Installer un contrôleur de domaine en lecture seul sous Windows 2016 dans un nouveau site Active Directory

L'installation d'un contrôleur de domaine en lecture seul RODC est recommandée dans les cas suivants:

• Un petit site avec un nombre d’utilisateur limité
• Un site non protégé contre le vol du serveur
•  Déléguer à administrateur le droit d'administration local sur  le serveur RODC sans donner des privilèges supplémentaires dans le domaine.

Pré-requis:

•  Un RODC peut être installé sur  Windows 2008/2008R2/2012/2012R2/2016 
• Le niveau fonctionnel du domaine est 2003
• Au moins un contrôleur de domaine R/W installé sur Windows 2008 ou plus.
• Les contrôleurs de domaine sous Windows 2003 ne sont pas capable de reconnaitre les RODC, pour cela il est recommandé si vous l’avez de désactiver l’option Automatic site coverage, ou bien installer le KB944043 

A partir de la version Windows 2012  adprep se lance automatiquement pendant l'installation du premier contrôleur du domaine RODC.

Installer un RODC dans un nouveau site active directory:

Dans cette partie, on va montrer comment installer un serveur RODC sur un nouveau site pour gérer les demandes d'authentification des clients.
Pour cela on a monté deux machines virtuelles : DC2016-2 va jouer le rôle du contrôleur de domaine R/W et RODC2016 sera notre prochain RODC

Depuis la console Site et services du DC2016-2 ,on a créé un nouveau subnet 192.168.1.1/32 et l'attaché au nouveau site nommé RODC-SITE :

le Subnet 192.168.1.1/32 contient une seule adresse IP, c'est l'adresse IP du RODC.

Maintenant, on va vérifier les paramètres IP du serveur RODC et la résolution DNS du nom du domaine lab.lan:

Après la vérification DNS, on lance l'installation du contrôleur de domaine RODC en mode graphique. 

On commence par l'installation des outils d'administration active directory, voici les étapes à suivre:

Depuis le gestionnaire de serveur on clique sur Add roles and features:

On clique sur Next:

On clique sur next:

On clique sur next :

On coche le rôle Active Directy Domain Services , une fenêtre va s'afficher avec la liste des fonctionnalités à ajouter , on clique sur Add Features:

On clique sur Next:

On clique sur Next:

On clique sur Next:

On clique sur Install:

On clique sur Promote this server to a domain controller pour commencer la promotion du contrôleur de domaine sur le serveur RODC:

On clique sur Next:

On coche l'option Read only domain controller (RODC) , on sélectionne le site RODC et on tape le mot de passe DSRM, puis on clique sur Next:

Dans cette fenêtre  ,on définit les comptes ordinateurs et utilisateurs autorisés de répliquer leurs mots de passe sur le serveur RODC:

On clique sur Next:

On clique sur Next:

On clique sur Next:

Après la vérification des pré-requis , on clique sur Install:

Une fois l’installation terminé, voici ce qu'on obtient  :

 Configurer la liste des objets active directory (utilisateurs et ordinateurs) autorisée de s'authentifier via RODC:

Pas tous les objets active directory autorisés pour s'authentifier à travers  RODC. il faut déclarer la liste des objets autorisée de réplication leurs mots de passe vers RODC dans l'onglet Password Replication Policy. Dans cette liste on peut définir que des utilisateurs , des ordinateurs et des groupes locaux:

J'ai créé deux utilisateurs Thameur BOURBITA (lab\tb) et lab\test, j'ai autorisé que l'utilisateur lab\tb pour répliquer son mot de passe sur RODC2016. Maintenant si on se connecte sur RODC2016 via le compte LAB\tb, comme indiqué dans la figure ci-dessus, l'utilisateur a bien contacté le serveur RODC2016 pour l'authentification:

Par contre si on se connecte via le compte lab\test sur le même serveur RODC2016, l'utilisateur va contacter le DC2016-2 pour effectuer l'authentification comme le montre la figure ci-dessous:

Pré-créer le compte RODC avant l'installation

Dans cet article je vous explique comment on peut créer et préparer un compte pour le contrôleur de domaine en lecture seul avant son installation.

