Figure 11.39 :
Limiter la taille du
fichier journal
3. Dans le volet des informations, double-cliquez sur le nom du journal de compteur.
4. Sous l’onglet Planification, sous la rubrique Démarrer l’enregistrement dans le
journal, cliquez sur Heure, puis indiquez l’heure et la date.
Figure 11.40 :
Planification des heures
de démarrage et d’arrêt
du journal
5. Sous l’onglet Arrêter l’enregistrement dans le journal, sélectionnez l’une des
options suivantes :
466
j
Pour que le journal s’arrête après une durée précise, cliquez sur Après, puis
indiquez le nombre d’intervalles et leur type (jours, heures, etc.).
j
Pour que le journal s’arrête à une heure et à une date précises, cliquez sur
Heure, puis indiquez l’heure et la date. Vous pouvez saisir quatre caractères
dans la zone de l’année, deux dans les autres.
Analyser les performances du serveur
j
Pour que le journal de compteur s’arrête lorsque le fichier journal atteint sa
taille maximale, activez l’option Quand le fichier journal de 10 Mo est plein. Le
fichier continue à accumuler des données selon la taille limite indiquée sous
l’onglet Fichiers journaux (en kilo-octets, jusqu’à 2 Go).
6. Dans la zone Quand un fichier journal est fermé, sélectionnez l’option appropriée :
Si vous souhaitez configurer un journal de compteur circulaire (continu,
automatique), sélectionnez l’option Commencer un nouveau fichier journal.
j
Pour exécuter un programme après l’arrêt du fichier journal (par exemple, si
vous souhaitez utiliser la commande copy pour transférer les journaux terminés
vers un site d’archive), sélectionnez Exécuter cette commande. Tapez le chemin
d’accès et le nom du fichier du programme à exécuter ou cliquez sur Parcourir
pour rechercher l’emplacement du programme.
11. La maintenance
des serveurs
j
Pour commencer et arrêter manuellement les journaux de compteur, procédez ainsi :
1. Ouvrez la console Performances, puis double-cliquez sur Journaux et alertes de
performance.
2. Cliquez sur Journaux de compteur.
3. Dans le volet des informations, cliquez du bouton droit de la souris sur le journal de
compteur à arrêter ou à démarrer.
4. Cliquez sur Démarrer ou Arrêter.
Figure 11.41 : Démarrage et arrêt manuel du fichier journal
467
Chapitre 11
La maintenance des serveurs
Les alertes
Grâce à la fonction d’alerte, vous pouvez définir une valeur de compteur qui déclenche
des actions, telles que l’envoi d’un message réseau, l’exécution d’un programme ou le
démarrage d’un journal. Les alertes sont utiles si vous n’analysez pas de façon active une
valeur seuil d’un compteur particulier mais que vous souhaitiez être informé lorsqu’elle
est supérieure ou inférieure à un paramètre spécifié, afin de pouvoir rechercher l’origine
de ce changement.
11. La maintenance
des serveurs
Alertes
Une alerte est une fonction qui détecte à quel moment une valeur de compteur
prédéfinie est supérieure ou inférieure à un paramètre spécifié. Ce dernier est un seuil
d’alerte.
Vous pouvez définir une alerte pour un compteur afin d’effectuer les actions suivantes :
j
créer une entrée dans le journal des événements de l’application pour, notamment,
enregistrer tous les événements ayant provoqué une alerte ;
j
commencer un journal lorsque la valeur de compteur sélectionnée est supérieure ou
inférieure au seuil d’alerte ;
j
envoyer un message pour être prévenu lorsqu’un événement spécifique se produit ;
j
exécuter un programme pour lancer un programme lorsqu’un événement se produit
(par exemple, le serveur peut s’arrêter si le disque dur est plein).
Pour créer une alerte, procédez ainsi :
1. Pour lancer la console Performances,
d’administration/Performances.
cliquez
sur
Démarrer/Outils
2. Double-cliquez sur Journaux et alertes de performance, puis cliquez sur Alertes.
Toutes les alertes existantes apparaissent dans le volet des informations. L’icône verte
indique que l’alerte est en cours et l’icône rouge signale l’arrêt de l’alerte.
3. Cliquez du bouton droit de la souris sur une zone vierge du volet des informations,
puis sur Nouveaux paramètres d’alerte.
4. Dans la zone de texte Nom, tapez le nom de l’alerte, puis cliquez sur OK.
Figure 11.42 :
Nouveaux paramètres
d’alerte
468
Analyser les performances du serveur
5. Dans la fenêtre d’alerte portant le nom du fichier que vous venez de donner,
paramétrez les différents onglets :
j
Sous l’onglet Général, vous pouvez ajouter un commentaire pour votre alerte,
ainsi que des compteurs, des seuils d’alerte et des intervalles d’échantillonnage.
Figure 11.43 :
L’onglet Général
11. La maintenance
des serveurs
j
Sous l’onglet Action, définissez les actions à réaliser lorsque des données de
compteur génèrent une alerte.
Figure 11.44 :
L’onglet Action d’une
alerte
469
Chapitre 11
La maintenance des serveurs
j
Sous l’onglet Planification, vous avez la possibilité de définir à quel moment le
service commence à rechercher les alertes.
11. La maintenance
des serveurs
Figure 11.45 :
L’onglet Planification
d’une alerte
Si vous avez choisi d’envoyer un message réseau, vous recevrez ce type de message :
Figure 11.46 : Pop-up d’alerte
Si vous avez choisi d’enregistrer un événement dans le journal des événements, voici ce
que vous obtiendrez :
Figure 11.47 :
Message d’alerte
enregistré dans le journal
d’événements
470
Analyser les performances du serveur
Pour supprimer une alerte, procédez ainsi :
1. Pour lancer la console Performances,
d’administration/Performances.
cliquez
sur
Démarrer/Outils
2. Double-cliquez sur Journaux et alertes de performance.
3. Dans le volet des informations, cliquez du bouton droit de la souris sur l’alerte à
supprimer.
11. La maintenance
des serveurs
Figure 11.48 : Suppression d’une alerte
4. Cliquez sur Supprimer.
Les compteurs de performance
Nous venons de voir comment tirer parti des compteurs de performance. Maintenant,
étudions un peu plus dans le détail ces compteurs.
La mémoire
La mémoire du serveur est le sous-système ayant la plus grande incidence sur les
performances générales du serveur. Si le serveur ne dispose pas de mémoire suffisante
pour contenir les données qui lui sont nécessaires, il doit temporairement stocker ces
données sur le disque (on dit qu’il swappe). L’accès au disque est beaucoup plus lent que
l’accès à la mémoire RAM. Par conséquent, tout stockage de données sur le disque
altère les performances du serveur de façon importante. Par rebond, si les performances
du serveur sont altérées, les applications qu’il fait tourner le sont aussi, logiquement.
471
Chapitre 11
La maintenance des serveurs
La surveillance et l’analyse de l’utilisation de la mémoire sont, par conséquent, les
premières étapes à suivre dans le cadre de l’évaluation des performances du serveur.
Tableau 11.3 : Identifier et résoudre les problèmes de goulet d’étranglement au niveau de
11. La maintenance
des serveurs
la mémoire
Compteur de
mémoire
Plage moyenne
acceptable
Valeur désirée
Action
Pages/s
De 0 à 20
Basse
Rechercher le processus à l’origine
des échanges. Ajouter de la RAM
Octets disponibles Au moins 5 % de
la mémoire totale
Haute
Rechercher le processus à l’origine
des échanges. Ajouter de la RAM
Octets validés
Moins que la
mémoire RAM
physique
Basse
Rechercher le processus à l’origine
des échanges. Ajouter de la RAM
Octets de réserve
non paginée
Reste constante,
n’augmente pas
Sans objet
Rechercher une fuite de mémoire
dans une application
Défauts de
pages/s
Inférieure à 5
Basse
Rechercher le processus à l’origine
des échanges. Ajouter de la RAM
Pour analyser la mémoire à l’aide de la console Performances, procédez comme suit :
1. Cliquez sur Démarrer/Panneau de configuration, puis double-cliquez sur Outils
d’administration et Performances.
2. Cliquez du bouton droit de la souris dans le volet de droite du Moniteur système,
puis cliquez sur Ajouter des compteurs.
3. Dans Objet de performance, cliquez sur Mémoire. Sélectionnez un à un les
compteurs suivants, puis cliquez sur Ajouter :
j
Pages/s ;
j
Octets disponibles ;
j
Octets validés ;
j
Octets de réserve non paginée ;
j
Défauts de page/s.
4. Bien que les compteurs suivants ne soient pas explicitement des compteurs d’objets
mémoire, ils sont également utiles à l’analyse de la mémoire :
472
j
Fichier d’échange\Pourcentage d’utilisation ;
j
Cache\% Présence des données mappées ;
j
Serveur\Octets de réserve paginée et Serveur\Octets de réserve non paginée.
Analyser les performances du serveur
Figure 11.49 :
Sélection des compteurs
et objets pour l’analyse
de la mémoire
11. La maintenance
des serveurs
5. Dans le volet de droite du Moniteur système, examinez les compteurs, puis effectuez
les opérations nécessaires à la résolution du problème de mémoire.
Figure 11.50 : Analyseur de performance utilisé depuis Internet Explorer
473
Chapitre 11
La maintenance des serveurs
Le processeur
L’aspect le plus important concernant les performances du processeur est le niveau
d’utilisation de ce dernier. Lorsqu’une application ou un autre logiciel utilise plus que sa
part du cycle du processeur, tous les autres programmes en cours d’exécution sont
ralentis.
Après la quantité de mémoire utilisée, l’activité du processeur est l’information la plus
importante permettant d’analyser un serveur.
11. La maintenance
des serveurs
Tableau 11.4 : Identifier et résoudre les problèmes de goulet d’étranglement au niveau du
processeur
Compteur
processeur
Plage moyenne
acceptable
Valeur désirée
Action
% Temps
processeur
Inférieur à 85 %
Basse
Rechercher le processus utilisant trop de
processeur. Mettre à niveau ou ajouter un
autre processeur
Système : longueur
de la file du
processeur
Inférieur à 10
Basse
Mettre à niveau ou ajouter un autre
processeur
Files de travail du
serveur : longueur
de la file
Inférieur à 4
Basse
Rechercher le processus utilisant trop de
processeur. Mettre à niveau ou ajouter un
autre processeur
Interruptions/S
Dépend du
processeur
Basse
Rechercher le contrôleur générant les
interruptions
Les disques
La vitesse d’accès du disque dur physique peut fortement ralentir les applications et le
chargement des données. De plus, l’espace de stockage sur le disque doit être suffisant
pour permettre l’installation des applications, ainsi que le stockage des données et du
fichier d’échange.
Il est important d’analyser les disques pour maintenir le bon fonctionnement de vos
systèmes.
474
Analyser les performances du serveur
Tableau 11.5 : Identifier et résoudre les problèmes de goulet d’étranglement au niveau du
disque
Valeur désirée
Action
% Temps du disque
Inférieure à 50 %
Basse
Analyser les disques pour déterminer si
des opérations d’échange s’effectuent,
mettre à niveau le sous-système disque
Taille de la file
d’attente du disque
actuel
De 0 à 2
Basse
Mettre à niveau le sous-système disque
Disque, octets
transfert moyen
Ligne de base ou
supérieure
Haute
Mettre à niveau le sous-système disque
Octets disque/s
Ligne de base ou
supérieure
Haute
Mettre à niveau le sous-système disque
11. La maintenance
des serveurs
Compteur de disque Plage acceptable
physique
Pour analyser les disques, procédez ainsi :
1. Cliquez sur Démarrer/Panneau de configuration, puis double-cliquez sur Outils
d’administration et Performances.
2. Cliquez du bouton droit de la souris dans le volet de droite du Moniteur système,
puis cliquez sur Ajouter des compteurs.
3. Dans la boîte de dialogue Ajouter des compteurs, sous Objet de performance,
choisissez Disque physique. Sélectionnez les compteurs suivants et cliquez sur
Ajouter.
j
% Temps du disque ;
j
Moy. disque, octets/transfert ;
j
Taille de file d’attente du disque actuelle ;
j
Octets disque/s.
4. Dans le volet de droite du Moniteur système, examinez les compteurs, puis effectuez
les opérations nécessaires à la résolution des éventuels problèmes de disque.
Le réseau
Les performances du réseau dépendent de la vitesse du matériel de l’infrastructure de
votre réseau et de celle des logiciels en cours d’exécution sur les serveurs et clients.
Dans tout environnement de travail, les communications réseau sont extrêmement
importantes. À l’instar du processeur ou des disques de votre système, le comportement
du réseau influe sur le fonctionnement du système.
475
Chapitre 11
La maintenance des serveurs
Tableau 11.6 : Identifier et résoudre les problèmes de goulet d’étranglement au niveau du
11. La maintenance
des serveurs
réseau
Compteur de l’interface
réseau
Plage moyenne acceptable
Valeur Désirée
Action
Utilisation du réseau (dans le
Gestionnaire de tâches)
Inférieur à 30 %, en général
Basse
Mettre à niveau la carte ou le
réseau physique
Interface réseau : Octets
envoyés/s
Ligne de base ou supérieure
Haute
Mettre à niveau la carte ou le
réseau physique
Interface réseau : Total des
octets/s
Ligne de base ou supérieure
Haute
Poursuivre l’analyse pour
déterminer la cause du
problème, mettre à niveau la
carte ou le réseau physique
Serveur : Octets reçus
Moins de 50 % de la
capacité de la bande
passante de la carte réseau
Sans objet
Mettre à niveau la carte ou le
réseau physique
Pour analyser le réseau, procédez ainsi :
1. Cliquez sur Démarrer/Panneau de configuration, puis double-cliquez sur Outils
d’administration et Performances.
2. Cliquez du bouton droit de la souris dans le volet de droite du Moniteur système,
puis cliquez sur Ajouter des compteurs.
3. Sous Objet de performance, choisissez Interface réseau. Sélectionnez les compteurs
suivants et cliquez sur Ajouter :
j
Interface réseau\Octets envoyés/s ;
j
Interface réseau\Total des octets/s.
4. Sous Objet de performance, choisissez Serveur. Sélectionnez les compteurs
Serveur\Octets et reçus/s, cliquez sur Ajouter, puis sur Fermer.
5. Dans le volet de droite du Moniteur système, examinez les compteurs, puis effectuez
les opérations nécessaires à la résolution des éventuels problèmes de réseau.
11.3. En résumé
La maintenance de vos serveurs Windows Server 2003 est, évidemment, une partie très
importante du travail d’un administrateur. C’est même une des parties qui vous suivra
une fois le projet d’implémentation d’Active Directory terminé.
Comme nous pouvons le constater, Windows Server 2003 est suffisamment bien équipé
en standard pour vous proposer de maintenir et d’analyser les performances afin de
résoudre des problèmes ou réaliser des prévisions sur les évolutions matérielles du
serveur. Sachez tirer parti de tous les outils mis à votre disposition.
476
Chapitre 12
Windows
Server 2008
12.1
12.2
12.3
12.4
12.5
12.6
12.7
12.8
Les prérequis à l’installation de Windows Server 2008
Qu’est-ce que la version Server Core ? . . . . . . . . . .
Les groupes et utilisateurs . . . . . . . . . . . . . . . . .
Les services par défaut . . . . . . . . . . . . . . . . . . .
Gérer le serveur . . . . . . . . . . . . . . . . . . . . . . . .
Les rôles et les fonctionnalités . . . . . . . . . . . . . . .
Les améliorations liées à la sécurité . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 479
. 480
. 486
. 487
. 489
. 493
. 500
. 507
Les prérequis à l’installation de Windows Server 2008
C
inq ans après l’arrivée de Windows Server 2003, Windows Server 2008 est le
successeur d’un système d’exploitation fiable et robuste qui a fait toutes ces
preuves. Mais alors qu’apporte Windows Server 2008 ? Tout d’abord, il a été conçu pour
fournir aux entreprises la plateforme la plus productive pour virtualiser des charges de
travail, alimenter des applications et protéger des réseaux. Il propose une plateforme
sécurisée et facile à gérer servant à développer et à héberger de façon fiable des
applications et des services web. Polyvalent, du groupe de travail au centre de données,
Windows Server 2008 propose des fonctionnalités nouvelles et extrêmement utiles, ainsi
que des améliorations importantes au système d’exploitation de base.
12.1. Les prérequis à l’installation de Windows
Server 2008
j
définir l’utilisation de son serveur pour choisir la version Standard, Entreprise,
Datacenter ou Web ;
j
vérifier que l’on répond bien aux prérequis matériels de l’installation CPU, RAM,
disques, etc. ;
j
choisir la version que l’on souhaite installer, complète ou Core.
12. Windows
Server 2008
L’installation de Windows Server dans une entreprise ne diffère pas des versions
précédentes de Windows 2000 Server ou Windows Server 2003. Il est toujours
nécessaire de définir son besoin au préalable en vérifiant les points suivants :
Voici les prérequis d’installation de demande Windows Server 2008, que cela soit dans
les versions Core ou complètes…
Le processeur
j
Minimum : 1 GHz.
j
Recommandé : 2 GHz.
j
Optimal : 3 GHz ou plus.
L’espace disque
j
Espace disque requis au minimum : 8 Go.
j
Recommandé : 40 Go (installation complète) ou 10 Go (installation Server Core).
j
Optimal : 80 Go (installation complète) ou 40 Go (installation Server Core) ou plus.
La mémoire
j
Mémoire minimale : 512 Mo de RAM.
j
Recommandé : 1 Go de RAM.
479
Chapitre 12
Windows Server 2008
j
Optimal : 2 Go de RAM (installation complète) ou 1 Go de RAM (installation
Server Core) ou plus.
j
Maximum (systèmes 32 bits) : 4 Go (Standard) ou 64 Go (Entreprise).
j
Maximum (systèmes 64 bits) : 32 Go (Standard) ou 2 To (Entreprise).
Taille du fichier d’échange
Les ordinateurs avec plus de 16 Go de RAM nécessiteront davantage d’espace disque
pour les fichiers de pagination, de mise en veille prolongée et de vidage.
12. Windows
Server 2008
Les périphériques
j
Un lecteur de DVD-Rom ;
j
un moniteur Super VGA (800 x 600) ou d’une résolution supérieure ;
j
un clavier et une souris.
12.2. Qu’est-ce que la version Server Core ?
Le serveur dans sa version Core et l’une des nouveautés de Windows 2008 Server. Les
administrateurs peuvent choisir une installation minimale de Windows Server avec des
fonctionnalités spécifiques et sans les fonctionnalités inutiles. Server Core fournit un
environnement pour l’exécution d’un ou de plusieurs rôles de serveur suivants :
j
virtualisation Windows Server ;
j
serveur DHCP (Dynamic Host Configuration Protocol) ;
j
serveur DNS (Domain Name System) ;
j
serveur de fichiers ;
j
services d’annuaire Active Directory (AD DS) ;
j
Active Directory Lightweight Directory Services (AD LDS) ;
j
services Windows Media ;
j
gestion de l’impression (voir fig. 12.1).
Server Core offre les avantages principaux suivants aux organisations :
j
480
La maintenance de logiciels réduite : étant donné que Server Core installe
uniquement ce qui est nécessaire pour qu’un serveur facile à gérer exécute les rôles
de serveur pris en charge, le serveur requiert moins de maintenance logicielle. Avec
une installation Server Core plus réduite, le nombre des mises à jour et correctifs est
réduit, ce qui permet d’économiser sur l’utilisation de la bande passante du réseau
étendu par les serveurs et le temps d’administration pour le personnel informatique.
Qu’est-ce que la version Server Core ?
12. Windows
Server 2008
Figure 12.1 : Sélection de l’installation d’un serveur Core ou d’un serveur en version
complète
j
Une surface d’attaque réduite : étant donné qu’il y a moins de fichiers installés et
exécutés sur le serveur, il y a moins de vecteurs d’attaque exposés au réseau. Par
conséquent, la surface d’attaque est réduite. Les administrateurs peuvent installer
uniquement les services spécifiques nécessaires à un serveur donné, en maintenant
le risque d’exposition à un minimum absolu.
j
Moins de redémarrages et un espace disque réduit : avec une installation minimale
de Server Core, moins de composants installés auront besoin d’être mis à jour ou
corrigés et le nombre de redémarrages requis sera réduit. Une installation Server
Core installe les fichiers minimaux nécessaires pour les fonctionnalités requises, et
l’espace disque utilisé sur le serveur sera donc réduit. En choisissant d’utiliser
l’option d’installation Server Core sur un serveur, les administrateurs peuvent
réduire les exigences en matière de gestion et mise à jour logicielle pour un serveur,
tout en réduisant les risques liés à la sécurité.
Installer Windows Server 2008
L’installation de Windows Server 2008 ressemble énormément à celle de Windows Vista
et pour cause, ils partagent les mêmes mécanismes d’installation et de fonctionnement.
481
Chapitre 12
Windows Server 2008
Ils utilisent tous les deux le principe des images WIM. Pour installer Windows
Server 2008, procédez de la manière suivante :
1. Insérez le DVD de Windows Server 2008 et redémarrez votre serveur à partir de
votre lecteur de DVD.
Une première fenêtre s’ouvre et vous propose de choisir les options suivantes :
j
langues à installer ;
j
format de l’heure et de la monnaie ;
j
clavier ou méthode d’entrée.
12. Windows
Server 2008
2. Une fois vos choix réalisés, cliquez sur Suivant.
Figure 12.2 : Première fenêtre de l’installation de Windows Server 2008
La fenêtre suivante vous propose :
j
de lire les instructions et les recommandations ;
j
d’accéder aux fonctionnalités de réparation ;
j
de poursuivre l’installation standard.
3. Cliquez sur Installer pour continuer.
482
Qu’est-ce que la version Server Core ?
12. Windows
Server 2008
Figure 12.3 : À partir de cettee fenêtre, vous avez la possibilité d’installer ou réparer
Windows Server 2008
4. Dans la fenêtre Entrez votre clé de produit pour activation, dans le champ Clé de
produit, saisissez votre clé de produit et cliquez sur Suivant.
Figure 12.4 : Saisie de la clé produit qui débloque la version de Windows Server 2008
(Standard, Entreprise…)
483
Chapitre 12
Windows Server 2008
La partie Sélectionnez le système d’exploitation que vous voulez installer est une étape
importante et structurante. C’est ici, que vous allez choisir l’installation d’un serveur
complet ou l’installation d’un serveur Core.
5. Dans notre exemple, sélectionnez Windows Server 2008 Enterprise (Installation
complète), puis cliquez sur Suivant.
Server Core
Pour rappel, Server Core est une version de serveur sans interface graphique pour
l’administration. Sa configuration se fait en ligne de commandes. Le Serveur Core ne
possède pas la totalité des rôles que propose la version complète de Windows
Server 2008.
Les rôles proposés par le serveur Core sont les suivants :
j
virtualisation Windows Server ;
serveur DHCP (Dynamic Host Configuration Protocol) ;
serveur DNS (Domain Name System) ;
serveur de fichiers ;
services d’annuaire Active Directory (AD DS) ;
Active Directory Lightweight Directory Services (AD LDS) ;
services Windows Media ;
j
gestion de l’impression.
j
12. Windows
Server 2008
j
j
j
j
j
6. Dans la fenêtre Veuillez lire le contrat de licence, cliquez sur la case à cocher
J’accepte les termes du contrat de licence et cliquez sur Suivant.
Figure 12.5 : La fenêtre des termes de licence
484
Qu’est-ce que la version Server Core ?
7. Nous devons choisir la destination de l’installation, à savoir le lecteur logique et la
taille de la partition sur laquelle nous souhaitons réaliser l’installation. Dans la
fenêtre Quel type d’installation voulez-vous effectuer, sélectionnez Personnalisée
(option avancée).
12. Windows
Server 2008
Figure 12.6 : C’est à cette étape que vous avez le choix de mettre votre système à niveau
ou de personnaliser une installation
8. À l’étape Où souhaitez-vous installer Windows ?, sélectionnez le disque de votre
choix et cliquez sur Suivant. Pour définir une partition et une taille de partition
spécifique, cliquez sur Options de lecteurs (avancées).
Figure 12.7 : Étape de personnalisation de la partition d’installation
485
Chapitre 12
Windows Server 2008
12. Windows
Server 2008
9. Une fois l’installation terminée, Windows Server 2008 redémarre et vous demande
de changer de mot de passe.
Figure 12.8 : La fenêtre de login du premier démarrage
12.3. Les groupes et utilisateurs
Une fois installé, Windows Server propose par défaut les groupes suivants :
486
j
Accès DCOM au service de certificats ;
j
Administrateurs ;
j
Duplicateurs ;
j
IIS_IUSRS ;
j
Invités ;
j
Lecteurs des journaux d’événements ;
j
Opérateurs de chiffrement ;
Les services par défaut
j
Opérateurs de configuration réseau ;
j
Opérateurs de sauvegarde ;
j
Opérateurs d’impression ;
j
Utilisateurs ;
j
Utilisateurs avec pouvoirs ;
j
Utilisateurs de l’analyseur de performances ;
j
Utilisateurs du bureau à distance ;
j
Utilisateurs du journal de performances ;
j
Utilisateurs du modèle COM distribué.
Les utilisateurs suivants sont également créés lors de l’installation :
Administrateur ;
j
Invité (désactivé par défaut).
