Comment ajouter un contrôleur de domaine à un domaine existant : vérifications, PowerShell et preuves

L’ajout d’un contrôleur de domaine améliore la résilience et l’évolutivité. En revanche, si vous négligez les vérifications préalables ou la validation finale, vous risquez des erreurs de réplication, des problèmes de Domain Name System (DNS) et des échecs de stratégie de groupe. Ces problèmes surviennent souvent lorsque les équipes tentent d’ajouter un contrôleur de domaine à un domaine existant sans avoir vérifié l’état de santé ni les dépendances.

Pour les fournisseurs de services gérés (MSP) et les équipes informatiques, il est essentiel de suivre une procédure éprouvée pour ajouter un contrôleur de domaine à un domaine existant. Ce guide propose un runbook clair, basé sur l’interface graphique, PowerShell et d’autres méthodes conformes aux bonnes pratiques.

Les étapes pour ajouter un contrôleur de domaine à un domaine existant

L’ajout d’un nouveau contrôleur de domaine renforce la redondance et garantit la disponibilité de l’annuaire, à condition d’avoir vérifié les prérequis au préalable. Avant d’ajouter un contrôleur de domaine, vous devez impérativement réunir les conditions suivantes :

📌 Prérequis :

• Il vous faut un accès administrateur au serveur cible et au domaine Active Directory (AD), ainsi que les autorisations nécessaires pour créer de nouveaux contrôleurs de domaine (DC) sur le site.
• Cette étape requiert un environnement AD et Domain Name System (DNS) parfaitement fonctionnel.
• Elle exige une synchronisation horaire précise, vérifiée auprès d’une source Network Time Protocol (NTP) faisant autorité, en particulier pour l’émulateur de contrôleur de domaine principal (PDC) et le nouvel hôte.
• Les ports réseau suivants doivent être ouverts entre les contrôleurs de domaine :
  • Active Directory Domain Services (AD DS)
  • DNS
  • Distributed File System Replication (DFSR)
  • Remote Procedure Call (RPC)
  • Server Message Block (SMB)
• Le serveur doit être préparé comme suit :
  • Une adresse IP statique
  • Un DNS pointant vers les contrôleurs de domaine existants
  • Un système d’exploitation à jour
  • Des exclusions antivirus prévues pour AD DS et le volume système (SYSVOL).

Étape 1 : planifier les rôles et lancer les contrôles de santé

Cette étape vous permet de planifier correctement. Elle garantit que le nouveau contrôleur de domaine s’intègre parfaitement à vos opérations et favorise une réplication et une authentification prévisibles dans tout l’environnement.

📌 Cas d’usage :

• Valide l’état de préparation avant d’ajouter un contrôleur de domaine à un domaine existant.
• Évite d’introduire des problèmes de réplication ou de DNS pendant la promotion.

📌 Prérequis :

• Vous devez pouvoir accéder aux contrôleurs de domaine existants et disposer des autorisations pour examiner les configurations de réplication et de DNS.
• Des droits d’administrateur sont nécessaires pour exécuter les commandes de diagnostic sur les serveurs actuels.

Actions :

• Déterminez si le nouveau contrôleur de domaine hébergera le DNS, jouera le rôle de catalogue global, et à quel site il appartiendra.
• Vérifiez les correspondances de sites AD, l’état de la réplication et le bon fonctionnement du DNS avant de poursuivre.
• Exécutez les commandes suivantes dans PowerShell : dcdiag /v, repadmin /replsummary, puis contrôlez les enregistrements SRV et la synchronisation horaire sur l’ensemble des contrôleurs de domaine.
• Corrigez toutes les erreurs détectées avant de passer à l’installation.

Étape 2 : installer et promouvoir le contrôleur de domaine

La promotion du serveur l’intègre activement au domaine et le prépare à la réplication avec les contrôleurs existants.

📌 Cas d’usage :

• Cette étape fournit une méthode fiable pour ajouter un contrôleur de domaine via PowerShell ou l’interface graphique.
• Elle garantit que le nouveau serveur rejoint le domaine avec les bons rôles et les bons paramètres de réplication.

📌 Prérequis :

• Vous aurez besoin d’identifiants administrateur pour le serveur cible comme pour le domaine existant.
• Le rôle AD DS et les outils d’administration doivent être installés sur le serveur.

