Les maîtres d'opérations

<h3> <a href="http://www.labo-microsoft.org/articles/win/FSMO/images/AndPartitions.JPG" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" src="http://www.labo-microsoft.org/articles/win/FSMO/images/AndPartitions.JPG" /></a><span style="font-size: large;">Introduction</span></h3> <div style="text-align: justify;"> Active Directory est une architecture multi-maître c'est-à-dire que chaque contrôleur du domaine est autonome et apte à prendre en compte des modifications et les répliquer sur ses pairs. Dans le cas où un contrôleur serait isolé, il fonctionnera indépendamment jusqu’à pouvoir de nouveau communiquer avec les autres contrôleurs. Il peut en résulter des conflits qui sont généralement résolus efficacement par Active Directory. Cependant certaines opérations comme les modifications de schéma peuvent entrainer de lourdes conséquences sur le fonctionnement de votre annuaire. Il a donc fallu introduire une solution de prévention pour éliminer toute possibilité de conflits lors d’une réplication. C’est donc là que certains rôles FSMO prennent tout leur sens (en effet, certains rôles sont là également pour régler des problèmes d'ordre sécuritaire). En prenant l’exemple de la modification du schéma Active Directory, le pilotage est réalisé par un seul et unique contrôleur disposant du rôle « maître de schéma » faisant partie de l’un des cinq rôles FSMO.</div> <div style="text-align: justify;"> Nous allons donc voir ensemble et en détail ces rôles.</div> <h3> <span style="font-size: large;">Présentation générale des maîtres d'opérations</span></h3> <div style="text-align: justify;"> FSMO signifie « Flexible Single-Master Operation » cependant cette appellation a disparu officiellement pour être désormais nommé «maîtres d'opérations ». Comme nous le disions en introduction, ils ont chacun un usage bien spécifique au niveau d’un domaine et d’une forêt.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> <b><i><u>Vous avez deux rôles au niveau de la forêt :</u></i></b></div> <div style="text-align: justify;"> Schema Master (Maître de Schéma)</div> <div style="text-align: justify;"> Domain Naming Master (Maître d’attribution de noms de domaine)</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> <u><i><b>Vous avez trois rôles au niveau du domaine :</b></i></u></div> <div style="text-align: justify;"> Infrastructure Master (Maître d’infrastructure)</div> <div style="text-align: justify;"> RID Master (Maître RID)</div> <div style="text-align: justify;"> PDC Emulator (Emulateur de contrôleur de domaine principal)</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Vous aurez uniquement un maître de schéma et un maître d’attribution de noms de domaine dans une forêt alors que vous aurez un maître d’infrastructure, un maître RID et un Emulateur PDC pour chacun de vos domaines. Par exemple, pour une forêt « corpnet.net » et deux sous-domaines « france.corpnet.net » et « canada.corpnet.net », vous obtiendrez la répartition suivante :</div> <div style="text-align: justify;"> Maître de schéma : corpnet.net</div> <div style="text-align: justify;"> Maître d’attribution de noms de domaine : corpnet.net</div> <div style="text-align: justify;"> Maître d’infrastructure : corpnet.net</div> <div style="text-align: justify;"> Maître d’infrastructure : france.corpnet.net</div> <div style="text-align: justify;"> Maître d’infrastructure : canada.corpnet.net</div> <div style="text-align: justify;"> Maître RID : corpnet.net</div> <div style="text-align: justify;"> Maître RID : france.corpnet.net</div> <div style="text-align: justify;"> Maître RID : canada.corpnet.net</div> <div style="text-align: justify;"> Emulateur PDC : corpnet.net</div> <div style="text-align: justify;"> Emulateur PDC : france.corpnet.net</div> <div style="text-align: justify;"> Emulateur PDC : canada.corpnet.net</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Vous aurez donc deux rôles de niveau forêt par forêt et trois rôles au niveau domaine par domaine. Dans l’exemple ci-dessus, comme nous avons trois domaines dans une forêt, nous avons donc 11 rôles FSMO sur l’ensemble de la forêt. Nous constatons également que les rôles de niveau forêt sont placés sur le domaine racine « corpnet.net » cependant rien ne nous empêcherait de les placer sur les domaines « france.corpnet.net » ou « canada.corpnet.net ».