LPro Info - Module administration Windows 2003
Server
Programme 2008-2009
Cours n°1
Cours n°2
Cours n°3
Cours n°4
TP n°1 : Prise en mains et
mise à niveau/sécurisation du système
- Changement du mot de passe de l'"Administrateur"
- Exécution d'un utilitaire pour changer l'ID système des machines (clonées)
(NewSID.exe)
- Vérification de la configuration actuelle (Windows 2003 Server SP1 non patché,
Internet Explorer 6, configuration IP via DHCP)
- Vérification de la connectivité réseau (ping et nslookup)
- FTP en ligne de commande (disponible sur toutes les machines où TCP/IP est installé)
- Connexion en FTP anonymous sur raphaello.univ-fcomte.fr
- Login : anonymous
- Mot de passe : adresse émail
- CD pour changer de répertoire
- ASC pour télécharger en ASCII
- BIN pour télécharger en binaire
- GET pour télécharger un fichier
- Téléchargement du service pack 3 de Windows XP (Pub/ServicesPackFiles/W2K3SP3fr.exe)
- Installation du service Pack 3
- Configuration du proxy de Internet Explorer (proxy-web.univ-fcomte.fr sur le port 3128)
pour accéder à Internet
- WindowsUpdate
- http://www.windowsupdate.com
- Passage en MicrosoftUpdate pour télécharger les patchs des logiciels Microsoft et plus
seulement du système
- Mises à jour critiques
- Mises à jour optionnelles
- Fonctionnalités supplémentaires
- Installation manuelle de quelques patchs
- Configuration des mises à jour automatiques via le panneau de configuration
- Installation automatique (option 4) -> risque de reboots automatiques
- Configuration des mises à jour automatiques sur serveur miroir WSUS
- MMC installé avec le snap-in "Éditeur de stratégies de groupe"
- Modification de 2 options sous "Stratégie Ordinateur Local" ->
"Configuration ordinateur" -> "Modèles d'administration" ->
"Composants Windows" -> "Windows Update"
- Configuration du service Mises à jour automatiques
identique au panneau de configuration "Mises à jour automatiques"
- Spécifier l'emplacement intranet du service de Mise à jour Microsoft
http://raphaello.univ-fcomte.fr dans les deux champs
- Le panneau de configuration "Mises à jour automatiques" est désactivé car
la configuration via stratégie de groupe est prioritaire.
- Exécution de la commande clavier "wuauclt /detectnow" pour lancer sur
l'instant le processus d'installation des mises à jour
TP n°2
- Fin de WindowsUpdate en mise à jour automatique
- Gestionnaire des tâches (théoriquement toujours accessible par Ctrl-Alt-Suppr)
- Onglet "Application", liste des applications lancées par l'utilisateur en
session
- bouton "Nouvelle tâche..." pour exécuter une application (en particulier
explorer s'il est planté)
- Onglet "Processus", liste des processus en fonctionnement
- Pour chaque processus
- Nom du fichier exécutable
- ID de processus
- Propriétaire
- Consommation CPU instantanée
- Temps processeur consommé depuis amorçage du processus
- Utilisation instantanée de la mémoire
- Pour chaque processus, possibilité de
- changer l'affinité processeur sur les machines multi-processeurs
- changer la priorité
- le "killer" si l'on en à l'autorisation
- Onglet "Performance"
- Consommation CPU instantanée et avec trace
- Consommation mémoire instantanée et avec trace
- Nombres de handles mémoire, de threads et de processus
- Empreintes mémoire
- Onglet "Mise en réseau"
- Taux d'utilisation des interfaces réseau
- Onglet "Utilisateurs"
- Liste des utilisateurs en session sur cette machine avec possibilité de déconnexion,
de fermeture de session, ...
