Un nouveau domaine sans politique est un bureau fonctionnant sur la confiance et la chance. Ce sont les dix politiques de groupe que les administrateurs expérimentés définissent en premier : ce que chacun fait, où il vit et le problème de bureau qu'il résout tranquillement chaque jour.
Demandez à dix administrateurs Active Directory expérimentés quelles politiques ils configurent sur un nouveau domaine Windows Server et vous entendrez presque les dix mêmes noms. Ils ne sont pas exotiques. Il s'agit de l'ensemble de bureau standard : les politiques qui arrêtent le partage de mots de passe, verrouillent les écrans sans surveillance, empêchent les clés USB d'accéder, donnent automatiquement à chaque utilisateur ses lecteurs et imprimantes et empêchent les mises à jour Windows de redémarrer le PC du compte en cours de facturation. Cette page présente les dix politiques une par une : le travail effectué par chaque stratégie, le chemin exact de la console et l'avertissement honnête qui l'accompagne. Comment créer, lier et tester un GPO à partir de zéro est expliqué dans le didacticiel GPO complet sur cette chaîne ; cette liste concerne les dix à construire une fois que vous connaissez les bases.
Un GPO par tâche, chacun avec un nom simple. Exemples de noms affichés : la structure est le point, pas les étiquettes.
Chemin : Configuration de l'ordinateur - Politiques - Paramètres Windows - Paramètres de sécurité - Politiques de compte - Politique de mot de passe, normalement modifié dans la stratégie de domaine par défaut. Il s'agit de la seule stratégie de la liste où le domaine obtient exactement une version pour tous les comptes de domaine : une stratégie de mot de passe liée à une seule unité d'organisation ne fait rien pour les utilisateurs du domaine (les exceptions par groupe nécessitent des stratégies de mot de passe affinées, une fonctionnalité distincte).
Définissez une longueur minimale dont les gens peuvent réellement se souvenir : 12 caractères complexes sur des rythmes, 8 caractères modifiés chaque mois. Les directives modernes de Microsoft ont abandonné les expirations fréquentes forcées, car les utilisateurs répondent par Office@123, puis Office@124. La durée et une politique de verrouillage judicieuse constituent la combinaison honnête.
Chemin : Configuration utilisateur - Politiques - Modèles d'administration - Panneau de configuration - Personnalisation - activez l'économiseur d'écran, définissez le délai d'expiration et activez la protection par mot de passe de l'économiseur d'écran. Un jumeau côté ordinateur, Connexion interactive : limite d'inactivité de la machine sous Options de sécurité, effectue le même travail par machine.
Dix minutes, c'est le moment idéal au bureau. Quelqu'un s'éloigne d'un PC déverrouillé et connecté en tant que compte ou RH, et toute personne qui passe par là devient soudainement cette personne. Cette politique comble la faille de sécurité la moins chère du bâtiment - et les utilisateurs l'acceptent en une semaine, car elle ne demande rien d'autre que de saisir un mot de passe au retour.
Chemin : Configuration de l'ordinateur - Politiques - Modèles d'administration - Système - Accès au stockage amovible. Vous pouvez refuser la lecture, l'écriture ou l'exécution par classe de périphérique, ou refuser tout le stockage amovible dans un seul paramètre.
La raison du bureau, ce sont les données : une clé USB peut transporter l'intégralité de la base de données clients hors du bâtiment, ou y transporter un virus. L'avertissement honnête : configurez cela avec un itinéraire d'exception dès le premier jour - un groupe filtré de sécurité pour les deux ou trois personnes ayant un réel besoin professionnel - ou la politique sera silencieusement désactivée la première fois qu'elle bloque le patron avant une présentation. Les claviers et les souris constituent une famille de paramètres différente (restrictions d'installation des appareils) ; cette politique concerne le stockage.
Chemin : Configuration utilisateur - Préférences - Paramètres Windows - Cartes de lecteur. Il s'agit d'une Préférence de stratégie de groupe, et non d'une stratégie classique : vous pointez une lettre de lecteur vers un partage, choisissez l'action (Créer ou Mettre à jour) et utilisez le ciblage au niveau de l'élément si les comptes doivent obtenir S: et pas les ventes.
Cette politique supprime le script le plus ancien du système informatique - le fichier de commandes de connexion - et l'appel quotidien serveur wala drive gayab ho gaya. Mappez une fois sur le serveur et chaque utilisateur se connecte avec les mêmes lettres pointant vers les mêmes partages. Un lecteur mappé affichant une croix rouge est alors lisible instantanément : un problème de réseau ou d'autorisations, pas un mystère de cartographie.
Chemin : Préférences - Paramètres du panneau de configuration - Imprimantes (ou déployer à partir de la gestion de l'impression). L'utilisateur se connecte et l'imprimante de bureau est simplement là, avec le bon pilote du serveur d'impression.
La mise en garde moderne et honnête : depuis les correctifs de PrintNightmare, Windows est strict en ce qui concerne les pilotes d'imprimante - les utilisateurs standard ne peuvent généralement pas installer un tout nouveau pilote, le pilote doit donc déjà vivre sur le serveur d'impression et être pré-installé par un administrateur. Le déploiement par GPO supprime toujours la visite par PC ; cela ne supprime tout simplement plus la planification ponctuelle du conducteur. Ciblez les imprimantes par unité d'organisation ou par groupe afin que le troisième étage cesse d'imprimer au rez-de-chaussée.
