Sommaire

Présentation du service KMS

Les groupes de clés en volume

Installation d'un server KMS

Sécurisation d'un serveur KMS

Création d'une GPO

Edition des ACLs de la GPO

Mise en place d'un filtre WMI sur la GPO

Configuration de la règle d'isolation

Liaison de la GPO au domaine

Gestion d'un serveur KMS

VAMT

L'invite de commande

Dépannage de votre serveur KMS

Conclusion

KMS (Key Management Service ou Service gestionnaire de clés) est un système permettant d'activer plusieurs hôtes de manière automatisée. Pour cela il faut avoir en sa possession une clé de licence en volume (VL) et un hôte (Windows Vista ou Windows Server 2008) hébergeant le service KMS. Avec l'arrivée de Windows Vista et Windows Server 2008 ce processus a changé considérablement par rapport à Windows Server 2003 et Windows XP. Dorénavant il n'est plus nécessaire d'installer de programmes supplémentaires ou de mises à jours pour utiliser ce service. KMS est une méthode simple permettant de gérer l'activation d'un parc informatique assez conséquent.

Le processus d'activation avec un serveur KMS est le suivant : un client Windows Vista ou Windows Server 2008 ou ultérieur tente de contacter l'hôte KMS automatiquement toutes les 2 heures. Après son activation l'hôte aura une période d'activation de 180 jours. Pendant ce délai il essaiera de s'activer de nouveau chaque 7 jours, pour que le compteur se réinitialise à 180 jours. Si le délai de 180 jours s'écoule sans que celui-ci ait réussi à s'activé il passe en mode notification (fonctionnalités réduites). Aussi pour limiter le piratage et s'assurer que ce service ne sera utilisé que dans un environnement d'entreprise, Microsoft a mis en place un seuil minimal. En effet, 5 ordinateurs physiques hébergeant Windows Server 2008 ou Windows Server 2008 R2 ou 25 hôtes hébergeant Windows Vista ou Windows 7 sont nécessaires pour leur activation via le serveur KMS, . Remarquez que dans les deux cas les requêtes peuvent provenir des deux types de systèmes serveurs ou clients. Cependant ce seuil dépassé nous pouvons activer des ordinateurs virtuels via le serveur KMS.

Tableau récapitulatif du seuil minimal

Les groupes de clés en volume

Avec le service KMS on peut activer les systèmes d'exploitation suivants :

• Windows Vista Professionnel et Entreprise
• Windows Server 2008 (toutes éditions confondues)

   

  

   

Les clés KMS sont hiérarchiques.
Elles peuvent activer des produits de leur groupe de licence en plus de ceux des groupes inférieurs à celui-ci.
Par exemple, une clé de groupe B peut activer des produits de groupe A ainsi que des produits de groupe Client Volume license.

Installation d'un server KMS

L'installation d'un serveur KMS sur Windows Server 2008 se fait par l'installation de la clé de licence en volume sur un serveur exécutant une version de Windows Server 2008.

Pour installer la clé de licence en volume, donc implicitement mettre en place le serveur KMS :

• Ouvrez une invite de commande en tant qu'administrateur
• Allez dans le répertoire « system32 » cd %systemroot%\system32
• Exécutez le script « slmgr.vbs » avec votre clé de volume slmgr.vbs –ipk  <Volume-Key>

Le service KMS contacte les services d'activation Microsoft via internet lors de l'ajout de la clé. C'est l'unique contact que le serveur KMS établit avec les services d'activation Microsoft.

Après un instant une fenêtre nous notifie que la clé a été installée avec succès.

Ensuite il faut activer le serveur KMS avec la commande suivante : slmgr.vbs –ato

Quelques instants après nous avons une fenêtre nous confirmant que l'activation s'est bien déroulée.

Lors de l'installation d'un serveur KMS celui –ci tente de créer un enregistrement SRV auprès du DNS, pour faciliter sa localisation en vue des clients KMS.

