Stratégies de groupe (GPO)
Configurer des dizaines de postes d'un seul geste : créer et lier des GPO, prévoir leur ordre d'application, cibler les bons utilisateurs et ordinateurs, puis vérifier et dépanner avec gpupdate, gpresult et la modélisation.
L'essentiel
- Une GPO = un objet de l'annuaire (GPC) + un dossier de réglages dans SYSVOL (GPT), reliés par un GUID et une version.
- Sans lien sur un site, le domaine ou une UO, une GPO ne s'applique à personne ;
CN=Computersn'est pas une UO. - Ordre LSDOU : Locale, Site, Domaine, UO ; sur un même paramètre, le dernier gagne. Lien n°1 = priorité maximale dans un conteneur.
- Héritage : les GPO descendent aux sous-UO. Bloquer l'héritage coupe celles d'en haut ; Appliqué traverse le blocage et gagne.
- Filtrage de sécurité : Lecture + Appliquer la stratégie ; en retirant Utilisateurs authentifiés, garde la Lecture pour Ordinateurs du domaine.
- Filtre WMI : une requête WQL évaluée sur le poste, une seule par GPO, à employer avec parcimonie.
- Ordinateur : appliqué au démarrage, suit l'UO de la machine. Utilisateur : appliqué à l'ouverture de session, suit l'UO du compte.
- Stratégies : imposent et se retirent d'elles-mêmes. Préférences : proposent, avec ciblage au niveau de l'élément.
- Mots de passe du domaine : GPO à la racine du domaine ; règles plus strictes pour un groupe : stratégie affinée (PSO), pas une GPO.
- Vérifier :
gpupdate /force, nouvelle session,gpresult /rou/h, puis RSoP (Résultats / Modélisation) ; rafraîchissement automatique toutes les 90 à 120 min.
Piège : le conteneur Computers
Un ordinateur qui vient de rejoindre le domaine est rangé dans CN=Computers, un conteneur par défaut, pas une UO. Aucune GPO ne peut y être liée : à part celles du domaine, le poste ne reçoit rien de tes GPO d'UO. Déplace toujours les nouveaux ordinateurs dans l'UO prévue (par exemple UO Postes) ; redircmp change l'UO d'arrivée par défaut. Même remarque pour CN=Users.
LSDOU en une phrase
Locale, Site, Domaine, UO : on applique dans cet ordre, du plus général au plus proche de l'objet ; le dernier gagne sur un même paramètre. Entre plusieurs sous-UO, on descend de la plus haute à la plus basse.
Piège : la GPO « ne s'applique plus à personne »
Depuis la mise à jour de sécurité MS16-072, les stratégies de la partie utilisateur sont lues avec le compte de l'ordinateur. Si tu retires Utilisateurs authentifiés sans rien d'autre, l'ordinateur n'a plus le droit de lire la GPO : elle est refusée à tous, même au groupe ciblé. Garde toujours la Lecture pour Ordinateurs du domaine (ou pour Utilisateurs authentifiés, en décochant seulement « Appliquer »).
Le réflexe de vérification
Après chaque modification : gpupdate /force, puis fermer et rouvrir la session (certains réglages utilisateur n'arrivent qu'à l'ouverture), puis gpresult /r pour lire si la GPO est appliquée ou filtrée. Ne conclus jamais sur « ça n'a pas marché » sans cette lecture.
Commandes clés
| Pour… | Commandes |
|---|---|
| Gérer les GPO | gpmc.msc · éditeur : clic droit sur la GPO → Modifier ; stratégie locale : gpedit.msc |
| Forcer le traitement | gpupdate /force · /target:user ou /target:computer · à distance : Invoke-GPUpdate -Computer PC-COMPTA-01 |
| Voir ce qui est appliqué | gpresult /r · gpresult /r /scope user (ou computer) |
| Produire un rapport | gpresult /h C:\temp\rapport.html /f · Get-GPOReport -Name U-Fond-ecran -ReportType Html -Path C:\temp\gpo.html |
| Créer et lier (PowerShell) | New-GPO -Name U-Fond-ecran · New-GPLink -Name U-Fond-ecran -Target "OU=Siege,DC=broceliande,DC=lan" |
| Sauvegarder une GPO | Backup-GPO -Name U-Fond-ecran -Path C:\Sauvegardes\GPO |
| Diagnostiquer | Get-GPInheritance · journal GroupPolicy/Operational · dcdiag /test:sysvolcheck |