Top 10 des GPO dans Windows Server
Les 10 principales stratégies de groupe pour un bureau Windows Server : politique de mot de passe, verrouillage de l'écran, blocage USB, mappage de lecteurs, imprimantes, mises à jour, redirection de dossiers, AppLocker, audit et contrôle de l'administrateur local – chacune expliquée en termes simples.
📑Chapitres
- Pourquoi un nouveau domaine a d'abord besoin de ces dix règles ?
- Politique de mot de passe : une règle pour l'ensemble du domaine
- Verrouillage de l'écran : le PC sans surveillance se verrouille automatiquement
- Blocage USB : les clés USB ne sont plus une porte
- Mappage des lecteurs : les partages du serveur apparaissent seuls
- Imprimantes : l'imprimante de bureau sans toucher au PC
- Mises à jour : les mises à jour Windows s'effectuent selon votre planning
- Redirection de dossiers : les documents sont stockés sur le serveur, pas sur le PC
- AppLocker : seuls les programmes approuvés sont exécutés
- Audit : enregistre qui s'est connecté et qui a échoué
- Contrôle de l'administrateur local : presque personne n'est administrateur sur son propre PC
- Testez sur une unité d'organisation pilote avant de déployer sur tout le monde
📋 Présentation et guide étape par étape
Ouvrir d’abord la gestion des stratégies de groupe
Les dix stratégies sont intégrées dans une seule console : la console de gestion des stratégies de groupe. Ouvrez la boîte Exécuter, tapez la commande ci-dessous et appuyez sur Entrée. La règle de fonctionnement pour toute la liste est un GPO par tâche, chacun avec un nom simple comme Block-USB-Storage ou Screen-Lock-10-Min — une politique distincte peut être testée, désactivée, annulée et filtrée seule, tandis qu'un GPO géant échoue en tant que géant.
gpmc.mscPolitique de mot de passe – Une règle pour l'ensemble du domaine
Chemin : Configuration de l'ordinateur → Politiques → Paramètres Windows → Paramètres de sécurité → Politiques de compte → Politique de mot de passe, normalement modifié dans la stratégie de domaine par défaut. Définissez une longueur minimale dont les gens peuvent réellement se souvenir : 12 caractères avec une complexité sur des battements de 8 caractères modifiés chaque mois. Les directives modernes de Microsoft ont abandonné les expirations fréquentes forcées, car les utilisateurs y répondent avec des modèles prévisibles. La durée et une politique raisonnable de verrouillage de compte constituent la combinaison honnête.
Verrouillage de l'écran - le PC sans surveillance se verrouille tout seul
Chemin : Configuration utilisateur → Politiques → Modèles d'administration → Panneau de configuration → Personnalisation : activez l'économiseur d'écran, définissez le délai d'expiration et activez la protection par mot de passe de l'économiseur d'écran. Un jumeau côté ordinateur, Connexion interactive : limite d'inactivité de la machine sous Options de sécurité, effectue le même travail par machine. Dix minutes, c'est le moment idéal au bureau : quelqu'un s'éloigne d'un PC déverrouillé et connecté en tant que compte ou RH, et toute personne qui passe par là devient soudainement cette personne. Cette politique comble la faille de sécurité la moins chère du bâtiment.
Contrôle du stockage USB : les clés USB cessent d'être une porte
Chemin : Configuration de l'ordinateur → Stratégies → Modèles d'administration → Système → Accès au stockage amovible. Vous pouvez refuser la lecture, l'écriture ou l'exécution par classe de périphérique, ou refuser tout le stockage amovible dans un seul paramètre. La raison d'être du bureau, ce sont les données : une seule clé USB peut transporter l'intégralité de la base de données clients hors du bâtiment, ou y transporter un virus.
Mappage de lecteur : les partages de serveur apparaissent d'eux-mêmes
Chemin : Configuration utilisateur → Préférences → Paramètres Windows → Cartes de lecteur. Il s'agit d'une Préférence de stratégie de groupe, et non d'une stratégie classique : vous pointez une lettre de lecteur vers un partage, choisissez l'action (Créer ou Mettre à jour) et utilisez le ciblage au niveau de l'élément si les comptes doivent obtenir un lecteur que les ventes ne devraient pas obtenir. Cette politique supprime le script le plus ancien du service informatique (le fichier de commandes de connexion) et l'appel quotidien « le lecteur du serveur a disparu ». Un lecteur mappé affichant une croix rouge est alors lisible instantanément : un problème de réseau ou d'autorisations, pas un mystère de cartographie.
