# 1. Introduction – Durcissement CIS Linux sur AlmaLinux
Dans le cadre de la sécurisation des systèmes Linux, le Centre for Internet Security (CIS) propose des recommandations reconnues internationalement. Ces benchmarks permettent de renforcer la posture de sécurité des serveurs grâce à des configurations précises et des contrôles rigoureux.
La distribution AlmaLinux, orientée entreprise et compatible avec RHEL, intègre nativement plusieurs profils de sécurité dont celui du CIS level 2, conçu pour les environnements critiques. Ce guide présente la procédure détaillée de création et de durcissement d'une machine virtuelle AlmaLinux, conforme aux exigences du profil CIS level 2.
Nous y aborderons :
- Les choix d’installation initiaux (langue, clavier, timezone)
- La configuration du compte ROOT et des utilisateurs
- Le partitionnement spécifique pour valider le profil de durcissement
- La mise à jour du système
- Les vérifications de sécurité essentielles (SELinux, pare-feu, configuration disque)
Cette procédure permet de poser les bases d’un serveur robuste, capable de répondre aux standards de conformité et de sécurité dans des contextes exigeants.
![image1.jpeg](/uploads/image1_1_9a5e8a0585.jpeg)![image2.png](/uploads/image2_1_bd2168de5a.png)
## 2. Installation Almalinux
### 2.1.  Création d’une machine virtuelle avec VMWare
La création de la machine virtuelle s’effectue dans un environnement VMWare. La puissance des composants doit être adaptée en fonction de vos besoins.
![image3.png](/uploads/image3_1_93caa18702.png)
### 2.2. Sommaire d’installation
Il est recommandé de sélectionner l’anglais comme langue d’installation. Cela permet de réduire les risques de bugs lors d’un éventuel benchmark CIS, notamment avec des outils comme Wazuh. En effet, certaines informations en français pourraient perturber l’analyse.
![image4.png](/uploads/image4_1_f8494dd672.png)
### 2.3. Sommaire d’installation 
Une fois sur l’écran du sommaire :
- Vérifiez la disposition du clavier pour éviter les erreurs lors de la création des mots de passe.
- Sélectionnez le bon fuseau horaire.
- Rendez-vous ensuite dans les paramètres utilisateurs, en commençant par ROOT.
![image5.png](/uploads/image5_1_08341bbe9f.png)
### 2.4. Compte ROOT
•	Le mot de passe du compte ROOT doit contenir au minimum 16 caractères.
•	Dans les environnements critiques, il est fortement conseillé de verrouiller le compte ROOT en cochant l’option dédiée.
•	Il ne doit jamais être accessible via SSH.
•	Une fois cette étape terminée, créez un utilisateur dédié pour accéder à la machine.
![image6.png](/uploads/image6_1_3a3048495b.png)
### 2.5. Compte Utilisateurs
•	Utilisez des pseudos pour les comptes SSH.
•	Vous pouvez temporairement accorder les droits d’administrateur à cet utilisateur le temps de l’installation.
•	Une fois la configuration terminée, restreignez ses privilèges pour sécuriser l’environnement.
![image7.png](/uploads/image7_1_707079ec4b.png)
### 2.6. Sélection du profil de sécurité de durcissement 
L’un des avantages d’AlmaLinux est l’intégration native de profils de durcissement. D’autres distributions proposent également des options similaires.
![image8.png](/uploads/image8_1_59487e15c8.png)
Dans cet exemple, nous sélectionnons le profil CIS niveau 2 pour serveurs.
Il existe de nombreux autres profils, comme ceux de l’ANSSI (BP-028), qui demandent une solide expérience en durcissement Linux.
Une fois le profil choisi, une alerte sur les partitions peut apparaître : il est donc nécessaire de les ajuster pour valider le profil. Passons à l’étape du partitionnement
![image9.png](/uploads/image9_1_174c30282a.png)
### 2.7. Partitionnement pour le profil CIS level 2 server
•	Dans les options d’installation, désactivez le partitionnement automatique et passez en manuel.
•	Sélectionnez le disque d’installation.
![image10.png](/uploads/image10_1_581dcd25cb.png)
•	Choisissez une configuration personnalisée (custom) et cliquez sur "Done"
![image11.png](/uploads/image11_1_b544b6d973.png)
### 2.8. Création des partitions
Utilisez l’option de création automatique pour générer 3 des 10 partitions requises.
![image12.png](/uploads/image12_1_97c2d53839.png)
Supprimez ensuite la partition racine / pour ajouter les partitions manquantes.
![image13.png](/uploads/image13_1_aae060c3c0.png)
Pour un disque de 20 Go, le profil CIS level 2 nécessite 10 partitions aux tailles bien spécifiques.
Si vous utilisez une autre capacité, vous pouvez demander à une IA de recalculer les tailles selon votre disque. Une fois les partitions modifiées, le profil passe au statut "valide".
![image14.png](/uploads/image14_1_dab23e05e2.png)
![Capture d'écran 2025-07-29 154101.png](/uploads/Capture_d_ecran_2025_07_29_154101_5ed0a7505e.png)
Pensez à configurer une IP statique pour faciliter l’accès SSH après l’installation
![image5.png](/uploads/image5_1_08341bbe9f.png)
### 2.9. Mise à jour des paquets Alamalinux
Une fois connecté en SSH :
•	Passez à une authentification par clé SSH (voir l’article dédié si besoin).
•	Lancez ensuite les commandes suivantes :

```
sudo dnf update -y
```
```
sudo dnf upgrade -y
```

![image17.png](/uploads/image17_1_8c2633fc88.png)
### 2.10. Vérification du SELinux, firewall et du disque
Vérifiez que le durcissement est bien en place :
•	SELinux doit être actif en mode Enforcing :

```
getenforce
```

![image18.png](/uploads/image18_1_46200b6a32.png)
•	Le pare-feu doit être actif :

```
sudo firewall-cmd --state
```

![image19.png](/uploads/image19_1_4207cffac9.png)

•	Enfin vérifiez également le partitionnement du système 

```
df -h
```
![image20.png](/uploads/image20_1_30376c8a8b.png)

Si vous devez installer des services :

•	Passez temporairement SELinux en mode Permissive.

•	Ouvrez uniquement les ports nécessaires dans le pare-feu.

•	Une fois les services opérationnels, repassez SELinux en Enforcing.

En cas de problème d’accès, demandez à une IA les commandes de permission SELinux adaptées à votre service.





Durcissement CIS Linux sur la distribution Almalinux

# 1.	Introduction
Active Directory Domain Services (AD DS) est un service Windows qui vous permet de gérer un des domaine domaines, d'authentifier les utilisateurs et les ordinateurs, et de contrôler l'accès aux ressources. AD DS offre fournit une infrastructure centralisée pour configurer les politiques de sécurité et déployer des logiciels dans un environnement réseau. Cette procédure explique comment installer un contrôleur de domaine sur un serveur Windows Server 2025, et comment configurer un nouveau domaine
# 2.	 Prérequis
•	Machine virtuelle Windows Server 2025 installé avec les dernières mises à jour.
## 2.1. Configuration carte réseau en IP statique
Dans la barre de recherche, tapez la commande « ncpa.cpl », puis appuyez sur Entrée. Cela ouvre directement la gestion de vos cartes réseau. 
 