Actions :

• Installez les binaires AD DS et les outils d’administration requis.
• Via l’interface graphique : Gestionnaire de serveur > Gérer > Ajouter des rôles et fonctionnalités > Services de domaine Active Directory > Promouvoir ce serveur en contrôleur de domaine.
• Vous pouvez également passer par PowerShell :

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

Install-ADDSDomainController -DomainName contoso.com -InstallDns:$true -SiteName "SiteA" -Credential (Get-Credential)

• Conservez l’ensemble des résultats et des synthèses des vérifications de prérequis à titre de preuve

Étape 3 : vérifier la santé, le site et la réplication

Cette étape couvre les contrôles postérieurs à l’installation. Elle vous aide à confirmer que le nouveau contrôleur de domaine fonctionne correctement et qu’il est synchronisé avec le reste de l’environnement.

📌 Cas d’usage :

• Confirme la réplication, le DNS et l’emplacement du site après l’ajout d’un nouveau contrôleur de domaine au domaine existant.
• Détecte et résout clairement les problèmes avant qu’ils n’affectent les connexions ou le traitement des stratégies de groupe.

📌 Prérequis :

• Vous aurez besoin de droits d’administrateur sur tous les contrôleurs de domaine pour exécuter les commandes de santé et de réplication.
• Un accès à Sites et services Active Directory est nécessaire pour confirmer la configuration du site et la réplication.

Actions :

1. Après le redémarrage, vérifiez que le nouveau contrôleur de domaine se réplique correctement et qu’il est visible dans le DNS.
2. Confirmez l’enregistrement DNS comme suit :
   1. Exécutez nslookup <new-dc-hostname> pour vérifier que son enregistrement A se résout.
   2. Exécutez nslookup -type=srv \_ldap.\_tcp.<your-domain> pour vous assurer que son enregistrement SRV LDAP figure bien dans la liste.
3. Vérifiez l’état de la réplication en suivant ces étapes :
   1. Exécutez repadmin /showrepl pour confirmer que les partenariats de réplication sont établis et n’affichent aucun échec. Vérifiez que l’heure du dernier succès (Last Success) est récente.
   2. Exécutez dcdiag /c /v pour un test de santé complet, en vous concentrant sur les éventuelles erreurs.
   3. Exécutez nltest /dclist:<domain> pour voir apparaître le nouveau DC dans la liste des contrôleurs de domaine.
4. Validez les partages critiques en exécutant net share pour confirmer la présence des partages SYSVOL et NETLOGON.
5. Contrôlez le site et la topologie en suivant ces étapes :
   1. Ouvrez Sites et services Active Directory et confirmez que le nouvel objet DC est bien placé dans le site approprié.
   2. Vérifiez que les paramètres NTDS de l’objet serveur affichent les objets de connexion attendus provenant des partenaires de réplication.

Étape 4 : durcir la configuration et tester l’impact côté client

Le durcissement du nouveau contrôleur de domaine protège les services critiques et permet de vérifier que les utilisateurs finaux peuvent se connecter, appliquer les politiques et accéder aux ressources comme prévu.

📌 Cas d’usage :

• Valide les configurations et la sécurité après le déploiement, conformément aux bonnes pratiques relatives aux contrôleurs de domaine.
• Cette étape permet de confirmer que les clients et les objets de stratégie de groupe (GPO) fonctionneront normalement dès la mise en service du nouveau contrôleur.

📌 Prérequis :

• Vous aurez besoin d’un accès administrateur local ou distant au nouveau contrôleur de domaine.
• Des comptes de test ou des postes clients sur le même site sont nécessaires pour la vérification.

Actions :

• Validez la synchronisation horaire avec l’émulateur de contrôleur de domaine principal (PDC).
• Appliquez des exclusions antivirus aux répertoires NTDS et SYSVOL afin d’éviter les retards de réplication.
• Ajoutez le contrôleur de domaine aux tâches de sauvegarde et confirmez la réussite d’une sauvegarde de l’état du système.
• Effectuez des tests depuis un poste de travail pour l’ouverture de session, l’authentification Kerberos et le traitement des stratégies de groupe à l’aide de gpupdate /force, puis examinez les journaux d’événements à la recherche d’erreurs.

Étape 5 : analyser et documenter les résultats

Documenter les résultats garantit que le contrôleur de domaine respecte vos standards opérationnels et reste stable après le déploiement. Cela facilite également les audits et les contrôles qualité à venir, en particulier lorsque vous cherchez à affiner l’ensemble de votre processus.

