Windows Server 2025 / Installer AD DS et créer le premier domaine

Pour créer le premier domaine sur Windows Server 2025, installez les services de domaine Active Directory (AD DS), puis promouvez DC1 comme premier contrôleur d'une nouvelle forêt. Cet exercice isolé crée ad.example.test sur DC1 ; n'appliquez pas les choix de nouvelle forêt à une organisation existante.

Vérifiez les prérequis de la nouvelle forêt

Confirmez le nom, l'adresse IP statique, les mises à jour et l'heure. Si DC1 héberge déjà le service DNS, vérifiez que son client DNS utilise l'adresse de laboratoire 172.24.50.10 et que la résolution fonctionne. Si le service DNS n'est pas encore installé, l'assistant peut l'ajouter pendant la promotion ; vérifiez ensuite sa configuration et ses zones.

Stockez de manière sécurisée un mot de passe unique pour le mode de restauration des services d'annuaire (Directory Services Restore Mode, DSRM), distinct de celui des identifiants de connexion ordinaires. Gardez-le à l’écart des scripts en texte clair et des captures d’écran. La création du domaine établit la base d’authentification du laboratoire, donc les décisions concernant l’espace de noms et la récupération viennent en premier.

Installez AD DS et commencez la promotion

1. Dans le Gestionnaire de serveur de DC1, ouvrez Gérer > Ajouter des rôles et fonctionnalités.
2. Sélectionnez Services AD DS, acceptez les fonctionnalités et outils de gestion nécessaires, puis terminez l'installation du rôle.
3. Dans la notification qui suit l'installation, choisissez Promouvoir ce serveur en contrôleur de domaine.
4. Choisissez Ajouter une nouvelle forêt, puis indiquez ad.example.test comme nom de domaine racine.

Les binaires de rôle et la promotion sont des étapes séparées. Suivez le guide de déploiement AD DS de Microsoft. Un deuxième contrôleur pour ce domaine doit rejoindre le domaine existant plutôt que de créer une autre forêt.

Examinez les niveaux, le DNS et les paramètres de récupération

1. Examinez les niveaux fonctionnels du domaine et de la forêt. Ce nouveau laboratoire peut utiliser les niveaux de 2025 lorsque tous les contrôleurs prévus répondent à leurs exigences.
2. Confirmez les paramètres DNS et le catalogue global pour un contrôleur en écriture.
3. Fournissez le mot de passe DSRM unique.
4. Évaluez un avertissement de délégation DNS par rapport à la zone parente réelle ; cet exemple isolé n’a pas de DNS parent externe géré.
5. Vérifiez que le nom NetBIOS proposé est AD, puis contrôlez les chemins de la base de données, des journaux et de SYSVOL.
6. Exécutez les prérequis, résolvez les erreurs réelles et installez en conservant l’accès à la console pour le redémarrage.

Les niveaux fonctionnels régissent les capacités de l’AD et les exigences des contrôleurs, pas la version du système d’exploitation client. Vérifiez les conseils sur les niveaux fonctionnels séparément avant d’ajouter des contrôleurs 2025 à une forêt existante. Ne relevez pas les niveaux fonctionnels juste pour reproduire un laboratoire.

L’alternative PowerShell suivante installe une nouvelle forêt et affiche des invites si nécessaire. Ne la répétez pas après une promotion via l’interface graphique. Passez en revue les niveaux fonctionnels résultants au lieu de supposer des valeurs par défaut non spécifiées :

Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName 'ad.example.test' -DomainNetbiosName 'AD' -InstallDns

Vérifiez les services de domaine après le redémarrage

Après le redémarrage, connectez-vous à la console avec le compte administrateur du nouveau domaine, par exemple AD\Administrator. Exécutez ceci sur DC1 :

whoami
Get-ADDomain | Select-Object DNSRoot,NetBIOSName,DomainMode
Get-ADForest | Select-Object RootDomain,ForestMode
Get-DnsServerZone
Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV -Server 172.24.50.10
Get-SmbShare -Name SYSVOL,NETLOGON
dcdiag /test:dns

Confirmez les noms et les niveaux fonctionnels du domaine et de la forêt, DC1 dans la réponse de l'enregistrement de service, les partages SYSVOL et NETLOGON, et les diagnostics DNS. Laissez les services finir leur démarrage, puis distinguez une erreur transitoire d'un échec persistant et enregistrez les événements réels. Une zone DNS existante seule ne prouve pas le déploiement d'AD.

Mettez à jour le laboratoire DHCP précédent pour le domaine

Si DC1 fournit déjà DHCP, suivez la procédure d'autorisation DHCP de Microsoft. Exécutez d'abord la première commande pour contrôler la liste d'autorisation Active Directory. N'exécutez la deuxième que si DC1 doit fournir DHCP au domaine et n'est pas déjà autorisé ; des droits appropriés sont nécessaires. La troisième ne s'applique que si l'étendue 172.24.50.0 existe déjà :

Get-DhcpServerInDC
Add-DhcpServerInDC -DnsName 'dc1.ad.example.test' -IPAddress 172.24.50.10
Set-DhcpServerv4OptionValue -ScopeId 172.24.50.0 -DnsServer 172.24.50.10 -DnsDomain 'ad.example.test'

Renouvelez ensuite le bail de CLIENT1 sur sa propre console et vérifiez que le serveur DNS reçu est 172.24.50.10 et que le suffixe DNS est ad.example.test. Un suffixe n'est pas une appartenance au domaine.

Pour revenir en arrière, ne supprimez pas directement la machine virtuelle ni les fichiers du rôle. Évaluez si c'est le dernier DC et quels comptes, DNS, DHCP et clients en dépendent. La rétrogradation et la récupération nécessitent un plan séparé ; conservez ce domaine pour les laboratoires suivants.