Domaine, groupe de travail, comptes et groupes (PR22)

Ce que tu sauras faire, par écrit

L'épreuve pratique AMPCR se passe uniquement par écrit (consignes officielles 2026-2027/1, p. 3). Devant la demande d'un client, une fiche de comptes ou un relevé de connexion, on attend de toi un choix justifié et un diagnostic prouvé, pas une liste de sigles. Tu dois savoir :

1. expliquer le groupe de travail : comptes locaux, gestion décentralisée ;
2. expliquer le domaine Windows / Active Directory : gestion centralisée, contrôleur de domaine, DNS, authentification, identités des utilisateurs et des ordinateurs ;
3. distinguer domaine DNS et domaine d'administration, et écrire les noms de connexion ;
4. joindre un poste au domaine et vérifier le résultat ;
5. distinguer compte local et compte du domaine, administrateur et utilisateur ;
6. organiser les groupes et connaître les stratégies de groupe ;
7. gérer les mots de passe, appliquer le moindre privilège, désactiver un compte ;
8. dépanner une connexion ou un accès refusé : réseau, DNS, heure, compte, droits ;
9. conseiller une organisation de 3 à 20 postes.

Ce cours contient 3 procédures illustrées :

1. Joindre un poste Windows au domaine (7 étapes)
2. Gérer un compte, de l'arrivée au départ (7 étapes)
3. Dépanner une ouverture de session ou un accès refusé (8 étapes)

Exigence travaillée dans ce cours

• AP-24 (p. 6) — « Notions de domaine, groupe de travail, comptes utilisateurs et groupes d’utilisateurs. »

C'est une exigence officielle (consignes, p. 6). Les comptes locaux, l'UAC et net user ont été vus en PR10 ; l'adressage et le DNS en PR20, le mini-réseau en PR21, le dépannage réseau en PR24. Les partages et permissions détaillés (PR23) seront approfondis dans leur cours, publié ensuite dans l'ordre du parcours.

Lien avec la théorie

La théorie AMPCR présente les comptes et les droits : MC33 Partage de ressources, comptes, droits et permissions et MC10 Windows : administration et commandes essentielles. Ce cours-ci est pratique : schémas, fiches de comptes et relevés à analyser et à rédiger, comme dans un dossier d'examen.

Comment travailler ce cours

Lis les chapitres dans l'ordre : chacun donne ses objectifs, la théorie, la procédure professionnelle à rédiger, l'erreur fréquente, ce qu'on attend à l'écrit et un repère rapide, avec un renvoi vers les exercices liés. Étudie ensuite les cinq cas résolus, fais les 20 exercices corrigés (dont quatre schémas à compléter, des fiches comptes et groupes et des relevés de commandes), puis passe le mini-examen noté sur 20 dans l'onglet « Examen blanc ».

Important — les personnes, postes, domaines et relevés de ce cours sont des supports fictifs construits pour s'entraîner (rédaction : octobre 2026) ; le domaine ad.dupont.example utilise l'extension .example, réservée aux exemples. Les messages reprennent le format réel de Windows (en français), en version simplifiée. Les menus changent d'une version à l'autre : la documentation de l'éditeur fait foi. Aucun exercice n'est une question officielle ni une question déjà posée par le Jury.

Objectifs : expliquer le fonctionnement d'un groupe de travail et compter les comptes qu'il demande.

1.1 Chaque poste gère ses comptes

Dans un groupe de travail (par défaut WORKGROUP), il n'y a aucun serveur d'identités : chaque poste a sa propre base de comptes locaux et vérifie lui-même les mots de passe. C'est une gestion décentralisée. Le nom du groupe de travail sert surtout à ranger les postes dans l'affichage « Réseau » ; il ne donne aucun droit.

