<?xml version="1.0" encoding="ISO-8859-1"?>

<rss version="2.0" xmlns:dc="http://purl.org/dc/elements/1.1/" xmlns:content="http://purl.org/rss/1.0/modules/content/">
	<channel>
		<title>Forum du club des développeurs et IT Pro - Blogs - benjamin.f</title>
		<link>https://www.developpez.net/forums/blogs/603167-benjamin-f/</link>
		<description>Developpez.com, le Club des Développeurs et IT Pro</description>
		<language>fr</language>
		<lastBuildDate>Fri, 01 May 2026 04:26:47 GMT</lastBuildDate>
		<generator>vBulletin</generator>
		<ttl>15</ttl>
		<image>
			<url>https://forum.developpez.be/images/misc/rss.jpg</url>
			<title>Forum du club des développeurs et IT Pro - Blogs - benjamin.f</title>
			<link>https://www.developpez.net/forums/blogs/603167-benjamin-f/</link>
		</image>
		<item>
			<title>Blocage de la console de gestion RDS suite suppression de serveur dans la ferme</title>
			<link>https://www.developpez.net/forums/blogs/603167-benjamin-f/b9769/blocage-console-gestion-rds-suite-suppression-serveur-ferme/</link>
			<pubDate>Wed, 19 Aug 2020 15:57:25 GMT</pubDate>
			<description>Bonjour, 
 
Un petit billet...</description>
			<content:encoded><![CDATA[<blockquote class="blogcontent restore">Bonjour,<br />
<br />
Un petit billet rapide afin de regrouper des informations qui m'ont été utiles récemment et qui peuvent l'être à d'autres concernant RDS sur Windows Server 2012 R2.<br />
<br />
Je vous passe l'histoire, mais suite au mauvais décommissionnement d'un serveur RDS inclus dans une ferme j'ai perdu la connexion à la console de gestion sur mon broker.<br />
<br />
Le message est :<br />
<div class="bbcode_container">
	<div class="bbcode_quote">
		<div class="quote_container">
			<div class="bbcode_quote_container"></div>
			
				Les serveurs suivants de déploiement ne figure pas dans le pool de serveurs<br />
1. [FQDN du serveur]<br />
.Ajoutez les au pool de serveurs
			
