Bonjour,
 
N'étant pas expert sur la partie Active Directory, une entreprise m'a demandé de lui proposer une solution (s'il existe bien sûr) ... pour se débarrasser complètement du serveur Active Directory sous windows 2019 Standard.
Le but : ne plus avoir de serveur local sur site .. vous l'aurez deviner, ils passent tous quasiment en télétravail.
 
Sur site, il n'y a "que" 15 salariés et ils sont tous relié au serveur Active directory pour la gestion des utilisateurs (+ GPO .. etc). J'ai découvert qu'il n'y a quasiment pas de règles, l'entreprise utilise Active Directory surtout pour ouvrir une session et accéder aux serveurs de fichiers qui est dessus (avec les droits sur chaque dossiers partagés ..)
 
Quel est le moyen le plus sûr pour se passer du serveur physiquement (sans installer de nouveau serveur et grâce à la migration) vers azure s'il vous plait? Et comment se passe la mise en domaine des postes de travail une fois que le serveur local sera enlevé ?
 
J'ai lu que je pouvais utiliser azure connect pour synchroniser une partie du serveur active directory mais c'est déconseillé de l'installer sur le contrôleur en lui même ... sauf que l'entreprise ne veut pas investir dans un autre serveur.
 
Merci par avance!
 

Tu demandes à un prestataire qui s'y connaît lui. On ne livre pas des projets clé en main et gratos ici...
Il y a plusieurs solutions. Et plusieurs devis. Et je pense que l'entreprise en question risque d'avoir un AVC quand elle verra les factures Azure.

du coup c'est pas la partie AD le problème mais plutôt le serveur de fichier que tu veux dégager.
Tu as du office 365 ? du sharepoint ? Onedrive ?

Le serveur de fichier, on va le mettre avec un NAS ce sera plus simple mais ils veulent dégager le serveur rackable.
 
Oui ils ont du onedrive (office 365 du coup).

 
Justement c'est pour avoir un retour d'expérience  
 
J'en avais installer/configurer du Active Directory ... en 2003 ? .. donc ça date un peu

Combien d'utilisateurs au total ? 15?

Azure AD n'est pas un active directory comme on l'entend habituellement. On ne peut pas créer de GPO par exemple. Cette solution est en générale couplée avec un AD classique afin de "fusionner" le cloud avec l'infra classique et également simplifier l'authentification via un seul couple user/mdp pour toutes les applications.
 
Il existe aussi Azure ADDS qui n'est ni plus ni moins qu'un windows server géré par microsoft. C'est sans doute cette solution que cherche l’entreprise.
 
Bref, si tu n'a pas touché à AD depuis 2003, tu vas trouver que c'est une usine à gaz. Et moi aussi d'ailleurs    
 
Un article qui résume bien les différences :  
 
https://hichamkadiri.wordpress.com/ [...] -azure-ad/

 
 
Oui il n'y a que 18 utilisateurs au total dans l'AD
 

 
 
Merci à toi, je vais essayer de voir si la migration vers Azure ADDS est compliqué ou non .. Mais bon je l'ai clairement dit a l'entreprise qu'il ne faudra peut être pas compter sur mes compétences
Donc avec Azure ADDS, l'entreprise pourrait être débarrasser du serveur windows 2019 ..?

Non mais encore une fois Azure ADDS rien à voir avec ton schmilblick.
 
Si tu veux te débarrasser de ton AD en gros tu dis adieu à tes services qui utilisent l'AD onprem dont tes serveurs de fichiers etc.
Donc ton NAS soit il reste en workgroup et tu gères les comptes qui y accèdent manuellement soit certains vont te dire de faire un AD sur le NAS si c'est genre un synology, chose que je te déconseille car c'est pas fait pour ça.
 
Dans ce cas remplace ton NAS par du sharepoint/onedrive et remplace tes GPO par du MDM genre Intune/Workspace One etc.

Il ne dit pas qu'il ne veut plus d'AD, il dit qu'il ne veut plus l'avoir sur site.

En quoi azure ADDS ne serait pas adapté ?

Après oui on peut très bien faire un AD avec une machine plus légère à part du NAS (et gratuitement) qu'un gros serveur dédié (si c'est la consommation et la place le problème) surtout pour 20 utilisateurs ça va pas chercher bien loin en puissance.

A titre perso, je fais tourner un AD samba qui gère 6-7 machines avec 512 Mo de RAM et la moitié d'un vieux Xeon X5460... C'est largement suffisant.

Oui l'entreprise veut surtout se débarrasser de l'AD onprem et tout mettre sur azure (ailleurs quoi).
 
Donc la solution serait :
 
-Service Active Directory vers Azure ADDS
-Serveur de fichiers par onedrive (ils ont déjà onedrive) ou un NAS (il n'y a que 4-5 utilisateurs qui ont des droits pour accéder à des dossiers sensibles)
 
Je viens de voir que le seul GPO qu'ils ont : "MappageLecteur"  que je pourrai sans doute faire autrement
 
Merci à vous

Ils ont un windows server juste pour une GPO ?