1.2 Conséquence : un compte sur chaque poste utilisé

Pour ouvrir une session sur un poste, ou ouvrir le partage d'un poste par le réseau, il faut un compte avec mot de passe sur CE poste (un compte sans mot de passe est refusé par le réseau). Exemple de référence : 4 personnes, Marc utilise PC-4 et PC-2, tout le monde ouvre le dossier partagé par PC-1 :

Total : 8 comptes locaux pour 4 personnes. Quand une personne change son mot de passe, il faut le changer sur chaque poste où elle a un compte.

1.3 Le nombre de comptes grandit vite

Procédure professionnelle (à rédiger) : lister les personnes et les postes qu'elles utilisent → lister les partages et qui les ouvre → créer sur chaque poste un compte local standard avec mot de passe → un compte d'administration distinct → noter la fiche des comptes.

Erreur fréquente : croire qu'un même nom de groupe de travail suffit pour accéder aux partages ; un seul compte « bureau » sans mot de passe pour tout le monde.

À l'écrit : « groupe de travail : comptes locaux de PC-1 = anne, paul, sara, marc (accès au partage) ; 8 comptes au total ».

Repère rapide : pas de serveur · chaque poste ses comptes · un compte sur chaque poste utilisé. Exercices liés : E10, E18 (séquence « Exercices corrigés »).

Objectifs : expliquer ce que centralise un domaine Active Directory et le rôle de chaque élément.

2.1 Gestion centralisée

Un domaine Windows repose sur Active Directory (AD DS) : un annuaire qui contient les comptes d'utilisateurs, les groupes, les comptes d'ordinateurs et les règles (stratégies). Il est tenu par un ou plusieurs contrôleurs de domaine (serveurs Windows Server ; deux sont conseillés pour ne pas tout perdre si l'un tombe). Une seule base, valable sur tous les postes membres : c'est une gestion centralisée.

2.2 Le contrôleur, le DNS et l'authentification

• Le contrôleur DC01 a une adresse fixe (192.168.20.10) : tout le monde doit le retrouver.
• Il est aussi serveur DNS du domaine : les postes trouvent le contrôleur par le DNS. Leur DNS doit donc être le contrôleur (pas la box) ; il relaie les noms d'Internet.
• L'authentification : à l'ouverture de session, le poste fait vérifier le nom et le mot de passe par le contrôleur (protocole Kerberos, qui exige des horloges à 5 minutes près).
• Identités : chaque personne a un compte d'utilisateur ; chaque poste membre a, lui aussi, un compte d'ordinateur dans l'annuaire, avec un mot de passe qu'il change seul.
• La box reste la passerelle vers Internet.

Procédure professionnelle (à rédiger) : serveur à adresse fixe → rôle contrôleur de domaine et DNS → nom du domaine → postes avec le contrôleur comme DNS → jonction → comptes et groupes.

Erreur fréquente : laisser la box comme DNS des postes ; un contrôleur en DHCP ; un seul contrôleur sans sauvegarde.

À l'écrit : « DC01, contrôleur et DNS, 192.168.20.10 fixe ; postes : DNS 192.168.20.10, passerelle 192.168.20.254 ».

Repère rapide : un annuaire · un contrôleur à adresse fixe · DNS des postes = contrôleur · box = passerelle. Exercices liés : E08, E04 (séquence « Exercices corrigés »).

Objectifs : distinguer domaine DNS et domaine d'administration et écrire correctement un nom de connexion.

3.1 Deux sens du mot « domaine »

• Un domaine DNS est un nom dans le système de noms (ex. dupont.example pour un site web) : il sert à trouver des machines.
• Un domaine Active Directory est un domaine d'administration : un ensemble de comptes, de groupes, d'ordinateurs et de règles gérés par les contrôleurs. Il s'appuie sur le DNS et porte donc un nom DNS (ad.dupont.example), plus un nom NetBIOS court (DUPONT, 15 caractères au plus).

Bon choix de nom : un sous-domaine d'un nom public que l'entreprise possède (ad.dupont.example pour dupont.example) ; à éviter : .local (utilisé par la découverte automatique des appareils) et exactement le nom du site public.

