🎓 SIO1 · semestre 2⏱️ 4 h (cours + TP)🎯 Bloc 2 – SISRConfigurer des dizaines de postes d'un seul geste : créer et lier des GPO, prévoir leur ordre d'application, cibler les bons utilisateurs et ordinateurs, puis vérifier et dépanner avec gpupdate, gpresult et la modélisation.
🎯 Objectifs
Expliquer ce qu'est une GPO : un objet de l'annuaire (GPC) et des fichiers dans SYSVOL (GPT).
Lier une GPO à un site, au domaine ou à une UO, et prévoir l'ordre de traitement LSDOU.
Maîtriser l'héritage, le blocage de l'héritage et l'option « Appliqué ».
Cibler avec le filtrage de sécurité, les filtres WMI et le ciblage des préférences.
Distinguer configuration ordinateur et utilisateur, stratégies et préférences.
Réaliser les cas courants, vérifier avec gpupdate et gpresult, puis dépanner.
Test express des prérequis 3 questions · 2 minutes · conseillé avant de commencer
1. À quoi sert un contrôleur de domaine ?
Le contrôleur de domaine (ici SRV-01) tient l'annuaire des utilisateurs, groupes et ordinateurs et vérifie les ouvertures de session. A, c'est le DHCP ; C, c'est le routeur. À revoir : B2-17 · Active Directory.
2. Dans Active Directory, à quoi sert une unité d'organisation (UO) ?
L'UO est un dossier de l'annuaire : on y range les objets pour les administrer ensemble. Les droits sur les dossiers se donnent à des groupes, pas à des UO.
3. Quel chemin désigne le partage « Compta » du serveur SRV-01 ?
Un chemin UNC s'écrit \\serveur\partage. Les GPO s'en servent pour les lecteurs réseau, les fonds d'écran ou les scripts. À revoir : B2-13 · Partage de fichiers.
À Brocéliande Logistique (entreprise fictive, 60 salariés), les postes sont réglés un par un. Chaque technicien a ses habitudes : le fond d'écran n'est pas le même partout, le lecteur S: de la comptabilité manque sur certains postes, et un opérateur de l'entrepôt a modifié la configuration réseau depuis le Panneau de configuration.
Le responsable informatique veut que tout soit décidé à un seul endroit, sur le contrôleur de domaine SRV-01, et appliqué automatiquement à chaque ouverture de session : fond d'écran commun, lecteur de la compta, Panneau de configuration fermé à l'entrepôt, mots de passe d'au moins 12 caractères. Tu vas apprendre à le faire avec les stratégies de groupe, et surtout à comprendre pourquoi l'une d'elles ne s'applique pas.
Le coursCe qu'est une GPO, où on la lie, dans quel ordre elle s'applique, comment la cibler, les cas concrets, puis la vérification et le dépannage.
1. Qu'est-ce qu'une GPO ?
Une GPO est un paquet de réglages : fond d'écran, lecteurs réseau, durée de verrouillage de l'écran, pare-feu, scripts… On le fabrique une fois sur le contrôleur de domaine, on le lie à un endroit de l'annuaire, et tous les utilisateurs et ordinateurs concernés le reçoivent. Sans domaine, on ne dispose que de la stratégie locale de chaque poste (gpedit.msc).
Une GPO n'est pas un seul fichier : elle est coupée en deux morceaux qui vivent à deux endroits. Clique sur chacun pour voir ce qu'il contient.
Clique sur le conteneur (GPC), sur le modèle (GPT) ou sur le lien pour voir leur rôle.
Choisis un élément : son rôle s'affiche ici.
Une GPO = un objet dans l'annuaire (GPC) + un dossier de fichiers dans SYSVOL (GPT) + un ou plusieurs liens.
GPC (Group Policy Container) : objet de l'annuaire qui décrit la GPO. GPT (Group Policy Template) : dossier de SYSVOL qui contient les réglages eux-mêmes. Les deux sont reliés par le même GUID et par un numéro de version : si les deux numéros diffèrent, la GPO est incohérente.