		</div>
	</div>
</div>Bref, si vous souhaitez supprimer un serveur RDS inclus dans une ferme RDS, faites le bien!<br />
Supprimez le rôle avant ou utilisez Powershell tel que présenté ci-après;<br />
<br />
Donc, les premiers articles sur lesquels je suis tombé renvoyaient sur la méthode Microsoft, via  &quot;POWERSHELL&quot; suivante;<br />
<a href="https://support.microsoft.com/fr-fr/help/2910155/remote-desktop-services-tools-are-not-functional-after-you-remove-a-se" target="_blank">https://support.microsoft.com/fr-fr/...ou-remove-a-se</a><br />
<br />
Pour faire simple, ont liste les serveur RDS de la ferme avec la commande<br />
<div class="bbcode_container">
	<table width="100%" border="0" cellspacing="0" cellpadding="0"><tr>
	<td style="border: 0; padding: 0; text-align: left">Code  :</td>
	<td style="border: 0; padding: 0; text-align: right"><a href="#" onclick="return ano_selectionnerCode(this);">Sélectionner tout</a> -
	<a href="#" onclick="return ano_etendreCode(this);">Visualiser dans une fenêtre à part</a></td></tr></table>
	<pre class="bbcode_code" style="height:36px;">get-RDServer</pre>
</div>Puis on supprime le serveur souhaité avec la commande <br />
<div class="bbcode_container">
	<table width="100%" border="0" cellspacing="0" cellpadding="0"><tr>
	<td style="border: 0; padding: 0; text-align: left">Code  :</td>
	<td style="border: 0; padding: 0; text-align: right"><a href="#" onclick="return ano_selectionnerCode(this);">Sélectionner tout</a> -
	<a href="#" onclick="return ano_etendreCode(this);">Visualiser dans une fenêtre à part</a></td></tr></table>
	<pre class="bbcode_code" style="height:36px;">Remove-RDServer -Server nom-fqdb-du-serveur -Role &lt;Role-Name&gt; -Force</pre>
</div>Sauf que que ... si vous avez supprimé la VM du serveur et que celui-ci n'est pas joignable, vous n'obtiendrez qu'une autre erreur de la part de Powershell...<br />
Bref, à ce stade je n'ai toujours pas avancé ...<br />
<br />
<b>Si l'histoire n'était pas plus compliquée, une simple restauration de la VM aurait permis de retrouver la main et de faire la suppression dans l'ordre.</b>:calim2:<br />
<br />
Mais ce n'est pas le cas... Je me retrouve à essayer de scier la branche sur laquelle je suis assis ... alors qu'elle est déjà coupée<br />
<br />
C'est là qu'une autre solution m'est apparue des abîmes de mes recherches ( en dépassant les 5 premières pages quoi ..) via mon moteur de recherche favoris en US <i> (celui que nous utilisons quasiment tous pour les soucis techniques, sinon j'utilise <a href="https://www.lilo.org/" target="_blank">https://www.lilo.org/</a> qui est basé dessus mais FR et plein de bonnes actions )</i><br />
<br />
<font size="4"><b><u>La solution : </u></b>Supprimer directement le ou les serveurs dans la base SQL windows embarquée utilisée par le Broker.</font><br />
<br />
Pour se connecter au moteur SQL embarqué rien de plus simple:<br />
<br />
Télécharger et installer SQL Server Management Studio express (par exemple ici <a href="https://www.microsoft.com/fr-fr/download/details.aspx?id=8961" target="_blank">https://www.microsoft.com/fr-fr/down...s.aspx?id=8961</a>) sur le serveur broker.<br />
<b>Attention - il faudra utiliser la session d'administrateur local !</b><br />
<br />
<i><font color="#FF0000">C'est le dernier moment ou l'ont peut encore penser à réaliser un snapshot du serveur avant d'y faire une potentielle bêtise :aie:</font></i><br />
<br />
Se connecter au serveur avec la ligne suivante;<br />
<div class="bbcode_container">
	<table width="100%" border="0" cellspacing="0" cellpadding="0"><tr>
	<td style="border: 0; padding: 0; text-align: left">Code  :</td>
	<td style="border: 0; padding: 0; text-align: right"><a href="#" onclick="return ano_selectionnerCode(this);">Sélectionner tout</a> -
	<a href="#" onclick="return ano_etendreCode(this);">Visualiser dans une fenêtre à part</a></td></tr></table>
	<pre class="bbcode_code" style="height:36px;">\\.\pipe\MICROSOFT\##WID\tsql\query</pre>
</div>Ce qui donne :<br />
<img src="https://www.developpez.net/forums/attachments/p577488d1597848576/autres-langages/general-visual-basic-6-vbscript/vb-6-anterieur/activex-propriete-picture-controle-util/ssms.jpg/" border="0" alt="Nom : ssms.JPG
Affichages : 16066
Taille : 35,1 Ko"  style="float: CONFIG" /><br />
<br />
Se connecter sur la base RDCms et faire clic droit pour lancer une requête de recherche du top 1000 pour la table RDCms.RDS.Server, afin de récupérer la liste des serveurs du pool et leurs ID.<br />
<img src="https://www.developpez.net/forums/attachments/p577489d1597848927/autres-langages/general-visual-basic-6-vbscript/vb-6-anterieur/activex-propriete-picture-controle-util/ssms2.jpg/" border="0" alt="Nom : ssms2.JPG
Affichages : 6894
Taille : 94,6 Ko"  style="float: CONFIG" /><br />
<br />
Je met le code directement si besoin :<br />
<div class="bbcode_container">
	<table width="100%" border="0" cellspacing="0" cellpadding="0"><tr>
	<td style="border: 0; padding: 0; text-align: left">Code  :</td>
	<td style="border: 0; padding: 0; text-align: right"><a href="#" onclick="return ano_selectionnerCode(this);">Sélectionner tout</a> -
	<a href="#" onclick="return ano_etendreCode(this);">Visualiser dans une fenêtre à part</a></td></tr></table>
	<pre class="bbcode_code" style="height:108px;"><table cellspacing="0" cellpadding="0"><tr><td valign="top" width="26"><div style="border: 1px dashed gray; padding-left: 5px; padding-right: 5px; margin-right: 5px; text-align: right; font-family: monospace">1<br />2<br />3<br />4<br />5<br />6<br /></div></td><td valign="top"><pre style="margin: 0">/****** Script de la commande SelectTopNRows à partir de SSMS  ******/
SELECT TOP (1000) [Id]
      ,[Name]
      ,[OsVersion]
      ,[ClusterName]
  FROM [RDCms].[rds].[Server]</pre></td></tr></table></pre>
</div><br />
Reste à supprimer le ou les récalcitrants avec la commande ci-après en renseignant l'ID correspondant au serveur récupéré dans le tableau affiché par la commande précédente;<br />
<br />
<div class="bbcode_container">
	<table width="100%" border="0" cellspacing="0" cellpadding="0"><tr>
	<td style="border: 0; padding: 0; text-align: left">Code  :</td>
	<td style="border: 0; padding: 0; text-align: right"><a href="#" onclick="return ano_selectionnerCode(this);">Sélectionner tout</a> -
	<a href="#" onclick="return ano_etendreCode(this);">Visualiser dans une fenêtre à part</a></td></tr></table>
	<pre class="bbcode_code" style="height:36px;">delete from rds.Server where ID = ‘[IDduServerAsupp]’;</pre>
</div>ET voila ! ou pas ...<br />
<br />
En effet, le serveur peut avoir des références qui empêche la suppression.<br />
<b>Pas de panique! </b> Il suffit de refaire la même chose sur la table de référence indiquée dans le message d'erreur et de la supprimer avant le serveur.<br />
<br />
Dans mon cas, cela se trouvait dans la table RoleRdsh.<br />
vous trouverez ci-après les lignes utilisées pour trouver et supprimer la référence qui m’empêchait de supprimer le serveur de la table &quot;RDS.Server&quot;;<br />
<br />
<div class="bbcode_container">
	<table width="100%" border="0" cellspacing="0" cellpadding="0"><tr>
	<td style="border: 0; padding: 0; text-align: left">Code  :</td>
	<td style="border: 0; padding: 0; text-align: right"><a href="#" onclick="return ano_selectionnerCode(this);">Sélectionner tout</a> -
	<a href="#" onclick="return ano_etendreCode(this);">Visualiser dans une fenêtre à part</a></td></tr></table>
	<pre class="bbcode_code" style="height:144px;"><table cellspacing="0" cellpadding="0"><tr><td valign="top" width="26"><div style="border: 1px dashed gray; padding-left: 5px; padding-right: 5px; margin-right: 5px; text-align: right; font-family: monospace">1<br />2<br />3<br />4<br />5<br />6<br />7<br />8<br />9<br /></div></td><td valign="top"><pre style="margin: 0">
/****** Script de la commande SelectTopNRows à partir de SSMS  ******/
SELECT TOP (10) [Id]
      ,[RdcbConfigId]
      ,[PoolId]
  FROM [RDCms].[rds].[RoleRdsh]