![image1.png](/uploads/image1_55c465d5ea.png)

 
 
Une fois dans le panneau de contrôle des réseaux, cliquez sur votre carte réseau, puis sur Propriétés. Décochez le Protocole IPv6 (car il n'est pas utilisé ici), puis sélectionnez Protocole IPv4.Vous arriverez sur la configuration IP de votre machine. Par défaut, elle sera en mode DHCP. Si le réseau que vous avez affecté distribue des adresses IP, une adresse sera attribuée automatiquement. Cependant, il est préférable de configurer une adresse IP statique. Assurez-vous que votre configuration réseau correspond à celle de votre routeur. Une fois la configuration terminée, cochez la case pour valider et cliquez sur OK puis OK. Si un message d’erreur apparaît, annulez-le.

![image2.png](/uploads/image2_73e2f455f6.png)

 
 Vous devriez maintenant avoir accès à Internet. N'oubliez pas de lancer les mises à jour du serveur pour vous assurer que votre système est à jour et sécurisé.
 ![image3.png](/uploads/image3_3cfc1218cc.png)


## 2.2. Mettre à jour et le nom de votre serveur
Dans la barre de recherche, tapez la commande « sysdm.cpl », puis appuyez sur Entrée. Cela ouvrira directement les Propriétés système.
 ![image4.png](/uploads/image4_75c1cb488e.png)

Une fois dessus cliquez sur changer, écrivez le nom et faites OK et OK.
 ![image5.png](/uploads/image5_0556a306ca.png)

Ensuite profitez d’être dans les propriétés systèmes pour activer l’utilisation à distance. 
![image6.png](/uploads/image6_0ffbf6df34.png)



Indiquez que vous souhaitez redémarrer plus tard en sélectionnant l'option appropriée.
# 3.	Mettre en place le service AD-DS
## 3.1. Installer le service AD-DS
Lancez Gestionnaire de serveur depuis la barre des tâches ou le menu démarrer
 ![image7.png](/uploads/image7_8c490b628f.png)

Cliquez sur Gérer → Ajouter des rôles et fonctionnalités.
 ![image8.png](/uploads/image8_cad11d1e28.png)


Vous pouvez passer la première page, Sélectionnez Installation basée sur un rôle ou une fonctionnalité.
 
![image9.png](/uploads/image9_39eea33dbe.png)



Choisissez le serveur actuel dans notre cas dev-ad01 et cliquez sur Suivant
 ![image10.png](/uploads/image10_243f97f118.png)

Cochez Services de domaine Active Directory (AD DS), cliquez sur Ajouter des fonctionnalités lorsque demandé.
 
![image11.png](/uploads/image11_9a769330fa.png)

Cliquez sur Suivant, Suivant pour les fonctionnalités et suivant sur la page AD DS.
 
 ![image12.png](/uploads/image12_6da3ea679f.png)
 ![image13.png](/uploads/image13_ccff5cdf67.png)
![image14.png](/uploads/image14_1df0cdf346.png)

Cocher la case pour que le serveur redémarre si nécessaire valider avec oui et faites installer
![image15.png](/uploads/image15_5d55966e42.png)



## 3.2. Promouvoir le serveur en contrôleur de domaine
 
 

 
Cliquez sur Promouvoir ce serveur en contrôleur de domaine
 ![image16.png](/uploads/image16_d798751851.png)

Choisissez Ajouter une nouvelle forêt si vous créez un nouveau domaine. Entrez le nom DNS du domaine racine par exemple : mondomaine.local, puis suivant.
 ![image17.png](/uploads/image17_b3bf9655ca.png)

Définissez le niveau fonctionnel de la forêt et du domaine prenez la dernière version Windows Server 2025 et Fournissez un mot de passe pour le mode de restauration des services d'annuaire (DSRM). Il est important de garder ce mot de passe, puis Suivant.
![image18.png](/uploads/image18_61c11b384f.png)

 
Le rôle DNS est installé par défaut. Laissez les paramètres par défaut, sauf si vous utilisez un serveur DNS externe. Suivant.
 ![image19.png](/uploads/image19_963da9c864.png)

Vérifiez que le NetBIOS correspond au domaine indiquer en amont, Suivant et pour les emplacements laisser par défaut et Suivant.
 ![image20.png](/uploads/image20_88528a1029.png)
 ![image21.png](/uploads/image21_46bdd02480.png)
 
Enfin Vérifiez l’ensemble des options de configuration, puis Suivant.

![image22.png](/uploads/image22_0ac5f6b2ab.png)

Le serveur va vérifier que votre configuration et valide, Si se n’est pas le cas corriger l’erreur qu’il vous indique, vous pouvez lancer l’installation le serveur va redémarrer automatiquement sous le nouveau domaine. 
 ![image23.png](/uploads/image23_6d79c3f745.png)

# 4.	Bonnes pratiques post-installation
## 4.1. Mettre en place la corbeille Active Directory
Lancez Gestionnaire de serveur depuis la barre des tâches ou le menu démarrer, puis aller sur votre service AD DS, clique droit sur votre serveur AD et lancer le Centre d’administration Active Directory.
![image24.png](/uploads/image24_293d8b40e8.png)


Puis dans le service faites clique droit sur l’OU de votre nom de domaine et activer la corbeille. 

![image25.png](/uploads/image25_6414cf5500.png)

 
## 4.2. Les raccourcis obligatoires pour la gestion d’un serveur AD
Epingler sur la barre des tâches votre Active Directory 
 
 ![image26.png](/uploads/image26_a695e1f534.png)

Le service DNS 
 ![image27.png](/uploads/image27_cf8b16125c.png)

Le service de stratégie de groupe
 
 ![image28.png](/uploads/image28_6876ee9271.png)
![image29.png](/uploads/image29_b2810f6cff.png)





## 4.3. Mise en place d’une bonne arborescence sur un AD
Il est important de créer une arborescence ordonnée dès le départ, pour bien rangé votre futur contenu. Lancer votre Active Directory avec le raccourci. Voici l’Arborescence de base.
 

 ![image30.png](/uploads/image30_45c0a698ce.png)
 
Je vous conseille au minimum une arborescence comme celle-ci ; toutefois, libre à vous d’agencer vos répertoires comme vous le souhaitez.
 

