SYSTEME D'EXPLOITATION SERVEUR

## Objectifs et prérequis **Objectifs** : À l’issue de ce chapitre, l’élève sera capable de : - Décrire les rôles et les responsabilités d’un administrateur de réseaux dans un environnement professionnel camerounais. - Expliquer l’architecture client‑serveur et les principaux services réseau (DNS, DHCP, AD, etc.). - Installer, configurer et administrer un serveur Windows Server (édition 2019/2022) en mettant en œuvre les rôles AD DS, DNS, DHCP, fichiers et impression, ainsi que les stratégies de groupe. - Installer, configurer et administrer un serveur Linux (Ubuntu Server, CentOS/RHEL ou Debian) en utilisant la ligne de commande, la gestion de paquets, les services SSH, Apache/Nginx, DHCP et DNS, ainsi que les mécanismes de sécurité (SELinux, firewalld/ufw, sudo). - Appliquer les bonnes pratiques de sauvegarde, de monitoring et de sécurité conformément aux normes ISO/IEC 27001 et aux recommandations du MINESEC. **Prérequis** : - Connaissances de base en matériel informatique (CPU, RAM, stockage, cartes réseau). - Notions de systèmes d’exploitation clients (Windows 10/11, Linux desktop). - Compréhension du modèle OSI et du TCP/IP (adressage IP, masques de sous‑réseau, passerelle). - Savoir manipuler une interface en ligne de commande (invite CMD ou terminal). ## Introduction contextualisée Au Cameroun, les entreprises publiques et privées, les établissements scolaires et les administrations s’appuient de plus en plus sur des infrastructures serveurs pour centraliser les données, assurer la messagerie électronique, héberger des applications métiers (gestion de stock, comptabilité, e‑learning) et fournir des services d’accès à Internet. La maîtrise de l’administration des serveurs Windows et Linux constitue donc une compétence clé pour les techniciens supérieurs en systèmes de réseaux et de télécommunications (série MIE). Ce chapitre présente, de façon progressive, les concepts généraux d’administration réseau, puis les spécificités des deux plateformes serveurs les plus répandues dans le milieu professionnel camerounais. ## I. Généralité sur l’administration des réseaux (Leçon 5) ### A. Définitions et rôles de l’administrateur réseau > **Administrateur réseau** : professionnel chargé de la conception, de l’installation, de la configuration, du suivi et de la maintenance des infrastructures informatiques permettant la communication entre les équipements. Ses missions principales sont : 1. Planification de la topologie (star, hiérarchique, maillée) selon les besoins de l’organisation. 2. Déploiement des services essentiels (annuaire, résolution de noms, attribution d’adresses). 3. Surveillance de la performance et de la disponibilité (outils de monitoring, journaux). 4. Gestion de la sécurité (pare‑feu, authentification, chiffrement). 5. Élaboration et test des procédures de sauvegarde et de reprise après sinistre. ### B. Architecture client‑serveur Le modèle **client‑serveur** oppose deux entités : - **Client** : poste de travail ou appareil qui sollicite un service. - **Serveur** : machine dédiée qui fournit le service (fichiers, impression, base de données, etc.). Les échanges s’appuient sur des protocoles de couche application (HTTP, SMB, NFS, LDAP, etc.) transportés par TCP/IP. Cette architecture permet la centralisation des ressources, la simplification de l’administration et la mise en place de politiques de sécurité unifiées. ### C. Principaux services réseau | Service | Protocole associé | Fonction principale | Exemple d’utilisation au Cameroun | |---------|-------------------|---------------------|-----------------------------------| | DNS | UDP/TCP 53 | Résolution de noms d’hôtes en adresses IP | Résolution du nom `www.minesec.cm` pour accéder au portail du ministère | | DHCP | UDP 67/68 | Attribution dynamique