Configuration complète de Windows Server 2025, de l'installation nue au serveur prêt pour la production

Windows Server 2025 est principalement disponible en deux éditions. Standard est conçu pour les bureaux légèrement virtualisés et couvre deux machines virtuelles Windows Server par jeu de licences. Datacenter couvre un nombre illimité de machines virtuelles sur l'hôte et ajoute des fonctionnalités telles que Storage Spaces Direct : la plupart des bureaux à serveur unique n'en ont honnêtement pas besoin. Lors de l'installation, vous choisissez également l'interface : Desktop Experience vous offre le bureau Windows complet, tandis que Server Core n'a pas de bureau du tout et est géré par des commandes et des outils à distance.

1. Petit bureau, premier serveur, personnel qui gère avec une souris : choisissez Standard avec Desktop Experience
2. Server Core est plus léger et nécessite moins de redémarrages, mais ne le choisissez que si vous êtes à l'aise avec PowerShell
3. Le téléchargement de l'ISO d'évaluation convient parfaitement à l'apprentissage : il dure 180 jours ; planifier la licence avant de construire la production dessus

Démarrez à partir de l'ISO ou de la clé USB, choisissez Personnalisé : Installer Windows uniquement et installez sur le lecteur ou le volume RAID que vous avez préparé pour le système. La configuration demande un mot de passe administrateur avant la première connexion. Il s'agit du compte le plus puissant que le bureau possèdera jamais, alors rendez-le long, unique et stocké dans le coffre-fort de mots de passe le même jour, et non sur une note autocollante.

1. Sur Desktop Experience, vous atterrissez sur le bureau et le Gestionnaire de serveur s'ouvre tout seul.
2. Sur Server Core, vous arrivez sur le menu SConfig : taper sconfig dans n'importe quelle invite de commande le ramène à tout moment.
3. N’installez pas encore un seul rôle. Les deux prochaines étapes déterminent à quel point le reste de votre année sera indolore.

Un serveur est la seule machine dont l'adresse ne doit jamais bouger, car tous les autres ordinateurs pointeront vers elle pour les connexions, les DNS et les fichiers. Donnez-lui une adresse fixe à l'intérieur de votre réseau local, en dehors de la portée fournie par votre routeur - par exemple 192.168.1.10 lorsque le routeur est 192.168.1.1 et que DHCP démarre à 192.168.1.100.

1. Définissez l'adresse IP statique, le masque de sous-réseau et la passerelle dans les propriétés de la carte réseau (ou à partir de l'option 8 de SConfig).
2. Renommez l'ordinateur maintenant – quelque chose de court et basé sur des rôles comme SRV-DC01. Renommer est gratuit aujourd’hui ; après la promotion au poste de contrôleur de domaine, cela devient une procédure que vous ne voulez pas faire avec désinvolture
3. Définissez le fuseau horaire correct et vérifiez que l'horloge est correcte : les connexions et les certificats dépendent silencieusement de l'heure exacte.

C’est l’étape que les configurations impatientes sautent, et c’est celle qui provoque les erreurs les plus étranges plus tard. Une toute nouvelle installation a des mois de retard sur les correctifs, et les assistants de rôle échouent régulièrement sur une base à moitié corrigée pour des raisons qui ressemblent à de la magie noire.

1. Ouvrez Paramètres → Windows Update et exécutez Rechercher les mises à jour
2. Installez tout, redémarrez lorsque vous y êtes invité, puis vérifiez à nouveau : les nouvelles mises à jour n'apparaissent souvent qu'après le cycle précédent.
3. Répétez jusqu'à ce que Windows signale que vous êtes à jour deux fois de suite et assurez-vous qu'aucun redémarrage n'est en attente.

Ce n’est que maintenant que la base est suffisamment stable pour permettre la création de rôles. Le guide complémentaire sur cette étape explique le piège de redémarrage en attente et note honnêtement la nouvelle option de correctif à chaud.

Pour un serveur de bureau typique, les trois premiers rôles ont un ordre naturel, car chacun s'appuie sur le précédent.

1. Services de domaine Active Directory : installez le rôle à partir du Gestionnaire de serveur, puis exécutez l'assistant de promotion pour créer le domaine. La promotion installe et configure automatiquement le DNS pour le domaine, c'est exactement pourquoi AD vient en premier.
2. Choisissez délibérément le nom de domaine : un sous-domaine du domaine de l'entreprise tel que ad.company.com est le modèle moderne ; un nom comme office.local fonctionne toujours dans un bureau fermé. Conservez le mot de passe DSRM dans le coffre-fort ; c'est la clé d'urgence du domaine
3. DHCP : installez ensuite le rôle, puis autorisez-le dans Active Directory et créez la portée de l'adresse. Un serveur DHCP non autorisé dans un domaine refuse volontairement de distribuer des adresses : il s'agit d'une fonctionnalité de sécurité et non d'un défaut.
4. Ajoutez des éléments Services de fichiers et de stockage selon les besoins pour les partages.

Vous préférez PowerShell ? Les mêmes rôles s'installent avec Install-WindowsFeature AD-Domain-Services -IncludeManagementTools suivi de Install-ADDSForest et DHCP avec Install-WindowsFeature DHCP -IncludeManagementTools.

Gardez Windows et les rôles sur C : et placez tout ce que le bureau crée (dossiers partagés, documents utilisateur, profils redirigés) sur un volume de données séparé. Cette seule décision d’aménagement vous rapporte pendant des années.

1. Les données sur leur propre volume peuvent être sauvegardées, capturées avec des clichés instantanés et même déplacées vers un nouveau serveur sans toucher au système.
2. Si le lecteur de données se remplit, le serveur démarre et connecte les utilisateurs. Si C: se remplit, tout s'arrête.
3. La cible de la sauvegarde doit être à nouveau un disque physique différent : une partition sur le même disque ne constitue pas une protection contre la mort de ce disque.

Vous devez gérer ce serveur depuis votre bureau, et non en vous tenant devant lui, mais l'accès à distance doit se faire par une porte verrouillée et non par une fenêtre ouverte.

1. Activez le Bureau à distance pour les administrateurs uniquement et laissez l'Authentification au niveau du réseau activée.
2. Ne transférez jamais le port 3389 d'Internet vers le serveur. Si vous avez besoin d'un accès de l'extérieur, entrez d'abord via un VPN : les scanners trouvent le RDP exposé en quelques heures.
3. Depuis votre propre PC, Server Manager (via RSAT) ou Windows Admin Center (téléchargeable gratuitement depuis Microsoft) peuvent gérer ce serveur et les suivants à partir d'une seule console.

Trente minutes de contrôle maintenant coûtent moins cher qu’un incident plus tard.

1. Vérifiez que le Pare-feu Windows Defender est activé pour tous les profils : l'installation des rôles ouvre uniquement les ports dont ces rôles ont besoin.
2. Créez votre propre compte d'administrateur nommé et utilisez-le pour le travail d'administration, afin que les journaux affichent une personne et non un compte partagé. Conservez l'administrateur intégré comme connexion en cas de bris de verre
3. Vérifiez que la signature SMB est activée et n'installez pas de fonctionnalités héritées telles que SMBv1 pour avoir de la chance : Server 2025 ne l'installe pas par défaut, et c'est délibéré.
4. Définissez une fenêtre de mise à jour mensuelle et notez-la. Les serveurs ne se corrigent pas de manière responsable par accident