![image31.png](/uploads/image31_046f9b5fd3.png)

## 4.4. Mise en place d’une bonne politique de sécurité
Dans un premier temps renommer votre administrateur avec nom moins prévisible. Je recommande quand même de le désactiver par la suite et de créer des comptes admin nominatif. Faites de même avec le compte invité.
![image32.png](/uploads/image32_2daa8fb3fb.png)


 
Enfin nous allons créer une politique de mot de passe lancer le service de stratégie de groupe qui est dans vous raccourci. Ensuite dérouler la forêt, Domains et nom de votre domaine et faites un clic droit sur le domaine et créer une nouvelle GPO
 ![image33.png](/uploads/image33_72344b8b5f.png)

Nommez-là par exemple : Politique_de_mot_de_passe.
 
![image34.png](/uploads/image34_c328be3439.png)


Clic droit sur la GPO puis modifier là
 
 ![image35.png](/uploads/image35_a3a149f758.png)

Ensuite aller dans le chemin suivant, configuration ordinateur, stratégie, Paramètres Windows, Paramètre de sécurité, stratégie de compte et stratégie de mot de passe.

![image36.png](/uploads/image36_cba4e8a043.png)



Enfin mettais une configuration similaire à celle-ci-dessous pour vos mots de passe utilisateur : 

![image37.png](/uploads/image37_4a8d537d02.png)
Français
![image38.png](/uploads/image38_4ce54cafbb.png)
 
 


Installation du service Active Directory sur Windows server 2025

# Introduction
Afin de faire du password-less en toute sécurité (ou mettre en place une 2auth), et restreindre au mieux vos accès, l'utilisation de clés SSH pour se connecter à distance sur vos serveur est le moyen incontournable,

Ici nous allons voir comment mettre en place une authentification sans mot de passe sécurisée sur l'infra suivante :
- Un serveur Debian qui sera le serveur distant où l'on souhaite se connecter
- Un client Linux Fedora
- Un client Windows 11

J'ai choisi volontairement deux clients différent afin de montrer comment faire sur les deux OS.

## Pré-requis :

L'accès à la commande ssh-keygen, soit : 
-  OpenSSH installé sur votre Linux 
-  Sur Windows, le client SSH par défaut permet d'effectuer un SSH keygen

# Génération des clés SSH (SSH et Windows)
Ici, rien de bien sorcier, si vous n'avez pas de clé SSH générée sur votre PC (ce qui est probablement le cas), on va entrer la commande suivante : 

`ssh-keygen -t ed25519 -C "mail@it-discover.fr"`

_Ici, on spécifie ed25519, mais on pourrait très bien choisir un autre format (RSA par exemple )_

`ssh-keygen -b 4096 -t rsa -C "mail@it-discover.fr"`

Une fois la commande entrée, on peut garder le nom par défaut, ou indiquer un chemin et nom différent de fichier, ici on va appeler là clé 'test' :
![SSH_Gen1](/uploads/Capture_d_ecran_2024_11_19_132358_ecd379a167.png)

Ensuite, le prompt nous demande une passphrase. Vous n'êtes pas obligé d'en utiliser une, mais c'est toujours mieux en termes de sécurité.

Vous devriez avoir ce résultat :
![Capture d'écran 2024-11-19 133014.png](/uploads/Capture_d_ecran_2024_11_19_133014_fef37a36cc.png)

Et maintenant si vous vous rendez dans le dossier de création (_ici:_ `C:\Users\erwan/.ssh`) vous devriez voir vos deux fichiers, la clé privée et la clé publique :

![SSH_Gen3.png](/uploads/SSH_Gen3_d84f8720fb.png)

<u>Précision : La clé privée ne doit **absolument** jamais être publié ou accessible par quelqu'un d'autre que vous, il faut voir ça comme la clé d'un coffre fort.
Si celle-ci est divulguée, il vous faudra de toute urgence supprimer la clé publique des sites / machines où elle a été installée.</u>

# Envoi de la clé sur le serveur 
Il faut faire connaître votre clé publique au serveur afin de lui permettre de gérer l'authentification avec celle-ci, donc pour se faire, deux possibilités :
- Sur ma machine Fedora : `ssh-copy-id [votre_utilisateur]@[ip_du_ serveur]`
- Sur Windows : ```cat ~/.ssh/id_test.pub | ssh [votre_utilisateur]@[ip_du_serveur] 'mkdir -p ~/.ssh && cat >> .ssh/authorized_keys'```

(Remplacez bien sur id_test.pub par votre clé publique)

Sinon vous pouvez simplement copier le contenu de votre `id_test.pub` dans le fichier .ssh/authorized_keys de votre utilisateur du serveur (il ne sera pas forcément créé par défaut, vous pouvez le faire avec `touch .ssh/authorized_keys`). 
Peu importe la méthode, le contenu du fichier ressemblera à ça à la fin :
![SSH_Gen4.png](/uploads/SSH_Gen4_efafe22970.png)

# Se connecter avec le client

Vous pouvez dès maintenant vous connecter en précisant la clé avec l'option -i et cela va fonctionner. Vous devrez entrer votre passphrase pour vous connecter si vous en avez définit un :
`ssh -i ~\.ssh\id_test.pub[votre_utilisateur]@[ip_du_serveur]`

Cependant cela indique de préciser la clé SSH à chaque fois, et ici on cherche la rapidité.

## Utilisation automatique de la clé SSH
### Windows
Ouvrez un Powershell en adminstrateur et entrer les commandes suivantes pour démarrer le service d'agent SSH :
```
Get-Service -Name ssh-agent | Set-Service -StartupType Manual
Start-Service ssh-agent
```
Il vous faudra après ajouter votre clé privée à l'agent :
`ssh-add ~/.ssh/id_test`

### Linux
Sur Linux, vous devez démarrer l'agent comme sur Windows, mais cette fois avec la commande suivante :
`eval "$(ssh-agent -s)"`

Puis on ajoute la clé privée  : 
`ssh-add ~/.ssh/id_test`

## Résultat de la connexion automatique

Maintenant vous pouvez réessayer de vous connecter avec une commande SSH classique et vous pourrez vous connecter sans préciser votre mot de passe :

![SSH_Gen5.png](/uploads/SSH_Gen5_10048b7d83.png)

# Désactiver les connexions par mot de passe pour les utilisateurs ayant des clés SSH

Vous voulez potentiellement restreindre vos utilisateurs principaux pour qu'ils n'utilisent pas leur password, cependant si vous avez plusieurs utilisateurs, vous en avez probablement qui ne peuvent pas / n'ont pas l'utilité d'avoir de clé SSH. 
On va apprendre ici à bloquer les connexions par mot de passe pour les utilisateurs ayant des clés SSH configurées.

Nativement, SSH ne permet pas de gérer ce point. Il y a plusieurs moyen de contournement, mais pour moi le plus propre est d'utiliser des groupes. On va créer un groupe additionnel qui contiendra nos utilisateur utilisant une clé SSH.

