Table des matières
Windows Admin Center, WinRM et administration distante
Formation : BTS SIO — Option SISR
1. Rôle et fonctionnement
Windows Admin Center (WAC) est une interface Web d'administration de Windows. Le navigateur rejoint une passerelle HTTPS ; cette passerelle dialogue avec les serveurs administrés, notamment via PowerShell et WinRM. L'accès au portail et les droits sur une machine cible sont deux contrôles différents.
Dans cet exemple, le port HTTPS retenu pour WAC est 10443. Ce choix de maquette ne constitue pas une valeur universelle. WinRM utilise habituellement TCP 5985 en HTTP ou 5986 en HTTPS selon le listener configuré.
2. Mise en œuvre
- Préparer une VM Windows à jour avec un nom résolu par DNS.
- Installer WAC à partir de la distribution Microsoft.
- Définir le port HTTPS, le certificat et le mode d'authentification.
- Autoriser uniquement les flux nécessaires depuis le réseau d'administration.
- Ajouter les serveurs cibles et tester avec un compte aux droits adaptés.
Le certificat doit correspondre au nom utilisé dans l'URL. Un certificat auto-signé convient à une maquette contrôlée ; une autorité de confiance facilite l'exploitation. Voir TLS et certificats.
3. Vérification
Test-NetConnection -ComputerName SERVEURWAC0 -Port 10443 Get-Service WinRM winrm enumerate winrm/config/listener Test-WSMan -ComputerName SERVEURWAC0
La dernière commande teste WinRM HTTP par défaut ; ajouter -UseSSL pour un listener HTTPS. Elle ne teste pas directement le portail WAC.
4. Dépannage
| Symptôme | Contrôle |
|---|---|
| Portail inaccessible | Service WAC, DNS, port choisi et pare-feu |
| Erreur de certificat | Nom, validité et chaîne de confiance |
| Portail accessible, cible inaccessible | WinRM, droits et résolution de la cible |
| Groupe de travail | Identifiants locaux et configuration d'authentification |
Limiter TrustedHosts aux machines nécessaires si ce mécanisme est utilisé ; il n'accorde pas de droits sur la cible. WAC ne constitue pas automatiquement une relève haute disponibilité du bastion.
5. Exemple de configuration de la passerelle
| Paramètre | Choix du laboratoire |
|---|---|
| Serveur | SERVEURWAC0, 192.168.3.5/25 |
| Passerelle réseau | 192.168.3.126 |
| Nom du portail | wac0.local.californie.cub.sioplc.fr |
| Port HTTPS | 10443 |
| Authentification du portail | Formulaire HTML |
| Certificat | Auto-signé pour les essais |
Le certificat doit être vérifié pour le nom d'accès choisi. Un accès direct par IP peut provoquer une erreur de correspondance de nom, indépendamment de la confiance accordée au certificat.
Choix de l’accès distant à la passerelle.
Mode de connexion retenu pour le portail.
Port HTTPS configuré à 10443.
Certificat de test proposé par l’installeur.
Nom complet défini pour la passerelle.
6. WinRM et hôtes approuvés
Le laboratoire utilisait WinRM sur HTTP et une liste d'hôtes approuvés large. Ce choix observé ne constitue pas une configuration de référence à reproduire sans restriction : limiter les hôtes autorisés au besoin réel.
HTTP ne signifie pas systématiquement que les messages WinRM circulent sans chiffrement : Kerberos ou NTLM peuvent négocier une protection au niveau des messages. HTTPS apporte la protection TLS du transport. Le mécanisme d'authentification et le listener doivent être examinés ensemble.
7. Démarrage et ajout de serveurs
Get-Service *AdminCenter*,*ServerManagement* Start-Service WindowsAdminCenter Get-Service *AdminCenter*,*ServerManagement*
Dans l'installation documentée, les services sont initialement arrêtés, puis leur démarrage est contrôlé. Adapter le nom du service à la version installée.
Contrôle des services Windows Admin Center.
Passerelle et quatre serveurs enregistrés dans WAC.
L'apparition d'un serveur dans cette liste ne prouve pas que tous ses rôles sont installés ou opérationnels.
8. Créer un compte d'accès
$MotDePasse = Read-Host "Mot de passe" -AsSecureString New-LocalUser -Name "administrateurWAC0" -Password $MotDePasse Add-LocalGroupMember -Group "Utilisateurs" -Member "administrateurWAC0"
Le groupe local dépend de la langue du système. Le nom du compte ne lui attribue pas des droits d'administration : vérifier séparément les autorisations sur la passerelle et sur les serveurs cibles.