Migration Active Directory 2003 vers Windows Server 2025, IT1 Connect

Un annuaire Active Directory né sous Windows 2000 ou 2003 peut être amené jusqu’à Windows Server 2025 sans repartir de zéro, à condition de conserver la forêt d’origine. C’est ce que nous avons fait récemment chez un client dont l’annuaire n’avait jamais été modernisé : le domaine a gardé son SID historique, les profils Windows et les droits d’accès sont restés valides, et aucun poste client n’a été retouché. Voici l’état des lieux de départ, ce qui rend ce type de migration possible, et pourquoi elle ne se raccourcit pas.

L’état des lieux : un annuaire figé, mais vivant

À la reprise du dossier, l’annuaire fonctionnait. Il portait simplement vingt-deux ans d’histoire sans avoir jamais été modernisé. Le relevé initial donnait :

des niveaux fonctionnels de forêt et de domaine encore en 2003, c’est-à-dire le socle de compatibilité le plus ancien qu’Active Directory sache encore présenter ;
un SYSVOL toujours répliqué par FRS, le mécanisme de réplication d’origine, abandonné par Microsoft au profit de DFSR ;
deux contrôleurs de domaine, dont un sous Windows Server 2003.

Rien de tout cela ne se voit au quotidien. Un annuaire dans cet état continue d’ouvrir les sessions et de distribuer les droits sans faire de bruit, ce qui explique qu’il puisse traverser deux décennies sans que personne ne s’y intéresse. Le problème n’apparaît que le jour où il faut ajouter un serveur récent, appliquer une exigence de sécurité ou remplacer une machine en fin de vie.

Garder la forêt, donc garder les SID

La demande du client était claire : conserver la forêt existante, et avec elle le SID du domaine et les SID des utilisateurs. Ce n’est pas un caprice de puriste, c’est ce qui décide de la charge de travail sur le parc.

Un SID (Security Identifier) est l’identifiant interne, unique et définitif, qu’Active Directory attribue au domaine et à chaque compte. C’est lui, et non le nom d’utilisateur, que Windows inscrit partout : dans les profils locaux des postes, dans les permissions NTFS des partages de fichiers, dans les droits appliqués aux applications métier.

Créer un domaine neuf, même avec les mêmes noms de comptes, aurait produit de nouveaux SID. La conséquence est concrète : chaque poste aurait dû être sorti puis rejoint au nouveau domaine, chaque profil utilisateur recréé ou migré, chaque permission de partage réappliquée. Autrement dit, il aurait fallu passer sur chaque machine du parc, avec la perte de temps et les irritants que cela suppose pour les équipes. En conservant la forêt, les postes n’ont rien vu : le domaine sous leurs pieds a changé de génération, leur session non.

Pourquoi un double saut était obligatoire

On ne passe pas d’un annuaire en niveau 2003 à un contrôleur de domaine Windows Server 2025 en une seule opération. Quatre contraintes s’emboîtent, et aucune ne se contourne :

un contrôleur de domaine Windows Server 2025 exige des niveaux fonctionnels de forêt et de domaine en 2016 au minimum ;
un niveau 2016 exige que tous les contrôleurs de domaine soient en 2016 ou plus récent, d’où la nécessité d’un contrôleur intermédiaire ;
Windows Server 2019 et suivants refusent la promotion d’un contrôleur tant que SYSVOL est répliqué par FRS ;
l’outil qui migre justement SYSVOL de FRS vers DFSR exige un niveau de domaine en 2008 au minimum.

Autrement dit, il faut traiter FRS avant de pouvoir installer un serveur récent, remonter le niveau du domaine avant de pouvoir traiter FRS, et passer par un contrôleur de transition avant d’atteindre la cible. La séquence n’est pas permutable : l’annuaire doit franchir deux générations intermédiaires avant d’arriver en 2025, chaque marche débloquant la suivante.

