(modifié le 6 juin 2022 à 0:17)

S'il est possible de rejoindre un domaine Active Directory depuis le panneau "win+R > systempropertiescomputername" il est possible de le faire en PowerShell.

2 avantages à cela :

• l'ordinateur arrive directement dans la bonne OU
• réalisable sur Windows Server version Core

Récupérer le DN de l'OU cible

Avant tout il faut connaître le chemin de l'OU de destination.

C'est le container dans lequel le compte ordinateur de la machine qui va rejoindre le domaine va arriver. On parle alors de DN (distinguished name), c'est un chemin dans l'arborescence de l'annuaire LDAP.

Pour le trouver, depuis votre contrôleur de domaine :

• lancer dsa.msc (utilisateurs et ordinateurs AD)
• menu Affichage > Fonctionnalités avancées
• Localiser l'OU cible puis clic droit > propriétés
• onglet "éditeur d'attributs"
• cliquer sur distinguishedName > afficher
• copier la valeur (ctrl+c)

Si vous utilisez Hyena vous trouverez également l'info facilement.

Rejoindre le domaine en PowerShell

Lancer une invite PowerShell en tant qu'administrateur puis :

Add-Computer -DomainName "bm.lab" -OUPath "OU=SRV-PROD,DC=BM,DC=LAB"

• -DomainName = nom FQDN de votre domaine AD
• -OUPath = DN de l'OU récupérée à l'étape précédente

Une popup apparaît ensuite vous demandant les identifiants d'un compte autorisé à rejoindre le domaine (administrateur ou autre).

Si la jointure a fonctionné le message suivant apparaît :

AVERTISSEMENT : Les modifications seront prises en compte après le redémarrage de l'ordinateur CLIENT-2016.

Il ne reste plus qu'à redémarrer la machine: restart-computer

Pour enfin pouvoir vous connecter avec un compte de domaine.

A partir de Windows Server 2012 vous pouvez ajouter le switch "-restart" pour enchainer le reboot immédiat après la jointure :

Add-Computer -DomainName "bm.lab" -OUPath "OU=SRV-PROD,DC=BM,DC=LAB" -restart

En cas de problème ajoutez le switch "-verbose" pour avoir plus de détails sur les potentielles erreurs.

Joindre le domaine sans saisir le mot de passe

Pour ne pas avoir à saisir de mot de passe (à éviter en environnement de production - lien) :

$login= "bm\administrateur"
$mdp= "MonSuperPassword" | ConvertTo-SecureString -AsPlainText -Force
$cred= New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList $login,$mdp
Add-Computer -DomainName "bm.lab" -DomainCredential $cred -Restart -Verbose

Attention : votre mot de passe sera stocké en clair et ce sera d'autant plus problématique s'il s'agit d'un compte avec des droits étendus tel que le compte admin du domaine.

Quitter le domaine (revenir en workgroup)

Pour quitter le domaine et repasser en WORKGROUP :

Add-Computer -WorkgroupName WORKGROUP -restart

Conclusion

Vous savez maintenant comment facilement rejoindre ou quitter un domaine AD, sans avoir à déplacer le compte ordinateur.

Sachez aussi que l'utilitaire sconfig est particulièrement utile pour faire la même chose, mais il faudra déplacement manuellement le compte ordinateur après la jointure.

Si tous vos comptes ordinateurs arrivent au même endroit vous pouvez changer le chemin de l'OU de destination avec redicmp. C'est une question d'organisation, à vous de voir 😉