12. Windows
Server 2008
j
12.4. Les services par défaut
Lors du premier démarrage Windows Server 2008 exécute un certain nombre de
services avec des profils différents. Le tableau suivant vous les présente :
Tableau 12.1 : Services démarrés par défaut dans Windows Server 2008 Entreprise
Nom
Statut
Type de démarrage
Système pour l’ouverture de
session
Application Experience
Started
Automatic
Local System
Background Intelligent Transfer
Service
Started
Automatic (Delayed Start)
Local System
Base Filtering Engine
Started
Automatic
Local Service
COM+ Event System
Started
Automatic
Local Service
Cryptographic Services
Started
Automatic
Network Service
DCOM Server Process
Launcher
Started
Automatic
Local System
Desktop Window Manager
Session Manager
Started
Automatic
Local System
DHCP Client
Started
Automatic
Local Service
Diagnostic Policy Service
Started
Automatic
Local Service
Diagnostic System Host
Started
Manual
Local System
Distributed Link Tracking Client
Started
Automatic
Local System
487
12. Windows
Server 2008
Chapitre 12
488
Windows Server 2008
Nom
Statut
Type de démarrage
Système pour l’ouverture de
session
Distributed Transaction
Coordinator
Started
Automatic (Delayed Start)
Network Service
DNS Client
Started
Automatic
Network Service
Group Policy Client
Started
Automatic
Local System
IKE and AuthIP IPsec Keying
Modules
Started
Automatic
Local System
IP Helper
Started
Automatic
Local System
IPsec Policy Agent
Started
Automatic
Network Service
KtmRm for Distributed
Transaction Coordinator
Started
Automatic (Delayed Start)
Network Service
Network Connections
Started
Manual
Local System
Network List Service
Started
Automatic
Local Service
Network Location Awareness
Started
Automatic
Network Service
Network Store Interface Service
Started
Automatic
Local Service
Plug and Play
Started
Automatic
Local System
Print Spooler
Started
Automatic
Local System
Remote Access Connection
Manager
Started
Manual
Local System
Remote Procedure Call (RPC)
Started
Automatic
Network Service
Remote Registry
Started
Automatic
Local Service
Secondary Logon
Started
Automatic
Local System
Secure Socket Tunneling
Protocol Service
Started
Manual
Local Service
Security Accounts Manager
Started
Automatic
Local System
Server
Started
Automatic
Local System
Shell Hardware Detection
Started
Automatic
Local System
SL UI Notification Service
Started
Manual
Local Service
Software Licensing
Started
Automatic
Network Service
System Event Notification
Service
Started
Automatic
Local System
Task Scheduler
Started
Automatic
Local System
TCP/IP NetBIOS Helper
Started
Automatic
Local Service
Telephony
Started
Manual
Network Service
Terminal Services
Started
Automatic
Network Service
User Profile Service
Started
Automatic
Local System
Gérer le serveur
Nom
Statut
Type de démarrage
Système pour l’ouverture de
session
Windows Error Reporting
Service
Started
Automatic
Local System
Windows Event Log
Started
Automatic
Local Service
Windows Firewall
Started
Automatic
Local Service
Windows Management
Instrumentation
Started
Automatic
Local System
Windows Remote Management
(WS-Management)
Started
Automatic (Delayed Start)
Network Service
Windows Time
Started
Automatic
Local Service
Windows Update
Started
Automatic (Delayed Start)
Local System
Workstation
Started
Automatic
Local Service
12. Windows
Server 2008
12.5. Gérer le serveur
De la rationalisation de la configuration de nouveaux serveurs à l’automatisation des
tâches de gestion répétitives, la simplification des complexités quotidiennes de
l’administration des serveurs est un thème clé dans un grand nombre des améliorations
incluses dans Windows Server 2008. Des outils de gestion centralisés, des interfaces
intuitives et des fonctionnalités d’automatisation permettent aux professionnels de
l’informatique de gérer plus facilement les serveurs, les services et les imprimantes
réseau, aussi bien dans le réseau central que dans les sites distants comme les
succursales.
Les tâches de configuration initiales
Avec Windows Server 2008, le processus d’installation rationalisé n’est pas interrompu
par des tâches de configuration qui requièrent l’intervention de l’utilisateur. Ces tâches
et ces boîtes de dialogue surviennent maintenant une fois l’installation principale
terminée, ce qui signifie que l’administrateur n’a plus besoin d’être disponible pour
interagir avec la séquence d’installation (voir fig. 12.9).
La fenêtre Tâches de configuration initiales représente une nouvelle fonctionnalité de
Windows Server 2008 qui aide les administrateurs à fournir un nouveau serveur et à le
configurer. Elle permet notamment de définir le mot de passe administrateur, de
modifier le nom du compte administrateur pour améliorer la sécurité du serveur, de
joindre le serveur à un domaine existant et d’activer Windows Update et le pare-feu
Windows.
489
Windows Server 2008
12. Windows
Server 2008
Chapitre 12
Figure 12.9 : La fenêtre Tâches de configuration initiales
La console Gestionnaire de serveur
Windows Server 2008 facilite la gestion et la sécurisation de plusieurs rôles de serveurs
dans une organisation grâce à la nouvelle console Gestionnaire de serveur. Elle propose
une seule console unifiée pour gérer la configuration et les informations système d’un
serveur. Elle affiche l’état du serveur, identifie les problèmes de configuration des rôles
du serveur et gère tous les rôles installés sur le serveur (voir fig. 12.10).
Le volet hiérarchie de la console Gestionnaire de serveur contient des nœuds
extensibles que les administrateurs peuvent utiliser pour atteindre directement des
consoles afin de gérer des rôles spécifiques, de dépanner des outils ou de trouver des
options de sauvegarde et de récupération après un incident (voir fig. 2.11).
490
Gérer le serveur
12. Windows
Server 2008
Figure 12.10 : La console Gestionnaire de serveur
Figure 12.11 :
Le volet Hiérarchie de la console
Gestionnaire de serveur
491
Chapitre 12
Windows Server 2008
Le Gestionnaire de serveur consolide une variété d’interfaces et d’outils de gestion dans
une console de gestion unifiée, permettant aux administrateurs de compléter des tâches
de gestion courantes sans avoir à naviguer entre plusieurs interfaces, outils et boîtes de
dialogue.
Les assistants Server Manager
12. Windows
Server 2008
Les assistants Server Manager rationalisent les tâches de déploiement de serveurs dans
une entreprise en réduisant le temps de déploiement, par rapport aux versions
antérieures de Windows Server. La plupart des tâches de configuration courantes telles
que la configuration ou la suppression de rôles, la définition de plusieurs rôles et les
services de rôles peuvent maintenant être réalisées en une seule session grâce aux
assistants Server Manager.
Figure 12.12 : Assistant d’ajout de rôles de serveurs
492
Les rôles et les fonctionnalités
12.6. Les rôles et les fonctionnalités
Les rôles sont au nombre de 17.
Serveur d’applications : il permet la gestion centralisée et l’hébergement
d’applications métier distribuées à hautes performances, telles que celles des
entreprises et le Framework 3.0
j
Serveur de télécopie : il envoie des télécopies. Il permet de gérer les ressources de
télécopie, comme les tâches, les paramètres, les rapports et les périphériques de
télécopie sur le serveur ou sur le réseau.
j
Serveur DHCP : il permet la configuration, la gestion et la fourniture de manière
centralisée d’adresses IP et d’informations connexes pour les ordinateurs clients.
j
Serveur DNS : il permet la résolution de noms pour les réseaux TCP/IP. Pour
simplifier la gestion de ce serveur, il est préférable qu’il soit installé sur le même
serveur que le service Active Directory. En sélectionnant le rôle Active Directory, il
est possible d’installer et configurer le service DNS et le Service Active Directory
pour qu’ils fonctionnent ensemble.
j
Serveur Web IIS : il fournit une infrastructure web par le biais d’un ensemble de
composants.
j
Services AD LDS (Active Directory Lightweight Directory Services) : ils fournissent un
magasin pour les données spécifiques de l’application, pour les applications Active
Directory qui ne nécessitent pas l’infrastructure des services de domaine Active
Directory. Il peut avoir plusieurs instances AD LDS sur un seul serveur, chacune
d’entre elles disposant de son propre schéma.
j
Services AD RMS (Active Directory Rights Management Services) : ils permettent de
protéger les informations contre une utilisation non autorisée. Les services AD
RMS établissent l’identité des utilisateurs et fournissent aux utilisateurs autorisés
des licences pour les informations protégées.
j
Services ADFS (Active Directory Federation Services) : ils intègrent des
fonctionnalités de fédération des identités sécurisée et simplifiées d’authentification
unique via le Web. AD FS inclut un service de fédération via le Web basé sur un
navigateur, un proxy du service de fédération pour personnaliser l’environnement
au client et protéger les ressources internes et des agents web utilisés pour fournir
aux utilisateurs fédérés l’accès aux applications hébergés en interne.
j
Services d’impression : ils permettent de partager des imprimantes sur un réseau,
ainsi que de centraliser des tâches de gestion de serveur d’impression et
d’imprimantes réseau. Ils permettent également de migrer des serveurs
d’impression et de déployer des connexions d’imprimante à l’aide de la stratégie de
groupe.
j
Services de certificats Active Directory : ils permettent de créer des autorités de
certification et des services de rôle associés pour émettre et gérer les certificats
utilisés dans diverses applications.
12. Windows
Server 2008
j
493
12. Windows
Server 2008
Chapitre 12
Windows Server 2008
j
Services de déploiement Windows : ils fournissent un moyen simple et sécurisé pour
déployer rapidement à distance des systèmes d’exploitation Windows sur des
ordinateurs par le réseau.
j
Services de domaine Active Directory : ils stockent des informations sur les objets
sur le réseau et les rendent disponibles aux utilisateurs et aux administrateurs du
réseau. Ces services utilisent des contrôleurs de domaines pour donner accès aux
ressources autorisées aux utilisateurs réseau n’importe où sur le réseau via un
processus d’ouverture de session unique.
j
Services de fichiers : ils fournissent des technologies simplifiant la gestion du
stockage, la réplication des fichiers, la gestion des dossiers partagés, la recherche
rapide de fichiers et l’accès aux ordinateurs clients Unix.
j
Services de stratégie et accès réseau : ils fournissent le serveur NPS (Network Policy
Server), le routage et l’accès distant, l’autorité HRA (Health Registration Authority)
et le protocole HCAP (Host Credential Authorization Protocol), qui favorisent le
maintient de l’intégrité et de la sécurité de votre réseau.
j
Services Terminal Server : il intègre des technologies qui permettent aux
utilisateurs d’accéder aux programmes Windows installés sur un serveur Terminal
Server ou d’accéder au Bureau Windows. Grâce aux services Terminal Server, les
utilisateurs peuvent accéder à un serveur Terminal Server à partir du réseau
d’entreprise ou d’Internet.
j
Services UDDI : ils offrent des fonctionnalités UDDI (description, découvertes et
intégration universelles) pour le partage d’informations relatives aux services web
sur l’intranet d’une organisation entre partenaires commerciaux sur un extranet.
j
Services Windows Sharepoint : ils permettent la création de sites web sur lesquels
les utilisateurs peuvent collaborer sur des documents, tâches et événements et
partager facilement des contacts et d’autres informations. Cet environnement est
conçu pour le déploiement, l’administration et le développement souples des
applications.
Il y a 36 fonctionnalités :
494
j
assistance à distance ;
j
base de données interne Windows ;
j
chiffrement de lecteur Bitlocker ;
j
client d’impression Internet ;
j
client Telnet ;
j
client TFTP ;
j
clustering avec basculement ;
j
compression différentielle à distance ;
j
disque de récupération de données ;
Les rôles et les fonctionnalités
équilibrage de charge réseau ;
j
expérience audio-vidéo haute qualité Windows ;
j
expérience utilisateur ;
j
extensions du serveur BITS ;
j
fonctionnalités .NET Framework 3.0 ;
j
fonctionnalités de la sauvegarde de Windows Server ;
j
gestion des stratégies de groupe ;
j
gestionnaire de ressources système Windows ;
j
gestionnaire de stockage amovible ;
j
gestionnaire de stockage pour réseau SAN ;
j
kit d’administration de Connection Manager ;
j
message Queuing ;
j
moniteur de port LPR ;
j
MPIO (Multhipath I/O) ;
j
outils d’administration de serveur à distance ;
j
protocole de résolution de noms d’homologues ;
j
proxy RPC sur HTTP ;
j
serveur ISSN (Internet Storage Name Server) ;
j
serveur SMTP ;
j
serveur Telnet ;
j
serveur WINS ;
j
service d’activation de processus Windows ;
j
service de réseau local sans fil ;
j
services SMNP ;
j
services TCP/IP simplifiés ;
j
sous-systèmes pour les applications Unix ;
j
Windows PowerShell.
12. Windows
Server 2008
j
Pour ajouter une fonctionnalité, procédez ainsi :
1. Sélectionnez le menu Démarrer/Gestionnaire de serveur.
495
12. Windows
Server 2008
Chapitre 12
Windows Server 2008
Figure 12.13 : Sélection du Gestionnaire de serveur
2. Dans la partie gauche du Gestionnaire de serveur, cliquez sur Rôles.
Figure 12.14 : Sélection de l’outil de gestion des rôles
496
Les rôles et les fonctionnalités
3. Dans le volet de droite, sélectionnez Ajouter des rôles. Dans la fenêtre Sélectionnez
des rôles de serveurs, cochez la case du rôle que vous souhaitez installer et cliquez
sur Suivant.
12. Windows
Server 2008
Figure 12.15 : Sélection d’un rôle
4. En cas d’ajout de composants optionnels nécessaires, l’assistant vous propose de les
ajouter et de les installer également. Pour cela, cliquez sur Ajouter les
fonctionnalités requises.
Figure 12.16 : Ajout des fonctionnalités requises pour le rôle
497
Chapitre 12
Windows Server 2008
12. Windows
Server 2008
5. Dans la fenêtre suivante, l’assistant vous expliquez les fonctionnalités du rôle et vous
propose des informations complémentaires liées au rôle. Cliquez sur Suivant pour
poursuivre l’installation.
Figure 12.17 : Description du rôle
6. Un rôle représente bien souvent plusieurs services. Dans la fenêtre Sélectionner les
services de Rôle, sélectionnez uniquement les services utiles à votre besoin et
cliquez sur Suivant.
Figure 12.18 : Sélection des services pour le rôle
498
Les rôles et les fonctionnalités
7. Dans la fenêtre Confirmation, cliquez sur Installer pour continuer l’installation.
12. Windows
Server 2008
Figure 12.19 : La fenêtre de confirmation d’installation du rôle
8. À la fin de l’installation, la fenêtre Résultat de l’installation présente un
récapitulatif de l’installation. Cliquez sur Fermer pour terminer l’installation du rôle
Figure 12.20 : Fenêtre de résultat de l’installation
499
Chapitre 12
Windows Server 2008
12. Windows
Server 2008
La fenêtre de rôle présente le nouveau rôle installé, il s’agit ici du serveur web Internet
Information Server 7.
Figure 12.21 : Présentation du nouveau rôle installé
12.7. Les améliorations liées à la sécurité
La sécurité est l’un des sujets que l’on ne peut plus ignorer de nos jours. Derrière ce mot
se cache un ensemble d’enjeux pour l’entreprise, qu’il s’agisse de protéger les accès, les
authentifications ou les autorisations. À ce titre, Windows Server 2008 compte de
nombreuses fonctionnalités qui améliorent la sécurité et la conformité. Voici les
principales améliorations…
500
j
Obliger les postes clients à rester en bonne santé : la protection NAP (Network
Access Protection) permet aux administrateurs de configurer et de mettre en place
des exigences en matière de santé et de sécurité avant d’autoriser les postes clients
à accéder au réseau.
j
Contrôler les autorités de certification : l’infrastructure de clé publique (PKI, Public
Key Infrastructure) d’entreprise améliore la possibilité de contrôler et de dépanner
plusieurs autorités de certification.
Les améliorations liées à la sécurité
j
Disposer d’un véritable pare-feu : le nouveau pare-feu Windows avec sécurité
avancée fournit un certain nombre d’améliorations en matière de sécurité.
j
Le chiffrement et la protection des données : BitLocker protège les données
sensibles en chiffrant le lecteur de disque.
j
Les outils cryptographiques : une cryptologie nouvelle génération fournit une
plateforme de développement cryptographique flexible.
j
L’isolement de serveur et de domaine : les ressources de serveur et de domaine
peuvent être isolées pour limiter l’accès aux ordinateurs authentifiés et autorisés.
j
Le contrôleur de domaine en lecture seule (RODC) : le RODC est une nouvelle
option d’installation de contrôleur de domaine qui peut être installée sur des sites
distants susceptibles d’avoir des niveaux inférieurs de sécurité physique.
Ces améliorations aident les administrateurs à augmenter le niveau de sécurité de leur
organisation et simplifient la gestion et le déploiement des configurations et des
paramètres liés à la sécurité.
12. Windows
Server 2008
Les fonctionnalités de sécurité avancée du pare-feu Windows
Le pare-feu de Windows Server 2008 est avant tout la plateforme Windows Filtering
platform. Elle se compose des éléments suivants :
j
Un ensemble d’API, destiné avant tout aux éditeurs tiers, leur permet de venir
inclure leur moteur de filtrage et de disposer ainsi d’un filtrage beaucoup plus
évolué.
j
Des fonctionnalités de filtrage avancées :
− communications authentifiées ;
− configuration dynamique et robuste du pare-feu avec les appels WinSock ;
− fondation de pare-feu Windows et IPSec ;
− fonctionnement avec du trafic chiffré (par exemple, RPC dans Windows
Server 2008).
j
Le système de Hooking – passage dans la pile (stack) – est mieux documenté, ce qui
réduit considérablement les risques d’incompatibilité.
L’architecture Windows Filtering Platform
Pour mieux comprendre, voici une présentation de l’architecture de Windows Filtering
Platform.
Windows Filtering Platform utilise le Filtering Engine qui est placé dans le kernel de
Windows. Lorsqu’on utilise une application pare-feu et une application antivirus, elles
font toutes deux appel aux API de Windows Filtering Platform. Elles vont pouvoir être
501
Chapitre 12
Windows Server 2008
contrôlées depuis le BFE (Base Filtering Engine). Il y a plusieurs niveaux comme IPSec,
ALE (Application Layer Enforcement), etc. Toutes les applications d’éditeurs tiers vont
donc venir s’inclure dans le système sous forme de Callout. Par l’intermédiaire des API,
Windows Filtering Platform va faire appel de manière standard aux différents
composants quel que soit leur éditeur.
Voici un petit comparatif entre le pare-feu de Windows Server 2003 et celui de Windows
Server 2008 :
Tableau 12.2 : Comparatif des pare-feu Windows XP SP2 et Windows Vista
12. Windows
Server 2008
Fonction
Windows Server 2003
Windows Server 2008
Sens
Entrant
Entrant et sortant
Réglage par défaut
Bloquer
Cela dépend du sens
Filtres de paquets
TCP, UDP, ICMP
Tout type
Critères de règles
Application, port, types ICMP
Multiples combinaisons
Action
Bloquer
Bloquer, autoriser, ignorer
Configuration
Panneau de configuration et
Netsh
Panneau de configuration et
Netsh enrichis et MMC
Administration à distance
Aucune
Via RPC
GPO
Fichier ADM
MMC et Netsh
Terminologie
Exceptions, profils
Règles, catégorie profils
Le nouveau pare-feu, dans ses fonctions avancées, vous permet de créer des règles selon
les critères de filtrage suivants :
502
j
groupe utilisateurs/machine Active Directory ;
j
IP source et destination (individuelle ou plage) ;
j
ports TCP/UDP source et destination ;
j
liste des ports délimités par des points-virgules ;
j
numéro de protocole IP ;
j
type d’interface (filaire, sans-fil, VPN/RAS) ;
j
type/code ICMP ;
j
service.
Les améliorations liées à la sécurité
Le stockage des règles de votre pare-feu se fait à différents endroits :
Tableau 12.3 : Stockage des règles de sécurité
Stockage
Description
GPO
Lorsqu’il s’agit du stockage des GPO, ces règles sont stockées dans le
SYSVOL des contrôleurs de domaine, stockage de la stratégie de groupe.
GP_RSOP
Il s’agit du résultat de l’application des stratégies de groupe, il se trouve dans la
base de Registre de la machine.
Local
Le store local est en fait la ruche de Registre où sont stockées les
informations des applications et des utilisateurs pour les stratégies locales.
Voici le chemin de registre :
HKEY-LOCAL_MACHINE\SYSTEM\
CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\.
Dynamique
Cela consiste en la stratégie actuellement appliquée par le pare-feu.
12. Windows
Server 2008
Dans les versions antérieures de Windows Server, le pare-feu Windows et IPSec étaient
configurés séparément. Étant donné qu’un pare-feu basé sur l’hôte et IPSec dans
Windows peuvent bloquer ou autoriser le trafic entrant, il est possible de créer des
exceptions de pare-feu et des règles IPSec contradictoires ou qui se chevauchent. Le
nouveau pare-feu Windows de Windows Server 2008 a associé la configuration des
services réseau avec les mêmes commandes d’interface graphique et de ligne de
commande. Cette intégration de paramètres de pare-feu et IPSec simplifie la
configuration du pare-feu et IPSec, et contribue à empêcher les chevauchements de
stratégies et les paramètres contradictoires.
La protection : NAP
NAP (Network Access Protection) empêche les ordinateurs non intègres d’accéder au
réseau d’une organisation et de le compromettre. NAP est utilisée pour configurer et
mettre en place des exigences en matière de santé client et mettre à jour, ou corriger, des
ordinateurs clients non conformes afin qu’ils puissent être connectés au réseau de
l’entreprise. Avec NAP, les administrateurs peuvent configurer des stratégies de santé
qui définissent des éléments tels que la configuration logicielle requise, les mises à jour
de sécurité requises et les paramètres de configuration requis pour les ordinateurs se
connectant au réseau de l’organisation.
NAP permet d’appliquer les exigences en matière de santé en évaluant la santé des
ordinateurs clients et en limitant l’accès réseau lorsque les ordinateurs clients ne sont
pas conformes. Les composants clients et serveurs participent à la correction des
ordinateurs clients non conformes, pour qu’ils puissent obtenir un accès réseau illimité.
Si un ordinateur client est déterminé non conforme, il peut se voir refuser l’accès au
réseau ou être réparé immédiatement pour devenir conforme.
503
Chapitre 12
Windows Server 2008
Les méthodes de mise en place de la NAP prennent en charge quatre technologies
d’accès réseau qui travaillent conjointement avec celle-ci pour mettre en place des
stratégies de santé : mise en place d’IPSec (Internet Protocol Security), de 802.1X, d’un
réseau privé virtuel (VPN) pour le routage et l’accès distant et du protocole DHCP
(Dynamic Host Configuration Protocole).
Le chiffrement de lecteur BitLocker
12. Windows
Server 2008
Le chiffrement de lecteur BitLocker est une nouvelle fonctionnalité de sécurité clé dans
Windows Server 2008 qui aide à protéger les serveurs, les postes de travail et les
ordinateurs mobiles. Cette fonctionnalité est également disponible dans Windows Vista
Entreprise et Windows Vista Édition Intégrale pour la protection des ordinateurs
clients et des ordinateurs mobiles. BitLocker chiffre le contenu d’un lecteur de disque.
Cela empêche un voleur qui exécute un système d’exploitation parallèle ou qui exécute
d’autres outils logiciels de contourner les protections de fichiers et système ou
d’exécuter un affichage hors ligne des fichiers enregistrés sur le lecteur protégé.
BitLocker améliore la protection des données en réunissant deux sous-fonctions
majeures : le chiffrement de volume système et la vérification de l’intégrité des
composants d’amorçage. L’ensemble du volume système est chiffré, y compris les
fichiers de remplacement et de veille prolongée, ce qui augmente la sécurité des
serveurs distants dans la succursale. BitLocker répond aux menaces de vol de données
ou d’exposition à partir d’un PC perdu, volé ou mis hors service de façon inappropriée.
Enterprise PKI
Il existe un certain nombre d’améliorations de l’infrastructure de clé publique (PKI)
dans les systèmes d’exploitation Windows Server 2008 et Windows Vista. La gestion a
été facilitée dans tous les aspects de PKI Windows, les services de révocation ont été
retravaillés et la surface d’attaque pour l’inscription a diminué. Voici quelques-unes des
améliorations de la PKI…
504
j
Enterprise PKI (PKIView) : PKIView, qui faisait partie à l’origine du kit de
ressources Microsoft Windows Server 2003 et s’appelait "l’outil PKI Health", est
maintenant un composant logiciel enfichable MMC (Microsoft Management
Console) pour Windows Server 2008. Il est utilisé pour analyser l’état de santé des
autorités de certification et pour afficher des détails sur les certificats générés par
l’autorité de certification et publiés dans AD CS.
j
Protocole OCSP (Online Certificate Status Protocol) : un répondeur en ligne basé sur
le protocole OCSP (Online Certificate Status Protocol) peut être utilisé pour gérer et
distribuer des informations sur l’état de révocation dans les cas où l’utilisation de
CRL conventionnelles ne serait pas une solution optimale. Des répondeurs en ligne
peuvent être configurés sur un seul ordinateur ou dans un tableau de répondeurs en
ligne.
Les améliorations liées à la sécurité
j
Service NDES (Network Device Enrollment Service) : dans Windows Server 2008, le
service NDES est l’implémentation Microsoft du protocole SCEP (Simple
Certificate Enrollment Protocol), un protocole de communication qui permet aux
logiciels exécutés sur des périphériques réseau, tels que les routeurs et les
commutateurs qui ne peuvent pas être authentifiés autrement sur le réseau,
d’obtenir des certificats x509 auprès d’une autorité de certification.
j
Web Enrollment : le nouveau contrôle Web Enrollment (inscription par le Web) est
plus sûr, plus facile à rédiger en script et plus facile à mettre à jour que sa version
antérieure.
j
Stratégie de groupe et PKI : des paramètres de certificat dans la stratégie de groupe
permettent aux administrateurs de gérer les paramètres de certificat à partir d’un
emplacement central pour tous les ordinateurs du domaine.
La cryptographie nouvelle génération (CNG)
12. Windows
Server 2008
La CNG fournit une plateforme de développement cryptographique flexible permettant
aux professionnels de l’informatique de créer, de mettre à jour et d’utiliser des
algorithmes cryptographiques personnalisés dans des applications à caractère
cryptographique, telles qu’AD CS (Active Directory Certificate Services), SSL (Secure
Sockets Layer) et IPSec (Internet Protocol Security). CNG implémente les algorithmes
cryptographiques de la Suite B du gouvernement américain, qui incluent des
algorithmes pour le chiffrement, les signatures numériques, l’échange de clés et le
hachage.
CNG propose une série d’API qui sont utilisées pour exécuter des opérations
cryptographiques fondamentales, telles que la création, le stockage et la récupération de
clés cryptographiques. Elle prend également en charge l’installation et l’utilisation de
fournisseurs cryptographiques supplémentaires. CNG permet aux organisations et aux
développeurs d’utiliser leurs propres algorithmes cryptographiques ou des
implémentations d’algorithmes cryptographiques standards.
CNG prend en charge l’ensemble actuel d’algorithmes CryptoAPI 1.0 et fournit
également une prise en charge pour les algorithmes de cryptographie à courbe
elliptique. La Suite B du gouvernement américain exige un certain nombre
d’algorithmes de cryptographie à courbe elliptique.
RODC (contrôleurs de domaine en lecture seule)
Le contrôleur de domaine en lecture seul (RODC, Read-Only Domain Controller) est un
nouveau type de contrôleur de domaine disponible dans le système d’exploitation
Windows Server 2008, conçu principalement pour être déployé dans des
environnements de succursales. Un RODC peut réduire les risques de déploiement d’un
contrôleur de domaine dans des emplacements distants tels que des succursales où la
sécurité physique ne peut pas être garantie.
505
Chapitre 12
Windows Server 2008
En dehors des mots de passe des comptes, le RODC renferme tous les objets et attributs
des services de domaine Active Directory (AD DS) de Microsoft qu’un contrôleur de
domaine réinscriptible renferme. Cependant, les clients ne peuvent pas inscrire de
modifications directement dans un RODC. Comme les modifications ne peuvent pas
être inscrites directement dans le RODC et que, par conséquent, leur source n’est pas
locale, les contrôleurs de domaine réinscriptibles qui sont des partenaires de réplication
n’ont pas besoin d’extraire des modifications du RODC. La séparation des rôles
d’administrateur spécifie que n’importe quel utilisateur de domaine peut être délégué
pour être l’administrateur local d’un RODC sans que cet utilisateur ne bénéficie de
droits d’utilisateur pour le domaine lui-même ou d’autres contrôleurs de domaine.