GPT.INI numéro de version de la GPO
Machine\ partie « Configuration ordinateur »
Registry.pol réglages de registre (modèles d'administration)
Microsoft\Windows NT\SecEdit\GptTmpl.inf sécurité, mots de passe
Scripts\Startup scripts de démarrage
User\ partie « Configuration utilisateur »
Registry.pol fond d'écran, Panneau de configuration…
Preferences\Drives\Drives.xml lecteurs réseau mappés
Scripts\Logon scripts d'ouverture de session
Machine\Tout ce qui concerne l'ordinateur, quel que soit l'utilisateur connecté. Lu au démarrage du poste.
User\Tout ce qui concerne l'utilisateur, quel que soit le poste qu'il utilise. Lu à l'ouverture de session.
GPT.INIContient Version= : le numéro augmente à chaque modification. Il doit être identique à celui du GPC.
Default Domain PolicyLa GPO créée avec le domaine, liée à sa racine (mots de passe, verrouillage). Default Domain Controllers Policy est liée à l'UO Domain Controllers.
Pour bien comprendre : le service du personnel
Imagine le classeur du service du personnel. Il contient les consignes de chaque service : « à la compta, on range les factures ainsi », « à l'entrepôt, casque obligatoire ». Ce classeur, c'est SYSVOL, et chaque feuille de consigne est un GPT.
La fiche d'index qui dit « les consignes de la compta concernent le service Comptabilité, version 5 » est le GPC, rangée dans le fichier central du personnel, l'annuaire. Le lien, c'est la mention « à remettre à tout nouvel arrivant du service ».
À son arrivée (démarrage du poste, ouverture de session), chaque salarié vient chercher les consignes qui le concernent. Le classeur ne va pas voir les postes : ce sont les postes qui viennent lire.
2. Lier une GPO : site, domaine ou UO
Créer une GPO ne suffit pas : tant qu'elle n'est liée à un endroit de l'annuaire, elle ne s'applique à personne. On peut la lier à trois niveaux, que l'on retrouve dans la console GPMC (gpmc.msc) :
Un site Active DirectoryUn site correspond à un emplacement physique (siège, Rennes). Utile pour des réglages liés au lieu, par exemple un proxy différent à Rennes. Peu employé en PME.
Le domaineTouche tous les utilisateurs et ordinateurs de broceliande.lan. Réservé aux réglages vraiment communs : mots de passe, pare-feu, fond d'écran de l'entreprise.
Une UOLe cas le plus courant : la GPO touche les objets de l'UO et de ses sous-UO. Un lien par UO permet de réglementer service par service.
On lie à un site, au domaine ou à une UO. Computers (comme Users) est un simple conteneur : on ne peut pas y lier de GPO.
Un ordinateur qui vient de rejoindre le domaine est rangé dans CN=Computers, un conteneur par défaut, pas une UO. Aucune GPO ne peut y être liée : à part celles du domaine, le poste ne reçoit rien de tes GPO d'UO. Déplace toujours les nouveaux ordinateurs dans l'UO prévue (par exemple UO Postes) ; redircmp change l'UO d'arrivée par défaut. Même remarque pour CN=Users.
Une GPO est un objet indépendant des liens : on peut la lier à plusieurs UO, désactiver un lien sans supprimer la GPO (case « Lien activé »), ou supprimer le lien en gardant la GPO. Supprimer la GPO elle-même supprime ses liens… et ses réglages.
3. L'ordre de traitement : LSDOU
Un utilisateur ou un ordinateur peut être concerné par plusieurs GPO à la fois : celle du domaine, celle de son UO, celle de l'UO parente… Windows les applique toujours dans le même ordre, résumé par le sigle LSDOU :
Locale : la stratégie locale du poste (gpedit.msc), appliquée en premier.
Site : les GPO liées au site AD du poste.
Domaine : les GPO liées à broceliande.lan.
Organizational Unit : les GPO de l'UO la plus haute, puis de ses sous-UO, jusqu'à l'UO qui contient l'objet.
Règle de base : le dernier qui parle gagne. Si deux GPO règlent le même paramètre différemment, c'est la plus tardive (donc la plus proche de l'objet) qui l'emporte. Si elles règlent des paramètres différents, les deux s'appliquent : les réglages s'additionnent. Suis l'exemple avec le fond d'écran et l'écran de veille d'un poste de l'entrepôt.
Les GPO se superposent comme des calques : un paramètre en conflit est écrasé par le calque du dessus, les autres restent.
Locale, Site, Domaine, UO : on applique dans cet ordre, du plus général au plus proche de l'objet ; le dernier gagne sur un même paramètre. Entre plusieurs sous-UO, on descend de la plus haute à la plus basse.