/******  Suppression des lignes null pour les serveurs à supprimer *****/
  delete from rds.RoleRdsh where ServerId=[IDduServerAsupp]</pre></td></tr></table></pre>
</div><b>! Attention ce n'est pas le même ID et pas la même table !</b><br />
<br />
<br />
Vous pouvez recommencer la première manœuvre, la référence ne doit plus empêcher la suppression du serveur inexistant.<br />
Mais surtout, l'accès à la console de gestion RDS sur le broker est revenue !:king:</blockquote>

]]></content:encoded>
			<dc:creator>benjamin.f</dc:creator>
			<guid isPermaLink="true">https://www.developpez.net/forums/blogs/603167-benjamin-f/b9769/blocage-console-gestion-rds-suite-suppression-serveur-ferme/</guid>
		</item>
		<item>
			<title>Whitelist FSRM contre les ransomwares sur vos serveurs de fichiers Windows</title>
			<link>https://www.developpez.net/forums/blogs/603167-benjamin-f/b2985/whitelist-fsrm-contre-ransomwares-vos-serveurs-fichiers-windows/</link>
			<pubDate>Fri, 05 May 2017 12:30:08 GMT</pubDate>
			<description>Bonjour, 
 
Suite à la...</description>
			<content:encoded><![CDATA[<blockquote class="blogcontent restore">Bonjour,<br />
<br />
Suite à la nouvelle vague d'e-mails malveillant contenant une variante de Locky, je me décide à sortir un petit billet sur une mesure de prévention simple trouvée sur le net, mais à mon avis insuffisamment bien exploitée. <br />
<br />
<font color="#ADD8E6"><font size="4"><b>Intro</b></font></font><br />
Loin d'être <b>LA</b> solution, puisque cela ne protège que partiellement les fichiers exposés à certaines souches de ransomwares ; ceux qui modifient les extensions des fichiers qu'ils cryptent.<br />
<br />
Le réel avantage, c’est que la mise en œuvre peut se faire en transparence sur vos serveurs de fichiers Windows.<br />
Vous ne vous heurterez donc pas aux utilisateurs récalcitrants.<br />
Néanmoins, cela n’empêche pas d’informer et de continuer la sensibilisation.<br />
<br />
<div class="bbcode_container">
	<div class="bbcode_quote">
		<div class="quote_container">
			<div class="bbcode_quote_container"></div>
			
