Windows Server 2025 / Gérer les utilisateurs et groupes locaux

Un utilisateur local appartient à une installation de Windows Server ; un groupe local regroupe les comptes auxquels ce serveur peut attribuer des droits. Séparez les comptes quotidiens des comptes administratifs et ajoutez chaque compte uniquement aux groupes nécessaires à sa tâche.

Distinguez les identités locales et de domaine

L'utilisateur local labuser sur FS1 est géré par FS1. Créer le même nom sur un autre serveur crée une identité différente. Les comptes de domaine sont gérés dans Active Directory et peuvent s'authentifier sur les ordinateurs joints.

Réalisez cet exercice sur FS1 en tant que serveur autonome ou membre du domaine, et non sur un contrôleur de domaine. Un contrôleur n'expose pas la gestion des comptes locaux d'un serveur membre ordinaire de la même manière ; l'absence du nœud Utilisateurs et groupes locaux sur DC1 n'est pas en soi une erreur.

Créez l'utilisateur et le groupe dans l'interface graphique

1. Connectez-vous en tant qu'administrateur sur FS1 et exécutez compmgmt.msc.
2. Ouvrez Outils système → Utilisateurs et groupes locaux → Utilisateurs, puis créez un nouvel utilisateur.
3. Créez labuser avec un mot de passe unique. Choisissez des conditions de changement de mot de passe appropriées à la méthode de connexion prévue et à la politique.
4. Créez un groupe nommé LabReaders et ajoutez labuser. Ne l'ajoutez pas aux Administrateurs.

LabReaders est le nom de votre propre groupe et ne change pas avec la langue de l'interface Windows. Les noms d'affichage de groupe intégrés peuvent être localisés, alors vérifiez les descriptions, les membres ainsi que les noms.

L'appartenance seule n'accorde pas l'accès aux fichiers ni la connexion à distance. Vous devez attribuer séparément les permissions du groupe sur une ressource ou les droits dans la stratégie de connexion applicable.

Créez la configuration équivalente avec PowerShell

Ne recréez pas des noms qui existent déjà à partir de l’exercice dans l’interface graphique. Sur FS1 sans ces objets, utilisez Windows PowerShell 64 bits en mode administrateur. New-LocalUser accepte un mot de passe de type SecureString :

$labPassword = Read-Host 'Password for labuser' -AsSecureString
New-LocalUser -Name 'labuser' -Password $labPassword -Description 'Lab standard user'
New-LocalGroup -Name 'LabReaders' -Description 'Lab read access group'
Add-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Get-LocalGroupMember -Group 'LabReaders'

La commande finale doit lister FS1\labuser dans LabReaders. Ne mettez pas le mot de passe dans le code source et n'utilisez pas de raccourci sans mot de passe. Vérifiez la compatibilité de la plateforme dans la référence du module LocalAccounts.

Vérifiez l'état du compte et la session utilisateur réelle

Vérifiez la création séparément de l'accès effectif. Get-LocalUser montre si le compte est activé ; les requêtes sur l'appartenance aux groupes montrent les affectations. Exécutez whoami dans la session de l'utilisateur standard réel, pas dans une fenêtre d'administrateur.

Get-LocalUser -Name 'labuser' | Select-Object Name,Enabled,LastLogon
Get-LocalGroupMember -Group 'LabReaders'
whoami
whoami /groups

Une session existante peut conserver son jeton d'accès original après des modifications d’appartenance aux groupes. Déconnectez-vous et reconnectez-vous avant de comparer les résultats. En cas d'échec de connexion, vérifiez l'activation du compte, le mot de passe, la langue du clavier et l'identité locale par rapport au domaine. Une stratégie de refus de connexion peut l'emporter sur l’appartenance à un groupe ; accorder des droits d'administrateur n'est pas une solution générale.

Désactivez les comptes temporaires avant de les supprimer

Ces commandes effectuent des actions opposées. Exécutez seulement celle qui est requise :

Disable-LocalUser -Name 'labuser'
Enable-LocalUser -Name 'labuser'

Avant de supprimer définitivement la configuration du laboratoire, vérifiez les autorisations attribuées au groupe, retirez l’appartenance au groupe, puis supprimez le groupe et l'utilisateur si ceux-ci ne sont plus nécessaires :

Remove-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Remove-LocalGroup -Name 'LabReaders'
Remove-LocalUser -Name 'labuser'

Un compte recréé avec le même nom possède un identifiant de sécurité (SID) différent, donc les autorisations précédentes ne le suivent pas automatiquement. Conservez le compte si de futurs exercices sur les autorisations de fichiers en ont besoin. Avant de désactiver un compte administratif, vérifiez qu'il existe un autre moyen de connexion administrateur fonctionnel.