Créer un domaine Active Directory sur Windows Server 2025

1. Le vocabulaire en un tableau

2. Bien choisir le nom du domaine

Le nom se choisit une fois pour toutes : le renommer plus tard est long et risqué.

Le nom NetBIOS (ancien nom court, 15 caractères maximum) est proposé automatiquement à partir du premier mot. Pour ad.exemple.fr, choisissez plutôt EXEMPLE : c'est lui qui apparaît dans EXEMPLE\spo.

3. Préparer le serveur

Dans cet exemple, on construit deux contrôleurs de domaine :

Pendant la création de la forêt, DC01 pointera sur lui-même : on corrigera à l'arrivée de DC02.

Avant de commencer, sur DC01 :

1. Version sous licence : un contrôleur de domaine installé en version d'évaluation ne peut pas être converti.
2. Nom définitif : renommez le serveur avant la promotion, le renommer ensuite est délicat.
3. Adresse IP fixe et masque corrects, passerelle renseignée.
4. Mises à jour toutes installées.
5. Machine virtuelle : désactivez la synchronisation de l'heure par l'hyperviseur (le domaine aura sa propre source de temps) et ne prévoyez jamais de restaurer un DC à partir d'un instantané.

Renommez le serveur et fixez l'adresse en PowerShell (en administrateur). Adaptez le nom de la carte réseau, visible avec Get-NetAdapter :

Rename-Computer -NewName "DC01" -Restart

New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.10.11 `
  -PrefixLength 24 -DefaultGateway 192.168.10.1
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" `
  -ServerAddresses 127.0.0.1

4. Installer le rôle et créer la forêt

Installez le rôle avec ses outils d'administration :

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Vérifiez d'abord que tout est prêt, sans rien modifier. Le mot de passe demandé est celui du mode de restauration des services d'annuaire (DSRM), un compte de secours propre à chaque DC : rangez-le dans le gestionnaire de mots de passe de l'équipe.

Test-ADDSForestInstallation -DomainName "ad.exemple.fr" `
  -DomainNetbiosName "EXEMPLE" -InstallDns `
  -SafeModeAdministratorPassword (Read-Host -AsSecureString "Mot de passe DSRM")

Si le test ne signale que des avertissements connus (délégation DNS impossible, par exemple), créez la forêt. Le serveur redémarre tout seul à la fin :

Install-ADDSForest -DomainName "ad.exemple.fr" -DomainNetbiosName "EXEMPLE" `
  -ForestMode Win2025 -DomainMode Win2025 -InstallDns `
  -SafeModeAdministratorPassword (Read-Host -AsSecureString "Mot de passe DSRM")

• -ForestMode Win2025 -DomainMode Win2025 fixe le niveau fonctionnel Windows Server 2025 : seuls des DC en Windows Server 2025 pourront rejoindre le domaine. Si vous devez accueillir des DC plus anciens, utilisez WinThreshold (niveau Windows Server 2016, le minimum pour une nouvelle forêt).
• L'avertissement « impossible de créer une délégation DNS » est normal pour un domaine interne : ignorez-le.

5. Vérifier que le domaine fonctionne

Reconnectez-vous avec EXEMPLE\Administrateur, puis contrôlez le domaine, la forêt et le niveau fonctionnel :

Get-ADDomain | Select-Object DNSRoot, NetBIOSName, DomainMode, PDCEmulator
Get-ADForest | Select-Object Name, ForestMode, SchemaMaster

Vérifiez les services essentiels et les enregistrements DNS qui permettent aux postes de trouver le DC :

Get-Service adws, kdc, netlogon, dns | Select-Object Name, Status
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.exemple.fr

Lancez enfin le diagnostic complet. /q n'affiche que les erreurs : une sortie vide est bon signe.

dcdiag /q

6. Régler le DNS

Redirecteurs : le DNS du domaine répond pour ad.exemple.fr et transmet le reste. Indiquez les résolveurs de votre choix (votre pare-feu, votre fournisseur d'accès, ou un résolveur public) :

Set-DnsServerForwarder -IPAddress 192.168.10.1, 9.9.9.9

Zone de recherche inversée, utile pour les diagnostics et certains logiciels :

Add-DnsServerPrimaryZone -NetworkId "192.168.10.0/24" -ReplicationScope Forest

Nettoyage des anciens enregistrements, pour que les postes disparus ne restent pas éternellement dans le DNS :

Set-DnsServerScavenging -ScavengingState $true `
  -ScavengingInterval 7.00:00:00 -ApplyOnAllZones