L’isolement de serveur et de domaine
12. Windows
Server 2008
Dans un réseau Microsoft Windows, les administrateurs peuvent logiquement isoler des
ressources de serveur et de domaine pour limiter l’accès aux ordinateurs authentifiés et
autorisés. Par exemple, un réseau logique peut être créé dans le réseau physique
existant, où les ordinateurs partagent une série commune d’exigences pour les
communications sécurisées. Chaque ordinateur dans ce réseau isolé logiquement doit
fournir des informations d’authentification aux autres ordinateurs du réseau isolé pour
établir la connectivité.
Cet isolement empêche les ordinateurs et programmes non autorisés d’obtenir un accès
abusif aux ressources. Les demandes provenant d’ordinateurs qui ne font pas partie du
réseau isolé sont ignorées. L’isolation du serveur et du domaine permet de protéger les
serveurs et les données spécifiques de grande valeur, ainsi que les ordinateurs gérés des
ordinateurs et des utilisateurs non gérés ou non autorisés.
Deux types d’isolation peuvent être utilisés pour protéger un réseau.
506
j
Isolation du serveur : dans un scénario d’isolation du serveur, les serveurs
spécifiques sont configurés en utilisant la stratégie d’IPSec afin de n’accepter que les
communications authentifiées issues d’autres ordinateurs. Par exemple, le serveur
de base de données peut être configuré pour n’accepter que les connexions du
serveur d’application web.
j
Isolation du domaine : pour isoler un domaine, les administrateurs peuvent utiliser
l’appartenance de domaine Active Directory afin de s’assurer que les ordinateurs
qui sont membres d’un domaine n’acceptent que les communications authentifiées
et sécurisées émanant d’autres ordinateurs membres du domaine. Le réseau isolé
est composé uniquement d’ordinateurs faisant partie du domaine. L’isolation du
domaine utilise la stratégie d’IPSec pour assurer la protection du trafic circulant
entre les membres de domaine, y compris tous les ordinateurs clients et serveurs.
En résumé
12.8. En résumé
Windows Server 2008 représente la nouvelle génération de Windows Server. Il offre un
contrôle accru de l’infrastructure serveur et réseau. Il augmente la sécurité en
renforçant le système d’exploitation et en protégeant l’environnement réseau. Il permet
également d’être flexible en accélérant le déploiement et la maintenance des systèmes
informatiques, facilitant la consolidation et la virtualisation des serveurs et applications
et en fournissant des outils d’administration intuitifs.
12. Windows
Server 2008
507
Partie
B
Active Directory
Partie
B
Active Directory
Chapitre 13
Introduction à LDAP et Active Directory
. . . . . . . 511
Chapitre 14
La planification d’un projet Active Directory . . . . . . 535
Chapitre 15
La conception de l’infrastructure logique Active Directory . 545
Chapitre 16
La conception de la topologie de sites . . . . . . . . 563
Chapitre 17
La conception et l’implémentation de la structure des unités
d’organisation . . . . . . . . . . . . . . . . . 593
Chapitre 18
L’implémentation des serveurs d’infrastructure Active
Directory . . . . . . . . . . . . . . . . . . . 613
Chapitre 19
Les fonctions et les rôles dans Active Directory . . . . . 661
Chapitre 20
La maintenance d’Active Directory . . . . . . . . . . 695
Chapitre 21
La sécurisation d’Active Directory . . . . . . . . . . 715
Chapitre 22
Active Directory Application Mode et Active Directory
Federation Services . . . . . . . . . . . . . . . 733
Chapitre 13
Introduction à
LDAP et Active
Directory
13.1
13.2
13.3
Généralités sur l’annuaire et LDAP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 513
Active Directory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 522
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 534
Généralités sur l’annuaire et LDAP
C
e chapitre a pour premier objectif d’introduire les principes de base des annuaires,
mais également de présenter le protocole LDAP, jusqu’à sa version 3, qui constitue
une norme ouverte pour les annuaires.
Dans un second temps, ce chapitre abordera la présentation d’Active Directory avec la
structure logique et physique pour se terminer par un bref résumé.
13.1. Généralités sur l’annuaire et LDAP
Il est très important de bien comprendre ce qu’est un annuaire et ce à quoi il sert avant
de décrire le standard LDAP (Lightweight Directory Access Protocol) lui-même.
En effet, le standard LDAP et l’annuaire qu’il soit LDAP ou non sont deux choses
différentes.
Le premier définit l’interface d’accès à un annuaire et le second est une sorte de base de
données permettant de retrouver facilement des personnes ou des ressources comme
des imprimantes, des ordinateurs et des applications.
Qu’est-ce qu’un annuaire ?
13. Introduction à
LDAP et Active
Directory
C’est parce que les annuaires présentent certains besoins caractéristiques que leur accès
nécessite de définir un standard. Les annuaires ne sont pas que des bases de données. Ils
doivent également offrir des services particuliers comme la recherche, le classement ou
l’organisation des informations. C’est ce que la suite de ce chapitre va s’efforcer de vous
démontrer.
Nous sommes tous familiers d’annuaires que nous utilisons dans notre quotidien.
Prenons, par exemple, notre carnet d’adresses, les annuaires web ou les pages blanches
et les jaunes que nous recevons dans nos boîtes aux lettres.
Ils sont tous destinés à faciliter la localisation d’une personne ou d’une entreprise à
partir de différents critères de recherche comme le nom, le code postal, voire la fonction
pour les personnes ou le type de service rendu pour les entreprises. Le résultat des
recherches est un numéro de téléphone, une adresse postale complète, une adresse de
site web, une adresse de messagerie électronique, etc.
Ils doivent donc offrir des critères de recherche puissants, pragmatiques et simples à
utiliser.
Un annuaire est d’autant plus utile qu’il est simple à employer, notamment lorsque vous
devez effectuer une recherche avec très peu d’informations. À l’extrême, cette
recherche peut n’être qu’une vague formulation ; par exemple : « Je veux trouver un
restaurant. » D’ailleurs, si vous tapez cette phrase dans la zone de recherche du site
513
Chapitre 13
Introduction à LDAP et Active Directory
Internet des pages jaunes (www.pagesjaunes.fr), vous retrouverez les services relatifs à la
restauration et aux établissements de la restauration.
Les annuaires électroniques et en ligne ont la même vocation que les annuaires papier,
mais ils apportent en plus les avantages suivants : ils sont dynamiques, flexibles,
sécurisés et personnalisables.
Un peu d’histoire sur le protocole
En 1988 l’ISO (International Organization Standardization) et l’ITU (International
Telecommunications Union) fusionnent leurs travaux et approuvent la première version
du standard X.500, laquelle sera officiellement publiée par l’ITU en 1990.
13. Introduction à
LDAP et Active
Directory
En fait, X.500 est constitué d’un ensemble de protocoles standards, tous issus des
travaux de l’ISO. Pour vous donner un bref aperçu de l’étendue des services offerts par
le standard X.500, voici un rappel de ses différentes recommandations et protocoles…
j
Spécification X.501 : description des concepts X.500.
j
Spécification X.509 : descriptions des mécanismes d’authentification X.500.
j
Spécification X.511 : description des fonctions de recherche et de manipulation
d’objets.
j
Spécification X.518 : description des services distribués.
j
Spécification X.519 : description des protocoles X.500 tels que DAP, DSP, DOP et
DISP.
j
Spécification X.520 : description des attributs et des classes X.500.
j
Spécification X.525 : description des mécanismes de réplication X.500.
j
Spécification X530 : description des services d’administration des annuaires X.500.
Comme vous pouvez le constater, le protocole X.500 a été conçu dès le départ pour
offrir aux services d’annuaires des services complets et sophistiqués. Annuaire du
monde OSI, il repose sur les services de la couche 7 (application) du modèle ISO de
l’OSI. Cependant, ce cahier des charges énorme et sa complexité de mise en œuvre
seront les causes des nombreux problèmes de fonctionnement et de performance des
premières versions d’annuaire X.500. En raison de son coût, il sera réservé aux grands
comptes exigeants, comme les opérateurs de télécommunication, pour lesquels il a été
initialement conçu. Malgré une couverture fonctionnelle complète, il n’aura pas connu
le succès escompté.
De plus, le principal inconvénient viendra du fait que seuls les protocoles ISO étaient
reconnus. Au commencement de l’Internet, certains disaient même que le rêve secret
des architectes de l’OSI aurait été que X.500 supplante TCP/IP ! En fait, cela n’arrivera
jamais et, bien au contraire, les implémentations X.500 les plus modernes seront petit à
petit adaptées pour prendre en charge TCP/IP.
514
Généralités sur l’annuaire et LDAP
LDAP version 2 et version 3
Les méthodes d’accès aux annuaires basés sur X.500 étaient bien trop complexes. C’est
ainsi qu’après plusieurs méthodes "plus simples" permettant l’accès aux annuaires X
.500, l’OSI et l’IETF (Internet Engineering Task Force) décidèrent de se regrouper pour
formaliser un protocole allégé capable d’accéder aux annuaires X.500. Ces différentes
évolutions sont rappelées ici :
j
La première spécification a été publiée en 1993 sous la RFC 1487.
j
La spécification LDAPv2 publiée sous la RFC 1777 sera la première version
approuvée par l’industrie.
j
La RFC 1778 (String Representation of Standard Attribute Syntaxes) et la RFC 1779
(String Representation of Distinguished Mane) participent aussi à la clarification des
syntaxes reconnues.
j
La spécification LDAPv3 est publiée en 1997 sous la RFC 2251. Cette version
améliorera de manière significative LDAPv2 dans les domaines suivants…
− La découverte des fonctionnalités et du schéma disponible : les serveurs
LDAPv3 disposent d’une nouvelle entrée dans l’annuaire appelée
"RootDSE" (Root Directory Server Specific Entry). Ce nouvel élément permet la
publication de nombreuses informations spécifiques, par exemple les
informations de schéma ou les contrôles disponibles. Cette fonctionnalité
permet aux clients LDAP de mieux négocier les fonctionnalités et les services
disponibles par tel ou tel serveur d’annuaires LDAP.
13. Introduction à
LDAP et Active
Directory
− L’extensibilité plus importante : le protocole LDAPv3 peut être étendu pour
prendre en charge de nouvelles opérations à l’aide de nouveaux contrôles. De
cette manière, les services LDAP pourront être étendus au fur et à mesure que
ce sera nécessaire.
− Une meilleure gestion des authentifications : LDAPv3 implémente le support
de SASL (Simple Authentification and Security Layer) et de TLS (Transport Layer
Security).
− La gestion des références : LDAPv3 implémente un mécanisme de gestion des
références qui permet aux serveurs LDAP de renvoyer des références vers
d’autres serveurs LDAP.
− Le support des jeux de caractères Unicode : le support du jeu de caractères
UTF-8 permet au protocole LDAP de manipuler des données quel que soit le
langage utilisé.
Comme LDAPv2, le protocole LDAPv3 nécessite un certain nombre de clarifications,
lesquelles sont publiées dans les RFC suivantes…
j
RFC 2252 : Attribut Syntax Definitions.
j
RFC 2253 : UTF-8 String Representation of Distinguished Names.
j
RFC 2254 : String Representation of LDAP Search Filters.
515
Chapitre 13
Introduction à LDAP et Active Directory
j
RFC 2255 : The LDAP URL Format.
j
RFC 2256 : A Summary of X.500 (96) User Schema for Use with LDAPv3.
j
RFC2829 : Authentication Methods for LDAP.
j
RFC2830 : Extensions for Transport Layer Security.
Adresse de référence des RFC
Voici une adresse incontournable pour les RFC, mais surtout pour les RFC traduites
en français : http ://abcdrfc.free.fr.
Le standard LDAP v3
13. Introduction à
LDAP et Active
Directory
Le standard LDAP v3 est constitué de plusieurs spécifications dont certaines sont à
l’état de standard proposé (première étape avant de devenir un standard Internet à part
entière), d’autres sont à l’état expérimental ou ont un simple statut d’information. Vous
trouverez dans le tableau suivant les principales spécifications existant à ce jour ainsi
que leurs états respectifs :
516
Tableau 13.1 : Spécifications du standard LDAP v3
Numéro
Titre
Description
Date
Statut
RFC 1823
The LDAP
Application
Program
Interface
Description de l’interface de
programmation pour l’accès aux
services d’un annuaire LDAP.
Août 1995
Information
RFC 2247
Using
Domains in
LDAP /X.500
Distinguished
Name
Janvier 1998
Ce document décrit comment
établir la correspondance entre un
nom de domaine Internet (par
exemple, NomSociete.com)
et un DN (Distinguished
Name), racine de l’arbre LDAP
de ce domaine.
Standard
proposé
RFC 2251
Lightweight
Directory
Access
Protocol (v3)
Ce document décrit les éléments
du protocole LDAP, ainsi que
l’ensemble des fonctions, leurs
paramètres et leurs codes retour.
Décembre 1997
Standard
proposé
RFC 2252
Lightweight
Directory
Access
Protocol (v3)
Ce document décrit la syntaxe
des attributs et l’ensemble des
attributs normalisés qui doivent
être pris en charge pour les
serveurs LDAP.
Décembre 1997
Standard
proposé
Généralités sur l’annuaire et LDAP
Titre
Description
Date
Statut
RFC 2253
Lightweight
Directory
Access
Protocol (v3)
Ce document décrit la syntaxe
UTF-8 pour la prise en charge du
multilinguisme dans les requêtes
LDAP.
Décembre 1997
Standard
proposé
RFC 2254
The String
Ce document décrit la syntaxe
Representation des filtres de recherche dans une
of LDAP
requête LDAP.
Search Filters
Décembre 1997
Standard
proposé
RFC 2255
The LDAP
URL Format
Ce document décrit le format des
URL permettant d’interroger un
annuaire LDAP à partir d’un
navigateur Web ou de toute
application HTTP.
Décembre 1997
Standard
proposé
RFC 2256
A Summary of
the X.500 (96)
User Schema
for Use With
LDAP v3
Ce document décrit les attributs
Décembre 1997
normalisés dans le standard X500
et communément utilisés dans
les annuaires LDAP.
Standard
proposé
RFC 2307
An Approach
for Using
LDAP as a
Network
Information
Service
Ce document établit une
correspondance entre des
attributs et des classes d’objets
LDAP et NIS. Rappelons que NIS
est une sorte d’annuaire de
ressources, implémenté dans la
majorité des systèmes Unix.
Mars 1998
Expérimental
RFC 2587
Internet .X509
Public Key
Infrastructure
LDAP v2
Schema
Ce document décrit les attributs
et les objets requis pour gérer
dans un annuaire LDAP des
certificats X509.
Juin 1999
Standard
proposé
RFC 2589
Lightweight
Directory
Access
Protocol (v3)
Ce document décrit une extension Mai 1999
du protocole LDAP permettant de
gérer des données volatiles (ou
dynamiques) dans l’annuaire. Par
exemple une adresse IP attribuée
dynamiquement par un réseau à
un utilisateur peut être
sauvegardée dans l’annuaire et
être rattaché à l’entrée qui décrit
cet utilisateur. Mais elle a une
durée de vie limitée, et change
chaque fois que l’utilisateur se
reconnecte au réseau.
Standard
proposé
13. Introduction à
LDAP et Active
Directory
Numéro
517
13. Introduction à
LDAP et Active
Directory
Chapitre 13
Introduction à LDAP et Active Directory
Numéro
Titre
Description
Date
Statut
RFC 2596
Use of
Language
Codes in
LDAP
Ce document décrit la façon de
désigner à l’aide d’une
codification la langue utilisée
dans les requêtes LDAP.
Mai 1999
Standard
proposé
RFC 2649
An LDAP
Control and
Schema for
Holding
Operation
Signatures
Ce document décrit une extension Août 1999
du protocole LDAP permettant de
signer les informations
sauvegardées dans l’annuaire.
Cette signature permet de
s’assurer de l’intégrité des
données et de leur appartenance
à leur auteur, en se basant sur
des certificats.
Expérimental
RFC 2696
LDAP Control
Extension for
Simple Paged
Results
Manipulation
Ce document décrit une extension Septembre 1999
du protocole LDAP permettant de
contrôler la taille des réponses
renvoyées suite à une recherche.
Information
RFC 2713
Schema for
Representing
Java Y
Objects in
LDAP
Directory
Ce document définit des classes
d’objets permettant de décrire
des objets Java dans un annuaire
LDAP.
Octobre 1999
Information
RFC 2714
Schema for
Representing
CORBA
Object
References in
an LDAP
Directory
Ce document définit des classes
d’objets permettant de décrire
des objets CORBA dans un
annuaire LDAP.
Octobre 1999
Information
L’ensemble de ces spécifications a favorisé l’émergence de produits qui prennent en
charge le standard LDAP en mode natif. Plutôt que de développer des interfaces LDAP
à des annuaires existants ou à des bases de données, les éditeurs de solutions ont préféré
de nouveaux produits optimisés pour ce standard. C’est le cas de Microsoft avec Active
Directory (AD), d’IBM avec Secure Way, d’iPlanet avec iPlanet Directory Server, et de
bien d’autres encore.
Notons enfin que ce standard est actuellement adopté par la majorité des acteurs du
marché, et qu’il est d’ores et déjà intégré dans leurs produits. Citons à titre d’exemple
Novell, IBM, Oracle, Microsoft, iPlanet, Lotus, HP, etc.
Comme vous pouvez le constater dans la liste des spécifications du standard LDAP v3,
ce standard évolue constamment. Aucune version 4 n’est prévue pour le moment, car la
518
Généralités sur l’annuaire et LDAP
plupart des évolutions sont soit des modifications du schéma, soit de nouveaux services
qu’il est possible de solliciter à travers les extensions LDAP. On entend par extensions,
de nouvelles fonctions offertes à travers une opération particulière prévue dans le
standard LDAP v3, permettant d’exécuter des traitements dans un serveur d’annuaire,
qui ne font pas partis du standard lui-même. Un groupe de travail de l’IETF, nommé
LDAPEXT, œuvre à normaliser ces extensions.
Ainsi, il n’est pas nécessaire, pour le moment, de modifier la structure du standard
LDAP. Il est tout à fait possible avec la version actuelle de faire évoluer le schéma si
celui-ci dérive du schéma proposé dans le standard, et de faire appel à de nouvelles
fonctions à travers les interfaces déjà prévues à cet effet.
La conformité LDAP de Windows Server 2003
Windows Server 2003 reprend les bases apportées par Windows 2000 Server et apporte
de nouvelles fonctionnalités qui peuvent aussi bien intéresser les développeurs que les
ingénieurs ou bien les architectes système. Il est important de noter que toutes ces
nouvelles fonctionnalités font l’objet de RFC. En voici un bref récapitulatif des
fonctionnalités les plus importantes…
j
Support des entrées dynamiques : l’annuaire Active Directory peut stocker les
valeurs d’entrées dynamiques en leur assignant une durée de vie (TTL). De cette
manière, ces valeurs peuvent être automatiquement détruites lors de l’expiration du
TTL.
j
Support du protocole TLS (Transport Layer Security) : les connexions vers l’Active
Directory via le protocole LDAP peuvent être désormais cryptées et authentifiées à
l’aide du support TLS.
j
Support des authentifications DIGEST-MD5 : les connexions vers l’Active
Directory via le protocole LDAP peuvent désormais être authentifiées à l’aide du
mécanisme d’authentification SASL-DIGEST-MD5 (SASL, Simple Authentication
and Security Layer). L’interface Windows Digest SSPI (Security Support Provider
Interface) permet d’utiliser des authentifications de type DIGEST-MD5 en tant que
méthode de type SASL.
13. Introduction à
LDAP et Active
Directory
Windows Server 2003 Active Directory est en fait une implémentation de LDAP, qui
comprend une multitude de classes d’objets permettant de stocker les droits des
utilisateurs, leurs préférences, l’état de leur bureau etc. Il est possible d’y accéder au
moyen de l’API appropriée spécifiée par Microsoft. Attention toutefois car, même si
Microsoft s’est clairement engagé dans le support des technologies d’annuaires,
notamment le support inconditionnel de LDAP avec sa participation active au sein des
différents groupes de l’IETF, il n’en reste pas moins qu’à proprement parler le LDAP
implémenté par Microsoft respecte le standard ! Par contre, le schéma utilisé est, quant
à lui, propriétaire, ce qui pose certains problèmes d’intégration avec d’autres
environnements. Il existe cependant des produits permettant de résoudre ce problème.
519
Chapitre 13
Introduction à LDAP et Active Directory
j
Support des vues virtuelles : il s’agit d’une optimisation du traitement des réponses
aux requêtes LDAP. Par exemple, lorsqu’une requête doit retourner vers le client
un résultat trop volumineux, l’idée consiste à lui retourner seulement le contenu
d’une fenêtre de valeurs plutôt que l’intégralité de la réponse. De cette manière, le
client voit le résultat instantanément et la surcharge sur le réseau est contenue.
j
Bind LDAP multiples : cette fonctionnalité permet à un client de réaliser plusieurs
Bind LDAP au travers de la même connexion pour pouvoir authentifier les
utilisateurs.
Le tableau suivant liste les différentes RFC LDAP reconnues par l’implémentation de
l’annuaire Active Directory de Windows 2000 Server.
Tableau 13.2 : Principales RFC LDAP prises en charge par l’annuaire Active Directory
13. Introduction à
LDAP et Active
Directory
Windows 2000 Server
RFC
RFC LDAP principaux
État des RFC
2251
Lightweight Directory Access Protocol (v3)
Proposé
2252
Lightweight Directory Access Protocol (v3) : Attribute
Syntax Definitions
Attention, certaines syntaxes Unix ne sont pas reconnues à ce
jour !
Proposé
2253
Lightweight Directory Access Protocol (v3) : UTF-8
String Representation of Distinguished Names
Proposé
2254
String Representation of LDAP Search Filters
Proposé
2255
The LDAP URL Format
Proposé
2256
A Summary of the X.500 User Schema for Use with
LDAPv3
Proposé
2829
Authentication Methods for LDAP
Proposé
2830
Lightweight Directory Access Protocol (v3) : Extension
for Transport Layer Security
Proposé
Le tableau suivant liste les différentes RFC LDAP additionnelles reconnues par
l’implémentation de l’annuaire Active Directory de Windows 2000 Server.
Tableau 13.3 : RFC LDAP additionnelles prises en charge par l’annuaire Active Directory
Windows 2000 Server
520
RFC
RFC LDAP additionnels
État des RFC
2696
LDAP Control Extension for Simple Paged Results
Manipulation
Proposé
2247
Using Domains in LDAP/X.500 Distinguished Names
Proposé
Généralités sur l’annuaire et LDAP
Support des RFC
L’ensemble des RFC prises en charge par l’implémentation de LDAP sous
Windows 2000 Server est accepté par Windows Server 2003.
Le tableau suivant liste les différentes RFC LDAP reconnues par l’implémentation de
l’annuaire Active Directory de Windows Server 2003.
Tableau 13.4 : RFC LDAP additionnelles prises en charge par l’annuaire Active Directory
Windows Server 2003
RFC
RFC LDAP additionnels
État des RFC
2589
LDAP Protocol (v3) : Extension for Dynamic Directory
Services
Proposé
2798
Definition of the InetOrgPerson LDAP Object Class
Proposé
Using Digest Authentication as an SASL Mechanism
Proposé
LDAP Control extension for Server Side Sorting of
Search Results
Proposé
2589
LDAP Protocol (v3) : Extensions for Dynamic Directory
Services
Proposé
Cependant, tout le monde le sait, les technologies passent par des étapes intermédiaires
nécessaires, lesquelles génèrent souvent des problèmes de compatibilité. C’est le cas
avec les problèmes générés par la classe InetOrgPerson définie dans la RFC 2798.
13. Introduction à
LDAP et Active
Directory
2831
2891
La compatibilité LDAP et InetOrgPerson
Une nouvelle classe d’objet est disponible dans les versions Windows Server 2003
d’Active Directory : la classe d’objet InetOrgPerson. La définition d’une classe d’objet
est donnée plus loin dans ce chapitre. La classe d’objet InetOrgPerson est définie dans
la RFC 2798, et a été acceptée en tant que standard.
Active Directory, dans sa version Windows Server 2003, a donc été modifié afin de
prendre en charge la classe InetOrgPerson et, avec l’ajout de la définition de classe
Utilisateur, vous pouvez désormais créer la classe InetOrgPerson comme entité de
sécurité dans Active Directory. Cela optimise les possibilités de migration des comptes
d’utilisateur de répertoires tiers (provenant de programmes tiers qui utilisent Active
Directory comme méthode d’authentification) vers Active Directory.
Des critiques ont été émises concernant la pseudo-compatibilité de l’annuaire Active
Directory comme annuaire respectant les recommandations de l’IETF, et tout
particulièrement la conformité LDAPv3. Le grand reproche était que la classe
InetOrgPerson n’était pas prise en charge.
521
Chapitre 13
Introduction à LDAP et Active Directory
13. Introduction à
LDAP et Active
Directory
En fait, plusieurs éléments sont à prendre en compte :
j
L’annuaire Active Directory respecte toutes les RFC fondamentales traitant du
protocole LDAP et tout particulièrement la RFC 3377 qui définit les spécifications
du protocole LDAPv3.
j
La classe InetOrgPerson est définie dans la RFC 2798, laquelle est considérée
comme une extension de LDAPv3 et, de ce fait, elle n’est donc pas incluse dans la
RFC 3377 qui décrit les spécifications LDAPv3.
j
La classe InetOrgPerson définie dans la RFC 2798 n’a été publiée par l’IETF
qu’en avril 2000 alors que Windows 2000 Server était livré en février de la même
année, ce qui évidemment rend impossible la prise en charge de cette classe sous
Windows 2000 Server.
j
En cas de nécessité, il est toujours possible d’étendre le schéma de l’Active
Directory pour y ajouter une nouvelle classe.
j
Microsoft a livré quelque temps après la sortie de Windows 2000 Server un
complément logiciel capable d’intégrer cette nouvelle classe dans le schéma Active
Directory. Ce complément logiciel s’appelle "Windows 2000 InetOrgPerson Kit", il
est disponible gratuitement sur le site de Microsoft.
j
Le schéma Active Directory de Windows Server 2003 intègre la définition complète
de la classe InetOrgPerson ainsi que l’intégralité des fonctions d’administrations
relatives à cette classe.
Finalement, nous pourrions en conclure que cette classe a toujours été reconnue sous
Windows 2000 Server, mais qu’elle n’a réellement été intégrée à la base que sous
Windows Server 2003.
13.2. Active Directory
Active Directory est le service d’annuaire de Microsoft. Ce service d’annuaire est
disponible depuis la version Windows 2000 Server, ce qui a marqué un vrai tournant
pour la plateforme Windows et une véritable rupture avec Windows NT4 en ce qui
concerne la façon d’administrer son organisation. Même si avec Windows Server 2003,
Active Directory a subi des modifications et des améliorations, il n’en reste pas moins
que les systèmes d’exploitation Windows 2000 Server et Windows Server 2003
fonctionnent parfaitement ensemble et cela même au niveau des contrôleurs de
domaine. Toutefois, pour bénéficier pleinement des modifications apportées par la
version 2003, il est nécessaire de passer par quelques exigences au niveau de la forêt et
des domaines.
