Module 8 : Gestion de l’environnement de l’utilisateur via la stratégie de groupe
8.1 Mise en œuvre des GPO dans un domaine :
Les stratégies de groupe ou GPO (Group Policies Object) permettent de configurer des restrictions
d’utilisation de Windows où des paramètres à appliquer soit sur un ordinateur donné où sur un
compte utilisateur donné.
Il existe des GPO locales et des GPO du domaine.
L’outil de gestion des GPO est GPMC (Group Policy Management Console).
En français: "Gestion des stratégies de groupe".
L’outil est accessible à partir du Gestionnaire de serveur:
Outils -> Gestion des stratégies de groupe
On peut lancer l’éditeur de GPO par le serveur Manager ou par la commande gpms.msc.
La commande gpedit.msc et pour les GPO en local (machine clients ou serveurs en Workgroup).
Il existe par défaut deux GPOs:
Default Domain Controllers Policy
Default Domain Policy
– Création d’une nouvelle GPO :
Clic droit sur "Objets de stratégie de groupe" et Nouveau.
Donner un nom : Test1
– Paramétrage d’une GPO :
Clic droit sur la GPO Test1 et sélectionner Modifier.
La section "Configuration ordinateur" (Computer Configuration) affecte toute la machine
indépendamment de celui qui se connecte.
La section "Configuration utilisateur" (User Configuration) s’applique uniquement à l’utilisateur
qui ouvre une session.
Une GPO peut être liée (linked) à un Domaine, Site ou des OU.
Pour lier un GPO au domaine il faut faire un clic droit sur le domaine et choisir l’option "Lier un
objet de stratégie de groupe existant".
Ensuite choisir la GPO à lier :
On voit que maintenant la GPO TEST1 est liée au Domaine.
Le même principe s’appliquera au OU et aux sites AD.
On peut directement créer une GPO sur un domaine, une OU ou site AD.
Il faut sélectionner le l’option : Créer un objet GPO dans ce domaine, et le lier ici...
8.2 Gestion de déploiement d’une stratégie de groupe :
8.2.1 Filtrage des GPO :
Une fois la GPO créer, paramétrer et liée sur un Objet AD on peut réaliser un filtrage de sécurité ou
par WMI.
On voit bien que les paramètres de cette GPO s’appliquent par défaut à tous les utilisateurs
authentifiés du domaine. On peut donc choisir un autre groupe par exemple.
Le WMI est filtrage avancé pour l’application des GPO qui va cibler par exemple uniquement les
machines Windows 8.1 et non pas Windows 7.
8.2.2 Forcer l’application d’une GPO :
Pour appliquer les GPO sur les machines cibles il faut exécuter la commande gpupdate.
la commande gpupdate applique uniquement les changements.
On peut ajouter le commutateur /force pour réappliquer tous les paramétrages.
donc: gpupdate
ou gpupdate /force
8.2.3 Désactiver une GPO :
On peut séparer une GPO d’un domaine, site ou OU en faisant un clic droit sur la GPO et cliquant
sur l’option : "Lien activé".
On voit que la GPO est maintenant grisée donc non appliquée.
Ceci nous permet de conserver la GPO sans la supprimer.
8.3 Configuration des paramètres de la stratégie de groupe :
Le paramétrage qui vient le plus souvent est sous cette forme:
Le paramètre "Non configuré" est par défaut.
Le paramètre "activé" signifie qu'il sera appliqué et le paramètre "désactivé" le contraire.
Mais il existe d’autres formes comme donner un chemin UNC par exemple.
Remarquer l’aide fourni et aussi la prise en charge sur les OS cibles.
Vous pouvez aussi rajouter un commentaire.
8.4 Détermination des GPO appliquées :
Soit deux GPOs, GPO-1 et GPO-2 liées à la OU TECHS.
En sélectionnant la "OU" "TECHS" et l’onglet "Objets de stratégie de groupe liés", on peut voir
l’application des GPOs sur la "OU" "TECHS".
Dans cet onglet on peut aussi changer l’ordre d’application des GPOs (dans ordre des liens).
L’onglet "Héritage de stratégie de groupe", nous montre tous les GPOs appliqués à la "OU"
"TECHS".
Ici la GPO "GPO-1" est la plus prioritaire dans le sens ou s’il y a un conflit de paramétrage entre les
GPO c'est la "1" (GPO-1) qui gagne.
Dans ce cas la GPO du domaine s’applique en premier, ensuite la GPO-2 et en dernier GPO-1.
– Ordre d’application des GPO :
GPO Local, GPO du Site ,GPO du Domaine , GPO d’OU, d’OUs enfants
La dernière GPO appliquée gagne.
– Visualiser les paramètres appliqués d’une GPO:
Sélectionner la GPO en question et à droite cliquer sur l’onglet "Paramètres".
Voir la figure suivante qui montre les paramètres de la GPO par défaut "Default Domain POlicy"
qui sont appliqués à tous les utilisateurs du domaine.
Sur le client aussi on peut avoir un rapport qui montre les GPOs appliqués.
console cmd: gpresult /h rapport01.html