📌 Cas d’usage :

• Confirme la stabilité de la réplication sur le long terme après l’ajout d’un contrôleur de domaine au domaine existant.
• Crée une trace des configurations, des validations et des correctifs, utile pour les audits ou l’évaluation par les pairs.

📌 Prérequis :

• Vous aurez besoin d’accéder aux données de supervision et aux résultats des commandes des étapes de vérification précédentes.
• Votre check-list qualité interne ou votre standard de documentation pour les modifications de domaine est également nécessaire.

Actions :

• Vérifiez la stabilité de la réplication à l’aide de contrôles planifiés pour Distributed File System Replication (DFSR) et consignez les mises à jour.
• Synthétisez vos constats, les problèmes résolus et les résultats des commandes dans un enregistrement de changement structuré.
• Confirmez que tous les résultats de validation (santé, réplication, site) répondent à vos critères qualité internes avant de clôturer le projet.

Étape 6 : rassembler les artefacts et les notes de retour arrière

Rassembler les artefacts et les informations de retour arrière fournit une preuve de réussite prête pour l’audit et vous assure de pouvoir annuler les modifications en toute sécurité si besoin.

📌 Cas d’usage :

• Consigne les preuves du déploiement pour la procédure d’ajout d’un contrôleur de domaine à un domaine existant, conformément à votre politique de gestion des changements.
• Cela garantit votre capacité à revenir en arrière si une rétrogradation ou une remédiation s’avère nécessaire par la suite.

📌 Prérequis :

• Vous aurez besoin de droits d’administrateur pour exporter les journaux, les transcriptions PowerShell et les données d’événements du nouveau contrôleur de domaine.
• Un accès à l’espace de travail de gestion des changements ou de documentation de votre entreprise est également requis.

Action :

• Exportez les résultats des commandes avant et après la promotion, les synthèses d’événements et les transcriptions PowerShell dans un dossier de preuves.
• Documentez une procédure de retour arrière à l’aide de Uninstall-ADDSDomainController et effectuez les étapes de nettoyage des métadonnées si une rétrogradation devient nécessaire.
• Stockez tous les artefacts dans votre espace de gestion des changements pour les audits, les références futures ou la validation client.

⚠️ Points de vigilance

Bonnes pratiques pour un contrôleur de domaine dans un domaine existant

Exemple d’automatisation pour la vérification et la preuve de promotion d’un contrôleur de domaine

Vous pouvez utiliser un script PowerShell pour automatiser les contrôles de santé de base et collecter les preuves pendant et après la promotion d’un contrôleur de domaine. Vous pouvez exécuter des contrôles clés tels que :

• dcdiag /c pour la santé générale d’AD
• Repadmin /replsummary pour l’état de la réplication
• nslookup -type=srv \_ldap.\_tcp.<domain> pour confirmer l’enregistrement DNS
• dfsrdiag ou des requêtes dans le journal d’événements DFSR pour contrôler la réplication SYSVOL
• * w32tm /query /status pour la synchronisation horaire

Vous pouvez enregistrer les résultats de toutes les commandes ci-dessus sur le serveur. Il suffit ensuite de compresser le dossier et de le joindre à votre enregistrement de changement en tant que dossier de preuves.

Après la promotion, vous pouvez programmer l’exécution du script toutes les heures pendant les 24 premières heures. Vous surveillerez ainsi sereinement la santé de la réplication, du DNS et de DFSR.

Vérifier et documenter le contrôleur de domaine et son déploiement

Vérifier et documenter chaque étape fait du déploiement d’un contrôleur de domaine un processus sûr et prévisible. Il est judicieux de commencer par les tests de santé, d’utiliser des paramètres explicites lors de la promotion, puis de valider la réplication et SYSVOL. Ces précautions garantissent que le nouveau contrôleur fonctionne de manière prévisible et prend en charge l’authentification, le DNS et les stratégies de groupe sans interruption.

Sujets connexes :

• Comment ajouter un PC à un domaine dans Windows 10
• Nom de domaine complet (FQDN) : définition et fonctionnement
• Comment retirer un PC d’un domaine Active Directory local
• Comment se connecter à Active Directory à distance et gérer les utilisateurs
• Comment installer Active Directory (AD) Utilisateurs et ordinateurs (ADUC)