====== Windows Admin Center, WinRM et administration distante ======

**Formation :** BTS SIO — Option SISR

{{ :wiki:logo.png?120 |Logo PLC-SIO}}

===== 1. Rôle et fonctionnement =====

Windows Admin Center (WAC) est une interface Web d'administration de Windows. Le navigateur rejoint une passerelle HTTPS ; cette passerelle dialogue avec les serveurs administrés, notamment via PowerShell et WinRM. L'accès au portail et les droits sur une machine cible sont deux contrôles différents.

Dans cet exemple, le port HTTPS retenu pour WAC est **10443**. Ce choix de maquette ne constitue pas une valeur universelle. WinRM utilise habituellement TCP 5985 en HTTP ou 5986 en HTTPS selon le listener configuré.

===== 2. Mise en œuvre =====

  - Préparer une VM Windows à jour avec un nom résolu par DNS.
  - Installer WAC à partir de la distribution Microsoft.
  - Définir le port HTTPS, le certificat et le mode d'authentification.
  - Autoriser uniquement les flux nécessaires depuis le réseau d'administration.
  - Ajouter les serveurs cibles et tester avec un compte aux droits adaptés.

Le certificat doit correspondre au nom utilisé dans l'URL. Un certificat auto-signé convient à une maquette contrôlée ; une autorité de confiance facilite l'exploitation. Voir [[:cyber:tls|TLS et certificats]].

===== 3. Vérification =====

<code powershell>
Test-NetConnection -ComputerName SERVEURWAC0 -Port 10443
Get-Service WinRM
winrm enumerate winrm/config/listener
Test-WSMan -ComputerName SERVEURWAC0
</code>

La dernière commande teste WinRM HTTP par défaut ; ajouter ''-UseSSL'' pour un listener HTTPS. Elle ne teste pas directement le portail WAC.

===== 4. Dépannage =====

^ Symptôme ^ Contrôle ^
| Portail inaccessible | Service WAC, DNS, port choisi et pare-feu |
| Erreur de certificat | Nom, validité et chaîne de confiance |
| Portail accessible, cible inaccessible | WinRM, droits et résolution de la cible |
| Groupe de travail | Identifiants locaux et configuration d'authentification |

Limiter ''TrustedHosts'' aux machines nécessaires si ce mécanisme est utilisé ; il n'accorde pas de droits sur la cible. WAC ne constitue pas automatiquement une relève haute disponibilité du bastion.


===== 5. Exemple de configuration de la passerelle =====

^ Paramètre ^ Choix du laboratoire ^
| Serveur | SERVEURWAC0, 192.168.3.5/25 |
| Passerelle réseau | 192.168.3.126 |
| Nom du portail | wac0.local.californie.cub.sioplc.fr |
| Port HTTPS | 10443 |
| Authentification du portail | Formulaire HTML |
| Certificat | Auto-signé pour les essais |

Le certificat doit être vérifié pour le nom d'accès choisi. Un accès direct par IP peut provoquer une erreur de correspondance de nom, indépendamment de la confiance accordée au certificat.

{{:administration:windows:wac:wac-acces-reseau.png?800|Choix de l’accès distant à la passerelle.}}

//Choix de l’accès distant à la passerelle.//

{{:administration:windows:wac:wac-authentification.png?800|Mode de connexion retenu pour le portail.}}

//Mode de connexion retenu pour le portail.//

{{:administration:windows:wac:wac-port.png?800|Port HTTPS configuré à 10443.}}

//Port HTTPS configuré à 10443.//

{{:administration:windows:wac:wac-certificat-tls.png?800|Certificat de test proposé par l’installeur.}}

//Certificat de test proposé par l’installeur.//

{{:administration:windows:wac:wac-fqdn.png?800|Nom complet défini pour la passerelle.}}

//Nom complet défini pour la passerelle.//


===== 6. WinRM et hôtes approuvés =====

Le laboratoire utilisait WinRM sur HTTP et une liste d'hôtes approuvés large. Ce choix observé ne constitue pas une configuration de référence à reproduire sans restriction : limiter les hôtes autorisés au besoin réel.

HTTP ne signifie pas systématiquement que les messages WinRM circulent sans chiffrement : Kerberos ou NTLM peuvent négocier une protection au niveau des messages. HTTPS apporte la protection TLS du transport. Le mécanisme d'authentification et le listener doivent être examinés ensemble.

[[https://learn.microsoft.com/en-us/powershell/scripting/security/remoting/winrm-security|Microsoft — sécurité de WinRM]]

===== 7. Démarrage et ajout de serveurs =====

<code powershell>
Get-Service *AdminCenter*,*ServerManagement*
Start-Service WindowsAdminCenter
Get-Service *AdminCenter*,*ServerManagement*
</code>

Dans l'installation documentée, les services sont initialement arrêtés, puis leur démarrage est contrôlé. Adapter le nom du service à la version installée.

{{:administration:windows:wac:wac-services.png?800|Contrôle des services Windows Admin Center.}}

//Contrôle des services Windows Admin Center.//

{{:administration:windows:wac:wac-serveurs-ajoutes.png?800|Passerelle et quatre serveurs enregistrés dans WAC.}}

//Passerelle et quatre serveurs enregistrés dans WAC.//

L'apparition d'un serveur dans cette liste ne prouve pas que tous ses rôles sont installés ou opérationnels.

===== 8. Créer un compte d'accès =====

<code powershell>
$MotDePasse = Read-Host "Mot de passe" -AsSecureString
New-LocalUser -Name "administrateurWAC0" -Password $MotDePasse
Add-LocalGroupMember -Group "Utilisateurs" -Member "administrateurWAC0"
</code>

Le groupe local dépend de la langue du système. Le nom du compte ne lui attribue pas des droits d'administration : vérifier séparément les autorisations sur la passerelle et sur les serveurs cibles.


===== 9. Références =====

  * [[https://learn.microsoft.com/en-us/windows-server/manage/windows-admin-center/overview|Microsoft — présentation WAC]]
  * [[https://learn.microsoft.com/en-us/windows-server/manage/windows-admin-center/deploy/install|Microsoft — installation]]
  * [[https://learn.microsoft.com/en-us/windows-server/manage/windows-admin-center/configure/user-access-control|Microsoft — contrôle des accès]]