d’adresses IP, masque, passerelle, DNS | Configuration automatique des postes dans un lycée de Yaoundé | | AD DS (Active Directory Domain Services) | LDAP, Kerberos | Annuaire centralisé d’utilisateurs, ordinateurs, politiques | Gestion des comptes des enseignants dans un établissement technique | | Fichiers & impression | SMB/CIFS, NFS | Partage de dossiers et d’imprimantes | Partage de supports de cours sur un serveur de fichiers | | Messagerie | SMTP, POP3/IMAP | Envoi, réception et stockage de courriels | Serveur mail interne d’une entreprise de télécom à Douala | | Web | HTTP/HTTPS (80/443) | Hébergement de sites et d’applications web | Portail d’inscription aux examens du BAC | ### D. Méthodologie d’administration 1. **Analyse des besoins** : recueil des exigences (nombre d’utilisateurs, types d’applications, niveau de disponibilité). 2. **Conception** : élaboration du schéma d’adressage IP, choix des services, définition des zones de sécurité (DMZ, VLAN). 3. **Mise en œuvre** : installation des systèmes d’exploitation serveur, configuration des rôles/services, application des politiques de groupe ou de ségrégation. 4. **Validation** : tests de connectivité, de résolution de noms, de connexion aux partages, vérification des journaux. 5. **Exploitation** : monitoring (SNMP, WMI, Nagios, Zabbix), gestion des incidents, mise à jour des correctifs. 6. **Amélioration continue** : revues périodiques, capacité planning, audit de sécurité. ### E. Normes de sécurité et bonnes pratiques - **ISO/IEC 27001** : système de management de la sécurité des informations (SMSI). - **Principes du moindre privilège** : chaque compte ne possède que les droits strictement nécessaires. - **Gestion des correctifs** : application régulière des patches OS et des applications (WSUS pour Windows, unattended-upgrades pour Linux). - **Journalisation centralisée** : syslog ou Windows Event Forwarding pour la traçabilité. - **Sauvegarde 3‑2‑1** : trois copies, sur deux types de médias, dont une hors site. > **Règle de sécurité fondamentale** : jamais exposer directement un service critique (AD, DNS, base de données) à Internet sans passer par un pare‑feu applicatif ou un VPN. ## II. Introduction à Windows serveur (Leçon 6) ### A. Historique et éditions Windows Server a évolué depuis Windows NT 4.0 (1996) vers les versions actuelles : - **Windows Server 2019** (LTSC, support jusqu’en 2029) - **Windows Server 2022** (dernière LTS, support jusqu’en 2031) Les éditions les plus rencontrées en milieu professionnel camerounais sont : **Standard** (pour les PME) et **Datacenter** (environnements virtualisés intensifs). ### B. Installation et configuration de base 1. **Préparation du support** : téléchargement de l’ISO depuis le portail Microsoft Evaluation Center, création d’une clé USB bootable (Rufus). 2. **Choix du type d’installation** : *Server Core* (interface minimale, recommandé pour les serveurs de production) ou *Desktop Experience* (interface complète, utile en formation). 3. **Partitionnement** : partition système (C:) d’au moins 60 Go en NTFS, partition de récupération facultative. 4. **Configuration initiale** : nom d’ordinateur, adresse IP statique (ex. 10.0.0.10/24, passerelle 10.0.0.1, DNS 10.0.0.10), mot de passe administrateur conforme à la politique de complexité (≥8 caractères, majuscule, minuscule, chiffre, symbole). > **À retenir** : en production, attribuer toujours une adresse IP statique aux serveurs afin d’éviter les conflits DHCP. ### C. Gestion des utilisateurs et groupes (Active Directory) - **Installation du rôle AD DS** : via Server Manager → Ajouter des rôles et fonctionnalités → Services de domaine Active Directory. - **Promotion du serveur** : via l’assistant d’ajout de rôles et fonctionnalités ou PowerShell (`Install-ADDSDomainController`) pour créer