- Paramétrage du (des) menu(s) Démarrer
- Configuration des répertoires suivants au moyen de raccourcis (attention au
autorisations):
- \Documents and Settings\All Users\Menu Démarrer pour donner les mêmes raccourcis à
tous les utilisateurs
- \Documents and Settings\%USERNAME%\Menu Démarrer pour donner des raccourcis à un
utilisateur particulier
- Montage d'un répertoire réseau
- Utilisation de l'assistance spécifique proposé par l'explorer
- Utilisation de la commande clavier "net use W: \\serveur\partage"
- Voisinage réseau
- Accès interactif aux machines présentes sur le réseau
- Accès aux ressources proposées par ces machines (sous contrôle discrétionnaire)
- Favoris réseau
- Liste de ressources réseau
- Panneau de configuration (configuration de la machine locale)
- Affichage
- Options des dossiers
- Configuration pour affichage le plus exhaustif possible des fichiers et répertoires
(cachés, systèmes, ...)
- Options internet
- Outils d'administration
- Système
- Changement de nom en lp01 à lp18 pour les 18 machines utilisées
- Connexions Réseau
- Modification de la configuration TCP/IP pour quitter le mode "Configuration
Automatique" (DHCP) et passer en configuration statique
- Adresses IP : 172.20.128.1 à 18
- Masque de sous-réseau : 255.255.255.0
- Passerelle par défaut : 172.20.128.254
- Serveur DNS : 194.57.91.200
TP n°3
- Windows Update
- Vérification des noms lp01 à lp18
- Connexion en bureau à distance sur raphaello.univ-fcomte.fr pour montrer le
fonctionnement de WSUS (Windows Server Update Service), miroir de WindowsUpdate sur
raphaello
- *.univ-fcomte.fr en exclusion d'utilisation du proxy sous Internet Explorer pour bien
enregistrer les adresses IP des machines sous WSUS et accélérer les téléchargements
- Outils d'administration
- Gestion de l'ordinateur
- Observateur d'événements
- Journal "Application"
- Journal "Sécurité"
- Journal "Système"
- Autres journaux
- Dossiers partagés
- Liste de tous les partages (explicites ou implicites)
- Liste de tous les utilisateurs de ces partages
- Liste de tous les fichiers ouverts sur ces partages
- Utilisateurs et groupes locaux
- Création d'un second administrateur (de secours)
- Création d'un utilisateur banalisé lambda
- Gestionnaire de périphériques
- Désactivation des périphériques non reconnus et non nécessaires
- Défragmenteur
- Gestion des disques
- Services
- Configuration de lancement
- Désactivé/Manuel/Automatique
- Utilisateur endossé
- Procédure en cas de plantage
- Installation et configuration de timeserv (service de synchronisation sur un serveur de
temps) téléchargé sur ftp://raphaello.univ-fcomte.fr/pub
- Montage du répertoire partagé contenant les fichiers d'installation de Windows 2003
Server
- Installation en domaine
- Amorçage de l'assistant d'installation via la commande clavier "dcpromo"
- Accès aux fichiers d'installation de Windows 2003 Serveur
- Noms de domaine : d01 à d18.w2k3.univ-fcomte.fr
- Nouveau domaine dans une nouvelle forêt
-> Indépendance totale de tous les domaines
- Utilisation des options par défaut
- Installation du service DDNS car aucun serveur DNS n'est disponible
TP n°4
- Windows Update
- Passage en DNS 172.20.128.x où x est le numéro de la machine locale
-> Chaque machine réfère à elle-même en tant que serveur DNS.
- Vérification du fonctionnement de DNS
- DNS.exe en fonctionnement dans la liste des processus
- Le programme nslookup contacte bien le serveur DNS mais les requêtes exécutées
conduisent rapidement à la conclusion que le serveur DNS ne fonctionne pas correctement.
-> En fait, il n'est pas entièrement configuré.
