"Configurer les favoris" est identique à "Favoris gérés" de Chrome.
# Gérer OneDrive par GPO Cette page est liée à [Configurer OneDrive | Docs Khroners](https://docs.khroners.fr/books/azure/page/configurer-onedrive) . Pour avoir ces GPO, il faut importer les fichiers .admx et .adml dans le magasin central du domaine, disponible sur un poste client dans %localappdata%\\Microsoft\\OneDrive\\BuildNumber\\adm\\ (ou C:\\Program Files (x86)\\Microsoft OneDrive\\BuildNumber\\adm\\ ou Program Files\\Microsoft OneDrive\\BuildNumber\\adm\\.OneDrive ne se connectera pas automatiquement si le PC n'est pas Azure AD registered ou Hybrid Joined.
GPO Ordinateur : [](https://docs.khroners.fr/uploads/images/gallery/2022-09/qLwSOqefH845ZVox-image.png) GPO Utilisateur : [](https://docs.khroners.fr/uploads/images/gallery/2022-09/V2bQKfNVlocPfNVF-image.png) Voici ce que verra un utilisateur : [](https://docs.khroners.fr/uploads/images/gallery/2023-03/5R5fH2ikjgyirNoI-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-03/Y8Pv5k5O1tqnNLS6-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2022-09/ijMYyY9vI2Pvukjn-image.png) # Configuration de Windows Update par GPO Windows Update peut être géré par GPO. Les postes peuvent utiliser Windows Update "classique", Windows Update for Business (WUfB) ou WSUS. Dans mon cas, les mises à jour sont déployées par [WSUS](https://docs.khroners.fr/books/windows-server/chapter/wsus). Nous allons voir ici l'expérience utilisateur de ces mises à jour.Certaines GPO existent mais ne sont pas fonctionnels. De plus, plusieurs stratégies ne sont pas recommandées par Microsoft. Pour plus d'infos, voir [Why you shouldn’t set these 25 Windows policies.](https://techcommunity.microsoft.com/t5/windows-it-pro-blog/why-you-shouldn-t-set-these-25-windows-policies/ba-p/3066178 "Why you shouldn’t set these 25 Windows policies")
La bonne pratique désormais est d'utiliser des dates d'échéances et des périodes de grâce. Pour plus d'infos, voir [Manage how users experience updates](https://learn.microsoft.com/en-us/windows/deployment/update/waas-wufb-group-policy#manage-how-users-experience-updates "Manage how users experience updates"), [Windows quality update end user experience](https://learn.microsoft.com/en-us/windows/deployment/windows-autopatch/operate/windows-autopatch-windows-quality-update-end-user-exp "Windows quality update end user experience") et [Windows feature update end user experience](https://learn.microsoft.com/en-us/windows/deployment/windows-autopatch/operate/windows-autopatch-windows-feature-update-end-user-exp "Windows feature update end user experience"). Exemple pour les mises à jour de fonctionnalités avec la GPO configurée ci-dessous : 1 - La mise à jour est approuvée le lundi. La personne aura 7 jours pour redémarrer son PC (des notifications apparaitront). Si le PC n'est pas redémarré, il redémarrera automatiquement même durant les heures d'activités après 7 jours. 2 - La mise à jour est approuvée le lundi. Le pc n'est démarré qu'une semaine plus tard ; on utilisera alors la période de grâce. Le pc aura 2 jours pour être redémarré (des notifications apparaitront) ou celui-ci s'effectuera automatiquement, même durant les heures d'activités. On se basant sur ces deux documentations de Microsoft, on obtient le résultat suivant (à modifier selon vos besoins) : [](https://docs.khroners.fr/uploads/images/gallery/2023-03/qFw44aCD0Dypvk8d-image.png) Et en français : [](https://docs.khroners.fr/uploads/images/gallery/2023-03/3vuEtnQeCsQWyH0R-image.png) Dans notre cas, les ordinateurs ne redémarreront pas en dehors des heures d'activités si la date d'échéance (deadline) n'est pas dépassée. Ce paramètre est la case à cocher "Don't auto-restart until end of grace period". Pour plus d'infos sur le comportement de l'ordinateur avec la mise en place des dates d'échéances et de grâce, voir [https://learn.microsoft.com/en-us/windows/deployment/update/waas-wufb-group-policy#i-want-to-keep-devices-secure-and-compliant-with-update-deadlines](https://learn.microsoft.com/en-us/windows/deployment/update/waas-wufb-group-policy#i-want-to-keep-devices-secure-and-compliant-with-update-deadlines "I want to keep devices secure and compliant with update deadlines"). Un exemple : [](https://docs.khroners.fr/uploads/images/gallery/2023-03/xBztiRygYFBrkbwq-image.png) # DHCP Tout ce qui touche au DHCP (Dynamic Host Configuration Protocol). # Installation du rôle DHCP Dans le gestionnaire de serveur, on ajoute un rôle. On choisit "Serveur DHCP". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/zlELOzf26iMUsA3n-image-1610979955051.png) On clique sur "Suivant" pour toutes les autres étapes puis "Installer". Une fois installé, il faut le configurer. On clique sur « Terminer la configuration DHCP ». [](https://docs.khroners.fr/uploads/images/gallery/2021-01/VoknmP268OjPbR41-image-1610980318597.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/nrtgqCGxPW6HgMGM-image-1610980328237.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/Dxbq5ZbuCiklRNaS-image-1610980332178.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/rQ5MhCCUhaTeRlnt-image-1610980342268.png) On va ensuite configurer les étendues. Dans le gestionnaire de serveur, on clique sur "Outils" en haut à droite puis "DHCP". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/oZKUtoz7rMoApAty-image-1610980351771.png) On clique droit sur "IPv4" puis "Nouvelle étendue...". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/GTmfjZb3NZZm3bjg-image-1610980380970.png) On y donne un nom. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/oSPYicPl9acBOrSS-image-1610980401618.png) On définit la plage d’adresses IP pour cette étendue. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/2o0AtOavrw8zW0vx-image-1610980430838.png) Ici, on peut exclure des adresses IP. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/8iAFkrkibdJ3Kgxx-image-1610980436438.png) On définit ici la durée du bail. Une durée courte pour un accès public, ou plus longue pour des ordinateurs fixes. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/NYaYFT0bIwxElSRm-image-1610980442889.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/l7Or8T6CbbEp0rcg-image-1610980452681.png) On rajoute la ou les passerelles par défaut. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/yDzdYSwypBynGfOM-image-1610980458138.png) On rajoute les serveurs DNS pour les clients de l’étendue. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/yJq8ZgBxkL3Ccrnb-image-1610980464751.png) On rajoute les serveurs WINS. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/itGK7uEspfzeFm3W-image-1610980473619.png) On active l’étendue. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/gGg5F3rrXACfb56e-image-1610980481399.png) Les adresses IP attribuées seront affichées ici. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/j8xbw4n0LwWKfGvF-image-1610980486492.png) # Fail-over DHCP --- ## Présentation La haute disponibilité est un élément très important à inclure dans une infrastructure. Un des éléments importants est le service DHCP. En effet, s'il n'est plus disponible, on se retrouve rapidement avec des pannes réseaux, avec l'obligation d'avoir une adresse IP Statique pour avoir une connectivité réseau. --- ## Mise en place Sur un autre Windows Server, on ajoute le rôle DHCP. On termine la configuration. On se rend sur le premier serveur où l'étendue est déjà créée, on clique droit puis "Configurer un basculement...". [](https://docs.khroners.fr/uploads/images/gallery/2021-07/Q0KRMSfKfmlhWjNJ-image-1626246974216.png) On clique sur "Suivant" puis on rentre l'adresse IP du second serveur DHCP. On définit un nom de relation. [](https://docs.khroners.fr/uploads/images/gallery/2021-07/MZW77TLj0R7HMcg3-image-1626247311365.png) On active l'authentification du message pour éviter de partager en clair la configuration. [](https://docs.khroners.fr/uploads/images/gallery/2021-07/jje7O3aPrWrdCkEB-image-1626247415012.png) On peut vérifier sur le second serveur : elle apparait. [](https://docs.khroners.fr/uploads/images/gallery/2021-07/y6QuiTfYEiCRaSOj-image-1626247445692.png) Si on coupe le premier serveur, on verra cette icône qui indique qu'il y a un problème avec l'autre serveur. [](https://docs.khroners.fr/uploads/images/gallery/2021-07/VsQIxvmAZPGiwkM0-image-1626247487068.png) Sous "Propriétés" puis "Basculement", dans "Etat du serveur", on pourra voir "Perte du contact". [](https://docs.khroners.fr/uploads/images/gallery/2021-07/7y3imBHWlw1ZhoXK-image-1626250068481.png) --- ## Conclusion La haute-disponibilité DHCP est donc mise en place. Couplé avec une redondance du contrôleur de domaine, on assure une haute disponibilité. PS : S'ils s'agit de deux serveurs virtualisés, il est préférable de les avoir sur un autre hôte ESXI/Hyper-V/Proxmox. # WSUS Toutes les pages liées au WSUS # Installation du rôle WSUS et synchronisation On fait comme pour les autres rôles, en choisissant Services WSUS (Windows Server Update Services) en laissant tout par défaut. Ensuite, depuis le menu Démarrer, on cherche "Windows Server Update Services" depuis "Outils d'administration Windows". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/Ljghav15ErzJ45KH-image-1610987188203.png) On clique sur "Suivant >" puis on choisit le serveur en amont. On choisit "Synchroniser depuis Windows Update". On choisit ensuite le serveur Proxy s'il y en a un. On clique sur "Démarrer la connexion". Cela va récupérer les types de mises à jour disponibles, les produits pouvant être mis à jour et les langues disponibles. On clique ensuite sur "Suivant", on sélectionne uniquement la langue Française. Pour les produits, on choisit selon notre parc. Les produits qui doivent être mis à jour sont **Windows Server 2019** et **Windows 10 1903 and later (On coche aussi Windows 10 s’il y a des machines plus vieilles) et « Gestionnaire de serveur Windows – Programme d’installation dynamique de Windows Server Update Services »**, **Developer Tools, Runtimes, and Redistributables (Visual C++ Runtime libraries, etc).** On coche tout sauf Pilote (Driver) et jeux de pilotes puis on clique sur "Suivant". Pour la synchronisation, on choisit 4 fois par jour. Ensuite, la console se lance. On choisit le noeud SRV-WSUS01 (nom du serveur) puis le noeud "Synchronisations" puis on clique sur "Synchroniser maintenant". C'est une étape très longue. Avant d’approuver les mises à jour, les postes clients et les autres serveurs doivent être connectés aux serveurs WSUS. # Optimisation de WSUS Tout d'abord, on va modifier les paramètres du pool d'application "**WsusPool**". On se rend dans le "**Gestionnaire des services Internet (IIS)**". Sous "**Pools d'applications**", on clique droit sur "**WsusPool**" puis "**Paramètres avancés**". [](https://docs.khroners.fr/uploads/images/gallery/2021-12/4Sz4sRIsxxjxLnr4-image-1640907795678.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-12/Rj5ZXcnw6rlceOZV-image-1640907817312.png) On clique droit sur "**WsusPool**" puis "**Arrêter**". On attend quelques secondes puis on le redémarre. # Ciblage des postes clients pour les mises à jour via le serveur WSUS On lance la console "Windows Server Update Services". On développe le nœud "Ordinateurs" et on clique droit sur "Tous les ordinateurs" puis on sélectionne "Ajouter un groupe d’ordinateurs". On va ensuite ajouter 4 groupes : "Servers", "Workstations", "Test – Servers", "Test – Workstations". On clique maintenant sur "Options" puis sur "Ordinateurs". On coche Utiliser les paramètres de stratégie de groupe ou de Registre sur les ordinateurs puis cliquez sur OK. # Création de vues Dans la console de Services WSUS, on clique droit sur "Mises à jour". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/BDVdf3fNmtIJSnz8-image-1610990186412.png) On clique sur "Nouvelle vue de mise à jour…". On coche la première option, on clique sur "Toutes les classifications" et on coche uniquement "Upgrade". On clique ensuite sur "OK". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/Qiy9PcZiMgNUIA8F-image-1610990947998.png) On ajoute ensuite 2 vues pour les mises à jour approuvées pour un groupe précis, ici Test Servers et Test - Workstations Test - Servers [](https://docs.khroners.fr/uploads/images/gallery/2021-01/L3sY41p529BBsjHA-image-1610991242538.png) Test - Workstations [](https://docs.khroners.fr/uploads/images/gallery/2021-01/6gSOhlPCEXWqKy1x-image-1610991322529.png) On crée ensuite une vue pour toutes les mises à jour sauf les pilotes. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/9kTowRCrpVYdQeB8-image-1610991349168.png) Ensuite, on clique droit sur une colonne et on rajoute différents éléments : [](https://docs.khroners.fr/uploads/images/gallery/2021-01/aHU3T76v3uS2AOy8-image-1610991388212.png) On modifie l'Approbation et l'Etat. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/gUD9BiUPZqwOkITa-image-1610991424315.png) On applique la même chose pour la vue "Test – Workstations". Pour "All Updates Except Drivers", idem mais "Non Approuvées" et "Echec ou Nécessaires". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/iSlk54KOK3LrBFSt-image-1610991508468.png) Pour "Upgrades", idem qu'avant sauf "Toutes les exceptions sauf celles refusées" et "Echec ou Nécessaire". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/LZUbtAyqzdYapMsd-image-1611255996611.png) # Création des GPO pour le ciblage WSUS et des groupes de tests des mises à jour --- ## Présentation Il faut ensuite créer des GPO pour que les postes de travails et serveurs du domaine puissent se mettre à jour via le WSUS et non par les serveurs de Microsoft. --- ## Création des GPO --- #### WSUS - Location On se rend dans la console de Gestion de stratégie de groupe, on clique droit sur "Objets de stratégie de groupe" puis on crée une nouvelle GPO nommée "WSUS - Location". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/SGyF1CDnRxRIag2Y-image-1610992817492.png) On clique droit sur la nouvelle GPO puis "Modifier". On se rend dans Configuration de l'ordinateur, Stratégies, Modèles d'administration, Composants Windows et Windows Update. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/pnU6Q5jCpEfgHpky-image-1610992970489.png) "Spécifier l'emplacement intranet du serveur de mise à jour..." On active et on définit l'url. (L'entrée DNS pour le serveur WSUS doit être présente) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/n0xWNsA25VtH1MU4-image-1610993001269.png) --- #### WSUS - Workstations On crée ensuite une nouvelle GPO pour les postes de travail nommée "WSUS - Workstations". On la modifie et on se rend dans Configuration de l'ordinateur, Stratégies, Modèles d'administration, Composants Windows, Optimisation de la distribution. On active "Mode de téléchargement" sur "Réseau local". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/oBFI0Y43635t6Lyq-image-1610993251453.png) On se rend ensuite dans Configuration de l'ordinateur, Stratégies, Modèles d'administration, Composants Windows, Windows Update [](https://docs.khroners.fr/uploads/images/gallery/2021-01/0Dgw0TkweUDHXnwK-image-1610997773666.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/mL8hsn5s9BAVAXcc-image-1610997325009.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/QuiQvPt61PVEqQQ3-image-1610997330959.png) EDIT : la GPO ci-dessous n'a pas le résultat escompté d'après Microsoft. ([https://techcommunity.microsoft.com/t5/windows-it-pro-blog/why-you-shouldn-t-set-these-25-windows-policies/ba-p/3066178?WT.mc\_id=AZ-MVP-5004580](https://techcommunity.microsoft.com/t5/windows-it-pro-blog/why-you-shouldn-t-set-these-25-windows-policies/ba-p/3066178?WT.mc_id=AZ-MVP-5004580)) Il faut la remplacer. Voir la page suivante disponible dans ce chapitre : [](https://docs.khroners.fr/uploads/images/gallery/2021-01/EXP87S17Md5bLgJZ-image-1610997336347.png) On adapte ici les heures d'activités. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/SMTKjTqAwI8j5RBT-image-1610997341557.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/yXfWQl80Fhoq8pIX-image-1610997358318.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/jACi2vQhablO5NWb-image-1610997363198.png) --- #### WSUS - Servers On ne veut pas que les mises à jour s'installent automatiquement sur nos serveurs, sauf pour les mises à jour des définitions de l'antivirus. On va donc activer une option. Configuration de l'ordinateur, Stratégies, Modèles d'administration, Composants Windows, Windows Update. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/AtnX01ORXQV7VO7I-image-1610998351645.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/Zhi1scb9OfR5Rfjp-image-1622302093406.png) Ensuite, pour les autres options : [](https://docs.khroners.fr/uploads/images/gallery/2021-01/IoZE7C9kIvHoSpN4-image-1610998372193.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/2hWLs6QIxQJWBCZy-image-1610998392491.png) Si on a une farm de serveurs, il est préférable de créer plusieurs 'anneaux' de planifications et groupes, en choisissant l'option 4 : "Téléchargement automatique et planifier l'installation" et forcer le redémarrage lors de la maintenance des serveurs. Pour conclure, ici les mises à jour seront téléchargées automatiquement sur les serveurs, mais ne seront pas installées automatiquement, à l'exception de Windows Defender. --- #### WSUS - Workstations, Test - Workstations C'est une GPO pour le groupe de ciblage. Configuration de l'ordinateur, Stratégies, Modèles d'administration, Composants Windows, Windows Update [](https://docs.khroners.fr/uploads/images/gallery/2021-01/QVIsQ7sXbWnzbsWf-image-1610999484956.png) --- #### WSUS - Servers, Test - Servers C'est une GPO pour le groupe de ciblage. Configuration de l'ordinateur, Stratégies, Modèles d'administration, Composants Windows, Windows Update [](https://docs.khroners.fr/uploads/images/gallery/2021-01/EXlNNRbTxXZhRXXc-image-1610999526873.png) Lier les GPO aux bonnes OU On applique la GPO de l'emplacement à toute l'OU. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/5oANaWLMxo89nVUp-image-1611000097878.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/dqqw9NdHAUWAlCcy-image-1611000100885.png) On applique pour les postes de travails la GPO correspondante. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/Hk3UU1sqYO2AdsL3-image-1611000118840.png) De même pour les serveurs. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/165cyVu0ibiCOANK-image-1611000132028.png) On n'oublie pas les contrôleurs de domaine. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/5TecvVDwp9fZCQTh-image-1611000431539.png) --- ## Création des groupes de tests On va créer 4 groupes dans l'OU "Security Groups". - ACL\_GPO.WSUS - Workstations & Test\_Apply - ACL\_GPO.WSUS - Workstations & Test\_Deny - ACL\_GPO.WSUS - Servers & Test\_Apply - ACL\_GPO.WSUS - Servers & Test\_Deny [](https://docs.khroners.fr/uploads/images/gallery/2021-01/6nVpVIzk1c6EvmwY-image-1611000730774.png) On fait la même chose pour les 3 autres groupes à créer. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/FCiowQHRCM8xTg21-image-1611000751108.png) Dans la console de Gestion de stratégie de groupe, on clique sur la GPO "WSUS - Workstations, Test - Workstations", dans la partie "Filtrage de sécurité", on supprime "Utilisateurs authentifiés". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/zgVfxhI3mEXr118X-image-1611000786350.png) On clique ensuite sur "Ajouter..." puis on ajoute le groupe "ACL\_GPO.WSUS - Workstations & Test\_Apply". [](https://docs.khroners.fr/uploads/images/gallery/2021-01/lVrl4ly1i4Xn9XNF-image-1611000843096.png) Dans l’onglet Délégation, on ajoute « Utilisateurs authentifiés » en lecture. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/nzghmKqvGUDwZH9C-image-1611001098230.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/mBdR5ZOkKnBDCfPF-image-1611001104608.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/JEVz6hal7LtBclCT-image-1611001113445.png) On clique sur Avancé et on ajoute ACL\_GPO.WSUS – Workstations & Test\_Deny avec les permissions refusées. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/bESoz88740OwclzB-image-1611001124641.png) On fait la même chose pour l’autre GPO pour les tests sur serveurs (WSUS - Servers, Test - Servers) avec les deux groupes ACL. # Approbation des mises à jour --- ## Présentation Il est désormais nécessaire d'approuver les mises à jour manuellement. Il ne faut pas accepter toutes les mises à jour, automatiquement, sans se renseigner et les tester sur le parc informatique. --- ## Approbation Dans "All Updates Except Drivers", on choisit les mises à jour que l'on veut approuver puis on clique droit, et "Approuver". On sélectionne le groupe d'ordinateurs. Ici, serveurs. > Les mises à jour que l'on souhaite approuver sont celles qui remplacent les anciennes, et celle qui n'ont pas été remplacées et qui n'en remplacent aucune (il n'y aura donc pas d'icône dans la colonne "Remplacement". > > Celles-ci par exemple : > > [](https://docs.khroners.fr/uploads/images/gallery/2021-05/JNY4x4jYsyh9CxF3-image-1622214654736.png) > > Il est préférable d'avoir un groupe de test pour les grosses mises à jour (2004, 20H2, 21H1 par exemple) pour voir leur comportement sur les postes du parc. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/XEX9QHWnn9QDucwF-image-1611257307104.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/F6SxtWyXvvL3oTpW-image-1611257320346.png) # Installation du runtime Microsoft Report Viewer --- ## Présentation Avant l'approbation d'une mise à jour, on peut voir quels ordinateurs ont besoin de cette mise à jour. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/iOOY2cKsYAsD44OT-image-1622207536793.png) Cependant, s'il ont clique, il est nécessaire d'avoir "Microsoft Report Viewer 2012 runtime". [](https://docs.khroners.fr/uploads/images/gallery/2021-05/B8gFtGNf3ZptBGtw-image-1622207677584.png) --- ## Installation > **Attention :** avant l'installation, il faut fermer la console WSUS. Avant son installation, il faut installer "[Microsoft System CLR Types for Microsoft SQL Server 2012](https://www.microsoft.com/en-ca/download/details.aspx?id=29065)". Sur cette page, dans la partie "Install Instructions", on choisit "Microsoft® System CLR Types for Microsoft® SQL Server® 2012" et on télécharge la version x64 puis on l'installe. On installe ensuite "[Microsoft Report Viewer 2012 Runtime](https://www.microsoft.com/en-us/download/details.aspx?id=35747)". --- ## Conclusion Désormais, en cliquant, la fenêtre de rapport s'ouvre. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/JO44WN6vQzmsO8Vq-image-1622207958724.png) On trouve bien les ordinateurs ayant besoin de cette mise à jour. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/EvE5EI9PaK1qnukh-image-1622207987969.png) # Approbation automatique des mises à jour de définition (Windows Defender) --- ## Présentation Il est important d'approuver automatiquement les mises à jour de définition de Windows Defender, dans le but d'avoir l'anti-virus à jour et donc protégé au mieux le parc.En soit, déployer via WSUS les mises à jour de Defender n'est pas primordial. A chaque mise à jour, WSUS retélécharge tout (60-70mo en moyenne pour le moment), alors que de passer d'une mise à jour à une autre prend environ 1mo, selon la mise à jour des définitions. Cela peut être utile en cas de déploiement massif d'appareils, pour éviter que tous les postes, lors du déploiement, téléchargent chacun les définitions.
--- ## Approbation automatique Dans la console WSUS, on se rend dans Options, puis Approbations automatiques. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/mICaXxxEKiBdLxfX-image-1622304449770.png) On crée une nouvelle règle. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/GBSTRH795fnOra6U-image-1622304547275.png) On coche les deux premières cases, on choisit Microsoft Defender Antivirus, puis on donne un nom à la règle. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/izGU9siEa0sosnJs-image-1622304850870.png) --- ## Conclusion Ainsi, à chaque synchronisation et ajout d'une mise à jour de définition de Microsoft Defender Antivirus, elle sera automatiquement approuvée par le serveur WSUS. # Mise en place du TLS/SSL pour WSUS --- ## Présentation Par défaut, WSUS ne chiffre pas les données. De nombreuses failles ont été découvertes, et pour les corriger, il faut activer le SSL. Pour cela, on aura besoin de modifier la GPO de l'emplacement du WSUS (remplacer http:// par https://) et d'ajouter un certificat. Un exemple de l'importance du SSL : [Vidéo YouTube faite par 2 intervenants au Black Hat](https://www.youtube.com/watch?v=mU8vw4gRaGs)La mise en place du SSL demandera plus de performance sur le serveur, dû au chiffrement.
Pour la suite, il est nécessaire d'avoir de nombreux modules, comme "Scripts et outils de gestion IIS", GroupPolicy.
[](https://docs.khroners.fr/uploads/images/gallery/2021-05/azriEqlqvJg2s1D2-image-1622331584080.png) --- ## Activation du SSL sur WSUSDans mon cas, j'ai récupéré le certificat et la clé privée depuis mon serveur web (fullchain.pem et privkey.pem). J'ai converti en .pfx. Une page est disponible pour cela. De plus j'ai défini un mot de passe.
```Powershell Import-Module ServerManager Add-WindowsFeature Web-Scripting-Tools Install-WindowsFeature GPMC Install-Module -Name PowerShellGet -Force Install-Module –Name IISAdministration Import-Module WebAdministration Import-Module IISAdministration Import-Module GroupPolicy $myFQDN=(Get-WmiObject win32_computersystem).DNSHostName+"."+(Get-WmiObject win32_computersystem).Domain ; Write-Host $myFQDN # 1. Create a self-signed certificate $SelfSignedHT = @{ DnsName = "$($env:COMPUTERNAME).$($env:USERDNSDOMAIN)".ToLower() CertStoreLocation = "Cert:\LocalMachine\My" } New-SelfSignedCertificate @SelfSignedHT $cert = Get-ChildItem -Path Cert:\LocalMachine\My -SSLServerAuthentication # 2. Export its public key Export-Certificate -Cert $cert -Type CERT -FilePath ~/documents/cert.cer # 3. Import the public key in the Trusted Root Certificate Authorities store Import-Certificate -FilePath ~/documents/cert.cer -CertStoreLocation Cert:\LocalMachine\Root # 4. Select this certificate in the SSL bindings $cert | New-Item IIS:\SslBindings\0.0.0.0!8531 # MANUALLY require SSL IIS - voir plus bas # 6. Switch WSUS to SSL & 'C:\Program Files\Update Services\Tools\WsusUtil.exe' configuressl $("$myFQDN".ToLower()) # 7. Change your GPO to point to the new URL $key = 'HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' $uri = 'https://{0}:8531' -f $("$myFQDN".ToLower()) Get-GPO -All | Foreach-Object { if ($_ | Get-GPRegistryValue -Key $key -ValueName WUServer -EA 0) { $_ | Set-GPRegistryValue -Key $key -ValueName WUServer -Value $uri -Type String $_ | Set-GPRegistryValue -Key $key -ValueName WUStatusServer -Value $uri -Type String } } ``` Sur IIS, pour chaque page, on change les paramètres SSL. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/hqBOIV8UNL6LyrNb-image-1622335550206.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/YRq0fSuUVjmmHQaq-image-1622335859699.png) On fait cela pour SimpleAuthWebService, DSSAuthWebService, ServerSyncWebService, APIRemoting30 et ClientWebService. --- ## Publication du certificat Dans la GPO "WSUS - Location", on importe le certificat. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/F4JjfxJIN2przCq3-image-1622336143374.png) On importe ~/documents/cert.cer. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/ILZl7Knm4NvdnVBA-image-1622336278780.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/WEt1O3AOv5pGe5vp-image-1622340017771.png) --- ## Conclusion Dans la console WSUS, on est bien en SSL. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/UJA82MeBvU5NJVmX-image-1622340119158.png) On peut vérifier les logs de Windows Update d'un client via l'invité Powershell : ```Powershell Get-Windowsupdatelog ``` # Résoudre l'apparition de duplicatas de WSUS dans la console --- ## Présentation Après la mise en place du SSL, j'ai des duplicatas dans la console WSUS. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/FW7mMgdlLfjX5aSw-image-1622381839064.png) --- ## Résolution On se rend dans %appdata%\\Microsoft\\MMC\\ et on supprime tous les fichiers de ce dossier. On redémarre ensuite le serveur WSUS.Il faudra sûrement recréer les vues précédemment créées.
--- ## Conclusion On a désormais qu'un seul serveur dans la console. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/PR47z16jZmUmGjgn-image-1622382138085.png) # Installation automatique des définitions de Microsoft Defender --- ## Présentation Par défaut, les définitions de Microsoft Defender sont mises à jour toutes les 24 heures, ou via Windows Update selon la fréquence de recherche de mises à jour. Cependant, selon les GPO mises en place précédemment, elles ne s'installent pas automatiquement (sauf à l'heure planifiée pour les Workstations).En soit, déployer les mises à jour de Defender n'est pas primordial. A chaque mise à jour, WSUS retélécharge tout (60-70mo en moyenne pour le moment), alors que de passer d'une mise à jour à une autre prend environ 1mo, selon la mise à jour des définitions. Cela peut être utile en cas de déploiement massif d'appareils, pour éviter que tous les postes, lors du déploiement, téléchargent chacun les définitions.