				:arrow: Avant de commencer, assurez-vous d'avoir des serveurs de fichiers correctement gérés via la méthode AGDLP de Microsoft <a href="https://www.developpez.net/forums/blogs/603167-benjamin-f/b161/gestion-simple-droits-serveur-fichiers-domaine-active-directory/" target="_blank"><b>(voir ici)</b></a>.
			
		</div>
	</div>
</div><font color="#ADD8E6"><font size="4"><b>L'Idée</b></font></font><br />
Il existe bon nombre de tutos sur internet permettant d'éviter l'enregistrement des extensions de ransomwares connus, sur vos serveurs, via FSRM.<br />
<br />
Le problème est que les souches permettent de créer des centaines de variantes, et qu'il est juste impossible de tenir correctement à jour cette liste, ne sachant par quelle extension nous allons être mangés.<br />
<br />
Sur le principe du moindre privilège, il est préférable de fonctionner par &quot;white liste&quot;.<br />
<br />
<font color="#ADD8E6"><font size="4"><b>La pratique</b></font></font><br />
Assurez-vous d'avoir le service de rôle FSRM d'installé, sinon installez le.<br />
<br />
Pour mettre en oeuvre la solution, il faut interdire toutes les extensions (*.*), sauf celles permises au sein de votre SI.<br />
<br />
Pour récupérer les extensions à mettre en whitelist, vous pouvez utiliser un script permettant de faire l’inventaire des extensions présentent sur votre serveur de fichiers, et ainsi générer un&quot; groupe de fichiers&quot; directement dans FSRM:<br />
<br />
<div class="bbcode_container">
	<table width="100%" border="0" cellspacing="0" cellpadding="0"><tr>
	<td style="border: 0; padding: 0; text-align: left">Code  :</td>
	<td style="border: 0; padding: 0; text-align: right"><a href="#" onclick="return ano_selectionnerCode(this);">Sélectionner tout</a> -
	<a href="#" onclick="return ano_etendreCode(this);">Visualiser dans une fenêtre à part</a></td></tr></table>
	<pre class="bbcode_code" style="height:120px;"><table cellspacing="0" cellpadding="0"><tr><td valign="top" width="26"><div style="border: 1px dashed gray; padding-left: 5px; padding-right: 5px; margin-right: 5px; text-align: right; font-family: monospace">1<br />2<br />3<br />4<br />5<br />6<br />7<br /></div></td><td valign="top"><pre style="margin: 0">
$l=@()
$i = gci -Recurse -File -Force -Path $Path -ErrorAction SilentlyContinue | ?{($_.Attributes -notmatch &quot;Hidden&quot;) -and ($_.Extension -like &quot;*.*&quot;)}
foreach ($o in $i) {
    if ($l -notcontains ($e=('*'+ $o.Extension +'*'))) {$l += $e}
    }   
}</pre></td></tr></table></pre>
</div><i><b>:!: cela peut prendre du temps, cela dépend des données présentes sur votre serveur de fichiers.</b></i><br />
<br />
<div class="bbcode_container">
	<div class="bbcode_quote">
		<div class="quote_container">
			<div class="bbcode_quote_container"></div>
			
				 :arrow: Pour plus de sécurité vous pouvez faire cela sur une VM isolée, cela permettra de faire au passage une restauration complète de votre sauvegarde, et ainsi valider son intégrité.<br />
<br />
Si vous redirigez le dossier &quot;mes documents&quot; de vos utilisateurs, vous ne devriez normalement pas avoir accès à leurs données personnelles.<br />
<br />
Pour récupérer les extensions vous pouvez toujours essayer d'utiliser une restauration de sauvegarde et bidouiller les droits...<br />
<br />
:!:<font color="#FF0000"><i>Le plus simple reste à rappeler à vos utilisateurs que ces fichiers ne font pas partit de la politique de sauvegarde, et que les dossiers professionnels doivent être enregistrés dans les partages prévus à cet usage.</i></font>
			
