L’intégration d’un serveur membre sous Windows Server 2025 au sein d’un domaine géré par des contrôleurs de domaine (DC) plus anciens ne pose généralement pas de problème bloquant, car Microsoft assure une excellente rétrocompatibilité descendante. [1]
Cependant, les fonctionnalités de sécurité par défaut de Windows Server 2025 peuvent se heurter aux configurations obsolètes des anciens DC. Voici le tableau comparatif des impacts et risques lors de la jonction d’un serveur membre 2025 selon la version de vos contrôleurs de domaine : [1]
| Version des Contrôleurs de Domaine (DC) | Statut de jonction de Server 2025 | Impact sur les flux d’authentification (Kerberos / NTLM) | Impact sur les protocoles réseau (LDAP / SMB) | Points de blocage & Correctifs requis |
|---|---|---|---|---|
| Windows Server 2003 / 2008 / 2012 (R2) | ❌ Impossible / Bloqué | Le serveur membre 2025 exige du chiffrement moderne. Les anciens DC n’ont pas les clés KDC nécessaires pour traiter les requêtes de sécurité de Server 2025. | Rejet mutuel des liaisons RPC non scellées et de SMBv1. | Niveau fonctionnel insuffisant : Server 2025 requiert que le domaine soit au minimum en niveau fonctionnel 2016. Ces DC doivent être migrés ou éliminés en amont. |
| Windows Server 2016 | ⚠️ Compatible avec vigilance | Risque Kerberos (PAC) : Si le DC 2016 n’est pas à jour des correctifs de durcissement, Server 2025 peut rejeter les tickets Kerberos (erreurs de validation PAC). | La signature SMB obligatoire côté membre 2025 est supportée par le DC 2016, limitant les frictions réseau. | Action requise : Appliquer l’ensemble des mises à jour cumulatives sur les DC 2016 avant d’y joindre le serveur 2025. |
| Windows Server 2019 | 🔄 Entièrement Compatible | Négociation fluide d’AES-256 pour Kerberos. Attention toutefois au protocole NTLM s’il est utilisé par de vieilles applications du serveur 2025. | Support mutuel de SMBv3 et LDAP sécurisé par défaut. | Fonctionne nativement dès lors que le DC 2019 dispose de ses dernières mises à jour de sécurité. |
| Windows Server 2022 | Totalement Compatible (Idéal) | Support natif et transparent de l’ensemble de la pile de sécurité Kerberos et des chiffrements AES de Windows Server 2025. | Parfaite interopérabilité des flux chiffrés (SMB/RPC/LDAP). | Aucune friction. C’est l’environnement mixte le plus stable pour accueillir un serveur membre 2025. |
Les 3 points de vigilance technique pour le serveur membre 2025 :
- L’exigence du protocole Kerberos moderne : Un serveur membre sous Windows Server 2025 va nativement chercher à s’authentifier auprès du DC via des chiffrements forts (AES). Si vos anciens DC possèdent des comptes d’ordinateurs ou de confiance configurés pour n’autoriser que RC4 (hérité de vieilles configurations), la liaison échouera. [1, 2]
- La mise en conformité LDAP : Si le serveur membre 2025 héberge une application tierce qui effectue des requêtes LDAP vers vos anciens DC, Server 2025 va imposer par défaut un chiffrement (LDAPS/TLS). Si vos anciens DC n’ont pas de certificat valide (Port 636), les requêtes applicatives échoueront. []
- La préparation du schéma (Adprep) : Bien qu’un serveur membre ne nécessite pas de mise à niveau du schéma Active Directory, il est fortement recommandé d’exécuter l’outil
adprep /domainprepfourni sur l’ISO de Windows Server 2025 sur votre DC principal afin de s’assurer que toutes les nouvelles stratégies et permissions de sécurité de l’OS membre soient correctement comprises par l’annuaire. [1, 2]