Pour se faire, rendez-vous sur le serveur et créez un groupe avec la commande suivante :

`sudo groupadd passwordless`

Ajoutez ensuite l'utilisateur souhaité :

`sudo usermod -a -G passwordless erwanc`

_Remplacez passwordless par le nom de groupe souhaité_

Maintenant que ceci est fait, il faut préciser au serveur SSH de gérer ce fonctionnement.
Pour se faire, rendez-vous dans le fichier de configuration du serveur :

`vim /etc/ssh/sshd_config`

Ou pour plus de maintenabilité, je recommande de créer un fichier de configuration séparé qui va "étendre" la configuration initiale :

```
mkdir /etc/ssh/sshd_config.d/
vim /etc/ssh/sshd_config.d/custom_auth.conf
```

Si vous choisissez la seconde méthode, ouvrez avec vim le fichier /etc/ssh/sshd_config et insérer la directive suivante :
```
Include /etc/ssh/sshd_config.d/*.conf
```

Dans le nouveau fichier ouvert (ou dans /etc/ssh/sshd_config selon votre choix), entrez tout à la fin les directives suivantes :
```
# Activer l'authentification possible par clé pour tous
PubkeyAuthentication yes

# Désactiver l'authentification par mot de passe pour les membres du groupe
Match Group passwordless
    PasswordAuthentication no
```
_Remplacez passwordless par le nom de groupe précédemment créé_

Enfin, il vous suffit de redémarrer le service pour voir la magie opérer :
`sudo systemctl restart sshd`

Activer la connexion par clé SSH sur un serveur Linux

Si vous avez cliqué sur cet article, c'est sûrement que vous connaissez et utilisez potentiellement l'**Infrastructure as Code** (IaC). Si tel n'est pas le cas, je vais vulgariser un peu ce magnifique terme.
L'IaC est une pratique qui consiste à gérer et provisionner des infrastructures et des assets informatiques à l’aide de fichiers de configuration. Plutôt que de manipuler directement vos ressources informatiques, l’IaC permet de définir et d’automatiser leur mise en place et leur gestion. Techniquement, on pourrait comparer cela à du scripting bash pour déployer vos serveurs, mais en plus poussé.
Ici, on a l'avantage, en IaC, d'avoir "clé en main" une traçabilité, une cohérence et une idempotence de toutes les machines et des assets.

On peut ainsi dire que l’infrastructure est générée en code, que ce soit du code pur (comme c'est le cas avec Pulumi, mais on y reviendra) ou avec des fichiers de configurations YAML, HCL, JSON, etc. 

Ce qui était autrefois une étape manuelle et sujette à des erreurs devient aujourd’hui un processus agile et automatisé, aligné sur les principes du DevOps et de l’intégration continue/déploiement continu (CI/CD).

Maintenant qu'on est plus familier avec ce qu'est l'IaC en tant que tel, passons au vif du sujet.  
Pourquoi le si connu et vanté Pulumi n'est-il pas toujours la meilleure solution pour vos projets ?  
Pourquoi la promesse d'utiliser uniquement votre langage de développement n'est-elle pas forcément gage de bon choix d'outil ?

## Deux philosophies distinctes

[Terraform](https://www.terraform.io/) est un outil d'abord open-source puis propriétaire, développé et maintenu par [HashiCorp](https://www.hashicorp.com/) depuis 2014 (les papas de Packer et Vault notamment). Un fork open-source existe : [OpenTofu](https://opentofu.org/).  
Initialement, l'outil utilisait le langage HCL, un langage créé par HashiCorp (d'où son nom d'ailleurs, HCL voulant dire HashiCorp Configuration Language), puis a introduit d'autres possibilités, notamment le JSON.  
Un avantage majeur de Terraform est sa vaste adoption et sa communauté active. Grâce à cette popularité, Terraform dispose de nombreux [modules et plugins](https://registry.terraform.io/browse/providers) maintenus par la communauté, couvrant presque tous les fournisseurs de cloud majeurs et services tiers.

[Pulumi](https://www.pulumi.com/) est un outil plus jeune, lui aussi open-source, développé par Pulumi Corp. De la même manière, Pulumi se base sur des [modules et plugins](https://www.pulumi.com/registry/) maintenus par la communauté, permettant de couvrir les fournisseurs.  
Ces deux outils demeurent similaires sur beaucoup d'aspects, notamment la gestion d'état, qui est un des éléments clés de ces outils et qui est **vraiment** un game-changer dans le déploiement continu et la maintenabilité de vos infrastructures. Ils diffèrent aussi sur certains points.

En effet, bien que les deux outils utilisent une syntaxe déclarative, l'une des différences majeures est que Pulumi s'oriente davantage vers les développeurs allant vers de l'IaC en utilisant du code natif et des librairies pour travailler sur nos infrastructures. L'avantage réside dans la diversité des langages. Vous y trouverez forcément votre bonheur. Vous pouvez voir tous les langages actuellement disponibles [ici](https://www.pulumi.com/docs/iac/languages-sdks/).

## La documentation

Quand on navigue dans la documentation de Terraform, je trouve que celle-ci est très bien construite, intuitive et très formatrice, de même chez Pulumi, surtout pour les documentations par registre.  
Les registres chez Pulumi sont quasiment tous extrêmement bien fournis avec des exemples dans tous les langages (celle d'[AWS](https://www.pulumi.com/registry/packages/aws/api-docs/s3/bucket/) notamment, que je trouve tout simplement parfaite).

**Par contre**, sur ce même outil, un vrai souci est présent avec [Pulumi IA](https://www.pulumi.com/ai), leur modèle d'IA. Autant je trouve que c'est une idée incroyable sur le papier, autant des lacunes sont présentes. Le code généré par cette IA est parfois absolument catastrophique, avec des complexités ahurissantes. Et, le second souci que je trouve encore plus dérangeant, est qu'une bonne partie de vos recherches Google sur le déploiement d'un service vous renverront sur une documentation sur le site Pulumi, où le code est souvent généré par l'IA Pulumi et souffre donc de ces mêmes lacunes.

## Et quel souci avec Pulumi dans tout ça ?

Un premier souci qui n'en est pas vraiment un et qui tend à se résoudre est le manque d'utilisateurs. En effet, bien que Pulumi soit de plus en plus utilisé, nous revenons vers le point précédent : on finit souvent sur la documentation qui, au final, n'est que du Pulumi IA.  

Le second souci, qui est présent dans les librairies Python et JS (je n'ai pas testé pour le reste), est que l'on retrouve des classes natives avec les mêmes noms dans plusieurs librairies, ce qui est assez déroutant et illisible en termes de codebase, notamment sur les providers AWS.  
Enfin, dès qu'une infrastructure devient très conséquente et avec du traitement de boucles, etc., le déploiement devient très vite long, ce qui est vraiment un gros point pour Terraform qui garde une très forte fluidité, peu importe la complexité de l'infrastructure.