--- ## Installation automatique des définitions Pour résoudre ce problème, on va utiliser une GPO. Dans WSUS - Servers et WSUS - Workstations, on se rend ici, et on définit la fréquence pour une heure. Pourquoi une heure ? Dans le but d'avoir des définitions toujours à jour. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/JTzj7CbSkbZQE0lX-image-1622461546084.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/dHxu1scX3RlUXLcZ-image-1622461562045.png) --- ## Conclusion Ainsi, les définitions seront mises à jour automatiquement.Si le serveur WSUS n'a pas la mise à jour des définitions la plus récente, elle sera téléchargée depuis Microsoft. Il est donc nécessaire d'augmenter la fréquence de synchronisation du serveur WSUS
Il est possible que sur les serveurs, on retrouve tout de même la demande d'installation en manuel. La mise à jour est pourtant déjà installée.
# Windows Server 2022 et WSUS Pour avoir les mises à jour de Windows Server 2022 dans WSUS, il faut ajouter un produit nommé "**Microsoft Server operating system-21H2**". [](https://docs.khroners.fr/uploads/images/gallery/2021-12/soQFijVQDPMLKTK9-image-1640910176339.png) En effet, Windows Server est basé sur Windows 10 21H2. # MDT / WDS - Déploiement de Windows # WDS ## Installation du rôle WDS On commence par ajouter le rôle WDS. [](https://docs.khroners.fr/uploads/images/gallery/2021-04/VtrF746wRDJvNXTP-image-1619825540144.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-04/h5OGzjlSuI3pxkNP-image-1619825577489.png) ## Configuration du rôle WDS On ouvre la console "Services de déploiement Windows". On clique droit sur le nom du serveur et sélectionne **Configurer le serveur.** On clique sur **Suivant**. On sélectionne le mode **Intégré à Active Directory**. On choisit un répertoire sur une autre partition. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/IecrwHXxmEfdbQYu-image-1619989387158.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/WmeoRLOM2Yeckubk-image-1619989414103.png) On autorise tous les ordinateurs. La meilleure pratique serait d'accepter les ordinateurs connus uniquement (les ordinateurs auront été ajoutés au préalable dans l'Active Directory, via un CSV contenant les informations des ordinateurs/adresses MAC). [](https://docs.khroners.fr/uploads/images/gallery/2021-05/QE6KvoJFEQk8qBUB-image-1619989763516.png) On récupère ensuite le fichier boot.wim dans le dossier "sources" d'une image Windows. On l'ajoute dans "Images de démarrage". [](https://docs.khroners.fr/uploads/images/gallery/2021-05/2JCR7xfY6NkiGzwa-image-1619994697679.png) On laisse tout par défaut. Si on démarrage un ordinateur sur le réseau : [](https://docs.khroners.fr/uploads/images/gallery/2021-05/B3g0sX9S6VfxmGXN-image-1619994769203.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/YooCJFjFqNCxWS2w-image-1619994777504.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/Pu3nwu3fyicwNp8h-image-1620123581104.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/NX8I2s81sEZopDZI-image-1620123644469.png) Aucune image n'est disponible. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/QtRZHCJADj2daVSX-image-1620123668219.png) ## Déploiement simple d'une image On clique droit sur "Images d'installation" puis "Ajouter un groupe d'images". On le nomme "Windows 10". On ajoute une image. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/nGquVvM7Ai3zDaXl-image-1620130825897.png) Si le fichier install.wim n'est pas présent mais install.wsd l'est, on peut extraire le fichier wim spécifique à la version que l'on souhaite installer. Voir [Convertir un fichier ESD en WIM](https://docs.khroners.fr/books/windows-server-2019/page/convertir-un-fichier-esd-en-wim) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/Wp7ym8hrbpmrx9vo-image-1620137406972.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/Kp07N93XtznhpLng-image-1620137688224.png) Dans mon cas, le temps est long pour télécharger l'image de boot. Il faut changer l'interface réseau pour vmxnet 3. Cependant, cela engendre l'impossibilité d'obtenir une adresse IP via DHCP. On va donc ajouter le pilote pour la nouvelle carte réseau. ## Ajout d'un pilote pour le déploiement [](https://docs.khroners.fr/uploads/images/gallery/2021-05/xsYY3tIb2Dxe0yat-image-1620141660118.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/vgNc58XBT5Jp6NCQ-image-1620141679817.png) On ajoute un filtre. Ici, le fabricant est VMware (machine virtuelle VMware). [](https://docs.khroners.fr/uploads/images/gallery/2021-05/n7C5M1wYI9UmKRZD-image-1620141754439.png) On peut ensuite ajouter un filtre selon l'image. Ensuite : [](https://docs.khroners.fr/uploads/images/gallery/2021-05/f58hT8XZ6B8s1E1F-image-1620142351497.png) On clique droit sur "Pilotes" et on ajoute un package de pilotes. > Au préalable, j'ai extrait les pilotes de VMware. Voir : [https://docs.khroners.fr/books/windows-server-2019/page/extraire-les-pilotes-de-vmware-tools](https://docs.khroners.fr/books/windows-server-2019/page/extraire-les-pilotes-de-vmware-tools) On choisit le chemin suivant dans mon cas : C:\\VMwareDrivers\\VMware\\VMware Tools\\VMware\\Drivers\\vmxnet3\\Win8\\vmxnet3.inf [](https://docs.khroners.fr/uploads/images/gallery/2021-05/nAMTOfkfwLTK3iBX-image-1620145124520.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/KWy0zRySxAGsCNvS-image-1620145146206.png) On l'ajoute au groupe de pilotes précédemment créé. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/61LbWRiIB4QnBXIo-image-1620145840825.png) Dans notre cas, il faut l'ajouter dès l'étape de Windows PE. ## Mise à disposition de pilotes pour le démarrage [](https://docs.khroners.fr/uploads/images/gallery/2021-05/VLPaSF4kokrg7n6M-image-1620145924768.png) On clique sur "Rechercher des packages". [](https://docs.khroners.fr/uploads/images/gallery/2021-05/uxBihjFZ4CbucyR4-image-1620145968480.png) Le pilote est ajouté. Le PC démarre bien, avec le bon pilote. Cependant, WDS reste limité pour la customisation de l'image. On verra MDT dans un prochain chapitre. # Extraire les pilotes de VMware Tools On crée un dossier pour les pilotes, dans mon cas C:\\VMwareDrivers. On télécharge l'iso sur [https://packages.vmware.com/tools/esx/index.html](https://packages.vmware.com/tools/esx/index.html) On le monte, puis dans un invité de commandes : ```shell E: setup.exe /A /P C:\VMWareDrivers ``` On choisit le chemin du dossier précédemment créé. Les pilotes sont maintenant dans C:\\VMWareDrivers\\VMware\\VMware Tools\\VMware\\Drivers. # Convertir un fichier ESD en WIM On récupère les informations du fichier ESD, via un invité de commandes en Powershell. (E est le lecteur où l'ISO se trouve) ```Powershell dism /Get-WimInfo /WimFile:E:/sources/install.esd ``` [](https://docs.khroners.fr/uploads/images/gallery/2021-05/QhYZfh6cfqVqRpTz-image-1620131162075.png) On souhaite récupérer la version professionnelle de Windows 10, donc la 6ème. On se rend dans le dossier /sources/ où install.esd est. ```Powershell cd E:\sources\ dism /export-image /SourceImageFile:install.esd /SourceIndex:6 /DestinationImageFile:C:\Users\Administrateur.LAB\Desktop\install.wim /Compress:max /CheckIntegrity ``` # MDT : Microsoft Deployment Toolkit --- ## **Présentation** MDT pour Microsoft Deployment Toolkit est un outil pour préparer le déploiement de machines Windows. Il permet d'installer des logiciels, des pilotes, gérer les paramètres de l'ordinateur... le tout durant ou après l'installation par le réseau via le service WDS. --- ## **Installation** ### Prérequis On télécharge et installe ADK et WinPE. [https://docs.microsoft.com/en-us/windows-hardware/get-started/adk-install](https://docs.microsoft.com/en-us/windows-hardware/get-started/adk-install) [](https://docs.khroners.fr/uploads/images/gallery/2022-11/R51WGVT0n5xIKFUu-image.png) On exécute le setup en Admin, en laissant tout par défaut. ### Installation de MDT On va ensuite pouvoir télécharger et installer MDT. [https://www.microsoft.com/en-us/download/details.aspx?id=54259](https://www.microsoft.com/en-us/download/details.aspx?id=54259) Une fois installé, on télécharge la mise à jour. [https://support.microsoft.com/en-us/topic/windows-10-deployments-fail-with-microsoft-deployment-toolkit-on-computers-with-bios-type-firmware-70557b0b-6be3-81d2-556f-b313e29e2cb7](https://support.microsoft.com/en-us/topic/windows-10-deployments-fail-with-microsoft-deployment-toolkit-on-computers-with-bios-type-firmware-70557b0b-6be3-81d2-556f-b313e29e2cb7) On exécute le .exe, et on copie les fichiers extraits dans %ProgramFiles%\\Microsoft Deployment Toolkit\\Templates\\Distribution\\Tools. ### Création du partage de déploiement On crée un nouveau dossier sur la partition du WDS, nommé DeploymentShare. On ouvre ensuite la console Deployment Workbench et on crée notre partage. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/gO6ZTXkG54zsJhww-image-1620214557194.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/TMtgVOwZjTaEd9AG-image-1620214554127.png) On laisse tout par défaut, on peut modifier les options plus tard. ### Ajout du système d'exploitation On crée un nouveau dossier nommé "Windows 10 Pro 20H2". [](https://docs.khroners.fr/uploads/images/gallery/2021-05/h2odoPAYlCG1Vsk7-image-1620215728893.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/vfK7dbRnJV42ucYo-image-1620217130353.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/vgpWLVL8NKTIfIkt-image-1620217147215.png) On monte le fichier .wim extrait auparavant. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/5Gq2RlzQGlKppBJA-image-1620217253215.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/IWywKmSMhh17Me1x-image-1620217292445.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/Xw362SFHYFvtNWc2-image-1620217842891.png) On le renomme. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/rh2CH5N963G5CvgU-image-1620220514416.png) ### Création d'un dossier de packages On crée un dossier dans "Packages" pour les mises à jour. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/7fHHAhiy8wFfKMv1-image-1620220680715.png) On crée ensuite un profil de sélection. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/NIY3dMYaeZ6fdBLR-image-1620220714574.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/AanlFE2BJGYF3gVd-image-1620221200046.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/b8RS7ZSH7eK47udu-image-1620221206891.png) ### Création de la séquence de tâches On crée ensuite une tâche. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/UUCTfzIr6doTJDFw-image-1620221985646.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/2RVwaM1PzhwxV2BH-image-1620222084591.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/eMgV1P4pwWx7FBRh-image-1620222097969.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/JnVUE2BOqKWGKoIY-image-1620222333092.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/xQK9rvikwIQxkiF0-image-1620222355572.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/8Jo2jRTmggi5OVdE-image-1620222467380.png) On entre un mot de passe administrateur local. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/YlzdGaccTFvIQZn4-image-1620222602610.png) ### Ajouter des applications On clique droit sur Applications puis on ajoute. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/oZ6laQHXduC9eQgC-image-1620223381341.png) On choisit la première option, on choisit le chemin du dossier contenant le setup, la ligne de commande `msiexec /I googlechromestandaloneenterprise64.msi /qn` ### Edition de la séquence de tâches [](https://docs.khroners.fr/uploads/images/gallery/2021-05/w9SM1aK6i3jAaaDI-image-1620223929302.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/WYjuGdqi1v4oE5Y9-image-1620316857129.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/jVuiGdJHkjaiDYs4-image-1620224010160.png) On a donc mis ici le profil de sélection pour les packages. On active ces deux tâches. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/uKGxK3E5X1iPoQzk-image-1620224068396.png) On clique sur "Install Applications" et on coche la deuxième option, en renseignant l'application. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/glmGNVpnTXnJqEEh-image-1620224405923.png) On peut ensuite copier coller pour ajouter autant d'applications que l'on veut (on les renomme). [](https://docs.khroners.fr/uploads/images/gallery/2021-05/vbGGjyvPzcN9vS9M-image-1620224452408.png) > En laissant par défaut, le choix des applications se fait durant l'installation (cases à cocher). ### Sécurisation du partage pour le déploiement #### Créer un compte de service pour MDT dans l'Active Directory [](https://docs.khroners.fr/uploads/images/gallery/2021-05/cV0qU94LeWyNqG5L-image-1620224611486.png) On lui attribue un mot de passe fort. #### Permissions et partage On lui donne la permission d'ajouter un ordinateur au domaine. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/gNQrXoIGcHWN9Xu5-image-1620232183403.png) Sur le partage, on désactive l'héritage en convertissant les autorisations héritées. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/y8RylJpmJlKHAjhi-image-1620229540806.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/ou9ltmYHwyv4JF51-image-1620230044670.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/bXMbczJBuXMJXAbB-image-1620230050762.png) ### Ajouter un pilote dès le démarrage PXE On créer les dossiers. [](https://docs.khroners.fr/uploads/images/gallery/2021-06/fWbs3FLhIVvIN8Vs-image-1622636882650.png) Ici, VMware, Inc. correspond au manufacturer (requête WMI, %Make%) et VMware7,1 au modèle (requête WMI, %Model%). On clique droit sur "Network" (nom défini selon le pilote, ici on ajoute un pilote réseau) et on importe. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/Zt4OrYZKu8RZJ245-image-1620249633046.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/vTYClcNEQAONkxtD-image-1620249640057.png) On crée un profil de sélection. (nommé WinPE x64) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/Wi1DtxhBYpgWLtjK-image-1620249735653.png) Ensuite, clic droit sur le partage de déploiement, propriétés, puis on vérifie : [](https://docs.khroners.fr/uploads/images/gallery/2021-06/RG6T6RbY1C8FhUbD-image-1622642482324.png) ### Ajouter les pilotes VMware Tools Il suffit de créer une application comme pour 7zip ou Chrome. Il faut créer un dossier VMware Tools, y copier le contenu de l'iso à l'intérieur, puis créer l'application et choisir le dossier en source. Pour la ligne de commandes : ```Powershell setup64.exe /S /v /qn REBOOT=R ``` On rajoute une tâche après l'installation de VMware Tools : Restart Computer. ### Ajouter d'autres pilotes Pour installer d'autres pilotes, il est recommandé de créer des sous dossiers dans Windows 10 x64. On crée d'abord un dossier pour la marque, et ensuite le modèle. On ajoute ensuite un tâche qui va affecter une valeur à une variable. Cette valeur est "DriverGroup001". [](https://docs.khroners.fr/uploads/images/gallery/2021-06/N6wZyuLEBCL5RWmF-image-1622907110263.png)%Make% correspond au manufacturer (marque, comme Dell, HP, VMware, Lenovo, etc... %Model% correspond au modèle.