- Configuration du service DNS
- Existence d'une zone de recherche directe pour le domaine IP local
- Création d'une zone de recherche inversée pour la classe 172.20.128
- Création d'un pointeur dans cette zone pour la machine locale 172.20.128.x
- Examen de toutes les options dans les deux types de zone
- Résolution du problème de cohérence et d'interopérabilité des 18 domaines IP de la
salle de TP:
- Création de toutes les zones sur tous les serveurs (pas la bonne solution)
- Configuration d'un redirecteur pour chaque zone sur chaque serveur (organisation en
graphe complet -> pas la bonne solution)
- Configuration d'un seul redirecteur (194.57.88.83) qui est configuré avec un
redirecteur pour chaque zone (organisation arborescente -> bonne solution)
- Configuration pour que l'utilisateur Lambda puisse ouvrir une session de travail
- Utilisation du snap-in "Éditeur de stratégie de groupe" de la MMC pour
configurer la stratégie de groupe "Contrôleur de Domaine" pour ajouter
l'utilisateur Lambda à la liste des utilisateurs ayant le droit d'"Ouverture de
session locale" ("Configuration ordinateur" -> "Paramètres
Windows" -> "Paramètres de sécurité" -> "Stratégies
locales" -> "Attribution des droits utilisateur"
- Configuration pour que l'utilisateur lambda puisse ouvrir un bureau à distance sur le
serveur
- Ajouter Lambda à la liste des utilisateurs autorisés pour l'utilisation du bureau à
distance dans l'onglet "Utilisation à distance" du panneau de configuration
"Système" du serveur.
- Utilisation du snap-in "Éditeur de stratégie de groupe" de la MMC pour
configurer la stratégie de groupe "Contrôleur de Domaine" pour activer cette
option et ajouter l'utilisateur Lambda à la liste des utilisateurs ayant le droit
d'"Ouverture de session par les services Terminal Server"
- Utilisation du snap-in "Éditeur de stratégie de groupe" de la MMC pour
configurer la stratégie de groupe "Contrôleur de Domaine" pour activer cette
option et configurer à vide la liste des utilisateurs ayant l'interdiction
d'"Ouverture de session par les services Terminal Server"
TP n°5
- Windows Update
- Gestion des utilisateurs
- Paramétrage de l'onglet "Profil" des propriétés d'un utilisateur
- Attribution d'un répertoire de base local à l'utilisateur lambda
- Créer le répertoire D:\Users\Lambda
- Attribution d'un répertoire de base réseau à l'utilisateur lambda
- Partage du répertoire D:\Users\Lambda sous le nom Lambda pour créer la ressource
réseau \\lpxx.dxx.w2k3.univ-fcomte.fr\Lambda
- Attribution de ce partage réseau en tant que répertoire de base associé à la lettre
d'unité Z:
- Problème, autant de partages que l'utilisateur
-> Risque de saturation du serveur
- Stratégie alternative : Créer un seul partage et faire "passer" tous les
utilisateurs par ce partage
- Supprimer le partage Lambda
- Créer un partage nommé Users sur le répertoire D:\Users pour créer la ressource
réseau \\lpxx.dxx.w2k3.univ-fcomte.fr\Users
- Attribution de \\lpxx.dxx.w2k3.univ-fcomte.fr\Users\Lambda en tant que répertoire de
base associé à la lettre d'unité Z:
-> Spécification d'un sous-répertoire situé sur un partage réseau
- Sécurisation de ce répertoire de base réseau pour en donner l'usage exclusif à
l'utilisateur Lambda et s'assurer qu'il ne peut écrire que là
- Suppression de l'héritage des autorisations si cette option est préconfigurée sur les
répertoires manipulés
- Configuration des autorisations sur le répertoire D:\Users\Lambda
- Contrôle total ou modification pour l'utilisateur Lambda
- Contrôle total pour le groupe Admins du domaine
- Contrôle total pour le groupe SYSTEM
- Configuration des autorisations sur le répertoire D:\Users
- Lecture pour le groupe Utilisateurs du domaine
- Contrôle total pour le groupe Admins du domaine
- Contrôle total pour le groupe SYSTEM
- Configuration des autorisations sur le partage \\lpxx.dxx.w2k3.univ-fcomte.fr\Users
associé à D:\Users
- Contrôle total pour le groupe Utilisateurs du domaine
- Contrôle total pour le groupe Admins du domaine
