1. L’architecture des services Windows (Services Control Manager – SCM)

Sous Windows Server, le Services Control Manager (SCM) gère le cycle de vie des processus d’arrière-plan. Contrairement aux applications interactives, les services s’exécutent indépendamment de toute session utilisateur ouverte et sont configurés dans la base de registre sous :

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices<NomDuService>

2. Pilotage en ligne de commande : sc.exe et PowerShell

Bien que l’interface graphique services.msc soit couramment utilisée, l’administration d’entreprise s’opère en ligne de commande :

# Vérifier l'état d'un service critique avec sc.exe
sc.exe query "W3SVC"

# Interrogation puissante en PowerShell
Get-Service -Name "wuauserv", "spooler", "w3svc" | Select-Object Name, Status, StartType

# Modifier le type de démarrage en automatique différé
Set-Service -Name "w3svc" -StartupType Automatic
Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetServicesw3svc" -Name "DelayedAutoStart" -Value 1

# Démarrer et arrêter un service
Start-Service -Name "w3svc"
Stop-Service -Name "spooler" -Force

3. Sécurisation des identités de service : Les comptes gMSA

Historiquement, les administrateurs utilisaient des comptes utilisateurs dédiés avec des mots de passe statiques pour faire tourner les services (IIS, SQL Server), créant une faille de sécurité majeure. Les Group Managed Service Accounts (gMSA) résolvent définitivement ce problème :

  • Active Directory gère et renouvelle automatiquement le mot de passe du service tous les 30 jours (clé de 128 caractères).
  • Aucun administrateur humain ne connaît ni ne manipule le mot de passe.
  • Le service peut être distribué sur une ferme de plusieurs serveurs en toute sécurité.
# Création d'un compte gMSA sous PowerShell (sur le Contrôleur de Domaine)
New-ADServiceAccount -Name "gMSA-WebFarm" `
                     -DNSHostName "gmsa-web.educasuisse.local" `
                     -PrincipalsAllowedToRetrieveManagedPassword "ServeursWebFarm"

Surveillance et reprise sur erreur : Dans l’onglet « Récupération » des propriétés du service (ou via sc failure), configurez systématiquement le redémarrage automatique du service après la première et la seconde défaillance, et le déclenchement d’un script d’alerte en cas de troisième échec consécutif.

PreviousNext