Sécurisation d'un serveur KMS

Maintenant que notre serveur KMS est en place il faut penser à le sécuriser pour éviter les accès non- autorisés. Par défaut toutes les machines (clients KMS) connectées à un réseau disposant d'un serveur KMS, peuvent exécuter le processus d'activation et donc activées leurs systèmes d'exploitation. Ce processus d'activation ne requiert aucune authentification ou autorisation auprès du serveur. Bien évidemment l'activation du client KMS se fera dans le cas où celui-ci est en accord avec la clé de volume licence enregistrée. Pour combler cette faille nous allons mettre en place une stratégie de contrôle d'accès au réseau interne, via une règle d'isolation utilisant IPSec par l'intermédiaire du pare-feu avancé Windows. Ensuite il suffira de déployer cette stratégie par GPO (Group Policy Object). Rappelons que IPSec bloque le trafic provenant des ordinateurs non connus. La règle d'isolation va consister à demander à tout le trafic à destination de l'hôte KMS de s'authentifier. Toutes les requêtes d'activations initiées par les clients KMS se verront exiger une authentification. L'hôte KMS sera toujours capable d'établir des connexions avec d'autres serveurs sur le réseaux tels que le DNS ou le contrôleur de domaine. Après l'application de cette règle les hôtes inconnues du réseaux et n'ayant pas de couple login/mot de passe, ne pourront contacter l'hôte KMS sans la mise en place d'une exception. Voici un schéma récapitulatif.

Processus de communication avec l'hôte KMS

Création d'une GPO

1. Ouvrez une session sur un contrôleur de domaine, en utilisant un compte ayant les droits appropriés.

2.    Ouvrez le gestionnaire de stratégie de groupe.

3.    Cliquez sur Objets de stratégie de groupe, dans le volet de droite faites un clic droit puis cliquez sur Nouveau.

4. Entrez le nom de votre GPO par exemple « Règle d'isolation KMS » puis cliquez sur « OK »

Edition des ACLs de la GPO

1. Cliquez sur la GPO créée à l'instant, ensuite allez dans le volet de gauche et cliquez sur l'onglet Délégation, puis sur Avancée en bas à droite de la fenêtre.

   

    

2. Allez dans l'onglet sécurité puis dans la liste groupe ou nom d'utilisateur, cliquez sur le groupe contrôleur de domaine d'entreprise, puis dans la liste des permissions pour le contrôleur de domaine d'entreprise cochez la case refuser pour Application de Stratégie de groupe. Lorsque vous cliquez sur Appliquer vous avez un avertissement vous expliquant qu'une autorisation refuser est prioritaire sur toutes les autres permissions, cliquez sur Oui puis OK.

   

Mise en place d'un filtre WMI sur la GPO

Pour rappel les filtres WMI (Windows Management Instrumentation) vous permettent de déterminer l'étendue des objets de stratégie de groupe d'après les attributs de l'ordinateur cible. Lorsqu'un objet de stratégie de groupe qui est lié à un filtre WMI est appliqué sur l'ordinateur cible, le filtre est évalué sur cet ordinateur. Si le filtre WMI renvoie False, l'objet de stratégie de groupe n'est pas appliqué (sauf si l'ordinateur client exécute Windows 2000, auquel cas le filtre est ignoré et l'objet de stratégie de groupe est toujours appliqué). Si le filtre renvoie la valeur True, l'objet de stratégie de groupe est appliqué. Source : http://technet.microsoft.com/fr-fr/library/cc779036%28WS.10%29.aspx

1. Faites un clic droit sur filtre WMI puis cliquez sur Nouveau.

    

   

    

    

2. Cliquez sur Ajouter puis dans la fenêtre Nouvelle requête WMI tapez la requête suivante : Select * from Win32_OperatingSystem where Version >='6'. Cette requête fera en sorte que la GPO s'applique seulement aux systèmes basés sur une version 6.0 de Win32 ou ultérieure. Cliquez sur Sauvegarder puis cliquez sur OK .

1. Cliquez de nouveau sur votre GPO, allez dans l'onglet Etendue. Dans la section  Filtre WMI sélectionnez le filtre précédemment créé, puis cliquez sur Oui. Ici on lie la GPO au filtre WMI.

Configuration de la règle d'isolation

1. Faites un clic droit sur la GPO, puis cliquez sur modifier.

    

    

   

1. Allez dans Configuration Ordinateur, Paramètres Windows, Pare-feu Windows avec fonctions avancées de sécurité, puis cliquez sur règle de sécurité de connexion. Dans le volet de droite faites un clic droit, puis cliquez sur Nouvelle règle.

   

1. Sélectionnez Personnalisée, puis cliquez sur Suivant.

1. Dans le champs «Quels ordinateurs se trouvent au point de terminaison 2 ». Sélectionnez Ces adresses IP et cliquez sur Ajouter .

   

    

1. Dans le champ « Cette adresse IP ou ce sous-réseau » de la fenêtre « Adresses IP », entrez l'adresse IP de l'hôte KMS. Puis cliquez sur OK et sur Suivant.

   

    

2. Sélectionnez « Imposer l'authentification des connexions entrantes et demander l'authentification des connexions sortantes » puis cliquez sur Suivant.

