Un parc Windows Server mélange souvent quatre générations : 2016, 2019, 2022 et 2025. Préparer des questions d'entretien pour un ingénieur systèmes Windows commence par ce constat, car chaque version change les habitudes. Windows Server 2016 sort du support étendu en janvier 2027, Windows Server 2022 a quitté le support standard en octobre 2026, et 2025 désactive par défaut TLS 1.0 et 1.1 et ne délivre plus de tickets Kerberos initiaux en RC4. WSUS, lui, n'évolue plus.
Le titre recouvre deux profils. L'exploitant de niveau 3 tient le run : incidents escaladés, correctifs, changements planifiés. L'ingénieur de conception construit les modèles de serveurs, le durcissement et l'automatisation. Les deux doivent lire un journal d'événements avec méthode et écrire un PowerShell propre. Un CV qui cite SCCM, WSUS, DFS et IIS ne dit pas qui a déjà réparé une réplication DFS-R en conflit.
L'Active Directory reste au niveau de l'exploitation : sites, réplication, GPO. La conception d'une forêt, le modèle d'administration en tiers et l'audit de sécurité de l'annuaire relèvent d'un ingénieur Active Directory, qui se recrute à part. Le PDF propose 30 questions sur six axes et une étude de cas.
Windows Server et son outillage, rôle par rôle
Windows Server 2019, 2022 et 2025
Les versions en production, en installation Server Core ou avec l'expérience de bureau. Chaque version LTSC a dix ans de support : cinq ans de support standard, cinq ans de support étendu. Windows Server 2025 durcit plusieurs réglages par défaut, ce qui casse parfois des équipements anciens.
WSUS, Azure Update Manager et Hotpatch
WSUS reste l'outil de correctifs le plus répandu sur site, mais Microsoft ne le fait plus évoluer. Azure Update Manager pilote aussi les serveurs sur site via Azure Arc. Hotpatch, sur Windows Server 2025 relié à Azure Arc, installe les correctifs de sécurité sans redémarrage entre quatre mises à jour de base annuelles qui, elles, redémarrent.
Serveurs de fichiers et DFS
Partages, droits NTFS, quotas et filtres FSRM. Le namespace DFS-N présente un chemin unique aux utilisateurs, la réplication DFS-R recopie les dossiers entre serveurs et entre sites. DFS-R ne gère pas les verrous de fichiers, une limite à connaître avant de l'utiliser entre deux sites actifs.
Clusters de basculement
Pour les serveurs de fichiers à haute disponibilité, les instances SQL Server en cluster ou les rôles applicatifs. L'ingénieur Windows doit savoir les patcher nœud par nœud avec la mise à jour adaptée aux clusters et lire le rapport de validation.
IIS et services applicatifs
Le serveur web de Windows, qui héberge des applications métier .NET. Pools d'applications, identités de service, liaisons HTTPS et certificats : une erreur 503 au petit matin passe souvent par là.
PKI interne (ADCS)
L'autorité de certification Microsoft délivre les certificats des serveurs, des postes et parfois des utilisateurs. L'ingénieur Windows en assure l'exploitation : modèles, inscription automatique, renouvellement et publication des listes de révocation.
PowerShell, DSC et JEA
L'outil quotidien. PowerShell à distance pour agir sur des centaines de serveurs, DSC pour décrire une configuration, JEA pour déléguer une action précise sans donner de droits d'administrateur. Un script réel, avec gestion des erreurs, est attendu.
Outils de diagnostic
L'observateur d'événements, l'Analyseur de performances, les outils Sysinternals (Process Monitor, Process Explorer, Autoruns, RAMMap), Windows Performance Recorder et WinDbg pour les écrans bleus. Un bon niveau 3 sait lequel ouvrir selon le symptôme.
Azure Arc et Entra Connect côté infrastructure
Azure Arc rattache les serveurs sur site à Azure pour l'inventaire, les correctifs et la sécurité. Le serveur Entra Connect, qui synchronise l'annuaire vers Microsoft 365, est souvent hébergé par l'équipe Windows et doit être traité aussi sérieusement qu'un contrôleur de domaine.
Les offres parlent d'ingénieur systèmes Windows, d'administrateur Windows Server ou d'expert Windows N3. Le niveau 3 attend la résolution des incidents escaladés, des changements menés selon un processus ITIL et des procédures écrites pour les niveaux 1 et 2. Les postes d'expert ajoutent les montées de version, le durcissement selon les bases Microsoft ou CIS et l'intégration hybride avec Azure Arc. La certification Microsoft du domaine s'appelle désormais Windows Server Administrator Associate et passe par l'examen AZ-802 ; les CV citent encore souvent AZ-800 et AZ-801. Elle atteste un socle, pas une pratique de production.
Les compétences Windows Server qu'un niveau 3 doit montrer
- Montée de version et durcissement Windows Server
- Correctifs et gestion des changements
- Fichiers, DFS et permissions NTFS
- Clusters, IIS et PKI interne
- Diagnostic avec les journaux et Sysinternals
- PowerShell et automatisation
Questions Windows Server posées comme des tickets de niveau 3
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · senior
Un serveur applicatif Windows Server 2022 ralentit tous les jours vers 15 h, puis redevient normal après un redémarrage. Comment trouvez-vous la cause ?
Une bonne réponseIl pose un ensemble de collecteurs de données dans l'Analyseur de performances sur plusieurs jours : mémoire disponible, pool paginé et non paginé, handles, octets privés par processus. Une courbe qui monte sans redescendre signale une fuite. Process Explorer ou RAMMap montrent le processus ou le pool en cause, poolmon donne la balise du pilote. Il cherche aussi une tâche planifiée vers 15 h et l'événement 2004 du détecteur d'épuisement des ressources.