Ce qui fixe la durée : la chaîne, pas la taille du domaine

C’est le point le plus utile à retenir si vous êtes dans la même situation. La durée d’une telle migration tient à la longueur de cette chaîne, pas au nombre d’utilisateurs. Vingt comptes ou deux mille, ce sont les mêmes étapes, les mêmes attentes de réplication, les mêmes contrôles entre chaque marche.

Beaucoup d’organisations sont surprises par cet écart entre la taille de leur parc et le travail annoncé. L’explication est là, et elle est vérifiable : chaque marche est imposée par Microsoft, et chacune doit être validée avant de passer à la suivante. C’est aussi ce qui rend l’opération prévisible. Nous savons dire, avant de commencer, ce qui va être fait et dans quel ordre, ce qui se planifie hors des heures ouvrées, et ce qui n’a aucun impact visible pour les utilisateurs.

Ce que le client y gagne

Au-delà du fait de sortir d’un socle logiciel qui n’est plus supporté depuis longtemps, l’annuaire modernisé apporte des bénéfices immédiats :

la continuité totale pour les utilisateurs : mêmes comptes, mêmes mots de passe, mêmes profils, mêmes droits sur les partages, aucune intervention sur les postes ;
une réplication SYSVOL fiable avec DFSR, plus robuste et bien plus économe en bande passante que FRS, ce qui compte dès que le domaine est réparti sur plusieurs sites ;
le socle des fonctions de sécurité modernes d’Active Directory, inaccessibles en niveau 2003, et la compatibilité avec les outils actuels de supervision et de sauvegarde ;
un annuaire redevenu documenté et supervisable, avec un plan de reprise clair en cas de perte d’un contrôleur.

Nous ne nous arrêtons pas à la migration

Une migration réussie, c’est un annuaire qui redémarre proprement. Ce n’est pas encore un annuaire sain. Vingt-deux ans d’existence laissent des traces : des comptes dont plus personne ne sait à qui ils appartiennent, des comptes de service créés pour un logiciel disparu depuis, des droits d’administration accordés le temps d’un dépannage et jamais retirés, des mots de passe qui n’expirent pas, des stratégies de groupe qui s’appliquent encore à des machines mises au rebut.

Nous ne faisons pas le travail à moitié. Une fois la migration terminée, nous passons l’ensemble en revue : comptes utilisateurs et comptes de service, appartenance aux groupes d’administration, droits délégués sur l’annuaire, rôles et services installés sur les serveurs, stratégies de groupe, sauvegarde et plan de restauration de l’annuaire lui-même. Ce qui ne sert plus est désactivé puis retiré, ce qui reste est documenté, et l’ensemble est durci : privilèges ramenés au strict nécessaire, services inutiles arrêtés, journalisation et supervision en place.

C’est souvent à ce moment que le client mesure la vraie valeur de l’opération. Il ne récupère pas seulement un annuaire supporté : il récupère un annuaire dont il connaît le contenu.

Si votre annuaire est dans le même état

Trois indices suffisent à savoir si vous êtes concerné : un contrôleur de domaine sous une version de Windows Server antérieure à 2016, un niveau fonctionnel jamais élevé depuis l’installation d’origine, ou un SYSVOL encore répliqué par FRS. Ces situations sont fréquentes, y compris dans des organisations dont le reste du système d’information est parfaitement à jour, parce que l’annuaire est justement la brique qui fonctionne sans qu’on la regarde.

IT1 Connect réalise ce type de migration pour les PME, les ETI et les collectivités de la région PACA : relevé initial de la forêt et des niveaux fonctionnels, plan de migration marche par marche, exécution planifiée hors production, puis infogérance et supervision de l’annuaire dans la durée. L’objectif que nous nous fixons est toujours le même : que vos utilisateurs n’aient rien à faire, et rien à remarquer. Pour un état des lieux de votre Active Directory avec un ingénieur qui connaît déjà votre environnement, contactez-nous.