• Créer un compte de contrôleur de domaine en lecture seule depuis la console Utilisateurs et ordinateurs Active Directory:

Pour créer et configurer un compte de domaine en lecture seule , on va utiliser la console Utilisateurs et Ordinateurs Active Directory et suivre les différentes étapes mentionnées ci-dessous:

Depuis la console Utilisateurs et Ordinateurs Active Directory, allez vers l'OU Domain Controller , à travers le boutton droit de la souris cliquer sur Créer au préable un compte de contrôleur de domaine en lecture seule:

Cliquer sur suivant:

Cliquer sur suivant:

Taper le nom du serveur RODC et cliquer sur suivant:

Définir le site sur lequel le contrôleur de domaine RODC sera attaché et cliquer sur suivant: 

Cocher les options supplémentaires et cliquer sur suivant: 

Définir un groupe ou un utilisateur pour gérer ce serveur, puis cliquer sur suivant:

Cliquer sur suivant:

Cliquer sur Terminer:

Une fois que toutes les étapes mentionnés ci-dessus bien exécutées, on va constater l’apparition d'un nouveau compte RODC désactivé dans l'unité d'organisation des contrôleur de domaine.  

• Installation de l'assistant active directory sur Windows 2016:

Après avoir créé le compte du contrôleur de domaine en lecture seul, maintenant on va lancer la promotion du contrôleur de domaine RODC depuis un serveur Windows 2016.
Ci-dessous les étapes d'installation depuis l'assistant configuration des services de domaine Active Directory après avoir terminé l'installation les outils d'administration active directory. 

Dans la fenêtre ci-dessous il faut mentionner le domaine et le compte d'installation:

Dans cette étape , un message d'avertissement indique qu'il existe un compte RODC déjà créé , on coche l'option utiliser le compte RODC existant et cliquer sur suivant:

On définit le contrôleur de domaine qui va assurer la première réplication, et cliquer sur suivant:

Ici on définit l'emplacement les ressource du contrôleur de domaine en lecture seul

Cliquer sur suivant:

Une fois toutes les étapes de validations sont validées , cliquer sur Installer:

Le niveau fonctionnel FFL/DFL

Le Niveau fonctionnel FFL:

Le niveau fonctionnel de la forêt sert à :

•  Définir le niveau fonctionnel minimal de tous les domaines appartenant à cette forêt
• Définir la version minimale du système d’exploitation de tous les contrôleurs de domaine de la forêt.
• Autoriser l’activation des fonctionnalités comme la Corbeille active directory pour Windows 2008 R2 ou plus et la Gestion des accès privilégiés pour Windows 2016.

     Modifier le niveau fonctionnel de la forêt :

Avant chaque modification, il est recommandé de vérifier que toutes les applications sont bien supportées par la valeur cible du FFL.

Il faut également vérifier que le niveau fonctionnel du domaine DFL de tous les domaines est supérieur ou égale à la valeur FFL cible.

Augmenter le niveau fonctionnel de la forêt :

L’augmentation du niveau fonctionnel de la forêt est possible via PowerShell et l’interface graphique.