522
Active Directory
Les avantages d’Active Directory
Active Directory est bien plus que le simple modèle de domaine Windows NT. Il va aussi
au-delà des annuaires propriétaires éparpillés en fournissant des sources d’informations
centralisées. Voici, à ce titre, quelques caractéristiques et avantages offerts par Active
Directory…
La centralisation des données
L’idée directrice de la centralisation de données est de diminuer le nombre d’annuaires
sur le réseau. Le stockage des informations concernant toutes les ressources réseau dans
un annuaire centralisé a pour effet de fournir un point unique d’administration. Cela
simplifie la gestion des ressources et permet de déléguer plus efficacement les tâches
administratives. Cela offre aussi un point d’entrée unique aux utilisateurs, ordinateurs et
applications qui cherchent des ressources.
L’évolutivité
13. Introduction à
LDAP et Active
Directory
Le service d’annuaire doit être également en mesure de faire face à la croissance du
réseau sans qu’il soit trop surchargé. Cela implique que l’on puisse partitionner la base
de données d’annuaire de façon à ce qu’elle n’augmente pas au point de devenir
instable. Rassurez-vous, cela ne sera jamais le cas pour un très grand nombre de petites
et moyennes entreprises, particulièrement en France. Pour information, Microsoft
supporte des bases de données pouvant aller jusqu’à 1 million d’objets et des tests avec
plusieurs dizaines de millions d’objets ont déjà été réalisés avec succès.
La standardisation
Le service d’annuaire doit aussi permettre l’accès à ses données via des normes ouvertes.
Cela garantit que d’autres applications pourront utiliser les ressources de l’annuaire au
lieu de gérer des annuaires spécifiques. Active Directory repose sur des protocoles
d’accès standardisés comme LDAP version 3 et NSPI (Name Service Provider Interface).
À noter que le protocole NSPI, qui est exploité par les clients Microsoft Exchange
Server 5.x, est pris en charge par Active Directory, ce qui permet la compatibilité avec
l’annuaire Exchange.
L’extensibilité
Le service d’annuaire doit permettre aux administrateurs et aux applications d’ajouter
toutes sortes de données en fonction des besoins de l’entreprise.
523
Chapitre 13
Introduction à LDAP et Active Directory
La séparation par rapport au réseau physique
Le service d’annuaire doit également rendre la topologie physique du réseau
transparente pour les utilisateurs et les administrateurs. Il doit être possible de localiser
une ressource et d’y accéder, sans être obligé de savoir où et comment elle est reliée sur
le réseau.
La sécurité
Le service d’annuaire pourrait permettre à un intrus de tout savoir sur l’entreprise. Il est
donc impératif que le service d’annuaire dispose de moyens pour sécuriser le stockage.
Pour y répondre, Active Directory est intégré à la sécurité de Windows Server 2003, et
il est possible de définir un contrôle d’accès pour tout objet de l’annuaire et pour chaque
propriété des objets. Il est possible d’appliquer des stratégies de sécurité localement ou
à l’échelle d’un site, d’un domaine ou d’une unité organisationnelle.
13. Introduction à
LDAP et Active
Directory
Le trafic LDAP est signé et crypté. Par défaut, les outils Active Directory de Windows
Server 2003 signent et cryptent tout le trafic LDAP. Cela garantit que les données
proviennent d’une source connue et qu’elles n’ont pas subi d’altérations.
Active Directory prend en charge plusieurs protocoles d’authentification, comme
Kerberos, version 5, SSL, version 3, avec les certificats X.509, version 3. Active
Directory permet également de mettre en place des groupes de sécurité qui s’étendent
sur plusieurs domaines.
La structure logique d’Active Directory
Voici une présentation des différents composants de la structure d’Active Directory…
Les objets
Dans Active Directory, les ressources sont stockées sous forme d’objets. L’objet étant le
composant d’Active Directory le plus facile à décrire puisqu’il représente en général une
ressource concrète.
Dans Active Directory, les objets sont stockés dans une structure hiérarchique de
conteneurs et de sous-conteneurs qui facilite l’administration. Il serait simple de
comparer cela au système de dossiers dans Windows. Il est possible de tailler cette
structure sur mesure pour pouvoir répondre aux besoins de l’entreprise, mais aussi pour
qu’elle s’adapte aux différentes évolutions sans trop de contraintes.
j
524
Les classes d’objets : un objet n’est en fait qu’une collection d’attributs. Ainsi un
objet utilisateur est fait d’attributs du genre nom, mot de passe, appartenance de
groupe, etc. Les attributs d’un objet sont définis via une classe d’objets. La classe
utilisateur, par exemple, spécifie les attributs constituant l’objet utilisateur.
Les classes d’objets permettent de regrouper les objets en fonction de leurs
Active Directory
similitudes. Ainsi, tous les objets utilisateur sont définis par la classe d’objet
utilisateur. Quand vous créez un nouvel objet, il hérite automatiquement des
attributs de sa classe. Microsoft définit un ensemble basique de classes d’objets avec
leurs attributs utilisés par Active Directory sous Windows Server 2003. Active
Directory étant extensible, les administrateurs et les applications peuvent
naturellement modifier les classes d’objet ainsi que les attributs définis par ces
classes.
j
Le schéma Active Directory : les classes et les attributs qu’elles définissent sont
désignés collectivement par l’appellation de "schéma Active Directory" (dans la
terminologie des bases de données, le schéma est la structure des tables et des
champs avec leurs interrelations). Vous pouvez vous représenter Active Directory
comme un ensemble de données (classes d’objets) qui définissent la façon selon
laquelle les données réelles de l’annuaire (attributs des objets) sont structurées et
stockées.
Presque tout dans Active Directory est un objet, y compris le schéma lui-même. À
l’instar de tous les autres objets, le schéma est protégé par des listes de contrôles d’accès
(ACL) administrées par le sous-système de sécurité de Windows Server 2003. Les
utilisateurs et les applications munis de permissions appropriées peuvent lire le schéma,
voire le modifier.
Un domaine est une partition dans une forêt Active Directory. Le partitionnement des
données permet aux organisations de répliquer des données uniquement là où elles sont
requises. De cette manière, l’annuaire peut s’étendre globalement sur un réseau qui
possède une bande passante limitée. En outre le domaine prend en charge un certain
nombre d’autres fonctions centrales liées à l’administration, dont…
j
L’identité d’utilisateur de niveau réseau : les domaines permettent de créer des
identités d’utilisateurs une fois, puis de le référencer sur n’importe quel ordinateur
joint à la forêt dans laquelle le domaine se trouve. Les contrôleurs de domaine qui
constituent un domaine sont utilisés pour stocker de manière sécurisée les comptes
d’utilisateurs et les informations d’authentification comme les mots de passe ou les
certificats.
j
L’authentification : les contrôleurs de domaine offrent des services
d’authentification pour les utilisateurs et fournissent des données d’autorisation
supplémentaires, comme des appartenances de groupes d’utilisateurs, qui peuvent
être utilisées pour contrôler l’accès aux ressources sur le réseau.
j
La relation d’approbation : les domaines peuvent étendre les services
d’authentification aux utilisateurs dans des domaines en dehors de leur propre forêt
grâce à des relations d’approbation.
j
La réplication : le domaine définit une partition de l’annuaire contenant
suffisamment de données pour fournir des services de domaine et les répliquer
13. Introduction à
LDAP et Active
Directory
Les domaines
525
Chapitre 13
Introduction à LDAP et Active Directory
entre contrôleurs de domaines. De cette manière, tous les contrôleurs de domaine
sont des pairs dans un domaine et sont gérés comme une unité.
L’arbre
13. Introduction à
LDAP et Active
Directory
Les domaines sont organisés en une structure hiérarchique appelée "arbre". Même avec
un seul domaine, il y a un arbre. Le premier domaine créé dans un arbre est le domaine
racine. Le domaine suivant sera un domaine enfant de la forêt. Cette extensibilité,
permet d’avoir une multitude de domaines dans un arbre.
Figure 13.1 : Schéma d’un arbre
Ce schéma d’exemple vous montre la représentation d’un arbre. Dans cet exemple,
puzmmania.com a été le premier domaine créé dans Active Directory, ce qui en fait le
domaine racine.
526
Active Directory
Tous les domaines d’un arbre se partagent le même schéma et un espace de noms
connexe. Dans l’exemple du schéma d’arbre, tous les domaines situés sous le domaine
racine puzzmania.com se partagent l’espace de noms puzzmania.com. Posséder un
seul arbre peut être bien si l’entreprise emploie le même espace de noms DNS. Par
contre, pour une entreprise utilisant plusieurs espaces de noms DNS, le modèle doit
pouvoir s’étaler sur plusieurs arbres… Ce qui nous donne l’occasion de passer au
concept de forêt.
Les forêts
Une forêt représente un groupe d’arbres qui ne forment pas un espace de noms
connexe, mais qui peuvent se partager un même schéma et un même catalogue global. Il
y a toujours au moins une forêt dans une infrastructure Active Directory et elle est créée
lors de l’installation du premier contrôleur de domaine Active Directory sur le réseau.
13. Introduction à
LDAP et Active
Directory
Figure 13.2 : Schéma d’une forêt
Les unités organisationnelles
Les unités d’organisation (OU) sont utilisées pour grouper des objets à des fins
administratives, par exemple pour l’application de stratégies de groupe ou pour la
délégation d’autorité. Les OU peuvent être utilisées pour former une hiérarchie de
conteneurs au sein d’un même domaine. Le contrôle sur une unité organisationnelle et
527
Chapitre 13
Introduction à LDAP et Active Directory
les objets qu’elle contient est déterminé par des listes de contrôle d’accès (ACL, Access
Control Lists) associées à l’unité organisationnelle et aux objets qu’elle contient.
13. Introduction à
LDAP et Active
Directory
Figure 13.3 :
Schéma d’OU
Le partitionnement de la base de données Active Directory
Comme vous le savez déjà certainement, Active Directory représente l’ensemble des
objets de la forêt. Quand la forêt grossit, il en est de même pour l’annuaire. L’une des
difficultés en matière de conception est de garantir que la base de données de l’annuaire
pourra augmenter en même temps que l’entreprise sans pour autant pénaliser les
performances d’un serveur ou d’un emplacement particulier du réseau. La réponse à
cette problématique consiste à partitionner l’annuaire en plusieurs morceaux. Bien
évidemment, cela concerne davantage les grandes entreprises, mais il reste toutefois
intéressant de connaître ou de comprendre l’existence de cette fonctionnalité.
De manière plus simple, en partant du principe que les domaines sont les briques
fondamentales de l’infrastructure, il est judicieux de partitionner l’annuaire selon les
frontières du domaine. Chaque domaine contient une partition de l’annuaire qui
renferme les informations relatives aux objets de ce domaine. Chaque domaine ne
528
Active Directory
contient qu’une et une seule partition d’annuaire. La combinaison des partitions des
différents domaines de la forêt représente l’intégralité d’Active Directory.
Quel pourrait être le ou les avantages à partitionner l’annuaire ? L’un des avantages est
que vous pouvez ajouter de nouveaux domaines à une forêt sans surcharger de manière
injustifiée les domaines existants. La raison en est que lorsque l’on crée une partition
pour un nouveau domaine, ce sont les nouveaux contrôleurs de domaine qui font la
plupart des tâches impliquées par l’administration de la nouvelle partition.
La structure physique d’Active Directory
La structure physique de l’infrastructure, au sens Active Directory du terme, est très
simple comparée avec la structure logique. Les composants physiques sont au nombre
de deux : les sites et les contrôleurs de domaine.
Les sites
Avec Active Directory, les sites ne font pas partie de l’espace de noms. Lorsque vous
parcourez l’espace de noms logique, vous ne voyez pas de sites. Vous ne voyez que les
utilisateurs et les ordinateurs regroupés en domaine et en OU.
13. Introduction à
LDAP et Active
Directory
Par définition, un site est une combinaison d’un ou plusieurs sous-réseaux IP reliés par
une liaison fiable et rapide permettant de localiser autant de trafic réseau que possible.
En règle générale, un site présente les mêmes limites qu’un réseau local (LAN).
Lorsque vous regroupez des sous réseaux de votre réseau, vous ne devez combiner entre
eux que des sous-réseaux équipés de connexions rapides. On peut considérer comme
rapides les connexions qui s’effectuent au moins à 512 kbits/s.
Figure 13.4 :
Site dans Active Directory
Les sites ne contiennent que les objets ordinateurs et connexions utilisés pour configurer
la réplication entre les sites.
529
Chapitre 13
Introduction à LDAP et Active Directory
Figure 13.5 :
Objets ordinateur et connexion
Considérations sur les sites
Un seul domaine peut s’étendre sur plusieurs sites géographiques et un seul site
géographique peut inclure des comptes d’utilisateurs et d’ordinateurs appartenant à
plusieurs domaines.
13. Introduction à
LDAP et Active
Directory
Les sites servent surtout à contrôler le trafic de réplication. Les contrôleurs de domaine
d’un site disposent d’une grande latitude pour répliquer les modifications apportées à la
base de données Active Directory chaque fois qu’il y a des modifications. Les
contrôleurs de domaine situés sur des sites différents compressent le trafic de
réplication et opèrent selon une planification prédéfinie, tout cela afin de réduire le
trafic réseau. Cette réplication peut être planifiée par défaut (c’est-à-dire toutes les
3 heures) ou bien être planifiée par l’administrateur selon ses besoins.
Figure 13.6 : Intervalle de réplication
Création de site et site par défaut
Si vous ne créez pas vous-même votre propre site dans Active Directory, tous les
contrôleurs de domaine appartiendront automatiquement à un même site, par défaut
appelé "Premier-Site-par-défaut", qui est créé en même temps que le premier
domaine.
Pour plus d’informations sur les sites et la topologie de site, reportez-vous au chapitre
La conception de la topologie des sites.
Les contrôleurs de domaine
Les contrôleurs de domaine permettent aux utilisateurs d’ouvrir une session sur le
réseau et d’accéder aux ressources pour lesquelles ils ont les autorisations adéquates. Ils
permettent également de rechercher dans Active Directory des dossiers partagés, des
530
Active Directory
imprimantes partagées et d’autres informations publiées. Un domaine doit avoir au
moins un contrôleur de domaine, c’est une obligation. En fait, c’est en promouvant un
serveur Windows Server 2003 autonome au rôle de contrôleur de domaine que le
domaine est créé. Cependant, pour des questions de redondance, il est fortement
recommandé d’avoir au moins deux contrôleurs de domaine par domaine pour chaque
domaine. Si votre entreprise est constituée de plusieurs sites reliés par des liaisons WAN
lentes, il sera judicieux alors de placer également un contrôleur de domaine sur chaque
site afin de réduire le trafic d’ouverture de session sur le WAN.
Les rôles maîtres d’opérations
Les contrôleurs de domaine de la forêt, peu importe leur nombre, doivent se partager
les rôles maîtres d’opérations. Ces rôles maîtres sont divisés en deux familles :
j
Les rôles maîtres au niveau de la forêt sont au nombre de deux dans la forêt entière.
j
Les rôles maîtres au niveau du domaine sont au nombre de trois par domaine.
Un contrôleur de domaine peut-être propriétaire d’un ou de plusieurs rôles tout en
respectant des règles bien précises. Ces rôles maîtres jouent un rôle (comme leur nom
l’indique) au niveau de l’infrastructure Active Directory.
Les rôles maîtres au niveau de la forêt
j
Le maître de schéma : le premier contrôleur de domaine de la forêt tient le rôle de
maître de schéma. Il est chargé de gérer et de distribuer le schéma au reste de la
forêt. Il gère la liste de toutes les classes d’objets et de tous les attributs définissant
les objets rencontrés dans Active Directory. Le maître de schéma doit être
opérationnel pour que l’on puisse actualiser ou modifier le schéma.
j
Le maître d’attribution de noms de domaine : ce contrôleur enregistre les ajouts et
les suppressions de domaines dans la forêt, il est vraiment vital pour la préservation
de l’intégrité de domaine. Le maître d’attribution de noms de domaine est consulté
à chaque fois que l’on ajoute de nouveaux domaines à la forêt. En cas
d’indisponibilité de ce rôle maître, il sera impossible d’ajouter de nouveaux
domaines.
13. Introduction à
LDAP et Active
Directory
Pour plus d’informations sur la répartition des rôles maîtres, reportez-vous au
chapitre La conception de la topologie des sites.
Les rôles maîtres au niveau du domaine
j
Le maître d’ID relatifs : il alloue des séquences d’ID relatifs à chacun des différents
contrôleurs de son domaine. À tout moment, il ne peut exister qu’un seul contrôleur
de domaine jouant se rôle de maître RID dans chaque domaine de la forêt. Quand
un contrôleur de domaine crée un utilisateur, un groupe ou un ordinateur, il assigne
531
Chapitre 13
Introduction à LDAP et Active Directory
13. Introduction à
LDAP et Active
Directory
à cet objet un ID de sécurité unique. L’ID de sécurité se compose d’un ID de
sécurité de domaine qui est identique à tous les ID de sécurité dans le domaine, et
un ID relatif qui est unique pour chaque ID créé dans le domaine.
j
L’émulateur de contrôleur principal de domaine (CDP) : ce contrôleur de domaine
a la charge d’émuler un CDP (contrôleur de domaine principal) Windows NT 4.0
pour les clients n’ayant pas encore migré vers une des versions de Windows 2000,
Windows Server 2003 ou Windows XP et qui n’exécutent pas de logiciel client pour
les services d’annuaire. L’une des grandes fonctions de l’émulateur PDC est de
contrôler l’ouverture de session pour les clients antérieurs à Windows 2000.
L’émulateur de PDC est consulté également si un client n’arrive pas à se faire
authentifier. Cela donne l’opportunité de voir s’il y a eu des modifications de mots
de passe de dernière minute pour les anciens clients du domaine (avant
Windows 2000) avant de rejeter l’ouverture de session.
j
Le maître d’infrastructure : ce contrôleur de domaine enregistre les modifications
apportées aux objets du domaine. Toutes les modifications sont d’abord signalées au
maître d’infrastructure, avant d’être répliquées vers les autres contrôleurs de
domaine. Le maître d’infrastructure gère les groupes et les appartenances de groupe
concernant les objets du domaine. Le maître d’infrastructure a aussi pour rôle
d’informer les autres domaines des modifications apportées aux objets.
Le catalogue global
Le catalogue global est une réplique partielle des attributs le plus souvent recherchés de
tous les objets de tous les domaines de la forêt. L’objectif du catalogue global est
d’augmenter la rapidité des recherches émises sur Active Directory, en particulier les
requêtes concernant la forêt entière et les tentatives d’ouvertures de sessions
interdomaines. Le catalogue global réside sur un ou plusieurs contrôleurs de domaine
d’un site ou d’un domaine. Un serveur qui contient le catalogue global est appelé
serveur de catalogue global. Les serveurs de catalogue global contiennent les objets
Active Directory suivants :
j
La réplique complète de tous les objets de leur propre domaine ;
j
la réplique partielle de tous les objets de la forêt de tous les contextes de nommage.
Par défaut, le premier contrôleur de domaine du premier domaine (domaine racine de
la forêt) est configuré automatiquement comme serveur de catalogue global. Tout autre
contrôleur de domaine peut être serveur de catalogue global à condition d’être
configuré pour cela.
Pour configurer un serveur en tant que serveur de catalogue global, reportez-vous au
chapitre L’administration et la gestion des sites du volume II de cet ouvrage.
532
Active Directory
La réplication dans Active Directory
Dans le principe, tous les objets et attributs doivent être répliqués vers tous les
contrôleurs d’un domaine, afin que chaque contrôleur de domaine possède un
exemplaire maître à jour de la partition du domaine. Voilà qui peut représenter parfois
une quantité gigantesque de données en circulation sur le réseau. Suivre toutes ces
données ne reste pas une simple affaire. Alors comment cela se passe-t-il ?
Pour cela, Windows Server 2003 emploie un modèle de réplication, appelé "réplication
multimaître", dans lequel toutes les répliques de la base de données sont considérées
comme égales. Vous pouvez modifier la base de données sur n’importe quel contrôleur
de domaine, et les modifications seront propagées juste après vers l’ensemble des
contrôleurs du domaine.
Lorsqu’il se produit une modification sur l’un des contrôleurs de domaine du même site,
celui-ci informe ces partenaires de réplication. Les partenaires réclament alors les
modifications. Il y a donc réplication. Deux types de réplications sont possibles…
La réplication intrasite : elle envoie le trafic de réplication sous forme non
compressée dans la mesure où tous les contrôleurs de domaine du même site sont
reliés par des liaisons à haut débit. La réplication fonctionne alors avec un
mécanisme de notifications. Cela veut dire plus simplement qu’en cas de
modifications faites sur le domaine, celles-ci sont rapidement répliquées vers les
autres contrôleurs de domaine du même site.
j
La réplication intersite : elle compresse tout le trafic de réplication car celui-ci
transite à travers les liens WAN. Il est possible de planifier la réplication intersite
pour que celle-ci réplique aux heures les plus justes ou simplement laisser les
paramètres par défaut, c’est-à-dire toutes les 3 heures.
13. Introduction à
LDAP et Active
Directory
j
Figure 13.7 :
plages horaires de
réplication
Pour plus d’informations sur les concepts de réplication, reportez-vous au chapitre
La conception de la topologie des sites.
533
Chapitre 13
Introduction à LDAP et Active Directory
13.3. En résumé
Ce chapitre vous a présenté les bases et les définitions du protocole LDAP et surtout
d’Active Directory. Tout cela vous sera très utile pour la suite et plus particulièrement
dans votre activité professionnelle. Prenez le temps d’aller sur Internet et de lire les
RFC si vous souhaitez approfondir le sujet. Cela vous permettra d’aborder les
problématiques d’annuaire avec un certain recul et un regard avisé.
13. Introduction à
LDAP et Active
Directory
Maintenant que vous avez les bases, mettez tout cela en pratique en attaquant la
conception de l’infrastructure d’annuaire de la société Puzzmania.
534
Chapitre 14
La planification
d’un projet Active
Directory
14.1
14.2
14.3
14.4
14.5
Vue d’ensemble . . . . . . . . . . . . . . . . . . . . . . . . . . .
Le processus de conception d’Active Directory . . . . . . .
Le processus de planification d’un projet Active Directory
Les définitions communes dans un projet Active Directory
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 537
. 538
. 539
. 541
. 544
Vue d’ensemble
A
vant d’aborder en détail (dans les chapitres suivants) la conception technique
d’Active Directory, ce chapitre va vous permettre d’aborder globalement la
planification d’un projet Active Directory. Implémenter Active Directory, c’est
maîtriser non seulement des aspects techniques, mais aussi la gestion de projet,
l’élaboration du planning, l’encadrement des ressources humaines qui travailleront ainsi
que la rédaction de toute la documentation qui l’accompagne.
Cette vision globale vous permettra d’aborder aussi bien un projet Active Directory
Windows Server 2003 que Windows Server 2008.
14.1. Vue d’ensemble
L’implémentation d’Active Directory commence par la création de sa conception,
autrement dit de son architecture. Cette conception vous permet ensuite de planifier
Active Directory avant son implémentation.
Un ou plusieurs architectes de systèmes créent la conception d’Active Directory, en se
basant sur les besoins de l’entreprise. Ces besoins déterminent les spécifications
fonctionnelles pour la conception.
Après avoir implémenté Active Directory, vous devez gérer et assurer la maintenance
d’Active Directory afin de garantir disponibilité, fiabilité et sécurité du réseau.
Durant le déploiement d’Active Directory, les ingénieurs système :
j
créent la structure du domaine et de la forêt et déploient les serveurs ;
j
créent la structure de l’unité d’organisation ;
j
créent les comptes d’utilisateur et d’ordinateur ;
j
créent les groupes de sécurité et de distribution
j
créent les objets Stratégie de groupe (GPO) qu’ils appliquent aux domaines, aux
sites et aux unités d’organisation ;
j
créent les stratégies de distribution de logiciels.
14. La planification
d’un projet Active
Directory
Le plan d’implémentation d’Active Directory détermine la mise en œuvre de la
conception d’Active Directory en fonction de l’infrastructure matérielle de l’entreprise.
Par exemple, la conception d’Active Directory peut spécifier le nombre de contrôleurs
de domaine pour chaque domaine sur la base de la configuration d’un serveur
spécifique. Cependant, si cette configuration n’est pas disponible, lors de la phase de
planification, vous pouvez décider de modifier le nombre de serveurs afin de répondre
aux besoins de l’entreprise.
537
Chapitre 14
La planification d’un projet Active Directory
Figure 14.1 : Vue d’ensemble de la planification projet
14.2. Le processus de conception d’Active Directory
14. La planification
d’un projet Active
Directory
Une conception d’Active Directory inclut plusieurs tâches. Chacune définit les besoins
fonctionnels pour un composant de l’implémentation d’Active Directory.
538
Le processus de conception d’Active Directory inclut les tâches suivantes…
j
Collecte d’informations sur l’entreprise : cette première tâche définit les besoins en
service d’annuaire et les besoins de l’entreprise concernant le projet. Les
informations sur l’organisation incluent notamment un profil organisationnel de
haut niveau, les implantations géographiques de l’entreprise, l’infrastructure
technique et du réseau et les plans liés aux modifications à apporter dans
l’entreprise.
j
Analyse des informations sur l’organisation : vous devez analyser les informations
collectées pour évaluer leur pertinence et leur valeur par rapport au processus de
conception. Vous devez ensuite déterminer quelles sont les informations les plus
importantes et quels composants de la conception d’Active Directory ces
informations affecteront. Soyez prêt à appliquer ces informations dans l’ensemble
du processus de conception.
j
Analyse des options de conception : lorsque vous analysez des besoins d’entreprise
spécifiques, plusieurs options de conception peuvent y répondre. Par exemple, un
besoin administratif peut être résolu par le biais d’une conception de domaine ou
d’une structure d’unité d’organisation. Comme chacun de vos choix affecte les
autres composants de la conception, restez flexible dans votre approche de la
conception durant tout le processus.
Le processus de planification d’un projet Active Directory
j
Sélection d’une conception : développez plusieurs conceptions d’Active Directory,
puis comparez leurs points forts et leurs points faibles. Lorsque vous sélectionnez
une conception, analysez les besoins d’entreprise qui entrent en conflit et tenez
compte de leurs effets sur les choix de vos conceptions. Il se peut qu’aucune des
conceptions soumises ne fasse l’unanimité. Choisissez la conception qui répond le
mieux à vos besoins d’entreprise et qui représente globalement le meilleur choix.
j
Affinage de la conception : la première version de votre plan de conception est
susceptible d’être modifiée avant la phase pilote de l’implémentation. Le processus
de conception est itératif parce que vous devez tenir compte de nombreuses
variables lorsque vous concevez une infrastructure Active Directory. Révisez et
affinez plusieurs fois chacun des concepts de votre conception pour prendre en
compte tous les besoins d’entreprise.
Le résultat de la phase de conception d’Active Directory inclut les éléments suivants…
La conception du domaine et de la forêt : la conception de la forêt inclut des
informations comme le nombre de forêts requis, les consignes de création des
approbations et le nom de domaine pleinement qualifié pour le domaine racine de
chaque forêt. La conception inclut également la stratégie de contrôle des
modifications de la forêt, qui identifie les processus de propriété et d’approbation
pour les modifications de la configuration présentant un impact sur toute la forêt.