3.1 Plusieurs GPO sur le même conteneur
Quand un même site, domaine ou UO porte plusieurs liens, ils s'appliquent selon leur ordre de liaison, visible dans l'onglet « Objets de stratégie de groupe liés » de GPMC. Le lien numéro 1 est appliqué en dernier : il a donc la plus haute priorité et gagne un conflit. Les flèches haut et bas de GPMC changent cet ordre.
Seuls les paramètres définis dans les deux GPO entrent en conflit. Un paramètre « Non configuré » ne dit rien et laisse la valeur précédente. C'est pourquoi on évite les GPO « fourre-tout » : une GPO par sujet (fond d'écran, lecteur, sécurité) est plus facile à ordonner et à diagnostiquer.
4. Héritage, blocage et « Appliqué »
Une GPO liée à une UO s'applique aussi à ses sous-UO : c'est l'héritage. C'est pratique, mais il faut parfois y faire exception. Deux options existent, à des endroits différents, et leur interaction est un classique d'examen.
Bloquer l'héritageSe règle sur une UO ou le domaine (clic droit → Bloquer l'héritage). L'UO ne reçoit plus les GPO des niveaux supérieurs. La stratégie locale reste appliquée.
Appliqué (enforced)Se règle sur le lien d'une GPO (clic droit sur le lien → Appliqué). Cette GPO traverse les blocages et l'emporte en cas de conflit, même sur une GPO d'une UO plus proche.
Blocage = « je ne veux pas ce qui vient d'en haut ». Appliqué = « cette GPO passe quoi qu'il arrive ».
Si plusieurs GPO sont appliquées en conflit, c'est celle liée le plus haut dans l'arborescence qui gagne. On réserve donc « Appliqué » aux règles non négociables (sécurité, mots de passe) et on évite de bloquer l'héritage sans raison : chaque blocage rend le diagnostic plus difficile. Les deux options se voient dans GPMC par une icône sur l'UO ou sur le lien.
5. Cibler : filtrage de sécurité et filtres WMI
Lier une GPO à une UO touche tous les objets de cette UO. Pour être plus précis, deux filtres peuvent s'ajouter au lien : le filtrage de sécurité (qui est concerné ?) et le filtre WMI (dans quel état est la machine ?). Une GPO n'est appliquée que si l'objet franchit toutes les portes.
Lien, sécurité, WMI : trois conditions à vérifier dans cet ordre quand une GPO « ne marche pas ».
5.1 Le filtrage de sécurité
Chaque GPO a une liste de contrôle d'accès, comme un dossier. Pour être appliquée à un utilisateur ou à un ordinateur, elle exige deux droits : Lecture et Appliquer la stratégie de groupe. Par défaut, le groupe Utilisateurs authentifiés les possède, donc la GPO s'applique à tout le monde dans l'UO. Pour la restreindre à un groupe (par exemple GG_Compta) :
Dans GPMC, sélectionne la GPO, onglet Étendue, zone Filtrage de sécurité.
Ajoute le groupe GG_Compta : il reçoit Lecture et Appliquer.
Retire Utilisateurs authentifiés.
Onglet Délégation → Ajouter → Ordinateurs du domaine avec le droit Lecture seulement.
Depuis la mise à jour de sécurité MS16-072, les stratégies de la partie utilisateur sont lues avec le compte de l'ordinateur. Si tu retires Utilisateurs authentifiés sans rien d'autre, l'ordinateur n'a plus le droit de lire la GPO : elle est refusée à tous, même au groupe ciblé. Garde toujours la Lecture pour Ordinateurs du domaine (ou pour Utilisateurs authentifiés, en décochant seulement « Appliquer »).
On filtre sur des groupes de sécurité, jamais sur un utilisateur isolé : les personnes changent, les groupes restent (méthode AGDLP, fiche B2-13). Un groupe d'utilisateurs filtre une partie utilisateur ; pour une partie ordinateur, il faudrait un groupe d'ordinateurs.
