Monter son lab AD - Guide complet¶

1. Prerequis materiels¶

Le minimum utile pour un vrai lab GPO/registre reste modeste, mais il ne faut pas sous-estimer la RAM. Les DC, les clients Windows 11, les snapshots et l'I/O SYSVOL se comportent nettement mieux sur SSD.

Conditions de base :

• CPU x64 avec virtualisation activee dans l'UEFI/BIOS (Intel VT-x/VT-d ou AMD-V)
• Support SLAT recommande pour Hyper-V
• SSD ou NVMe vivement recommande
• 16 Go de RAM comme point de depart realiste

2. Choix de l'hyperviseur¶

3. VMs a creer¶

Conseils simples :

• Conservez des noms courts et fixes.
• Utilisez des IP statiques pour les DC.
• Laissez les clients en DHCP si vous voulez aussi tester les options reseau.

4. Installation pas a pas de DC01¶

Choisissez un nom de domaine purement labo, par exemple lab.local ou corp.lab. Evitez de reutiliser un vrai domaine de production.

Exemple PowerShell :

# Install AD DS and management tools
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

# Promote the server as a new forest root
Install-ADDSForest `
    -DomainName "lab.local" `
    -DomainNetbiosName "LAB" `
    -InstallDNS `
    -ForestMode WinThreshold `
    -DomainMode WinThreshold `
    -SafeModeAdministratorPassword (Read-Host -AsSecureString)

Verification immediate apres reboot :

Get-Service NTDS, DNS
Get-SmbShare SYSVOL, NETLOGON
dcdiag /q

5. Jonction des clients au domaine¶

Une fois DC01 stable, creez d'abord votre structure de test. C'est ce qui rendra les chapitres GPO plus lisibles.

Structure minimale recommandee :

• OU=LAB
• OU=Clients,OU=LAB
• OU=Admins,OU=LAB
• OU=Utilisateurs,OU=LAB
• OU=Serveurs,OU=LAB

Comptes utiles :

• lab.admin : admin de labo, separe du compte Administrator
• u.test1 : utilisateur standard
• u.test2 : utilisateur de comparaison

Exemple PowerShell cote DC :

Import-Module ActiveDirectory

$base = "DC=lab,DC=local"
New-ADOrganizationalUnit -Name "LAB" -Path $base -ProtectedFromAccidentalDeletion $true
New-ADOrganizationalUnit -Name "Clients" -Path "OU=LAB,$base"
New-ADOrganizationalUnit -Name "Admins" -Path "OU=LAB,$base"
New-ADOrganizationalUnit -Name "Utilisateurs" -Path "OU=LAB,$base"

New-ADUser -Name "u.test1" -SamAccountName "u.test1" `
    -AccountPassword (ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force) `
    -Enabled $true -Path "OU=Utilisateurs,OU=LAB,$base"

5bis. Promouvoir DC02 comme deuxieme controleur de domaine¶

Le deuxième DC transforme le lab en vrai terrain de test AD : réplication, SYSVOL multi-DC, bascule DNS et diagnostic de cohérence GPO.

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSDomainController `
    -DomainName "lab.local" `
    -SiteName "Default-First-Site-Name" `
    -InstallDns:$true `
    -Credential (Get-Credential "LAB\Administrator") `
    -SafeModeAdministratorPassword (Read-Host -AsSecureString "DSRM password") `
    -Force:$true

Après la réplication initiale :

repadmin /replsummary
dfsrdiag pollad

Avantages lab :

• tester la réplication AD ;
• vérifier DFS-R SYSVOL ;
• simuler la perte d'un DC ;
• observer le comportement GPO quand plusieurs DC répondent.

Creer le Central Store¶

$sysvolPath = "\\lab.local\SYSVOL\lab.local\Policies\PolicyDefinitions"
New-Item -Path $sysvolPath -ItemType Directory -Force
Copy-Item "C:\Windows\PolicyDefinitions\*" $sysvolPath -Recurse -Force

Après copie, GPMC utilise automatiquement le Central Store au lieu des fichiers ADMX locaux.

