Configurer les stratégies de groupe : GPO¶

1. Objectif du cours¶

Présenter les concepts, mécanismes et outils nécessaires pour créer, appliquer, vérifier et dépanner des Group Policy Objects (GPO) dans un environnement Active Directory. Permettre une mise en œuvre sécurisée et centralisée des configurations utilisateurs et ordinateurs.

2. Notions et définitions essentielles¶

GPO (Group Policy Object) : ensemble de règles pour gérer centralement paramètres d’ordinateurs et d’utilisateurs Windows.
Types de GPO : locales, de site, de domaine, liées à des Unités d’Organisation (OU).
Paramètres utilisateurs vs ordinateurs : s’appliquent à la connexion utilisateur ou au démarrage machine.
Modèles d’administration : fichiers .ADMX/.ADML définissant paramètres disponibles.
Filtrage : restreint l’application d’une GPO (groupes de sécurité, WMI, loopback).

3. Fonctionnement et principes¶

Hiérarchie et priorité : ordre d’application = Local → Site → Domaine → OU ; une GPO liée à une OU est la plus spécifique et prend la priorité sauf cas d’options particulières.
Résolution de conflit : la règle du niveau le plus précis s’applique ; options pour modifier ce comportement : Enforce (force l’application) et Bloquer l’héritage (empêche la remontée des GPO).
Filtrage et ciblage : filtrage par groupe de sécurité, filtres WMI pour conditions (version OS, matériel), et loopback pour appliquer des paramètres utilisateur selon la machine (modes Fusion ou Remplacement).
Cycle d’application : au démarrage (ordinateur), à la connexion (utilisateur), et en arrière-plan toutes les 90 minutes (5 minutes pour contrôleurs de domaine); certains paramètres requièrent redémarrage/reconnexion.

4. Commandes et manipulations¶

gpmc.msc : lance la Console de gestion des stratégies de groupe (GPMC) pour créer, modifier, lier et exporter/importer des GPO.
dsa.msc : ouvre la console Utilisateurs et ordinateurs Active Directory (ADUC) pour organiser objets, OU et permissions.
gpupdate (ex. gpupdate /force ; gpupdate /target:user ou /target:computer) : force l’actualisation des stratégies sur un poste client.
gpresult (ex. gpresult /r ; gpresult /h rapport.html) : génère un rapport des GPO appliquées (résumé ou HTML).
eventvwr.msc : ouvre l’Observateur d’événements ; journaux GPO situés dans Applications and services → Microsoft → Windows → Group Policy.
Regroupement d’utilisation : utiliser gpupdate pour forcer l’application, puis gpresult pour vérifier le résultat ; utiliser GPMC pour créer/lier GPO et ADUC pour organiser OU et permissions.

5. Sécurité et bonnes pratiques¶

Centraliser règles critiques dans des GPO bien structurées et nommées explicitement.
Tester les stratégies sur un groupe restreint avant déploiement global.
Documenter les GPO et leur périmètre (liaisons, filtres, priorités).
Utiliser avec parcimonie les options Enforce et Bloquer l’héritage pour éviter des conflits difficiles à diagnostiquer.
Planifier modifications majeures en dehors des heures de production pour limiter perturbations.

6. Points essentiels à retenir pour le TSSR¶

Les GPO permettent la gestion centralisée et l’automatisation des configurations utilisateurs et machines.
Deux catégories de paramètres : utilisateurs (appliqués à la connexion) et ordinateurs (appliqués au démarrage).
Ordre d’application déterminant : Local → Site → Domaine → OU.
Filtrage par groupe, filtres WMI et loopback sont les principaux moyens de cibler l’application.
Loopback : mode Fusion complète les paramètres utilisateur ; mode Remplacement remplace totalement.
Cycle de rafraîchissement par défaut : 90 minutes (5 minutes pour contrôleurs de domaine).
GPMC est l’outil principal ; ADUC complète pour la structuration des objets et permissions.
Vérifier systématiquement l’application après modification et inspecter les journaux en cas d’erreur.

7. Tableau récapitulatif¶

Niveau / Option	Portée	Priorité et usage
Local	Ordinateur seul	Appliquée en premier, remplacée par niveaux supérieurs
Site	Zone géographique AD	Appliquée après locale, utile pour paramètres par site
Domaine	Tous objets du domaine	Applique des règles générales du domaine
OU	Objets d’une unité spécifique	Plus spécifique, priorité la plus élevée par défaut
Enforce / Bloquer l’héritage	Option de gestion	Enforce impose la GPO même si héritage bloqué ; bloquer empêche héritage des niveaux supérieurs

8. Vérifications pratiques¶

Dans GPMC, consulter l’onglet Liaisons pour vérifier où une GPO est appliquée.
Vérifier l’onglet Délégation pour contrôler filtres par groupes de sécurité et permissions.
Forcer l’actualisation puis consulter le rapport de stratégies sur le poste client pour confirmer l’application.
Générer un rapport HTML exploitable pour lecture détaillée des GPO actives.
Consulter l’Observateur d’événements : Applications and services → Microsoft → Windows → Group Policy pour erreurs et avertissements.
Vérifier si un héritage est bloqué ou si une GPO est appliquée en Enforce lorsqu’un paramètre semble non pris en compte.

9. Flashcards Anki¶

Qu'est‑ce qu'une GPO ? :: Ensemble de règles permettant de gérer et configurer de manière centralisée les paramètres d’ordinateurs et d’utilisateurs Windows. Quels sont les deux types principaux de paramètres d’une GPO ? :: Paramètres utilisateurs et paramètres ordinateurs. Quel est l’ordre d’application des GPO dans Active Directory ? :: Local → Site → Domaine → Unité d’organisation (OU). Quel outil est principalement utilisé pour créer et gérer les GPO ? :: GPMC (Console de gestion des stratégies de groupe) / gpmc.msc. Quel outil permet d’organiser les utilisateurs, groupes et OU dans Active Directory ? :: ADUC (Utilisateurs et ordinateurs Active Directory) / dsa.msc. Quelle commande force l’actualisation immédiate des stratégies sur un poste client ? :: gpupdate (ex. gpupdate /force). Quelle commande fournit un rapport des GPO appliquées et peut générer un HTML ? :: gpresult (ex. /r pour résumé, /h pour HTML). Où trouver les événements liés aux stratégies de groupe dans l’Observateur d’événements ? :: Applications and services → Microsoft → Windows → Group Policy. Que fait le mode Remplacement du loopback ? :: Les paramètres utilisateurs spécifiques à la machine remplacent complètement ceux de l’utilisateur. Quel est l’intervalle de rafraîchissement automatique des GPO sur un poste client ? :: 90 minutes par défaut (5 minutes pour les contrôleurs de domaine).