		</div>
	</div>
</div>La commande suivante créera un nouveau groupe de fichiers bloquant tous les fichiers à l'exception des extensions déjà présentent sur votre serveur:<br />
<br />
<div class="bbcode_container">
	<table width="100%" border="0" cellspacing="0" cellpadding="0"><tr>
	<td style="border: 0; padding: 0; text-align: left">Code  :</td>
	<td style="border: 0; padding: 0; text-align: right"><a href="#" onclick="return ano_selectionnerCode(this);">Sélectionner tout</a> -
	<a href="#" onclick="return ano_etendreCode(this);">Visualiser dans une fenêtre à part</a></td></tr></table>
	<pre class="bbcode_code" style="height:36px;">New-fsrmFileGroup -Name RansomWare -IncludePattern &quot;*&quot; -ExcludePattern $l</pre>
</div>La dernière commande servira à créer le nouveau filtre de fichiers avec notre whitelist.<br />
<br />
Je vous conseil dans un premier temps de faire un filtre passif, afin de vous assurer que tout est en ordre.<br />
Ensuite, une fois la période de validation que vous aurez définie passée, vous pourrez passer en actif. <br />
<br />
C'est toujours possible en commande PS:<br />
<br />
<div class="bbcode_container">
	<table width="100%" border="0" cellspacing="0" cellpadding="0"><tr>
	<td style="border: 0; padding: 0; text-align: left">Code  :</td>
	<td style="border: 0; padding: 0; text-align: right"><a href="#" onclick="return ano_selectionnerCode(this);">Sélectionner tout</a> -
	<a href="#" onclick="return ano_etendreCode(this);">Visualiser dans une fenêtre à part</a></td></tr></table>
	<pre class="bbcode_code" style="height:60px;"><table cellspacing="0" cellpadding="0"><tr><td valign="top" width="26"><div style="border: 1px dashed gray; padding-left: 5px; padding-right: 5px; margin-right: 5px; text-align: right; font-family: monospace">1<br />2<br /></div></td><td valign="top"><pre style="margin: 0">#Supprimez l'option -Active pour rester en mode passif
New-FsrmFileScreen -Path $Path -IncludeGroup $Name -Active</pre></td></tr></table></pre>
</div>Le script complet :fleche: <a href="https://www.developpez.net/forums/attachments/p271910d1493985290/bases-donnees/oracle/sql/soustraire-dates/create-fsrmwhitelist.zip/"  title="Nom : Create-FsrmWhiteList.zip
Affichages : 110
Taille : 1,1 Ko">Create-FsrmWhiteList.zip</a><br />
<br />
<font color="#ADD8E6"><font size="4"><b>Conclusion</b></font></font><br />
Comme je l'ai rappelé en introduction, cela ne représente qu'un petit maillon d'une protection, mais il est facile de mettre cette solution en place.<br />
Et puis comme le dit le proverbe :<br />
<i>&quot;une chaîne n'est pas plus forte que sont maillon le plus faible&quot;</i><br />
<br />
L'important dans ce billet, c'est aussi de voir plus loin que le fait d'utiliser FSRM.<br />
Il faut intégrer l'idée de gérer exclusivement ce dont nous avons vraiment besoin, et d'exclure le reste.<br />
<br />
Sur une nouvelle implémentation par exemple; Il est important de définir les types de fichiers qui seront pris en compte par le besoin, et intégrer votre filtre &quot;by design&quot;, à la mise en place du serveur.<br />
<br />
Le principe du &quot;least privilège&quot; ne ce réduit pas aux serveurs de fichiers, mais devrais s'appliquer à l'ensemble du SI <i>(dans la mesure du possible)</i>, afin d'en améliorer la sécurité.<br />
<br />
:arrow: Je rappelle aussi que le meilleur moyen de se protéger est de sensibiliser les utilisateurs, et en cas de catastrophe d'avoir des sauvegardes récentes.<br />
<br />
Si vous avez des remarques ou des améliorations à porter à cet article (ou au script), vous pouvez en faire part en commentaire ou par message privé.<br />
En vous remerciant d'avoir pris le temps de me lire.<br />
<br />
Benjamin.F</blockquote>