On définit le profil de sélection pour "Nothing" dans Inject Drivers. [](https://docs.khroners.fr/uploads/images/gallery/2021-06/aTkLRpoCcBhZpKMI-image-1622908414242.png) ### Exemple pour chaque fichier .ini Bootstrap.ini : ``` [Settings] Priority=Default [Default] DeployRoot=\\SRV-WDS01\DeploymentShare$ UserDomain=lab.khroners.fr UserID=mdt_admin UserPassword=mdt_admin-password SkipBDDWelcome=YES ``` Customsettings.ini : ```Powershell [Settings] Priority=Init, Model, Default, SetOSD Properties=OSDPrefix, ComputerSerialNumber, TargetGroup [Init] ComputerSerialNumber=#Right(Replace(Replace(oEnvironment.Item("SerialNumber")," ",""),"-",""),6)# [Default] OSInstall=Y ;Computer Details SkipComputerName=YES SkipDomainMembership=YES JoinDomain=lab.khroners.fr DomainAdmin=mdt_admin DomainAdminDomain=lab.khroners.fr DomainAdminPassword=mdt_admin-password MachineObjectOU=OU=Workstations,OU=Computers,OU=LAB,DC=lab,DC=khroners,DC=fr ;Skip Task Sequence SkipTaskSequence=YES TaskSequenceID=W10-20H2-X64 ;User Data SkipUserData=YES ;Computer Backup SkipComputerBackup=YES ;Product Key SkipProductKey=YES ;Language Packs SkipPackageDisplay=YES ;Locale and Time SkipLocaleSelection=YES SkipTimeZone=YES KeyboardLocale=040c:0000040c KeyboardLocalePE=040c:0000040c UserLocale=fr-FR UILanguage=fr-FR TimeZoneName=Romance Standard Time ;Roles and Features SkipRoles=YES ;Applications SkipApplications=NO ;Administrator Password SkipAdminPassword=YES AdminPassword=local-admin-password ;Local Administrators SkipAdminAccounts=YES ;Capture Image SkipCapture=YES ;Bitlocker SkipBitLocker=YES ;Ready to begin SkipSummary=YES ;Operating system deployment completed successfully SkipFinalSummary=YES FinishAction=SHUTDOWN WSUSServer=https://srv-wsus01.lab.khroners.fr:8531 SLShare=\\SRV-WDS01\DeploymentShare$\Logs EventService=http://SRV-WDS01:9800 OSDComputerName=%OSDPrefix%-%ComputerSerialNumber% [VMware7,1] OSDPrefix=VM ``` ### Déploiement MDT avec WSUS SSL Suite à mon guide pour le WSUS en SSL, il faut avoir le certificat sur le poste pour rechercher des mises à jour. Pour cela, on le fait habituellement en GPO. Cependant, ces stratégies ne sont pas appliquées durant le déploiement. On va donc les importer. Pour cela, il faut créer un dossier sur le serveur MDT (pas dans le partage), avec le certificat (en .cer) et un fichier de commandes .cmd. Je vais créer ce dossier dans W:\\Logiciels\\. [](https://docs.khroners.fr/uploads/images/gallery/2021-06/X8YTSJofrXaQLMJP-image-1622724591595.png) Le contenu du fichier Import-Certificates : ```Powershell certutil -addstore -f "Root" "cert.cer" certutil -addstore -f "TrustedPublisher" "cert.cer" ``` On ajoute ensuite ce dossier en créant une application comme pour Google Chrome & 7Zip. En source, on choisit le dossier. [](https://docs.khroners.fr/uploads/images/gallery/2021-06/4D3PsKN7pLk10Z3a-image-1622725851026.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-06/zRzDt1X9CkSUXTzF-image-1622725876211.png) Pour la commande, on rentre le nom du fichier, c'est à dire : Import-Certificates.cmd On ajoute ensuite une tâche dans la Task Sequence. (Pour cela, je copie colle "Chrome" par exemple, et on modifie le nom et l'application à installer)Faites en sorte de l'installer avant la tâche Windows Update. Dans mon cas, après VMware Tools.
[](https://docs.khroners.fr/uploads/images/gallery/2021-06/TC9ntRslx9uXaa3N-image-1622724810105.png) On modifie également la ligne dans le fichier customsettings.ini pour ajouter le https et le port.**Attention :** Il faut mettre le FQDN.
### Ciblage côté client pour WSUS Pour activer le ciblage pour le WSUS, on rajoute une tâche. [](https://docs.khroners.fr/uploads/images/gallery/2021-06/osz0wTLHC9bmNZuw-image-1622906264924.png) ### Activation du monitoring (supervision) Dans les propriétés du partage du déploiement, on active le monitoring dans l'onglet "monitoring". En se rendant sur cette URL, on devrait arriver sur la page. http//localhost:9800/MDTMonitorEvent/ On ajoute ensuite dans le fichier customsettings.ini la ligne : `EventService=http://SRV-WDS01:9800` ### Génération de l'image On clique droit sur le partage de déploiement et "Update..." [](https://docs.khroners.fr/uploads/images/gallery/2021-05/iz1754ZanLGpVEsf-image-1620249917083.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-05/WBzzcKGILwxBrZRF-image-1620249927827.png) ### Ajout de l'image dans WDS On ajoute l'image LiteTouchPE\_x64.wim situé sur le partage dans le dossier boot dans Images de démarrage. Dans les propriétés, on rajoute l'image. [](https://docs.khroners.fr/uploads/images/gallery/2021-05/TIUGYXZYMbwpgYfi-image-1620251846965.png) On clique droit sur le serveur, toutes les tâches puis redémarrer. ### Tests [](https://docs.khroners.fr/uploads/images/gallery/2021-05/nx5BnimdbLHjr2pF-image-1620251896870.png) On pourra automatiser le choix de la séquence de tâches en ajoutant SkipTaskSequence=YES et TaskSequenceId=l'ID\_de\_notre\_sequence\_de\_taches (dans mon cas, W10-20H2-X64). Une fois l'installation faite : [](https://docs.khroners.fr/uploads/images/gallery/2021-05/zhBIaWunOgNDoyNc-image-1620313499562.png) Les applications rajoutées précédemment s'installent. Déploiement inter-sites Il est possible de répliquer un MDT sur différents sites. Pour cela, il sera nécessaire de procéder à une réplication DFS ainsi que de modifier le fichier ini (customsettings). # Créer une image de référence 21H2 ## Création du déploiement 1. Ouvrez la console **DeploymentWorkbench** dans le menu Démarrer. 2. Cliquez avec le bouton droit de la souris sur "**Deployment Shares**". 3. Sélectionnez "**New Deployment Share**". 4. Saisissez le chemin d'accès au partage de déploiement : **M:\\DeploymentShare** 5. Entrez le nom du partage : **DeploymentShare$**. 6. Donnez une description au partage. 7. Dans l'écran "**Options**", acceptez les valeurs par défaut car vous pourrez les modifier ultérieurement. 8. Complétez l'assistant pour créer le partage. 9. Par défaut, les autorisations de partage sont définies sur le groupe des administrateurs locaux. Nous reviendrons sur ce point plus tard. ## Ajout d'un système d'exploitation 1. Montez l'ISO Windows 10 21H2 dans l'Explorateur de fichiers. 2. Allez dans "**Deployment Workbench**" > "**Operating Systems**". 3. Faites un clic droit et sélectionnez "**New Folder**". 4. Entrez le nom "**Windows 10 21H2**" et créez le dossier. 5. Cliquez à nouveau avec le bouton droit de la souris et sélectionnez Importation du système d'exploitation. 6. Dans l'assistant, sélectionnez Ensemble complet de fichiers source, puis entrez la racine de l'ISO monté comme répertoire source. 7. Pour le nom du répertoire de destination, entrez Windows 10 21H2 et terminez l'assistant. 8. Allez dans le nœud Systèmes d'exploitation/Windows 10 21H2 et renommez les nouvelles entrées ajoutées à Windows 10 21H2 Edition pour faciliter l'utilisation. ## Création d'un dossier de paquets pour les futures mises à jour 1. Allez dans "**Deployment Workbench**" > "**Packages**". 2. Créez un dossier nommé "**Windows 10 21H2**". 3. Nous allons maintenant créer un profil de sélection afin que la séquence de tâches tente uniquement d'installer les mises à jour de Windows 10 21H2 que nous rendons disponibles via MDT. ## Création d'un profil de sélection 1. Développez le nœud "**Advanced Configuration**". 2. Cliquez avec le bouton droit sur "**Selection Profile**" et sélectionnez "**New Selection Profile**". 3. Nommez-le "**Windows 10 21H2**". 4. Sur la page "**Folders**", cochez le dossier "**Windows 10 21H2**" sous "**Packages**" et terminez l'assistant. ## Importation d'applications Si vous souhaitez ajouter des applications à votre image de référence, je vais expliquer comment ajouter VLC comme exemple d'application. 1. Allez dans "**Deployment Workbench**" > "**Deployment Share**" > "**Applications**". 2. Cliquez avec le bouton droit sur "**Applications**" et sélectionnez "**New Application**". 3. Dans l'assistant, choisissez "**Application with source files**". 4. Donnez à l'application le nom de : **VLC**. 5. Entrez le répertoire source des fichiers d'installation. 6. Saisissez le répertoire de destination : **VLC**. 7. Pour la ligne de commande, entrez n'importe quoi, nous y reviendrons plus tard. 8. Sur la page de résumé, cliquez sur Next et après la copie des fichiers, cliquez sur Finish pour terminer l'assistant. ## Configuration des applications 1. Cliquez avec le bouton droit sur "**VLC**", puis "**Détails**". 2. Saisissez la commande d'installation silencieuse suivante : **vlc-setup.exe /S** VLC est maintenant configuré pour être installé silencieusement par la séquence de tâches. Pour ajouter d'autres logiciels, vous devrez répéter les étapes ci-dessus, avec la ligne de commande appropriée pour les installer silencieusement. Vous trouverez ci-dessous quelques lignes de commande pour certains logiciels : Google Chrome - Enterprise Installer `msiexec /I googlechromestandaloneenterprise64.msi /qn` Adobe Reader - Enterprise Installer `AdobeReaderDC.exe /sAll` Nous devons maintenant créer une nouvelle séquence de tâches pour créer une image de référence. ## Création d'une séquence de tâches 1. Dans "**Deployment Workbench**", allez dans "**Task Sequences**". 2. Cliquez avec le bouton droit et sélectionnez "**New Task Sequence**". 3. Pour l'ID, entrez : "**W10-21H2**". 4. Nommez-la "**Build Windows 10 21H2**". 5. Sélectionnez "**Standard Client Task Sequence**". 6. Sélectionnez le système d'exploitation "**Windows 10 21H2**". 7. Sélectionnez "**Do not specify a product key at this time**". 8. Entrez un nom d'organisation. 9. Sélectionnez "**Do not specify an Administrator password at this time**". 10. Terminez l'assistant. Nous allons maintenant configurer la séquence de tâches. ## Configuration de la séquence de tâches 1. Cliquez avec le bouton droit sur la séquence de tâches qui vient d'être créée et sélectionnez "**Properties**". 2. Allez dans l'onglet "**Task Sequence**". 3. Développez le dossier "**Preinstall**" et sélectionnez l'élément "**Apply Patches**". 4. Changez le profil de sélection pour "**Windows 10 21H2**". 5. Allez dans le dossier "**State Restore**" et sélectionnez "**Windows Update (Pre-Application Installation)**". 6. Dans la partie droite de la fenêtre, allez dans l'onglet "**Options**". 7. Décochez la case "**Disable this step**" et faites de même avec "**Windows Update (Post-Application Installation)**". 8. Si vous avez sauté la section "**Importer des applications**", désactivez l'élément "**Install Applications**" et passez à l'étape suivante. 9. Allez à l'élément "**Install Applications**". 10. Dans la partie droite, sélectionnez l'option "**Install a single application**" et cliquez sur le bouton "**Browse...**". 11. Sélectionnez "**Google Chrome**" et changez le nom "**Install Applications**" en "**Google Chrome**". 12. Pour installer d'autres applications, copiez et collez l'élément "**Install Applications**" et répétez les étapes 10 et 11 pour les applications de votre choix. 13. Cliquez sur "**Apply**" et fermez la séquence de tâches. Ensuite, nous allons créer un compte d'utilisateur de domaine pour MDT afin de l'utiliser comme compte de service. ## Création d'un compte de service pour MDT dans Active Directory 1. Allez dans la console "**Utilisateurs et ordinateurs Active Directory**". 2. Créez un utilisateur appelé "**CDS\_MDT**" et donnez-lui un mot de passe complexe. 3. Donnez à l'utilisateur "**CDS\_MDT**" des permissions de contrôle total sur le partage et des permissions de contrôle total sur tous les fichiers et dossiers du partage de déploiement. Ensuite, nous devons configurer les fichiers **Bootstrap.ini** et **CustomSettings.ini** pour définir les options de l'environnement de déploiement. Les paramètres ci-dessous permettent d'activer la connexion automatique et d'ignorer des étapes. Ils ne doivent donc être utilisés que dans des environnements de test/laboratoire. ## Configuration de Bootstrap.ini 1. Dans la console "**Deployment Workbench**", cliquez droit sur le partage de déploiement et sélectionnez "**Propriétés**". 2. Sélectionnez l'onglet "**Rules**" et cliquez sur le bouton "**Edit Bootstrap.ini**". 3. Ajoutez les paramètres ci-dessous au fichier Bootstrap.ini. 4. Fermez et enregistrez le fichier Bootstrap.ini. ```INI [Settings] Priority=Default [Default] DeployRoot=\\SERVER-NAME\DeploymentShare$ UserDomain=domaine.fr UserID=CDS_MDT UserPassword=motdepasse SkipBDDWelcome=YES ``` ## Configuration de CustomSettings.ini Dans l'onglet "**Rules**" de la fenêtre des propriétés du **Deployment Share**, ajoutez les paramètres ci-dessous. ```INI [Settings] Priority=Default ; Si vous n'utilisez pas de serveur WSUS pour les mises à jour, supprimez ou mettez en commentaire la ligne ci-dessous et decommentez l'autre. Properties=TargetGroup ; Properties=MyCustomProperty [Default] TargetGroup=MDT OSInstall=Y SkipCapture=YES SkipAdminPassword=YES SkipProductKey=YES SkipComputerBackup=YES SkipBitLocker=YES SkipLocaleSelection=YES SkipTimeZone=YES SkipDomainMembership=YES SkipSummary=YES SkipFinalSummary=YES SkipComputerName=YES SkipUserData=YES _SMSTSORGNAME=Partage de reference _SMSTSPackageName=%TaskSequenceName% DoCapture=YES ComputerBackupLocation=\\SERVER-NAME\DeploymentShare$\Captures BackupFile=%TaskSequenceID%_#year(date) & "-" & month(date) & "-" & day(date) & "-" & hour(time) & "-" & minute(time)#.wim ; Si vous voulez utiliser un serveur WSUS pour les mises à jour, utilisez cette ligne, supprimez ou mettez en commentaire les mises à jour provenant d'Internet. WSUSServer=http://WSUS-SERVER:8530 FinishAction=SHUTDOWN SLShare=\\SERVER-NAME\DeploymentShare$\Logs EventService=http://SERVER-NAME:9800 ``` Nous devons maintenant créer le support de démarrage pour démarrer la VM dans l'environnement de déploiement. ## Création du support de démarrage 1. Dans la console "**Deployment Workbench**", cliquez avec le bouton droit sur le partage de déploiement. 2. Sélectionnez "**Update Deployment Share**". 3. Sélectionnez "**Completely regenerate the boot images**". 4. Suivez l'assistant. La création des images de démarrage prendra un certain temps. ## Test et capture d'une image de référence Pour tout tester, nous avons deux choix : 1. Copier le fichier ISO que nous venons de générer et l'insérer dans le lecteur CD/DVD de notre VM, 2. Se rendre dans la console "**Services de déploiement Windows**" et ajouter l'image dans "**Images de démarrage**" au format WIM. Dans les deux cas, l'image à utiliser se nomme "**LiteTouchPE\_x64**" "et se trouve ici : **M:\\DeploymentShare\\Boot** Créez une nouvelle VM avec la configuration suivante : - Au moins 2x vCPUs, - Au moins 4GB de RAM, - Adaptateur réseau avec accès au même réseau que le serveur MDT/WDS/WSUS, - Disque dur virtuel d'au moins 40 Go, de préférence sur un support rapide, - Démarrez à partir du CD en utilisant le fichier LiteTouchPE\_x64.iso de MDT ou à partir du réseau (boot PXE).Si vous utilisez Hyper-V, veillez à ce que l'option "Utiliser les points de contrôle automatiques" est désactivée et que la VM est une génération 1.
