rose liliie

Déploiement d’IPAM et configuration

IPAM possède une fonctionnalité de découverte automatique qui simplifie l’identification initiale des
serveurs qui sont gérables par IPAM. Cependant, des tâches de configuration sont nécessaires afin de
configurer l’environnement.

1. Installation

L’implémentation d’IPAM implique plusieurs étapes importantes :

ˇ Examiner la fonctionnalité IPAM et alignez les objectifs de mise en œuvre.

ˇ Confirmer que les exigences du système et de l’environnement sont remplies.
ˇ Développer un plan de déploiement.
ˇ Déployer les serveurs IPAM.
ˇ Déployer les clients IPAM.
ˇ Assigner des rôles d’administration IPAM.
ˇ Utiliser IPAM pour la gestion de l’infrastructure IP.

Après avoir décidé de la topologie IPAM à utiliser (distribué, centralisé, hybride), vous pouvez déployer des
serveurs IPAM en effectuant les étapes suivantes :

ˇ Installer la fonctionnalité IPAM sur le serveur. Vous pouvez l’installer en utilisant le gestionnaire
de serveur ou en utilisant la cmdlet suivante :

Install-WindowsFeature IPAM - IncludeManagementTools

ˇ Configurer chaque serveur IPAM afin de créer les autorisations, les partages de fichiers et
paramètres sur les serveurs gérés. Cette étape est réalisée à l’aide d’un objet de stratégie de
groupe (GPO).

L’utilisation d’un objet GPO offre plusieurs avantages par rapport à la configuration manuelle :

ˇ Les paramètres de GPO appliqués sont moins sujettes à l’erreur de

© Editions ENI - Tous droits réservés - Copie personnelle de rose liliie -1-
 rose liliie

configuration humaine.

ˇ Les paramètres de GPO s’appliquent automatiquement aux serveurs lorsqu’ils en statut

"Géré".

ˇ Les paramètres sont supprimés facilement en désactivant ou en supprimant le lien GPO.

ˇ Configurer et exécuter la découverte du serveur. Vous devez configurer l’étendue de la

découverte des serveurs à gérer en sélectionnant le ou les domaines Active Directory sur
lesquels se déroulera la découverte. Vous pouvez également ajouter manuellement un serveur
dans la gestion de l’IPAM en spécifiant le nom de domaine complet (FQDN) du serveur que
vous souhaitez gérer.

 Il est possible d’administrer et de gérer un serveur IPAM à distance en installant

les outils RSAT. Pour les clients Windows 8, 8.1, et 10, la fonctionnalité est activée
automatiquement contrairement aux serveurs 2012, 2012 R2 et 2019 où il faut
installer la fonctionnalité Outils d’administration distant / IPAM Management
Client.

2. Administration

La configuration de l’administration peut être une tâche complexe selon la façon dont votre infrastructure
IPAM est déployée. Un serveur IPAM peut gérer plusieurs domaines et forêts Active Directory, il est
également possible de limiter un serveur IPAM à des rôles spécifiques ou limiter les serveurs gérés.

Il est possible d’utiliser l’administration basée sur les rôles, pour gérer nos différents serveurs IPAM.

ˇ Les rôles. Un rôle est une collection d’opérations IPAM. Vous pouvez associer un rôle à un
utilisateur ou un groupe Windows à l’aide d’une stratégie d’accès. Il existe huit rôles
Administrateur intégrés pour plus de granularité, mais vous

© Editions ENI - Tous droits réservés - Copie personnelle de rose liliie -2-
 rose liliie

pouvez également créer des rôles personnalisés pour répondre aux besoins de votre
entreprise. Vous pouvez créer et modifier des rôles dans le nœud de contrôle d’accès dans la
console de gestion IPAM.
ˇ Étendues de l’accès : la portée d’accès détermine les différents objets auxquels un utilisateur a
accès. Par exemple, vous pouvez créer des étendues d’accès basés sur la localisation
géographique. Vous pouvez créer et modifier des étendues d’accès depuis le nœud de contrôle
d’accès dans la console de gestion IPAM.
ˇ Stratégies d’accès. Une stratégie d’accès combine un rôle avec une portée d’accès pour
affecter des autorisations à un utilisateur ou un groupe. Par exemple, vous pouvez définir une
stratégie d’accès d’un utilisateur avec un rôle nommé Admin Block IP et une portée d’accès
nommée Global\Lyon. Par conséquent, cet utilisateur aura l’autorisation de modifier et de
supprimer les blocs d’adresses IP qui sont associées à la portée d’accès Lyon. Vous pouvez
créer et modifier des stratégies d’accès depuis le nœud de contrôle d’accès dans la console de
gestion IPAM.