- Contrôle total pour le groupe SYSTEM
- Exercice
- Créer les trois utilisateurs "u2", "u3" et "upro"
- Créer les trois groupes "L2", "L3" et "Lpro"
- Placer "u2" dans le groupe "L2"
- Placer "u3" dans le groupe "L3"
- Placer "upro" dans le groupe "Lpro"
- Créer les partages réseau nécessaires à l'attribution d'un répertoire de base
réseau à chacun de ces utilisateurs (utiliser une stratégie "intermédiaire"
entre les 2 proposées plus tôt consistant à créer un partage par groupe)
- Configurer chaque utilisateur pour lui attribuer son répertoire de base réseau
- Sécuriser l'accès aux répertoires de base réseau pour que chaque utilisateur ne
puisse sauvegarder des informations que dans son répertoire et qu'il y possède un accès
exclusif
TP n°6
- Windows Update
- Gestion des utilisateurs
- Attribution d'un script d'ouverture de session à un utilisateur
- Les créer dans le répertoire \WINNT\SYSVOL\domain\scripts avec l'extension CMD ou BAT
- Dans les propriétés de l'utilisateur, indiquer le nom du script sans le chemin
d'accès qui sera implicitement le chemin précédent
- Manupilations:
- Essai sur un script simple
- Lancement d'un script sauvegardé à la racine du répertoire de base d'un utilisateur
(script qu'il peut gérer)
- Montage automatique par script d'un répertoire réseau Pub (à créer et sécuriser
pour que les utilisateurs puissent y lire mais pas y écrire)
- Montage automatique par script d'un répertoire réseau Echange (à créer et sécuriser
pour que les utilisateurs puissent y lire et y écrire)
- Montage automatique par script d'un répertoire réseau Stockage (à créer et
sécuriser pour que les utilisateurs puissent y écrire, mais ne puissent lire, supprimer,
modifier, ... que ce qu'ils y ont eux-mêmes écrit) (Exercice à finir pour le TP n°7)
- Attribution d'un profil itinérant à un utilisateur
TP n°7
- Windows Update
- Solution de l'exercice du TP n°6
- Création de relations d'approbation entre les domaines
- sur deux domaines A et B : d'abord A approuve B puis B approuve A car pas de
copmmutativité
- sur trois domaines A, B et C : A pprouve B, B approuve C et C approuve A (pas de
transitivité)
- Description du panneau de configuration tâches planifiées
- Création interactive
- Création et gestion vis la commande clavier schtasks
- La commande At
TP n°8
- Windows Update
- Administration en ligne de commande
- Liste des commandes
- Powershell
- Installation IIS
- Installation de FTP et HTTP
- Modification du systeme apres installation
- Répertoires de publication
- Comptes créés
- Services en fonctionnement
- Outils d'administration spécifique
TP n°9
- Windows Update
- Gestion des imprimantes
- Installation
- Port TCP/IP
- Partage
- Sécurisation
- Modification configuration IP
- Ajout d'une adresse IP à la connexion réseau
- Modification DNS pour associer un nom à cette adresse IP
- Administration FTP
- Propriétés d'un site FTP
- Changement de l'adresse IP de connexion
- Changement du port de connexion
- Connexion FTP anonymous en ligne de commande
- Administration FTP
- Création d'un répertoire pub à la racine du répertoire de publication
- Création d'un répertoire private à la racine du répertoire de publication
- Création d'un répertoire virtuel monté à la racine du répertoire de publication
- Création d'un nouveau site FTP associé a la nouvelle adresse IP sur
D:\Inetpub\FTPRoot2
- Administration FTP
- Modification des autorisations sur les répertoires de publication
- IUSR_xxx en lecture sur D:\Inetpub\FTPRoot2 et D:\Inetpub\FTPRoot2\pub
-> acces anonymous autorisé à la racine du site et dans le répertoire pub
- IUSR_xxx sans autorisation de lecture sur D:\Inetpub\FTPRoot2\private
-> pas d'acces anonymous autorisé dans le répertoire private
- Utilisateur upro en lecture sur le répertoire virtuel et pas d'accès accordé à
IUSR_xxx sur ce répertoire
-> accès anonymous interdit au repertoire virtuel
-> accès authentifié autorisé à ce répertoire pour l'utilisateur upro
TP n°10
TP n°11
RETOUR 