un nouveau domaine (ex. `ecole.cm`). - **Création d’unités d’organisation (OU)** : séparer les comptes enseignants, élèves, personnel administratif. - **Groupes de sécurité** : `Enseignants_RW` (lecture/écriture sur partage de cours), `Eleve_RO` (lecture seule). - **Delegation de contrôle** : attribuer à un responsable informatique la possibilité de réinitialiser les mots de passe dans une OU spécifique. ### D. Services de fichiers et d’impression - **Service de fichiers** : rôle Services de fichiers et de stockage → création de partages SMB (`\\SERVER\Cours`) avec quotas (ex. 5 Go par enseignant). - **Accès basé sur les revendications (Dynamic Access Control)** : définir des règles selon l’appartenance à un groupe ou la classification des données. - **Service d’impression** : rôle Services d’impression → installation des pilotes, création d’une file d’attente partagée (`\\SERVER\Impr_Labo`). - **DFS (Distributed File System)** : espace de noms unique (`\\ecole.cm\Partage`) répliquant les dossiers entre plusieurs serveurs pour la haute disponibilité. ### E. Gestion des politiques de groupe (GPO) - **Éditeur de stratégie de groupe** : `gpmc.msc`. - **Exemples de GPO** : - *Configurer le mot de passe* : longueur minimale 12, historique 24. - *Rediriger les dossiers* : `Documents` vers `\\SERVER\Profiles\%username%\Documents`. - *Déployer une imprimante* : pousser automatiquement l’imprimante du laboratoire vers tous les postes du OU `Eleve`. - **Loopback processing** : utile dans les salles informatiques où la configuration utilisateur dépend de l’ordinateur. ### F. Sauvegarde et récupération - **Windows Server Backup** : rôle à ajouter → planification de sauvegardes quotidiennes (VSS) vers un disque externe ou un partage NAS. - **Récupération** : démarrage en mode de réparation, sélection de la sauvegarde souhaitée, restauration de l’état système ou de fichiers spécifiques. - **Test de restauration** : réaliser au moins un test trimestriel pour vérifier l’intégrité des sauvegardes. > **À retenir** : la sauvegarde doit être hors ligne (déconnectée) pour se prémunir contre les ransomwares qui chiffrent également les disques connectés. ## III. Introduction sur LINUX (Leçon 7) ### A. Distributions serveur les plus utilisées | Distribution | Base | Cycle de vie | Points forts au Cameroun | |--------------|------|--------------|--------------------------| | Ubuntu Server LTS | Debian | 5 ans (ex. 22.04 LTS jusqu’en 2027) | Grande communauté, paquets récents, cloud‑ready | | CentOS Stream | RHEL | Rolling (suivi de RHEL) | Compatibilité avec les applications entreprises RHEL | | Red Hat Enterprise Linux (RHEL) | Red Hat | 10 ans avec support étendu | Support commercial, certifications RHCE | | Debian Stable | Debian | 5 ans (ex. 12.x) | Stabilité maximale, idéal pour les services critiques | ### B. Installation en mode texte et partitionnement 1. **Boot sur l’ISO** : choisir *Install Ubuntu Server* (ou *Install CentOS*). 2. **Configuration réseau** : adresse IP statique (ex. 10.0.0.20/24, passerelle 10.0.0.1, DNS 10.0.0.10). 3. **Partitionnement** (exemple LVM) : - `/boot` : 500 Mo, ext4 - `swap` : 2 Go (ou fichier swap) - `lv_root` : 20 Go, ext4, point de montage `/` - `lv_var` : 10 Go, ext4, point de montage `/var` (logs, bases de données) - `lv_home` : 10 Go, ext4, point de montage `/home` (si nécessaire) 4. **Création de l’utilisateur administratif** : nom d’utilisateur `admin`, mot de passe fort, ajout au groupe `sudo` (Ubuntu) ou `wheel` (CentOS/RHEL). 