5.2 Les filtres WMI
Un filtre WMI contient une requête WQL évaluée sur le poste au moment du traitement. Elle renvoie « vrai » si au moins une ligne est trouvée. On l'utilise pour cibler des critères que ni l'UO ni les groupes n'expriment : version de Windows, type de machine, quantité de RAM…
Requêtes WQL espace de noms root\CIMv2
Postes de travail seulement (pas les serveurs) :
SELECT * FROM Win32_OperatingSystem WHERE ProductType = "1"
Windows 11 seulement :
SELECT * FROM Win32_OperatingSystem WHERE Version LIKE "10.0.2%" AND ProductType = "1"
Un filtre est évalué à chaque rafraîchissement, sur chaque poste : une requête lente ralentit l'ouverture de session. Une GPO n'accepte qu'un seul filtre WMI. Quand un groupe de sécurité suffit, préfère le groupe.
6. Configuration ordinateur ou utilisateur ?
Chaque GPO contient deux parties indépendantes. Les réglages ne sont pas lus au même moment, ni pour le même objet :
Configuration ordinateurSuit le compte ordinateur (son UO). Appliquée au démarrage du poste, avant même l'écran de connexion. Concerne le système : mots de passe du domaine, pare-feu, services, scripts de démarrage.
Configuration utilisateurSuit le compte utilisateur (son UO). Appliquée à l'ouverture de session. Concerne l'environnement de la personne : fond d'écran, lecteurs réseau, Panneau de configuration, scripts d'ouverture de session.
Deux parties, deux moments : l'ordinateur d'abord, l'utilisateur ensuite, puis un rafraîchissement en tâche de fond.
Un réglage utilisateur s'applique là où se trouve le compte de la personne, quel que soit le poste. Un réglage ordinateur s'applique là où se trouve le compte de la machine, quelle que soit la personne. Mettre une GPO « utilisateur » sur l'UO des postes est l'erreur la plus fréquente : elle n'a aucun effet.
Les deux parties peuvent être désactivées indépendamment (« Désactiver les paramètres de configuration utilisateur » dans les propriétés de la GPO) : une GPO qui ne contient qu'une partie se traite plus vite. Pour appliquer des réglages utilisateur en fonction du poste (salle de TP, borne), on active le traitement par boucle de rappel (loopback), vu en SIO2. Le rafraîchissement en arrière-plan ne relance pas les scripts, les redirections de dossiers ni l'installation de logiciels : ils attendent un redémarrage ou une nouvelle session.
7. Stratégies ou préférences ?
Dans l'éditeur de GPO, chaque partie a deux branches : Stratégies et Préférences. Elles ressemblent à des réglages équivalents, mais leur comportement est opposé.
Une stratégie verrouille, une préférence propose. Les deux se lient et se filtrent de la même façon.
Critère
Stratégie
Préférence
Effet pour l'utilisateur
Imposée : le réglage est grisé
Modifiable : valeur de départ
Quand la GPO ne s'applique plus
Le réglage revient à son état antérieur
Il reste, sauf si l'élément est réglé pour être supprimé
Où ça écrit
Zones protégées du registre (Policies)
N'importe où : registre, fichiers, lecteurs, imprimantes
Ciblage
Lien, groupe de sécurité, filtre WMI
Idem, plus le ciblage au niveau de l'élément
Actions possibles
Activé, désactivé, non configuré
Créer, Remplacer, Mettre à jour, Supprimer
7.1 Le ciblage au niveau de l'élément
Chaque élément d'une préférence (un lecteur, une imprimante) possède, dans l'onglet Commun, un ciblage au niveau de l'élément. L'élément n'est appliqué que si la condition est vraie : appartenance à un groupe de sécurité, UO, plage d'adresses IP, nom d'ordinateur, version de Windows, ou une combinaison avec ET / OU / NON. Ainsi, une seule GPO peut mapper S: pour la compta et T: pour la direction, au lieu d'une GPO par groupe.
Parce que l'utilisateur peut défaire une préférence. Pour une règle de sécurité (interdire une fonction, imposer une longueur de mot de passe), on utilise une stratégie. Pour un confort que chacun peut ajuster (lecteur, imprimante par défaut, raccourci), une préférence est plus souple.
8. Les cas concrets de l'entreprise
Voici les sept demandes de Brocéliande Logistique, avec l'endroit exact où se trouve chaque réglage. Les GPO portent un nom qui dit à qui elles s'appliquent : U- pour une GPO utilisateur, O- pour une GPO ordinateur, D- pour le domaine.
Seuls les mots de passe du domaine se règlent côté ordinateur ; presque tout le reste se règle côté utilisateur.