Identifiez la personne chargée de déterminer la stratégie de contrôle des
modifications de chaque forêt dans l’organisation. Si votre plan de conception
comporte plusieurs forêts, vous pouvez évaluer si des approbations de forêts sont
requises pour répartir les ressources du réseau parmi les forêts. La conception du
domaine indique le nombre de domaines requis dans chaque forêt, le domaine qui
sera le domaine racine pour chaque forêt et la hiérarchie des domaines si la
conception comporte plusieurs domaines. La conception du domaine inclut
également le nom DNS pour chaque domaine et les relations d’approbation entre
domaines.
j
La conception de l’unité d’organisation : elle indique comment vous créerez les
unités d’organisation pour chaque domaine dans la forêt. Incluez une description de
l’autorité d’administration qui sera appliquée à chaque unité d’organisation, et à qui
cette même autorité sera déléguée. Pour finir, incluez la stratégie utilisée pour
appliquer la stratégie de groupe à la structure de l’unité d’organisation.
j
La conception du site : elle spécifie le nombre et l’emplacement des sites dans
l’organisation, les liens requis pour relier les sites et le coût de ces liens.
14. La planification
d’un projet Active
Directory
j
14.3. Le processus de planification d’un projet Active
Directory
Le résultat du processus de planification est le plan d’implémentation d’Active
Directory. Ce plan se compose lui-même de plusieurs plans qui définissent les besoins
539
Chapitre 14
La planification d’un projet Active Directory
fonctionnels pour un composant spécifique de l’implémentation d’Active Directory. Ces
plans sont tout autant de documents très importants à conserver et archiver
soigneusement.
14. La planification
d’un projet Active
Directory
Un plan Active Directory inclut les composants suivants…
j
Stratégie de compte : elle inclut des informations comme les consignes d’attribution
de nom aux comptes et la stratégie de verrouillage, la stratégie en matière de mots
de passe et les consignes portant sur la sécurité des objets.
j
Stratégie d’audit : elle détermine le suivi des modifications apportées aux objets
Active Directory.
j
Plan d’implémentation d’unité d’organisation : il définit quelles unités
d’organisation créer et comment. Par exemple, si la conception d’unité
d’organisation spécifie que ces unités seront créées géographiquement et organisées
par division à l’intérieur de chaque zone géographique, le plan d’implémentation
des unités d’organisation définit les unités à implémenter, telles que celles des
ventes, des ressources humaines et de production. Le plan fournit également des
consignes portant sur la délégation d’autorité.
j
Plan de stratégie de groupe : il détermine qui crée, relie et gère les objets de
stratégie de groupe, et comment cette stratégie sera implémentée.
j
Plan d’implémentation du site : il spécifie les sites, les liens qui les relient, et les
liaisons de sites planifiées. Il spécifie également la planification et l’intervalle de
réplication ainsi que les consignes en matière de sécurisation et de configuration de
la réplication entre sites.
j
Plan de déploiement de logiciels : il spécifie comment vous utiliserez la stratégie de
groupe pour déployer de nouveaux logiciels et des mises à niveau de logiciels. Il
peut, par exemple, spécifier si les mises à niveau de logiciels sont obligatoires ou
facultatives.
j
Plan de placement des serveurs : il spécifie le placement des contrôleurs de
domaine, des serveurs de catalogue global, des serveurs DNS intégrés à Active
Directory et des maîtres d’opérations. Il spécifie également si vous activerez la mise
en cache des appartenances à un groupe universel pour les sites ne possédant pas de
serveur de catalogue global.
Lorsque tous les plans de composant sont terminés, vous devez les combiner pour
former le plan complet d’implémentation d’Active Directory. Si la taille de votre
entreprise ne nécessite pas des documents distincts pour tous ces plans, vous ne pouvez
créer qu’un seul et unique document qui combine les différents plans en chapitres du
même document maître.
Une fois le plan d’implémentation d’Active Directory en place, vous pouvez commencer
à implémenter Active Directory conformément à votre plan de conception.
Vous devez exécuter les tâches suivantes pour implémenter Active Directory…
540
Les définitions communes dans un projet Active Directory
j
Implémentation de la forêt, du domaine et de la structure DNS : créez le domaine
racine de la forêt, les arborescences de domaines et tout autre domaine enfant
constituant la forêt et la hiérarchie des domaines.
j
Création des unités d’organisation et des groupes de sécurité : créez la structure
d’unité d’organisation pour chaque domaine dans chaque forêt, créez des groupes
de sécurité et déléguez l’autorité administrative à des groupes administratifs dans
chaque unité d’organisation.
j
Création des comptes d’utilisateur et d’ordinateur : importez les comptes
d’utilisateur dans Active Directory.
j
Création des objets Stratégie de groupe : créez des objets Stratégie de groupe basés
sur la stratégie de groupe, puis reliez-les à des sites, à des domaines ou à des unités
d’organisation.
j
Implémentation des sites : créez des sites en fonction du plan des sites, créez des
liens reliant ces sites, définissez les liaisons de sites planifiées et déployez sur les sites
des contrôleurs de domaine, des serveurs de catalogue global, des serveurs DNS et
des maîtres d’opérations.
Mais tout cela sera largement détaillé dans la suite de l’ouvrage.
14.4. Les définitions communes dans un projet Active
Directory
Définition du service d’annuaire
14. La planification
d’un projet Active
Directory
Pour vous aider à rédiger votre documentation de planification projet Active Directory,
ou pour vous donner des arguments supplémentaires à faire valoir dans votre projet,
voici une série de définitions standards que vous pourrez utiliser.
Dans de grands réseaux, les ressources sont partagées par de nombreux utilisateurs et
applications. Pour permettre aux utilisateurs et aux applications d’accéder à ces
ressources et aux informations les concernant, une méthode cohérente est nécessaire
pour nommer, décrire, localiser, accéder, gérer et sécuriser les informations concernant
ces ressources. Un service d’annuaire remplit cette fonction.
Un service d’annuaire est un référentiel d’informations structuré concernant les
personnes et les ressources d’une organisation. Dans un réseau Windows Server 2003, le
service d’annuaire est Active Directory.
Active Directory dispose des fonctionnalités suivantes…
j
Accès pour les utilisateurs et les applications aux informations concernant des
objets : ces informations sont stockées sous forme de valeurs d’attributs. Vous
pouvez rechercher des objets selon leur classe d’objet, leurs attributs, leurs valeurs
541
Chapitre 14
La planification d’un projet Active Directory
d’attributs et leur emplacement au sein de la structure Active Directory ou selon
toute combinaison de ces valeurs.
j
Transparence des protocoles et de la topologie physique du réseau : un utilisateur
sur un réseau peut accéder à toute ressource, une imprimante par exemple, sans
savoir où celle-ci se trouve ou comment elle est connectée physiquement au réseau.
j
Possibilité de stockage d’un très grand nombre d’objets : comme il est organisé en
partitions, Active Directory peut répondre aux besoins issus de la croissance d’une
organisation. Par exemple, un annuaire peut ainsi passer d’un serveur unique
contenant quelques centaines d’objets à des milliers de serveurs contenant des
millions d’objets.
j
Possibilité d’exécution en tant que service indépendant du système d’exploitation :
ADAM (Active Directory Application Mode) est une nouvelle fonctionnalité d’Active
Directory de Windows Server 2003 permettant de résoudre certains scénarios de
déploiement liés à des applications utilisant un annuaire. ADAM s’exécute comme
un service indépendant du système d’exploitation qui, en tant que tel, ne nécessite
pas de déploiement sur un contrôleur de domaine. L’exécution en tant que service
indépendant du système d’exploitation signifie que plusieurs instances ADAM
peuvent s’exécuter simultanément sur un serveur unique, chaque instance étant
configurable de manière indépendante.
14. La planification
d’un projet Active
Directory
Définition du schéma
Le schéma Active Directory définit les genres d’objets, les types d’informations
concernant ces objets, et la configuration de sécurité par défaut pour les objets pouvant
être stockés dans Active Directory. Le schéma Active Directory contient les définitions
de tous les objets, comme les utilisateurs, les ordinateurs et les imprimantes stockés dans
Active Directory. Les contrôleurs de domaine exécutant Windows Server 2003 ne
comportent qu’un seul schéma pour toute une forêt. Ainsi, tous les objets créés dans
Active Directory se conforment aux mêmes règles.
Le schéma possède deux types de définitions : les classes d’objets et les attributs. Les
classes d’objets, comme utilisateur, ordinateur et imprimante, décrivent les
objets d’annuaire possibles que vous pouvez créer. Chaque classe d’objet est un
ensemble d’attributs. Les attributs sont définis séparément des classes d’objets. Chaque
attribut n’est défini qu’une seule fois et peut être utilisé dans plusieurs classes d’objets.
Par exemple, l’attribut Description est utilisé dans de nombreuses classes d’objets,
mais il n’est défini qu’une seule fois dans le schéma afin de préserver la cohérence.
Vous pouvez créer de nouveaux types d’objets dans Active Directory en développant le
schéma. Par exemple, pour une application de serveur de messagerie comme Exchange,
vous pouvez développer la classe d’utilisateur dans Active Directory en lui ajoutant de
nouveaux attributs stockant des informations supplémentaires, telles que les adresses de
messagerie des utilisateurs. On appelle cela "étendre le schéma".
542
Les définitions communes dans un projet Active Directory
Sur les contrôleurs de domaine Windows Server 2003, vous pouvez annuler des
modifications apportées à un schéma en les désactivant, permettant ainsi aux
organisations de mieux exploiter les fonctionnalités d’extensibilité d’Active Directory
(ce n’était pas le cas sous Windows 2000). Vous pouvez également redéfinir une classe
ou un attribut de schéma.
Définition du catalogue global
Dans Active Directory, les ressources peuvent être partagées parmi des domaines et des
forêts. Le catalogue global d’Active Directory permet de rechercher des ressources
parmi des domaines et des forêts de manière transparente pour l’utilisateur. Par
exemple, si vous recherchez toutes les imprimantes présentes dans une forêt, un serveur
de catalogue global traite la requête dans le catalogue global, puis renvoie les résultats.
En l’absence de serveur de catalogue global, cette requête exigerait une recherche dans
chaque domaine de la forêt.
Le catalogue global est un référentiel d’informations qui contient un sous-ensemble des
attributs de tous les objets d’Active Directory. Les membres du groupe Administrateurs
du schéma peuvent modifier les attributs stockés dans le catalogue global, en fonction
des impératifs d’une organisation. Le catalogue global contient :
les attributs les plus fréquemment utilisés dans les requêtes, comme le nom et le
prénom d’un utilisateur, et son nom d’ouverture de session ;
j
les informations requises pour déterminer l’emplacement de tout objet dans
l’annuaire ;
j
un sous-ensemble d’attributs par défaut pour chaque type d’objet ;
j
les autorisations d’accès pour chaque objet et attribut stocké dans le catalogue
global. Si vous recherchez un objet pour lequel vous ne possédez pas les
autorisations de visualisation requises, cet objet n’apparaîtra pas dans les résultats
de la recherche. Les autorisations d’accès garantissent que les utilisateurs ne
pourront trouver que les objets pour lesquels ils possèdent un droit d’accès.
14. La planification
d’un projet Active
Directory
j
Un serveur de catalogue global est un contrôleur de domaine qui traite efficacement les
requêtes intraforêts dans le catalogue global. Le premier contrôleur de domaine que
vous créez dans Active Directory devient automatiquement un serveur de catalogue
global. Vous pouvez configurer des serveurs de catalogue global supplémentaires pour
équilibrer le trafic lié aux authentifications de connexion et aux requêtes.
Le catalogue global permet aux utilisateurs d’exécuter deux fonctions importantes :
j
trouver les informations Active Directory en tout point de la forêt,
indépendamment de l’emplacement des données ;
j
utiliser les informations d’appartenance au groupe universel pour se connecter au
réseau.
543
Chapitre 14
La planification d’un projet Active Directory
Définition d’un nom unique et d’un nom unique relatif
Les ordinateurs clients utilisent le protocole LDAP pour rechercher et modifier des
objets dans une base de données Active Directory. Le protocole LDAP est un
sous-ensemble de la norme ISO X.500 relative aux services d’annuaire. Il utilise les
informations portant sur la structure d’un annuaire pour trouver des objets individuels
possédant chacun un nom unique.
Le protocole LDAP utilise un nom représentant un objet Active Directory par une série
de composants concernant la structure logique. Cette représentation, appelée nom
unique de l’objet, identifie le domaine dans lequel se trouve l’objet ainsi que le chemin
complet permettant d’accéder à celui-ci. Un nom de ce type ne peut être qu’unique dans
une forêt Active Directory.
Le nom unique relatif d’un objet identifie l’objet de manière unique dans son conteneur.
Deux objets situés dans un même conteneur ne peuvent porter le même nom. Le nom
unique relatif est toujours le premier composant du nom unique, mais il n’est pas
toujours un nom usuel.
14. La planification
d’un projet Active
Directory
Chaque élément de la structure logique de l’utilisatrice Coralie Darboux de l’unité
d’organisation Ventes du domaine corp.puzzmania.com est représenté dans le nom
unique suivant : CN=Coralie Darboux,OU=Ventes,DC=corp,DC=puzzmania,
DC=com.
j
CN (Common Name) est le nom usuel de l’objet dans son conteneur.
j
OU (Organizational Unit) est l’unité d’organisation qui contient l’objet. Plusieurs
valeurs d’OU peuvent exister si l’objet se trouve dans une unité d’organisation
imbriquée.
j
DC (Domain Component) est un composant de domaine, tel que com ou local. Il
existe toujours au moins deux composants de domaine, voire davantage si le
domaine est un domaine enfant.
Les composants de domaine du nom unique sont basés sur le DNS. Dans l’exemple
suivant, Ventes est le nom unique relatif d’une unité d’organisation représentée par le
chemin LDAP suivant : OU=Ventes,DC=corp,DC=puzzmania,DC=com.
14.5. En résumé
L’implémentation d’Active Directory, dans toute entreprise, sera considérée comme un
projet à part entière. Il est donc intéressant d’avoir les éléments en main pour savoir
comment gérer, mettre en place et démarrer rapidement un projet autour d’Active
Directory.
544
Chapitre 15
La conception de
l’infrastructure logique
Active Directory
15.1
15.2
15.3
15.4
15.5
15.6
15.7
15.8
Du projet d’entreprise à la conception d’Active Directory
Les modèles de forêts . . . . . . . . . . . . . . . . . . . . . .
Principe de conception des forêts . . . . . . . . . . . . . .
Les modèles de domaines . . . . . . . . . . . . . . . . . . .
Choisir le domaine racine de la forêt . . . . . . . . . . . .
Conception de domaine et sécurité . . . . . . . . . . . . . .
Principe de conception des domaines . . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 547
. 548
. 550
. 552
. 555
. 559
. 560
. 561
Du projet d’entreprise à la conception d’Active Directory
R
eprenons le cours de notre étude de cas Puzzmania. Comme vous l’avez suivi, la
direction et le service informatique de Puzzmania ont décidé d’implémenter une
forêt puzzmania.com selon un modèle de racine vide avec les domaines fils corp
.puzzmania.com et rd.puzzmania.com. Ce choix découle d’un historique, d’un besoin
et d’une orientation stratégique d’entreprise.
Ce chapitre explique le choix des équipes de Puzzmania en décrivant les différents
modèles d’infrastructures logiques d’Active Directory.
15.1. Du projet d’entreprise à la conception d’Active
Directory
L’intérêt de l’étude de cas Puzzmania est de montrer que la conception de
l’infrastructure logique d’Active Directory satisfait des besoins et s’inscrit dans un projet
d’entreprise. Vous devez en permanence mettre en relation les besoins et
l’infrastructure Active Directory.
Une infrastructure logique Active Directory bien choisie est celle qui répond le mieux à
l’entreprise, en termes de besoins et d’évolution. Suivez toujours les quelques conseils
suivants avant de sélectionner votre modèle de forêt ou de domaine :
Faites en sorte que les besoins de l’entreprise déterminent la conception. Une
conception d’Active Directory appropriée doit satisfaire les exigences initiales. La
conception du service d’annuaire doit être élaborée en fonction de ces besoins, et
non en fonction de la technologie du service d’annuaire.
j
Traitez le processus de conception d’Active Directory au fur et à mesure que vous
recevez des informations. En effet, vous analyserez de nouveau vos décisions de
conception lorsque vous recevrez de nouvelles informations (par exemple, l’ajout de
pare-feu entre des sites distants). Étant donné que votre conception est susceptible
de changer au cours du processus, il est important de rester flexible jusqu’à ce que
tous les besoins de l’entreprise aient été considérés.
j
Commencez par la conception la plus simple possible, soit une forêt avec un seul
domaine et un site unique. Définissez ensuite le critère lié à l’introduction
d’éléments plus complexes. Tout nouvel élément que vous souhaitez ajouter, une
forêt, un domaine, un site ou une unité d’organisation, doit avoir un objectif défini
spécifique car la quantité d’objets augmente les coûts d’infrastructure et
d’administration de l’implémentation.
j
Considérez les compromis comme faisant partie intégrante de la conception de
l’infrastructure logique d’Active Directory. L’objectif est de créer une structure
Active Directory qui répond à tous les besoins. Toutefois, ces derniers pourront
15. La conception de
l’infrastructure logique
Active Directory
j
547
Chapitre 15
La conception de l’infrastructure logique Active Directory
entraîner des conflits de conception qui vous conduiront à prendre des décisions et
à trouver des compromis : ils font partie du jeu et vous devez les inclure tout au long
de l’évolution de la conception.
MSF
Si vous souhaitez mettre en place un projet tel que la conception et l’implémentation
d’Active Directory au sein de votre entreprise, sachez que Microsoft a mis au point
une méthode très performante pour créer des solutions professionnelles dans les
limites temporelles et budgétaires fixées. Cette méthode s’appelle MSF (Microsoft
Solutions Framework). C’est une approche posée et structurée pour mener à bien des
projets technologiques. MSF couplé à MOF (Microsoft Operations Framework)
s’apparente à une méthodologie proche de celle décrite dans le référentiel ITIL.
Pour en savoir plus, rendez-vous à l’adresse
www.microsoft.com/technet/itsolutions/msf/default.mspx.
La suite du chapitre présente les différents modèles d’infrastructures afin que vous vous
posiez les bonnes questions quant à votre projet d’entreprise et que vous déterminiez le
modèle le mieux adapté.
15.2. Les modèles de forêts
15. La conception de
l’infrastructure logique
Active Directory
Il existe trois modèles de forêts Active Directory : l’un se fonde sur l’organisation, l’autre
sur les ressources et le dernier est le modèle de forêt à accès restreint. En fonction de vos
contraintes, vous serez peut-être amené à utiliser une combinaison de ces différents
modèles pour répondre aux besoins de votre entreprise.
Le modèle de forêt basé sur l’organisation
Dans ce modèle, une forêt (ou plusieurs selon le contexte) permet de gérer les comptes
d’utilisateurs et les ressources. Chaque solution Active Directory comprend au moins
une forêt basée sur l’organisation.
Si, pour une raison ou une autre, plusieurs forêts sont utilisées, des relations
d’approbation peuvent permettre aux utilisateurs d’une forêt d’accéder aux ressources
d’une autre forêt.
Vous pouvez utiliser ce modèle pour assurer l’autonomie ou l’isolation de données ou
d’un service de l’entreprise. Ainsi, pour garantir l’isolation du service, il suffit d’une
seule forêt configurée pour empêcher toute personne extérieure de l’administrer.
548
Les modèles de forêts
Figure 15.1 : Modèle de forêt basé sur l’organisation
La forêt reste la limite de sécurité de l’infrastructure la plus forte.
Le modèle de forêt basé sur les ressources
Dans ce modèle, une forêt distincte est créée pour la gestion des ressources. Une forêt
de ressources comprend uniquement les comptes d’utilisateur nécessaires pour
administrer cette forêt et les ressources qu’elle contient. Si vous isolez des ressources de
la sorte, on peut déduire aisément leur importance au sein de l’entreprise. Des relations
d’approbation sont utilisées pour permettre aux utilisateurs d’autres forêts d’accéder à
ces ressources isolées.
15. La conception de
l’infrastructure logique
Active Directory
Vous pouvez utiliser une forêt de ressources pour assurer l’isolation d’un service. Par ce
moyen, vous pouvez, par exemple, protéger une zone du réseau qui contient des
ressources auxquelles accèdent plusieurs forêts qui ne doivent pas communiquer
directement ensemble ou qui est obligée de maintenir un état élevé de disponibilité.
Figure 15.2 : Modèle de forêt basé sur les ressources
549
Chapitre 15
La conception de l’infrastructure logique Active Directory
Le modèle de forêt à accès restreint
Dans ce modèle, une forêt distincte est créée pour les comptes d’utilisateurs et les
données qui doivent être isolées du reste de l’organisation. Vous pouvez utiliser des
forêts à accès restreint pour assurer l’isolation de données classées confidentielles et
soumises à des contraintes de sécurité fortes (du style norme C2 par exemple).
15. La conception de
l’infrastructure logique
Active Directory
Dans ce modèle, aucune relation d’approbation n’est utilisée car les utilisateurs des
autres réseaux ne doivent pas pouvoir accéder aux données. De plus, les utilisateurs qui
ont besoin d’accéder aux données de plusieurs forêts doivent posséder un compte
d’utilisateur dans chacune de ces forêts. Dans les situations où l’intégrité et la
confidentialité des données doivent être préservées à tout prix, la forêt d’accès aux
ressources peut être placée sur un réseau complètement isolé du reste. Les utilisateurs
qui doivent accéder aux données de la forêt à accès restreint disposent d’une station de
travail distincte connectée au réseau dédié isolé. Vu les contraintes que cela impose, ce
modèle ultra-sécurisé sera utilisé uniquement dans des cas bien précis.
Figure 15.3 : Modèle de forêt à accès restreint
15.3. Principe de conception des forêts
L’analyse de l’existant et des besoins reste toujours le point de départ de la conception.
Vous pouvez vous inspirer des conseils suivants pour axer votre réflexion de
conception :
j
550
Déterminez le nombre minimal de forêts requis pour répondre aux besoins. Une
seule forêt permet une collaboration maximale au sein de l’environnement et elle
représente la configuration la plus facile et la moins coûteuse à gérer. Elle doit être
Principe de conception des forêts
toujours évoquée en priorité car un nombre minimal de forêts réduit la charge de
gestion nécessaire à la maintenance du réseau.
j
Utilisez des unités d’organisation dans une forêt existante basée sur l’organisation
pour répondre aux besoins d’autonomie des données. Il n’est pas nécessaire de créer
une nouvelle forêt ou un nouveau domaine pour assurer l’autonomie des données.
Utilisez plutôt des unités d’organisation dans un domaine existant de la forêt basée
sur l’organisation et déléguez-en le contrôle à des administrateurs.
j
Créez une nouvelle forêt basée sur l’organisation ou à accès restreint pour répondre
aux besoins d’isolation des données. Déterminez le type de forêt en fonction du
niveau de confidentialité et d’intégrité requis pour les données isolées. En ce qui
concerne les données très confidentielles ou secrètes, envisagez l’utilisation d’une
forêt à accès restreint. Pour tous les autres besoins d’isolation des données, utilisez
une forêt basée sur l’organisation. Vérifiez avant tout que le besoin d’isolation des
données est bien réel et que l’autonomie des données est insuffisante avant
d’ajouter une forêt à votre solution.
j
Créez une nouvelle forêt pour assurer l’isolation d’un service. L’isolation du service
est généralement imposée par des contraintes opérationnelles ou légales. La seule
façon d’assurer l’isolation du service consiste à créer une nouvelle forêt. Pour
atteindre le niveau maximal d’isolation du service, envisagez d’utiliser un modèle de
forêt à accès restreint.
Quand vous concevrez votre forêt, commencez par prendre en compte les besoins de
votre entreprise en matière d’isolation d’un service ou de données particulières.
D’ailleurs, ces deux principes d’isolation (service ou données) sont des éléments
déterminants lors de la conception d’une forêt.
Après l’analyse de l’existant, si votre conception de forêt doit comprendre une stratégie
d’isolation d’un service, suivez ces étapes :
2. Établissez un pare-feu entre la forêt basée sur l’organisation et les autres forêts afin
de limiter l’accès d’administrateurs extérieurs aux informations contenues dans la
forêt.
3. Configurez les forêts qui sont créées pour assurer l’isolation du service de telle sorte
qu’elles approuvent des domaines appartenant à d’autres forêts. Assurez-vous que
les utilisateurs d’autres forêts ne sont pas membres des groupes d’administrateurs
dans les forêts isolées pour éviter de compromettre la sécurité de ces dernières.
15. La conception de
l’infrastructure logique
Active Directory
1. Créez une forêt supplémentaire basée sur l’organisation ou une forêt de ressources
pour permettre l’isolation du service.
4. Protégez vos contrôleurs de domaine contre les attaques potentielles. En ce qui
concerne la protection physique, placez les contrôleurs de domaine dans une salle
informatique avec accès sécurisé. Pour ce qui est de la protection logique, placez les
contrôleurs de domaine sur un réseau sécurisé avec limitation d’accès.
551
Chapitre 15
La conception de l’infrastructure logique Active Directory
Si, après l’analyse de l’existant, votre conception de forêt doit comprendre une stratégie
d’isolation des données, suivez ces étapes :
1. Créez une forêt supplémentaire basée sur l’organisation ou une forêt à accès
restreint pour assurer l’isolation des données.
2. Si vous utilisez une forêt basée sur l’organisation, configurez-la de telle sorte qu’elle
approuve des domaines appartenant à d’autres forêts. Pour garantir que la sécurité
de la forêt isolée n’est pas compromise, vérifiez que les utilisateurs d’autres forêts ne
peuvent pas être membres des groupes ayant des droits élevés sur les serveurs sur
lesquels sont placées les données.
3. Configurez d’autres forêts pour qu’elles approuvent la forêt basée sur l’organisation
afin que les utilisateurs de la forêt isolée puissent accéder aux ressources de ces
autres forêts (si nécessaire).
4. Établissez un pare-feu entre la forêt basée sur l’organisation et les autres forêts afin
de limiter l’accès des utilisateurs aux informations situées hors de leur forêt.
Si vous utilisez un modèle de forêt à accès restreint pour l’isolation des données, faites
en sorte qu’elle n’approuve pas d’autres forêts ou domaines. Par ailleurs, limitez l’accès
au réseau hébergeant les contrôleurs de domaine et les ordinateurs dans la forêt à accès
restreint.
Si nécessaire, et si vous en avez les moyens et les besoins, vous pouvez maintenir les
données protégées de la forêt à accès restreint sur un réseau indépendant qui n’est pas
connecté physiquement à un autre réseau de votre entreprise.
15. La conception de
l’infrastructure logique
Active Directory
15.4. Les modèles de domaines
552
À chaque fois que vous créez une forêt Active Directory, vous devez forcément
sélectionner un modèle de domaine. Vous avez le choix entre le modèle de domaine
unique (qui est recommandé) et le modèle de domaine dit régional.