## Quels avantages à utiliser Pulumi ?

Il y a aussi des avantages indéniables, et on ne peut le nier, le principal étant (et oui, je sais, ça va être paradoxal) le fait d'utiliser du code.  
Quoi de mieux que de faire des boucles et toute la syntaxe de votre langage préféré plutôt que d'utiliser du HCL ?

Si on compare cet exemple en HCL :
```
variable "bucket_names" {
  type    = list(string)
  default = ["bucket-1", "bucket-2", "bucket-3", "bucket-4", "bucket-5"]
}

resource "aws_s3_bucket" "my_buckets" {
  for_each = toset(var.bucket_names)

  bucket = each.key
  acl    = "private"

  tags = {
    Name        = each.key
    Environment = "developement"
  }
}
```
Avec ceci en JS avec Pulumi :
```
const bucketNames = ["bucket-1", "bucket-2", "bucket-3", "bucket-4", "bucket-5"];

bucketNames.forEach(name => {
    const bucket = new aws.s3.Bucket(name, {
        bucket: name,
        acl: "private",
        tags: {
            Name: name,
            Environment: "development"
        }
    });
});
```
Le JS est quand même beaucoup plus lisible et maintenable à mon goût.

De plus, développer avec du code natif présente davantage l'intégration dans un outil externe (développement d'une plateforme, par exemple), c'est le **must-have**.

## Mais alors, lequel choisir ?

J'ai envie de dire, c'est selon vos préférences.  

Cependant, je tends toujours vers Terraform, malgré qu'il soit devenu propriétaire (on peut toujours utiliser OpenTofu, qui est le même outil, si on souhaite rester en open-source), qui présente pour moi plus de maturité, de stabilité et de fluidité. 
Bien que Pulumi soit très intéressant dans certains usages, le manque de documentation et les incohérences de librairies me repoussent un petit peu.  
Terraform garde aussi l'avantage, dans un contexte pro, d'être plus facilement transmissible, car il n'y a pas de questions de langage : on est sur du commun et très simpliste. Mais, en contrepartie, on perdra en fonctionnalités de développement pures.  

Si vous venez du développement et que vous n'avez pas vocation à faire du déploiement à grande échelle toute votre vie, Pulumi sera plus approprié. Si il s'agit de déploiements à grande échelle en entreprise, je pense que Terraform demeure - à l'heure actuelle - la meilleure solution des deux.

Pulumi vs Terraform: Pourquoi Pulumi n'est pas toujours le meilleur choix

# 1.	Introduction
Nous allons découvrir comment rediriger un port sur un serveur Hyper-V exposé avec une adresse IP publique sur Internet. Dans notre situation, nous avons décidé d'exposer le port 3389 (RDP) d'une machine virtuelle sur notre Hyper-V via un port personnalisé sur l'adresse IP publique du serveur.
# 2.	 Prérequis
•	Un serveur Hyper-V

•	Une machine virtuelle installé sur Hyper-V

•	Une machine cliente pour tester
# 3.	 Mise en place
## 3.1. Création d’un commutateur virtuel
Nous allons créer le commutateur virtuel via PowerShell :


```
New-VMSwitch -SwitchName “NATSwitch” -SwitchType Internal 
```

![image2.png](/uploads/image2_8d84ccb0a4.png)
On le retrouve aussi dans notre Hyper-V
![image3.png](/uploads/image3_f1f8270e4b.png)
## 3.2. Partage du réseau
Rendez-vous sur la connexion réseau de votre hôte Hyper-V :
Appuyez sur Windows + R.
Tapez la commande suivante : ncpa.cpl et validez.

![image4.png](/uploads/image4_6dc17fb069.png)
Une fois dans la liste des connexions réseau :
Cliquez sur la carte réseau qui possède votre IP publique et qui est connectée au WAN (dans cet exemple, la carte réseau est NIC1).
![image5.png](/uploads/image5_70351bde06.png)
 Accédez aux propriétés de cette carte réseau.
![image6.png](/uploads/image6_6ce92174d0.png)
Dans la fenêtre des propriétés, allez dans l’onglet Partage.
![image7.png](/uploads/image7_ae4879a6b8.png)
 Cochez l’option :  
 >  Autoriser d'autres utilisateurs du réseau à se connecter via la connexion Internet de cet ordinateur.
 
 Dans la liste Connexion réseau domestique, sélectionnez la carte réseau virtuelle que vous avez créée.
![image8.png](/uploads/image8_d9c95c04df.png)

## 3.3. Création du réseau interne

Nous allons maintenant créer un réseau local (LAN) pour les machines virtuelles dans Hyper-V. Pour cela, utilisez la commande PowerShell :
```
New-NetNAT -Name "NATNetwork" -InternalIPInterfaceAddressPrefix 192.168.1.0/24
```
Dans cet exemple, nous nommons le réseau NATNetwork avec l’adresse 192.168.1.0/24.

![image9.png](/uploads/image9_041fce97d4.png)

## 3.4. Configuration de la carte virtuelle
Sélectionnez la carte vEthernet (NATSwitch) dans les connexions réseau.
![image10.png](/uploads/image10_e0c1593b47.png)
Ouvrez les propriétés, puis accédez au Protocole Internet version 4 (TCP/IPv4).
![image11.png](/uploads/image11_32d6a43357.png)
    Configurez les paramètres comme suit :
    
Adresse IP : choisissez une IP qui servira de passerelle pour vos machines dans le LAN Hyper-V (par exemple, 192.168.1.1).
        
Masque de sous-réseau : identique à celui défini dans PowerShell (par exemple, 255.255.255.0).

Passerelle par défaut : entrez votre IP publique.

Serveurs DNS : vous pouvez utiliser les DNS publics, comme ceux de Google (8.8.8.8 et 8.8.4.4).


![image12.png](/uploads/image12_7ebfb87797.png)

## 3.5. Configuration réseau d’une machine virtuelle
 Ouvrez Hyper-V et sélectionnez la machine virtuelle à configurer.
 
![image13.png](/uploads/image13_3a830dd327.png)
 Allez dans les paramètres de la machine et choisissez Carte réseau. Associez la carte réseau au commutateur virtuel que vous avez créé.
![image14.png](/uploads/image14_c40892986c.png)
Connectez-vous à la machine virtuelle, puis configurez son réseau :

 Accédez aux connexions réseau, puis aux propriétés de TCP/IPv4.
 
 Attribuez une adresse IP du réseau créé précédemment (par exemple, 192.168.1.10) et un masque identique.
 
  Passerelle : l’adresse IP de votre carte virtuelle sur Hyper-V (par exemple, 192.168.1.1).
  
  DNS : utilisez les serveurs publics, comme ceux de Google (8.8.8.8 et 8.8.4.4).
  
  Testez la connexion Internet sur la machine virtuelle.
  