8.1 Un fond d'écran commun
Place l'image sur un partage lisible par tous : \\SRV-01\Ressources\fond-broceliande.jpg (Lecture pour Utilisateurs authentifiés).
GPO U-Fond-ecran → Configuration utilisateur → Stratégies → Modèles d'administration → Bureau → Bureau → Papier peint du Bureau.
Active le paramètre, saisis le chemin UNC, choisis le style (Remplir).
Lie la GPO à l'UO Siege : tous les utilisateurs en dessous la reçoivent.
8.2 Un lecteur réseau mappé (préférence)
GPO U-Lecteur-Compta → Configuration utilisateur → Préférences → Paramètres Windows → Mappages de lecteurs → Nouveau → Lecteur mappé.
Action Mettre à jour (crée ou modifie), emplacement \\SRV-01\Compta, lettre S:, Se reconnecter coché.
Onglet Commun → Ciblage au niveau de l'élément → Nouvel élément → Groupe de sécurité → GG_Compta.
Lie la GPO à l'UO Siege : seuls les membres de GG_Compta voient S:. Le lecteur n'est qu'un raccourci : les droits restent ceux du partage (fiche B2-13).
8.3 Le dossier personnel de chaque utilisateur
Deux méthodes existent. La plus simple fixe un dossier de base dans le profil du compte AD (\\SRV-01\Personnel$\%username%, lecteur H:). La plus complète est la redirection de dossiers par GPO, qui envoie Documents sur le serveur :
Configuration utilisateur → Stratégies → Paramètres Windows → Redirection de dossiers → Documents → Propriétés.
Paramètre De base, option Créer un dossier pour chaque utilisateur sous le chemin d'accès racine, racine \\SRV-01\Personnel$.
Résultat : les documents de Léa vivent dans \\SRV-01\Personnel$\lea.martin\Documents, sauvegardés avec le serveur et retrouvés sur n'importe quel poste.
Pour que Windows crée les dossiers, les utilisateurs doivent pouvoir Créer des dossiers à la racine, avec ce dossier seulement, sans pouvoir lire ceux des autres. Sans cela, la redirection échoue en silence au premier essai.
8.4 Les mots de passe : stratégie du domaine et mots de passe affinés
Les règles de mot de passe des comptes du domaine se règlent dans une GPO liée à la racine du domaine (la Default Domain Policy) : Configuration ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Stratégies de comptes. Une GPO liée à une UO n'aurait d'effet que sur les comptes locaux des postes. Valeurs d'exemple :
Paramètre
Valeur d'exemple
Pourquoi
Longueur minimale du mot de passe
12 caractères
La longueur compte plus que les symboles
Le mot de passe doit respecter des exigences de complexité
Activé
Mélange de majuscules, minuscules, chiffres, symboles
Conserver l'historique des mots de passe
24
Empêche de réutiliser les anciens
Durée de vie maximale / minimale
90 jours / 1 jour
À ajuster à la politique de l'entreprise
Seuil de verrouillage du compte
5 tentatives, 15 minutes
Ralentit les attaques par essais successifs
Une seule stratégie de mots de passe s'applique au domaine. Pour imposer des règles plus strictes à un groupe (administrateurs, comptes de service), on crée en principe une stratégie de mot de passe affinée (PSO), qui n'est pas une GPO :
OùCentre d'administration Active Directory → broceliande (local) → System → Password Settings Container, ou PowerShell.
À quiÀ des utilisateurs ou à des groupes globaux, pas à une UO. Exemple : GG_Admins_SI avec 16 caractères minimum.
PrioritéUn nombre, le plus bas l'emporte. Un PSO remplace la stratégie du domaine pour ses cibles, il ne s'y ajoute pas.
Windows Server PowerShell · SRV-01principe, à ne pas exécuter sans consigne
PS> New-ADFineGrainedPasswordPolicy -Name PSO-Admins -Precedence 10 -MinPasswordLength 16 -ComplexityEnabled $true -LockoutThreshold 3 -LockoutDuration 00:30:00 -LockoutObservationWindow 00:30:00 PS> Add-ADFineGrainedPasswordPolicySubject PSO-Admins -Subjects GG_Admins_SI PS> Get-ADUserResultantPasswordPolicy -Identity lea.martin # quelle stratégie s'applique à ce compte ?