Dans notre exemple, le nom de la forêt est LAB.lan :

Pour augmenter le FFL via PowerShell, il faut lancer l’une des  commandes suivantes en fonction de la valeur cible du FFL:

Set-ADForestMode –ForestMode Windows2008Forest –identity "LAB.lan"

Set-ADForestMode –ForestMode Windows2008R2Forest –identity "LAB.lan"

Set-ADForestMode –ForestMode Windows2012Forest –identity "LAB.lan"

Set-ADForestMode –ForestMode Windows2012R2Forest –identity "LAB.lan"

Set-ADForestMode –ForestMode Windows2016Forest –identity "LAB.lan" 

Pour augmenter FFL via l’interface graphique :

Ouvrir la console Domain et approbation active directory ,puis avec le bouton droit de la souris cliquer sur Domaines et approbation active directory ,ensuite, cliquer sur Augmenter le niveau fonctionnel de la forêt:

Sélectionner le FFL cible et cliquer sur Augmenter : 

Baisser le niveau fonctionnel de la forêt :

Pour baisser le niveau fonctionnel, aucune possibilité via l’interface graphique, on ne peut utiliser que les commandes PowerShell.

Si la gestion des accès privilégiés est activée, on ne peut pas baisser le FFL.

Si la corbeille active directory est activée, il n’est pas possible de baisser le niveau fonctionnel FFL vers Windows2008Forest.

Si la gestion des accès privilégiés et la corbeille active directory sont désactivés, on peut baisser le FFL jusqu’à 2008.

Voici un exemple :

Set-ADForestMode –ForestMode Windows2008Forest –identity "LAB.lan"

Le Niveau fonctionnel DFL:

Le niveau fonctionnel du domaine sert à :    

• Définir la version minimale du système d’exploitation de tous les contrôleurs de domaine du domaine.

•  Autoriser l’activation des options active directory comme la réplication DFS-R pour le SYSVOL et PSO.

 Modifier le niveau fonctionnel du domaine :

Avant chaque modification, il est recommandé de vérifier que toutes les applications sont bien supportées par la valeur cible du DFL.
Il faut vérifier que la version du système d'exploitation de tous les contrôleurs de domaine est supérieur ou égale à la valeur cible du DFL et que le FFL est inférieure ou égale à la valeur cible du DFL.

Augmenter le niveau fonctionnel du domaine :

L’augmentation du niveau fonctionnel de la forêt est possible via PowerShell et l’interface graphique.

Dans notre exemple, le nom de la forêt est LAB.lan :

Pour augmenter le DFL via PowerShell, il faut lancer l’une des  commandes suivantes en fonction de la valeur cible du DFL:

Set-ADDomainMode –DomainMode Windows2008Domain –identity "LAB.lan"

Set-ADDomainMode –DomainMode Windows2008R2Domain –identity "LAB.lan"

Set-ADDomainMode –DomainMode Windows2012Domain –identity "LAB.lan"

Set-ADDomainMode –DomainMode Windows2012R2Domain –identity "LAB.lan"

Set-ADDomainMode –DomainMode Windows2016Domain –identity "LAB.lan" 

Pour augmenter DFL via l’interface graphique :

Ouvrir la console Domain et approbation active directory ,puis avec le bouton droit de la souris cliquer sur le nom du domaine cliquer sur Augmenter le niveau fonctionnel de la forêt:

Puis sélectionner la valeur du DFL cible et cliquer sur Augmenter :

Baisser le niveau fonctionnel du domaine :

 Pour baisser le niveau fonctionnel d'un domaine, il faut que la valeur cible soit supérieur ou égale à au FFL.

Aucune méthode disponible via l'interface graphique .Pour baisser DFL, on ne peut utiliser que les commandes PowerShel voici un exemple:

Set-ADDomainMode –DomainMode Windows2008Domain –identity "LAB.lan"

Déployer le premier contrôleur de domaine sous Windows 2016

Installer le premier contrôleur de domaine sous Windows 2016 dans un nouveau domaine ou une nouvelle forêt:

Si le contrôleur de domaine sous Windows 2016 est le premier contrôleur installé dans une forêt ou dans un domaine ,le niveaux fonctionnel FFL ou DFL  proposé est 2008 ou plus, par conséquent le DFS-R sera automatiquement configuré pour la réplication SYSVOL.

