Aller au contenu principal

Tutoriel de configuration de Windows WSMAN

Introduction​

WS-Management est une spécification du DMTF, définissant un protocole de communication pour l'administration des serveurs, équipements, et applications basé sur les web services (SOAP).

Configuration de WinRM​

Configuration de WSMAN​

Sur votre serveur Windows, ouvrez PowerShell avec les privilèges d'administrateur et exécutez les commandes suivantes.

Activez WinRM et autorisez l'accès à distance :

winrm quickconfig

Activer la methode d'authentification "Basic" :

winrm s winrm/config/service/auth '@{Basic="true"}'

Configuration du Firewall​

  • Ouvrez Gestionnaire de serveur

  • Dans le menu Outils, sélectionnez Pare-feu Windows Defender avec sécurité avancée

  • Cliquez sur Règles entrantes

  • Cliquez sur Nouvelle règle...

  • Cliquez sur Port, puis sur Suivant

    image

  • Saisissez la valeur 5986 dans le champ Ports locaux spécifiques et cliquez sur Suivant.

    image

  • Vérifiez que Autoriser la connexion est sélectionné, puis cliquez sur Suivant.

    image

  • Sur la page suivante, sélectionnez les profils de pare-feu pour lesquels la règle doit s'appliquer, puis cliquez sur Suivant.

    image

* Sur la page suivante, donnez un nom à la règle, puis cliquez sur Terminer.

image

Créer un certificat auto-signé​

Ouvrez PowerShell avec des privilèges d'administrateur et exécutez la commande suivante, en remplaçant @HOSTNAME@ avec la valeur correcte.

New-SelfSignedCertificate -Subject 'CN=@HOSTNAME@' -TextExtension '2.5.29.37={text}1.3.6.1.5.5.7.3.1'

Copiez Thumbprint pour l'étape suivante :

image

Créez le port WinRM HTTPS en remplaçant les valeurs @HOSTNAME@ et @THUMBPRINT@ par les valeurs correctes.

winrm create winrm/config/Listener?Address=*+Transport=HTTPS  '@{Hostname="@HOSTNAME@";CertificateThumbprint="@THUMBPRINT@"}'

À partir d'ici, vous pouvez superviser votre serveur Windows en utilisant le compte administrateur local.

Nous déconseillons fortement l'utilisation d'un compte administrateur au sein de Centreon.

## Configuration d'un utilisateur dédié

Cette section décrit comment configurer un utilisateur local et les privilèges minimum pour surveiller votre serveur.

Créer un utilisateur​

Ouvrez un PowerShell avec des privilèges d'administrateur.

Créez votre utilisateur :

net user @USERNAME@ @PASSWORD@ /add

Configuration des groupes​

Ouvrez Gestion de l'ordinateur et ajoutez votre utilisateur dans les groupes suivants :

  • Distributed COM Users

  • Event Log Readers

  • Performance Log Users

  • Performance Monitor Users

  • Remote Management Users.

    image

Configuration de l'accès WMI​

Dans PowerShell, exécutez la commande suivante :

WMImgmt.msc

Faites un clic droit sur Contrôle WMI, puis Propriétés :

image

Cliquez sur Sécurité :

image

Sélectionnez Root et cliquez sur Sécurité :

![image]image

Cliquez sur Ajouter..., sélectionnez le groupe Remote Management Users et définissez les autorisations suivantes :

  • Activé le compte
  • Appel à distance autorisé

image

Cliquez sur Appliquer et OK

Les autorisations ne sont pas appliquées de manière récursive, vous devrez donc répéter le processus précédent sur les répertoires suivants :

  • Root
  • Root/CIMV2
  • Root/DEFAULT
  • Root/RSOP
  • Root/RSOP/Computer
  • Root/WMI
  • Root/CIMv2/Security/MicrosoftTpm

Cliquez sur Appliquer et OK. Fermez la fenêtre WMImgmt.

Autoriser l'exécution de scripts​

Dans PowerShell, exécutez la commande suivante :

winrm configSDDL default

Ajoutez le groupe Remote Management Users. Définissez les droits suivants :

  • Lecture(Get,Enumerate,Subscribe)
  • Exécution(Invoke)

image

Click Apply and OK.

Accorder des autorisations pour les services​

Récupérer le SID de l'utilisateur​

Exécutez la commande suivante dans PowerShell, en remplaçant la valeur @USERNAME@ par la valeur correcte.

wmic useraccount where name="@USERNAME@" get name,sid

Output:

Name          SID

@USRNAME@  S-1-5-21-3051596711-3341658857-577043467-1000

Récupérer le SDDL actuel pour Service Control Manager​

A partir d'une invite de commandes Windows (cmd), exécutez la commande suivante :

sc sdshow scmanager

Votre SDDL ressemble à ceci :

D:(A;;CC;;;AU)(A;;CCLCRPRC;;;IU)(A;;CCLCRPRC;;;SU)(A;;CCLCRPWPRC;;;SY)(A;;KA;;;BA)(A;;CC;;;AC)(A;;CC;;;S-1-15-3-1024-528118966-3876874398-709513571-1907873084-3598227634-3698730060-278077788-3990600205)S:(AU;FA;KA;;;WD)(AU;OIIOFA;GA;;;WD)

Modifier SDDL​

Copiez cette sortie et ajoutez la section suivante (A;;CCLCRPRC;;;@USERSID@) dans la section D: juste avant la section S:.

Dans cet exemple, le SDDL ressemble maintenant à ceci :

D:(A;;CC;;;AU)(A;;CCLCRPRC;;;IU)(A;;CCLCRPRC;;;SU)(A;;CCLCRPWPRC;;;SY)(A;;KA;;;BA)(A;;CC;;;AC)(A;;CC;;;S-1-15-3-1024-528118966-3876874398-709513571-1907873084-3598227634-3698730060-278077788-3990600205)(A;;CCLCRPRC;;;S-1-5-21-3051596711-3341658857-577043467-1000)S:(AU;FA;KA;;;WD)(AU;OIIOFA;GA;;;WD)

Définir les informations d'identification de sécurité pour accéder au gestionnaire de contrôle des services​

Dans votre invite de commande Windows (cmd), exécutez la commande suivante en remplaçant @NEWSDDL@ par la valeur correcte :

sc sdset scmanager "@NEWSDDL@"

Dans cet exemple :

sc sdset scmanager "D:(A;;CC;;;AU)(A;;CCLCRPRC;;;IU)(A;;CCLCRPRC;;;SU)(A;;CCLCRPWPRC;;;SY)(A;;KA;;;BA)(A;;CC;;;AC)(A;;CC;;;S-1-15-3-1024-528118966-3876874398-709513571-1907873084-3598227634-3698730060-278077788-3990600205)(A;;CCLCRPRC;;;S-1-5-21-3051596711-3341658857-577043467-1000)S:(AU;FA;KA;;;WD)(AU;OIIOFA;GA;;;WD)"

À partir de là, votre utilisateur dédié est opérationnel et peut surveiller votre serveur Windows sans nécessiter de compte administrateur local.