Tutoriel complet GPO Active Directory ⚡ Explication de la politique des utilisateurs et des ordinateurs

Qu'est-ce qu'un GPO en réalité

Un GPO est simplement un ensemble de paramètres nommé. Cela ne fait rien par lui-même. Il ne commence à fonctionner que lorsque vous le liez à un conteneur (un site, le domaine ou une unité organisationnelle (UO)) et il s'applique ensuite aux comptes d'utilisateur ou d'ordinateur à l'intérieur de ce conteneur.

Deux faits en découlent. Premièrement, la modification d'un GPO et la liaison d'un GPO sont deux tâches distinctes ; un GPO parfaitement configuré et lié nulle part ne change rien. Deuxièmement, un GPO peut être lié à plusieurs UO, et une UO peut recevoir plusieurs GPO.

Tout dans ce didacticiel se déroule dans une seule console : la console de gestion des stratégies de groupe. Ouvrez-le sur le contrôleur de domaine ou sur n'importe quel PC sur lequel les outils RSAT sont installés, à partir de la zone Exécuter :

gpmc.msc

Politique informatique vs politique utilisateur : les deux moitiés

Ouvrez n'importe quel GPO et vous verrez les deux mêmes sections : Configuration de l'ordinateur et Configuration utilisateur. Il ne s’agit pas de deux vues d’une même liste : ce sont deux boîtes à outils différentes avec des paramètres différents, appliqués à des moments différents à des comptes différents.

La Configuration de l'ordinateur s'applique au compte d'ordinateur. Il est traité au démarrage du PC, avant que quiconque ne se connecte. L'installation du logiciel pour les machines, les scripts de démarrage, le blocage USB, le comportement de Windows Update et les paramètres de sécurité sont en direct ici.

La Configuration utilisateur s'applique au compte utilisateur. Il est traité lorsqu'un utilisateur se connecte, sur n'importe quel PC. Les fonds d'écran, les mappages de lecteurs, la redirection de dossiers, les scripts de connexion et les restrictions du panneau de configuration sont disponibles ici.

L'endroit où vous créez un lien décide qui l'obtient

Les objets de stratégie de groupe sont liés à trois niveaux : site (un bureau physique), domaine (tout le monde) et OU (un service ou un groupe). Dans les petites et moyennes entreprises, presque toutes les liaisons se font au niveau de l'unité d'organisation, car vous organisez d'abord les comptes en unités d'organisation : une pour les ordinateurs de bureau, une pour les utilisateurs du personnel, une pour les ordinateurs portables, etc.

Il est préférable de laisser les deux GPO qui existent par défaut – la Politique de domaine par défaut (règles de mot de passe et de compte) et la Politique des contrôleurs de domaine par défaut – Créez vos propres GPO pour vos propres paramètres, afin de pouvoir les désactiver sans toucher aux valeurs par défaut.

Créez, configurez et liez votre premier GPO

Dans gpmc.msc, cliquez avec le bouton droit sur Objets de stratégie de groupe → Nouveau → donnez-lui un nom qui indique ce qu'il fait, comme Bloquer les lecteurs USB. Honnêtement, la dénomination compte : après six mois, un bureau compte quarante GPO, et des noms comme "Nouveau GPO" ou "test2" ne vous disent rien : nom par travail, pas par date.

Cliquez avec le bouton droit sur le nouveau GPO → Modifier. L'éditeur s'ouvre avec les deux moitiés. Configurez vos paramètres dans la bonne moitié et fermez l'éditeur.

De retour dans GPMC, cliquez avec le bouton droit sur l'unité d'organisation cible → Lier un GPO existant → sélectionnez votre GPO. Sur le PC client, redémarrez-le (pour les paramètres de l'ordinateur) ou déconnectez-vous et reconnectez-vous (pour les paramètres utilisateur) - ou forcez l'actualisation avec les commandes de l'étape suivante.

Forcez-le et prouvez-le - gpupdate et gpresult

Les règles s'actualisent d'elles-mêmes environ toutes les 90 minutes (avec un décalage aléatoire), mais personne ne teste cela lentement. Sur le PC client, ouvrez l'invite de commande et exécutez :

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force réapplique désormais toutes les stratégies. Certains paramètres nécessitent encore honnêtement un redémarrage (paramètres de l'ordinateur, installations de logiciels) ou une nouvelle connexion (paramètres utilisateur) - /force ne peut pas ignorer la physique.

gpresult /r est le reçu : il répertorie exactement quels GPO appliqués à l'ordinateur et à l'utilisateur, et lesquels ont été filtrés et pourquoi. Pour un rapport lisible, gpresult /h report.html crée une page HTML montrant chaque paramètre gagnant et de quel GPO il provient. Ne jugez jamais un GPO par l'espoir — gpresult /r devrait être la première commande que vous exécutez chaque fois qu'une stratégie « ne fonctionne pas ».