Voici le tableau des utilisateurs que nous devons créer.

Nous allons séparer ces 7 utilisateurs en 3 catégories : - Une Unité D'organisation “Direction”

1. AVANT Nicolas

- Une Unité D'organisation“RH”

1. AIMABLE Lucie

- Une Unité D'organisation “Technique”

1. BILLE Daniel
2. ELEC Marco
3. TELI Jacques
4. CASSE Michel

Vous devez donc créer 4 UO comme ceci :

Voici la structure visée :

Exemple avec Nicolas AVANT :

Validez, puis répéter la procédure avec tous les utilisateurs.

Objectif visé avec l'UO “Technique”:

Voici notre cas d'étude (avec l'exemple de Nicolas AVANT):

Les permissions des groupes:

Créer une UO dans BTS qui s'appel “Groupes”. Dans cette dernière, créer une UO “GD” et “GP”.

Dans l'UO “GD”, créer tous les groupes dans le domaine local.

Dans l'UO “GP”, créer tous les groupes en mode étendue “Globale”.

Dans GP-Direction, ouvrez l'onglet “Membre de”, puis ajouter comme le tableau indique les groupes suivant :

Dans l'onglet “Membres”, ajouter “Nicolas AVANT”, toujours en correspondance au tableau :

Dans GP-RH, ouvrez l'onglet “Membre de”, puis ajouter comme le tableau indique les groupes suivant :

Dans l'onglet “Membres”, ajouter “Lucie AIMABLE” & “Marcel TERRE”, toujours en correspondance au tableau :

Dans GP-RH, ouvrez l'onglet “Membre de”, puis ajouter comme le tableau indique les groupes suivant :

Dans l'onglet “Membres”, ajouter “Daniel BILLE” & “Jacques TELI” & “Marco ELEC” & “Michel CASSE”, toujours en correspondance au tableau :

Ce qui est visé :

Le but ici est que chaque secteur de l'entreprise dispose d'un stockage. Il faut noter la subtilité avec “PAIE”, il faudra créer un espace unique dans le dossier “RH”. L'arborescence visée est celle-ci:

Créer donc les dossiers nécessaires dans le C:\data.

Exemple avec le dossier commun, qui est accessible par tout le monde :

Pour le dossier “direction” :

Pour le dossier “rh” :

Pour le dossier “rh/paie” :

Pour le dossier “technique” :

Ajouter selon la correspondance du tableau ci dessus les permissions aux dossiers.

Tips: Gestion de permissions. - R = read - W = write - O = only

1. exemples :
   1. RO : read-only
   2. RW : read & write

Sur linux on aura plus tendance à utiliser la commande chmod. Voici un site qui permet de calculer les valeurs : https://chmod-calculator.com/. Le plus important à retenir est le 777 qui donne toutes les permissions.

Attention à la subtilité avec le dossier rh/paie :

Ajouter le groupe correspondant au groupe “paie”.

Ouvrez l'outil de “Gestion de stratégie de groupe”, sélectionner le domaine corp.iia-laval.fr, puis créer une nouvelle GPO.

Utiliser un nom explicite pour mieux organiser les GPO.

Editer la GPO, en faisant clique droit dessus. Ouvrer l'onglet “Mappages de lecteurs” :

Puis clique droit, Nouveau>Lecteur mappé :

Choisissez la lettre de lecteur P: :

Sur le [CLIENT], essayez de vous connecter avec l'utilisateur mcasse. Lancer une invite de commande puis tapez :

gpupdate /force

Cela à pour but de actualiser les règles imposer par AD sur le [CLIENT].

Le lecteur réseau “ENTREPRISE” apparait.

Test accès au dossier “Direction” :

Test accès écriture/suppression “technique” :

Tout fonctionne parfaitement, les permissions sont fonctionnelles.

Ouvrez le gestionnaire de serveur.

Installez la fonctionnalité “Gestionnaire de ressources du serveur de fichiers”

Le redémarrage du serveur n'est pas obligatoire.

L'installation est désormais terminée, vous pouvez ouvrir le module installé.

