Gérer les comptes d’ordinateur AD

La section « Computers » de la gestion de domaine AD affiche les objets ordinateur synchronisés depuis l’annuaire. Les administrateurs autorisés peuvent les créer et les modifier, changer leurs appartenances et leur emplacement, et agir sur l’état des comptes. Ces opérations concernent les comptes d’ordinateur AD, non les licences de terminaux Ping64. Elles ne redémarrent pas automatiquement l’appareil, ne changent pas son nom d’hôte et ne l’intègrent pas au domaine.

Préparation

1. Terminez la configuration de la connexion au domaine AD et du périmètre de synchronisation. Vérifiez la connexion, les tâches de synchronisation, les droits du compte d’annuaire et les autorisations de lecture, d’écriture ou d’action de l’administrateur. La liste synchronisée peut différer des informations en temps réel.
2. Confirmez le domaine, le compte, les dépendances métier et la fenêtre de changement avec l’administrateur d’annuaire et le responsable de l’appareil. Désactiver, réinitialiser ou supprimer peut affecter l’authentification ; déplacer un objet peut modifier les stratégies de domaine applicables. Préparez une procédure de restauration approuvée pour les opérations à risque.
3. La réinitialisation d’un compte d’ordinateur nécessite une connexion d’annuaire sécurisée et peut rompre la relation d’approbation avec le domaine. Prévoyez la vérification et la restauration selon les procédures de votre organisation.

Configurer l’approbation des actions sur les ordinateurs

Pour la configuration complète, consultez les règles d’approbation des opérations de domaine AD.

1. Si votre organisation exige une approbation pour la création, la modification, les relations de groupe, le déplacement, l’activation, la désactivation, la réinitialisation et la suppression d’ordinateurs, ouvrez Audit Events > Platform Operations > Operation Audit > Approval rule dans AD Domain Management et vérifiez les règles actives et les modèles d’approbation AD adaptés. Contrôlez chaque opération, domaine, nombre d’objets, rôle du demandeur, priorité et approbateur. Réutilisez les règles adaptées ; seule une personne autorisée les crée ou les modifie au besoin selon le chapitre des règles.
2. Toutes les conditions indiquées doivent correspondre ; un domaine ou rôle non indiqué ne limite pas ce critère. Si plusieurs rôles sont sélectionnés, un seul rôle sélectionné actif suffit ; retirez ou remplacez les rôles invalides avant l’enregistrement. Si plusieurs règles correspondent, le nombre le plus élevé est prioritaire. Enregistrez les modifications et testez les cas avec et sans approbation sur des objets contrôlés, puis vérifiez l’approbation et l’exécution dans l’annuaire. Une opération sans règle active correspondante passe directement à l’exécution sans attendre automatiquement une approbation. Évaluez l’impact et préparez la restauration avant le test.

Rechercher et créer un objet ordinateur

1. Ouvrez « Computers », choisissez le domaine source et recherchez par nom ou mot-clé. Vérifiez le compte, l’emplacement et l’état. Si l’objet manque, vérifiez le périmètre et les tâches de synchronisation ainsi que les droits de visibilité.
2. Sélectionnez « Create computer ». Dans « Directory location », choisissez la configuration de domaine et une seule unité d’organisation ou un seul conteneur parent. Dans « Computer identity », saisissez le nom de l’ordinateur dans « DNS hostname » et, si nécessaire, un nom d’affichage. La page génère un compte se terminant par $ à partir du nom saisi.
3. Dans « Properties and status », renseignez si nécessaire la description, l’emplacement, le service et le responsable. Vérifiez l’activation du compte et la protection contre la suppression accidentelle. Les deux sont activés initialement ; vérifiez leur adéquation à l’usage.
4. Vérifiez le domaine, l’emplacement et l’objet puis soumettez. Si une approbation est requise, suivez-la puis suivez l’exécution dans l’annuaire ; sinon suivez directement l’exécution. Une soumission ou une approbation ne prouve pas la fin de l’opération.
5. Relisez l’objet et vérifiez emplacement, attributs et protection. La création et la protection peuvent être partiellement effectuées : si l’objet existe mais que la protection a échoué, ne le recréez pas. Vérifiez l’objet et le résultat, puis demandez à un administrateur autorisé de traiter la protection.

Créer l’objet d’annuaire ne signifie pas que l’appareil physique a rejoint le domaine ou a été enregistré dans Ping64. Vérifiez ces points séparément.

Modifier les attributs, groupes et emplacement

1. Choisissez « Manage » pour l’objet et vérifiez les informations d’annuaire actuelles. Modifiez les informations et attributs autorisés, enregistrez et suivez le résultat. Renommer l’objet ne change pas le nom d’hôte de l’appareil et peut affecter la relation d’approbation ou les références applicatives.
2. Dans les relations de groupe, attendez le chargement des appartenances directes, vérifiez-les et modifiez-les. Relisez-les après exécution et vérifiez séparément l’accès effectif si nécessaire ; une appartenance directe ne représente pas tous les droits hérités.
3. Dans l’emplacement d’annuaire, choisissez la destination et soumettez le déplacement. Vérifiez d’abord la protection contre la suppression accidentelle, la destination, les stratégies de domaine et les dépendances métier ; relisez ensuite l’emplacement et vérifiez les effets.
4. Si l’objet ou la relation a changé, si la lecture échoue ou si une actualisation est demandée, rechargez les informations et examinez les modifications des autres administrateurs avant de soumettre.

Activer, désactiver, réinitialiser et supprimer

Sélectionnez l’action dans la liste, vérifiez le domaine et le compte cible, puis confirmez. Suivez l’approbation ou l’exécution jusqu’au résultat final et vérifiez l’état réel dans l’annuaire. Ne soumettez pas plusieurs fois lorsque le résultat est en attente ou inconnu.

• Activer ou désactiver : modifie l’état du compte d’annuaire. Évaluez l’interruption de l’authentification et des activités avant la désactivation ; vérifiez l’authentification après activation.
• Réinitialiser : réinitialise l’identifiant secret du compte d’ordinateur AD, pas l’appareil. Une connexion sécurisée est nécessaire et la relation d’approbation peut être affectée. L’administrateur d’annuaire suit la procédure approuvée de restauration et de vérification.
• Supprimer : peut affecter l’authentification et les activités ; ne supposez pas une annulation automatique. Vérifiez cible, protection et plan de restauration avant de soumettre, puis suivez le résultat.

Dépannage

• Objet absent : vérifiez domaine source, mot-clé, périmètre et tâches de synchronisation et droits du compte ; faites vérifier l’annuaire en temps réel si nécessaire.
• Approbation attendue absente : vérifiez l’état de la règle, l’action, le domaine, le nombre de cibles, le rôle et la priorité. Une action non couverte peut être exécutée directement.
• Réinitialisation impossible ou échec d’authentification : vérifiez la connexion sécurisée, les droits d’annuaire, le résultat et l’état du compte ; faites traiter la relation d’approbation par l’administrateur d’annuaire.
• Déplacement ou suppression impossible : vérifiez protection contre la suppression accidentelle, droits, destination et message de la page. Ne contournez pas la protection.