Vérification : ouvrez GPMC, éditez une GPO, puis regardez les modèles d'administration. Le titre doit indiquer que les modèles viennent du Central Store.

Installer RSAT sur CLIENT01¶

Get-WindowsCapability -Online -Name "RSAT*" |
    Where-Object { $_.State -ne "Installed" } |
    Add-WindowsCapability -Online

RSAT permet de gérer AD, DNS, DHCP et GPMC depuis un poste client. Dans le lab, c'est utile pour pratiquer l'administration sans ouvrir directement une session sur le DC.

Creer les GPO de test¶

# Security baseline
New-GPO -Name "LAB-Security-Baseline" -Comment "Baseline securite pour le lab"
New-GPLink -Name "LAB-Security-Baseline" -Target "OU=LAB,DC=lab,DC=local"

# Desktop settings
New-GPO -Name "LAB-Desktop-Settings" -Comment "Parametres bureau pour le lab"
New-GPLink -Name "LAB-Desktop-Settings" -Target "OU=LAB,DC=lab,DC=local"

Recommandation : préfixez toutes les GPO de lab avec LAB-. Le script de nettoyage plus bas supprime uniquement les GPO LAB-*, ce qui limite les accidents.

Extension cloud : Entra ID free tenant¶

Un lab cloud-hybride minimal permet de tester les notions Hybrid Join, synchronisation d'identités et enrollment sans connecter le domaine à la production.

Étapes de principe :

1. Créer un tenant Entra ID gratuit depuis entra.microsoft.com
2. Installer Microsoft Entra Connect Sync ou Entra Cloud Sync
3. Synchroniser quelques comptes AD de test vers Entra ID
4. Tester Hybrid Join et les scénarios d'enrollment disponibles dans votre licence

Limitation : un tenant gratuit ne fournit pas les licences Intune. Il permet de tester la synchronisation et certains prérequis cloud, mais pas tout le cycle de gestion Intune en production.

6. Snapshots strategiques¶

Les snapshots sont votre veritable gain de temps. Faites-en peu, mais au bon moment.

7. Scripts de reinitialisation¶

Le meilleur standard est simple : tout ce qui est jetable porte un prefixe LAB-. Vos GPO, groupes et OUs de test doivent suivre cette regle.

Exemple PowerShell de nettoyage :

Import-Module GroupPolicy
Import-Module ActiveDirectory

$domainDn = "DC=lab,DC=local"
$labRoot  = "OU=LAB,$domainDn"
$keepOus  = @(
    "OU=Clients,$labRoot",
    "OU=Admins,$labRoot",
    "OU=Utilisateurs,$labRoot",
    "OU=Serveurs,$labRoot"
)

# Remove test GPOs only - never touch default GPOs
Get-GPO -All |
    Where-Object { $_.DisplayName -like "LAB-*" } |
    ForEach-Object { Remove-GPO -Guid $_.Id -Confirm:$false }

# Remove child OUs not in the baseline list
Get-ADOrganizationalUnit -SearchBase $labRoot -SearchScope OneLevel -Filter * |
    Where-Object { $_.DistinguishedName -notin $keepOus } |
    Remove-ADOrganizationalUnit -Recursive -Confirm:$false

# Disable or remove test accounts prefixed LAB-
Get-ADUser -SearchBase "OU=Utilisateurs,$labRoot" -Filter 'SamAccountName -like "LAB-*"' |
    Remove-ADUser -Confirm:$false

8. Ressources complementaires¶

• Windows Server 2022 Evaluation Center (180 jours)
• Telecharger l'ISO Windows 11
• Windows Server technical documentation
• Installer Active Directory Domain Services
• Installer Hyper-V sur Windows

Checklist de fin¶

• DC01 et DC02 se resolvent mutuellement en DNS
• SYSVOL et NETLOGON existent sur les deux DC
• CLIENT01 et CLIENT02 sont dans OU=Clients,OU=LAB
• gpresult /r retourne quelque chose de propre sur les deux clients
• Un snapshot 20-clients-joined existe avant vos vrais TP