Référence d’exploitation Active Directory : identité, réplication, FSMO, DNS, Kerberos, GPO, temps, secure channel et contrôles de santé.
Contexte domaine & DC
- Domaine du poste — Get-CimInstance Win32_ComputerSystem | Select-Object Name,Domain,PartOfDomainConfirme l’appartenance au domaine avant de dépanner l’authentification.
- DC localisé — nltest /dsgetdc:exemple.localAffiche le DC trouvé et ses flags.
- Site AD — nltest /dsgetsiteVérifie le site AD associé au sous-réseau du poste.
- DC connus — Get-ADDomainController -Filter * | Select-Object HostName,Site,IPv4Address,IsGlobalCatalogNécessite le module ActiveDirectory/RSAT.
Utilisateurs, groupes & ordinateurs
- Utilisateur — Get-ADUser j.dupont -Properties Enabled,LockedOut,PasswordLastSet,LastLogonDateÉvite de charger * quand seules quelques propriétés sont nécessaires.
- Comptes verrouillés — Search-ADAccount -LockedOut -UsersOnlyUtile pour confirmer un verrouillage en cours.
- Groupes utilisateur — Get-ADPrincipalGroupMembership j.dupont | Select-Object NameVérifie les appartenances directes/résolues.
- Ordinateur — Get-ADComputer PC-001 -Properties Enabled,LastLogonDate,OperatingSystemContrôle état, OS déclaré et activité récente.
Réplication
- Résumé — repadmin /replsummaryPremier contrôle pour erreurs et latence de réplication.
- Détail d’un DC — repadmin /showrepl DC01Affiche partenaires, partitions et dernière réplication.
- File d’attente — repadmin /queue DC01Une file persistante peut indiquer connectivité ou charge.
- Diagnostic global — dcdiag /e /c /vTrès verbeux et potentiellement long : à lancer de façon contrôlée.
FSMO & rôles
- Rôles FSMO — netdom query fsmoAffiche les cinq détenteurs de rôles.
- Domaine — Get-ADDomain | Select-Object PDCEmulator,RIDMaster,InfrastructureMasterVue PowerShell des rôles domaine.
- Forêt — Get-ADForest | Select-Object SchemaMaster,DomainNamingMaster,GlobalCatalogsVue PowerShell des rôles forêt et GC.
- PDC Emulator — Référence de temps et rôle critique pour plusieurs opérationsEn cas de problème d’heure domaine, commencez par le PDC Emulator.
DNS, Kerberos & temps
- SRV LDAP — Resolve-DnsName _ldap._tcp.dc._msdcs.exemple.local -Type SRVConfirme que les DC publient leurs services.
- Tickets Kerberos — klistAffiche tickets présents dans la session courante.
- État NTP — w32tm /query /statusKerberos dépend fortement d’une heure cohérente.
- Source de temps — w32tm /query /sourceRepère une source inattendue ou Local CMOS Clock.
GPO
- Résumé GPO — gpresult /rAffiche les GPO appliquées et refusées selon contexte.
- Rapport HTML — gpresult /h C:\Temp\gpresult.htmlPlus lisible pour analyser paramètres et raisons de filtrage.
- Actualiser — gpupdate /forceN’efface pas une erreur de traitement : contrôlez les journaux si l’échec persiste.
- Journal GPO — Get-WinEvent -LogName Microsoft-Windows-GroupPolicy/Operational -MaxEvents 50Donne le détail des extensions et erreurs de traitement.
Secure channel & authentification
- Tester secure channel — Test-ComputerSecureChannel -VerboseSur un membre, confirme la relation de confiance avec le domaine.
- Vérifier via nltest — nltest /sc_verify:exemple.localAlternative native utile sans module PowerShell AD.
- Réparer — Test-ComputerSecureChannel -Repair -Credential (Get-Credential)À faire seulement après DNS, heure et connectivité DC.
- Décalage horaire — w32tm /stripchart /computer:DC01 /samples:5 /dataonlyMesure rapidement l’écart avec un DC.
Événements & santé
- Kerberos — Get-WinEvent -FilterHashtable @{LogName='System';ProviderName='Microsoft-Windows-Kerberos-Key-Distribution-Center'} -MaxEvents 30 -ErrorAction SilentlyContinueCorrélez heure, SPN et compte concerné.
- Netlogon — Get-WinEvent -FilterHashtable @{LogName='System';ProviderName='NETLOGON'} -MaxEvents 30 -ErrorAction SilentlyContinueUtile pour localisation DC et secure channel.
- AD DS — Get-WinEvent -LogName 'Directory Service' -MaxEvents 50À exécuter sur un contrôleur de domaine.
- Avant modification — Capturer repadmin + dcdiag + heure + DNSConservez un état avant toute réparation de réplication ou de trust.
À retenir
- DNS et synchronisation horaire sont les premiers prérequis d’Active Directory.
- Évitez d’utiliser Domain Admin pour les tâches quotidiennes ; privilégiez des comptes et droits dédiés.
- Ne réinitialisez pas un secure channel avant d’avoir exclu DNS, NTP et connectivité DC.
- Les commandes repadmin/dcdiag doivent être interprétées avec la topologie de sites et les fenêtres de réplication.