]]></content:encoded>
			<dc:creator>benjamin.f</dc:creator>
			<guid isPermaLink="true">https://www.developpez.net/forums/blogs/603167-benjamin-f/b2985/whitelist-fsrm-contre-ransomwares-vos-serveurs-fichiers-windows/</guid>
		</item>
		<item>
			<title>Gestion simple des droits pour un serveur de fichiers dans un domaine Active Directory</title>
			<link>https://www.developpez.net/forums/blogs/603167-benjamin-f/b161/gestion-simple-droits-serveur-fichiers-domaine-active-directory/</link>
			<pubDate>Fri, 06 Feb 2015 12:39:32 GMT</pubDate>
			<description>Dans ce tout premier billet,...</description>
			<content:encoded><![CDATA[<blockquote class="blogcontent restore">Dans ce tout premier billet, je vais vous présenter une façon de gérer de manière simple un serveur de fichiers dans un domaine Active Directory.<br />
<br />
Je ne me pencherai pas sur les notions approfondies, vous pourrez néanmoins faire des recherches par vous même sur certains termes.<br />
<br />
Cette méthode est particulièrement adaptée au petite à moyenne entreprise et permet une gestion efficace de l’administrateur, sans forcement avoir de notions avancées en Active Directory.<br />
<br />
<br />
<font size="4">Introduction</font><br />
<br />
<div class="bbcode_container">
	<div class="bbcode_quote">
		<div class="quote_container">
			<div class="bbcode_quote_container"></div>
			
				:!:<b> Pour rappel:</b> L'accès aux ressources est critique. Il doit être accompagné d'une gestion rigoureuse et d'un plan de sauvegarde.<br />
De manière général, les droits NTFS, mieux vaut éviter d'y toucher une fois en place.
			
		</div>
	</div>
</div>Même dans les petites entreprises, cela peut devenir très vite complexe par la multiplication des droits donnés à différents utilisateurs sur un même dossier.<br />
Encore plus quand il faut donner des droits différents à ces même utilisateurs dans les sous-dossiers.<br />
<br />
Les besoins de base envers un dossier sont eux assez simples:<br />
<ul><li style="">Y faire ce que l'on veut :fleche: Lire, modifier, ajouter, et supprimer des fichiers.</li><li style="">Lire les fichiers d'un dossier, sans pouvoir les modifier <br />
<i>(rien n’empêche de copier le fichier sur le bureau pour le modifier en local, mais celui-ci ne pourra pas remplacer le fichier existant dans le dossier racine.)</i></li><li style="">Ne pas y avoir accès.</li></ul><br />
<br />
La méthode que je vais vous présenter se base sur les points suivants :<br />
<ul><li style="">Pas de sous-partage.</li><li style="">Pas de gestion des droits dans les sous-dossiers.</li><li style="">Touts les dossiers sont gérés sur la racine du partage.</li><li style="">Un groupe de Domaine Locale avec des droits en lecture sur le dossier racine.</li><li style="">Un groupe de Domaine Locale avec des droits en écriture sur le dossier racine.</li><li style="">Activer ABE.</li></ul><br />
<br />
Ainsi, une fois en place, il n'y aura plus à toucher au droits définis sur les dossiers créés.<br />
Si un utilisateur ou un groupe défini d'utilisateurs doit avoir un accès à un dossier, il n'y aura qu'a le mettre dans le groupe adéquate depuis Active directory.<br />
Les utilisateurs ne verront que les dossiers racine auxquels ils au minimum un droit de lecture.<br />
<br />
<br />
<font size="5">La méthode dans la pratique</font><br />
<br />
<font size="4">Énoncé de l'exercice </font><br />
<br />
2 utilisateurs, &quot;user1&quot; et &quot;user2&quot; auront accès à un partage &quot;TEST&quot; sur lequel se trouvera les dossiers racines.<br />
Le partage sera effectué sur un serveur de fichier Windows 2012r2 appelé SRV-FIC2.<br />
<br />
<ul><li style="">User1 pourra lire et écrire dans le dossier &quot;Dossier1&quot; et lire les fichiers du dossier &quot;Dossier2&quot;.</li><li style="">User2 pourra lire et écrire dans le dossier &quot;Dossier2&quot; mais n'aura aucun droits sur le dossier &quot;Dossier1&quot;.</li><li style="">Pour une meilleur lisibilité, nous utiliseront ABE pour que user2 ne voit que le dossier sur lequel il a des droits.</li></ul><br />
<br />
<font size="4">Les groupes</font><br />
<br />
Chaque groupe portera le même nom que le dossier pour l'identifier facilement, plus une lettre qui nous indiquera si il s'agit du groupe de lecture ou du groupe d'écriture.<br />
<br />
Dans AD, j'utilise une nouvelle O.U appelée Groupes_GDL pour Groupes de Domaine Locale.<br />
On créer dedans les groupes Dossier1_R, Dossier1_W, Dossier2_R, et Dossier2_W.<br />
<br />
Pour suivre la méthode AGDLP, ces groupes seront des groupes de Domaine Locale.<br />
<br />
<div class="bbcode_container">
	<div class="bbcode_quote">
		<div class="quote_container">
			<div class="bbcode_quote_container"></div>
			
