Un Active Directory désordonné est facile à créer et difficile à nettoyer. Ce guide construit la structure dans le bon ordre – les unités d'organisation d'abord, puis les utilisateurs, puis les groupes – afin que la politique et la délégation restent simples pendant des années.
La plupart des petits réseaux se développent ainsi : un conteneur par défaut, cinquante comptes d'utilisateurs regroupés ensemble et des autorisations accordées personne par personne jusqu'à ce que personne ne sache qui peut ouvrir quoi. Le correctif n'est pas un nouvel outil : il s'agit d'une structure, décidée avant de créer un seul compte. Vous trouverez ci-dessous le même ordre utilisé dans la vidéo : planifiez l'arborescence des unités d'organisation, créez les unités d'organisation, créez des utilisateurs à l'intérieur de celles-ci, puis créez des groupes de sécurité et distribuez les droits via les groupes. Faites-le dans cet ordre et chaque tâche ultérieure (politique de groupe, délégation, audits) deviendra dix fois plus facile.
Une arborescence OU qui reflète le vrai bureau. Les noms ci-dessus sont des exemples : copiez le modèle, pas les noms.
Une unité d'organisation n'est pas seulement un dossier. C'est l'unité que vous utiliserez plus tard pour appliquer la stratégie de groupe et pour déléguer de petites tâches comme la réinitialisation de mot de passe. Concevez donc les unités d'organisation en fonction de la manière dont le bureau est réellement géré :
Règle honnête : si une OU ne modifie pas une politique ou une décision de délégation, c'est de la décoration. Gardez l’arbre peu profond – trois niveaux suffisent pour la plupart des bureaux.
Ouvrez dsa.msc sur le contrôleur de domaine, cliquez avec le bouton droit sur le domaine, choisissez Nouveau → Unité organisationnelle et créez l'arborescence à partir de votre plan. PowerShell fait le même travail et est plus facile à répéter :
New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"New-ADOrganizationalUnit -Name "Accounts" -Path "OU=Delhi Office,DC=office,DC=local"Remplacez office.local par votre propre nom de domaine partout dans ce guide. La structure est importante, les noms d'exemples ne le sont pas.
Cliquez avec le bouton droit sur l'UO du département → Nouveau → Utilisateur. Deux décisions ici déterminent la propreté de votre répertoire :
firstname.lastname - décidée une seule fois et jamais rompue, même pour des noms similairesLe même compte depuis PowerShell : New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true
Les groupes permettent de gérer les autorisations. Créez un groupe de sécurité par ressource - par exemple GRP-Accounts-Share pour le partage de fichiers de comptes - puis ajoutez des utilisateurs au groupe et accordez l'autorisation de partage au groupe uniquement.
New-ADGroup -Name "GRP-Accounts-Share" -GroupScope Global -GroupCategory Security -Path "OU=Groups,OU=Delhi Office,DC=office,DC=local"Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"Avertissement honnête : le jour où vous accordez directement l'autorisation d'un dossier à une personne, vous avez déclenché le désordre que ce guide vise à éviter.
Terminez avec deux habitudes qui séparent un répertoire maintenu d'un répertoire chanceux :
Get-ADUser -Filter * -SearchBase "OU=Delhi Office,DC=office,DC=local" - la liste doit afficher les utilisateurs uniquement dans leurs unités d'organisation planifiées.C'est toute la base : une arborescence d'unités d'organisation superficielle qui reflète le bureau, les utilisateurs créés selon une règle de dénomination et chaque autorisation transitant par un groupe.
Le processus complet de création d'unités d'organisation, d'utilisateurs et de groupes - en direct sur un véritable contrôleur de domaine, étape par étape.
▶️ Watch Full VideoLes conteneurs tels que les utilisateurs et les ordinateurs sont intégrés et ne peuvent pas accepter de stratégie de groupe ou de délégation. Les unités d'organisation sont les objets que vous créez vous-même, et ce sont ceux auxquels les politiques sont liées et sur lesquelles les droits sont délégués. C'est pourquoi les nouveaux objets sont toujours déplacés des conteneurs par défaut vers vos propres unités d'organisation.
Par celui qui change de politique ou qui soutient la responsabilité. La plupart des petites entreprises ont d'abord besoin d'un emplacement (chaque succursale a sa propre personne d'assistance), puis d'un service au sein de chaque succursale. Si un administrateur gère tout et que la politique diffère selon l'équipe, la priorité au service est également valable : choisissez une logique et restez cohérent.
Peu profond. Deux à trois niveaux couvrent presque tous les bureaux : site, puis département, puis division Utilisateurs et Ordinateurs. Les arbres profonds rendent l'héritage des politiques difficile à prévoir et ralentissent tous les futurs administrateurs qui doivent comprendre votre mise en page.