Si vous utilisez VMware, veillez à utiliser l'option de démarrage BIOS et non UEFI.
Démarrez la VM et elle démarrera à partir du fichier LiteTouchPE\_x64 dans l'environnement de déploiement. Vous verrez apparaître un écran portant le nom de la séquence de tâches que vous avez créée précédemment. Sélectionnez votre séquence de tâches et cliquez sur "**Suivant**" et la séquence de tâches commencera. La séquence de tâches installera **Windows 10 21H2**, effectuera la mise à jour à partir du serveur Internet/WSUS, installera les applications optionnelles si vous les avez ajoutées, puis exécutera à nouveau la mise à jour de Windows à partir du serveur Internet/WSUS. Elle exécutera ensuite **SysPrep** et tentera de redémarrer dans l'environnement de déploiement à partir du disque local et d'envoyer l'image au serveur MDT. Lorsque ce processus est terminé, la VM est arrêtée et un fichier nommé **W10-21H2\_YEAR\_MONTH\_DAY\_HOUR\_MINUTE.wim** se trouve dans le dossier "**Captures**" du "**Deployment Share**". Vous avez maintenant une image de référence pour Windows 10 21H2 et une installation de "**Microsoft Deployment Toolkit**", avec un partage de déploiement spécifiquement configuré pour la création et la capture d'images de référence. # Impossible de trouver le fichier script "C:\LTIbootstrap.vbs". Si vous rencontrez l'erreur suivante : "**Impossible de trouver le fichier script "C:\\LTIbootstrap.vbs.**", il y a deux solutions. 1. Vous utilisez une machine virtuelle Hyper-V de génération 2. Dans ce cas, utilisez plutôt une machine virtuelle de génération 1 (donc en mode BIOS). 2. Vous utilisez VMware (Workstation, ESXI, Fusion...). Dans ce cas, modifier l'option de démarrage en BIOS au lieu de EFI par défaut. # Déployer une image de référence avec MDT et WDS ## Introduction Nous allons reproduire des étapes très similaires à la création de l'image de référence. ## Création du partage de déploiement 1. Ouvrez la console "**Deployment Workbench**" dans le menu Démarrer. 2. Cliquez avec le bouton droit sur "**Deployment Shares**". 3. Sélectionnez "**New Deployment Share**". 4. Saisissez le chemin d'accès au partage de déploiement : "**M:\\Deploy**". 5. Entrez le nom du partage : "**Deploy$**". 6. Donnez une description au partage. 7. Acceptez les valeurs par défaut car nous pourrons les modifier ultérieurement. 8. Par défaut, les autorisations de partage sont définies sur le groupe des administrateurs locaux. Nous reviendrons sur ce point plus tard. ## Ajouter un système d'exploitation 1. Allez dans la console "**Deployment Workbench**" > "**Operating Systems**". 2. Cliquez avec le bouton droit et sélectionnez "**Import Operating System**". 3. Dans l'assistant, sélectionnez "**Custom image file**", puis naviguez jusqu'au dossier "**Captures**" du partage "**DeploymentShare**" comme fichier source (le fichier .wim créé suite à la capture). 4. Lorsqu'on vous demande de spécifier les fichiers de configuration du système d'exploitation, sélectionnez "S**etup files are not needed**". 5. Pour le nom du répertoire de destination, entrez un nom que vous souhaitez utiliser et terminez l'assistant. 6. Allez dans le nœud "**Operating Systems**" et renommez l'image de référence que nous venons de capturer en quelque chose de plus lisible. ## Création d'une séquence de tâches 1. Dans la console "**Deployment Workbench**", allez dans "**Task Sequences**". 2. Cliquez avec le bouton droit et sélectionnez "**New Task Sequence**". 3. Pour l'ID, entrez : "**W10-21H2**". 4. Nommez-la "**Deploy Windows 10 21H2**". 5. Sélectionnez "**Standard Client Task Sequence**". 6. Pour le système d'exploitation, sélectionnez l'image personnalisée que nous avons importée précédemment. 7. Sélectionnez "**Do not specify a product key at this time**" si vous utilisez KMS. 8. Saisissez un nom d'organisation. 9. Saisissez le mot de passe de l'administrateur local. 10. Terminez l'assistant. Maintenant, nous allons configurer la séquence de tâches. ## Configuration de la séquence de tâches 1. Faites un clic droit sur la séquence de tâches qui vient d'être créée et sélectionnez "**Propriétés"**. 2. Développez le dossier "**Initialisation**" dans le volet de gauche. 3. Allez sur l'élément "**Gather local only**". 4. Dans la fenêtre "**Propriétés**", sélectionnez "**Gather local data and process rules**". 5. Saisissez les éléments suivants dans "**Rules file**" : **customsettings.ini**. 6. Allez dans le dossier "**State Restore**" et sélectionnez "**Windows Update (Pre-Application Installation)**". 7. Dans la partie droite de la fenêtre "**Propriétés**", allez sur l'onglet "**Options**". 8. Décochez la case "**Disable this step**" et faites de même avec "**Windows Update (Post-Application Installation)**". 9. Sélectionnez l'élément "**Install Applications**" et cochez la case "**Disable this step**". 10. Cliquez sur "**Appliquer**" et fermez la séquence de tâches. ## Sécurisation du partage de déploiement Dans le post précédent, nous avons créé un utilisateur appelé mdt\_admin dans Active Directory pour être utilisé comme un compte de service. Nous devons donner à cet utilisateur l'accès au nouveau partage de déploiement que nous avons créé ici. 1. Allez sur le serveur ou le PC où le partage de déploiement est hébergé. 2. Donnez à l'utilisateur mdt\_admin des permissions de contrôle total sur le partage et des permissions de contrôle total sur tous les fichiers et dossiers du partage de déploiement. 3. Vous pouvez également donner des autorisations similaires aux utilisateurs ou aux groupes qui vont utiliser le partage de déploiement. Ensuite, nous devons configurer les fichiers Bootstrap.ini et CustomSettings.ini pour contrôler certains aspects de l'environnement de déploiement. Les paramètres ci-dessous sont une configuration minimale de mon laboratoire, et vous pouvez vouloir ajouter plus de temps. ## Configuration de Bootstrap.ini 1. Dans Deployment Workbench, cliquez avec le bouton droit de la souris sur le partage de déploiement et sélectionnez Propriétés. 2. Sélectionnez l'onglet Rules et cliquez sur le bouton Edit Bootstrap.ini. 3. Ajoutez les paramètres ci-dessous au fichier Bootstrap.ini. 4. Fermez et enregistrez le fichier Bootstrap.ini. ## Configuration de CustomSettings.ini Les paramètres ci-dessous méritent quelques explications. La section \[Virtual Machine\] concerne l'installation des pilotes, que nous aborderons plus tard dans cet article. La section Join Domain est importante. Ici, j'ai mis le compte mdt\_admin à utiliser comme compte pour joindre le périphérique en cours d'imagerie au domaine contoso.com. Si vous suivez ce guide à la lettre, le compte mdt\_admin n'aura pas les autorisations appropriées pour joindre un périphérique à un domaine, et vous devez donc soit lui donner les autorisations requises, soit créer un nouveau compte dans ce but précis. Les autres paramètres sont les préférences d'emplacement relatives au Royaume-Uni et les paramètres de résolution qui empêchent le périphérique fini d'adopter par défaut une résolution de 1024 x 768, et d'utiliser à la place la résolution recommandée que Windows reçoit de l'écran. Dans l'onglet Règles de la fenêtre des propriétés de Deployment Share, ajoutez les paramètres ci-dessous. Nous devons maintenant créer le support de démarrage pour démarrer la VM dans l'environnement de déploiement. ## Création du support de démarrage 1. Dans Deployment Workbench, cliquez avec le bouton droit de la souris sur le partage de déploiement. 2. Sélectionnez Update Deployment Share. 3. Sélectionnez Completely regenerate the boot images. 4. Suivez l'assistant. La création des images de démarrage prendra un certain temps. ## Test de la séquence de tâches Pour tout tester, nous devons copier le fichier ISO que nous venons de générer. Il se trouve dans le dossier Boot du Deployment Share. Allez sur le serveur ou le PC qui héberge le partage de déploiement et naviguez jusqu'au dossier de démarrage. Il devrait y avoir à l'intérieur un fichier nommé LiteTouchPE\_x64.iso. Copiez ce fichier à un endroit où une machine virtuelle Hyper-V pourra y accéder. Pour éviter toute confusion avec l'ISO que nous avons généré à partir du partage de déploiement Build, nous ajouterons -deploy au nom de ce nouvel ISO. Créez une nouvelle VM dans Hyper-V avec la configuration suivante : Pour Hyper-V uniquement : Génération 1, pas 2. Des problèmes ont été signalés avec des VM de génération 2. - Au moins 2x vCPUs - Au moins 4GB de RAM - Adaptateur réseau avec accès au réseau local. - Disque dur virtuel d'au moins 40 Go, de préférence sur un support rapide. - Démarrez à partir du CD en utilisant le fichier LiteTouchPE\_x64-deploy.iso de MDT. - Si vous utilisez Hyper-V sous Windows 10 1709 ou supérieur, assurez-vous que l'option Utiliser les points de contrôle automatiques est désactivée. Démarrez la VM et elle démarrera à partir de l'iso LiteTouchPE\_x64-deploy.iso dans l'environnement de déploiement. Un écran de connexion s'affichera et vous devrez vous connecter avec les informations d'identification Active Directory qui ont accès au partage de déploiement. Une fois connecté, vous verrez apparaître un écran portant le nom de la séquence de tâches que vous avez créée précédemment. Sélectionnez votre séquence de tâches et cliquez sur Next. Vous serez invité à entrer un nom pour le dispositif, il sera également ajouté à Active Directory sous ce nom. Cliquez sur Next et la séquence de tâches commencera. Lorsque la séquence de tâches est terminée, la VM est arrêtée. Ceci termine le test de base de la séquence de tâches de déploiement. Nous allons maintenant passer aux pilotes et à une configuration plus poussée. ## Configuration des associations d'applications par défaut Voici comment configurer les associations d'applications par défaut dans la séquence de tâches de déploiement. 1. En utilisant une installation existante de Windows 10, naviguez vers Paramètres > Système > Applications par défaut. 2. Définissez les applications par défaut et toute autre association de fichiers, le cas échéant. 3. Ouvrez Windows PowerShell (Admin) en cliquant avec le bouton droit de la souris sur le bouton Windows/Démarrer ou en appuyant sur Win + X. 4. Dans la fenêtre PowerShell, tapez ce qui suit et appuyez sur Entrée : Dism /Online /Export-DefaultAppAssociations:C:\\AppAssoc.xml 5. Après quelques secondes, vous devriez voir L'opération s'est déroulée avec succès dans la fenêtre PowerShell. 6. Naviguez jusqu'à C:\\ et copiez AppAssoc.xml dans votre partage de déploiement MDT : \\SERVER-NAME\\Deploy$\\\_custom. 7. Ouvrez le Deployment Workbench et accédez à Deployment Share > Task Sequences. 8. Cliquez avec le bouton droit de la souris sur la séquence de tâches Déployer Windows 10 21H2 et sélectionnez Propriétés. 9. Cliquez sur l'onglet Séquence de tâches et naviguez jusqu'à Postinstall > Configure. 10. Cliquez sur le bouton Ajouter en haut de la vue des actions de la séquence de tâches et allez dans Général > Exécuter la ligne de commande. 11. Entrez Set Default App Associations dans le champ Nom, et dans le champ Ligne de commande entrez : \[code language="text"\]Dism.exe /Image:%OSDisk%\\ /Import-DefaultAppAssociations:%DEPLOYROOT%\\Applications\\\_scripts\\AppAssoc.xml\[/code\] 12. Cliquez sur Appliquer pour enregistrer les modifications. ## Gestion des pilotes Nous allons maintenant configurer la façon dont les pilotes sont installés pour les périphériques physiques sur lesquels nous allons déployer Windows 10. Il y a plusieurs façons de le faire, ici je vais montrer la méthode "Total Control" que j'ai utilisé plus récemment. La première chose dont vous aurez besoin est le fabricant et les numéros de modèle de tous les appareils sur lesquels vous souhaitez déployer l'image. Vous pouvez les trouver en démarrant un appareil dans sa version actuelle de Windows ou dans l'environnement de déploiement WinPE en utilisant le disque de démarrage LiteTouch\_x64.iso ou un démarrage PXE. Voici un article précédent que j'ai écrit sur la façon de configurer le démarrage PXE pour MDT si nécessaire : Démarrage PXE pour Microsoft Deployment Toolkit. Lorsque le périphérique est démarré dans l'environnement de déploiement, appuyez sur F8 pour obtenir une invite de commande, et tapez les commandes suivantes : wmic computersystem get manufacturer wmic computersystem get model Le résultat de ces commandes est le nom du fabricant et le numéro de modèle dont vous aurez besoin. La prochaine chose dont vous aurez besoin, ce sont les pilotes. Windows 10 est bon pour installer les pilotes manquants à partir de Windows Update, mais cela peut prendre un certain temps et il serait préférable que le périphérique fonctionne avec tous les pilotes dont il a besoin une fois le déploiement terminé. La plupart des grands fabricants (Dell, HP, Lenovo) font un travail décent en fournissant des pilotes qui peuvent être utilisés avec MDT. Si vous avez des difficultés à les trouver, vous pouvez utiliser le catalogue Microsoft Update pour rechercher et télécharger les pilotes spécifiques que Windows Update installe et les utiliser avec MDT. Une fois que vous avez les pilotes dont vous avez besoin, nous devons les ajouter à MDT. 1. Ouvrez le Deployment Workbench. 