Explication du bouclage GPO et du filtrage de sécurité

Commencer par défaut : Utilisateurs authentifiés

Prêt à l'emploi, chaque nouveau GPO comporte un filtre de sécurité : Utilisateurs authentifiés, détenant à la fois les autorisations Lire et Appliquer la stratégie de groupe. Ce groupe est plus large qu'il n'y paraît — il inclut tous les utilisateurs connectés et chaque compte d'ordinateur de domaine — et c'est pourquoi un nouveau GPO « fonctionne » pour tout le monde dans l'unité d'organisation à laquelle il est lié. Vous pouvez voir le filtre dans la console de gestion des stratégies de groupe : sélectionnez l'objet de stratégie de groupe et examinez la case Filtrage de sécurité dans l'onglet Étendue. Tout dans cette vidéo est un changement délibéré par rapport à cette valeur par défaut – et chaque surprise commence là.

Activer le traitement de bouclage

Le traitement de bouclage est un paramètre de l'ordinateur. Modifiez le GPO lié à l'unité d'organisation contenant les ordinateurs et accédez à Configuration ordinateur → Stratégies → Modèles d'administration → Système → Stratégie de groupe. Ouvrez Configurer le mode de traitement de bouclage de la stratégie de groupe utilisateur et définissez-le sur Activé. À partir de ce moment, les paramètres utilisateur de toute personne qui se connecte à ces PC sont extraits des GPO liés à l'UO de l'ordinateur au lieu de seulement de l'UO de l'utilisateur. Le bouclage ne modifie jamais la moitié de la stratégie de l'ordinateur : les paramètres de l'ordinateur sont toujours traités normalement.

Choisissez le mode Fusionner ou Remplacer

Le même réglage demande un mode, et le choix change tout. Remplacer ignore entièrement les propres GPO côté utilisateur de l'utilisateur : seuls les paramètres utilisateur des GPO de l'ordinateur s'appliquent. C'est le mode des kiosques, des salles de classe et des serveurs RDS, où la machine doit présenter un environnement identique et contrôlé à absolument tout le monde. Fusionner applique d'abord les propres GPO de l'utilisateur, puis applique les paramètres utilisateur de l'ordinateur par-dessus — et les paramètres de l'ordinateur éliminent tout conflit. La fusion convient aux PC normaux où la personne conserve l'essentiel de sa politique habituelle mais les règles de la machine doivent avoir le dernier mot.

Visez le GPO avec le filtrage de sécurité

Le filtrage de sécurité permet d'empêcher un objet de stratégie de groupe d'accéder à tout le monde dans l'unité d'organisation. Sélectionnez l'objet de stratégie de groupe dans la console, ouvrez l'onglet Portée et dans la section Filtrage de sécurité supprimez les Utilisateurs authentifiés et ajoutez uniquement le groupe qui doit recevoir la stratégie. Pour recevoir un GPO, un compte doit les deux lire et appliquer la stratégie de groupe : avec un seul des deux, le GPO n'est jamais téléchargé ou répertorié, mais ignoré. Le filtrage est le moyen standard de tester d'abord une nouvelle stratégie sur un petit groupe, ou de cibler un seul service, sans déplacer un seul compte entre les unités d'organisation.

Conserver l'autorisation de lecture des ordinateurs (MS16-072)

C'est le piège qui pique les administrateurs depuis juin 2016. La mise à jour de sécurité MS16-072 a modifié la façon dont la stratégie de groupe est récupérée : le compte d'ordinateur récupère désormais les GPO utilisateur du contrôleur de domaine dans le propre contexte de sécurité de l'ordinateur. Ainsi, l'ordinateur doit détenir l'autorisation Lecture sur chaque GPO qu'il récupère, y compris les GPO utilisateur filtrés vers un groupe dont l'ordinateur n'est pas membre. Si vous avez supprimé les utilisateurs authentifiés à l'étape précédente, ouvrez l'onglet Délégation du GPO, cliquez sur Ajouter et accordez aux Utilisateurs authentifiés (ou ordinateurs du domaine) l'autorisation Lecture uniquement : la lecture est tout ce dont la machine a besoin ; Postulez des séjours auprès de votre groupe cible.

Quand le bouclage et le filtrage se rencontrent

Les deux contrôles interagissent et l'interaction capte même les administrateurs expérimentés. Les paramètres utilisateur fournis par le bouclage sont toujours présents dans les GPO liés à l'unité d'organisation de l'ordinateur - mais ce sont toujours des paramètres utilisateur, donc la personne au clavier a toujours besoin d'Appliquer la stratégie de groupe sur ce GPO, et l'ordinateur doit toujours le Lire. Si vous appliquez le filtre sur un GPO de bouclage à un groupe d'ordinateurs uniquement, la machine récupère consciencieusement un GPO dont personne n'est autorisé à appliquer les paramètres utilisateur : un GPO de kiosque parfaitement configuré qui ne fournit rien en silence. Avant de blâmer la stratégie elle-même, vérifiez les deux moitiés de la paire d’autorisations.

Prouvez-le avec gpresult

Ne devinez pas – vérifiez. Sur le PC concerné, dans la session de l'utilisateur concerné, ouvrez l'invite de commande et exécutez la commande de preuve de la vidéo :

gpresult /h report.html

Ouvrez le report.html généré et lisez les verdicts. Les GPO appliqués sont répertoriés en haut, et chaque GPO rejeté porte sa raison : Refusé (Sécurité) signifie une décision de filtrage, Refusé (Inaccessible) signifie un échec de récupération ou d'autorisations, et Refusé (Vide) signifie que la moitié du GPO n'a tout simplement aucun paramètre. Avec le fonctionnement du bouclage, l'empreinte digitale est indubitable : les GPO fournissant les paramètres utilisateur sont ceux de l'unité d'organisation de l'ordinateur. Travaillez les preuves dans cet ordre – portée, filtre, bouclage – et la plupart des cas « GPO ne s’appliquant pas » s’expliquent d’eux-mêmes.