Chemin : Configuration ordinateur - Stratégies - Modèles d'administration - Composants Windows - Windows Update. Paramètres clés : Configurer les mises à jour automatiques, Pas de redémarrage automatique avec les utilisateurs connectés, délais d'installation et - si le bureau utilise WSUS - emplacement du serveur de mise à jour intranet. Les paramètres de report permettent à un groupe pilote de prendre les mises à jour en premier et au reste du bureau quelques jours plus tard.
Soyez clair sur le travail : cette politique contrôle le timing, et non si les mises à jour ont lieu. Les bureaux touchés sont ceux qui désactivent complètement les mises à jour et rencontrent ensuite une vulnérabilité vieille de deux ans. Définissez une fenêtre d'installation en dehors des heures d'ouverture et une date limite de redémarrage que les utilisateurs peuvent voir venir, et les mises à jour deviennent ennuyeuses - ce qui est exactement ce que vous souhaitez.
Chemin : Configuration utilisateur - Politiques - Paramètres Windows - Redirection de dossiers. Les documents, le bureau et les images pointent discrètement vers un dossier sur le serveur de fichiers au lieu du disque local.
La récompense apparaît le pire jour : un PC tombe en panne, l'utilisateur se connecte sur n'importe quel autre PC et ses fichiers sont déjà là - et la copie du serveur se trouve dans votre sauvegarde normale. Deux avertissements honnêtes. La première connexion copie les fichiers existants, donc déployez-les par petits lots. Et ne redirigez jamais vers un serveur lent ou en voie de disparition : chaque sauvegarde semble alors interrompue et les utilisateurs commencent à sauvegarder sur une clé USB, ce qui va à l'encontre de la politique numéro 3.
Chemins : Configuration de l'ordinateur - Paramètres Windows - Paramètres de sécurité - Politiques de contrôle des applications - AppLocker, ou les anciennes Politiques de restriction logicielle dans la même zone. L'idée est une liste blanche : Windows, Program Files et les applications approuvées par l'administrateur peuvent s'exécuter ; tout ce qu'un utilisateur télécharge dans son propre profil ne le peut pas.
C’est l’élément le plus fort de la liste et celui qui exige le plus de respect. L'application d'AppLocker via GPO est une fonctionnalité des éditions Enterprise and Education, et chaque administrateur doit démarrer en mode Audit uniquement, corriger ce que le journal révèle, puis appliquer. Fait patiemment, il arrête silencieusement la plupart des logiciels malveillants de fausses factures. Fait à la hâte le vendredi, il arrête le logiciel de facturation – cette histoire a sa propre page dans cette série.
Chemin : Configuration de l'ordinateur - Politiques - Paramètres Windows - Paramètres de sécurité - Configuration avancée des politiques d'audit. Au minimum, auditez les succès et les échecs de connexion sur les contrôleurs de domaine et les serveurs membres.
L'audit répond à la question que chaque bureau se pose après un incident : quel compte a été utilisé, à partir de quel PC et quand ? Mais soyez honnête à propos de la seconde moitié : les journaux que personne ne lit ne sont pas de la sécurité, ils sont du stockage. Activez l'audition en même temps qu'une petite habitude hebdomadaire de lecture des échecs - un guide complémentaire de cette série couvre cette habitude dans son intégralité.
Chemin : Préférences - Paramètres du panneau de configuration - Utilisateurs et groupes locaux peut nettoyer le groupe Administrateurs sur chaque PC - supprimer les comptes d'utilisateurs parasites, conserver le groupe de support informatique. L'élément complémentaire est Windows LAPS, qui donne à chaque PC un mot de passe d'administrateur local unique, à rotation automatique, stocké en toute sécurité dans Active Directory.
Le travail quotidien ne nécessite pas de droits d'administrateur ; les logiciels malveillants en héritent. Lorsque chaque utilisateur est un administrateur local, un mauvais téléchargement possède la machine et commence à parcourir le réseau de l'intérieur. Supprimez les droits d'administrateur permanents, conservez LAPS pour le jour où le service informatique a besoin du mot de passe local, et la moitié des incidents dans un bureau normal ne se produisent jamais. Conservez un itinéraire anti-brise-glace testé avant le déploiement – le guide de mise en garde de cette série explique pourquoi.
Les dix stratégies créées et liées en direct sur un véritable domaine Windows Server : regardez la vidéo une fois et votre propre liste prendra moins d'une heure.
▶️ Watch Full VideoCommencez par la politique de mot de passe et le verrouillage de l’écran – ils ne coûtent presque rien aux utilisateurs et comblent les deux failles les plus courantes. Ensuite, effectuez le mappage des lecteurs et le déploiement des imprimantes, car les utilisateurs les considèrent comme une aide plutôt que comme une restriction, et la bonne volonté s'accompagne des politiques plus strictes (contrôle USB, contrôle logiciel, suppression de l'administrateur local) qui viendront plus tard.
Pour les comptes de domaine, une politique de mot de passe ne prend effet qu'à partir d'un GPO lié au niveau du domaine - la politique de domaine par défaut est l'accueil habituel. Une stratégie de mot de passe liée à une unité d'organisation s'applique uniquement aux comptes locaux sur ces ordinateurs. Différentes règles pour un groupe spécifique nécessitent des stratégies de mot de passe affinées, configurées séparément dans Active Directory.
Vous pouvez et vous ne devriez pas. Un GPO par tâche - avec un nom simple comme Block-USB-Storage - peut être testé, désactivé, annulé et filtré indépendamment. Un GPO géant échoue comme un géant : quand quelque chose se brise, vous ne pouvez pas en désactiver la moitié, et personne ne se souvient de ce qu'il contient. Le guide d'un GPO par emploi de cette série montre la discipline en pratique.