3.2 Les noms de connexion

Le préfixe dit qui vérifie le mot de passe :

Le nom complet du contrôleur est dc01.ad.dupont.example, celui d'un poste pc-03.ad.dupont.example.

Procédure professionnelle (à rédiger) : choisir le nom DNS (sous-domaine possédé) → nom NetBIOS court → règle de nommage des comptes et des postes → fiche remise aux utilisateurs.

Erreur fréquente : taper .\jmartin et s'étonner de ne pas retrouver ses fichiers du domaine ; nommer le domaine comme le site web public.

À l'écrit : « compte du domaine : DUPONT\jmartin ou jmartin@ad.dupont.example ; compte local : .\support ».

Repère rapide : DOMAINE\nom ou nom@domaine = domaine · .\nom ou POSTE\nom = local. Exercices liés : E05, E09, E19 (séquence « Exercices corrigés »).

Objectifs : joindre un poste au domaine sans échec et prouver le résultat.

4.1 Prérequis

4.2 Joindre

Paramètres → Système → Informations système → Domaine ou groupe de travail (ou sysdm.cpl) → Modifier → Domaine : ad.dupont.example → compte autorisé → « Bienvenue dans le domaine » → redémarrage. En PowerShell administrateur : Add-Computer -DomainName ad.dupont.example -Credential DUPONT\adm-tleroy -Restart. Le poste reçoit alors un compte d'ordinateur dans l'annuaire. (Un poste Linux peut aussi rejoindre un domaine Active Directory, par exemple avec realm join : hors programme de ce cours.)

4.3 Vérifier

Après redémarrage, on ouvre une session du domaine et on contrôle : whoami, whoami /groups, gpresult /r (stratégies appliquées), nltest /sc_query:ad.dupont.example (relation avec le domaine).

Procédure professionnelle (à rédiger) : prérequis → DNS = contrôleur → ping et nslookup → jonction → redémarrage → session du domaine et contrôles → fiche.

Erreur fréquente : tenter la jonction avec un poste Windows Famille ; DNS de la box ; oublier le redémarrage ; joindre avec le compte quotidien.

À l'écrit : « PC-03 joint à ad.dupont.example par adm-tleroy ; whoami = dupont\jmartin ; gpresult /r : stratégies du domaine appliquées ».

Repère rapide : Pro · nom unique · DNS = contrôleur · heure · compte autorisé · redémarrer · tester. Exercices liés : E01, E12 (séquence « Exercices corrigés »).

Objectifs : choisir le bon type de compte pour chaque personne et chaque usage.

5.1 Local ou domaine

• Compte local : n'existe que sur un poste ; utile pour un groupe de travail et comme compte de secours d'un poste du domaine (il fonctionne sans contrôleur).
• Compte du domaine : dans l'annuaire ; ouvre tous les postes du domaine ; ses droits passent par ses groupes. Sur un portable, Windows garde en mémoire la dernière connexion réussie : on peut ouvrir sa session hors du réseau de l'entreprise.

5.2 Administrateur ou utilisateur

• Utilisateur standard : travaille, ne modifie pas le système (invite UAC, voir PR10).
• Administrateur : installe, configure, crée des comptes. Sur un poste du domaine, les Admins du domaine sont automatiquement administrateurs (voir chapitre 6).
• Comptes intégrés : Administrateur (désactivé par défaut sur les postes Windows récents) et Invité (à laisser désactivé).

Moindre privilège : le technicien a deux comptes : tleroy (standard, pour le courriel et le web) et adm-tleroy (administration seulement). Un compte par personne : jamais de compte commun « accueil ».

Procédure professionnelle (à rédiger) : identifier la personne et son besoin → type (domaine ou local) → standard par défaut → groupes → mot de passe initial → test.

Erreur fréquente : mettre tout le monde administrateur « pour éviter les appels » ; un compte partagé par trois personnes (impossible de savoir qui a fait quoi).