				:!:Vous pourrez par la suite crééer des groupe globaux qui réuniront les utilisateurs d'un même service.<br />
Par exemple Commerciaux, direction, RH, secrétaires,... <br />
Ensuite il faudra mettre les groupes globaux des services dans les groupes de domaine Locale auxquels ils ont des droits.
			
		</div>
	</div>
</div>Pour les besoins de l'exercice, on va mettre directement les utilisateurs dans les groupes de domaine local.<br />
<br />
Donc selon l’énoncé:<br />
:fleche: L'utilisateur User1 qui a des droit en écriture sur dossier 1 et en lecture sur dossier2 ira dans les groupes Dossier1_W et dossier2_R<br />
:fleche: L'utilisateur User2, qui a des droits en écriture sur le dossier2 mais aucun droit sur dossier 1 n'ira que dans le groupe dossier2_W.<br />
<br />
<font size="4">Le partage</font><br />
<br />
Sur le serveur de fichier, attachez un nouveau disque NTFS nommé DATA.<br />
Sur le disque DATA, créer un nouveau dossier &quot;TEST&quot;.<br />
Utilisez le mode de partage avancé pour donner des droits de partage en contrôle total au groupe &quot;tout le monde&quot;.<br />
<br />
<img src="https://www.developpez.net/forums/attachments/p168270d1423221760/autres-langages/assembleur/tp7-calculer-sin-cos-tan-sqrt-via-fpu/droitspartage.jpg/" border="0" alt="Nom : droitsPartage.jpg
Affichages : 99059
Taille : 79,8 Ko"  style="float: CONFIG" /><br />
<br />
Nous allons gérer les droits via NTFS:<br />
<ul><li style="">Allez dans les propriétés/onglet sécurité/bouton avancé.</li><li style="">Désactivez l'héritage, et supprimez toutes les autorisations héritées de l'objet.</li><li style="">Ajoutez admins du domaine en contrôle total (CT).</li><li style="">Ajoutez utilisateurs du domaine que vous laissez en lecture (valeur par défaut )</li></ul><br />
<br />
<br />
<img src="https://www.developpez.net/forums/attachments/p168269d1423221760/autres-langages/assembleur/tp7-calculer-sin-cos-tan-sqrt-via-fpu/droitspartagentfs.jpg/" border="0" alt="Nom : droitsPartageNTFS.jpg
Affichages : 89997
Taille : 107,8 Ko"  style="float: CONFIG" /><br />
<br />
<font size="4">Les dossiers</font><br />
<br />
Une fois le partage effectué, on va pouvoir créer les dossiers gérés, aux-quels on définira les droits d'accès via NTFS.<br />
<ul><li style="">On créer les dossiers &quot;dossier1&quot; et &quot;dossier2&quot;.</li></ul><br />
La première chose est de désactiver l'héritage.<br />
Donc clic droit sur le dossier/propriétés/avancer/modifier les autorisations, et on désactive l'héritage.<br />
<div class="bbcode_container">
	<div class="bbcode_quote">
		<div class="quote_container">
			<div class="bbcode_quote_container"></div>
			
				:!: Soit on réinjecte les droits déjà présent, soit on part sur une base vierge.<br />
Cela ne changera pas grand chose ici.
			
		</div>
	</div>
</div><ul><li style="">On supprime les autorisations héritées <i>(pour cet exemple, on va repartir sur une base vierge)</i>.</li><li style="">On ajoute le groupe &quot;admins du domaine&quot; en contrôle total.</li><li style="">On ajoute le groupe &quot;Dossier1_R&quot;, et on lui laisse ces droits de base en &quot;Default value&quot;.</li><li style="">On ajoute Dossier1_W auquel on rajoute &quot;modification&quot; aux droits de base, le droit écriture va se mettre automatiquement.</li></ul><br />
<br />
Pour éviter toute catastrophe, on va maintenant rajouter un refus pour le groupe en écriture<br />
Dans les autorisations avancées, on rajoute le groupe &quot;Dossier1_W&quot;.<br />
<br />
On spécifie un &quot;REFUS&quot; sur &quot;ce dossier seulement&quot; pour l'attribut &quot;suppression&quot;.<br />
<div class="bbcode_container">
	<div class="bbcode_quote">
		<div class="quote_container">
			<div class="bbcode_quote_container"></div>
			
				:!: Attention,  bien spécifier &quot;Ce dossier seulement&quot; car les refus l'emporte toujours sur les autorisations.
			