Le modèle de domaine unique
Le modèle de domaine unique est le plus simple à administrer et le moins coûteux à
maintenir. Vous devez évaluer en premier lieu s’il convient. Dans ce modèle, la forêt ne
compte qu’un seul domaine qui contient tous les comptes (utilisateurs, ordinateurs et
groupes) existants. On parle alors de structure "monoforêt monodomaine". Chaque
contrôleur de domaine contient tous les comptes d’utilisateur, d’ordinateur et de groupe
de la forêt, de sorte que n’importe quel contrôleur de domaine peut authentifier tous les
utilisateurs de la forêt. Par ailleurs, dans la mesure où le catalogue global ne contient pas
d’informations sur les comptes d’autres domaines, chaque contrôleur de domaine peut
être désigné comme serveur de catalogue global sans qu’augmente la charge de
réplication.
Les modèles de domaines
Figure 15.4 :
Modèle de domaine
unique
Tableau 15.1 : Nombre maximal recommandé d’utilisateurs dans un seul domaine
Liaison la plus lente
Nombre maximal
connectant un contrôleur d’utilisateurs si 1 % de
de domaine (kbit/s)
la bande passante est
disponible
Nombre maximal
d’utilisateurs si 5 % de
la bande passante sont
disponibles
Nombre maximal
d’utilisateurs si 10 % de
la bande passante sont
disponibles
28,8
10 000
25 000
40 000
32
10 000
25 000
50 000
56
10 000
50 000
100 000
64
10 000
50 000
100 000
128
25 000
100 000
100 000
256
50 000
100 000
100 000
512
80 000
100 000
100 000
1 500
100 000
100 000
100 000
15. La conception de
l’infrastructure logique
Active Directory
Le modèle de domaine unique répond à peu près à tous les besoins des petites
entreprises. La raison qui motiverait la création d’un domaine supplémentaire au sein
d’une forêt pourrait être le nombre excessif d’utilisateurs au sein d’un domaine. Mais en
fait, il n’en est rien car, comme le montre le tableau qui suit (tiré des informations
données par Microsoft), le nombre maximal d’utilisateurs dans un seul domaine est très
élevé. Seul le trafic de réplication sur les liaisons distantes (WAN) influe sur le nombre
maximal d’utilisateurs dans un domaine.
553
Chapitre 15
La conception de l’infrastructure logique Active Directory
Conditions d’évaluation du tableau
Les valeurs de ce tableau tiennent compte des hypothèses suivantes :
j
Le taux de nouveaux utilisateurs rejoignant la forêt est de 20 % par an.
Le taux d’utilisateurs quittant la forêt est de 15 % par an.
Chaque utilisateur est membre de cinq groupes globaux et de cinq groupes
universels.
Le rapport utilisateurs/ordinateurs est de 1 pour 1.
Le système DNS intégré à Active Directory est utilisé.
j
La fonction de nettoyage DNS est utilisée.
j
j
j
j
Le modèle de domaine régional
Dans votre contexte d’entreprise, si votre forêt comprend beaucoup d’utilisateurs
répartis entre différents sites géographiques connectés via le WAN, il sera peut-être
nécessaire de déployer des domaines dits régionaux, c’est-à-dire basés sur
l’emplacement géographique, pour réduire le trafic des réplications sur les liaisons
WAN.
Le modèle de domaine régional permet de maintenir un environnement stable avec le
temps. Basez les régions utilisées pour définir les domaines de votre modèle sur des
éléments stables, par exemple une ville.
15. La conception de
l’infrastructure logique
Active Directory
Utilisez des domaines régionaux dans les cas suivants :
j
Le nombre d’utilisateurs de votre forêt est supérieur au nombre d’utilisateurs qu’un
seul domaine peut contenir.
j
Vous souhaitez permettre aux administrateurs régionaux de bénéficier d’une
autonomie de service au niveau domaine.
Le modèle de domaine basé sur les entités de l’entreprise
Dans votre contexte d’entreprise, si votre forêt comprend beaucoup d’utilisateurs
répartis entre différentes entités, par exemple des pôles de compétences bien
spécifiques tels la recherche et le développement, il sera peut-être nécessaire de
déployer des domaines basés sur les entités de l’entreprise pour mieux segmenter et
sécuriser les pôles, tout en ayant une administration centralisée.
C’est le modèle de domaine auquel a pensé l’équipe informatique de Puzzmania.
Attention, ce modèle de domaine est soumis aux réorganisations internes !
Sélectionnez-le avec précaution en vous assurant que votre contexte lui correspond
554
Choisir le domaine racine de la forêt
bien. Ce n’est pas parce qu’il convient à l’étude de cas Puzzmania qu’il représente
forcément la meilleure solution pour vous.
15.5. Choisir le domaine racine de la forêt
Le domaine racine de la forêt se trouve au sommet de la représentation de la forêt. Il est
également appelé "domaine père", les autres domaines étant ses fils. Il contient, entre
autres, le contrôleur de domaine qui sera maître du schéma de toute la forêt et les
administrateurs qui seront administrateurs de l’entreprise tout entière.
15. La conception de
l’infrastructure logique
Active Directory
Figure 15.5 : Domaine racine de la forêt
Des choix s’offrent à vous quant au design de ce domaine racine. Tout dépend du
modèle de domaine sélectionné.
555
Chapitre 15
La conception de l’infrastructure logique Active Directory
Le domaine racine d’une forêt dans un modèle de domaine
unique
Lorsque vous utilisez un modèle de domaine unique, deux options s’offrent à vous :
Vous pouvez utiliser le domaine unique en tant que domaine racine de la forêt (cela
paraît logique).
j
Vous pouvez créer un domaine racine contenant uniquement les comptes
administratifs à l’échelle de la forêt (on l’appelle un "domaine racine vide", au sens
vide d’utilisateurs et de ressources), le domaine de vos comptes étant un enfant du
domaine racine de la forêt. Utilisez cette option si vos plans de croissance vous
amènent à utiliser un modèle de domaine régional.
15. La conception de
l’infrastructure logique
Active Directory
j
Figure 15.6 : Domaine racine vide et modèle de domaine unique
556
Choisir le domaine racine de la forêt
Si l’on ajoute un domaine racine vide à un modèle de domaine unique, on pourrait
croire que ce dernier n’est plus unique ! En fait, il est unique au sens où il est le seul à
contenir tous les utilisateurs et toutes les ressources de l’entreprise.
Le domaine racine d’une forêt dans un modèle de domaine
régional ou basé sur les entités de l’entreprise
Lorsque vous utilisez un modèle de domaine régional ou un modèle basé sur les entités
de l’entreprise, deux options s’offrent à vous :
j
Vous pouvez créer un domaine racine vide et faire de chaque domaine (régional ou
autres) un enfant du domaine racine de la forêt.
15. La conception de
l’infrastructure logique
Active Directory
Figure 15.7 : Domaine racine vide et domaines enfants
557
Chapitre 15
Vous pouvez utiliser un des domaines régionaux en tant que domaine racine de la
forêt et faire des domaines régionaux restants les enfants de la racine. Si vous
choisissez cette option, sélectionnez comme racine de la forêt un domaine régional
de situation centrale. Cette méthode s’applique également aux domaines basés sur
les entités de l’entreprise.
15. La conception de
l’infrastructure logique
Active Directory
j
La conception de l’infrastructure logique Active Directory
Figure 15.8 : Domaine racine régional et domaines enfants régionaux
La méthode qui consiste à créer un domaine racine vide, puis des domaines enfants
basés sur l’organisation de l’entreprise, a été adoptée par Puzzmania. Pourquoi une
racine vide ? En voici les avantages.
558
Conception de domaine et sécurité
Les avantages du domaine racine vide
L’utilisation d’un domaine racine vide présente un certain nombre d’avantages…
j
Séparation opérationnelle entre les administrateurs de la forêt et les
administrateurs du domaine (domaines enfants) : dans un environnement à
domaine unique, les membres du groupe Administrateurs du domaine ou du groupe
Administrateurs intégré peuvent utiliser des outils et des procédures standards pour
adhérer aux groupes Administrateurs de l’entreprise et Administrateurs du schéma. En
revanche, dans une forêt qui utilise un domaine racine dédié, les membres du
groupe Administrateurs du domaine ou du groupe Administrateurs intégré dans les
domaines enfants ne peuvent pas adhérer aux groupes d’administrateurs de niveau
forêt à l’aide d’outils et de procédures standards. Cela permet de sécuriser
l’infrastructure.
j
Protection contre les changements opérationnels dans l’organisation ou dans
d’autres domaines : un domaine racine dédié ne représente pas une région ou une
activité particulière dans la structure de domaines. C’est pourquoi il n’est pas affecté
par les réorganisations et les autres modifications qui obligent à renommer ou à
restructurer les domaines. Par exemple, si votre entreprise rachète une autre
entreprise (comme l’a fait Puzzmania), l’intégration au sein de l’infrastructure
informatique se fera de façon plus aisée.
j
Maintien d’une racine neutre pour qu’aucune région ou activité n’apparaisse
comme subordonnée à une autre : certaines entreprises préfèrent éviter de donner
l’impression qu’une région est subordonnée à une autre dans l’espace de noms.
Lorsque vous utilisez un domaine racine vide dans la forêt, tous les domaines
enfants peuvent être égaux dans la hiérarchie des domaines.
L’utilisation d’un domaine régional ou basé sur une entité de l’entreprise en tant que
domaine racine de la forêt peut également présenter un avantage. Cela vous permet
d’éviter la surcharge administrative liée à la gestion d’un domaine racine vide
supplémentaire.
15. La conception de
l’infrastructure logique
Active Directory
Les avantages d’un domaine régional ou d’entité en tant que
racine de la forêt
15.6. Conception de domaine et sécurité
La sécurité peut être un élément important dans le choix de conception. Voyons en quoi
elle peut influencer vos décisions.
Active Directory comprend des fonctionnalités de sécurité qui sont définies par deux
composants.
559
Chapitre 15
La conception de l’infrastructure logique Active Directory
j
Le logiciel système qui compose un contrôleur de domaine Active Directory : il gère
entre autres les processus d’authentification et la définition de l’identité d’un
utilisateur.
j
La base de données de l’annuaire stockée sur les contrôleurs de domaine : elle stocke
des informations telles que les mots de passe des utilisateurs, la composition des
groupes et les listes de contrôle d’accès (ACL) qui régissent l’accès aux objets.
Si un intrus modifie le logiciel système ou la base de données de l’annuaire sur un
contrôleur de domaine, les fonctionnalités de sécurité incluses dans Active Directory
peuvent être désactivées ou modifiées. Les personnes suivantes ont la possibilité de
lancer de telles attaques…
j
Les administrateurs : ils doivent avoir la possibilité de modifier le logiciel système sur
les contrôleurs de domaine pour appliquer des correctifs logiciels, pour installer des
Service Packs ou des mises à niveau du système d’exploitation. Pendant ces
interventions classiques, un administrateur peut très bien installer un logiciel tiers
qui effectue des modifications malveillantes.
j
Les personnes pouvant accéder physiquement aux contrôleurs de domaine : tout
individu ayant physiquement accès à un contrôleur de domaine peut attaquer le
système de deux manières. Soit il modifie ou remplace des fichiers de Windows
Server 2003 sur le disque dur hébergeant le logiciel système du contrôleur de
domaine, soit il utilise un accès hors ligne à la base de données de l’annuaire pour
lire des données sans que les listes de contrôle d’accès ne fonctionnent, pour utiliser
les mots de passe stockés dans la base ou faire des modifications dans cette dernière
qui affectent le comportement des contrôleurs de domaine si la base de données
hors ligne est connectée au système.
15. La conception de
l’infrastructure logique
Active Directory
Les méthodes d’attaque sont les suivantes :
j
accès aux disques physiques en redémarrant un contrôleur de domaine sur un autre
système d’exploitation ;
j
suppression ou remplacement des disques physiques sur un contrôleur de domaine ;
j
obtention et manipulation d’une copie d’une sauvegarde de l’état du système d’un
contrôleur de domaine.
Toutes ces éventualités d’attaque doivent être prises en compte, notamment dans le
choix du nombre de domaines (ou forêts) et de l’emplacement des contrôleurs de
domaine par exemple. La réflexion autour de la conception d’Active Directory doit tenir
compte de la sécurité.
15.7. Principe de conception des domaines
Voici quelques principes que vous pouvez appliquer dans votre conception de
domaines :
560
En résumé
j
Déterminez le nombre minimal de domaines requis pour répondre aux besoins de
l’entreprise.
j
Si possible, utilisez un modèle de domaine unique, sinon ayez recours à un modèle
de domaine régional ou basé sur les entités de l’entreprise.
Si vous utilisez un modèle de domaine régional ou basé sur les entités de
l’entreprise, créez un nouveau domaine comme racine vide de la forêt ou désignez
un des domaines régionaux ou basés sur les entités de l’entreprise comme racine de
la forêt.
j
Enfin et surtout, pensez à décrire votre projet de conception dans un document, en
précisant le modèle de domaine, le nombre de domaines, le niveau fonctionnel de
chacun d’eux et celui qui sera utilisé comme racine de la forêt.
15.8. En résumé
En exposant les différents modèles de forêts et de domaines, nous avons posé les briques
fondamentales de la conception d’Active Directory. Les besoins de l’entreprise, ses
contraintes et son activité sont très importants car ils vont orienter la conception de
l’infrastructure logique d’Active Directory. Il n’y a pas de recette toute faite indiquant
d’appliquer tel modèle en fonction de l’activité de l’entreprise. Chaque cas est différent.
Ayez toujours le réflexe de considérer la structure monoforêt monodomaine en premier
lieu. Seules de bonnes raisons doivent vous pousser à ajouter des domaines dans la forêt
(comme Puzzmania) ou à ajouter d’autres forêts. Cette structure est la plus simple, mais
elle couvre quand même un très grand nombre de cas d’entreprise. Il serait dommage de
s’en priver.
15. La conception de
l’infrastructure logique
Active Directory
Les grandes lignes de la conception sont maintenant posées : c’est à vous de jouer !
561
Chapitre 16
La conception de
la topologie de
sites
16.1
16.2
16.3
16.4
16.5
16.6
16.7
Les mécanismes de conception : définitions . . . . .
Collecter les informations sur le réseau . . . . . . . .
Prévoir l’emplacement des contrôleurs de domaine
Concevoir des sites . . . . . . . . . . . . . . . . . . . . .
Concevoir les liens de sites . . . . . . . . . . . . . . . .
Concevoir les ponts de liaison de sites . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . .
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
.
. 565
. 580
. 581
. 587
. 588
. 590
. 591
Les mécanismes de conception : définitions
L’
expression "topologie des sites" désigne la représentation logique du réseau
physique. La conception d’une topologie de sites permet de router efficacement
les requêtes clients et le trafic de réplication d’Active Directory. Lorsqu’elle est réussie,
elle offre les avantages suivants :
j
une diminution du coût de la réplication des données Active Directory ;
j
une diminution des efforts administratifs requis pour la maintenance de la topologie
des sites ;
j
une planification de la réplication pendant les heures creuses pour les
emplacements équipés de liens réseau lents ou de connexions à distance ;
j
une optimisation de la localisation des ressources les plus proches (contrôleurs de
domaine, serveurs DFS…), une amélioration des processus d’ouverture et de
fermeture de session et une amélioration des opérations de téléchargement de
fichiers.
En outre, elle permet une meilleure visibilité sur le projet de déploiement d’Active
Directory. Une conception de topologie de sites réussie permet aussi d’avoir les idées
claires avant d’aborder des aspects plus techniques. Une réflexion sur les aspects
concrets que sont la structure physique du réseau et l’objectif d’entreprise dans ce projet
est cruciale : c’est le moyen d’éviter les ennuis techniques par la suite. Bien que ce
chapitre soit plus théorique que pratique, notamment en ce qui concerne la mise en
place d’Active Directory chez Puzzmania, il est indispensable d’aborder ce sujet au
préalable afin d’éviter de prendre une mauvaise direction.
La conception d’une topologie de sites Active Directory inclut la compréhension de la
structure physique du réseau, la planification du placement des contrôleurs de domaine,
la conception des sites, des sous-réseaux, des liens de sites et des ponts de liaison de sites
pour assurer l’efficacité du routage des requêtes et du trafic de réplication.
Voici la description du processus de conception d’une topologie de sites :
16. La conception de la
topologie de sites
Figure 16.1 : Processus de conception de la topologie de sites
Avant d’examiner chaque point, familiarisez-vous avec les concepts relatifs aux sites.
16.1. Les mécanismes de conception : définitions
La topologie de sites affecte les performances du réseau et la capacité des utilisateurs à
accéder aux ressources réseau. Autrement dit, les utilisateurs risquent d’avoir une
565
Chapitre 16
La conception de la topologie de sites
mauvaise opinion de la nouvelle infrastructure si vous ne maîtrisez pas les concepts qui
vont suivre et si vous ne concevez pas une topologie de sites adéquate.
Pour ce faire, vous devez connaître un minimum de définitions techniques.
Les fonctionnalités liées aux sites
Windows Server 2003 utilise des fonctionnalités liées aux sites qu’il est important de
comprendre. Il s’agit du routage de la réplication, de l’affinité des clients, de la
réplication des volumes systèmes (Sysvol), de DFS et de la localisation des services.
Routage de la réplication
Active Directory utilise un modèle de réplication multimaître afin de répliquer d’un
contrôleur de domaine à un autre. Cela signifie qu’un contrôleur de domaine
communique les modifications de l’annuaire à un deuxième contrôleur, qui les
communique à un troisième, et ainsi de suite, jusqu’à ce que tous les contrôleurs de
domaine soient informés des modifications. Afin d’obtenir le meilleur équilibre possible
entre la réduction de la latence de réplication et la réduction du trafic, la topologie des
sites contrôle la réplication Active Directory en distinguant la réplication qui intervient
au sein d’un site et celle qui intervient entre les sites distants. À l’intérieur d’un même
site, la réplication, dite réplication intrasite, est optimisée en termes de vitesse.
En pratique, vous trouverez et pourrez configurer l’objet de connexion de réplication
dans le composant logiciel enfichable Sites et services Active Directory en déployant
l’objet contrôleur de domaine et le sous-objet NTDS Settings.
Figure 16.2 :
16. La conception de la
topologie de sites
Boîte de dialogue d’un
objet de connexion de
réplication intrasite du
composant logiciel
enfichable Sites et
services Active Directory
566
Les mécanismes de conception : définitions
Une mise à jour de données d’annuaire, la création d’un compte par exemple, déclenche
la réplication et les données sont transmises non compressées aux autres contrôleurs de
domaine. À l’inverse, on compresse les données dans le cadre d’une réplication entre
des sites distants afin de minimiser le coût de transmission sur les liens distants. Lorsque
la réplication intervient entre des sites, un unique contrôleur par domaine sur chaque
site collecte et stocke les modifications de l’annuaire et les communique à intervalles
planifiés à un contrôleur de domaine d’un autre site.
Affinité des clients
Les contrôleurs de domaine utilisent les informations de site pour signaler aux clients
Active Directory la présence d’un ou de plusieurs contrôleurs de domaine à l’intérieur
du site le plus proche des clients en question. Prenons l’exemple de Puzzmania.
Considérez un client du domaine corp.puzzmania.com situé sur le site géographique
de Toulouse. Il ne connaît pas son affiliation de site. Il contacte un contrôleur de
domaine du site de Nice. En consultant l’adresse IP du client, le contrôleur de Nice
détermine le site auquel le client appartient et lui transmet les informations de site
afférentes. Il indique au client si le contrôleur de domaine choisi est le plus proche ou
non. Le client met en cache les informations de site fournies par Nice, demande
l’enregistrement de ressources de service (SRV) spécifiques au site et trouve donc un
contrôleur de domaine sur le site qui est le sien.
16. La conception de la
topologie de sites
Figure 16.3 : Structure des sites vue par le composant logiciel enfichable Sites et services
Active Directory
567
Chapitre 16
La conception de la topologie de sites
Enregistrement de ressources de service (SRV)
Un enregistrement de ressources de service (SRV) est un enregistrement de ressources
DNS utilisé pour localiser les contrôleurs de domaine Active Directory.
En trouvant un contrôleur de domaine sur son site, le client s’épargne les
communications par les liens distants. Mais il est possible qu’il n’en trouve pas. Dans ce
cas, un contrôleur de domaine qui possède les connexions de plus faible coût par rapport
aux autres sites connectés publiés sur le site du client (enregistre via un enregistrement
de ressources SRN spécifique au site dans le DNS). Les contrôleurs de domaine publiés
dans le DNS sont ceux du site le plus proche selon ce qui est configuré dans la topologie.
Ce processus garantit que chaque site possède un contrôleur de domaine préféré pour
l’authentification.
Réplication Sysvol
Le volume système Sysvol est une arborescence de dossiers qui se trouve sur chaque
contrôleur de domaine. Les dossiers Sysvol fournissent un emplacement Active
Directory par défaut pour les fichiers qui doivent être répliqués dans un domaine,
c’est-à-dire les objets de stratégie de groupe, les scripts de démarrage et de fermeture
ainsi que les scripts d’ouverture et de fermeture de session.
Connectez-vous au partage Sysvol de votre contrôleur de domaine.
Figure 16.4 :
Vue du partage Sysvol du
domaine
puzzmania.com
16. La conception de la
topologie de sites
Windows Server 2003 utilise le service de réplication de fichiers (FRS, File Replication
Service) pour répliquer les modifications apportées au contenu de Sysvol d’un contrôleur
de domaine vers un autre. Le service FRS réplique ces modifications en fonction de la
planification que vous créez durant la conception de la topologie des sites.
DFS (Distributed File System)
Le système de fichiers distribués DFS utilise les informations de site pour diriger un
client vers le serveur qui héberge les données requises. Si le service DFS ne trouve pas
une copie des données dans le même site que celui du client, il utilise les informations de
site de l’annuaire pour déterminer le serveur de fichiers qui possède les données
partagées DFS les plus proches du client.
568
Les mécanismes de conception : définitions
Localisation de services
En publiant des services comme les services de fichiers et d’impression dans Active
Directory, vous permettrez aux clients de localiser les services qu’ils requièrent dans leur
propre site ou dans le site le plus proche. Les services d’impression, par exemple,
utilisent l’attribut d’emplacement stocké dans Active Directory pour permettre aux
utilisateurs de parcourir le réseau à la recherche d’imprimantes en fonction de leur
emplacement, même s’ils ne le connaissent pas exactement. Il suffit de lancer une
recherche en remplissant le champ Emplacement et les imprimantes configurées pour ce
site apparaissent en résultat.
Figure 16.5 :
Recherche
d’imprimantes par
emplacement
Les concepts de réplication d’Active Directory
Nous définissons dans ce qui suit les concepts de réplication d’Active Directory.
Les différentes partitions
La base de données Active Directory est divisée de manière logique en plusieurs
partitions.
la partition de schéma ;
j
la partition d’annuaire ;
j
la partition de la configuration ;
j
la partition du domaine ;
j
la partition d’application.
16. La conception de la
topologie de sites
j
La partition d’annuaire
Chaque partition est une unité de réplication et possède sa propre topologie de
réplication. La réplication est exécutée entre les réplicas des partitions d’annuaire. Tous
les contrôleurs de domaine de la même forêt ont au moins deux partitions d’annuaire en
commun : celles du schéma et de la configuration. De plus, ils partagent une partition de
domaine commune.
569
Chapitre 16
La conception de la topologie de sites
Figure 16.6 :
Définition des partitions
d’annuaire
La partition de schéma
Chaque forêt possède une seule partition de schéma. Cette partition de schéma est
stockée dans tous les contrôleurs de domaine de la même forêt. Elle contient les
définitions de tous les objets et attributs créés dans l’annuaire, ainsi que les règles qui
permettent de les créer et de les manipuler. Les données du schéma sont répliquées dans
tous les contrôleurs de domaine de la forêt. C’est pourquoi les objets doivent être
conformes aux définitions d’objet et d’attribut du schéma.
La partition de la configuration
Chaque forêt possède une seule partition de configuration. Stockée dans tous les
contrôleurs de domaine de la même forêt, la partition de configuration contient les
données sur la structure Active Directory de l’ensemble de la forêt, telles que les
domaines et les sites existants, les contrôleurs de domaine existants dans chaque forêt et
les services disponibles. Les données de la configuration sont répliquées dans tous les
contrôleurs de domaine de la forêt.
La partition de domaine
16. La conception de la
topologie de sites
Chaque forêt peut avoir plusieurs partitions de domaine. Elles sont stockées dans
chaque contrôleur de domaine d’un domaine donné. Une partition de domaine contient
les données sur tous les objets propres au domaine et créés dans ce domaine, tels que les
utilisateurs, les groupes, les ordinateurs et les unités d’organisation. Une partition de
domaine est répliquée dans tous les contrôleurs de domaine du domaine considéré.
Tous les objets de chaque partition de domaine d’une forêt sont stockés dans le
catalogue global avec un seul sous-ensemble de leurs valeurs d’attribut.
La partition d’application
Les partitions d’application stockent les données sur les applications dans Active
Directory. Chaque application détermine comment elle stocke, classe et utilise ses
propres données. Pour éviter toute réplication inutile des partitions d’application, vous
pouvez désigner les contrôleurs de domaine qui en hébergent dans une forêt. À la
570
Les mécanismes de conception : définitions
différence d’une partition de domaine, une partition d’application ne peut pas stocker
les principaux objets de sécurité, tels que les comptes d’utilisateur. De plus, les données
contenues dans une partition d’application ne sont pas stockées dans le catalogue global.
Par exemple, si vous utilisez le système DNS intégré à Active Directory, vous avez deux
partitions d’application pour les zones DNS : ForestDNSZones et DomainDNSZones.
j
ForestDNSZones fait partie d’une forêt : tous les contrôleurs de domaine et les
serveurs DNS d’une forêt reçoivent un réplica de cette partition. Une partition
d’application d’une forêt entière stocke les données de la zone de la forêt.
j
DomainDNSZones est unique pour chaque domaine : tous les contrôleurs de
domaine qui sont des serveurs DNS dans ce domaine reçoivent un réplica de cette
partition. Les partitions d’application stockent la zone DNS du domaine dans
DomainDNSZones <nom_domaine>.
Chaque domaine possède une partition DomainDNSZones, mais il n’existe qu’une
partition ForestDNSZones. Aucune donnée DNS n’est répliquée sur le serveur de
catalogue global.
Le numéro de séquence de mise à jour (USN)
L’implémentation d’un annuaire implique la mise en place d’un mécanisme afin de
gérer le stockage incrémentiel des modifications apportées aux objets de l’annuaire. En
effet, le moindre changement de mot de passe doit pouvoir être transmis à tous les
contrôleurs de domaine. Ce système doit pouvoir être sélectif en cas de changements
portant sur une même propriété d’objet pour n’appliquer que le plus récent.
Certains services d’annuaire s’appuient sur une synchronisation en temps réel de tous
les contrôleurs de domaine. Toutefois, ce type de synchronisation temporelle de
plusieurs contrôleurs de domaine entre eux, s’avère difficile à gérer. La plus faible
variation peut influencer les résultats de la réplication.