À l'écrit : « Julie : compte du domaine jmartin, standard, groupe G_Compta ; Tom : tleroy standard + adm-tleroy dans Admins du domaine ».

Repère rapide : un compte par personne · standard par défaut · admin séparé · Invité désactivé. Exercices liés : E05, E17, E20 (séquence « Exercices corrigés »).

Objectifs : organiser les droits par groupes et expliquer le rôle des stratégies de groupe.

6.1 Les droits passent par les groupes

On donne les droits aux groupes, puis on place les comptes dans les groupes : une arrivée ou un départ ne change que l'appartenance aux groupes. Groupes métier (convention du cours : préfixe G_) et groupes par défaut du domaine (Utilisateurs du domaine, Admins du domaine, Ordinateurs du domaine).

À la jonction, Windows ajoute deux groupes du domaine dans les groupes locaux du poste :

Un ajout à un groupe ne compte qu'à la prochaine ouverture de session : les groupes sont lus à la connexion (whoami /groups montre ceux de la session en cours).

6.2 Les stratégies de groupe (GPO)

Une stratégie de groupe est un ensemble de réglages appliqué automatiquement aux utilisateurs ou aux ordinateurs d'une unité d'organisation (dossier de l'annuaire, par exemple « Postes-Compta ») : règles de mot de passe et de verrouillage, écran de veille avec mot de passe, lecteur réseau, interdiction des clés USB… On les gère dans la console « Gestion des stratégies de groupe » ; sur le poste, gpupdate /force les recharge et gpresult /r montre celles qui s'appliquent.

Procédure professionnelle (à rédiger) : lister les métiers → un groupe par métier → droits des dossiers aux groupes → comptes dans les groupes → stratégies par unité d'organisation → tester avec un compte de chaque groupe.

Erreur fréquente : donner un droit à une personne directement « pour aller vite » ; oublier de rouvrir la session après un ajout ; modifier la stratégie par défaut du domaine au lieu d'en créer une.

À l'écrit : « G_Compta : Modification sur Compta ; jmartin ajoutée à G_Compta ; session rouverte, accès vérifié ».

Repère rapide : droits → groupes → comptes · reconnexion après ajout · GPO par unité d'organisation. Exercices liés : E11, E16, E17 (séquence « Exercices corrigés »).

Objectifs : gérer les mots de passe, appliquer le moindre privilège et traiter le départ d'une personne.

7.1 Mots de passe

• Personnel et jamais communiqué ; le technicien ne le connaît pas.
• Mot de passe initial temporaire, remis à part, avec l'option « L'utilisateur doit changer le mot de passe à la prochaine ouverture de session ».
• Long plutôt que compliqué (une phrase de passe), unique ; la longueur minimale et le verrouillage après plusieurs essais faux se règlent par stratégie.
• Oubli → réinitialisation (après vérification de l'identité) ; essais faux → compte verrouillé → déverrouillage (sans changer le mot de passe si la personne le connaît).

7.2 Moindre privilège

Chaque compte a les seuls droits nécessaires, le temps nécessaire : utilisateurs standard, administration avec un compte séparé, droits limités au dossier ou au poste concerné.

7.3 Départ : désactiver d'abord

Le jour du départ, on désactive le compte (et on le retire des groupes) : l'accès est coupé, mais ses fichiers, son historique et ses droits restent récupérables. On supprime plus tard, après sauvegarde des données et le délai prévu. Commandes : net user nom /active:no (compte local), Disable-ADAccount nom (domaine) ; console « Utilisateurs et ordinateurs Active Directory » : Désactiver le compte, Réinitialiser le mot de passe, Déverrouiller.

Procédure professionnelle (à rédiger) : demande écrite → vérification d'identité → action minimale (déverrouiller, réinitialiser, désactiver, groupe) → test → trace écrite.

Erreur fréquente : supprimer le compte le jour du départ (fichiers perdus) ; oublier les départs (anciens comptes actifs) ; désactiver le verrouillage pour « éviter les appels ».