5. **Installation du serveur SSH** : activée par défaut sur la plupart des distributions serveur. > **À retenir** : séparer `/var` sur son propre volume logique permet d’éviter qu’un remplissage des logs ne rende le système inopérant. ### C. Gestion des paquets - **Ubuntu/Debian** : `apt update && apt upgrade` ; installation d’un paquet : `apt install <nom>`. - **CentOS/RHEL** : `yum check-update` (ou `dnf`) ; installation : `yum install <nom>`. - **Recherche** : `apt search <mot>` ou `yum search <mot>`. - **Nettoyage** : `apt autoremove` ; `yum clean all`. ### D. Services réseau courants | Service | Paquet | Fichier de configuration principal | Port | Exemple d’utilisation | |---------|--------|-----------------------------------|------|-----------------------| | SSH | `openssh-server` | `/etc/ssh/sshd_config` | 22 | Administration à distance sécurisée | | Web (Apache) | `apache2` (Ubuntu) / `httpd` (CentOS) | `/etc/apache2/apache2.conf` ou `/etc/httpd/conf/httpd.conf` | 80/443 | Hébergement de portail interne | | Web (Nginx) | `nginx` | `/etc/nginx/nginx.conf` | 80/443 | Proxy inverse, serveur statique | | DHCP | `isc-dhcp-server` (Ubuntu) / `dhcp` (CentOS) | `/etc/dhcp/dhcpd.conf` | 67/68 | Attribution dynamique d’adresses IP | | DNS (BIND) | `bind9` | `/etc/bind/named.conf` | 53 | Résolution de noms locaux | | Samba (partage Windows) | `samba` | `/etc/samba/smb.conf` | 139/445 | Partage de fichiers avec postes Windows | **Exemple de configuration DHCP simple (Ubuntu)** : ``` subnet 10.0.0.0 netmask 255.255.255.0 { range 10.0.0.50 10.0.0.150; option routers 10.0.0.1; option domain-name-servers 10.0.0.10; option broadcast-address 10.0.0.255; default-lease-time 600; max-lease-time 7200; } ``` Après édition, redémarrer le service : `systemctl restart isc-dhcp-server`. ### E. Sécurité - **SELinux** (CentOS/RHEL) : modes *enforcing*, *permissive*, *disabled*. Vérifier avec `getenforce`. - **AppArmor** (Ubuntu) : profils dans `/etc/apparmor.d/`. - **Pare‑feu** : `ufw` (Ubuntu) ou `firewalld` (CentOS). Exemple : `ufw allow 22/tcp ; ufw enable`. - **sudo** : édition du fichier `/etc/sudoers` via `visudo` pour autoriser des commandes spécifiques sans mot de passe (ex. `admin ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart apache2`). - **Journalisation** : `journalctl -u ssh.service` pour consulter les logs système. > **À retenir** : désactiver l’authentification par mot de passe pour SSH et privilégier les clés publiques/privées (`ssh-keygen -t ed25519`). ### F. Administration via ligne de commande et scripts Bash - **Gestion des utilisateurs** : `adduser`, `usermod`, `deluser`. - **Gestion des groupes** : `groupadd`, `groupdel`, `gpasswd`. - **Monitoring** : `top`, `htop`, `vmstat`, `iostat`, `free -h`. - **Scripts d’automatisation** : exemple de sauvegarde quotidienne des répertoires `/var/www` et `/etc` : ```bash #!/bin/bash DATE=$(date +%Y%m%d) tar -czpf /backup/backup_$DATE.tar.gz /var/www /etc find /backup -type f -mtime +7 -delete ``` Rendre exécutable : `chmod +x /usr/local/bin/backup.sh` et planifier avec `cron` (`0 2 * * * /usr/local/bin/backup.sh`). > **À retenir** : toujours tester les scripts en mode `bash -x script.sh` avant de les mettre en production. ## Synthèse du chapitre (mini‑fiche de révision) - **Administration réseau** : planification, services essentiels (DNS, DHCP, AD), monitoring, sauvegarde 3‑2‑1, normes ISO/IEC 27001. - **Windows Server** : rôles AD DS, DNS, DHCP, fichiers/impression, GPO, Windows Server Backup, édition Standard/Datacenter, Server Core recommandé. - **Linux** : distributions serveur (Ubuntu LTS, CentOS/RHEL, Debian), installation en mode texte avec LVM, gestion de paquets (apt/yum), services clés (SSH, Apache/Nginx, DHCP, DNS/BIND, Samba), sécurité (SELinux/AppArmor, ufw/firewalld, sudo), automatisation Bash/cron. - **Sécurité commune** : principe du moindre privilège, mises à jour régulières, journalisation centralisée, sauvegarde hors ligne, authentification forte (clés SSH, mots de passe complexes). ## Glossaire (12 termes) > **AD DS** : Active Directory Domain Services, service d’annuaire de