   

1. Sélectionnez « Ordinateur (Kerberos V5). Puis cliquez sur  Suivant.

1. Désélectionnez « Privé » et « Public », puis cliquez sur   Suivant.

1. Tapez un nom et une description pour votre règle d'isolation. Enfin cliquez sur Finish.

Liaison de la GPO au domaine

1. Faites un clic droit sur le nom de votre domaine, puis cliquez sur Lier une GPO existante…

   

    

2. Sélectionnez la GPO contenant la règle d'isolation puis cliquez sur OK .

Maintenant que votre GPO est liée, votre stratégie de contrôle d'accès au réseau interne peut commencer à s'appliquer.

Gestion d'un serveur KMS

VAMT

Pour gérer le serveur KMS vous pouvez utiliser VAMT (Volume Activation Management Tool), un outil en interface graphique simple à prendre en main. Cet outil vous permet de connaitre le statut de vos clients KMS. Notez que VAMT vous permettra juste de contrôler le statut de vos clients et qu' aucune manipulation ne sera nécessaire. Vérifiez cependant que le port 1688/TCP soit ouvert sur le serveur et sur le client.

Explication des différents statuts :

Initial Out-of-Box  (OOB) Grace : ordinateurs étant en période de « grace » précédent l'installation de Windows (30 ou 60 jours selon le type de système).

Licensed : l'ordinateur est activé.

Non-Guenine Grace : ensemble d'ordinateurs n'ayant pas pu valider Windows Genuine Advandage et présentant un problème d'authenticité.

Out of Tolerance (OOT) Grace : ce statut s'applique aux ordinateurs ayant eu un changement significatif de matériel entrainant une invalidation de l'activation. Ce statut correspond aussi à tous les clients KMS n'ayant pas pu renouveler leur activation depuis plus de 180 Jours.

Unlicensed : correspond aux ordinateurs (Windows Vista sans SP) ayant dépassé la période de  « grace » et qui sont en mode RFM (fonctionnalités réduites).

Notification : ce statut est appliqué aux ordinateurs (Windows Vista SP1 ou ultérieure et Windows Server 2008 ou ultérieure) ayant dépassé la période de grâce et qui sont entrés en mode de Notifications.     

L'invite de commande

Aussi vous pouvez gérer votre serveur en ligne de commande.

cscript %systemroot%\System32\slmgr.vbs –dlv

Vous permet comme VAMT de savoir le statut de vos client KMS.

Ici on voit que le service KMS est bien activé sur l'hôte, cependant on peut voir aussi que tous les compteurs son à « 0 » notamment le décompte d'activation, pour rappel il faut 5 serveur minimum ou 25 hôtes sur une plateforme cliente pour commencer la distribution de licence afin d'activer les machines.

Pour forcer la demande d'activation coté client il suffit de tapez cscript %systemroot%\System32\slmgr.vbs –ato

Ou tout simplement de cliquer sur "Activer Windows maintenant" dans le panneau de configuration>Système, dans la champ "Activation de Windows"

Néanmoins vous risquez d'avoir une erreur si vous ne remplissez pas les conditions minimums signalées au-dessus. Sinon vous serez capable de voir par l'intermédiaire de VAMT ou grâce à la commande « cscript %systemroot%\System32\slmgr.vbs –dlv » un changement dans le champs « Licenced » ou « Request with License Status Licensed » .

Dépannage de votre serveur KMS

Ici on va voir quelques imprévus qui pourraient se produire lors de la mise en place du KMS.

1. En enregistrant votre clé produit assurez-vous que ce soit bien une clé en Volume Licence de type KMS et non une clé de type MAK. Sinon vous aurez le résultat suivant lors de l'exécution de cette commande: cscript %systemroot%\System32\slmgr.vbs –dlv

    

Ce résultat veut dire que votre serveur KMS n'est pas opérationnel, et de ce fait vos clients KMS ne peuvent s'activer automatiquement.

1. Si vous gérez vos clients KMS avec VAMT et que dans le champ « Key type » vous remarquez le statut « SKU not supported » cela équivaut à dire que votre système d'exploitation est une édition non activable à l'aide d'une clé de licence en volume.

   

    

Conclusion 

L'utilisation d'un serveur KMS est rentable dans une infrastructure assez conséquente, cette méthode permet l'automatisation complète du processus d'activation et ne nécessite pas l'intervention des administrateurs.
Etant donné que les clients KMS doivent se réactiver auprès de l'hôte KMS régulièrement, il est donc nécessaire de s'assurer que le serveur KMS soit toujours disponible afin que tous les clients puissent se réactiver sans aucun problème.