macOS Monterey Connexion à l'AD

[m0rp3us]

Bonjour à toutes et tous!

Désolé si ce sujet a déjà été traité (j'ai cherché mais je n'ai pas trouvé son équivalent).

Je suis en train de mettre en place une petite structure avec une dizaine de postes Mac et une dizaine de postes PC. J'ai mis en place un serveur sous Windows 2019 et l'idée c'était de passer par Active Directory. Les comptes sont crées, ça fonctionne via les PC mais sous Mac, je rencontre beaucoup de difficultés.

Les DNS sont rentrés, le mappage avec l'AD est fait, voyant au vert avec le nom du domaine, il n'y a pas de tiret dans le nom des machines, le réseau est ok (je vois le serveur depuis les mac) l'ouverture de session automatique est désactivé sauf que, au démarrage des machines et à l'ouverture de session, je n'ai pas le second icone qui apparait avec le choix de l'utilisateur (celui grisé avec 2 bonhommes et qui permet donc de se connecter avec l'un des comptes de l'AD).

Cela a fonctionné 1x, sur un des postes Mac, sans que je change quoi que ce soit à la procédure. Et depuis, même avec ce poste, impossible de retrouver cette possibilité. J'avoue que je sèche, il n'y a pas grande information à ce sujet, ni solutions... Auriez-vous des pistes?

Mille mercis d'avance

 

[lolipale]

bonjour,

Que dit l'utilitaire d'annuaire ? Arrivez-vous à récupérer les informations de l'AD (via l'onglet Editeur d'annuaire et le menu déroulant) ?

 

[m0rp3us]

bonjour,

Que dit l'utilitaire d'annuaire ? Arrivez-vous à récupérer les informations de l'AD (via l'onglet Editeur d'annuaire et le menu déroulant) ?

Bonjour lolipale,

Merci pour ta réponse.

Alors, la pastille est verte à côté du nom du domaine par contre, c'est écrit maintenant "Ce serveur ne se trouve pas dans vos règles de recherche d'authentification". L'erreur provient peut-être de là?

 

[m0rp3us]

Bonjour lolipale,

Merci pour ta réponse.

Alors, la pastille est verte à côté du nom du domaine par contre, c'est écrit maintenant "Ce serveur ne se trouve pas dans vos règles de recherche d'authentification". L'erreur provient peut-être de là?

J'ai rajouté le domaine dans les règles, rien y fait...

Par contre: j'ai pu observer des tutos où la manip est relativement simple... Cependant, pour qu'il détecte et se lie au serveur, j'ai dû rentrer le DNS de l'AD dans la config réseau du mac... Ce qui n'était jamais précisé dans les tutos... Le soucis viendra d'ici?

 

[lolipale]

Bonjour,

Avec un AD, les problèmes sont souvent des problèmes de DNS. Il faut évidemment que les réglages DNS du mac pointe vers le DNS de l’AD.

Il faut vérifier avec l’utilitaire d’annuaire que vous parvenez bien à « browser » l’AD. Vous devriez pouvoir voir entre autres les noms de tous les utilisateurs AD sans obtenir d’erreur !

Vous pouvez aussi utiliser un profil de configuration pour lier vos postes à un AD. bizarrement, cela marche parfois mieux que lorsque l'on le fait de manière manuelle. Voici un excellent générateur de profils pour macOS (et il est gratuit) : https://imazing.com/profile-editor

 

[m0rp3us]

Merci pour le temps passé sur "mon cas"

J'ai une erreur: " Connection failed to node 'Active Directory/Serveur/All Domains' (2100) "

 

[lolipale]

Bonjour,

Pas de problème pour l'aide. Do ut es !
Vous devriez rompre la liaison du mac avec l'AD, supprimer la référence de l'ordinateur dans l'AD (OU computers par defaut) et recommencer la liaison.
Avez-vous encore une erreur ?

 

[m0rp3us]

Désolé de ma réponse tardive

J'ai une piste de réflexion mais malheureusement pas la solution... Je cherche mais j'ai attrapé plein de cheveux gris

En premier lieu, je me suis assuré que dans l'AD l'identité du Mac ne s'y trouve plus. J'ai refait une install propre sous Ventura (c'est un M1) et j'ai remarqué un truc...

Lorsque je le connecte à l'AD, le nom du serveur apparaît en minuscule, le voyant est vert et j'ai accès à la liste des utilisateurs de l'AD via l'annuaire...

Sauf qu'au redémarrage, je n'ai déjà pas la possibilité de choisir un utilisateur... Et le nom du serveur apparaît en majuscule cette fois... Ce détail a toute son importance car du coup, avec ce nom en majuscule, je n'arrive plus à voir les utilisateurs de l'AD et j'ai cette fameuse erreur 2100...!