Déploiement d'imprimantes : l'imprimante de bureau sans toucher au PC
Chemin : Préférences → Paramètres du panneau de configuration → Imprimantes (ou déployer à partir de la gestion de l'impression). L'utilisateur se connecte et l'imprimante de bureau est simplement là, avec le bon pilote du serveur d'impression. Ciblez les imprimantes par unité d'organisation ou par groupe afin que le troisième étage cesse d'imprimer au rez-de-chaussée.
Contrôle Windows Update : les mises à jour se produisent selon votre calendrier
Chemin : Configuration ordinateur → Stratégies → Modèles d'administration → Composants Windows → Windows Update. Paramètres clés : Configurer les mises à jour automatiques, Pas de redémarrage automatique avec les utilisateurs connectés, délais d'installation et, si le bureau utilise WSUS, emplacement du serveur de mise à jour intranet. Les paramètres de report permettent à un groupe pilote de prendre les mises à jour en premier et au reste du bureau quelques jours plus tard. Soyez clair sur le travail : cette politique contrôle le timing, et non si les mises à jour ont lieu. Définissez une fenêtre d'installation en dehors des heures d'ouverture et une date limite de redémarrage que les utilisateurs peuvent voir venir, et les mises à jour deviennent ennuyeuses – ce qui est exactement ce que vous souhaitez.
Redirection de dossiers : les documents sont hébergés sur le serveur, pas sur le PC
Chemin : Configuration utilisateur → Politiques → Paramètres Windows → Redirection de dossiers. Les documents, le bureau et les images pointent discrètement vers un dossier sur le serveur de fichiers au lieu du disque local. La récompense apparaît le pire jour : un PC tombe en panne, l'utilisateur se connecte sur n'importe quel autre PC et ses fichiers sont déjà là - et la copie du serveur se trouve dans votre sauvegarde normale.
AppLocker - Seuls les programmes approuvés s'exécutent
Chemins : Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Stratégies de contrôle des applications → AppLocker ou les anciennes stratégies de restriction logicielle dans la même zone. L'idée est une liste blanche : Windows, Program Files et les applications approuvées par l'administrateur peuvent s'exécuter ; tout ce qu'un utilisateur télécharge dans son propre profil ne le peut pas. C’est l’élément le plus fort de la liste et celui qui exige le plus de respect.
Journalisation d'audit - Enregistrez qui s'est connecté et qui a échoué
Chemin : Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit. Au minimum, auditez les succès et les échecs de connexion sur les contrôleurs de domaine et les serveurs membres. L'audit répond à la question que chaque bureau se pose après un incident : quel compte a été utilisé, à partir de quel PC et quand ?
Contrôle d'administration local – Presque personne n'est administrateur sur son propre PC
Chemin : Préférences → Paramètres du Panneau de configuration → Utilisateurs et groupes locaux peut nettoyer le groupe Administrateurs sur chaque PC — supprimer les comptes d'utilisateurs parasites, conserver le groupe de support informatique. L'élément complémentaire est Windows LAPS, qui donne à chaque PC un mot de passe d'administrateur local unique, à rotation automatique, stocké en toute sécurité dans Active Directory. Le travail quotidien ne nécessite pas de droits d'administrateur ; les logiciels malveillants en héritent. Supprimez les droits d'administrateur permanents, conservez LAPS pour le jour où le service informatique a besoin du mot de passe local et la moitié des incidents dans un bureau normal ne se produisent jamais, mais conservez une route testée pour briser la vitre avant le déploiement.
Appliquer, mettre à jour et vérifier sur un PC de test
Liez le nouveau GPO à l'unité d'organisation de test, puis, sur un client de test, forcez une actualisation de la stratégie et prouvez le résultat avant que quiconque ne le reçoive. La première commande applique les stratégies maintenant au lieu d'attendre le prochain cycle d'actualisation ; le second rédige un rapport qui répertorie exactement quels GPO ont été appliqués – et lesquels ont été refusés, et pourquoi.
gpupdate /forcegpresult /h report.html🏷️Variables et mots clés de recherche de sujet
🎙️ Transcription complète — appuyez pour développer
__TOK_35__
__TOK_36__
__TOK_37__
❓ Questions fréquemment posées
Ce tutoriel est-il 100% gratuit à suivre ?
__TOK_38__
Les débutants peuvent-ils suivre ce guide ?
__TOK_39__
Où puis-je poser des questions si je suis bloqué ?
__TOK_40__