Active Interdire l'accès au Panneau de configuration et à l'application Paramètres du PC.
Lie la GPO à l'UO Entrepot. Les opérateurs ne peuvent plus changer la configuration réseau. Les informaticiens ont un autre compte, rangé hors de cette UO.
8.6 Déployer une imprimante
GPO U-Imprimante-Compta → Configuration utilisateur → Préférences → Paramètres du Panneau de configuration → Imprimantes → Nouveau → Imprimante TCP/IP.
Adresse IP 172.16.20.20 (l'imprimante fixe de la comptabilité), nom d'affichage et chemin du pilote.
Ciblage au niveau de l'élément sur GG_Compta. Pour une imprimante partagée par un serveur d'impression, la console Gestion de l'impression propose Déployer avec la stratégie de groupe.
Depuis les correctifs de sécurité de la spouleur d'impression, un utilisateur standard ne peut plus installer de pilote : il doit déjà être présent sur le poste ou fourni par le serveur d'impression. Une imprimante déployée sans pilote reste « hors ligne » alors que la GPO est bien appliquée.
8.7 Un script d'ouverture de session
GPO U-Script-Ouverture → Configuration utilisateur → Stratégies → Paramètres Windows → Scripts (ouverture/fermeture de session) → Ouverture de session.
Onglet Scripts PowerShell → Afficher les fichiers : l'explorateur s'ouvre dans le dossier Policies\{GUID}\User\Scripts\Logon de SYSVOL. Dépose-y ton fichier .ps1.
Ajouter le script dans la liste, puis ouvre une session de test.
Windows PowerShelllogon.ps1 · trace l'ouverture de session
Un script d'ouverture de session est un dernier recours : il s'exécute à chaque session, ne signale pas ses échecs et peut démarrer quelques minutes après l'apparition du bureau. Quand une préférence sait faire la même chose (lecteur, imprimante, raccourci, clé de registre), elle est plus fiable.
9. Appliquer et vérifier : gpupdate, gpresult, RSoP
Les postes ne lisent pas les GPO en continu. Ils les rafraîchissent au démarrage (partie ordinateur), à l'ouverture de session (partie utilisateur), puis toutes les 90 minutes avec un décalage aléatoire de 0 à 30 minutes (5 minutes pour un contrôleur de domaine). Pour ne pas attendre, on force le traitement et on regarde le résultat.
Modifier, forcer, vérifier. Deux outils de GPMC complètent gpresult : la modélisation simule, les résultats constatent.
9.1 Forcer et lire
Windows 11 invite de commandes en administrateurPC-COMPTA-01
C:\> gpupdate /force REM retraite toutes les GPO, ordinateur et utilisateur C:\> gpupdate /target:user /force REM seulement la partie utilisateur C:\> gpresult /r /scope user REM résumé de la partie utilisateur C:\> gpresult /h C:\temp\rapport.html /f REM rapport complet, à ouvrir dans le navigateur
Windows 11 extrait de gpresult /r /scope userla langue dépend du poste
PARAMÈTRES DE L'UTILISATEUR
CN=Léa Martin,OU=Compta,OU=Utilisateurs,OU=Siege,DC=broceliande,DC=lan
Dernière application de la stratégie de groupe : 16/10/2026 à 09:12:44
Stratégie de groupe appliquée à partir de : SRV-01.broceliande.lan
Objets Stratégie de groupe appliqués
U-Fond-ecran
U-Lecteur-Compta
Les objets de stratégie de groupe suivants n'ont pas été appliqués, car ils ont été filtrés
U-Restriction-Panneau
Filtrage : Refusé (Sécurité)
Dernière applicationL'heure du dernier traitement. Plus ancienne que ta modification : le poste n'a pas encore relu les GPO.
Objets appliquésLes GPO réellement traitées, dans l'ordre. Absente de cette liste = pas d'effet.
Objets filtrésLes GPO liées mais écartées, avec la raison : Refusé (Sécurité) ou Refusé (Filtre WMI).
9.2 RSoP, résultats et modélisation
Le RSoP est le résultat final de toutes les GPO combinées. Dans GPMC, deux assistants le calculent :
Résultats de stratégie de groupeInterroge un vrai poste et un utilisateur ayant ouvert une session : ce qui a été appliqué, avec le nom de la GPO gagnante pour chaque paramètre. Le poste doit être allumé et joignable.