Dans l'onglet à gauche, cliquer sur “Groupes de fichiers”. Puis ensuite à droite “Créer un groupe de fichier”.

Si vous souhaitez filtrer d'autres extensions, il suffit de les ajouter comme pour *.locky

Le groupe de fichier locky est bel et bien créé.

Changer d'onglet pour aller dans le “Modèles de filtres de fichiers”.

Attention à bien sélectionner un filtrage actif.

Facultatif : Vous pouvez logger dans le journal des événements du serveur à chaque fois q'un fichier *.locky est détecté.

Pour terminer nous allons appliquer ce filtre au serveur.

Ici on à carrément tout le C:\ qui est sous watchdog.

La configuration est validée et active sur le chemin C:\ , si j’ouvre une console PowerShell et que je tente de créer un fichier avec une extension interdite, j’obtiens un accès refusé. À l’inverse, si je crée un fichier avec une extension autorisée, la création s’effectue.

Créer une nouvelle règle dans le gestionnaire de stratégie de groupe :

Naviguer pour trouver “Empêche l'accès aux outils de modifications du Registre” :

Passer la règle en “Oui” :

Important ! Lier la règle aux groupes “BTS” :

Créer une nouvelle règle dans le gestionnaire de stratégie de groupe :

Naviguer pour trouver “Interdire l'accès au Panneau de configuration et à l'application Paramètres du PC” :

Passer la règle en “Oui” :

Pour terminer, lier la règle :

Sur le [CLIENT], essayez de vous connecter avec l'utilisateur mcasse (comme déjà vu précédemment). Lancer une invite de commande puis tapez :

gpupdate /force

L'accès est refusé.

L'accès est refusé.

Les règles sont belles et bien appliquées.

A partir de cette arborescence, recréer le dossier “users”.

Lorsque l'entreprise possède plusieurs centaines d'utilisateurs, i lest plus simple que la création soit faite automatiquement. Pour cela nous allons créer une GPO qui créer un dossier dans C:\data\users\ avec comme nom le nom de la session.

Ouvrir le Gestionnaire de stratégie de groupe, créer une nouvelle GPO, nommer la “Création dossier utilisateur”.

Indiquer le path ou les dossiers seront créés.

A chaque nouvelle connexion, le dossier sera, si il existe déjà rien ne sera fait.

Ouvrez le Gestionnaire de ressources du serveur de fichiers précédemment installé.

Créer un quota en utilisant le modèles de quota de 100 Mo. Spécifier le path avec C:\data\users.

Vous retrouvez ici tous les quotas pour les dossiers existants.

Pour rendre accessible l'ensemble des dossiers dans “users”, il faut partager publiquement le dossier “users”.

Le partage est existant sous le nom de \\DC1\users.

Comme déjà fait précdemment, créer une GPO pour monter un lecteur. Ici le lecteur B:, spécifier le path et ajouter la variable %USERNAME%.

Par mesure de sécurité, cacher les dossiers non accessibles aux utilisateurs.

Clique droit sur le partage de fichier “users”.

Cocher “Activer l'énumération basée sur l'accès”.

Pour terminer, tester avec un compte. Ici mcasse, une fois connecté on remarque que le lecteur est bien monté que le quota est bel et bien de 100 Mo.

Il dispose par ailleurs les droits d'écritures et de suppressions.

1. Tous les screens en raw : http://files.stoneset.fr/stoneset/images/doc_ad/?C=M;O=D
2. https://chmod-calculator.com/
3. https://rdr-it.com/windows-serveur-appliquer-des-quotas-sur-des-dossiers/
4. https://rdr-it.com/mappage-lecteur-reseau-gpo-et-script/
5. https://techexpert.tips/fr/windows-fr/gpo-empecher-lacces-au-registre-windows/
6. https://www.it-connect.fr/gpo-empecher-lacces-au-panneau-de-configuration-parametres/
7. https://computerz.solutions/windows-server-quota-sur-dossiers/
8. https://www.tutos-informatique.com/cacher-dossier-windows-arborescence/