</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> Lors de l’installation du premier contrôleur de domaine « corpnet.net », les 5 rôles ont été attribués à ce contrôleur. Lors de la création des deux domaines enfant, chacun des contrôleurs se sont vu attribuer les 3 rôles de niveau domaine.</div> <h3 style="text-align: justify;"> <span style="font-size: large;">Détails de chaque maître d'opérations</span></h3> <div style="text-align: justify;"> Nous allons désormais détailler chacun des rôles et leur fonction au sein de l’annuaire.</div> <div style="text-align: justify;"> <br /></div> <div> <b><i><u>Maître de schéma:</u></i></b> Le Maître de schéma ou d’opération gère l’ensemble des mises à jour et modifications du schéma.<br /> Il assure également leur réplication sur l’ensemble des contrôleurs de domaines. Il ne peut y avoir<br /> qu’un seul Maître de schéma par forêt et seul le groupe « Administrateurs du schéma » peut y<br /> effectuer des modifications (source).<br /> <b><span style="color: #444444;"><span style="background-color: yellow;">Résumé </span>:</span></b><br /> <ul> <li>Pris en charge et contrôle des mises à jour du schéma</li> <li>Réplication des modifications apportées au schéma sur tous les contrôleurs de domaine de la forêt</li> </ul> </div> <div style="text-align: justify;"> <b><i><u>Maître d’attribution de noms de domaine:</u></i></b> Ce rôle permet principalement de gérer l’ajout et la suppression d’un domaine dans une forêt. Depuis la version 2003, il a également la responsabilité de renommer un domaine. Enfin, il crée et supprime les relations croisées vers et depuis des domaines externes.</div> <div style="text-align: justify;"> <div> <span style="background-color: yellow; color: #444444;"><b>Résumé :</b></span></div> <div> <ul> <li>Ajout et suppression tous types de partitions logiques dans Active Directory. Exemples :</li> </ul>                          Nom de domaine<br />                          Relation d’approbation<br /> <ul> <li>Gestion des objets de références croisés</li> <li>Renommage de domaine (à partir de Windows Server 2003)</li> </ul> </div> </div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> <b><i><u>Maître d’infrastructure:</u></i></b> Le Maître d’infrastructure a pour rôle de maintenir à jour les références d’objet entre les différents</div> <div style="text-align: justify;"> domaines. Si un utilisateur d’un domaine A est ajouté dans un groupe d’un domaine B, il sera</div> <div style="text-align: justify;"> responsable de répliquer cette référence sur l’ensemble du domaine B. Il agit également comme</div> <div style="text-align: justify;"> « traducteur » parmi les identifiants globaux uniques (GUID), les identifiants de sécurité (SIDs) et les</div> <div style="text-align: justify;"> « distinguished names » (DNs). Par exemple, si vous listez les utilisateurs d’un groupe, vous pourrez</div> <div style="text-align: justify;"> parfois apercevoir des utilisateurs apparaissant avec leur SID (et non par leurs noms). Par ailleurs, si</div> <div style="text-align: justify;"> la corbeille Active Directory sous 2008 R2 est activée, ce rôle ne sera plus utilisé. Notez qu’il ne peut</div> <div style="text-align: justify;"> y avoir qu’un seul Maître d’infrastructure par domaine.