Installer le premier contrôleur de domaine sous Windows 2016 dans un  domaine existant:

Pour ajouter un contrôleur de domaine dans un domaine existant il faut préparer les pré-requis ci-dessous :

•       Tous les contrôleurs de domaines de la forêt doivent être installés sur Windows 2003 ou plus. 
•         Le niveau fonctionnel de la forêt doit être 2003 ou plus ,sinon vous aurez le message d'erreur ci-dessous:
    
  
  
  
  
• Toutes les applications utilisées dans l’environnement de la production sont bien compatible avec  un contrôleur de domaine sous Windows 2016.

Vue que le niveau fonctionnel minimal supporté par un contrôleur de domaine sous Windows 2016 est 2003 , tous les contrôleurs de domaine installés Windows 2003 ou plus peuvent cohabiter avec un DC 2016 dans une même forêt:

Windows 2000	NON
Windows 2003 et Windows 2003 R2	OUI
Windows 2008  et Windows 2008 R2	OUI
Windows 2012 et Windows 2012 R2	OUI

Un contrôleur de domaine sous Windows 2016 peut également utiliser FRS pour la réplication SYSVOL avec ses partenaires.
Quand vous installez un contrôleur de domaine 2016 dans un domaine de niveau fonctionnel 2003, un message d'alerte s'affiche après la vérification des pré-requis pour vous rappeler que Microsoft recommande d'augmenter le niveau fonctionnel du domaine vers 2008 ou plus ,et migrer aussi le système de réplication SYSVOL FRS vers DFS-R.

Installer le premier contrôleur de domaine dans un domaine existant:

Dans notre LAB, on a choisit de tester l'installation d'un nouveau contrôleur de domaine sous Windows 2016 dans une infrastructure active directory d'une forêt mono-domaine, le FFL et DFL est 2003:

Après la vérification du niveau fonctionnel FFL et DFL,  on configure les paramètres IP du nouveau serveur Windows 2016 en mettant l'adresse du DC2008 dans la liste des serveurs DNS pour qu'il puisse résoudre la zone do domaine lab.lan:

Maintenant , on va commencer l'installation du contrôleur de domaine via l'interface ghraphique:

• On ouvre la console Server Manager et on clique sur Add roles and features:

• Une fois que la fenêtre ci-dessous est affichée, cliquer sur Next:

• Cliquer sur Next:

• Cliquer sur Next:
  
  
  
  

• Cocher la case Active Directory Domain Services :

• Une fois que la case est cochée, une petite fenêtre s'affiche pour valider l'installation des outils d'administration active directory, cocher Include management tools et cliquer sur Add Features:

• Cliquer sur Next:

• Cliquer sur Next:

• Cliquer sur Next:

• Cocher la case Restart the destination server automatically if required et cliquer sur Yes:

• Cliquer sur Install:

• Une fois que l'installation est terminée, cliquer sur Promote this server to a domain controller:

• Une nouvelle fenêtre qui s'affiche , taper le nom du domaine et cocher l'option Add a domain controller to an existing domain, puis cliquer sur Next:

• Cocher les options mentionnées ci-dessous en fonction du type du futur contrôleur de domaine , pour notre cas on va choisir un DC R/W avec Global Catalog. ensuite taper le mot de passe DSRM et cliquer sur Next

• Cliquer sur Next:

• Dans cette étape , on peut spécifier un contrôleur de domaine pour la première réplication . Ensuite cliquer sur Next 

• Spécifier l'emplacement de la base de donnée NTDS, les logs et le répertoire SYSVOL, puis cliquer sur Next:

• La préparation du chémas , forêt et du domaine est indispensable , puisqu'il s'agit du première contrôleur de domaine installé sous Windows 2016, cliquer sur Next

• Cliquer sur Next

• Des alertes s'affichent, vue que le niveau fonctionnel FFL est encore 2003 et le système de réplication SYSVOL utilise encore FRS. Une fois les pré-requis validés , cliquer sur Install:

• Ci-dessous , un script Powershell capable de faire le même travail via l'interface graphique: