INSTALLER LES COMPOSANTES D'UN RESEAU CLIENT/ SERVEUR

## Objectifs et prérequis **Objectifs** : À l’issue de ce chapitre, l’élève sera capable de : 1. Sélectionner, monter et mettre sous tension un serveur adapté aux besoins d’une petite ou moyenne entreprise camerounaise. 2. Installer et configurer un système d’exploitation serveur (Windows Server ou Linux) en respectant les normes de dénomination, d’adressage IP statique et de services de base (DHCP, DNS, AD/LDAP, NTP). 3. Réaliser l’installation physique d’un poste client, le connecter au réseau et le configurer pour accéder aux services du serveur (authentification domaine, partage de fichiers, impression, messagerie). 4. Appliquer les règles de sécurité physique et logique (mise à jour, pare‑feu, mots de passe complexes, sauvegarde, contrôle d’accès). 5. Réaliser des tests de fonctionnement et rédiger un procès‑verbal de mise en service. **Prérequis** : - Notions de topologie réseau (étoile, hiérarchique) et d’adressage IPv4 (masque, passerelle, DNS). - Connaissances de base en matériel informatique (carte mère, processeur, RAM, disque dur, alimentation, carte réseau). - Familiarité avec l’environnement d’un système d’exploitation (navigation dans le BIOS/UEFI, création d’une clé USB bootable). - Notions de sécurité informatique élémentaires (mot de passe, antivirus). --- ## Introduction contextualisée Au Cameroun, les entreprises publiques et privées modernes s’appuient de plus en plus sur une architecture client/serveur pour centraliser les données, garantir la sauvegarde et faciliter la gestion des utilisateurs. Que ce soit dans une agence de télécommunication à Douala, un bureau d’études à Yaoundé ou une école technique à Garoua, l’installation d’un serveur fiable et la configuration correcte des postes clients sont des compétences essentielles pour un technicien supérieur en réseaux et télécommunications. Ce chapitre présente, étape par étape, les bonnes pratiques professionnelles reconnues par le MINESEC/IGE, en intégrant les normes de sécurité électrique (NF C 15‑100), les recommandations du constructeur et les procédures de mise en service usuelles dans les ateliers camerounais. --- ## I. Leçon 18: Serveur - Installation physique et système ### A. Choix du matériel serveur Un serveur destiné à un petit réseau d’entreprise doit répondre aux critères suivants : | Critère | Valeur minimale recommandée | Justification | |---------|----------------------------|---------------| | Processeur | Xeon E‑2224 ou équivalent AMD EPYC 7232 | 4 cœurs, fréquence ≥ 3,0 GHz pour gérer les services AD/DNS | | Mémoire vive (RAM) | 8 Go DDR4 ECC | Permet la virtualisation légère et le cache DNS | | Stockage primaire | 2 × 1 To SSD NVMe en RAID 1 | Redondance et vitesse d’accès aux fichiers système | | Stockage secondaire (données) | 4 × 2 To HDD SATA en RAID 5 | Capacité de stockage des partages utilisateurs | | Carte réseau | 2 × Gigabit Ethernet (1000Base‑T) avec prise en charge du teaming | Séparation trafic management / données | | Alimentation | Redondante 500 W 80+ Gold | Garantit la continuité en cas de panne d’un bloc | | Boîtier | Rack 1U ou 2U compatible avec les baies 19’’ | Facilite l’intégration dans une armoire réseau | > Un serveur doit disposer d’une alimentation redondante et d’une mémoire ECC pour garantir la tolérance aux fautes dans un environnement professionnel. ### B. Installation physique 1. **Déballage et vérification** : contrôler la conformité du bon de livraison, vérifier l’absence de dommages visibles, relever le numéro de série. 2. **Montage en rack** : glisser le serveur sur les rails, fixer avec les vis fournies, s’assurer que le flux d’air avant‑arrière n’est pas obstrué. 3. **Connexions** : - Brancher les câbles d’alimentation sur deux prises distinctes du PDU (pour la redondance). - Connecter les deux ports réseau à un switch gestionnaire (VLAN management et VLAN données). - Brancher le clavier, la souris et le moniteur temporairement pour la configuration initiale (ou utiliser un KVM sur IP). 4. **Mise sous tension** : appuyer sur le bouton d’alimentation, observer les LED de statut (alimentation, disque, réseau). 5. **Vérification POST** : entrer dans le BIOS/UEFI (souvent via <Del> ou <F2>) pour confirmer la détection du processeur, de la RAM et des disques. > Toujours brancher l’alimentation sur un parafoudre ou un onduleur (UPS) afin de protéger le matériel contre les surtensions fréquentes au Cameroun. ### C. Installation du système d’exploitation #### 1. Choix de l’OS - **Windows Server 2022 Standard** : adapté aux environnements Active Directory, facile à administrer via l’interface graphique. - **Linux Ubuntu Server 22.04 LTS** : option libre, faible consommation de ressources, idéal pour les services DNS, DHCP, Samba et NTP. #### 2. Procédure commune (exemple avec Ubuntu Server) a. **Création du support bootable** : télécharger l’ISO depuis le site officiel, utiliser Rufus (Windows) ou `dd` sous Linux pour écrire l’image sur une clé USB ≥ 8 Go. b. **Boot** : dans le BIOS/UEFI, définir l’ordre de boot → USB en premier, sauvegarder et redémarrer. c. **Langue et clavier** : choisir Français (Cameroun) et disposition AZERTY. d. **Configuration réseau** : attribuer une adresse IP statique (ex. 192.168.10.10/24, passerelle 192.168.10.1, DNS 192.168.10.10). e. **Partitionnement** : - `/boot` : 500 Mo en ext4. - `swap` : 2 Go (ou égal à la RAM si hibernation souhaitée). - `/` (racine) : reste du disque SSD en ext4. - `/var` : séparé sur le RAID 5 HDD pour les logs et les bases de données. f. **Création de l’utilisateur** : nom d’hôte `srv01`, nom complet `Serveur Principal`, mot de passe complexe (≥12 caractères, majuscule, minuscule, chiffre, symbole). g. **Installation du système SSH** : cocher `OpenSSH server` pour l’administration distante. h. **Fin de l’installation** : retirer la clé USB, laisser le serveur redémarrer. > Lors de l’installation d’un système d’exploitation serveur, il est indispensable de configurer une adresse IP statique avant toute mise en production afin d’éviter les conflits d’adresses. #### 3. Post‑installation de base (Windows Server) - Activer le rôle **Serveur de noms de domaine (DNS)** via le Gestionnaire de serveur. - Configurer une zone directe `entreprise.cm` avec enregistrement A pour `srv01.entreprise.cm` pointant vers 192.168.10.10. - Installer le rôle **Services de domaine Active Directory (AD DS)**, promouvoir le serveur en contrôleur de domaine du nouveau domaine `entreprise.cm`. - Définir le niveau fonctionnel de la forêt et du domaine Windows Server 2022. - Configurer le service **DHCP** : plage 192.168.10.100‑192.168.10.200, masque 255.255.255.0, passerelle 192.168.10.1, DNS 192.168.10.10. - Activer le service **NTP** (source : time.nist.gov) pour synchroniser les horloges. > Un contrôleur de domaine doit être le seul serveur autorisé à fournir le service DHCP sur le même sous‑réseau afin d’éviter les conflits d’attribution d’adresses. ### D. Configuration des services de base | Service | Fonction | Port(s) utilisé(s) | Commande de vérification (Linux) | |---------|----------|--------------------|----------------------------------| | DNS | Résolution de noms | 53 UDP/TCP | `dig @127.0.0.1 srv01.entreprise.cm` | | DHCP | Attribution dynamique d’IP | 67 UDP (serveur), 68 UDP (client) | `dhcpd -t` (test de configuration) | | AD/LDAP | Authentification centralisée | 389 TCP, 636 TCP (LDAPS) | `ldapsearch -x -H ldap://srv01 -b "dc=entreprise,dc=cm"` | | NTP | Synchronisation horaire | 123 UDP | `ntpq -p` | | Samba (SMB/CIFS) | Partage de fichiers/impression | 445 TCP | `smbclient -L //srv01 -U%` | | IIS/Apache | Services web (intranet) | 80 TCP, 443 TCP | `curl -I http://srv01` | Chaque service doit être accompagné d’une règle de pare‑feu autorisant uniquement les ports nécessaires (ex. `ufw allow 53/tcp` pour DNS). ### E. Sécurité et hygiène du serveur - **Mises à jour** : appliquer les correctifs mensuels (WSUS pour Windows, `apt update && apt upgrade` pour Linux). - **Sauvegarde** : planifier une sauvegarde quotidienne incrémentale des états du système (`wbadmin` ou `rsync`) vers un NAS externe, avec test de restauration mensuel. - **Contrôle d’accès physique** : placer le serveur dans une armoire verrouillée, autoriser uniquement le personnel technique habilité. - **Mots de passe** : exiger un changement tous les 90 jours, historique de 5 mots de passe, verrouillage après 5 échecs. - **Journalisation** : activer l’audit des connexions, des modifications de stratégie de groupe et des accès aux partages sensibles. - **Antivirus/anti‑malware** : installer une solution centrale (ex. Windows Defender ATP, ClamAV avec mise à jour quotidienne). > Toute modification de la configuration du serveur doit être consignée dans un registre de changements comportant date, opérateur, description et validation du responsable hiérarchique. --- ## II. Leçon 19: CLIENT et services réseau ### A. Typologie des clients - **Poste de travail classique** : tour ou tout‑en‑un, destiné à la bureautique, CAO, développement. - **Terminal léger (thin client)** : dépourvu de disque dur local, boot via PXE, exécute les applications sur le serveur (ex. WTware, Raspberry Pi 4 avec système Lite). - **Appareil mobile** : smartphone ou tablette configuré pour accéder au Wi‑Fi d’entreprise et aux services via VPN ou ActiveSync. ### B. Installation physique du client 1. **Assemblage** : installer la carte mère, le processeur, la barrette RAM, le disque dur (SSD 250 Go recommandé) et l’alimentation dans le boîtier. 2. **Câblage réseau** : utiliser une paire torsadée Cat6, connecter la carte réseau au switch d’accès (VLAN données). 3. **Périphériques** : brancher clavier, souris, moniteur (via HDMI/DisplayPort), éventuellement une imprimante locale en USB. 4. **Mise sous tension** : vérifier le POST, entrer dans le BIOS/UEFI pour activer le boot réseau (PXE) si le client est un thin client. > Le câblage Cat6 doit être certifié pour supporter au moins 1 Gbps sur 100 m afin de garantir la pleine bande passante des services serveur. ### C. Configuration du système d’exploitation client #### 1. Windows 10/11 Pro - **Nom d’ordinateur** : `PC01` (exemple). - **Adresse IP** : obtenir automatiquement via DHCP (ou définir une IP statique si nécessaire, ex. 192.168.10.150/24). - **Jointure au domaine** : 1. Ouvrir *Paramètres → Comptes → Accéder à un établissement scolaire ou professionnel*. 2. Cliquer sur *Connecter*, entrer le nom du domaine `entreprise.cm`, fournir les identifiants d’un compte administrateur de domaine. 3. Redémarrer, ouvrir une session avec `entreprise\utilisateur`. - **Configuration du profil** : activer la redirection des dossiers (`Documents`, `Bureau`) vers le partage serveur `\\srv01\utilisateurs\%username%`. - **Impression** : ajouter l’imprimante réseau via `\\srv01\Imprimante01` (pilote partagé via Samba ou serveur d’impression Windows). #### 2. Ubuntu Desktop 22.04 LTS - **Nom d’hôte** : `client01`. - **Réseau** : utiliser le gestionnaire NetworkManager, choisir DHCP ou IP statique identique à celui du serveur. - **Authentification LDAP** : installer `libnss-ldap`, `libpam-ldap`, `ldap-auth-config`. Lors de la configuration, fournir l’URI `ldap://srv01.entreprise.cm`, le DN de base `dc=entreprise,dc=cm`, et le mot de passe du compte de service LDAP. - **Montage du partage Samba** : installer `cifs-utils`, créer le point de montage `/mnt/partage`, ajouter dans `/etc/fstab` : ``` //srv01/utilisateurs /mnt/partage cifs credentials=/etc/samba/credentiel,iocharset=utf8,sec=ntlmssp 0 0 ``` où le fichier `credentiel` contient `username=utilisateur` et `password=****`. - **Impression** : installer `cups`, ajouter l’imprimante IPP via `http://srv01:631/printers/Imprimante01`. > Lors de l’intégration d’un client Linux à un domaine Active Directory, il est indispensable de synchroniser l’horloge du client avec celle du serveur NTP sous peine d’échec d’authentification Kerberos. ### D. Installation et configuration des services réseau usuels | Service | Protocole/Application | Configuration côté client | Exemple d’utilisation au Cameroun | |---------|----------------------|---------------------------|-----------------------------------| | Navigation web | HTTP/HTTPS (proxy) | Définir le proxy `http://proxy.entreprise.cm:3128` dans les paramètres du navigateur ou via GPO | Accès à l’intranet du ministère de l’Éducation | | Messagerie | IMAP/SMTP (Exchange ou Zimbra) | Configurer le client (Outlook, Thunderbird) avec serveur `mail.entreprise.cm`, port 993 IMAP SSL, 587 SMTP STARTTLS | Échange de courriers internes entre services | | Impression partagée | IPP ou SMB | Ajouter l’imprimante réseau via son nom UNC ou son URL IPP | Impression de feuilles de paie au service comptabilité | | Partage de fichiers | SMB/CIFS | Mapper le lecteur réseau `Z:` vers `\\srv01\partages\projets` | Collaboration sur des cahiers de charges | | Visioconférence | SIP/H.323 ou Teams/Zoom | Installer le client, saisir les identifiants de l’annuaire LDAP | Réunions pédagogiques à distance entre écoles | | Antivirus | Agent centralisé | Déployer l’agent via GPO ou script de connexion | Protection contre les ransomwares fréquents en milieu universitaire | ### E. Sécurité du poste client - **Antivirus/anti‑malware** : maintenir les définitions à jour, planifier un scan complet hebdomadaire. - **Mise à jour du système** : activer les mises à jour automatiques (Windows Update, `unattended-upgrades` sous Ubuntu). - **Chiffrement du disque** : BitLocker (Windows) ou LUKS (Linux) avec sauvegarde de la clé de récupération dans Active Directory. - **Verrouillage d’écran** : délai d’inactivité de 5 minutes, mot de passe requis pour reprendre. - **Contrôle des périphériques USB** : stratégie de groupe autorisant uniquement les périphériques approuvés (clés USB chiffrées). - **Sensibilisation** : formation annuelle sur le phishing et les bonnes pratiques de mot de passe. > Un poste client non chiffré constitue une vulnérabilité majeure en cas de vol ou de perte, particulièrement dans les zones à risque du Nord‑Cameroun. --- ## Synthèse du chapitre - **Serveur** : choisir du matériel redondant, monter en rack, installer un OS serveur (Windows Server 2022 ou Ubuntu Server LTS), configurer IP statique, services DNS, DHCP, AD/LDAP, NTP, Samba, appliquer mises à jour, sauvegarde et contrôle d’accès physique. - **Client** : assembler le poste, câbler en Cat6, obtenir une adresse IP via DHCP ou IP statique, rejoindre le domaine (Windows) ou configurer l’authentification LDAP (Linux), mapper les partages réseau, installer les imprimantes, activer le chiffrement du disque et le verrouillage d’écran. - **Sécurité** : pare‑feu restreint aux ports nécessaires, mots de passe complexes, mises à jour régulières, sauvegardes testées, journalisation, sensibilisation aux menaces. - **Documentation** : registre de changements, procès‑verbal de mise en service, schéma d’adressage IP, plan de câblage. --- ## Glossaire | Terme | Définition | |-------|------------| | **AD DS** | Services de domaine Active Directory : annuaire centralisé pour l’authentification, l’autorisation et la gestion des politiques dans un réseau Windows. | | **DHCP** | Protocole de configuration dynamique d’hôtes : attribue automatiquement une adresse IP, un masque, une passerelle et des serveurs DNS. | | **DNS** | Système de noms de domaine : traduit les noms d’hôtes (ex. srv01.entreprise.cm) en adresses IP. | | **LDAP** | Protocole léger d’accès aux annuaires : permet la consultation et la modification d’annuaires tels qu’Active Directory ou OpenLDAP. | | **NFS** | Système de fichiers réseau : permet le partage de fichiers entre systèmes Unix/Linux en mode lecture/écriture. | | **NTP** | Protocole de temps réseau : synchronise l’horloge des machines sur une source de temps précise (ex. serveur stratum 1). | | **SMB/CIFS** | Protocole de partage de fichiers et d’imprimantes utilisé principalement par Windows, mais aussi supporté par Linux via Samba. | | **UPS** | Onduleur : fournit une alimentation de secours et protège contre les surtensions et les coupures de courant. | | **VLAN** | Réseau local virtuel : segmentation logique d’un réseau physique pour isoler le trafic (ex. management vs données). | | **VPN** | Réseau privé virtuel : crée un tunnel chiffré permettant un accès sécurisé aux ressources d’entreprise depuis l’extérieur. | | **GPO** | Objet de stratégie de groupe : mécanisme Windows permettant de déployer uniformément des configurations et des politiques sur les ordinateurs d’un domaine. | | **RAID** | Redundant Array of Independent Disks : combinaison de plusieurs disques pour améliorer la performance, la capacité ou la tolérance aux pannes. | | **PXE** | Pré‑exécution d’environnement : permet le démarrage d’un ordinateur via le réseau, utilisé pour le déploiement d’OS ou le boot de thin clients. | | **SSH** | Secure Shell : protocole sécurisé pour l’accès distant en ligne de commande à un serveur Unix/Linux. | | **BitLocker** | Solution de chiffrement de disque intégrée à Windows protégeant les données en cas de perte ou de vol du matériel. | --- ## Exercices d'application corrigés ### Exercice 1 – Mise en service d’un serveur de fichiers **Consigne** : Vous disposez d’un serveur physique identique à celui décrit dans la leçon 18 (2 × 1 To SSD en RAID 1 pour le système, 4 × 2 To HDD en RAID 5 pour les données). Vous devez : 1. Installer Ubuntu Server 22.04 LTS avec une adresse IP statique 192.168.10.10/24, passerelle 192.168.10.1, DNS 192.168.10.10. 2. Configurer le service Samba pour partager le répertoire `/srv/partages` en lecture/écriture pour le groupe `utilisateurs`. 3. Mettre en place une sauvegarde quotidienne incrémentale vers un disque USB externe monté sur `/mnt/sauvegarde`. 4. Rédiger le procès‑verbal de mise en service incluant les étapes réalisées, les commandes utilisées et les vérifications effectuées. **Corrigé** : 1. **Installation d’Ubuntu Server** - Télécharger l’ISO, créer une clé USB bootable avec `dd if=ubuntu-22.04-live-server-amd64.iso of=/dev/sdb bs=4M status=progress && sync`. - Booter sur la clé, choisir la langue Français, clavier Français (Cameroun). - Dans l’écran de configuration réseau : sélectionner l’interface `enp3s0`, choisir **IPv4 static**, entrer `192.168.10.10`, masque `255.255.255.0`, passerelle `192.168.10.1`, serveurs DNS `192.168.10.10`. - Nom d’hôte : `srv01`. - Partitionnement : choisir **Utiliser un disque entier**, puis **Partitionner manuellement** : * `/dev/sda1` 500 Mo ext4, point de montage `/boot`. * `/dev/sda2` 8 Go swap. * `/dev/sda3` reste du SSD (environ 1 To) ext4, point de montage `/`. * Créer un RAID 5 avec les quatre disques HDD (`/dev/sdb` à `/dev/sde`) via `mdadm --create /dev/md0 --level=5 --raid-devices=4 /dev/sdb /dev/sdc /dev/sdd /dev/sde`. * Formater `/dev/md0` en ext4, point de montage `/srv/partages`. - Créer l’utilisateur `admin` avec mot de passe complexe, installer `openssh-server`. - Terminer l’installation, retirer la clé USB, laisser le serveur redémarrer. 2. **Configuration de Samba** - Installer le paquet : `sudo apt update && sudo apt install -y samba samba-common-bin`. - Créer le répertoire de partage : `sudo mkdir -p /srv/partages` ; `sudo chown -R admin:admin /srv/partages` ; `sudo chmod -R 2775 /srv/partages`. - Éditer `/etc/samba/smb.conf` et ajouter à la fin : ``` [partages] comment = Partage de fichiers entreprise path = /srv/partages browseable = yes read only = no guest ok = no valid users = @utilisateurs force group = utilisateurs create mask = 0660 directory mask = 2770 ``` - Créer le groupe Unix `utilisateurs` : `sudo groupadd utilisateurs`. - Ajouter les utilisateurs nécessaires (ex. `user1`, `user2`) au groupe : `sudo usermod -aG utilisateurs user1`. - Redémarrer Samba : `sudo systemctl restart smbd nmbd`. - Tester depuis un client Windows : `net use Z: \\srv01\partages /user:admin *` (entrer le mot de passe). 3. **Sauvegarde incrémentale** - Connecter le disque USB externe, le détecter : `lsblk` → supposons `/dev/sdf1`. - Créer le point de montage : `sudo mkdir -p /mnt/sauvegarde` ; `sudo mount /dev/sdf1 /mnt/sauvegarde`. - Installer `rsync` si absent : `sudo apt install -y rsync`. - Créer le script de sauvegarde `/usr/local/sbin/backup.sh` : ```bash #!/bin/bash SOURCE="/srv/partages" DEST="/mnt/sauvegarde/backup_$(date +%Y%m%d_%H%M%S)" rsync -av --delete "$SOURCE/" "$DEST/" # Conserver seulement les 30 dernières sauvegardes find /mnt/sauvegarde -type d -name "backup_*" -mtime +30 -delete ``` - Rendre exécutable : `sudo chmod +x /usr/local/sbin/backup.sh`. - Planifier avec cron : `sudo crontab -e` → ajouter `0 2 * * * /usr/local/sbin/backup.sh` (exécution chaque jour à 02h00). - Vérifier le premier lancement : `sudo /usr/local/sbin/backup.sh` puis contrôler la présence du répertoire de sauvegarde. 4. **Procès‑verbal de mise en service (extrait)** ``` Procès‑verbal de mise en service – Serveur de fichiers SRV01 Date : 03/11/2025 Opérateur : Ing. T. Ngo Étapes réalisées : 1. Installation physique : serveur monté en rack 2U, alimentation redondante branchée sur deux prises UPS, câbles Cat6 reliés au switch accès (VLAN 10). 2. Installation OS : Ubuntu Server 22.04 LTS, IP statique 192.168.10.10/24, passerelle 192.168.10.1, DNS 192.168.10.10, nom d’hôte srv01. 3. Configuration RAID : md0 RAID5 sur 4×2 To HDD, formaté ext4, monté sur /srv/partages. 4. Installation Samba : version 4.15.13, partage [partages] créé, groupe utilisateurs créé, droits 2770 sur répertoires, 660 sur fichiers. 5. Sauvegarde : script rsync installé, cron programmé à 02h00 quotidien, première sauvegarde effectuée avec succès (taille 12 Go). 6. Vérifications : - ping 192.168.10.10 depuis un poste client : réponse <2 ms. - test d’accès au partage : net use Z: \\srv01\partages /user:admin * → succès. - contrôle du journal Samba : /var/log/samba/log.smbd – aucune erreur. - vérification de la sauvegarde : ls /mnt/sauvegarde/backup_* → présence du répertoire du jour. Conclusion : Le serveur est opérationnel, conforme aux exigences de sécurité et de disponibilité. Signatures : Opérateur ___________ Responsable hiérarchique ___________ ``` ### Exercice 2 – Intégration d’un poste client Linux au domaine **Consigne** : Un poste de travail Ubuntu Desktop 22.04 doit être intégré au domaine Active Directory `entreprise.cm` contrôlé par le serveur `srv01`. Vous devez : 1. Configurer la résolution de noms pour pointer vers le DNS du serveur. 2. Installer les paquets nécessaires à l’authentification LDAP/Kerberos. 3. Joindre la machine au domaine à l’aide de `realm`. 4. Vérifier l’obtention d’un ticket Kerberos et la possibilité d’ouvrir une session avec un compte de domaine. 5. Rédiger un court rapport décrivant les commandes utilisées et les résultats obtenus. **Corrigé** : 1. **Configuration DNS** - Éditer `/etc/systemd/resolved.conf` : ``` [Resolve] DNS=192.168.10.10 FallbackDNS=8.8.8.8 ``` - Redémarrer le service : `sudo systemctl restart systemd-resolved`. - Vérifier : `systemd-resolve --status` montre `DNS Servers: 192.168.10.10`. 2. **Installation des paquets** ```bash sudo apt update sudo apt install -y realmd sssd sssd-tools libnss-ldap libpam-ldap ldap-utils krb5-user adcli samba-common-bin ``` Lors de la configuration de `krb5-user` : - Realm default : `ENTREPRISE.CM` (en majuscules). - KDC : `srv01.entreprise.cm`. - Admin server : `srv01.entreprise.cm`. 3. **Découverte et jointure du domaine** ```bash sudo realm discover entreprise.cm # Retour attendu : # entreprise.cm # type: kerberos # realm-name: ENTREPRISE.CM # domain-name: entreprise.cm # configured: kerberos-member # server-software: active-directory # client-software: sssd ``` - Joindre le domaine avec un compte administrateur (ex. `Administrateur`) : ```bash sudo realm join --user=Administrateur entreprise.cm # Entrer le mot de passe du compte Administrateur lorsqu’il est demandé. ``` - Vérifier l’inscription : `sudo realm list` doit afficher le domaine avec `configured: kerberos-member`. 4. **Configuration de SSSD** - Le fichier `/etc/sssd/sssd.conf` a été généré automatiquement. S’assurer que les sections suivantes existent : ``` [sssd] domains = entreprise.cm config_file_version = 2 services = nss, pam [domain/entreprise.cm] ad_domain = entreprise.cm krb5_realm = ENTREPRISE.CM realmd_tags = manages-system joined-with-adcli id_provider = ad krb5_store_password_if_offline = True default_shell = /bin/bash ldap_id_mapping = True use_fully_qualified_names = False fallback_homedir = /home/%u@%d access_provider = ad ``` - Redémarrer SSSD : `sudo systemctl restart sssd`. - Activer l’authentification PAM : `sudo authselect select sssd with-mkhomedir --force`. 5. **Vérification du ticket Kerberos** - Obtenir un ticket pour l’utilisateur `jdupont` (exemple) : ```bash kinit jdupont@ENTREPRISE.CM # Entrer le mot de passe de l’utilisateur. ``` - Lister les tickets : `klist` → doit afficher un ticket krbtgt/ENTREPRISE.CM@ENTREPRISE.CM valide. - Tester l’accès à un partage Samba du serveur : ```bash smbclient //srv01/partages -U jdupont%<motdepasse> -c "ls" ``` Doit retourner la liste des fichiers du partage sans erreur. 