III. Architecture prévue▲
Avec une version standard, l'architecture est extrêmement simplifiée. Il est cependant important de savoir précisément comment se nomment les machines, quelles sont leurs configurations IP et firewall, quelle est la chaine de certification disponible, quels certificats (avec quels noms) sont installés, etc.
Il est nécessaire d'avoir un Active Directory en niveau fonctionnel 2003 ou plus.
Cet Active Directory doit être sain : faites tourner dcdiag et contrôlez les différents journaux. Si vous avez plusieurs contrôleurs de domaine, vérifiez que la réplication fonctionne correctement.
Si votre serveur DNS n'est pas sur le serveur Active Directory ou est indépendant de votre Active Directory, pensez à contrôler son bon fonctionnement.
Vous devrez avoir une PKI interne ou faire appel à des autorités de certification tierces de confiance (Verisign, Thawte, etc). L'autorité choisie doit être capable de délivrer des certificats à noms multiples (extension SAN : Subject Alternative Name). Je vous invite à consulter cette page pour activer l'extension SAN sur votre PKI Windows si ce n'est pas déjà actif.
Je rédige cet article avec un Active Directory sous Windows 2008 R2 (niveau fonctionnel 2003). J'utilise une configuration monoforêt monodomaine et le domaine est nommé todorovic.adds. Il s'agit d'un domaine privé, je vais donc utiliser le split-dns pour les raisons évoquées dans mon article sur l'Installation d'Active Directory sous Windows Server 2008 R2.
J'utilise une PKI à deux niveaux installée selon mon autre article sur Configuration d'une infrastructure à clés publiques à deux niveaux sous Windows 2008 (R2). Les certificats de l'autorité racine et intermédiaires sont distribués par GPO : ma chaine de certification est donc connue sur tout mon domaine Active Directory. Les communications dans OCS sont toutes cryptées, vous devez donc faire connaitre votre autorité de certification à tous vos postes sinon vous aurez des erreurs de validation de certificats.
OCS n'est pas supporté dans un environnement virtualisé en production. Pour réaliser des tests ponctuels ou des labs, vous pouvez virtualiser. Tout fonctionne correctement en machine virtuelle, mais ne vous attendez pas à faire passer 10 000 utilisateurs sur votre environnement virtualisé. Pour virtualiser, il faudra attendre CS14 (OCS 2010).
Voici le schéma du réseau utilisé. Nous verrons plus tard la création du certificat OCS.
