Relation d'approbation entre domaine AD sous Windows

2008 R2
Un tutoriel concernant la mise en place d''une relation dapprobation entre 2 domaines AD
Dans cet exemple il y a :
- Un domaine domaine 1.local avec comme contrleur de domaine un serveur Windows
2003 R2 nomm w2k3-dc1.domaine1.local , ip 10.10.100.1
- Un domaine domaine2.local avec comme contrleur de domaine un serveur Windows
2008 R2 nomm w2k8-dc1.domaine2.local , ip 10.10.101.1.
Afin de pouvoir mettre en uvre une relation dapprobation entre 2 domaines, il est
ncessaire de garantir que chaque domaine puisse rsoudre les noms DNS de lautre
domaine.
Nous commenons dabord par grer les problmes de rsolution de nom. Sur le serveur
2003 de domaine1.local :
Un nslookup nous permet dinterroger le DNS par dfaut (lui-mme : localhost) et nous
confirme que le serveur ne peut actuellement rsoudre le nom DNS du DC du domaine 2.
Ci-dessous w2k3-dc1.domaine1.local ne peut rsoudre w2k8-dc1.domaine2.local.

Nous configurons maintenant les redirecteurs DNS sur le serveur W2k3-dc1 afin de rediriger
les requtes DNS du domaine domaine2.local sur le serveur w2k8-dc1.

W2k3-dc1 arrive maintenant rsoudre le nom w2k8-dc1.domaine2.local.

Nous retournons sur W2k8-dc1 et nous configurons les redirecteurs dans l'autre sens.

Une grande diffrence existe dans la configuration des redirecteurs DNS entre Windows
2003 et Windows 2008 R2. Si avec 2003 il fallait configurer les redirecteurs sur chaque
serveur DNS, sur Windows 2008 il est possible de stocker les redirecteurs dans AD et donc il
suffit de les configurer une fois pour tous les DC en 2008.
Cest pour vous montrer cette diffrence que jai choisi un 2003 et un autre en 2008.

Nous choisissions de stocker les redirecteurs DNS sur tous les DC de la fort. Il suffit pour
cela de cocher la case dans limage ci-dessus Stocker ce redirecteur conditionnel dans
Active Directory, et le rpliquer comme suit . Dans la liste slectionner tous les serveurs
DNS de cette fort puis OK.

Le serveur W2k8-dc1 arrive maintenant rsoudre le nom w2k3-dc1.domaine1.local

Note : si le nom du serveur DNS napparait pas et que la commande nslookup indique
serveur : Unknow , cest simplement par ce quil ny a pas de zone de recherche
invers. Voir http://pbarth.fr/node/31

Nous allons configurer notre relation dapprobation :

10

11

12

13

Notre relation dapprobation est maintenant en place. Nous pouvons vrifier son
fonctionnement soit dans la console graphique soit par la commande netdom.

14

15

Pour finir un petit cas particulier, concernant les restructurations de domaine avec ADMT. Il
sagit de dsactiver le filtrage du SID History, permettant un utilisateur qui a t migr
dun ancien domaine vers un nouveau de continuer utiliser les ressources de lancien
domaine en attendant quelle soit migre.

16

Dans limage ci-dessous on constate lavertissement indiquant que le filtrage des SID est
dsactiv.

17