À l'écrit : « mvincent parti le 31/08 : compte désactivé, retiré de G_Compta ; données sauvegardées ; suppression prévue après le délai ».

Repère rapide : personnel · temporaire à l'arrivée · déverrouiller ≠ réinitialiser · désactiver puis supprimer. Exercices liés : E02, E07, E15, E20 (séquence « Exercices corrigés »).

Objectifs : dépanner une ouverture de session ou un accès refusé dans l'ordre, preuves à l'appui.

8.1 L'ordre des contrôles

On commence par le plus général (le poste joint-il le contrôleur ?) et on finit par le plus particulier (les droits du compte) :

8.2 Lire les messages

Un seul compte touché sur tous les postes → le compte ; un seul poste touché pour tous les comptes → le poste (réseau, DNS, heure, relation d'approbation).

8.3 Les relevés utiles

DNS correct : le contrôleur répond pour le domaine.

C:\> nslookup ad.dupont.example
Serveur :   dc01.ad.dupont.example
Address:  192.168.20.10

Nom :    ad.dupont.example
Address:  192.168.20.10

Heure : comparer avec le contrôleur (écart de 5 minutes au plus), puis w32tm /resync.

C:\> net time \\DC01
L'heure actuelle de \\DC01 est 27/10/2026 09:12
La commande s'est terminée correctement.
C:\> time /t
09:21

Relation d'approbation rompue (poste restauré depuis une ancienne image, compte d'ordinateur supprimé) : réparer avec Test-ComputerSecureChannel -Repair depuis une session locale d'administration, ou sortir du domaine puis le rejoindre.

C:\> nltest /sc_query:ad.dupont.example
Échec : la relation d'approbation entre
cette station et le domaine principal a échoué.
État = 1789 0x6fd

Procédure professionnelle (à rédiger) : message exact → un poste ou un compte ? → contrôles dans l'ordre → s'arrêter au premier échec → corriger → tester une connexion → consigner.

Erreur fréquente : réinitialiser le mot de passe alors que le DNS est faux ; sortir le poste du domaine sans compte local de secours connu ; ajouter un droit individuel au lieu de rouvrir la session.

À l'écrit : « PC-05 : 9 minutes d'écart avec DC01 → Kerberos refuse ; w32tm /resync, connexion du domaine réussie ».

Repère rapide : réseau → DNS → heure → poste → compte → droits. Exercices liés : E03, E06, E12, E13, E14, E15, E16 (séquence « Exercices corrigés »).

Objectifs : conseiller une organisation de 3 à 20 postes et justifier le choix.

9.1 Le repère du cours

Un groupe de travail convient jusqu'à une dizaine de postes (10 au plus) quand chacun reste sur son poste, que le personnel est stable et qu'aucune règle ne doit être imposée à tous. Au-delà, ou dès qu'il faut gérer de façon centralisée (arrivées et départs fréquents, personnes qui changent de poste, règles communes), on conseille un domaine, avec au moins un serveur contrôleur. Ce repère est une convention du cours, pas une limite technique : on justifie toujours par la situation.

9.2 Ce qu'on écrit au client

Le modèle conseillé et ses raisons, le matériel (serveur ou non), la fiche des comptes et des groupes, les règles (mots de passe, moindre privilège, départs) et le coût (serveur, licences, temps de gestion).

Procédure professionnelle (à rédiger) : compter postes et personnes → repérer rotation, itinérance et règles → choisir le modèle → fiche comptes et groupes → plan de mise en place.

Erreur fréquente : conseiller un domaine à trois postes stables sans budget serveur ; garder un groupe de travail à vingt postes « parce que ça marche ».

À l'écrit : « 14 postes et remplaçants qui changent de poste : domaine ; un compte par personne valable partout, désactivation en un seul endroit ».

Repère rapide : ≤ 10 postes stables → groupe de travail · plus, ou rotation, itinérance, règles → domaine. Exercices liés : E04, E17 (séquence « Exercices corrigés »).