Microsoft pour la gestion centralisée des utilisateurs, ordinateurs et politiques. > **DHCP** : Dynamic Host Configuration Protocol, protocole qui attribue automatiquement une adresse IP et les paramètres réseau aux équipements. > **DNS** : Domain Name System, service qui traduit les noms de domaine en adresses IP et vice‑versa. > **GPO** : Group Policy Object, conteneur de paramètres de configuration appliqués aux utilisateurs et ordinateurs d’un domaine Active Directory. > **LVM** : Logical Volume Manager, technologie permettant de créer, redimensionner et gérer des volumes logiques sur Linux. > **NFS** : Network File System, protocole de partage de fichiers Unix/Linux basé sur RPC. > **SELinux** : Security‑Enhanced Linux, module de noyau qui applique des politiques de contrôle d’accès obligatoire (MAC). > **SMB** : Server Message Block, protocole de partage de fichiers, d’imprimantes et de communications entre nœuds Windows et Unix. > **SSH** : Secure Shell, protocole permettant l’accès distant sécurisé à un système via chiffrement symétrique et asymétrique. > **sudo** : commande permettant à un utilisateur autorisé d’exécuter des commandes avec les privilèges du super‑utilisateur (root). > **VSS** : Volume Shadow Copy Service, technologie Windows qui crée des instantanés en lecture seule des volumes pour la sauvegarde. > **Zabbix** : solution open‑source de supervision réseau et serveur (monitoring) basée sur agent et protocole SNMP. ## Exercices d'application corrigés ### Exercice 1 – Mise en place d’un serveur de fichiers Windows **Consigne** : Vous êtes technicien au lycée technique de Ngaoundéré. Vous devez installer un serveur Windows Server 2022 Standard en mode Server Core, créer un partage de cours nommé `Cours` avec un quota de 10 Go par enseignant, et mettre en place une stratégie de groupe qui redirige le dossier `Documents` des élèves vers ce partage. **Corrigé** : 1. **Installation** : - Booter sur l’ISO Windows Server 2022, choisir *Server Core*. - Définir une adresse IP statique : `10.0.0.10/24`, passerelle `10.0.0.1`, DNS `10.0.0.10`. - Renommer l’ordinateur en `SRV-FILE01`. 2. **Installation du rôle Services de fichiers et de stockage** : - Dans PowerShell (disponible en Server Core) : `Install-WindowsFeature FS-FileServer -IncludeManagementTools`. 3. **Création du partage** : - Créer le dossier `D:\Cours`. - Exécuter : `New-SmbShare -Name Cours -Path D:\Cours -FullAccess "DOMAIN\Enseignants" -ReadAccess "DOMAIN\Eleve"`. - Définir le quota : `fsutil quota modify D: 10737418240 10737418240` (10 Go limite douce et dure). 4. **Création de l’OU et des groupes** : - `New-ADOrganizationalUnit -Name "Enseignants" -Path "DC=ecole,DC=cm"` - `New-ADGroup -Name "Enseignants_RW" -GroupScope Global -GroupCategory Security -Path "OU=Enseignants,DC=ecole,DC=cm"` - Répéter pour les élèves (`Eleve_RO`). 5. **GPO de redirection** : - Ouvrir `gpmc.msc` sur une machine d’administration (ou utiliser RSAT). - Créer une GPO nommée `Rediriger_Docs_Eleve`. - Dans *Configuration utilisateur → Paramètres Windows → Redirection de dossiers → Documents* choisir *Rediriger vers l’emplacement suivant* : `\\SRV-FILE01\Cours\%username%\Documents`. - Lier la GPO à l’OU `Eleve`. 6. **Validation** : - Depuis un poste élève, ouvrir l’invite de commande et exécuter `echo %USERPROFILE%\Documents` → doit retourner `\\SRV-FILE01\Cours\NomEleve\Documents`. - Vérifier le quota en créant un fichier de 11 Go → le système doit refuser l’écriture. ### Exercice 2 – Configuration d’un serveur LAMP sous Ubuntu Server **Consigne** : Dans une petite entreprise de développement web à Douala, vous devez déployer un serveur LAMP (Linux, Apache, MySQL, PHP) sur Ubuntu Server 22.04 LTS pour héberger un site interne de gestion de stock. Le serveur doit être accessible uniquement depuis le réseau local (10.0.0.0/24) et les mises à jour de sécurité doivent être appliquées automatiquement chaque nuit. **Corrigé** : 1. **Installation du système** : - Installer Ubuntu Server 22.04 LTS, choisir *OpenSSH server* pendant l’installation. - Configurer IP statique : `10.0.0.20/24`, passerelle `10.0.0.1`, DNS `10.0.0.10`. 