En effet ça sert un peu à rien et je comprends qu'ils veuillent s'en débarrasser. Autant gérer les comptes via le NAS. Et côté utilisateur c'est franchement pas compliqué de cliquer sur connecter un lecteur réseau... au pire leur faire copier un p'tit script CMD qui fait ça automatiquement.

Enfin j'dit ça, mais comment est géré le VPN ? C'est le WS ou sur le routeur ? Car si c'est WS on va avoir un problème...

Oui le script pour connecter un lecteur réseau est facile à faire
 
Mais en temps normal ils ont des stagiaires et des utilisateurs qui viennent de l'étranger donc ils veulent quand même un contrôleur de domaine ...
 
A voir quand ils verront qu'ils vont payer "assez cher" la solution azure quand même mais ils en ont marre de la baie informatique qui fait du bruit et surtout dans une salle non ventilés l'été

 
Mais tu sais ce que c'est Azure AD DS ? Et en quoi ça répond au besoin ? C'est pas du tout fait pour y connecter tes machines clientes, ça répond pas du tout au besoin.
 
Là vu le besoin il a pas du tout besoin d'AD et surement pas besoin d'un NAS en tant que tel.

Comme je disais juste avant, tu peux leur proposer la solution AD samba sur une machine compacte voir une tour classique : Pas de licence à payer, ça prendra moins de place, bruit réduit et moins de chaleur dégagée.
 
Une machine à base de CM serveur microATX, un Xeon basse conso et roulez...
 
Après faut tu sois prêt à mettre les main dans le cambouis (ligne de commande Linux)  ou au pire si c'est trop compliqué réinstaller windows server dessus.

Pour quel besoin ?

 
AH... c'est ça la subtilité ?

 
Et moi qui croyais qu'on pouvait connecter les machines du LAN sur le DC azure...
 
 
 
 

tu peux via un vpn ou expressroute mais c'est pas le sens de l'histoire. C'est pour gérer tes applis legacy, pas pour y mettre ton parc de PC clients. Eux doivent être intégrés à Azure AD directement et accéder à des services clouds
Et en plus ça a plein de limitations, vraiment à utiliser pour des besoins ultraspécifiques

Donc si je résume le mieux c'est un NAS avec des droits dessus .. Mais du coup chaque poste doit être gérer en local ? A moins que je reprenne l'idée du serveur SAMBA (mais ils n'ont pas réellement de service informatique ..)

Mais tu as quoi à mettre sur un NAS ?
Et de quoi chaque poste doit être géré en local ? Tu gères quoi là en central ?

Donc on en revient toujours au même point : pour utiliser azure AD "correctement", il faut un AD sur site si on veut garder toutes les fonctionnalités.

Bah non

J'entends par toutes les fonctionnalités, les GPO par ex qui ne fonctionne pas avec azure. Intune est encore loin de couvrir tous les paramètres possibles.

Un article qui résume bien la situation : https://www.policypak.com/resources [...] ws-10-mdm/

T'es un comique toi
Tu partages un article d'un éditeur qui se contente de dire pour résumer "c'est de la merde, regardez notre produit c'est mieux" ...
Je t'imagine bien derrière ton clavier à cliquer sur le premier lien google à ta recherche "intune windows 10 limitations gpo"
Et pas de dates sur ton article, ça doit pas être super super récent et intune est un service qui évolue toutes les semaines avec pas mal de nouveautés de ce côté là ces 6 derniers mois

edit: et rappelle moi l'utilité des gpo dans notre contexte vu qu'il les utilise juste pour monter un drive...)

Surtout qu'il sait pas vraiment utiliser les GPO pour commencer...

 
Zut, chuis démasqué      
 

 
C'est juste un outil pour importer les ADMX plus simplement au lieu de le faire à la main. Je vois pas vraiment où ils disent du mal de MDM.
 

 
Si on se fie aux dates d'upload des images, novembre 2020.  
 

 
Oui dans notre cas, elles ne sont d'aucune utilité    Je parlais en général.

 
En fait ce n'est pas moi qui gère du tout leur infrastructure ... Je suis juste un développeur pour eux .. et j'ai constaté qu'il n'y avait pas du tout de service informatique : tant que le serveur tourne tant mieux ... J'ai demandé comment ils ont migré de 2003 R2 à 2019 : Un alternant qui a démissionné au bout de qlq mois .. (tout leur infrastructure a été "monté" par des stagiaires et alternants ... vous imaginez l'état des mdp avec des ports ouverts, heureusement pour eux & les salariés qui n'ont pas été piraté ..)
 
Du coup ils m'ont demandé gentiment si je pouvais y jeter un oeil (je leur ai averti que je ne connais plus grand chose de ce domaine ..).  Bien sûr je saurai faire des GPO comme empêcher l'installation de logiciel, restreindre des droits, restriction des USB/CD & co et puis j'ai quand même mis en place un mdp avec un minimum de "force" / changement de mdp tous les x mois (pcq bon leur mdp c'était vraiment du n'importe quoi, il y avait même des post it avec leur compte utilisateur et mdp dessus   ..)
 