2. Accédez à Deployment Share > Out-of-Box Drivers. 3. Faites un clic droit et sélectionnez Nouveau dossier, nommez le dossier La sortie du fabricant. 4. Cliquez avec le bouton droit de la souris sur le dossier Manufacturer et sélectionnez New Folder. 5. Nommez le dossier en fonction du modèle de périphérique pour lequel nous allons importer des pilotes. 6. Cliquez avec le bouton droit de la souris sur le dossier que vous venez de créer et créez des dossiers pour chaque type de pilote que vous ajouterez, par exemple Graphics, Chipset, Bluetooth. NOTE : Ceci est juste pour la commodité et n'est pas nécessaire pour l'installation des pilotes. 7. Faites un clic droit sur un dossier de type de pilote et sélectionnez Importer des pilotes. 8. Entrez le répertoire source des pilotes pour ce type de pilote. 9. Cochez la case Importer les pilotes même s'ils sont des doublons d'un pilote existant. 10. Cliquez sur Suivant et terminez l'assistant. L'assistant copiera tous les fichiers nécessaires dans le dossier du type de pilote. 11. Répétez les étapes 7-10 pour chaque type de pilote requis. 12. Enfin, répétez les étapes 3 à 11 pour chaque fabricant et modèle requis. Si vous avez de nombreux fabricants et modèles différents, ce processus peut être assez fastidieux. J'ai créé un script PowerShell pour automatiser le processus, il est sur mon GitHub ici. Il nécessite une certaine documentation que je fournirai dans un post séparé. Nous devons maintenant modifier la séquence de tâches de déploiement pour configurer l'emplacement du pilote. 1. Allez dans l'atelier de déploiement et les séquences de tâches, sélectionnez la séquence de tâches Déployer Windows 10. 2. Allez sur l'onglet Séquence de tâches dans la fenêtre Propriétés. 3. Naviguez jusqu'à Preinstall et sélectionnez Enable Bitlocker (Offline), puis allez dans le menu Add, General et sélectionnez Set Task Sequence Variable. 4. Vous devriez avoir une nouvelle variable vide Set Task Sequence Variable sous Enable Bitlocker (Offline). 5. Renommez la variable vide Set Task Sequence Variable en Set DriverGroup. 6. Dans le panneau Propriétés, entrez ce qui suit pour Task Sequence Variable : DriverGroup001. 7. Dans le panneau Propriétés, entrez la valeur suivante : %Make%\\%Model%. 8. Maintenant, descendez et sélectionnez Inject Drivers. 9. Dans le panneau Propriétés, changez la liste déroulante Choose a selection profile (Choisir un profil de sélection) en Nothing (Rien). 10. Sélectionnez l'option Installer tous les pilotes du profil de sélection. 11. Cliquez sur Appliquer pour enregistrer les modifications et sur OK pour fermer la séquence de tâches. La séquence de tâches est maintenant configurée pour installer les pilotes de tout périphérique dont les pilotes se trouvent dans la structure de dossier correcte sous Out-of-Box Drivers. Démarrez le périphérique physique dans l'environnement de déploiement et exécutez la séquence Déployer Windows 10 21h2. Une fois l'opération terminée, vérifiez le Gestionnaire de périphériques et tous les périphériques devraient être installés avec succès. ## Ajout de pilotes à l'image de démarrage de MDT Il peut être nécessaire d'ajouter des pilotes à l'image de démarrage MDT pour des périphériques tels que des cartes de stockage ou de réseau. Pour déterminer si des pilotes sont nécessaires : 1. Démarrez le périphérique en question dans l'environnement de déploiement et appuyez sur F8 pour faire apparaître une invite de commande. 2. Tapez ipconfig et si vous disposez d'une adresse IP, vous ne devriez pas avoir à ajouter de pilotes d'adaptateurs réseau. 3. Tapez diskpart, et lorsque diskpart est chargé, tapez list disk. Si le disque dur local est répertorié, vous ne devriez pas avoir à ajouter de pilotes de stockage. Si vous devez ajouter des pilotes à l'image de démarrage : 1. Dans le Deployment Workbench, accédez à Deployment Share > Out-of-Box Drivers. 2. Cliquez avec le bouton droit de la souris et sélectionnez Nouveau dossier, appelez le dossier WinPE x64. 3. Cliquez avec le bouton droit de la souris sur le dossier WinPE x64 et sélectionnez New Folder. 4. Nommez le dossier d'un nom approprié au fabricant du périphérique pour lequel vous allez ajouter des pilotes, puis créez un autre dossier à l'intérieur pour le modèle du périphérique. 5. Faites un clic droit sur le dossier du modèle que vous venez de créer et créez des dossiers pour chaque type de pilote que vous ajouterez, par exemple Stockage, Réseau. 6. Pour importer les pilotes, faites un clic droit sur un dossier de type de pilote et sélectionnez Importer des pilotes. 7. Entrez le répertoire source des pilotes et cochez la case Importer les pilotes même s'ils sont des doublons d'un pilote existant. 8. Cliquez sur Suivant et terminez l'assistant. L'assistant copiera tous les fichiers nécessaires dans le dossier du type de pilote. 9. Répétez les étapes 6 à 8 pour chaque type de pilote requis. 10. Nous devons maintenant créer un profil de sélection pour WinPE x64. 11. Allez dans Configuration avancée puis Profils de sélection. 12. Cliquez avec le bouton droit de la souris sur Selection Profiles et sélectionnez New Selection Profile. 13. Entrez WinPE x64 comme nom de profil de sélection. 14. Dans la liste des dossiers, naviguez jusqu'à DS001:\\ > Out-of-Box Drivers > WinPE x64 et cochez la case à côté du dossier. 15. Cliquez sur Next > Next > Finish pour terminer l'assistant. 16. Cliquez avec le bouton droit de la souris sur le Deployment Share et sélectionnez Properties. 17. Allez dans l'onglet Windows PE et changez le menu déroulant Plate-forme en x64. 18. Allez dans l'onglet Drivers and Patches et changez le menu déroulant Selection profile en WinPE x64. 19. Assurez-vous que l'option Inclure uniquement les pilotes des types suivants est sélectionnée et que les options Inclure tous les pilotes réseau dans le profil de sélection et Inclure tous les pilotes de stockage de masse dans le profil de sélection sont cochées. 20. Cliquez sur Appliquer pour enregistrer les modifications, puis sur OK pour fermer la fenêtre Propriétés. 21. Cliquez avec le bouton droit de la souris sur le Deployment Share et sélectionnez Update Deployment Share. 22. Sélectionnez Completely regenerate the boot images, puis Next. Les images de démarrage seront régénérées avec les pilotes inclus. 23. Cliquez sur Terminer pour terminer l'assistant. Le support de démarrage MDT devrait maintenant comporter les pilotes de réseau et/ou de stockage requis. Vous disposez maintenant d'une image de référence pour Windows 10 21H2 qui est prête à être déployée. # MDT / WDS avec base de données SQL On peut utiliser une base de données afin de reparamétrer des appareils (rôles, applications, nom d'ordinateur, ou des variables). Dans mon cas, j'utilise une base de données afin de nommer les ordinateurs selon leurs adresses MAC. On peut également utiliser le numéro de série : [](https://docs.khroners.fr/uploads/images/gallery/2022-09/MqKE3w9SyFbT40Fw-image.png) Dans mon cas, j'ai installé SQL Server 2019 Express (gratuite) : [https://go.microsoft.com/fwlink/?linkid=866658](https://go.microsoft.com/fwlink/?linkid=866658) Dans le gestionnaire de configuration SQL, on active les canaux nommés. [](https://docs.khroners.fr/uploads/images/gallery/2022-09/o9rTYXl4vDELIvAB-image.png) On active également SQL Server Browser et on le place en automatique. [](https://docs.khroners.fr/uploads/images/gallery/2022-09/f0RaPq5R9WV5DRAm-image.png) Dans MDT, on ajoute la base de données : [](https://docs.khroners.fr/uploads/images/gallery/2022-09/HJyzkNTtWhFhJQgN-image.png) On spécifie ces options : [](https://docs.khroners.fr/uploads/images/gallery/2022-09/vgh40pVY3u5bALMB-image.png) On clique droit sur "Database" et "Configure Database Rules". On ne coche seulement la première case (dans mon besoin). Cela rajoute automatiquement des informations dans le customsettings.ini. On installe ensuite "Microsoft SQL Server Management Studio". On créer un compte : [](https://docs.khroners.fr/uploads/images/gallery/2022-09/y3Ay92ccOl92jS7N-image.png) On le nomme sql\_mdt, un mot de passe et on choisit "MDT" comme base de données par défaut. [](https://docs.khroners.fr/uploads/images/gallery/2022-09/iLsyFGlkJMtO1hNE-image.png) Dans "User Mapping", on coche MDT. [](https://docs.khroners.fr/uploads/images/gallery/2022-09/vG1EZq6eQ6t2d8ZQ-image.png) Exemple de customsettings.ini : ```INI [Settings] Priority=DefaultGateway, TaskSequenceID, Default, MAKE, CSettings Properties=TargetGroup [Default] OSInstall=Y ;Computer Details SkipComputerName=YES SkipDomainMembership=YES JoinDomain=ad.khroners.fr DomainAdmin=mdt_admin DomainAdminDomain=ad.khroners.fr DomainAdminPassword=S€CUR3DP4ssw0rD1234 ;Skip Task Sequence SkipTaskSequence=NO ;TaskSequenceID=W10PRO-21H2-X64 ;Drivers DriverGroup001=WinPE x64\%Make% ;WSUS TargetGroup=MDT ;User Data SkipUserData=YES ;Computer Backup SkipComputerBackup=YES ;Product Key SkipProductKey=YES ;Language Packs SkipPackageDisplay=YES ;Locale and Time SkipLocaleSelection=YES SkipTimeZone=YES KeyboardLocale=040c:0000040c KeyboardLocalePE=040c:0000040c UserLocale=fr-FR UILanguage=fr-FR TimeZoneName=Romance Standard Time ;Roles and Features SkipRoles=YES ;Applications SkipApplications=YES ;Administrator Password SkipAdminPassword=YES AdminPassword=local-admin-password ;Local Administrators SkipAdminAccounts=YES ;Capture Image SkipCapture=YES ;Bitlocker SkipBitLocker=YES ;Ready to begin SkipSummary=YES ;Operating system deployment completed successfully SkipFinalSummary=YES FinishAction=REBOOT WSUSServer=http://RN-SRV-WS-AAD01.ad.khroners.fr:8530 [DefaultGateway] 10.29.0.254=Brest 10.35.100.254=Rennes [Brest] SLShare=\\BR-SRV-WDS01.ad.khroners.fr\DeploymentShare$\Logs EventService=http://BR-SRV-WDS01:9800 [Rennes] SLShare=\\RN-SRV-WDS01.ad.khroners.fr\DeploymentShare$\Logs EventService=http://RN-SRV-WDS01:9800 [W10-21H2-ADM-35] MachineObjectOU=OU=Administratifs,OU=Workstations,OU=RENNES,OU=Sites,DC=ad,DC=khroners,DC=fr [W10-21H2-FOR-35] MachineObjectOU=OU=Formateurs,OU=Workstations,OU=RENNES,OU=Sites,DC=ad,DC=khroners,DC=fr [CSettings] SQLServer=RN-SRV-WDS01.ad.khroners.fr Instance=SQLEXPRESS Database=MDT Netlib=DBMSSOCN DBID=sql_mdt DBPWD=S€CUR3DSqLP4ssw0rD1234 Table=ComputerSettings Parameters=UUID, AssetTag, SerialNumber, MacAddress ParameterCondition=OR ``` # Modifier le registre d'une image Windows Je modifie le registre de l'ISO de Windows afin d'empêcher la recherche automatique de pilotes via Windows Update. Pour se faire, il faut avoir extrait le wim de l'édition que l'on souhaite (ou spécifier l'index, mais ne déployant qu'un type d'OS (la version pro), j'en ai qu'un). ```powershell dism /mount-wim /wimfile:C:\Users\Administrateur.AD\Desktop\install.wim /mountdir:C:\AIKMount /index:1 reg load HKEY_LOCAL_MACHINE\MountedHive C:\AIKMount\Windows\System32\config\SOFTWARE reg add HKEY_LOCAL_MACHINE\MountedHive\Microsoft\Windows\CurrentVersion\DriverSearching /v SearchOrderConfig /t REG_DWORD /d 0 /f reg add HKEY_LOCAL_MACHINE\MountedHive\Policies\Microsoft\Windows\WindowsUpdate /v ExcludeWUDriversInQualityUpdate /t REG_DWORD /d 00000001 /f reg unload HKEY_LOCAL_MACHINE\MountedHive Dism /Unmount-image /MountDir:C:\AIKMount /commit ``` La première commande monte l'image dans un répertoire, la suivante monte le registre de cette image. Les deux suivantes modifient le registre, l'autre décharge le registre et la dernière démonte l'image en appliquant les modifications. # Exemple : MDT avec SQL Dans mon lab, j'ai déployé un MDT avec DFS pour les applications. Voici l'exemple complet : ## Fichier customsettings.ini ```ini [Settings] Priority=DefaultGateway, TaskSequenceID, Default, MAKE, CSettings Properties=TargetGroup [Default] OSInstall=Y ;Computer Details SkipComputerName=YES SkipDomainMembership=YES JoinDomain=ad.khroners.fr DomainAdmin=mdt_admin DomainAdminDomain=ad.khroners.fr DomainAdminPassword=Motdepasse ;Skip Task Sequence SkipTaskSequence=NO ;TaskSequenceID=W10PRO-21H2-X64 ;Drivers DriverGroup001=WinPE x64\%Make% ;WSUS TargetGroup=MDT ;User Data SkipUserData=YES ;Computer Backup SkipComputerBackup=YES ;Product Key SkipProductKey=YES ;Language Packs SkipPackageDisplay=YES ;Locale and Time SkipLocaleSelection=YES SkipTimeZone=YES KeyboardLocale=040c:0000040c KeyboardLocalePE=040c:0000040c UserLocale=fr-FR UILanguage=fr-FR TimeZoneName=Romance Standard Time ;Roles