Ajouter un deuxième contrôleur de domaine Active Directory

Avec un seul contrôleur de domaine, une panne suffit pour que plus personne ne puisse ouvrir de session. Dans cette démonstration, j’ajoute un deuxième contrôleur de domaine à l’annuaire de Lasco Corporation et je prouve que les deux serveurs se répliquent dans les deux sens.

Le contexte chez Lasco Corporation

Jusqu’ici, tout le domaine lascocorp.org reposait sur un seul serveur, SRV-1. Pour qu’une panne de ce serveur n’arrête pas l’entreprise, j’ajoute un second contrôleur, SRV-2, qui partage le même annuaire et peut prendre le relais.

Les prérequis

• Domaine : lascocorp.org en place, avec l’arborescence et les stratégies de groupe des quatre départements.
• SRV-1 : Windows Server 2022, premier contrôleur de domaine avec le DNS, adresse 192.168.2.52.
• SRV-2 : Windows Server 2022 fraîchement installé, sans configuration.
• Réseau : les deux serveurs sur le même réseau 192.168.2.0/24.
• Compte : un compte administrateur du domaine, nécessaire pour la promotion.

Les étapes

1. Vérification de la santé du domaine AD

Avant d’ajouter un contrôleur, je vérifie que le domaine existant est sain : répliquer un domaine en mauvais état, c’est répliquer ses problèmes.

dcdiag                  # tests de santé du contrôleur de domaine

netdom query fsmo       # serveur qui détient les rôles FSMO

w32tm /query /status    # synchronisation de l'heure

Les tests réussissent, SRV-1 détient les cinq rôles FSMO et l’heure est synchronisée. Ce dernier point compte : au-delà de cinq minutes d’écart entre deux serveurs, l’authentification Kerberos échoue et la réplication avec elle.

2. Préparation de SRV-2 : réseau et nommage

Sur un Windows Server 2022 fraîchement installé, je fixe l’adresse IP (192.168.2.53), je règle le DNS préféré sur SRV-1 (192.168.2.52) pour que le serveur puisse trouver le domaine, puis je renomme la machine en SRV-2.

3. Installation du rôle AD DS et promotion en DC

J’installe le rôle Services AD DS depuis le Gestionnaire de serveur, puis je lance la promotion avec l’option « Ajouter un contrôleur de domaine à un domaine existant », avec un compte administrateur du domaine. Je définis le mot de passe du mode de restauration (DSRM), distinct de celui de l’administrateur, et le serveur redémarre en tant que contrôleur de domaine.

4. Vérification de la réplication

Sur SRV-2, la console Utilisateurs et ordinateurs Active Directory affiche toute l’arborescence de Lasco Corporation, et SRV-2 apparaît dans l’unité d’organisation Domain Controllers, visible aussi depuis SRV-1.

Le résultat

Pour le prouver, je crée une GPO « test synchronisation » dans l’OU RH sur SRV-1 : elle apparaît sur SRV-2. Je la supprime ensuite sur SRV-2 : après actualisation de la console, elle a disparu de SRV-1. La réplication fonctionne dans les deux sens, et si l’un des deux serveurs tombe en panne, l’autre continue d’authentifier les utilisateurs.

Ce que j’en retiens

• Vérifier avant d’agir : quelques commandes suffisent à éviter de propager un domaine défaillant.
• Le DNS est la clé : sans DNS pointant vers SRV-1, SRV-2 ne trouve pas le domaine et la promotion échoue.
• En production, je configurerais le DNS de chaque contrôleur pour interroger l’autre en premier et lui-même en second, comme le recommande Microsoft, et je surveillerais la réplication avec repadmin /replsummary.