![image15.png](/uploads/image15_0a1e79ce7d.png)
 Activez le Bureau à distance sur la machine pour permettre des connexions RDP.
![image16.png](/uploads/image16_e9497fc823.png)

## 3.6. Redirection de port
Pour rediriger un port vers une machine virtuelle, ouvrez PowerShell sur l’hôte Hyper-V et utilisez la commande suivante :


```
Add-NetNatStaticMapping -ExternalIPAddress "0.0.0.0/24" -ExternalPort 50002 -Protocol TCP -InternalIPAddress "192.168.1.10" -InternalPort 3389 -NatName NATNetwork
```
Cette commande redirige : 
Toutes les IP publiques (avec 0.0.0.0/24).
 Le port externe 50002 (personnalisé) pour une connexion entrante.
Vers l’adresse IP interne 192.168.1.10 sur le port 3389 (RDP).
En spécifiant le réseau NAT, ici NATNetwork.
![image17.png](/uploads/image17_c0af2cccd7.png)

## 3.7. Test de connexion RDP
Depuis un poste externe, ouvrez votre client RDP.
Entrez votre IP publique suivie du port personnalisé (par exemple, xxx.xxx.xxx.xxx:50002).
Vous devriez être connecté à votre machine virtuelle via RDP.
![image18.png](/uploads/image18_ed59df5ffb.png)
Vous avez désormais configuré votre Hyper-V pour permettre à vos machines virtuelles de se connecter à Internet et aux réseaux externes via un réseau NAT et des redirections de ports.
![image19.png](/uploads/image19_8c522c99c5.png)

Redirection de port sur Hyper-V

# 1.	Introduction
Nous allons découvrir comment installer Windows Server 2025, le nouveau système d'exploitation de Microsoft conçu pour les serveurs. Cette procédure détaille le processus d'installation ainsi que les principales commandes à connaître. Pour en savoir davantage sur les nouveautés de Windows Server 2025, vous pouvez consulter nos articles spécialisés qui les présentent en détail.
# 2.	 Prérequis
•	Accès à un hôte VMware ESXi avec une version compatible avec Windows Server 2025. De préférence la version 8.

•	Fichier ISO de Windows Server 2025.

•	Accès aux informations de configuration réseau de l'entreprise ou un DHCP pour l’adresse IP, passerelle, DNS, etc...

•	Licence valide ou un KMS pour Windows Server 2025.

# 3.	Préparer l'hôte ESXi
## 3.1. Vérification de la compatibilité de la version ESXi
Broadcom introduit officiellement la prise en charge de Windows Server 2025 dans la version vSphere ESXi 8.0.3.