6. **Rapport d’intégration (extrait)** ``` Rapport d’intégration du poste client Ubuntu – PC01 Date : 04/11/2025 Opérateur : Technicien R. Belo Étapes : 1. Configuration DNS : serveur DNS défini à 192.168.10.10 (DC). 2. Installation des paquets : realmd, sssd, krb5-user, samba-common-bin, libpam-ldap, libnss-ldap. 3. Découverte du domaine : realm discover entreprise.cm → confirmé. 4. Jointure : realm join --user=Administrateur entreprise.cm → succès (code retour 0). 5. Vérification SSSD : service actif, fichier sssd.conf correctement renseigné. 6. Kerberos : kinit pour jdupont@ENTREPRISE.CM → ticket obtenu, klist montre expiration dans 10h. 7. Test d’accès partage : smbclient //srv01/partages -U jdupont%<mdp> -c "ls" → liste des répertoires utilisateurs affichée. Conclusion : Le poste est correctement intégré au domaine, l’authentification Kerberos fonctionne et les utilisateurs de domaine peuvent ouvrir une session locale et accéder aux ressources réseau. Signatures : Opérateur ___________ Responsable hiérarchique ___________ ``` --- ## Erreurs fréquentes et règles de sécurité | # | Erreur fréquente | Conséquence | Règle de prévention / bonne pratique | |---|------------------|-------------|--------------------------------------| | 1 | **Oublier de configurer une adresse IP statique sur le serveur** avant de mettre en production les services DHCP/DNS. | Conflits d’adresses, perte de connexion des clients, services indisponibles. | Toujours attribuer une IP statique au serveur *avant* d’activer les rôles réseau ; vérifier avec `ip addr show` ou le panneau de configuration réseau. | | 2 | **Utiliser le même mot de passe pour le compte administrateur local et le compte de domaine**. | En cas de compromission d’un poste, l’attaquant obtient un accès privilégié au domaine. | Appliquer la politique de mots de passe distincts : compte local complexe, compte de domaine avec historique et changement périodique (ex. 90 jours). | | 3 | **Ne pas mettre à jour le firmware du contrôleur RAID** après l’installation du serveur. | Risque de défaillance silencieuse du RAID, perte de données lors d’une panne de disque. | Planifier une vérification trimestrielle du firmware constructeur ; appliquer les mises à jour lors des fenêtres de maintenance annoncées. | | 4 | **Brancher le câble d’alimentation du serveur sur une seule prise secteur** sans onduleur. | Coupure brutale lors d’une coupure de courant → corruption du système de fichiers, perte de configuration. | Toujours connecter l’alimentation à un onduleur (UPS) avec suffisamment d’autonomie pour permettre un arrêt propre (≥5 min). | | 5 | **Omettre de créer une règle de pare‑feu autorisant uniquement les ports nécessaires** (ex. laisser le port 22 ouvert à tout Internet). | Exposition inutile aux attaques brute‑force SSH, risque de compromission. | Appliquer le principe du moindre privilège : autoriser uniquement les adresses IP de confiance ou restreindre à la plage interne ; désactiver les services inutilisés. | | 6 | **Ne pas tester la restauration de sauvegarde** avant d’en avoir réellement besoin. | Découverte trop tard que les sauvegardes sont corrompues ou incomplètes → perte définitive de données. | Planifier un test de restauration mensuel sur un matériel de secours ; consigner le résultat dans le registre de sauvegardes. | --- *Fin du cours.*