Selon comment le Mac est connecté à l'AD, sous "Utilisateurs et groupes" et "Serveur de comptes réseau" c'est écrit Plusieurs et je retrouve dans la liste SERVEUR et Serveur... Et si je supprime celui en majuscule et que je redémarre, celui écrit en minuscule disparaît aussi...! Wtf!!!

Petite précision: au redémarrage, le nom du serveur apparaît donc en majuscule et c'est écrit à côté "Ce domaine répond normalement. Ce serveur ne..." et je ne peux pas continuer la phrase car la fenêtre est trop petite et je ne vois pas la suite du message

 

[lolipale]

Bonjour,

Vous devez opter pour une fenêtre de session avec champs pour les identifiants.
Vous ne verrez pas les utilisateurs de l'AD sur la fenêtre d'ouverture de session.
En revanche, si vous saisissez les identifiants d'un utilisateur AD reconnu, le mac va ouvrir une session.

Ne vous souciez pas de voir si le serveur apparaît en minuscule ou majuscule.
Si le voyant est vert, c'est que la station est bien liée à l'AD.

Attention toutefois, vérifiez bien que vos réglages avec l'utilitaire d'annuaire permettent la création d'un compte mobile ... faute de quoi vous n'aurez droit qu'à une session "virtuelle" et que les réglages effectués par l'utilisateur disparaîtront à la fermeture de session.

Aujourd'hui, pour votre information, Apple ne recommande plus de se lier à un Active Directory mais d'utiliser leur "succédané de SSO.
A noter que la méthode classique de lien avec un AD fonctionne correctement une fois configurée (y compris avec macOS Ventura)
Voici l'explication d'Apple pour le SSO en vidéo : https://developer.apple.com/videos/play/tech-talks/301/ et aussi https://support.apple.com/fr-be/guide/deployment/depe6a1cda64/web

A votre disposition

 

[m0rp3us]

Bonjour!

Merci pour le suivi

Vous devez opter pour une fenêtre de session avec champs pour les identifiants.

Impossible de le faire

Je me suis dirigé sur le support Apple, notamment ici: https://support.apple.com/fr-ch/gui...ac, choisissez le,», puis cliquez sur Options.

Je n'ai pas d'option "Autoriser les utilisateurs réseau à se connecter à la fenêtre d’ouverture de session"... Je n'ai que le compte Admin local, en ayant désactivé la connexion automatique à l'ouverture de session.

J'ai joint des captures d'écran...

Merci pour le SSO, je ne connaissais pas, je vais voir en attendant

 

[lolipale]

Bonjour,

Pour pouvoir sélectionner le type d'affichage de la fenêtre de session, il faut se rendre dans Réglages Système puis Ecran verrouillé (merci encore à Apple de vouloir transformer à tous prix un Mac en iPhone avec ces "réglages" revisités. Pour rappel, le mieux est toujours l'ennemi juré du bien ... ;-)

 

[m0rp3us]

Bonjour

Ahlala merci, en effet... Je ne me souvenais plus où il fallait aller chercher cette option...

Sauf que, ça ne fonctionne pas

J'ai volontairement crée un compte "test" dans l'AD et impossible de s'y connecter, même comme ça...

 

[m0rp3us]

UP...

J'ai fait quelques modifs matérielles sur le serveur, j'en ai profité pour faire une réinstallation complète. J'ai également testé de créer le domaine en majuscule...

Bah, ça fonctionne du coup!!! Merci beaucoup pour toute l'aide!

 

[Jipouh]

J'ai enfin trouvé une solution après pas mal de temps de recherches !

Après avoir connecté le poste à l'AD, il faut aller dans Réglages Système > Écran verrouillé > (cochez) Nom et mot de passe.
Cette étape permettra d'afficher les champs du nom et du mot de passe à l'écran de connexion pour un autre utilisateur.
Attention de bien déconnecter le compte sur lequel vous apportez ces modifications avant de tenter de vous connecter avec un autre utilisateur. Sinon, le choix d'un autre utilisateur pourrait ne pas apparaître.
Une fois avoir créé la session, vous pourrez recocher "Liste d'utilisateurs" pour que la personne n'ait pas besoin de mettre son identifiant AD à chaque fois mais juste à sélectionner son compte.
De plus ça fera apparaitre "Autres" dans la sélection des sessions.

 

[lolipale]

Bonjour,

Il est aussi possible de faire la combinaison de touches alt + enter pour obtenir les champs de saisie depuis la page de login avec les noms.