and Features SkipRoles=YES ;Applications SkipApplications=YES ;Administrator Password SkipAdminPassword=YES AdminPassword=local-admin-password ;Local Administrators SkipAdminAccounts=YES ;Capture Image SkipCapture=YES ;Bitlocker SkipBitLocker=YES ;Ready to begin SkipSummary=YES ;Operating system deployment completed successfully SkipFinalSummary=YES FinishAction=REBOOT WSUSServer=http://RN-SRV-WS-AAD01.ad.khroners.fr:8530 EventService=http://RN-SRV-WDS01:9800 [DefaultGateway] 10.29.0.254=Brest 10.35.100.254=Rennes [Brest] SLShare=\\BR-SRV-WDS01.ad.khroners.fr\DeploymentShare$\Logs EventService=http://BR-SRV-WDS01:9800 [Rennes] SLShare=\\RN-SRV-WDS01.ad.khroners.fr\DeploymentShare$\Logs EventService=http://RN-SRV-WDS01:9800 [W10-22H2-ADM-35] MachineObjectOU=OU=Administratifs,OU=Workstations,OU=RENNES,OU=Sites,DC=ad,DC=khroners,DC=fr [W10-22H2-FOR-35] MachineObjectOU=OU=Formateurs,OU=Workstations,OU=RENNES,OU=Sites,DC=ad,DC=khroners,DC=fr [CSettings] SQLServer=RN-SRV-WDS01.ad.khroners.fr Instance=SQLEXPRESS Database=MDT Netlib=DBMSSOCN DBID=sql_mdt DBPWD=Motdepasse Table=ComputerSettings Parameters=UUID, AssetTag, SerialNumber, MacAddress ParameterCondition=OR ``` ## Fichier bootstrap.ini ```ini [Settings] Priority=DefaultGateway, Default [DefaultGateway] 10.29.0.254=Brest 10.35.100.254=Rennes [Brest] DeployRoot=\\BR-SRV-WDS01\DeploymentShare$ [Rennes] DeployRoot=\\RN-SRV-WDS01\DeploymentShare$ [Default] UserDomain=AD UserID=mdt_admin UserPassword=Motdepasse SkipBDDWelcome=YES ``` ## Scripts ### DeployWiz\_SelectTS.vbs J'ai modifié ce script pour utiliser la property "TaskSequenceID" dans le customsettings.ini. ```vb.net ' // *************************************************************************** ' // ' // Copyright (c) Microsoft Corporation. All rights reserved. ' // ' // Microsoft Deployment Toolkit Solution Accelerator ' // ' // File: DeployWiz_Initialization.vbs ' // ' // Version: 6.3.8456.1000 ' // ' // Purpose: Main Client Deployment Wizard Initialization routines ' // ' // *************************************************************************** Option Explicit ''''''''''''''''''''''''''''''''''''' ' Image List ' Dim g_AllOperatingSystems Function AllOperatingSystems Dim oOSes If isempty(g_AllOperatingSystems) then set oOSes = new ConfigFile oOSes.sFileType = "OperatingSystems" oOSes.bMustSucceed = false set g_AllOperatingSystems = oOSes.FindAllItems End if set AllOperatingSystems = g_AllOperatingSystems End function Function InitializeTSList Dim oItem, sXPathOld If oEnvironment.Item("TaskSequenceID") <> "" and oProperties("TSGuid") = "" then sXPathOld = oTaskSequences.xPathFilter for each oItem in oTaskSequences.oControlFile.SelectNodes( "/*/*[ID = '" & oEnvironment.Item("TaskSequenceID")&"']") oLogging.CreateEntry "TSGuid changed via TaskSequenceID = " & oEnvironment.Item("TaskSequenceID"), LogTypeInfo oEnvironment.Item("TSGuid") = oItem.Attributes.getNamedItem("guid").value exit for next oTaskSequences.xPathFilter = sXPathOld End if TSListBox.InnerHTML = oTaskSequences.GetHTMLEx ( "Radio", "TSGuid" ) PopulateElements TSItemChange End function Function TSItemChange Dim oInput ButtonNext.Disabled = TRUE for each oInput in document.getElementsByName("TSGuid") If oInput.Checked then oLogging.CreateEntry "Found CHecked Item: " & oInput.Value, LogTypeVerbose ButtonNext.Disabled = FALSE exit function End if next End function ''''''''''''''''''''''''''''''''''''' ' Validate task sequence List ' Function ValidateTSList Dim oTS Dim sCmd 'ajoute Dim oItem Set oShell = createObject("Wscript.shell") ' set oTS = new ConfigFile oTS.sFileType = "TaskSequences" SaveAllDataElements If Property("TSGuid") = "" then oLogging.CreateEntry "No valid TSGuid found in the environment.", LogTypeWarning ValidateTSList = false End if oLogging.CreateEntry "TSGuid Found: " & Property("TSGuid"), LogTypeVerbose If oTS.FindAllItems.Exists(Property("TSGuid")) then oEnvironment.Item("TaskSequenceID") = oUtility.SelectSingleNodeString(oTS.FindAllItems.Item(Property("TSGuid")),"./ID") End if ' Set the related properties oUtility.SetTaskSequenceProperties oEnvironment.Item("TaskSequenceID") If oEnvironment.Item("OSGUID") <> "" and oEnvironment.Item("ImageProcessor") = "" then ' There was an OSGUID defined within the TS.xml file, however the GUID was not found ' within the OperatingSystems.xml file. Which is a dependency error. Block the wizard. ValidateTSList = False ButtonNext.Disabled = True Bad_OSGUID.style.display = "inline" Else ValidateTSList = True ButtonNext.Disabled = False Bad_OSGUID.style.display = "none" End if ' ajoute sCmd = "wscript.exe """ & oUtility.ScriptDir & "\ZTIGather.wsf""" oItem = oShell.Run(sCmd, , true) ' End Function ``` ### ZTIWindowsUpdate.wsf J'ai modifié ce script pour ajouter la property "TargetGroup" pour cibler les PC lors du déploiement pour WSUS.Il faut donc ajouter un groupe de PC dans WSUS.
```vbscriptSi le répertoire où est placé le setup est sur un partage DFS (ou simplement en dehors du DeploymentShare (à vérifier)), il faut qu'une des applications du bundle comprenne le partage dans le champ "Working Directory".
#### EXE `\\ad.khroners.fr\SI$\GPO\Bitwarden\Bitwarden-Installer-2022.10.1.exe /S /ALLUSERS` # Erreur "Verify BCDBootEx" avec MDT Si vous obtenez l'erreur "Verify BCDBootEx", il faut modifier le fichier LTIApply.wsf dans le dossier scripts du DeploymentShare. On remplace : ```vbscript TestAndFail RunBCDBootEx (sDestinationDrive & "\Windows", "/s" & gauche (oBootDrive. Drive, 2) & "/f UEFI"), 5616, "Verify BCDBootEx" ``` par : ```vbscript TestAndFail RunBCDBootEx( sDestinationDrive & "\windows", " "), 5616,"Verify BCDBootEx" ``` # Windows Admin Center # Installation de Windows Admin Center Windows Admin Center va générer un certificat auto-signé qui va expirer 60 jours après l'installation. J'utilise donc un certificat Let's Encrypt converti en .ptx. On télécharge la dernière version qui est sous le format .msi. On lance le setup. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/tzVYvZ7iMKA9PBPX-image-1611602948260.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/v3dq9N9SA1fJa3Wo-image-1611603083763.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/ObFXjnCAXE963veD-image-1611603101064.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/a7vZuIsJyYa1c5s7-image-1611603142303.png) On fournit l'empreinte et on redirige le trafic. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/pavD1JvUoZQMO1Lx-image-1611603207252.png) On ouvre alors le certificat .ptx. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/KY5kH3Jfcr7Q4U9e-image-1611603225560.png) On choisit Ordinateur local. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/xp28WLLQwpOHT54J-image-1611603319944.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/pIRgIPxZKMhE7Ckm-image-1611603350195.png) On rentre le mot de passe pour la clé privée. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/N1jGmo2ePmUDOANa-image-1611603373193.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/shVdlI7wSWU5owqg-image-1611603442845.png) Dans le gestionnaire de certificats, on récupère l'empreinte : [](https://docs.khroners.fr/uploads/images/gallery/2021-01/sJMLOdDadBdNpiN7-image-1611603584515.png) Une fois admin-center installé, on s'y rend et on se connecte via DOMAINE\\ADMIN\_DU\_DOMAINE [](https://docs.khroners.fr/uploads/images/gallery/2021-01/58R9Mczi0HWbtbbv-image-1611604235561.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/z9rjYM3eFy3E6Lwp-image-1611604167622.png) # Convertir un certificat letsencrypt en .pfx (admin center) ```shell openssl pkcs12 -export -out /etc/letsencrypt/live/home.khroners.fr/cert.pfx -inkey /etc/letsencrypt/live/home.khroners.fr/privkey.pem -in /etc/letsencrypt/live/home.khroners.fr/cert.pem ``` # Ajouter des serveurs dans Admin Center On clique sur Ajouter. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/BLlRHXURvAXZbkjj-image-1611604457477.png) On ajoute un serveur. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/nyBrUcqSDlNt81mr-image-1611604480508.png) On recherche dans Active Directory. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/jFgENJyFqvPZYDkT-image-1611604817220.png) [](https://docs.khroners.fr/uploads/images/gallery/2021-01/ENFaoq2Tty6h51Cs-image-1611605153660.png) On clique sur un serveur puis on se connecte. [](https://docs.khroners.fr/uploads/images/gallery/2021-01/det9VAQ5HENNn8wq-image-1611606428574.png) # Résoudre le problème de pare-feu qui se met en Public par défaut Le problème vient du fait que le service NLA (découverte du réseau) se lance avant le service NETLOGON. Pour cela, on va créer une dépendance. Dans l'éditeur de registre (regedit) : HKEY\_LOCAL\_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\NlaSvc On double clique sur "**DependOnService**" et on rajoute "NetLogon". [](https://docs.khroners.fr/uploads/images/gallery/2022-01/kueEfeLX9Mn73rl6-image-1641590789128.png) # Réplication multidirectionnelle avec DFS La réplication multidirectionnelle via DFS permet de répliquer des dossiers entre différents serveurs. Cela est utile pour avoir les fichiers disponibles localement sur chaque site. Cela peut également servir pour respecter la règle du 3-2-1. Sur chaque serveur, on installe le rôle. ```Powershell Install-WindowsFeature "FS-DFS-Replication", "RSAT-DFS-Mgmt-Con" ``` On peut le faire via le GUI si l'on souhaite. Le rôle a le nom de "Réplication DFS". On ouvre ensuite la console "Gestion du système de fichiers distribués DFS". Sous "Réplication", on clique sur "Nouveau groupe de réplication...". On choisit "Groupe de réplication multi-usage". [](https://docs.khroners.fr/uploads/images/gallery/2022-07/y16GBVhnX6riRi5Q-image-1657830888909.png) On entre un nom, une description. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/8UYCvRDLBZnDqzt0-image-1657830907238.png) On ajoute ensuite les serveurs membres. Dans mon cas, "RN-SRV-WS-AAD01". On y ajoute également le serveur sur lequel nous sommes. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/Co1pgGUqCL4khCKb-image-1657831087737.png) On choisit maille pleine. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/8xuVJqfXQt3mMVsX-image-1657831100988.png) On choisit la bande passante (attention aux liaisons VPN bas débit) ou une planification. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/rgWqaf5k3BZOwlCk-image-1657831136397.png) On sélecte le membre principal, dans mon cas "RN-SRV-WDS01". Il sera la source initiale. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/JwFcSL6KigsM2lxl-image-1657831161927.png) On spécifie le chemin et les autorisations. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/yf3riS85SE9YzjN7-image-1657831200756.png) On doit ensuite spécifier le chemin local pour chaque serveur. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/c5hhFS11TM89ahzx-image-1657831264258.png) # Espace de noms On installe via le GUI le rôle "**Réplication DFS"** ou via Powershell. ```Powershell Install-WindowsFeature "FS-DFS-Namespace" ``` Dans la console DFS, on ajoute un espace de nom. On renseigne le serveur. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/HRqlGrQKYkOfkUSg-image-1657832104746.png) On rentre le nom. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/NBBoo28DeLpNzM9t-image-1657832927610.png) On clique sur suivant. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/GEj77am6IM6VvSGD-image-1657832950319.png) On clique sur "Créer". On clique droit sur notre espace de noms puis "Nouveau dossier". On spécifie un nom et le chemin. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/iWDAIU5gieJ1plY2-image-1657833024800.png) On peut également se rendre dans "Réplication" et cliquer droit sur un dossier répliqué pour le publier. [](https://docs.khroners.fr/uploads/images/gallery/2022-07/1Pdn7uQ6DoUzLUWK-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2022-07/GEJ350rU5jy695Pe-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2022-07/gqqZNEIjdkkt3cJK-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2022-07/DCKUquW4wigmL64c-image.png) Ce qui donne : [](https://docs.khroners.fr/uploads/images/gallery/2022-07/qEDgyOpTqNRKoc5J-image.png) Il faut ensuite modifier les autorisations du partage (sauf si vous les avez défini au préalable). [](https://docs.khroners.fr/uploads/images/gallery/2022-07/jvVw5s7R4aNnqF8N-image.png) # AD CS : Autorité de certificat sous Windows en vue de l'authentification EAP-TLS # Installation de l'autorité de certification racine Je m'inspire de cette documentation, très complète : [Offline Root CA Setup | docs.mjcb.io](https://docs.mjcb.io/microsoft/windows-server/windows-server-roles-features/adcs/adcs-windows-server-2022/adcs-windows-server-2022-part-2/) Un livre papier/kindle existe, je le recommande très fortement.Cette documentation est en cours de rédaction.