16. La conception de la
topologie de sites
La réponse à ce problème est le concept de numéro de séquence de mise à jour (USN,
Update Sequence Number). Active Directory l’utilise pour assurer une application exacte
des changements de l’annuaire. Un USN est une valeur de 64 bits et tous les contrôleurs
de domaine en possèdent un. Chaque modification d’une propriété d’objet dans un
annuaire (un changement de mot de passe par exemple) entraîne une incrémentation de
l’USN du contrôleur de domaine en question. Chaque contrôleur de domaine possède
également une copie du dernier USN reçu par les autres contrôleurs. Grâce à cette
technique, les mises à jour sont plus directes. Prenons l’exemple de Puzzmania : lorsque
le contrôleur de domaine racine de la forêt SNCERCDC01 sollicite du contrôleur de
domaine SNCERCDC02 la réplication des modifications de ce dernier (création
d’utilisateurs), il extrait de sa table de référence interne l’USN de SNCERCDC02 le plus
récent reçu et ne réclame que les changements intervenus depuis ce numéro. La
simplicité de cette opération garantit la justesse du processus.
L’intégrité de la réplication est garantie car l’incrémentation d’un USN est dépendante
de la réussite d’une mise à jour. Si un problème vient entraver un cycle de réplication, le
récepteur concerné recherche toujours une mise à jour à partir de l’USN approprié.
571
Chapitre 16
La conception de la topologie de sites
Il est inutile de vous inquiéter des risques éventuels d’épuisement de la réserve d’USN.
Les 64 bits de ce nombre lui permettent de prendre en compte jusqu’à
18 446 744 073 709 551 616 changements par contrôleur de domaine.
La collision de réplication
Même avec le mécanisme de numéro de séquence de mise à jour, la collision est
possible. Par exemple, si un administrateur du domaine racine de la forêt puzzmania
.com réinitialise un mot de passe sur SNCERCDC01 et qu’un autre administrateur
réinitialise le même mot de passe sur SNCERCDC02 avant que SNCERCDC01 n’ait eu
l’occasion de distribuer sa modification, il y a inévitablement collision.
Ce problème est résolu grâce à un numéro de version de propriété (PVN, Property
Version Number). Il est appliqué en tant qu’attribut à chaque objet dans Active Directory
et est mis à jour et horodaté en séquence chaque fois qu’une modification est apportée
à l’objet. Si une collision de réplication se produit, le PVN le plus récent a priorité et le
mot de passe associé est affecté à l’utilisateur.
L’objet connexion
16. La conception de la
topologie de sites
Un objet connexion est un objet Active Directory qui représente une connexion de
réplication d’un contrôleur de domaine à un autre. Un contrôleur de domaine est un
membre d’un unique site et est représenté dans le site par un objet serveur dans Active
Directory. Chaque objet serveur possède un objet NTDS Settings enfant qui
représente le contrôleur de domaine répliquant dans le site.
Figure 16.7 : Objet serveur de type contrôleur de domaine et objet NTDS Settings vus par le
composant logiciel enfichable Sites et services Active Directory
572
Les mécanismes de conception : définitions
L’objet connexion est un enfant de l’objet NTDS Settings du serveur de destination.
Pour que la réplication intervienne entre deux contrôleurs de domaine, l’objet serveur
de l’un doit avoir un objet connexion qui identifie le serveur source de réplication.
Toutes les connexions de réplication d’un contrôleur de domaine sont stockées sous la
forme d’objets de connexion sous l’objet NTDS Settings. L’objet connexion identifie
le serveur source de réplication, contient une planification de réplication et spécifie un
transport de réplication.
Le vérificateur de cohésion de connaissances (KCC, Knowledge Consistency Checker)
crée automatiquement des objets de connexion, qui peuvent aussi être créés
manuellement. À chaque fois que vous modifiez un objet de connexion créé par le KCC,
vous le convertissez automatiquement en un objet de connexion de type "manuel" et le
KCC cessera alors de lui apporter des modifications.
Les protocoles de transport de réplication
Active Directory utilise la technologie d’appel de procédure distante RPC (Remote
Procedure Call) sur le protocole IP pour transférer les données de réplication entre les
contrôleurs de domaine. Les réplications intersite et intrasite se servent de RPC sur IP.
Pour assurer la sécurité des données en transit, la réplication RPC sur IP fait appel à la
fois à l’authentification (protocole Kerberos v5) et au cryptage des données.
Si aucune connexion directe ou IP fiable n’est disponible, la réplication intersite peut
être configurée pour utiliser le protocole SMTP (Simple Mail Transfer Protocol).
Toutefois, la fonctionnalité de réplication SMTP est limitée et nécessite une autorité de
certification d’entreprise. SMTP ne peut être utilisé que pour répliquer les partitions de
configuration, de schéma et d’application de l’annuaire ; il ne prend pas en charge la
réplication des partitions de domaine.
Le KCC
16. La conception de la
topologie de sites
Le KCC (Knowledge Consistency Checker) est un processus intégré qui s’exécute sur tous
les contrôleurs de domaine et génère la topologie de réplication pour la forêt. Il crée des
topologies de réplications intrasite et intersite séparées. Le KCC ajuste dynamiquement
la topologie afin de tenir compte des contrôleurs de domaine qui sont nouveaux, ou
temporairement indisponibles ou encore qui se sont déplacés d’un site à un autre, des
modifications de coûts, des planifications.
KCC et ISTG
Le KCC crée des objets de connexion afin de relier les contrôleurs de domaine au sein
d’une topologie commune. Il comprend deux composants : un contrôleur intrasite
KCC, qui se charge de la réplication à l’intérieur d’un site, et le générateur de
topologie intersite, ou ISTG (Intersite Topology Generator), qui crée les objets de
connexion entre sites.
573
Chapitre 16
La conception de la topologie de sites
Dans Windows Server 2003, ISTG a été amélioré et peut maintenant gérer jusqu’à
5000 sites. Toutefois, vous ne pourrez bénéficier des améliorations apportées à ISTG
que lorsque le niveau fonctionnel de la forêt sera passé en mode Windows
Server 2003.
Sur chaque contrôleur de domaine, le KCC crée des itinéraires de réplication en
créant des objets de connexion entrante unidirectionnelle qui définissent des
connexions depuis d’autres contrôleurs de domaine. Pour les contrôleurs de domaine
dans le même site, le KCC crée des objets de connexion de manière automatique.
Lorsque vous possédez plusieurs sites, vous configurez les liens qui les unissent et un
unique KCC dans chaque site se charge de créer automatiquement les connexions
intersites.
Fonctionnalité de basculement
Les sites garantissent que les données de réplication sont routées même en cas de
pannes réseau et de pannes des contrôleurs de domaine. Le KCC s’exécute à des
intervalles spécifiés afin d’ajuster la topologie de réplication pour l’adapter aux
modifications qui interviennent dans Active Directory (par exemple, en cas
d’extension de la société, lorsque de nouveaux contrôleurs de domaine sont ajoutés ou
lorsque de nouveaux sites sont créés). Le KCC vérifie le statut de réplication des
connexions existantes afin de déterminer si des connexions ont cessé de fonctionner.
Si une connexion ne fonctionne pas à cause d’un contrôleur de domaine en panne, le
KCC construit automatiquement des connexions temporaires vers les autres
partenaires de réplication (s’il en existe) afin de s’assurer que la réplication peut
s’opérer. Si tous les contrôleurs de domaine dans un site sont indisponibles, le KCC
crée automatiquement des connexions de réplication avec les contrôleurs de domaine
d’un autre site.
Le sous-réseau
16. La conception de la
topologie de sites
Un sous-réseau est un segment d’un réseau TCP/IP auquel un ensemble d’adresses IP
logiques est attribué. Les sous-réseaux regroupent des ordinateurs en fonction de leur
proximité physique sur le réseau.
D’un point de vue Active Directory, les objets de sous-réseau identifient les adresses
réseau qui sont utilisées pour mettre en correspondance les ordinateurs avec les
sites.
574
Les mécanismes de conception : définitions
Figure 16.8 : Les sous-réseaux vus par le composant logiciel enfichable Sites et services
Active Directory
Les sites
Les sites correspondent à un ou plusieurs sous-réseaux TCP/IP dotés de connexions
réseau fiables et rapides. Les informations de site permettent aux administrateurs de
configurer l’accès et la réplication Active Directory afin d’optimiser l’utilisation du
réseau physique. Les sites sont représentés dans Active Directory sous la forme d’objets
de site. Les objets de site sont des ensembles de sous-réseaux et chaque contrôleur de
domaine dans la forêt est associé à un site Active Directory en fonction de son
adresse IP. Les sites peuvent héberger des contrôleurs de domaine de plusieurs
domaines et un domaine peut être représenté dans plusieurs sites.
16. La conception de la
topologie de sites
Figure 16.9 : Les sites vus par le composant logiciel enfichable Sites et services Active Directory
575
Chapitre 16
La conception de la topologie de sites
Lien de sites
Les liens de sites sont les chemins logiques que le KCC utilise pour établir une
connexion pour la réplication Active Directory. Ils sont stockés dans Active Directory
sous la forme d’objets de lien de sites. Un tel objet représente un ensemble de sites qui
peuvent communiquer à coût uniforme via un transport intersite spécifié.
Figure 16.10 : Les liens de sites vus par le composant logiciel enfichable Sites et services
Active Directory
16. La conception de la
topologie de sites
Tous les sites contenus dans un lien sont considérés comme connectés au sein d’un
même type de réseau. On relie manuellement les sites en utilisant des liens de sorte que
les contrôleurs de domaine dans un site puissent répliquer les modifications de
l’annuaire vers les contrôleurs de domaine d’un autre site. Étant donné que les liens de
sites ne correspondent pas au chemin effectif pris par les paquets réseau sur le réseau
physique durant la réplication, vous n’avez pas besoin de créer des liens redondants pour
améliorer l’efficacité de la réplication Active Directory.
Lorsque deux sites sont connectés par un lien, le système de réplication crée
automatiquement des connexions entre des contrôleurs de domaine spécifiques dans
chaque site, appelés "serveurs tête de pont". Dans Windows Server 2003, le KCC peut
désigner plusieurs contrôleurs de domaine par site hébergeant la même partition
d’annuaire comme candidat au rôle de serveur tête de pont. Les connexions de
réplication créées par le KCC sont aléatoirement réparties entre tous les serveurs tête
576
Les mécanismes de conception : définitions
de pont candidats dans un site afin que la charge de réplication soit partagée. Par défaut,
le processus de sélection aléatoire a lieu uniquement lorsque de nouveaux objets de
connexion sont ajoutés au site.
Toutefois, vous pouvez exécuter Adlb.exe, un nouvel outil du kit de ressources Windows
Server 2003 appelé "ADLB" (Active Directory Load Balancing) pour rééquilibrer la
charge à chaque fois qu’une modification intervient dans la topologie des sites ou que le
nombre de contrôleurs de domaine du site varie. En outre, ADLB peut échelonner les
planifications de manière que la charge de réplication sortante pour chaque contrôleur
de domaine soit répartie de façon égale au fil du temps. Interrogez l’aide de l’utilitaire
ADLB afin d’obtenir ses différentes options.
Pont de liaison de sites
Un pont de liaison de sites est un objet Active Directory qui représente un ensemble de
liens de sites susceptibles de communiquer en utilisant un transport commun. Les ponts
de liaison permettent aux contrôleurs de domaine qui ne sont pas directement connectés
au moyen d’un lien de communication d’opérer des réplications intersites. En général,
un pont de liaison correspond à un routeur (ou à un ensemble de routeurs) d’un
réseau IP.
En pratique, vous pourrez créer un pont de liaison de sites dans le composant logiciel
enfichable Sites et services Active Directory en déployant le conteneur Inter-Site
Transports, en sélectionnant le protocole de transport souhaité, puis en cliquant sur
Action et Nouveau pont entre liens de sites.
Figure 16.11 :
Création d’un pont de
liaison de sites à l’aide
du composant logiciel
enfichable Sites et
services Active Directory
16. La conception de la
topologie de sites
Par défaut, le KCC peut former un itinéraire transitif via les liens de sites qui possèdent
certains sites en commun. Si ce comportement est désactivé, chaque lien de sites
577
Chapitre 16
La conception de la topologie de sites
représente son propre réseau distinct isolé. Les ensembles de liens de sites qui peuvent
être traités comme un unique itinéraire sont représentés sous la forme de ponts de
liaison de sites. Chaque pont représente un environnement de communication isolé
pour le trafic réseau.
Les ponts de liaison permettent de représenter logiquement la connectivité physique
transitive entre les sites. Chaque pont permet au KCC d’utiliser n’importe quelle
combinaison de liens de sites inclus pour déterminer l’itinéraire le moins coûteux
lorsqu’il s’agit d’interconnecter des partitions d’annuaires conservées dans ces sites. Le
pont ne fournit lui-même aucune connectivité aux contrôleurs de domaine. S’il est
supprimé, la réplication sur les liens de sites combinés se poursuit jusqu’à ce que le KCC
supprime les liens.
Les ponts ne sont nécessaires que si un site contient un contrôleur de domaine
hébergeant une partition d’annuaire qui n’est pas également hébergée par un contrôleur
de domaine dans un site adjacent. Les sites adjacents sont définis comme étant inclus
dans un unique lien de sites.
Le pont crée une connexion logique entre deux liens de sites déconnectés, qui fournit un
chemin transitif via un site intérimaire. Pour les besoins du générateur de topologie
intersite (ISTG, Intersite Topology Generator), le pont n’implique pas qu’un contrôleur
de domaine dans le site intérimaire fournisse le chemin de réplication. Toutefois, ce
serait le cas si le site intérimaire contenait un contrôleur de domaine qui hébergeait la
partition d’annuaire à répliquer ; un pont ne serait alors pas requis.
Le coût de chaque lien de sites est additionné jusqu’à former une somme totale pour le
chemin résultant. Le pont serait utilisé si le site intérimaire ne contenait pas un
contrôleur hébergeant la partition d’annuaire et s’il n’existait aucun lien de coût plus
faible. Si le site intérimaire contenait un contrôleur qui héberge la partition d’annuaire,
deux sites déconnectés configureraient des connexions de réplication pour le contrôleur
de domaine intermédiaire et n’utiliseraient pas le pont.
Transitivité des liens de sites
16. La conception de la
topologie de sites
Par défaut, tous les liens de sites sont transitifs. Lorsqu’ils sont reliés par un pont et que
les planifications se chevauchent, le KCC crée des connexions de réplication qui
déterminent les partenaires de réplication intersite des contrôleurs de domaine. Dans ce
contexte, les sites sont connectés, non pas directement par des liens, mais de manière
transitive via un ensemble de sites communs. Cela signifie que vous pouvez connecter
n’importe quel site à n’importe quel autre via une combinaison de liens.
En général, pour un réseau complètement routé, vous n’avez pas besoin de créer de
ponts, à moins de vouloir contrôler le flot des changements de réplication. Tous les liens
de sites pour un transport spécifique appartiennent implicitement à un unique pont. La
mise en pont par défaut des liens de sites survient automatiquement et aucun autre objet
Active Directory ne représente ce pont. Le paramètre Relier tous les liens du site
578
Les mécanismes de conception : définitions
disponible dans les propriétés des conteneurs de transport intersite IP et SMTP
implémente les ponts de liaison de sites.
Serveur de catalogue global
Un serveur de catalogue global est un contrôleur de domaine qui stocke des
informations concernant tous les objets de la forêt, mais pas les attributs, afin que les
applications puissent effectuer des recherches dans l’annuaire Active Directory sans
avoir à se référer à des contrôleurs de domaine spécifiques qui stockent les données
requises. Comme tous les contrôleurs de domaine, le serveur de catalogue global stocke
des réplicas complets et enregistrables du schéma et de la configuration des partitions
d’annuaire ainsi qu’un réplica complet et enregistrable de la partition d’annuaire du
domaine qui l’héberge.
Il est possible de configurer le contrôleur qui sera serveur de catalogue global à l’aide du
composant logiciel enfichable Sites et services et des propriétés de l’objet NTDS
Settings de l’objet contrôleur de domaine.
Figure 16.12 :
Configuration du serveur
de catalogue global à
l’aide du composant
logiciel enfichable Sites
et services Active
Directory
16. La conception de la
topologie de sites
Mise en cache de l’appartenance aux groupes universels
Un contrôleur de domaine peut mettre en cache les informations d’appartenance aux
groupes universels. Sur les contrôleurs de domaine exécutant Windows Server 2003,
vous pouvez activer cette fonctionnalité à l’aide du composant logiciel enfichable Sites
et services Active Directory, via les propriétés de l’objet NTDS Settings du site.
579
Chapitre 16
La conception de la topologie de sites
Figure 16.13 :
Configuration de la mise
en cache de
l’appartenance aux
groupes universels à
l’aide du composant
logiciel enfichable Sites
et services Active
Directory
La mise en cache de l’appartenance aux groupes universels évite qu’un serveur de
catalogue global soit requis dans chaque site d’un domaine. L’utilisation de la bande
passante réseau est ainsi minimisée car il n’est pas nécessaire qu’un contrôleur de
domaine réplique tous les objets situés dans la forêt. Les temps d’authentification sont
également réduits, car les contrôleurs de domaine qui authentifient n’ont pas toujours
besoin d’accéder à un catalogue global pour obtenir des informations d’appartenance
aux groupes universels.
16.2. Collecter les informations sur le réseau
16. La conception de la
topologie de sites
Cette étape, très importante, permet de se faire une meilleure idée de ce qui va être mis
en place par la suite et de repérer des points de contention ou difficultés dues au réseau
physique. Pour synthétiser ces informations, vous devez…
580
j
Créer une carte des emplacements : il s’agit de lister les sites géographiques et les
groupes d’ordinateurs sur un réseau local dans le but de schématiser son
infrastructure.
j
Lister les liens de communication et la bande passante : cela vous permettra
d’attirer l’attention sur les sites reliés par des lignes bas débit, par exemple.
j
Lister les sous-réseaux IP à chaque emplacement : il s’agit de relever les
sous-réseaux IP et les masques associés afin de déterminer la configuration des sites
dans Active Directory.
Prévoir l’emplacement des contrôleurs de domaine
Tableau 16.1 : Liste des sous-réseaux affectés aux sites géographiques de Nice, Paris,
Toulouse, Londres et Nice R&D pour Puzzmania
Site
géographique
Numéro de
sous-réseau
Adresse du sousréseau
Adresses IP des
machines
Adresse de broadcast
Nice
1
172.100.0.0
172.100.0.1 à
172.100.15.254
172.100.15.255
Toulouse
2
172.100.16.0
172.100.16.1 à
172.100.31.254
172.100.31.255
Paris
3
172.100.32.0
172.100.32.1 à
172.100.47.254
172.100.47.255
Londres
4
172.100.48.0
172.100.48.1 à
172.100.63.254
172.100.63.255
Nice R&D
5
172.100.64.0
172.100.64.1 à
172.100.79.254
172.100.79.255
Active Directory associe chaque machine à un site spécifique en comparant l’adresse IP
de la machine avec les sous-réseaux associés à chaque site. Lorsque vous ajoutez des
contrôleurs à un domaine, Active Directory examine également leur adresse IP et les
place dans le site approprié. Ce processus est automatique.
j
Lister les domaines et le nombre d’utilisateurs pour chaque emplacement : cette
information est un des facteurs qui détermine le placement des contrôleurs de
domaine et des serveurs de catalogue global.
L’association des informations sur les sous-réseaux IP, la bande passante et les
emplacements va déterminer la configuration de réplication.
16.3. Prévoir l’emplacement des contrôleurs de
domaine
Grâce aux informations recueillies par la collecte des informations sur le réseau, vous
pourrez déterminer à quel endroit il sera judicieux d’installer un contrôleur de domaine.
16. La conception de la
topologie de sites
Pour planifier correctement les emplacements, vous devez vous focaliser sur les quatre
grands rôles dévolus aux contrôleurs de domaine :
j
les contrôleurs de domaine racine de la forêt ;
j
les contrôleurs de domaine régionaux (les contrôleurs de domaine des domaines
enfants) ;
j
les contrôleurs de domaine qui sont aussi serveurs de catalogue global ;
j
les contrôleurs de domaine ayant des rôles maîtres d’opération particuliers.
D’une manière générale, ne choisissez pas un emplacement sur lequel vous ne pouvez
pas garantir sa sécurité physique.
581
Chapitre 16
La conception de la topologie de sites
Prévoir l’emplacement des contrôleurs de domaine racine de
la forêt
Les contrôleurs de domaine racine de la forêt sont cruciaux dans l’infrastructure. Sans eux,
il est difficile d’aller plus loin. Ils doivent donc être situés plutôt à des emplacements qui
hébergent des centres de données ou des emplacements principaux de la société, là où se
trouvent les personnes les plus compétentes. Ces personnes doivent avoir mis en place et
décrit des procédures de sauvegarde et de restauration d’Active Directory éprouvées.
Pour plus d’informations sur les techniques de sauvegarde et de restauration d’Active
Directory, consultez le chapitre La maintenance d’Active Directory.
Les contrôleurs de domaine racine de la forêt doivent être placés sur un site
géographique qui possède des liens distants suffisamment rapides pour répliquer
correctement les données d’annuaire vers les autres sites. Les lignes d’accès distants vers
les contrôleurs de domaine racine de la forêt doivent être les plus stables possibles.
Les administrateurs de l’infrastructure de Puzzmania décident donc, d’après ces
caractéristiques, de placer les contrôleurs de domaine racine de la forêt puzzmania.com
sur le site géographique de Nice. C’est à cet endroit que se trouvent les personnes les plus
compétentes et aussi les locaux les plus sécurisés, notamment en raison de l’activité de
recherche et de développement. Le site de Nice est en outre un point névralgique du
réseau. Les contrôleurs de domaine en question s’appellent SNCERCDC01 et SNCERCDC02.
Prévoir l’emplacement des contrôleurs de domaine régionaux
Les contrôleurs de domaine régionaux s’occupent des domaines fils du domaine racine
de la forêt.
16. La conception de la
topologie de sites
Figure 16.14 :
Schéma de
représentation de la forêt
puzzmania.com
582
Prévoir l’emplacement des contrôleurs de domaine
Ici, corp.puzzmania.com et rd.puzzmania.com sont considérés comme des domaines
régionaux contenant des contrôleurs de domaine régionaux. Il faut prévoir de les positionner,
pour chaque domaine représenté, aux emplacements principaux. Limitez leur nombre autant
que possible pour réduire les coûts. Le fait d’éliminer des contrôleurs de domaine des
emplacements dits secondaires (les sites sur lesquels ne se trouvent qu’une poignée de
personnes) réduit les coûts de maintenance des contrôleurs de domaine à distance.
Combien existe-t-il de contrôleurs de domaine de secours ?
Outre le placement de ces contrôleurs de domaine, posez-vous la question du nombre de
contrôleurs de domaine de secours dont vous avez besoin pour un domaine donné.
Êtes-vous prêt à n’avoir qu’un seul contrôleur de domaine pour votre domaine au risque
que le domaine soit indisponible en cas de problème ? Préférez-vous placer un, voire deux
contrôleurs de domaine de secours, quitte à ce qu’ils soient sur des sites distants, pour
modérer l’impact d’un arrêt d’un contrôleur de domaine, même si les authentifications
sont plus lentes, et éviter une éventuelle indisponibilité totale du domaine ?
À vous de faire la part des choses en vous aidant des informations collectées sur le
réseau et en tenant compte également du nombre d’utilisateurs sur votre domaine, du
nombre et des horaires de leurs authentifications, ainsi que des services rendus par le
domaine, comme le déploiement d’applications. Quel sera l’impact sur les postes
clients en cas d’indisponibilité du domaine ?
Vous pouvez suivre le raisonnement logique suivant afin de vous aider dans votre démarche.
16. La conception de la
topologie de sites
Figure 16.15 : Prévoir l’emplacement des contrôleurs de domaine régionaux
583
Chapitre 16
La conception de la topologie de sites
En recoupant les informations, les administrateurs de l’infrastructure des domaines
corp.puzzmania.com et rd.puzzmania.com décident de placer les contrôleurs de
domaine de la façon suivante…
j
Pour corp.puzzmania.com : trois contrôleurs seront installés et configurés, un
dans chaque site géographique principal. SNCECPDC01 se trouvera sur le site de
Nice, STLSCPDC01 sur le site de Toulouse et SPARCPDC01 sur le site de Paris. Aucun
contrôleur de domaine ne sera sur le site de Londres. Ce choix allie le compromis
car on réduit les coûts en prenant le risque de ne mettre qu’un contrôleur par site
géographique et de subir des ralentissements, et la faisabilité car on tient compte du
nombre d’utilisateurs et de ressources.
j
Pour rd.puzzmania.com : deux contrôleurs seront installés et configurés sur le site
de Nice. SNCERDDC01 et SNCERDDC02 seront sécurisés (il y en aura deux pour éviter
les arrêts de service et ils seront installés dans une salle informatique sécurisée, et
donc située à Nice). En outre, les utilisateurs qui s’y connecteront sont situés à Nice.
Prévoir l’emplacement des serveurs de catalogue global
Les serveurs de catalogue global facilitent les requêtes d’authentification des utilisateurs
et les recherches portant sur la forêt entière.
Certaines applications, comme Exchange et les applications utilisant DCOM
(Distributed COM), nécessitent un accès rapide aux serveurs de catalogue global afin de
répondre aux transactions utilisateurs sans effet de latence. Cela signifie qu’il faut au
moins un serveur de catalogue global sur le même site que le serveur applicatif.
16. La conception de la
topologie de sites
Pour des emplacements qui incluent moins de cent utilisateurs et peu d’utilisateurs
itinérants ou d’applications qui requièrent un serveur de catalogue global, vous pouvez
activer la mise en cache de l’appartenance aux groupes universels. Assurez-vous que les
serveurs de catalogue global ne se trouvent pas à plus d’un saut de réplication du
contrôleur de domaine sur lequel la mise en cache de l’appartenance aux groupes
universels est activée, de manière que les informations de groupe universel dans le cache
puissent être actualisées.
Afin de déterminer à quel emplacement vous devez mettre vos serveurs de catalogue
global ou si vous devez activer la mise en cache de l’appartenance aux groupes
universels, vous pouvez suivre le raisonnement logique suivant (voir fig. 16.16).
Revenons à Puzzmania. C’est le nombre d’applications nécessitant un accès rapide aux
serveurs de catalogue global qui détermine combien et quels contrôleurs de domaine
doivent être configurés comme serveurs de catalogue global :
584
j
SNCERCDC01 (racine puzzmania.com) ;
j
SNCECPDC01 (corp.puzzmania.com) ;
j
SPARCPDC01 (corp.puzzmania.com) ;
j
SNCERDDC01 (rd.puzzmania.com).