Modélisation de stratégie de groupeSimule ce qui serait appliqué à un utilisateur et un ordinateur choisis (ou à une UO), sans qu'ils soient connectés. Idéal avant un changement, ou pour tester le déplacement d'un compte.
Entraîne-toi : écris la commande ou l'option qui répond à chaque besoin, puis vérifie avec ✓.
Forcer le rafraîchissement ›
Lister les GPO appliquées ›
Option de gpresult : rapport HTML ›
Ne voir que la partie utilisateur ›
Console de gestion des GPO ›
Après chaque modification : gpupdate /force, puis fermer et rouvrir la session (certains réglages utilisateur n'arrivent qu'à l'ouverture), puis gpresult /r pour lire si la GPO est appliquée ou filtrée. Ne conclus jamais sur « ça n'a pas marché » sans cette lecture.
10. Dépanner une GPO qui ne s'applique pas
« Ma GPO ne marche pas » est le ticket le plus fréquent après la création d'un domaine. La cause est presque toujours l'une des trois portes de la partie 5, un mauvais choix d'objet (partie ordinateur ou utilisateur) ou un simple délai. Une méthode vaut mieux que des essais au hasard.
10.1 La méthode en cinq questions
Ma GPO ne s'applique pas Réponds en regardant GPMC et le résultat de gpresult
La GPO est-elle liée, avec un lien activé, à une UO qui contient l'objet concerné ?Dans GPMC, onglet Étendue de la GPO, zone « Liens ».
La partie réglée correspond-elle à l'objet qui se trouve dans l'UO ?Réglage utilisateur : le compte utilisateur doit être dans l'UO. Réglage ordinateur : le compte ordinateur doit y être.
La GPO figure-t-elle dans « Objets Stratégie de groupe appliqués » de gpresult ?Après gpupdate /force et une nouvelle session.
Figure-t-elle dans la liste des objets « filtrés » ?
Une autre GPO plus proche, ou appliquée, règle-t-elle le même paramètre autrement ?Regarde l'onglet Résultats de GPMC : il nomme la GPO gagnante.
Problème de lien. Lie la GPO à l'UO qui contient l'objet (ou à une UO parente), vérifie que « Lien activé » est coché et que l'héritage n'est pas bloqué en chemin.
Mauvaise partie ou mauvaise UO. Une GPO « utilisateur » liée à l'UO des ordinateurs n'a aucun effet. Déplace le lien vers l'UO des comptes utilisateurs. Vérifie aussi que le poste n'est pas resté dans CN=Computers.
Filtre de sécurité ou WMI. La raison est écrite dans gpresult : Refusé (Sécurité) → onglet Délégation, vérifie Lecture + Appliquer pour le groupe et Lecture pour Ordinateurs du domaine ; Refusé (Filtre WMI) → teste la requête sur le poste.
La GPO n'est pas arrivée jusqu'au poste. Cherche : héritage bloqué, ordinateur dans CN=Computers, GPO désactivée, SYSVOL non répliqué (version AD ≠ version SYSVOL), journal GroupPolicy avec l'événement 1058, DNS ou heure du poste faux.
Conflit entre GPO. Applique LSDOU : la dernière gagne, sauf GPO « Appliquée ». Change l'ordre de liaison, retire le paramètre en double, ou lie la GPO plus bas.
La GPO est appliquée et sans concurrente. Cherche côté contenu : chemin UNC injoignable ou droits manquants sur le partage, réglage qui exige une nouvelle session ou un redémarrage, valeur mal saisie. Ouvre le rapport gpresult /h, onglet Détails.
