Administration à distance sans RDP : PowerShell

RDP est pratique, mais il exige de la bande passante, une interface graphique et un port ouvert. Pour les tâches courantes — mises à jour, redémarrage de services, consultation des journaux — la ligne de commande est plus rapide et plus sûre : une ligne au lieu de trois minutes de clics.

Option une : PowerShell via SSH

Windows Server 2022 et 2025 sont livrés avec un serveur OpenSSH intégré. C'est la voie la plus simple, surtout si vous travaillez déjà avec des clés.

Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
Start-Service sshd
Set-Service sshd -StartupType Automatic
New-NetFirewallRule -DisplayName "SSH" -Direction Inbound -Protocol TCP -LocalPort 22 `
  -RemoteAddress 203.0.113.5 -Action Allow

Définissez PowerShell comme shell par défaut :

New-ItemProperty -Path "HKLM:\SOFTWARE\OpenSSH" -Name DefaultShell `
  -Value "C:\Program Files\PowerShell\7\pwsh.exe" -PropertyType String -Force

La clé de connexion va dans C:\Users\<name>\.ssh\authorized_keys, et pour les administrateurs dans C:\ProgramData\ssh\administrators_authorized_keys avec des autorisations réservées à SYSTEM et au groupe Administrateurs uniquement, sinon le serveur l'ignorera. Ensuite, désactivez la connexion par mot de passe dans C:\ProgramData\ssh\sshd_config (PasswordAuthentication no) et redémarrez le service.

La connexion est standard :

ssh Administrator@YOUR_ADDRESS

Option deux : WinRM

Un mécanisme Windows natif. Port 5985 (HTTP) ou 5986 (HTTPS).

Enable-PSRemoting -Force
Set-NetFirewallRule -Name WINRM-HTTP-In-TCP -RemoteAddress 203.0.113.5

N'exposez jamais le port 5985 non chiffré sur Internet. La bonne approche est un listener HTTPS avec un certificat :

$c = New-SelfSignedCertificate -DnsName "vds.example.ru" -CertStoreLocation Cert:\LocalMachine\My
New-Item -Path WSMan:\Localhost\Listener -Transport HTTPS -Address * -CertificateThumbPrint $c.Thumbprint -Force
New-NetFirewallRule -DisplayName "WinRM HTTPS" -Direction Inbound -Protocol TCP -LocalPort 5986 `
  -RemoteAddress 203.0.113.5 -Action Allow

Pour travailler depuis une autre machine Windows :

$s = New-PSSession -ComputerName vds.example.ru -UseSSL -Credential (Get-Credential)
Invoke-Command -Session $s { Get-Service | Where-Object Status -eq Running | Select-Object -First 10 }
Enter-PSSession $s

Ce qu'il est pratique de faire avec des commandes

Restart-Service W3SVC                        # restart IIS
Get-WinEvent -LogName System -MaxEvents 20   # latest events
Get-Process | Sort-Object WS -Desc | Select-Object -First 10 Name, WS
Get-Volume | Select-Object DriveLetter, SizeRemaining
Restart-Computer -Force

Les mises à jour peuvent aussi être installées sans interface graphique, voir Mises à jour Windows Server.

Accès d'urgence

Si RDP, SSH et WinRM ne répondent plus, l'onglet « Console » du panneau à l'adresse /hosting/vds/m/<id> en mode « Screen » (VNC) reste disponible. Il se connecte à la machine comme un moniteur et fonctionne indépendamment des paramètres réseau à l'intérieur de l'OS. Une console texte sur port série n'a aucun sens pour Windows.

Erreurs courantes

• Ouvrir le port 5985 à tout Internet. C'est de l'administration de machine sur un canal non chiffré. Restreignez toujours les adresses et privilégiez HTTPS.
• Des autorisations incorrectes sur administrators_authorized_keys. Le serveur OpenSSH ignore silencieusement un fichier que d'autres peuvent modifier. Corrigez-le : icacls avec l'héritage désactivé pour tout le monde sauf SYSTEM et Administrateurs.
• La règle a été créée dans le mauvais profil réseau. Vérifiez le profil actif : Get-NetConnectionProfile.
• Oublier NLA et les mots de passe lors de la désactivation de RDP. Avant de désactiver RDP, assurez-vous que l'accès alternatif fonctionne.

Prenez l'habitude d'écrire vos commandes de configuration dans un fichier. Réinstaller l'OS depuis l'onglet « Accès » prend quelques minutes, tandis que restaurer les paramètres de mémoire prend des heures.