Prévoir l’emplacement des contrôleurs de domaine
16. La conception de la
topologie de sites
Figure 16.16 : Prévoir l’emplacement des serveurs de catalogue global
Déterminer l’emplacement des rôles maîtres d’opération
Trois rôles maîtres d’opération existent dans chaque domaine :
j
L’émulateur de contrôleur de domaine principal (CPD) traite toutes les requêtes de
réplication provenant de contrôleurs de domaine secondaires Windows NT 4.0
585
Chapitre 16
La conception de la topologie de sites
Server et toutes les mises à jour de mots de passe pour les clients qui n’exécutent pas
le logiciel client Active Directory (Windows 95 par exemple).
j
Le maître d’ID relatifs alloue des ID relatifs à tous les contrôleurs de domaine pour
garantir que tous les principaux de sécurité (les identifiants de sécurité) possèdent
un identifiant unique.
j
Le maître d’infrastructure d’un domaine conserve une liste des principaux de
sécurité d’autres domaines qui sont membres de groupes dans son propre domaine.
Deux rôles maîtres d’opération existent dans chaque forêt :
j
Le maître de schéma régit les modifications du schéma.
j
Le maître d’attribution de noms de domaine ajoute et supprime des domaines à la
forêt.
Maître de schéma
Avant d’ouvrir le composant logiciel enfichable Schéma Active Directory, qui permet
d’attribuer le rôle maître de schéma, n’oubliez pas d’enregistrer la DLL schmmgmt
.dll de la façon suivante : cliquez sur Démarrer/Exécuter, saisissez regsvr32
schmmgmt.dll, puis validez. Ensuite, vous pourrez ouvrir le composant logiciel
enfichable Schéma Active Directory à condition d’avoir les droits nécessaires.
Les détenteurs des rôles maîtres d’opération sont désignés automatiquement lorsque le
premier contrôleur de domaine dans un domaine est créé. Les deux rôles de niveau forêt
sont attribués au premier contrôleur de domaine créé dans la forêt et les trois rôles de
niveau domaine sont attribués au premier contrôleur de domaine créé dans le domaine.
Désignez ces contrôleurs de domaine, puis ceux qui seront maîtres d’opération
remplaçants. Assurez-vous que le maître d’opérations remplaçant est un partenaire de
réplication direct du maître d’opération titulaire.
16. La conception de la
topologie de sites
Dans un modèle de forêt comprenant des domaines père et fils, veillez à ce que le
contrôleur maître d’infrastructure ne soit pas également serveur de catalogue global.
Une pratique courante est de placer, dans un domaine donné, tous les rôles maîtres
d’opération sur le premier contrôleur installé et de désigner le contrôleur de domaine de
secours comme serveur de catalogue global. C’est un choix possible. Dans un modèle à
domaine unique, laissez le rôle maître d’infrastructure au premier contrôleur de
domaine et configurez tous les autres, même le premier, comme serveurs de catalogue
global. En effet, le rôle de maître d’infrastructure est sans importance dans un modèle à
domaine unique parce que les principaux de sécurité des autres domaines n’existent pas.
La répartition des maîtres d’opération est intéressante chez Puzzmania. Elle tient
compte des serveurs de catalogue global, de l’équilibre de charge et des bonnes
coutumes de placement des maîtres d’opération. Voici un tableau synthétisant les rôles
tenus par les contrôleurs de domaine de la forêt puzzmania.com.
586
Concevoir des sites
Tableau 16.2 : Emplacement des maîtres d’opération dans la forêt puzzmania.com
Localisation
Domaine
Rôles maîtres
d’opération de la
forêt
Contrôleur de
domaine
Maître de
schéma
Rôles maîtres d’opération du
domaine
Maître
Émulateur
d’attribution CPD
de noms
de
domaine
Maître
d’ID
relatifs
(RID)
Maître
d’infrastructure
Paramètre
de site
Serveur
de
catalogue
global
puzzmania.com SNCERCDC01
Non
Non
Oui
Oui
Non
Oui
SNCERCDC02
Oui
Oui
Non
Non
Oui
Non
corp.puzzmania SNCECPDC01
.com
STLSCPDC01
Non
Non
Oui
Non
Non
Oui
Non
Non
Non
Non
Oui
Non
SPARCPDC01
Non
Non
Non
Oui
Non
Oui
SNCERDDC01
Non
Non
Oui
Oui
Non
Oui
SNCERDDC02
Non
Non
Non
Non
Oui
Non
rd.puzzmania
.com
16.4. Concevoir des sites
Une fois les contrôleurs de domaine définis et placés sur le réseau, vous devez maintenant
en créer les sites dans Active Directory. Pour cela, respectez les conseils suivants :
j
Créez des sites pour tous les emplacements dans lesquels vous prévoyez de placer
des contrôleurs de domaine (utilisez les informations récoltées lors de la phase de
prévision des emplacements des contrôleurs de domaine).
j
Créez des sites pour les emplacements qui incluent des serveurs exécutant des
applications qui requièrent qu’un site soit créé (par exemple DFS).
j
Si un site n’est pas requis, ajoutez le sous-réseau associé à un site pour lequel
l’emplacement possède la vitesse et la bande passante disponible intersite
maximales.
16. La conception de la
topologie de sites
C’est à l’aide du composant logiciel enfichable Sites et services Active Directory que
vous créerez les sites.
Pour plus d’informations sur les opérations pratiques à réaliser à l’aide du composant
logiciel enfichable Sites et services Active Directory, consultez le chapitre L’administration
et la gestion des sites dans le volume II de la bible Windows Server 2003.
La configuration appliquée à Puzzmania est très simple : les sites Nice, Toulouse, Paris,
Londres, Nice R&D sont créés. Même s’il n’y a aucun contrôleur de domaine à Londres,
cela ne coûte pas grand-chose d’anticiper l’avenir.
587
Chapitre 16
La conception de la topologie de sites
16.5. Concevoir les liens de sites
Maintenant que les contrôleurs de domaine sont positionnés et que les sites sont créés
dans Active Directory, vous allez devoir relier ces derniers avec des liens de sites de
manière que lesdits contrôleurs dans chaque site puissent répliquer les modifications
d’Active Directory.
En vous aidant des informations collectées sur le réseau, notamment de la liste des liens
de communication et de la bande passante, "superposez" les sites géographiques, les
liens de communication, les sites Active Directory et déduisez-en les sites à relier et les
liens à mettre en place.
Une fois les liens de sites positionnés, vous devez les pondérer. En effet, d’un point de
vue Active Directory, lorsque vous affectez un lien entre deux sites, il est identique à
première vue à n’importe quel autre lien. Or, lorsque vous superposez les liens de sites
et les liens de communication entre les sites géographiques, vous vous apercevez
immédiatement de leurs différences (certains sont à 56 ko et d’autres à 4 Mo par
exemple). Il faut en fait tenir compte de la notion de coût dans Active Directory afin de
pondérer les liens de sites.
Comment déterminer le coût d’un lien de sites ? Il faut savoir que le coût permet de
valoriser les connexions peu coûteuses (rapides) par rapport aux connexions plus
coûteuses (lentes) dans le but d’encombrer le moins possible les liens réseau lents
pendant les requêtes clients ou la réplication d’Active Directory. Par exemple : un
contrôleur de domaine d’un site qui est relié à plusieurs autres sites par des liens à débits
différents répliquera en priorité les informations vers les contrôleurs de domaine situés
sur les sites où le lien de sites est le moins coûteux.
Pour savoir comment affecter un coût à un lien de sites par rapport aux caractéristiques
du lien de communication, aidez-vous du tableau des valeurs de coût suivant :
Tableau 16.3 : Tableau des valeurs de coût en fonction de la bande passante disponible
16. La conception de la
topologie de sites
Bande passante disponible (Ko/s)
588
Coût
9,6
1042
19,2
798
38,4
644
56
586
64
567
128
486
256
425
512
378
1024
340
2048
309
4096
283
Concevoir les liens de sites
Figure 16.17 :
Affectation du coût d’un
lien de sites à l’aide du
composant logiciel
enfichable Sites et
services Active Directory
Des liens de sites sont donc créés entre les différents sites de l’infrastructure Puzzmania.
En correspondance avec le schéma réseau, un coût de 283 est paramétré sur les liens
Nice-Paris et Nice-Toulouse. Un coût de 309 est paramétré sur le lien Toulouse-Paris.
L’étape logique qui vient après la détermination du coût du lien de sites est la
planification des horaires de réplication entre les deux sites reliés. Vous avez la
possibilité de déterminer les heures auxquelles la réplication va se dérouler en fonction
de la qualité du lien de sites (et par extension, de la qualité du lien de communication).
Pour régler ces horaires, utilisez le composant logiciel enfichable Sites et services Active
Directory.
16. La conception de la
topologie de sites
Figure 16.18 :
Réglage des horaires de
réplication à l’aide du
composant logiciel
enfichable Sites et
services Active Directory
589
Chapitre 16
La conception de la topologie de sites
En fonction des heures travaillées, il est plus judicieux, dans le contexte de Puzzmania,
de suspendre la réplication de 7 heures à 12 heures et de 14 heures à 20 heures. Cela
permettra de réserver le WAN à d’autres usages.
16.6. Concevoir les ponts de liaison de sites
Pour les architectures plus complexes, un pont de liaison de sites connecte deux liens de
sites ou plus. Il active la transitivité entre les liens. Chaque lien dans un pont doit avoir
un site commun avec un autre lien participant au pont, sans quoi ledit pont ne peut
calculer le coût entre les sites dans le lien et les sites dans les autres liens du pont.
Par défaut, tous les liens de sites sont transitifs. Le paramètre Relier tous les liens du site
est en effet activé par défaut. Créer un pont correspond à désactiver cette option pour
certains liens de sites et à activer la transitivité pour les liens de sites que l’on
sélectionne.
Dans quels cas devez-vous créer un pont ?
Pour pallier le fait que le réseau IP n’est pas complètement routé.
j
Pour contrôler le flux de réplication d’Active Directory, soit parce que la réplication
s’effectue au travers d’un pare-feu, soit parce que vous voulez contrôler le
basculement de la réplication lors d’une panne d’un contrôleur de domaine.
16. La conception de la
topologie de sites
j
Figure 16.19 : Schéma de pont de liaison de sites
590
En résumé
Dans cet exemple, ce pont empêchera la réplication des contrôleurs de domaine des
sites A, C et D vers le reste du réseau en cas de panne du contrôleur du site B.
L’infrastructure de Puzzmania n’est pas assez complexe pour nécessiter la création de
ponts de liaison de sites.
16.7. En résumé
Ce chapitre aborde les aspects théoriques de la conception de la topologie de sites. Il
présente des définitions, une méthodologie mais également des règles incontournables
de bon fonctionnement. Si vous respectez cette méthodologie et ces règles, les
utilisateurs seront satisfaits des performances de votre infrastructure, notamment en ce
qui concerne la réplication des informations d’annuaire entre les sites distants.
Selon votre infrastructure, vous trouverez forcément plusieurs solutions, plusieurs
configurations qui répondront correctement à vos besoins en respectant la
méthodologie et les règles. D’autres facteurs rentreront alors en ligne de compte,
comme la consolidation des serveurs ou la réduction des coûts.
En ce sens, il est intéressant de mettre en parallèle les règles de conception et l’étude de
cas car, durant la lecture de ce chapitre, vous vous êtes sûrement dit que vous auriez
procédé autrement, ou bien que cette solution ne serait pas applicable au projet sur
lequel vous travaillez. Mais les administrateurs de Puzzmania ont tranché, ils ont fait des
compromis et vous serez amené à en faire de votre côté.
16. La conception de la
topologie de sites
591
Chapitre 17
La conception et
l’implémentation de la
structure des unités
d’organisation
17.1
17.2
17.3
17.4
Planifier la structure administrative . . . . . . . . . . . . . . . . . . . . . . . . .
Concevoir une structure d’unités d’organisation – les modèles de structure
d’unités d’organisation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Implémenter la structure d’unités d’organisation . . . . . . . . . . . . . . . . .
En résumé . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
. . . . 595
. . . . 598
. . . . 601
. . . . 611
Planifier la structure administrative
es unités d’organisation sont les conteneurs (des sortes d’espaces de classement) du
service d’annuaire Active Directory que vous utilisez pour placer des utilisateurs,
des groupes, des ordinateurs et d’autres unités d’organisation. Du fait de la grande
flexibilité dans la création des unités d’organisation et de leur imbrication, ces
conteneurs peuvent refléter une structure organisée et, par extension, les structures
hiérarchique et logique de votre entreprise.
Vous pouvez gérer la configuration et l’utilisation de comptes et de ressources en
fonction de votre modèle d’organisation. Vous êtes libre, par exemple, d’utiliser les
unités d’organisation pour appliquer automatiquement des stratégies de groupe
définissant des paramètres pour les comptes d’ordinateur et d’utilisateur dans Active
Directory en accord avec la politique d’entreprise (sécurité, applications, droits).
17. La conception et
l’implémentation de la
structure des UO
L
Le cycle de vie des unités d’organisation inclut quatre phases :
j
La planification : durant cette phase, vous déterminez quelles unités d’organisation
vous allez créer et comment vous en déléguerez le contrôle administratif.
j
Le déploiement : vous créez la structure d’unités d’organisation en fonction de leur plan.
j
La maintenance : après avoir créé la structure, vous pouvez renommer, déplacer ou
modifier les unités d’organisation créées en fonction des besoins de l’organisation.
j
La suppression : dans Active Directory, tous les objets, y compris les unités
d’organisation, occupent de l’espace sur le contrôleur de domaine qui les héberge.
Lorsque des unités d’organisation ne sont plus requises, vous devez les supprimer.
17.1. Planifier la structure administrative
Cette section explique comment concevoir la structure administrative de
l’infrastructure. Elle montre comment collecter les données nécessaires et fournit des
instructions à suivre. En règle générale, la conception de la structure administrative de
l’infrastructure est basée sur la structure d’administration du service informatique de
l’entreprise. La technologie (les unités d’organisation) se met au service des besoins (le
service informatique de l’entreprise qui comprend les hommes et les processus).
L’un des points-clés concerne la conception d’une structure d’unités d’organisation. Par
exemple, une structure d’unités d’organisation bien conçue permet aux administrateurs
de déléguer leur autorité, ce qui allège leur charge de travail par rapport à une
administration centralisée. Mais cette délégation n’est possible que si le découpage de
l’administration des objets est en adéquation avec les rôles et les responsabilités de la
personne à qui l’on délègue cette administration.
La collecte des données
Vous devez examiner les éléments essentiels de votre structure d’annuaire et de votre
service informatique, puis collecter les informations utiles pour concevoir une nouvelle
structure administrative. Voici les bonnes questions à vous poser pour y arriver.
595
17. La conception et
l’implémentation de la
structure des UO
Chapitre 17
La conception et l’implémentation de la structure des UO
Examen de la structure d’annuaire existante
Comprendre comment et pourquoi la structure d’annuaire existante a été créée vous
aidera à concevoir une structure administrative en adéquation avec vos besoins. Utilisez
les données fournies en réponse aux questions suivantes pour votre réflexion.
j
Quelles sont les raisons qui justifient la structure d’annuaire actuelle ? Par exemple,
quels sont les liens avec le découpage en sites physiques ? Avec l’enjeu
d’entreprise ?
j
La structure d’annuaire est-elle évolutive ?
j
Quelles personnes administrent actuellement la forêt et les domaines ? Leurs rôles
doivent-ils être maintenus ?
j
Qui sont les administrateurs de service actuels ? Le nombre de personnes
remplissant ce rôle est-il suffisant ? Les responsabilités de ces personnes
doivent-elles rester les mêmes ?
Examen des ressources de l’organisation
L’identification et la catégorisation des ressources sont un aspect essentiel dans la
conception d’une structure administrative. La collecte d’informations sur les ressources
vous permet de concevoir une structure englobant tous les types de ressources. Par
exemple, vous pouvez créer une unité d’organisation qui contient tous les ordinateurs
portables des commerciaux.
Prenez en compte les informations suivantes sur les ressources de votre organisation :
j
Le matériel : identifiez les serveurs, les ordinateurs, les portables, les
imprimantes, etc. Veillez à inclure la fonction de chaque équipement, son
emplacement physique et la quantité de chaque équipement. Consignez certains
détails importants sur les équipements. Pour des imprimantes par exemple, indiquez
si elles sont locales ou reliées au réseau.
j
Les rôles professionnels : consignez tous les rôles professionnels (par exemple,
commercial) et décrivez les tâches associées à chacun d’entre eux. Déterminez quels
rôles présentent des exigences particulières en matière d’administration.
j
Les groupes : identifiez tous les groupes et décrivez-les.
Examen des ressources administratives
Pour créer une structure administrative efficace, vous devez identifier et catégoriser les
ressources de votre entreprise selon leur fonction administrative. À partir des
informations collectées, déterminez si la structure d’unités organisation est basée sur le
rôle professionnel, sur la fonction administrative ou sur les deux. Collectez les
informations relatives aux thèmes suivants :
596
Planifier la structure administrative
Parmi les rôles suivants, déterminez ceux qui existent actuellement dans votre
organisation :
j
Les administrateurs de rôles : administrateurs du
administrateurs des services, administrateurs des données.
support
technique,
j
Les administrateurs de groupes fonctionnels : administrateurs de serveurs,
d’imprimantes, de bureaux.
j
Les administrateurs d’emplacements : administrateurs de sites distants.
17. La conception et
l’implémentation de la
structure des UO
Les rôles administratifs
Les contraintes pour l’administration
Posez-vous les questions suivantes :
j
Quelles personnes ont besoin de créer, de modifier, de gérer et de supprimer des
comptes d’utilisateurs ?
j
Quelles personnes ont besoin de gérer les ressources de fichiers et de dossiers, y
compris les autorisations associées ?
j
Quelles personnes ont besoin de gérer la stratégie de groupe ?
Les modèles administratifs informatiques
Un modèle administratif informatique définit les personnes chargées de gérer des
ressources informatiques spécifiques dans le réseau d’une entreprise, ainsi que le niveau
de contrôle exercé par chaque administrateur.
Si vous arrivez à établir un parallèle entre un modèle administratif prédéfini et votre
structure administrative lorsque vous concevez une structure d’unités d’organisation,
vous êtes sur la bonne voie.
Nous allons décrire dans ce qui suit les différents types de modèles administratifs.
Le modèle Informatique centralisée
Le service informatique de l’entreprise ne fait appel qu’à une seule personne. Elle est
responsable de tous les services réseau et informatiques, mais quelques tâches
quotidiennes peuvent être déléguées à certains groupes.
Le modèle Informatique centralisée avec administration
décentralisée
Le service informatique utilise une gestion distribuée où le contrôle est réparti entre
plusieurs emplacements. Une équipe informatique principale centralisée est
responsable de l’administration de l’infrastructure, mais elle délègue des tâches aux
administrateurs informatiques situés sur les sites distants, lesquels assurent le support
technique à leurs utilisateurs.
597
17. La conception et
l’implémentation de la
structure des UO
Chapitre 17
La conception et l’implémentation de la structure des UO
Le modèle Informatique décentralisée
Ce modèle permet à plusieurs services de l’entreprise de choisir le modèle informatique
qui répond le mieux aux besoins de chacun d’entre eux. Il peut se composer de plusieurs
groupes d’administrateurs informatiques avec des objectifs et des besoins divers. Pour
chaque mise à jour ou installation majeure affectant toute l’entreprise, par exemple la
mise en place de la messagerie à l’échelle de l’entreprise, les groupes d’administrateurs
informatiques doivent travailler ensemble pour implémenter les modifications.
Le modèle Informatique externalisée
Les entreprises externalisent tout ou partie de leur service informatique. Ce modèle
accroît les risques d’intrusion du fait de droits d’accès incomplètement maîtrisés. Il faut
redoubler d’efforts sur la sécurité lors de la mise en place de ce modèle.
17.2. Concevoir une structure d’unités d’organisation –
les modèles de structure d’unités d’organisation
Après avoir déterminé le meilleur modèle administratif pour votre entreprise, vous
devez structurer ce modèle pour qu’il reflète la manière dont l’entreprise gère ses
ressources informatiques. Ces ressources comprennent des utilisateurs, des ordinateurs,
des groupes, des imprimantes et des fichiers partagés. Cette structure montre comment
sont organisés les personnes ou les groupes chargés de gérer des ressources spécifiques.
j
L’examen de la structure du modèle administratif vous permettra de déterminer
comment faire en sorte que la conception des unités d’organisation reflète la
structure du service informatique et la structure de gestion des ressources.
j
Lorsque vous concevez une structure d’unités d’organisation, veillez à ce qu’elle puisse
prendre en charge les évolutions et la croissance de l’organisation. Les modifications de
l’organisation ne doivent pas affecter la structure d’unités d’organisation.
Voici des modèles de structure d’unités d’organisation auxquels peut correspondre
votre modèle administratif. Ils vous aideront à concevoir la meilleure structure d’unités
d’organisation pour votre entreprise.
Détaillons les cinq modèles de structure d’unités d’organisation les plus fréquemment
rencontrés.
Le modèle basé sur l’emplacement
Description
Vous pouvez organiser vos unités d’organisation en fonction de leur emplacement aux
niveaux supérieurs de l’arborescence si le service informatique de l’entreprise est
centralisé et si l’administration du réseau est distribuée géographiquement.
598
Concevoir une structure d’unités d’organisation – les modèles de structure d’unités d’organisation
j
Résiste aux réorganisations de l’entreprise.
j
Accepte les fusions et les expansions.
Inconvénient
j
Risque éventuel pour la sécurité : si un emplacement inclut plusieurs divisions ou
services, une personne ou un groupe possédant l’autorité administrative sur un
domaine ou une unité d’organisation peut également posséder cette autorité sur les
domaines ou les unités d’organisation enfants.
j
Nécessite des administrateurs réseau à chaque emplacement.
17. La conception et
l’implémentation de la
structure des UO
Avantage
Le modèle basé sur l’organisation
Description
Vous pouvez organiser les unités d’organisation des niveaux supérieurs de
l’arborescence par département ou par service de l’entreprise (par exemple, le service
des ressources humaines) pour que chaque service ait son propre groupe informatique.
Avantage
j
Conserve l’autonomie des services de l’entreprise.
j
Accepte les fusions, les acquisitions et les expansions de l’entreprise.
Inconvénient
j
Impact possible sur la réplication d’Active Directory.
j
Ne résiste pas aux réorganisations de l’entreprise.
Le modèle basé sur la fonction
Description
Vous pouvez organiser les unités d’organisation des niveaux supérieurs de
l’arborescence par fonction, si le service informatique est décentralisé mais s’il base ses
modèles administratifs sur les fonctions professionnelles au sein de l’entreprise. Ce
modèle est idéal pour les petites entreprises où les responsabilités professionnelles
couvrent plusieurs domaines de compétence de l’entreprise.
599
17. La conception et
l’implémentation de la
structure des UO
Chapitre 17
La conception et l’implémentation de la structure des UO
Du fait de la spécificité du domaine rd.puzzmania.com, ce modèle basé sur la fonction,
dans ce cas la recherche et le développement, est le mieux adapté aux contraintes.
Avantage
j
Insensible aux réorganisations de l’entreprise.
Inconvénient
j
Impact possible sur la réplication d’Active Directory.
j
Il peut être nécessaire de créer des couches supplémentaires dans la hiérarchie des
unités d’organisation pour prendre en charge l’administration des utilisateurs, des
imprimantes, des serveurs et des partages réseau.
Le modèle hybride basé sur l’emplacement, puis sur
l’organisation
Description
Vous pouvez organiser les unités d’organisation situées aux niveaux supérieurs de la
hiérarchie selon leur emplacement, puis organiser les unités d’organisation situées plus
bas dans la hiérarchie selon l’organisation.
En ce qui concerne Puzzmania, ce modèle est appliqué pour le domaine corp
.puzzmania.com, qui contient le plus grand nombre d’objets utilisateurs et ordinateurs.
En effet, comme le domaine est éclaté sur trois sites géographiques qui ont des rôles
particuliers, ce modèle hybride est le plus adapté.
Avantage
j
Permet d’envisager la croissance des services de l’entreprise.
j
Permet de définir des limites de sécurité distinctes en fonction des sites.
Inconvénient
600
j
Nécessite une nouvelle conception si le service informatique se retrouve
décentralisé.
j
Nécessite une coopération entre les administrateurs informatiques si ces derniers
sont situés au même emplacement, mais appartiennent à des départements
différents.
Implémenter la structure d’unités d’organisation
Description
Vous pouvez organiser les unités d’organisation situées aux niveaux supérieurs de la
hiérarchie selon l’organisation, puis organiser les unités d’organisation situées plus bas
dans la hiérarchie selon leur emplacement.
17. La conception et
l’implémentation de la
structure des UO
Le modèle hybride basé sur l’organisation, puis sur
l’emplacement
Avantage
j
Permet une sécurité robuste entre les services de l’entreprise, tout en autorisant la
délégation d’administration basée sur l’emplacement physique.
Inconvénient
j
Ne résiste pas aux réorganisations de l’entreprise.
17.3. Implémenter la structure d’unités d’organisation
Une fois la conception réalisée, vous êtes prêt à implémenter votre hiérarchie d’unités
d’organisation.
Les outils de création
Windows Server 2003 fournit plusieurs composants logiciels enfichables et outils en
ligne de commandes qui permettent, entre autres, de créer des unités d’organisation.
Vous pouvez également utiliser des outils en ligne de commandes afin d’exécuter des
scripts pour gérer des unités d’organisation.
Voici quelques outils (composants logiciels enfichables et outils en ligne de
commandes) qui vous permettront de créer et de gérer des unités d’organisation :
j
Utilisateurs et ordinateurs Active Directory : ce composant logiciel enfichable
permet de créer, de modifier et de supprimer des unités d’organisation. Utilisez-le
lorsque vous n’avez que quelques unités d’organisation à gérer, ou pour des
opérations de base.
j
Outils de service d’annuaire : cet ensemble d’outils en ligne de commandes, parmi
lesquels Dsadd, Dsmod et Dsrm, permet de gérer des objets et d’effectuer des
requêtes d’informations dans Active Directory.
j
Ldifde (Lightweight Directory Access Protocol Data Interchange Format Directory
Exchange) : cet outil en ligne de commandes permet de créer des unités
d’organisation et d’autres objets Active Directory. Ldifde utilise un fichier d’entrée
contenant des informations sur les objets à ajouter, à modifier ou à supprimer.
601
Chapitre 17
17. La conception et
l’implémentation de la
structure des UO
j
La conception et l’implémentation de la structure des UO
Environnement d’exécution de scripts Windows : vous pouvez créer des unités
d’organisation à l’aide d’applications Windows ou à l’aide de scripts Windows avec
les composants fournis par les interfaces ADSI (Active Directory Service Interfaces).
Le composant logiciel enfichable Utilisateurs et ordinateurs
Active Directory
Cet outil permet de gérer les unités d’organisation de façon la plus intuitive et natu

• Ensuite, sur le dépôt https://mega.co.nz/#F

AGORIS M943Xdn/bdn - Support

ASTUCES, CONSEILS ET PROCEDURES POUR

PDF (FR) - HP LaserJet Cashback Aktion

JMerise

Windows 7 Système - Cours Seven du lundi

Organigramme UT 45

Packet Tracer : explorer un réseau

Télécharger - Campus Bruxelles