Windows Server 2025 / Organiser les droits de dossiers par service avec AGDLP

Pour gérer les accès à des dossiers par service, placez les utilisateurs dans des groupes métier, puis ces groupes dans des groupes dédiés aux droits sur les ressources. Accordez les droits aux groupes de ressources. Ce laboratoire sépare Sales et Support, vérifie la modification autorisée dans chaque service et confirme le refus d'accès à l'autre service.

Séparer les comptes, les groupes métier et les groupes de droits

Dans un domaine, le modèle AGDLP signifie comptes (Accounts) → groupes globaux (Global) → groupes locaux du domaine (Domain Local) → autorisations (Permissions). Il fournit une structure de départ utile, sans imposer un modèle unique à tous les environnements. Les identifiants ci-dessous restent en anglais pour correspondre exactement aux commandes et aux chemins du laboratoire.

Utilisez le volume NTFS de FS1 préparé dans la leçon précédente. Vérifiez d'abord que ces noms ne sont pas déjà employés, puis créez des dossiers vides. Ne remplacez pas un groupe ou un partage en production par un objet de laboratoire.

Créer les groupes et deux comptes de test ordinaires

1. Dans l'OU LabGroups, créez GG_Sales et GG_Support comme groupes de sécurité globaux, puis DL_FS_Sales_Modify et DL_FS_Support_Modify comme groupes de sécurité locaux du domaine.
2. Dans LabUsers, créez sales.user1 et support.user1 avec des mots de passe initiaux distincts et le changement prévu à la première connexion.
3. Ajoutez chaque utilisateur à son seul groupe métier correspondant.
4. Imbriquez GG_Sales dans DL_FS_Sales_Modify et GG_Support dans DL_FS_Support_Modify.
5. Vérifiez qu'aucun de ces comptes n'est administrateur ou membre du groupe de l'autre service.

La référence Microsoft de New-ADGroup décrit les étendues Global et DomainLocal. Lorsqu'une personne change de service, modifiez normalement son appartenance au groupe métier au lieu de l'ajouter individuellement aux listes de contrôle d'accès (ACL) de chaque dossier.

Get-ADGroupMember 'GG_Sales'
Get-ADGroupMember 'DL_FS_Sales_Modify'
Get-ADGroupMember 'GG_Support'
Get-ADGroupMember 'DL_FS_Support_Modify'

Accorder Modification aux groupes de ressources dans NTFS

1. Examinez les paramètres de sécurité avancés et les entrées héritées du nouveau dossier Sales.
2. Pour ce dossier de laboratoire vide, convertissez l'héritage en entrées explicites en conservant les droits nécessaires à SYSTEM et aux administrateurs.
3. Réduisez les accès trop larges accordés à des groupes d'utilisateurs génériques, dans ce dossier uniquement.
4. Accordez Modification à AD\DL_FS_Sales_Modify sur le dossier et les enfants concernés, après avoir vérifié le nom NetBIOS du domaine.
5. Répétez sur Support avec DL_FS_Support_Modify uniquement.

Modification permet les opérations normales sur les fichiers mais ne donne pas le même pouvoir que Contrôle total, notamment sur la gestion des autorisations. Les droits accordés à plusieurs groupes peuvent se cumuler : commencez par définir les autorisations positives nécessaires plutôt que d'ajouter immédiatement des refus à l'autre service.

Configurer les partages et vérifier leurs noms

1. Publiez D:\Shares\Sales sous le nom Sales avec le Partage avancé.
2. Accordez Modification sur ce partage à DL_FS_Sales_Modify et gardez les droits administratifs nécessaires.
3. Publiez Support de la même manière, avec DL_FS_Support_Modify.
4. Sur FS1, contrôlez les chemins et les droits de partage :

Get-SmbShare -Name Sales,Support | Select-Object Name,Path
Get-SmbShareAccess -Name Sales
Get-SmbShareAccess -Name Support

Sur CLIENT1, utilisez \\fs1.ad.example.test\Sales ou \\fs1.ad.example.test\Support. Ne mélangez pas adresse IP et alias non prévus pendant les tests d'authentification. L'énumération basée sur l'accès peut masquer certains dossiers, mais visibilité et autorisation restent deux contrôles distincts.

Tester les accès de chaque service avec des comptes ordinaires

Ouvrez une nouvelle session sur CLIENT1 pour chaque compte, vérifiez whoami et repérez les connexions SMB déjà ouvertes. Après un changement d'appartenance, reconnectez l'utilisateur pour obtenir un nouveau jeton. En cas de résultat inattendu, examinez séparément les droits du partage, l'héritage NTFS, les appartenances et les identifiants réellement utilisés.

Pour simuler un changement de service, modifiez une seule appartenance métier, reconnectez le compte, comparez les accès, puis rétablissez l'appartenance initiale. Avant de supprimer des groupes de test, repérez leurs références dans les ACL : une suppression prématurée peut y laisser des identifiants de sécurité (SID) non résolus. Conservez les partages pour l'exercice DFS suivant.