Pour plus d'informations :
[Windows Server 2025 Guest OS Option in vSphere ESXi 8.0.3](https://knowledge.broadcom.com/external/article/371344/windows-server-2025-guest-os-option-is-n.html)
## 3.2. Téléchargement de l'ISO de Windows Server 2025
Si vous possédez une licence officielle, vous pouvez accéder au portail de Microsoft pour télécharger l'image ISO officielle de Windows Server 2025.
Pour les utilisateurs sans licence, il est possible de demander une version d’essai en remplissant le formulaire disponible sur :
[Microsoft Eval Center - Évaluation de Windows Server 2025.](https://www.microsoft.com/fr-fr/evalcenter/evaluate-windows-server-2025)
Cette version d’évaluation est activée pour une période de 180 jours.
Autre solution : téléchargement d’un ISO non officiel
Dans certains cas, vous pouvez télécharger un ISO provenant de sites tiers qui republient l'ISO original sous licence. Si vous optez pour cette solution, je recommande le site suivant, qui centralise les outils Microsoft de manière complète :
[Massgrave - Windows Server Links.](https://massgrave.dev/windows_server_links)
Remarque importante : Le téléchargement d’ISO depuis des sources non officielles comporte des risques, notamment en termes de sécurité et de conformité avec les conditions d'utilisation de Microsoft.
![image1.png](/uploads/image1_6885da4226.png)
Une fois le téléchargement terminé, renommez le fichier comme indiqué en .iso, en retirant les chiffres ou caractères supplémentaires situés après l'extension .iso, comme illustré ci-dessous.
![image2.png](/uploads/image2_64d2d1a7a6.png)
![image3.png](/uploads/image3_7fce63ee23.png)
Vous pouvez également le renommer avec un nom plus explicite, par exemple Windows_Server_2025_en-us
![image4.png](/uploads/image4_2c658d499e.png) 
## 3.3. Mise à disposition de l'ISO sur l'hôte ESXi
### 3.3.1. Connexion à l'interface utilisateur de vSphere Client
![image5.png](/uploads/image5_7f814f0dd6.png)
### 3.3.2. Chargez l'ISO dans l’hôte ESXi
Cliquez sur Stockage, restez dans l’onglet Banques de données, puis ouvrez l’explorateur de banque de données. Sélectionnez votre banque de données, puis créez un répertoire nommé ISO.
![image6.png](/uploads/image6_001701850d.png)
Téléchargez votre fichier ISO dans le répertoire que vous avez créé. Sélectionnez votre ISO depuis votre emplacement de téléchargement, puis cliquez sur Ouvrir pour l'ajouter. 
![image7.png](/uploads/image7_7e467201d7.png)
Vous pouvez fermer la fenêtre et attendre que la tâche soit terminée.
 ![image8.png](/uploads/image8_a1e84670e5.png)
# 4.Créer une nouvelle machine virtuelle sur ESXi
## 4.1. Accéder à l'assistant de création de machine virtuelle
![image9.png](/uploads/image9_3f1d659a00.png)
Choisissez Créer une nouvelle machine virtuelle, puis cliquez sur Suivant.
![image10.png](/uploads/image10_1208184bb5.png)
Renseignez le nom Renseignez le nom de la VM et laissez la compatibilité sur la version actuelle d'ESXi (notez que vous ne pourrez pas migrer vers une version antérieure). Sélectionnez Windows pour la Famille de systèmes d'exploitation invités. Choisissez Microsoft Windows Server 2025 (64 bits) pour la Version du SE invité.Si compatible, activez Sécurité basée sur la virtualisation de Windows.Cliquez sur Suivant.
![image11.png](/uploads/image11_fc1662e316.png)
Sélectionnez le DataStore où vous souhaitez stocker la VM Windows Server 2025, Suivant.
![image12.png](/uploads/image12_66338f0362.png)
Pour la configuration des ressources matérielles, je recommande les paramètres suivants : 2 vCPU, Mémoire : allouez entre 4 et 8 Go, Stockage : configurez un disque dur virtuel d’au moins 50 Go.Pour de bonnes pratiques, créez un répertoire dédié portant le nom de votre machine virtuelle.Enfin, pour la carte réseau, choisissez le driver VMXNET 3 afin d’obtenir une carte réseau 10 Go.
![image13.png](/uploads/image13_b959f5fced.png)
Pour monter l'ISO de Windows Server 2025, allez dans Lecteur de CD/DVD 1, puis cliquez sur Fichier ISO et sélectionnez l'ISO depuis la banque de données.  
![image14.png](/uploads/image14_3eb2733d3d.png)
![image15.png](/uploads/image15_fe46b36d75.png)
Vous pouvez cliquer sur Suivant, mais avant cela, veillez à choisir correctement le réseau auquel votre machine virtuelle sera connectée.
![image16.png](/uploads/image16_4737527b8b.png)
Enfin, vérifiez votre configuration, puis validez-la en cliquant sur Terminer.
![image17.png](/uploads/image17_8082f5eb84.png)
Ensuite, allez dans l'onglet Machines virtuelles, sélectionnez la machine que vous avez créée, puis démarrez-la en cliquant sur Mettre sous tension ou sur le bouton Play.
![image18.png](/uploads/image18_caaa1c07f0.png)
Comme indiqué, au démarrage, appuyez sur la touche pour lancer le boot depuis le CD/DVD.
![image19.png](/uploads/image19_1ec6325067.png)
Vous devriez arriver sur l'écran Windows Server Setup. Choisissez les options qui vous conviennent, puis cliquez sur Suivant.
![image20.png](/uploads/image20_23dd2c2cab.png)
Il est important de vérifier la disposition du clavier, puis cliquez sur Suivant.
![image21.png](/uploads/image21_2f2dfb49cc.png)
Sélectionnez l'option Installation de Windows Server, puis donnez votre accord et Suivant.
![image22.png](/uploads/image22_1dc9322693.png)
Si vous avez une clé de Windows Server 2025, entrez-la. Sinon, cliquer sur pas de clé produit
![image23.png](/uploads/image23_b83ee38528.png)
Ensuite, sélectionnez l'image avec Expérience bureau et cliquez sur Suivant.
 ![image24.png](/uploads/image24_f3207b094f.png)
Acceptez les conditions de licence de Microsoft Windows Server, puis cliquez sur Suivant.
![image25.png](/uploads/image25_2c2a99c863.png)
Cliquez sur le disque que vous avez alloué, puis cliquez sur Suivant. L'installation commencera ensuite.
![image26.png](/uploads/image26_18e134fec2.png)
L'installation prendra entre 5 et 10 minutes, en fonction de la vitesse de vos disques. 
![image27.png](/uploads/image27_6e15e4c4df.png)
Si, une fois l'installation terminée, il vous demande une clé, sélectionnez Plus tard.
![image28.png](/uploads/image28_e4288e234d.png)
 Créez un mot de passe robuste pour le compte Administrateur du serveur.
![image29.png](/uploads/image29_273f13a68a.png)
Déverrouillez votre machine aller sur Actions avec votre souris dérouler sur SE invité, Envoyez les touches et cliquer sur Ctrl-Alt-Suppr et taper votre mot de passe. 
![image30.png](/uploads/image30_5ed53eaa84.png)
Cliquez sur la deuxième option qui donne le moins d’information à Microsoft et Accepter.
 ![image31.png](/uploads/image31_733e526ef4.png)
Vous avez terminé l’installation de Windows server 2025
 ![image32.png](/uploads/image32_18bb9462af.png)
# 5.	Configuration minimale sur Windows server
## 5.1. Installation des VMware Tools
Pour installer VMware Tools sur votre machine, allez dans Actions, faites défiler vers SE invité, puis cliquez sur Installer les VMware Tools.
![image33.png](/uploads/image33_bc8f93d202.png)
Allez sur votre Explorateur de fichiers et cliquer sur le DVD Drive (D:) VMware Tools.
 ![image34.png](/uploads/image34_b00c16ce25.png)
Cliquez sur le setup64.exe pour lancer l’installation. 
![image35.png](/uploads/image35_3742773955.png)
Pour l'installation, aucune modification n'est nécessaire. Cliquez sur Suivant, puis sur Terminer. On vous demande de redémarrer, sélectionnez Non pour redémarrer plus tard.
## 5.2. Configuration carte réseau en IP statique
Dans la barre de recherche, tapez la commande « ncpa.cpl », puis appuyez sur Entrée. Cela ouvre directement la gestion de vos cartes réseau. 
![image36.png](/uploads/image36_3c10b490df.png)
Une fois dans le panneau de contrôle des réseaux, cliquez sur votre carte réseau, puis sur Propriétés. Décochez le Protocole IPv6 (car il n'est pas utilisé ici), puis sélectionnez Protocole IPv4.Vous arriverez sur la configuration IP de votre machine. Par défaut, elle sera en mode DHCP. Si le réseau que vous avez affecté distribue des adresses IP, une adresse sera attribuée automatiquement. Cependant, il est préférable de configurer une adresse IP statique. Assurez-vous que votre configuration réseau correspond à celle de votre routeur. Une fois la configuration terminée, cochez la case pour valider et cliquez sur OK puis OK. Si un message d’erreur apparaît, annulez-le.
Si votre machine est sur un réseau exposé à Internet, elle devrait pouvoir y accéder.
![image37.png](/uploads/image37_91adb9eda1.png)
 Vous devriez maintenant avoir accès à Internet. N'oubliez pas de lancer les mises à jour du serveur pour vous assurer que votre système est à jour et sécurisé.
![image38.png](/uploads/image38_3354393bc3.png)
## 5.3. Mettre à jour et le nom de votre serveur
Dans la barre de recherche, tapez la commande « sysdm.cpl », puis appuyez sur Entrée. Cela ouvrira directement les Propriétés système.
![image39.png](/uploads/image39_5f242486cb.png)
Une fois dessus cliquez sur changer, écrivez le nom et faites OK et OK.
![image40.png](/uploads/image40_e89b8a96e4.png)
Ensuite profitez d’être dans les propriétés systèmes pour activer l’utilisation à distance. 
![image41.png](/uploads/image41_f7d09d5ff4.png)
Indiquez que vous souhaitez redémarrer plus tard en sélectionnant l'option appropriée.
 ![image42.png](/uploads/image42_d1d70ca0e5.png)
## 5.4.	Activer Windows Server 2025 sous KMS
Il est impératif d'avoir une connexion Internet. Ouvrez simplement PowerShell en tant qu'administrateur.
 ![image43.png](/uploads/image43_70cd40eea2.png)
Ensuite, retournez sur le site où vous avez téléchargé l'ISO, à savoir [Massagrave](https://massgrave.dev/). Exécutez ensuite la commande suivante dans PowerShell.
 ![image44.png](/uploads/image44_7696236e68.png)
Vous pouvez ensuite choisir le ONLINE KMS avec la touche 4 ou le KMS38 avec la touche 3
 ![image45.png](/uploads/image45_76e2e23e5d.png)
Appuyez sur la touche 1 pour lancer l’activation de Windows Server 2025
 ![image47.png](/uploads/image47_e05f0fa629.png)
Une fois l'activation terminée, vérifiez que toutes les mises à jour en arrière-plan sont effectuées. Lorsque cela est fait, lancez le redémarrage du serveur. Une fois le serveur redémarré, il sera prêt à recevoir vos premiers services.
 ![image46.png](/uploads/image46_c0ebd6f294.png)
![image48.png](/uploads/image48_b1ab2be8fa.png)
#### Une fois l'activation terminée, vérifiez que toutes les mises à jour en arrière-plan sont effectuées. Lorsque cela est fait, lancez le redémarrage du serveur. Une fois le serveur redémarré, il sera prêt à recevoir vos premiers services.