		</div>
	</div>
</div>Pour vérification, vous devez vous retrouver avec ces droits :<br />
<br />
<img src="https://www.developpez.net/forums/attachments/p168267d1423221739/autres-langages/assembleur/tp7-calculer-sin-cos-tan-sqrt-via-fpu/dossier1.jpg/" border="0" alt="Nom : dossier1.jpg
Affichages : 89545
Taille : 115,6 Ko"  style="float: CONFIG" /><br />
<br />
On fait maintenant la même chose pour le dossier &quot;Dossier2&quot;, en lui configurant ses groupes de la même façon.<br />
<br />
<font size="4">On récapitule </font><br />
<br />
On doit donc avoir:<br />
<ul><li style="">2 utilisateurs : User1 et User2</li><li style="">4 groupes de domaine Locale : Dossier1_R, Dossier1_W, Dossier2_r, et Dossier2_W</li><li style="">User1 est dans Dossier1_W et Dossier2_R</li><li style="">User2 est dans Dossier2_W</li><li style="">un dossier TEST partagé en &quot;CT&quot; pour le groupe &quot;tout le monde&quot; avec des droits NTFS de base en lecture pour les utilisateurs    du domaine.</li><li style="">Les dossiers racine &quot;Dossier1&quot; et &quot;Dossier2&quot; sur lesquels ont défini les droits sur les groupes respectifs</li></ul><br />
<br />
<font size="4">Connexions de test</font><br />
<br />
On se connecte en User1, on doit pouvoir:<br />
<ul><li style="">Lire et écrire dans le dossier Dossier1</li><li style="">Lire ce qu'il y a dans le dossier Dossier2</li></ul><br />
<br />
En se connectant en User2, on ne peut que lire et ecrire dans le dossier &quot;Dossier2&quot;<br />
<br />
<font size="4">ABE</font><br />
<br />
Il faut aller sur le serveur de fichier pour activer Access Based Enumeration.<br />
<br />
Connectez vous dans le gestionnaire de serveur, et allez dans le menu de gauche &quot;Services de fichiers et de stockage&quot;.<br />
<br />
Ensuite allez dans &quot;Partages&quot;.<br />
Vous y trouverez la liste de tous les partages référencés sur le serveur.<br />
Sélectionnez le partage &quot;TEST&quot;, et allez dans les propriétés puis &quot;paramètres&quot;.<br />
<br />
<img src="https://www.developpez.net/forums/attachments/p168272d1423222454/autres-langages/assembleur/tp7-calculer-sin-cos-tan-sqrt-via-fpu/abe.jpg/" border="0" alt="Nom : ABE.jpg
Affichages : 89673
Taille : 161,5 Ko"  style="float: CONFIG" /><br />
<br />
Maintenant, les utilisateurs ne verront plus que les dossiers auxquels ils ont le droit.<br />
<br />
<font size="4">Recherches associées</font><br />
<br />
Pour commencer à aller plus loin, vous pouvez faire des recherches concernant les termes suivants:<br />
<br />
<ul><li style="">Droits NTFS</li><li style="">Active directory</li><li style="">AGDLP</li><li style="">ABE (Access-based Enumeration)</li></ul><br />
<br />
<font size="4">Conclusion</font><br />
<br />
C'est la méthode que j'utilise actuellement en 3 partages montés en lecteurs réseaux.<br />
L'effort d'administration est faible, ce qui me permet de traiter les demandes d'accès rapidement avec un faible risque d'erreur.<br />
<br />
A vous de me dire si cette méthode vous convient autant qu'à moi 8-).</blockquote>

]]></content:encoded>
			<dc:creator>benjamin.f</dc:creator>
			<guid isPermaLink="true">https://www.developpez.net/forums/blogs/603167-benjamin-f/b161/gestion-simple-droits-serveur-fichiers-domaine-active-directory/</guid>
		</item>
	</channel>
</rss>