Signal d'alerteAjouter de la mémoire, ou planifier un redémarrage chaque nuit et considérer le problème réglé.
Question 2 · confirmé
Après le Patch Tuesday, un serveur ne démarre plus et reste bloqué sur « Annulation des modifications ». Que faites-vous, et qu'aviez-vous prévu avant ?
Une bonne réponseIl laisse d'abord le temps à l'annulation, suit la console par l'iLO, l'iDRAC ou l'hyperviseur. Si le serveur boucle, il démarre sur WinRE et utilise DISM sur l'image hors ligne pour annuler les actions en attente ou retirer le paquet fautif. Avant, il avait un groupe pilote patché quelques jours plus tôt, une sauvegarde ou un snapshot avant la fenêtre et la page des problèmes connus de Windows consultée.
Signal d'alerteRéinstaller le serveur directement, ou appliquer les correctifs sur toute la production le même soir.
Question 3 · senior
Les utilisateurs de deux sites voient des versions différentes du même fichier dans un dossier DFS. Comment diagnostiquez-vous la réplication DFS-R ?
Une bonne réponseLe backlog entre les deux membres (Get-DfsrBacklog ou dfsrdiag), le rapport d'intégrité, le journal DFS Replication (arrêt non propre, contenu périmé), un quota de staging trop petit pour les gros fichiers, des fichiers verrouillés ou déplacés dans ConflictAndDeleted. Il rappelle que DFS-R ne gère pas les verrous entre sites : deux personnes qui modifient le même fichier sur deux cibles créent un conflit, et la dernière écriture gagne. Il oriente donc les utilisateurs vers une seule cible active dans le namespace.
Signal d'alerteRecopier les fichiers à la main entre serveurs, ou lancer un robocopy par-dessus une réplication en cours.
Question 4 · confirmé
Une application web sous IIS renvoie une erreur 503 à tous les utilisateurs depuis ce matin. Par où commencez-vous ?
Une bonne réponseUne 503 renvoie le plus souvent à un pool d'applications arrêté. Il regarde son état, les événements WAS dans le journal système (pool arrêté après des plantages répétés, échec d'identité), le journal HTTPERR de HTTP.sys et les changements récents, comme un mot de passe de compte de service expiré ou une mise à jour .NET. Il corrige la cause avant de redémarrer le pool, et passe l'identité sur un compte de service géré (gMSA) quand c'est possible.
Signal d'alerteEnchaîner les iisreset sans lire un journal.
Question 5 · confirmé
Dimanche, le certificat d'un serveur interne a expiré et une application métier refuse de se connecter. Comment évitez-vous que cela se reproduise ?
Une bonne réponseDes certificats émis par l'autorité interne ADCS à partir d'un modèle, avec inscription automatique pour les certificats machine. Un inventaire des certificats (PowerShell sur Cert:\LocalMachine\My ou l'outil de supervision) avec une alerte à 60 et 30 jours. Il vérifie aussi la publication de la liste de révocation de l'autorité, dont l'expiration casse autant qu'un certificat, et les noms déclarés dans le SAN.
Signal d'alerteUn certificat auto-signé valable dix ans pour ne plus y penser.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Ingénieur systèmes Windows : réponses courtes aux questions fréquentes
Un ingénieur systèmes Windows doit-il maîtriser Active Directory en profondeur ?
Il doit l'exploiter sans aide : comptes et groupes, GPO, sites et réplication, DNS intégré, promotion et rétrogradation d'un contrôleur de domaine. La conception d'une forêt, le modèle d'administration en tiers, l'audit avec PingCastle ou la reprise d'une forêt compromise relèvent d'un ingénieur Active Directory. Quand le poste demande les deux, l'offre le dit et l'entretien prévoit un axe dédié à la sécurité de l'annuaire.
Que valent les certifications AZ-800, AZ-801 et AZ-802 ?
Elles mènent à la certification Windows Server Administrator Associate de Microsoft, qui passe aujourd'hui par l'examen AZ-802 ; AZ-800 et AZ-801 sont les examens de l'ancienne formule. Le programme couvre Windows Server sur site et ses liens avec Azure. Elle se renouvelle chaque année par une évaluation en ligne gratuite. C'est un bon indice de socle, mais elle ne remplace pas un incident de production raconté avec sa cause et sa correction.
Sur quoi faire porter un test technique pour un ingénieur Windows ?
Sur une panne plutôt que sur un quiz. Un serveur de laboratoire avec un service qui ne démarre pas, une GPO mal filtrée ou un pool IIS arrêté montre la méthode en trente minutes. Un profil confirmé écrit aussi un court script PowerShell qui interroge plusieurs serveurs et gère les erreurs. Le candidat commente à voix haute : l'ordre dans lequel la personne ouvre les journaux en dit beaucoup.
SCCM et Intune font-ils partie du poste ?
Souvent dans les offres, sous le nom SCCM, aujourd'hui Microsoft Configuration Manager. Sur les serveurs, il sert surtout au déploiement des correctifs et des logiciels. La gestion des postes de travail avec Intune et Autopilot est un autre métier, celui d'ingénieur poste de travail. L'offre doit préciser si l'ingénieur Windows gère seulement les serveurs ou aussi le parc utilisateur, sinon les candidatures mélangeront les deux profils.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