2. **Installation de la pile LAMP** : - `sudo apt update` - `sudo apt install apache2 mysql-server php libapache2-mod-php php-mysql -y` 3. **Configuration d’Apache pour restreindre l’accès** : - Éditer `/etc/apache2/apache2.conf` et ajouter : ``` <Directory /var/www/html> Require ip 10.0.0.0/24 </Directory> ``` - Redémarrer Apache : `sudo systemctl restart apache2`. 4. **Sécurisation de MySQL** : - Lancer `sudo mysql_secure_installation` : définir un mot de passe root, supprimer les comptes anonymes, désactiver la connexion root à distance, supprimer la base de test. 5. **Mise à jour automatique** : - Installer le paquet `unattended-upgrades` : `sudo apt install unattended-upgrades -y`. - Éditer `/etc/apt/apt.conf.d/20auto-upgrades` pour s’assurer que les lignes suivantes sont présentes : ``` APT::Periodic::Update-Package-Lists "1"; APT::Periodic::Unattended-Upgrade "1"; ``` - Vérifier que le service est actif : `sudo systemctl status unattended-upgrades`. 6. **Test** : - Créer un fichier `info.php` dans `/var/www/html` contenant `<?php phpinfo(); ?>`. - Depuis un poste du réseau local, ouvrir `http://10.0.0.20/info.php` → doit afficher la page PHPInfo. - Depuis un poste extérieur (ex. réseau Wi‑Fi invité), la page doit être inaccessible (erreur 403). ## Erreurs fréquentes et règles de sécurité (5 cas) | # | Erreur fréquente | Conséquence | Règle de bonne pratique / correction | |---|------------------|-------------|--------------------------------------| | 1 | Laisser le compte **Administrateur** avec un mot de passe faible ou identique à celui d’un compte utilisateur. | Compromission totale du serveur via attaque par force brute ou passage du hash. | Appliquer une politique de mot de passe complexe (≥12 caractères, majuscule, minuscule, chiffre, symbole) et renouveler tous les 90 jours. Utiliser un compte dédié avec privilèges limités pour les tâches courantes. | | 2 | Configurer le service **DHCP** avec une plage d’adresses qui chevauche l’adresse IP statique d’un serveur critique (ex. serveur AD). | Conflits d’IP, perte de connectivité du serveur, interruption des services d’annuaire. | Réserver toujours les adresses statiques en dehors de la plage DHCP (ex. DHCP : 10.0.0.50‑150, IP statiques : 10.0.0.10‑20). Documenter les réservations dans un tableau d’adressage. | | 3 | Ouvrir le port **22 (SSH)** directement à Internet sans restriction d’IP ou sans authentification par clés. | Exposition à des attaques de type brute‑force, risque d’accès root si la clé est compromise. | Limiter l’accès SSH aux adresses IP de confiance via le pare‑feu (`ufw allow from 200.10.5.0/24 to any port 22`) et désauthentifier l’authentification par mot de passe (`PasswordAuthentication no` dans `/etc/ssh/sshd_config`). | | 4 | Négliger la mise à jour du composant **Samba** sur un serveur de fichiers Windows/Linux. | Vulnérabilité connue (ex. EternalBlue‑like) permettant l’exécution de code à distance. | Activer les mises à jour automatiques (`unattended-upgrades` sur Ubuntu, WSUS sur Windows) et vérifier régulièrement les avis de sécurité du constructeur (CVE). | | 5 | Effectuer une **sauvegarde** uniquement sur le même disque que les données sources. | En cas de défaillance matérielle ou de ransomware, la sauvegarde est également perdue ou chiffrée. | Appliquer la règle 3‑2‑1 : trois copies totales, sur deux types de médias différents (ex. disque interne + bande LTO ou NAS), avec une copie hors site (ex. stockage cloud sécurisé ou coffre externe). |