J'utilise ici les bonnes pratiques de Microsoft qui consiste à mettre en place 2 serveurs : - Un serveur Windows Server 2022 qui aura le rôle d'autorité de certification racine, qui sera par la suite éteint, - Un deuxième serveur Windows Server 2022 qui aura le rôle d'autorité de certification intermédiaire, en ligne en permanence, qui délivrera les certificats clients. On commence par mettre en place l'autorité de certification racine, qui sera par la suite offline. A la racine du C:, on ajoute un fichier CAPolicy.inf : ```ini [Version] Signature = "$Windows NT$" [PolicyStatementExtension] Policies = AllIssuancePolicy,InternalPolicy Critical = FALSE ; AllIssuancePolicy is set to the OID of 2.5.29.32.0 to ensure all certificate templates are available. [AllIssuancePolicy] OID = 2.5.29.32.0 [InternalPolicy] OID = 1.2.3.4.1455.67.89.5 Notice = "The Khroners Labs Certification Authority is an internal resource. Certificates that are issued by this Certificate Authority are for internal usage only." URL = http://pki.ad.khroners.fr/cps.html [Certsrv_Server] ; Renewal information for the Root CA. RenewalKeyLength = 4096 RenewalValidityPeriod = Years RenewalValidityPeriodUnits = 10 ; Disable support for issuing certificates with the RSASSA-PSS algorithm. AlternateSignatureAlgorithm = 0 ; The CRL publication period is the lifetime of the Root CA. CRLPeriod = Years CRLPeriodUnits = 10 ; The option for Delta CRL is disabled since this is a Root CA. CRLDeltaPeriod = Days CRLDeltaPeriodUnits = 0 ``` [](https://docs.khroners.fr/uploads/images/gallery/2023-09/1Bg1gwq28oDZF52C-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-09/8JTFczsGlTn2ecbe-image.png) On configure le rôle : [](https://docs.khroners.fr/uploads/images/gallery/2023-09/Gf0pBhMQphF44n49-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-09/tMHeICHCIomUs9JW-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-09/MKpb8LEzEslFQzFE-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-09/4UEddjodOivDqXhw-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-09/QczTJKq6buL8KZcW-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-09/KatyLmsPb1PDqbtZ-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-09/unDbUef7xiU5OPAH-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-09/vQSRejmDjOTM2iE1-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-09/acfj9JEQTXtgx4gu-image.png) ```bash certutil.exe -setreg CA\DSConfigDN "CN=Configuration,DC=ad,DC=khroners,DC=fr" certutil.exe -setreg CA\ValidityPeriodUnits 5 certutil.exe -setreg CA\ValidityPeriod "Years" certutil.exe -setreg CA\CRLPeriodUnits 52 certutil.exe -setreg CA\CRLPeriod "Weeks" certutil.exe -setreg CA\CRLOverlapPeriodUnits 12 certutil.exe -setreg CA\CRLOverlapPeriod "Hours" net stop CertSvc net start CertSvc ``` [Offline Root CA Setup | docs.mjcb.io](https://docs.mjcb.io/microsoft/windows-server/windows-server-roles-features/adcs/adcs-windows-server-2022/adcs-windows-server-2022-part-2/) # Configuration Radius NPS pour l'authentification 802.1x via EAP-TLS Cette documentation détaille la configuration du rôle NPS (Network Policy Server) sous Windows Server 2022 afin d'authentifier les utilisateurs ou ordinateurs au réseau Wifi. On peut également l'adapter pour la connexion filaire (non détaillée ici). Parmi les méthodes d'authentification, le PEAP-TLS est la méthode la plus sécurisée, mais rarement supportée. De plus, elle chiffre la communication de la clé publique, qui n'a pas trop de sens. [](https://docs.khroners.fr/uploads/images/gallery/2023-10/88B2fNHkYQCazWxz-image.png) Vous trouverez plus d'informations ici : [Protocole EAP (Extensible Authentication Protocol) pour l’accès réseau dans Windows | Microsoft Learn](https://learn.microsoft.com/fr-fr/windows-server/networking/technologies/extensible-authentication-protocol/network-access?tabs=eap-tls%2Cserveruserprompt-peap%2Ceap-sim#authentication-method-configuration-settings) Après l'installation du rôle NPS, on définit la stratégie réseau comme ceci : [](https://docs.khroners.fr/uploads/images/gallery/2023-10/Q7gFxbWaEv9641MG-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-10/iyvaW913LjTzhp8o-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-10/Xrz53PKkR6QlOWje-image.png) Le "TLS" de "EAP-TLS" correspond à "Microsoft: Smart Card or other certificate". [](https://docs.khroners.fr/uploads/images/gallery/2023-10/dqZlSjZP1jSQGaPx-image.png) On clique sur "Microsoft: Smart Card or other certificate" et "Modifier..." : [](https://docs.khroners.fr/uploads/images/gallery/2023-10/QB6P87GRaXV8PhNO-image.png) Cela correspond au PEAP-TLS (ou également dit PEAP-EAP-TLS). [](https://docs.khroners.fr/uploads/images/gallery/2023-10/pNzOyhaBQURwkDD4-image.png) Dans mon cas, j'ai du ajouter l'attribut "Framed-MTU" avec une valeur de 1344, car j'ai l'erreur suivante : > Authentication failed due to an EAP session timeout; the EAP session with the access client was incomplete.Vous pouvez observer les logs dans l'observateur d'évènements, sous "Affichages Personnalisés" > "Rôles de serveurs" > Services de stratégie et d'accès réseau".
[](https://docs.khroners.fr/uploads/images/gallery/2023-10/3Bb8gDhFXeNsWMPn-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-10/Jhx66XQuu4HvbLVP-image.png) On ajoute également le(s) client(s) RADIUS en définissant un secret partagé. Dans les bornes wifi, on choisit WPA2 Entreprise (ou WPA3 Entreprise si supporté), en renseignant l'adresse IP du serveur NPS et le secret partagé. # Déploiement du wifi 802.1x PEAP-TLS par GPO On peut connecter les ordinateurs aux réseaux Wifi par GPO automatiquement. On crée et lie une GPO à une OU Ordinateurs puis on la modifie. Sous "Configuration ordinateurs" > "Stratégies" > "Paramètres Windows" > "Paramètres de sécurité" > "Stratégies de réseau sans fil (IEEE 802.11)", on y crée une stratégie. On ajoute nos réseaux wifi : [](https://docs.khroners.fr/uploads/images/gallery/2023-10/1fnetH2JveQxEqRb-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-10/scDQcexoY45LP4N8-image.png) On choisit "Microsoft: PEAP (Protected EAP)" puis dans ses propriétés "Carte à puce ou autre certificat". [](https://docs.khroners.fr/uploads/images/gallery/2023-10/JLVayy540sBipDaz-image.png) [](https://docs.khroners.fr/uploads/images/gallery/2023-10/5UmgfrMBMF7gEYeV-image.png) # Audit et sécurisation (hardening) d'AD CS Il est important que notre PKI soit sécurisée. Il existe différents outils permettant de l'auditer : [Certipy](https://github.com/ly4k/Certipy), [Exegol](https://github.com/ThePorgs/Exegol), [PSPKIAudit](https://github.com/GhostPack/PSPKIAudit) ou encore [Locksmith](https://github.com/TrimarcJake/Locksmith). Exemple de Certify et Certipy : ``` C:\>certify find /vulnerable _____ _ _ __ / ____| | | (_)/ _| | | ___ _ __| |_ _| |_ _ _ | | / _ \ '__| __| | _| | | | | |___| __/ | | |_| | | | |_| | \_____\___|_| \__|_|_| \__, | __/ | |___./ v1.0.0 [*] Action: Find certificate templates [*] Using the search base 'CN=Configuration,DC=ad,DC=khroners,DC=fr' [*] Listing info about the Enterprise CA 'Khroners Labs Enterprise CA' Enterprise CA Name : Khroners Labs Enterprise CA DNS Hostname : SRV-CA35-01.ad.khroners.fr FullName : SRV-CA35-01.ad.khroners.fr\Khroners Labs Enterprise CA Flags : SUPPORTS_NT_AUTHENTICATION, CA_SERVERTYPE_ADVANCED Cert SubjectName : CN=Khroners Labs Enterprise CA, DC=ad, DC=khroners, DC=fr Cert Thumbprint : 8FD1AEAF57EE974EB726D884775133B4D4C9D270 Cert Serial : 1500000004A03185E3D30CA7C3000000000004 Cert Start Date : 02/10/2023 08:09:54 Cert End Date : 02/10/2028 08:19:54 Cert Chain : CN=KhronersLabsCertificateAuthority -> CN=KhronersLabsEnterpriseCA,DC=ad,DC=khroners,DC=fr UserSpecifiedSAN : Disabled CA Permissions : Owner: BUILTIN\Administrateurs S-1-5-32-544 Access Rights Principal Allow Enroll AUTORITE NT\Utilisateurs authentifiésS-1-5-11 Allow ManageCA, ManageCertificates BUILTIN\Administrateurs S-1-5-32-544 Allow ManageCA, ManageCertificates AD\Admins du domaine S-1-5-21-1812995439-3560927909-1751902240-512 Allow ManageCA, ManageCertificates AD\Administrateurs de l'entrepriseS-1-5-21-1812995439-3560927909-1751902240-519 Enrollment Agent Restrictions : None [+] No Vulnerable Certificates Templates found! Certify completed in 00:00:00.5455163 ``` ```bash certipy find -u gilles.besson@ad.khroners.fr -password Password -scheme ldap Certipy v4.8.2 - by Oliver Lyak (ly4k) [*] Finding certificate templates [*] Found 36 certificate templates [*] Finding certificate authorities [*] Found 1 certificate authority [*] Found 14 enabled certificate templates [*] Trying to get CA configuration for 'Khroners Labs Enterprise CA' via CSRA [!] Got error while trying to get CA configuration for 'Khroners Labs Enterprise CA' via CSRA: CASessionError: code: 0x80070005 - E_ACCESSDENIED - General access denied error. [*] Trying to get CA configuration for 'Khroners Labs Enterprise CA' via RRP [!] Failed to connect to remote registry. Service should be starting now. Trying again... [*] Got CA configuration for 'Khroners Labs Enterprise CA' [*] Saved BloodHound data to '20231007001536_Certipy.zip'. Drag and drop the file into the BloodHound GUI from @ly4k [*] Saved text output to '20231007001536_Certipy.txt' [*] Saved JSON output to '20231007001536_Certipy.json' ``` 3 fichiers sont ensuite générés. On peut analyser nous même le txt ou importer dans BloodHound GUI le .zip. # MDT / WDS via PowerShell : PSD avec support du P2P # Prérequis - **Windows ADK** - Télécharger et installer la dernière version de Windows ADK. - La plus récente : [https://learn.microsoft.com/en-us/windows-hardware/get-started/adk-install](https://learn.microsoft.com/en-us/windows-hardware/get-started/adk-install) - Les anciennes : [https://learn.microsoft.com/en-us/windows-hardware/get-started/adk-install#other-adk-downloads](https://learn.microsoft.com/en-us/windows-hardware/get-started/adk-install#other-adk-downloads) - **MDT** - Télécharger et installer MDT avec le patch. - MDT 64 bits : [https://www.microsoft.com/en-us/download/details.aspx?id=54259](https://www.microsoft.com/en-us/download/details.aspx?id=54259) - Patch 8456 : [https://support.microsoft.com/en-us/topic/windows-10-deployments-fail-with-microsoft-deployment-toolkit-on-computers-with-bios-type-firmware-70557b0b-6be3-81d2-556f-b313e29e2cb7](https://support.microsoft.com/en-us/topic/windows-10-deployments-fail-with-microsoft-deployment-toolkit-on-computers-with-bios-type-firmware-70557b0b-6be3-81d2-556f-b313e29e2cb7) ## Notes Enable-BCDistributed Publish-BCWebContent -Path C:\PSD -Recurse [https://stifler.docs.2pintsoftware.com/introduction/technical-overview/2pint-branchcache-administrator-guide](https://stifler.docs.2pintsoftware.com/introduction/technical-overview/2pint-branchcache-administrator-guide) [https://techcommunity.microsoft.com/blog/iis-support-blog/setting-up-kerberos-authentication-for-a-website-in-iis/347882](https://techcommunity.microsoft.com/blog/iis-support-blog/setting-up-kerberos-authentication-for-a-website-in-iis/347882) [https://www.deploymentresearch.com/configuring-the-branchcache-publication-hash-cache/](https://www.deploymentresearch.com/configuring-the-branchcache-publication-hash-cache/) [https://osd.docs.2pintsoftware.com/operations/deploying-computers-with-branchcache](https://osd.docs.2pintsoftware.com/operations/deploying-computers-with-branchcache) [https://github.com/2pintsoftware/BranchCache/blob/master/CacheInjection/InjectBCData.ps1](https://github.com/2pintsoftware/BranchCache/blob/master/CacheInjection/InjectBCData.ps1) pare-feu port 1337?