7. Régler l'heure

Kerberos refuse toute connexion si l'horloge d'un poste s'écarte de plus de 5 minutes de celle du DC. Les postes se calent sur les DC, les DC sur l'émulateur PDC, et lui seul doit interroger une source externe. Sur DC01 (qui porte le rôle PDC) :

w32tm /config /manualpeerlist:"0.fr.pool.ntp.org,0x8 1.fr.pool.ntp.org,0x8" `
  /syncfromflags:manual /reliable:yes /update
Restart-Service w32time
w32tm /resync
w32tm /query /status

La sortie doit indiquer une Source correspondant à l'un des serveurs NTP. Si l'accès sortant en NTP (UDP 123) est filtré, utilisez le serveur NTP de votre pare-feu.

8. Organiser l'annuaire

Ne laissez pas tout dans les conteneurs par défaut Users et Computers : les stratégies de groupe ne s'y appliquent pas finement. Une arborescence simple suffit :

ad.exemple.fr
└── EXEMPLE
    ├── Utilisateurs
    │   ├── Direction
    │   ├── Comptabilite
    │   └── Production
    ├── Ordinateurs
    │   ├── Postes
    │   ├── Portables
    │   └── Serveurs
    ├── Groupes
    ├── Comptes-de-service
    └── Administration
        ├── Comptes-admin
        └── Groupes-admin

Créez-la en PowerShell :

$racine = "DC=ad,DC=exemple,DC=fr"
New-ADOrganizationalUnit -Name "EXEMPLE" -Path $racine
$base = "OU=EXEMPLE,$racine"
$arbre = [ordered]@{
  ""               = "Utilisateurs","Ordinateurs","Groupes",
                     "Comptes-de-service","Administration"
  "Utilisateurs"   = "Direction","Comptabilite","Production"
  "Ordinateurs"    = "Postes","Portables","Serveurs"
  "Administration" = "Comptes-admin","Groupes-admin"
}
foreach ($parent in $arbre.Keys) {
  $chemin = if ($parent) { "OU=$parent,$base" } else { $base }
  foreach ($ou in $arbre[$parent]) {
    New-ADOrganizationalUnit -Name $ou -Path $chemin
  }
}

Les OU sont créées protégées contre la suppression accidentelle. Faites ensuite arriver les nouveaux ordinateurs et utilisateurs directement dans les bonnes OU :

redircmp "OU=Postes,OU=Ordinateurs,OU=EXEMPLE,DC=ad,DC=exemple,DC=fr"
redirusr "OU=Utilisateurs,OU=EXEMPLE,DC=ad,DC=exemple,DC=fr"

9. Les comptes d'administration

Le principe : un compte pour travailler, un autre pour administrer. Le compte spo lit ses courriels et navigue ; le compte adm-spo administre le domaine, et ne sert à rien d'autre.

$ou = "OU=Comptes-admin,OU=Administration,OU=EXEMPLE,DC=ad,DC=exemple,DC=fr"
New-ADUser -Name "adm-spo" -SamAccountName "adm-spo" `
  -UserPrincipalName "adm-spo@ad.exemple.fr" -Path $ou `
  -AccountPassword (Read-Host -AsSecureString "Mot de passe") -Enabled $true
Add-ADGroupMember -Identity "Admins du domaine" -Members "adm-spo"
Add-ADGroupMember -Identity "Protected Users" -Members "adm-spo"

Sur un Windows Server en anglais, le groupe s'appelle Domain Admins. Le groupe Protected Users durcit le compte : pas de mise en cache des identifiants, pas de délégation, Kerberos uniquement en chiffrement AES.

Ensuite :

1. Donnez au compte Administrateur intégré un mot de passe long et unique, rangé dans le coffre de l'équipe, et ne l'utilisez plus au quotidien.
2. Ne connectez les comptes d'administration du domaine que sur les DC et un poste d'administration dédié, jamais sur un poste utilisateur.

3. Gardez le groupe Admins du domaine aussi petit que possible, et vérifiez sa composition régulièrement :

   Get-ADGroupMember "Admins du domaine" -Recursive | Select-Object Name

Pour aller plus loin sur les identités et les mots de passe, voir la gestion des identités.

