Utilisation de noms DNS à étiquette unique pour Active Directory

Avant Active Directory, les noms de domaine Windows NT n’étaient pas entièrement qualifiés, mais simplement des noms à étiquette unique. Pour Active Directory, il n’est pas recommandé d’utiliser un nom de domaine à étiquette unique. La meilleure pratique consiste à mettre en œuvre des domaines Active Directory qui ont des noms DNS entièrement qualifiés.

Il y a de nombreuses raisons de ne pas utiliser un nom de domaine à étiquette unique, notamment

Les noms DNS à étiquette unique ne peuvent pas être enregistrés en utilisant un bureau d’enregistrement Internet. C’est une pratique générale que d’enregistrer votre nom de domaine Active Directory auprès d’un registraire Internet, même si vous ne prévoyez pas d’être présent sur Internet. Si, à l’avenir, votre organisation crée une présence sur Internet, votre nom de domaine pourrait ne plus être disponible.
Les ordinateurs clients et les contrôleurs de domaine qui sont joints à des domaines à étiquette unique nécessitent une configuration supplémentaire pour enregistrer dynamiquement les enregistrements DNS dans les zones DNS à étiquette unique.
Les ordinateurs clients et les contrôleurs de domaine peuvent nécessiter une configuration supplémentaire pour résoudre les requêtes DNS dans les zones DNS à étiquette unique.
Certaines applications basées sur des serveurs sont incompatibles avec les noms de domaine à étiquette unique.
La transition d’un nom de domaine DNS à étiquette unique vers un nom DNS pleinement qualifié est très facile et généralement perturbante. Pour passer à un FQDN, votre infrastructure doit être migrée vers une nouvelle forêt ou vous devez effectuer un renommage du domaine existant. Certaines applications basées sur des serveurs sont incompatibles avec la fonction de renommage de domaine, comme les versions d’Exchange, Live Communications Server, Operations Manager, SharePoint, SMS, etc…

Il est recommandé que les noms de domaine Active Directory soient composés d’un ou plusieurs sous-domaines combinés à un domaine de premier niveau séparé par un point (.). Voici quelques exemples :

• journaldufreenaute.fr
• internal.journaldufreenaute.fr
• journaldufreenaute.local

Bien que le domaine puisse fonctionner à l’aide d’un seul nom de label, il peut s’avérer difficile de faire fonctionner correctement le DNS dynamique. Le problème est que, par défaut, Windows n’envoie pas de mises à jour aux domaines de premier niveau. Dans ce cas, le nom à étiquette unique est considéré comme le « premier niveau ». Vous pouvez changer ce comportement en modifiant le registre ou en créant un GPO pour appliquer les paramètres à vos systèmes.

Les modifications suivantes du registre doivent être effectuées sur tous les membres du domaine si vous utilisez la méthode du registre. Pour permettre à un membre du domaine Active Directory d’utiliser le DNS pour localiser les contrôleurs de domaine dans les domaines qui ont des noms DNS à étiquette unique et qui se trouvent dans d’autres forêts, procédez comme suit :

Localisateur de contrôleur de domaine Regedit.

Cliquez sur Démarrer, cliquez sur Exécuter, tapez regedit, puis cliquez sur OK.
Localisez la sous-clé suivante, puis cliquez dessus :

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters.
• Dans le volet de détails, recherchez l’entrée AllowSingleLabelDnsDomain. Si l’entrée AllowSingleLabelDnsDomain n’existe pas, créez-la :
• Dans le menu Edition, pointez sur Nouveau, puis cliquez sur Valeur DWORD.
• Saisissez AllowSingleLabelDnsDomain comme nom d’entrée, puis appuyez sur ENTRÉE.
• Double-cliquez sur l’entrée AllowSingleLabelDnsDomain.
• Dans la zone de données Valeur, tapez 1, puis cliquez sur OK.
• Quittez l’éditeur de registre.

Comment masquer le message « Configuration requise

Configuration du client DNS Regedit pour les serveurs pré-Windows 2003.

Cliquez sur Démarrer, cliquez sur Exécuter, tapez regedit, puis cliquez sur OK.
Localisez et cliquez sur la sous-clé suivante : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DnsCache\Parameters.
Dans le volet de détails, recherchez l’entrée UpdateTopLevelDomainZones. Si l’entrée UpdateTopLevelDomainZones n’existe pas, procédez comme suit :

• Dans le menu Edition, pointez sur Nouveau, puis cliquez sur Valeur DWORD.
• Saisissez UpdateTopLevelDomainZones comme nom d’entrée, puis appuyez sur ENTRÉE.
• Double-cliquez sur l’entrée UpdateTopLevelDomainZones.
• Dans la zone de données Valeur, tapez 1, puis cliquez sur OK.
• Quittez l’éditeur de registre.

Configuration du client DNS Regedit pour Windows 2003 Server et versions ultérieures.

Cliquez sur Démarrer, cliquez sur Exécuter, tapez regedit, puis cliquez sur OK.
Localisez et cliquez sur la sous-clé suivante : HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient.
Dans le volet de détails, recherchez l’entrée UpdateTopLevelDomainZones. Si l’entrée UpdateTopLevelDomainZones n’existe pas, procédez comme suit :

• Dans le menu Edition, pointez sur Nouveau, puis cliquez sur Valeur DWORD.
• Saisissez UpdateTopLevelDomainZones comme nom d’entrée, puis appuyez sur ENTRÉE.
• Double-cliquez sur l’entrée UpdateTopLevelDomainZones.
• Dans la zone de données Valeur, tapez 1, puis cliquez sur OK.
• Quittez l’Éditeur du registre.

Comment modifier votre serveur DNS sur un Mac

Redémarrez les ordinateurs sur lesquels vous avez modifié le registre.

Vous pouvez également utiliser la stratégie de groupe pour activer la stratégie Mise à jour des zones de domaine de premier niveau et la stratégie Emplacement des DC hébergeant un domaine avec un nom DNS à étiquette unique. Définissez ces stratégies sur ENABLED. Cette politique doit être liée à l’objet domaine.

Mettez à jour les zones de domaine de premier niveau : Configuration des ordinateurs\Modèles administratifs\Network\Client DNS

Emplacement des DCs hébergeant un domaine avec un nom DNS unique : Configuration des ordinateurs\Administrative Templates\System\Net Logon\DC Locator DNS Records