Installation Windows Server 2025 sur ESXi

# Utiliser un certificat signé par une autorité sur une ferme RDS

Dans ce tutoriel vous allez découvrir comment installer et renouveler un certificat SSL valide distribué par une autorité de confiance sur une ferme RDS, ce qui vous permettra de rendre accessible aisément votre infrastructure à des postes hors domaines sans distribution manuelles de certificats.

## Infrastructure de test utilisée
- Ferme RDS composée d'un serveur gateway/broker et deux client RDS
- PC hors domaine pour tester la validité du certificat

Afin d'effectuer les tests, nous utiliserons le FQDN suivant pour la ferme RDS : rds.it-discover.fr
Le certificat sera généré par le biais de la version gratuite de ZeroSSL [https://zerossl.com/](link), vous pouvez très bien utiliser DigiCert, Let's Encrypt, etc.

## Pré-requis 
- Une ferme RDS avec une gateway
- Un (sous)-domaine qui pointe vers votre ferme RDS
- Les accès à votre registrar (OVH, Amen, Gandi, etc)
- OpenSSL d'installé sur votre poste  [https://slproweb.com/products/Win32OpenSSL.html](link)

Si vous êtes prêt, c'est parti !

## Génération du certificat

Dans un premier temps, pointer votre (sous-)domaine si ce n'est pas déjà fait vers l'IP publique de votre gateway. Si un NAT est nécessaire, n'oubliez pas dans votre pare-feu d'ouvrir le port 443.

Une fois ceci fait, rendez-vous sur votre FQDN (ici rds.it-discover.fr), vous devriez bien tomber sur votre gateway avec une erreur de certificat :
![Capture d'écran 2024-06-07 141622.png](/uploads/Capture_d_ecran_2024_06_07_141622_aebfcc43fc.png)

Rendant de plus, impossible la connexion via l'outil natif de RDP dans le cadre de la ferme RDS.

Si la redirection est bonne, allons générer le certificat. Pour se faire, j'ai choisi de passer par ZeroSSL comme évoqué plus haut. La manipulation demeure assez similaire quelque soit le fournisseur. 

Rendez-vous sur ZeroSSL et indiquez votre domaine, puis faites Next Step :

![Capture d'écran 2024-06-07 141831.png](/uploads/Capture_d_ecran_2024_06_07_141831_24908006e4.png)

Si vous n'avez pas de compte, créez-en un, sinon connectez-vous :

![Capture d'écran 2024-06-07 143034.png](/uploads/Capture_d_ecran_2024_06_07_143034_a1420ecebc.png)

Puis, vous arrivez sur l'interface de création de certificat. Si comme moi vous souhaitez passer par la version gratuite, cochez 90 Jours, ce qui correspond à la durée du certificat, et faites Next Step :

![Capture d'écran 2024-06-07 143125.png](/uploads/Capture_d_ecran_2024_06_07_143125_c2661c005b.png)

Cocher Auto CSR afin de remplir automatiquement la demande du certificat, puis faites Next Step :

![Capture d'écran 2024-06-07 143133.png](/uploads/Capture_d_ecran_2024_06_07_143133_4f3632ca6a.png)

Enfin, vérifiez bien que le plan souhaité est bien sélectionné et faites Next Step :

![Capture d'écran 2024-06-07 143142.png](/uploads/Capture_d_ecran_2024_06_07_143142_a769d373fd.png)

Votre certificat est maintenant créé, plus que l'étape de la validation à faire. Pour ceci, cochez "DNS (CNAME)" et faites pointer les valeurs fournies sur votre registrar. Quand ceci est fait, faites Next Step puis Verify domain.

![Capture d'écran 2024-06-07 143949.png](/uploads/Capture_d_ecran_2024_06_07_143949_675adea10c.png)

Si les vérifications ont été correctes, vous arriverez sur la page finale permettant de télécharger votre certificat, si tel est le cas téléchargez le.

![Capture d'écran 2024-06-07 144701.png](/uploads/Capture_d_ecran_2024_06_07_144701_c021c8d0aa.png)

## Conversion du certificat

Dézipper le fichier .ZIP précédemment téléchargé.

Vous vous retrouverez avec 3 fichiers :
- ca_bundle.crt
- cert.crt
- private.key
_Les noms peuvent varier selon le fournisseur_


Afin d'installer le certificat sur notre serveur, il nous faut un fichier combiné au format PFX. Ainsi, lancez un invite de commande et rendez-vous dans le dossier où se situe les fichiers précédemment décompressés.
Une fois ceci fait, entrez la commande suivante, entrez un mot de passe pour protéger le certificat et voilà, votre certificat est maintenant combiné :

```
openssl pkcs12 -export -out MonNouveauCertificat.pfx -inkey private.key -in cert.crt
```

## Installation/renouvellement du certificat

Copiez ce nouvellement créé fichier PFX directement sur la Gateway de votre ferme RDS, et connectez-vous dessus.
Ouvrez la barre de recherche Windows et lancez le Gestionnaire de passerelle Bureau à distance :

![Capture d'écran 2024-06-07 150139.png](/uploads/Capture_d_ecran_2024_06_07_150139_13728a0c1d.png)

Faites clic-droit sur votre serveur, puis Propriétés :

![Capture d'écran 2024-06-07 150159.png](/uploads/Capture_d_ecran_2024_06_07_150159_604136905f.png)

Cliquez sur Certificat SSL, puis "Parcourir et importer un" et importez le fichier PFX déposé précédemment. Entrez le mot de passe entré lors de la conversion avec OpenSSL. Puis, faites OK.

![Capture d'écran 2024-06-07 150805.png](/uploads/Capture_d_ecran_2024_06_07_150805_1fbc5dc06f.png)

Une fois ceci fait, si vous vous rendez sur le FQDN de votre ferme RDS (ici rds.it-discover.fr), plus aucune erreur n'apparaîit :

![Capture d'écran 2024-06-07 151026.png](/uploads/Capture_d_ecran_2024_06_07_151026_6860609b2e.png)

Il en est de même pour le RDP, vous pouvez maintenant utiliser la connexion à distance sans erreurs de certificats.

Nos derniers articles

Durcissement CIS Linux sur la distribution Almalinux

Installation du service Active Directory sur Windows server 2025

Activer la connexion par clé SSH sur un serveur Linux

Pulumi vs Terraform: Pourquoi Pulumi n'est pas toujours le meilleur choix

Voir les tags