10. Les sécurités à activer dès le départ

Corbeille Active Directory : permet de restaurer un objet supprimé (compte, groupe, OU) avec tous ses attributs. Irréversible une fois activée, et sans inconvénient :

Enable-ADOptionalFeature "Recycle Bin Feature" -Scope ForestOrConfigurationSet `
  -Target "ad.exemple.fr" -Confirm:$false

Windows LAPS : un mot de passe administrateur local différent sur chaque poste, changé automatiquement et stocké dans l'annuaire. Préparez le schéma et donnez aux ordinateurs le droit d'écrire leur propre mot de passe :

Update-LapsADSchema
Set-LapsADComputerSelfPermission `
  -Identity "OU=Ordinateurs,OU=EXEMPLE,DC=ad,DC=exemple,DC=fr"

Activez ensuite la stratégie LAPS par GPO sur l'OU Ordinateurs (Configuration ordinateur > Modèles d'administration > Système > LAPS), avec la sauvegarde du mot de passe dans Active Directory. Le mot de passe d'un poste se lit avec Get-LapsADPassword -Identity PC042 -AsPlainText.

Empêcher les utilisateurs de joindre des ordinateurs au domaine : par défaut, n'importe quel compte peut en ajouter dix. Réservez ce droit au service informatique :

Set-ADDomain -Identity "ad.exemple.fr" `
  -Replace @{"ms-DS-MachineAccountQuota"="0"}

Clé racine KDS, nécessaire aux comptes de service gérés (gMSA, et dMSA nouveaux dans Windows Server 2025) qui remplacent les comptes de service à mot de passe fixe :

Add-KdsRootKey -EffectiveImmediately

La clé n'est réellement utilisable qu'après la réplication vers tous les DC (jusqu'à 10 heures).

Ce qui est déjà durci dans Windows Server 2025 : pour une nouvelle forêt, la signature LDAP est exigée par défaut, LDAP sur TLS accepte TLS 1.3, et d'anciennes méthodes de changement de mot de passe à distance sont bloquées. Les vieux équipements (copieurs qui envoient vers un dossier, applications anciennes) qui se connectent en LDAP non signé seront refusés : repérez-les par les événements 2887 et 2889 du journal Directory Service, et configurez-les en LDAPS.

Stratégie de mots de passe : modifiez la Default Domain Policy ou créez une stratégie de mot de passe affinée. Les recommandations actuelles privilégient la longueur (15 caractères ou plus) plutôt que la complexité et les changements forcés, avec un verrouillage après plusieurs échecs.

11. Ajouter un second contrôleur de domaine

Un seul DC, c'est un domaine qui s'arrête à la première panne. Sur DC02, préparé comme DC01 (nom, IP fixe), pointez le DNS vers DC01, puis :

Set-DnsClientServerAddress -InterfaceAlias "Ethernet" `
  -ServerAddresses 192.168.10.11
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSDomainController -DomainName "ad.exemple.fr" -InstallDns `
  -Credential (Get-Credential "EXEMPLE\adm-spo") `
  -SafeModeAdministratorPassword (Read-Host -AsSecureString "DSRM de DC02")

Après le redémarrage, vérifiez la réplication. Aucune erreur ne doit apparaître :

repadmin /replsummary
repadmin /showrepl

Réglez enfin le DNS de chaque DC comme dans le tableau de la section 3 : l'autre DC en premier, lui-même (127.0.0.1) en second.

12. Joindre un poste au domaine

Le poste doit utiliser les DC comme serveurs DNS (par DHCP, ou à la main pour un test). Sur le poste, en administrateur, avec un compte autorisé à joindre des machines :

Add-Computer -DomainName "ad.exemple.fr" `
  -OUPath "OU=Postes,OU=Ordinateurs,OU=EXEMPLE,DC=ad,DC=exemple,DC=fr" `
  -Credential (Get-Credential "EXEMPLE\adm-spo") -Restart

Après le redémarrage, connectez-vous avec un compte du domaine, puis vérifiez la relation de confiance et le DC utilisé :

Test-ComputerSecureChannel
nltest /dsgetdc:ad.exemple.fr

13. Sauvegarder

Sauvegardez l'état du système d'au moins deux DC, chaque jour, avec un outil compatible Active Directory. Avec l'outil intégré (fonctionnalité Sauvegarde Windows Server), vers un disque ou un partage dédié :

Install-WindowsFeature Windows-Server-Backup
wbadmin start systemstatebackup -backupTarget:E: -quiet

• Une sauvegarde AD de plus de 180 jours (durée de vie des objets supprimés) n'est plus restaurable : gardez des sauvegardes récentes.
• Conservez hors du domaine le mot de passe DSRM de chaque DC : il est indispensable pour une restauration.
• Rédigez la procédure de restauration dans votre base de connaissances, avec une copie hors ligne, et appliquez la règle 3-2-1.

14. En cas de problème

15. Liste de contrôle