Donc en jetant un œil .. Bah en central (ou sur le serveur), je me suis aperçu qu'il y avait un terminal server qui est utilisé par un utilisateur (ils ne savent meme pas me dire pourquoi   ), d'un serveur FTP (Bien sur avec un pare feu avec 0 règle du coup j'ai remis correctement les règles de filtrage sur leur pare feu - un sonicwall dont le compte/mdp admin était collé dessus    ..), d'un serveur de fichiers et c'est a peu pres tout en réalité .. Même pas de sauvegarde .. Du coup j'ai quand même "sauvegardé" leur serveur de fichiers sur OneDrive et j'ai également configuré des sauvegardes avec "Sauvegardes de windows" (qui sont backup sur onedrive également)
 
Mais bon ils veulent à tout prix se débarrasser du serveur qui est âgé de 10 ans maintenant et qui fait un bruit monstre (bon en même temps le serveur est dans une baie informatique et dans une salle non ventilées .. vive la chaleur et avec des ventilateurs ... de PC (wtf)
 
Note : Je suis juste en mission pour eux .. Je ne ferai surement pas de migration ou quoique ce soit .. Mais bon j'aimerai bien les aider quand même et les convaincre de prendre un administrateur réseau et système  (le PDG m'a l'air très radin quand même mais il commence à prendre conscience des risques ...) .. Et donc ils m'ont demandé, si possible, d'étudier la faisabilité !
 

 
 
Sur le NAS, je mettrai leur fichiers du serveur de fichiers tout simplement. Tous les employés mettent leur travail dans un partage NFS (vu que leur poste de travail n'est même pas sauvegardé).

Tu te fais payer spécifiquement pour ce travail j'espère ...
 
Et attention, la mise en place de quoi que ce soit, droits, firewall, sauvegarde, GPO, etc. cela nécessite ensuite une gestion.

Tout ça, c'est payant. Le PDG continue de jouer au radin, et profite de t'avoir sous la main pour te faire faire de l'ingénierie gratos. Sauf qu'à partir du moment où tu touches à leur infra, c'est ta responsabilité qui est engagée.
Pas sûr qu'il ait vraiment pris conscience qu'en cas d'attaque, sa boîte coule. Et que vu son infra faite de bric et de broc, l'attaque en question ne devrait pas tarder.

 
Non pas du tout mais je ne pense pas aller jusqu'au bout après j'aurai bien voulu savoir si une solution existe pour se débarrasser d'un AD onprem (pour la culture G au moins!) mais ça m'a l'air plus compliqué que ça ;D.  
 
Oui je suis au courant que les changements de droits, firewall, sauvegarde & co nécessite une gestion mais je n'ai fait que le minimum je pense : des mdp plus complexes, bloquer tous les ports par défaut puis j'ai ouvert petit à petit pour leurs besoins, sauvegarde sur OneDrive et un sur disque dur externe. Après je leur ai dis que ce sera à eux de gérer (enfin surement un alternant ...).
 
 

 
Ca fait depuis plus de 20 ans que c'est comme ça et que ça fonctionne (il me répond toujours comme ça). Heureusement pour lui que la comptabilité / VOIP ne sont pas hébergés chez eux mais chez des prestataires. En local, ils n'ont que leurs serveurs de fichiers qui ne stockent pas de données critiques (tous tes stockés sur google drive vu que msg pro est géré sur google mail).  
 
C'est pour cela qu'il souhaite dégager le contrôleur de domaine et p-e plus tard le serveur de fichiers... Mais il souhaite quand même que les pc soient gérer par utilisateurs .. Etc. Manquerait plus qu'il demande si on peut avoir un proxy / pare feu ailleurs  
 
Le PDG est vraiment perdu dans le monde de l'informatique .. Je pense que les stagiaires / alternants ne les l'aidaient pas trop..

Enfin il n'a pas l'air trop perdu puisqu'il paye au minimum ...
Attention à ceux qui sous prétexte de ne rien comprendre ne sorte jamais de thune.

Regarde les possibilités du coté de Onedrive/Sharepoint compris dans vos abonnements Office 365 ou équivalent sur Google G suite, cela pourrait remplacer votre serveur de fichier. (D'ailleurs pourquoi avoir Gsuite + office 365?)
 
Une fois le serveur de données dans les nuages, a quoi va réellement servir l'AD ou le domaine ?
 
L'automatisation et la gestion centralisé ca devient intéressant lorsque tu fais du volume, mais sur un parc de 15 machines, c'est plus rapide d'installer manuellement la nouvelle imprimante sur les 2 ordinateurs de la compta que de d'ouvrir AD.

Gsuite propose la gestion des utilisateurs et des postes en Windows maintenant.
Regarde aussi de ce côté la.

 
ça m'a l'air pas mal pour eux. Je vais étudier ça . Ce serait pas mal vu que le serveur mail est hebergé sur google et qu'ils utilisent tous Gsuite !
Merci !