Dans l'article précédent nous avions vu comment activer la gestion à distance de Windows (WinRM) à l'aide des stratégies de groupe. Cette option vous permet entre autres d'exécuter à distance des commandes PowerShell sur des ordinateurs spécifiques. Une commande PowerShell intéressante est « Get-ComputerInfo ».

L'article suivant http://www.pbarth.fr/node/100, expliqué comment installer les outils d'administration à distance de serveurs (RSAT). Il fallait télécharger le programme d'installation correspondant à votre version, avec par exemple le lien suivant https://www.microsoft.com/fr-FR/download/details.aspx?id=45520. Vous constaterez que les outils s'arrêtent à la version Windows 10 1803. A partir de la version 1809 la méthode d'installation est différente.

Dans un environnement Windows, il existe deux familles de protocoles d'authentifications natives permettant de gérer l'accès aux ressources. Les protocoles Lan Manager, NTLM et Kerberos. L'apparition du protocole LanManager remonte aux années 80, il y a presque 40 ans. Il est très ancien et très vulnérable. NTLM son successeur est apparu quelque temps après et la version actuel NTLMv2 date de Windows NT4 SP4. Kerberos est le protocole par défaut dans les domaines Active Directory.

Dans un domaine Active Directory il existe un objet particulier qui sert de référence pour protéger les informations de sécurité de certains comptes à fort privilège. L'objet en question est « AdminSDHolder » et il est présent dans chaque domaine dans le conteneur « System ».

L'objet « AdminSDHolder » permet de protéger les informations de sécurité des comptes membres des groupes suivants :

Il peut arriver que l'on se retrouve avec des fichiers partagés verrouillés par certains utilisateurs après que le document se soit mal refermé.

Il est possible de voir les fichiers ouverts depuis la console « Gestion de l'ordinateur ». Néanmoins la liste peut être longue et il peut être difficile de retrouver un élément précis.

La commande PowerShell « Get-SmbOpenFile », permet de lister les fichiers ouverts. LA commande ci-dessous listera tous les fichiers ouverts par des utilisateurs dont le nom contient les lettres « pba ».

Lors de l'installation d'un contrôleur de domaine dans un environnement existant ou dans une nouvelle forêt vous devez disposer de droits spécifiques en fonction de votre déploiement. Le tableau suivant, décrit les droits minimums requis pour effectuer l'opération.

Si vous utilisez une forêt multi-domaines vous comprendrez sans doute l'intérêt d'interroger le catalogue global. Lorsque vous exécutez une commande comme « Get-ADUser » en spécifiant un contrôleur de domaine mais sans préciser le port de destination, vous allez interroger le port ldap par défaut (389). Il est possible d'interroger le catalogue global en précisant le port « 3268 ». Dans l'exemple, ci-dessous nous recherchons un compte d'abord sur la partition d'annuaire ensuite dans le catalogue global. Nous sélectionnons deux attributs distincts (SamAccountName et AccountExpirest).

Si vous utilisez de nombreux postes et serveurs, le processus d'activation de la licence Windows peut être contraignant. Si vous disposez de licence en volume vous pouvez utiliser les services d'activation en volume et une clé KMS. Il existe deux méthodes pour l'utilisation de ce type de clé de licence. La première date de Windows Server 2008 et de Windows Vista. Elle consiste à installer un serveur de licence KMS (KMS : clé d'activation multiple). Les postes clients trouvent le serveur de licence en utilisant la résolution DNS et envoient une demande d'activation.

À la suite d'une question sur les forums Technet, j'ai ressorti un de mes scripts pour l'améliorer et le mettre à disposition sur les Gallery :

https://gallery.technet.microsoft.com/Get-FolderSizeps1-036f331a?redir=0

Je pense que nous utilisons tous des outils comme Treesize ou WindirStat. Ces outils sont bien pratiques rapide et facile d'emploi.

Dans cet article nous allons voir la gestion des partages avec PowerShell.

Pour voir la liste des commandes liée aux partages de fichiers SMB :

get-command *SMBShare*

La première commande que nous allons utiliser permet de lister les partages sur l'ordinateur local :

Dans cet article nous allons voir quelques commandes PowerShell liées à la gestion des fichiers, des dossiers et des droits(ACL).

La première commande que nous allons voire est : Get-ChildItem . Elle permet de rechercher des fichiers et/ou des dossiers. Elle se différencie de la commande Get-Item qui récupère les informations sur un objet. Get-ChildItem comme son nom l'indique recherche les objets enfants.

Lors de l'ajout du premier contrôleur de domaine Windows Serveur 2016 vous risquez de rencontrer le message d'erreur :

« L'objet xxxx a été endommagé et est dans un état incohérent. Les erreurs de validation suivantes se sont produites :

L'entrée de contrôle d'accès définit l'ObjectType '9b026da6-0d3c-465c-8bee-5199d7165cba' qui ne peut être résolue. »

Avec le message d'erreur en anglais, il est assez facile de retrouver des informations, plus difficiles avec le message en français :

J'ai publié un script PowerShell permettant d'appliquer des mises à jour contenu dans un dossier à un disque virtuel offline. Dans mon exemple, il applique des mises à jour à mon image de base Windows Server 2016 « sysprepé », que j'utilises dans mes articles.

Vous pouvez le télécharger librement à l'adresse :

https://gallery.technet.microsoft.com/Apply-Update-in-VHD-File-e6fdf23c?redir=0

La commande a exécuté est la suivante :

Si vous avez mis en place la synchronisation d'annuaire entre votre annuaire AD sur site et Azure Active Directory à l'aide de l'outil Azure AD Connect, il est possible de désactiver la synchronisation avec le module PowerShell d'Azure.

Pour installer le module, consulter l'article :

http://www.pbarth.fr/node/235

Une fois le module installé et après vous êtes connecté sur votre Tenant office, vous pouvez consulter l'état de la synchronisation avec la commande :