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> <b><i><u>Maître RID:</u></i></b> Le Maître RID est chargé d’attribuer à chaque objet Active Directory (utilisateur, groupe, ordinateur,…) un identifiant unique de sécurité (SID). Ce dernier est structuré de la façon suivante :</div> <div style="text-align: justify;">  Un numéro de révision</div> <div style="text-align: justify;">  Un identificateur de sécurité du domaine (domaine SID)</div> <div style="text-align: justify;">  Un RID (Relative Identifier)</div> <div style="text-align: justify;"> Parallèlement, et afin que différents contrôleurs de domaine n’assignent pas le même SID à deux</div> <div style="text-align: justify;"> objets différents, une plage RID est allouée à chaque DC. Lorsque cette plage est épuisée, une</div> <div style="text-align: justify;"> demande est effectuée auprès du RID afin de la renouveler. Notez qu’il ne peut y avoir qu’un seul</div> <div style="text-align: justify;"> Maître RID par domaine.</div> <div style="text-align: justify;"> <br /></div> <div style="text-align: justify;"> <b><i><u>Emulateur PDC:</u></i></b> Le rôle fondamental du PDC Emulator est de fournir une rétrocompatibilité avec les serveurs NT4.0</div> <div style="text-align: justify;"> et les clients antérieurs à Windows 2000. Il est également chargé de la réplication des mots de passe</div> <div style="text-align: justify;"> et, de ce fait, est directement contacté en cas d’échec d’authentification afin de s’assurer que des</div> <div style="text-align: justify;"> erreurs de réplication ne sont pas à l’origine du problème.</div> <div style="text-align: justify;"> Le PDC agit également en tant que serveur de temps. Sous cet angle, il assure la synchronisation des</div> <div style="text-align: justify;"> horloges clientes avec les différents contrôleurs de domaine. Pour cela il utilise une relation</div> <div style="text-align: justify;"> hiérarchique qui contrôle l'autorité et interdit les boucles. Par défaut, les ordinateurs Windows</div> <div style="text-align: justify;"> utilisent la hiérarchie suivante pour synchroniser leurs horloges :</div> <div style="text-align: justify;">  Ordinateur clients : nomment le DC d’authentification comme partenaire de temps entrant</div> <div style="text-align: justify;">  Serveur membres : mêmes processus que les ordinateurs clients</div> <div style="text-align: justify;">  Contrôleurs de domaine d’un domaine : nomment le maître d’opérations du DC principal</div> <div style="text-align: justify;"> comme partenaire de temps entrant</div> <div style="text-align: justify;">  PDC : utilisent la hiérarchie des domaines pour sélectionner leur partenaire de temps via le</div> <div style="text-align: justify;"> protocole SNTP</div> <div style="text-align: justify;"> Le service de temps est également utilisé dans le cadre de l’authentification Kerberos qui nécessite</div> <div style="text-align: justify;"> un horodatage des paquets d’authentification. Autre point contrôlé par le PDC : les GPO. En effet, la</div> <div style="text-align: justify;"> console de gestion des stratégies de groupe « GPMC » utilise le DC hébergeant le rôle PDC comme</div> <div style="text-align: justify;"> DC par défaut pour toutes les opérations de création et de modification des GPO.</div> <div style="text-align: justify;"> En définitive, il s’agit d’un rôle crucial ayant un réel impact sur les performances d’une infrastructure</div> <div style="text-align: justify;"> Active Directory.</div> <div style="text-align: justify;"> <b><span style="background-color: yellow; color: #444444;">Résumé</span></b>:</div> <div style="text-align: justify;">  Prise en charge des communications pour les serveurs NT4 et les clients antérieurs à 2000</div> <div style="text-align: justify;">  Réplication des mots de passe utilisateur et ordinateur</div> <div style="text-align: justify;">  Gestion des erreurs d’authentification et verrouillage des comptes</div> <div style="text-align: justify;">  Serveur de temps et synchronisation avec les clients</div> <div style="text-align: justify;">  Horodatage des paquets d’authentification Kerberos v5</div> <div style="text-align: justify;">  Serveur de gestion par défaut pour les mises à jour des GPO</div>

Les maîtres d'opérations

Introduction Active Directory est une architecture multi-maître c'est-à-dire que chaque contrôleur du domaine est autonome et apte à ...

lire la suite...