Lors de l’installation d’un serveur IPAM, des groupes de sécurité sont créés pour permettre cette gestion
basée sur les rôles. Le tableau ci-dessous liste ces groupes de sécurité.

© Editions ENI - Tous droits réservés - Copie personnelle de rose liliie -3-
 rose liliie

Groupes de sécurité Descriptions

IPAM DNS administrateur Les membres de ce groupe peuvent gérer les serveurs DNS
et leurs enregistrements de ressources et de zones DNS
associées.

IPAM MSM administrateur Les membres de ce groupe peuvent gérer des serveurs
DHCP, les étendues, politiques et les serveurs DNS.

IPAM ASM administrateur Les membres de ce groupe peuvent effectuer des tâches sur
l’espace adressage IP, en plus des tâches courantes de
gestion IPAM.

IP Adresse Record administrateur Les membres de ce groupe peuvent gérer les adresses IP, y
compris les adresses non allouées, et les membres peuvent
créer et supprimer des instances d’adresse IP.

IPAM administrateur Les membres de ce groupe ont des privilèges pour afficher
toutes les données de l’IPAM et effectuer toutes les tâches
de l’IPAM.

IPAM DHCP administrateur Ils gèrent complètement les serveurs DHCP.

IPAM DHCP réservation Ils gèrent les réservations DHCP.

administrateur

IPAM DHCP étendue administrateur Ils gèrent les étendues DHCP.

DNS ressource administrateur Ils gèrent les enregistrements de ressources DNS.

© Editions ENI - Tous droits réservés - Copie personnelle de rose liliie -4-
 rose liliie

3. Configuration

Vous pouvez configurer IPAM en fonction de votre environnement et fournir le niveau de facilité de gestion
dont vous avez besoin. Dans la plupart des cas, vous pouvez configurer IPAM en utilisant les objets GPO
déployés pendant le processus d’installation.

Lorsque vous mettez en service un serveur IPAM, il crée trois objets stratégie de groupe dans un des
domaines que vous choisissez, et il lie ces objets de stratégie de groupe à la racine du domaine dans la
console de gestion des stratégies de groupe. Lorsque vous sélectionnez Configuration de stratégie de
groupe, il vous est également demandé de fournir un préfixe pour les objets de stratégie de groupe afin
qu’ils puissent être facilement identifiés dans la console GPMC. Les objets GPO créés sont :

ˇ
<Prefix>_DHCP . Cet objet GPO est utilisé pour appliquer des paramètres qui permettent à
l’IPAM de surveiller, gérer et collecter des informations de serveurs DHCP sur le réseau. Il met
en place l’IPAM, il crée des tâches planifiées et ajoute des règles de pare-feu pour le trafic
entrant pour la télégestion de journal des événements (RPC-EMAP et RPC), gestion des
services distants (RPC-EMAP et RPC) et serveur DHCP (RPCSS-In et RPC -In).
ˇ
<Prefix>_DNS . Cet objet GPO est utilisé pour appliquer des paramètres qui permettent à
l’IPAM de surveiller et recueillir des renseignements auprès des serveurs DNS gérés sur le
réseau. Il met en place l’IPAM, il crée des tâches planifiées et ajoute des règles de pare-feu pour
le trafic entrant pour RPC (TCP, entrant), mappeur de point final RPC (TCP, entrant), télégestion
de journal des événements (RPC-EMAP et RPC) et gestion des services distants (RPC-EMAP et
RPC).
ˇ
<Prefix>_DC_NPS . Cet objet GPO est utilisé pour appliquer les paramètres qui permettent
à l’IPAM de recueillir des informations à partir des contrôleurs de domaine gérés. Il met en
place l’IPAM, il crée des tâches planifiées et ajoute des règles de pare-feu pour le trafic entrant
pour la télégestion de journal des événements (RPC-EMAP et RPC) et de gestion des services
distants (RPC-EMAP et RPC).

Après avoir appliqué les objets GPO ci-dessus qui permettent de découvrir les serveurs DHCP et DNS dans
votre environnement, vous devez utiliser la commande PowerShell suivante pour créer les objets GPO ci-
dessus :

© Editions ENI - Tous droits réservés - Copie personnelle de rose liliie -5-
 rose liliie

Invoke-IpamGpoProvisioning -Domain formation.eni -GpoPrefixName

IPAM_ENI -IpamServerFqdn PAR-SVR1.formation.eni -DelegatedGpoUser
administrateur

© Editions ENI - Tous droits réservés - Copie personnelle de rose liliie -6-