10.2 Les pannes fréquentes
Symptôme
Cause probable
Vérification et correction
Aucun effet, pour personne
GPO non liée, lien désactivé ou lié à la mauvaise UO
GPMC : onglet Étendue → Liens. Lier à l'UO qui contient les objets
Appliquée à certains seulement
Filtrage de sécurité ou filtre WMI
gpresult /r, liste « filtrés » ; onglet Délégation
Les postes récents n'ont rien
Ordinateur resté dans CN=Computers
Get-ADComputer puis déplacer vers l'UO ; redircmp pour la suite
Réglage utilisateur sans effet
GPO utilisateur liée à l'UO des ordinateurs
Lier à l'UO des comptes utilisateurs (ou boucle de rappel)
Une valeur « ne bouge pas »
Autre GPO plus proche ou « Appliquée »
Résultats de stratégie de groupe : GPO gagnante ; ordre de liaison
Rien n'a changé après la modification
Rafraîchissement toutes les 90 à 120 min
gpupdate /force, puis fermer et rouvrir la session
Événement 1058, accès à gpt.ini impossible
SYSVOL non répliqué, DNS ou heure erronés
dcdiag /test:sysvolcheck, repadmin /replsummary, DNS du poste
Fond d'écran noir, lecteur absent
Partage injoignable ou droits manquants
Ouvrir le chemin UNC avec le compte de l'utilisateur
Windows PowerShelldiagnostic complémentaire
PS> Get-ADComputer PC-ENTREPOT-01 | Select-Object DistinguishedName # dans quelle UO est le poste ? PS> Get-GPInheritance -Target "OU=Entrepot,OU=Utilisateurs,OU=Siege,DC=broceliande,DC=lan" # liens, ordre, héritage bloqué PS> Get-WinEvent -LogName "Microsoft-Windows-GroupPolicy/Operational" -MaxEvents 15 # journal détaillé du traitement PS> dcdiag /test:sysvolcheck # SYSVOL partagé et fonctionnel sur le contrôleur ?
Dans GPMC, l'onglet Détails de la GPO affiche « Version de l'utilisateur » et « Version de l'ordinateur » sous la forme 5 (AD), 5 (SYSVOL). Deux nombres différents prouvent que le GPC et le GPT ne sont plus synchrones : problème de réplication de SYSVOL.
10.3 Entraîne-toi : les tickets du support
Tu es de permanence au support de Brocéliande Logistique. Six tickets arrivent les uns après les autres : lis le message, observe le relevé, puis choisis la cause.
File d'attente du support6 tickets · un à la fois · l'explication s'affiche après ta réponse
Ticket n° 1De : entrepôtPriorité moyenne
« Tout le monde à la compta a le nouveau fond d'écran. Nous, à l'entrepôt, rien : notre écran est toujours gris. »
GPMC onglet Étendue de U-Fond-ecran
Liens : OU=Compta,OU=Utilisateurs,OU=Siege,DC=broceliande,DC=lan
Lien activé : oui
(aucun autre lien)
Quelle est la cause la plus probable ?
Cause : le seul lien est sur l'UO Compta : les utilisateurs de l'entrepôt ne sont pas concernés. Correction : lier la GPO à l'UO Siege (parent des deux services) ou ajouter un lien sur l'UO Entrepot, puis gpupdate /force et nouvelle session.
Ticket n° 2De : entrepôtPriorité haute
« Hier on a restreint la GPO du Panneau de configuration au groupe GG_Entrepot. Depuis, elle ne s'applique plus à personne, même à Yann, qui est bien dans le groupe. »
Windows 11 gpresult /r · compte de Yann
Les objets de stratégie de groupe suivants n'ont pas été appliqués, car ils ont été filtrés
U-Restriction-Panneau
Filtrage : Refusé (Sécurité)
GPMC → Délégation de U-Restriction-Panneau :
GG_Entrepot Lecture, Appliquer la stratégie de groupe
Admins du domaine Contrôle total
Quelle est la cause ?
Cause : la GPO est « Refusée (Sécurité) » : elle est bien liée, mais le compte de l'ordinateur, qui lit les stratégies utilisateur, n'a plus le droit de Lecture. Correction : onglet Délégation → Ajouter → Ordinateurs du domaine avec Lecture, puis gpupdate /force.
Ticket n° 3De : entrepôtPriorité haute
« Le nouveau PC de l'entrepôt, joint au domaine ce matin, n'a ni les règles de sécurité ni le pare-feu des autres postes. Pourtant la GPO O-Securite est liée à l'UO Postes. »
Cause : à la jonction, l'ordinateur arrive dans CN=Computers, qui n'est pas une UO et ne reçoit que les GPO du domaine. Correction :Move-ADObject (ou glisser-déposer) vers OU=Postes, redémarrer le poste ; redircmp "OU=Postes,OU=Siege,DC=broceliande,DC=lan" pour que les prochains arrivent directement au bon endroit.
Ticket n° 4De : agence de RennesPriorité haute
« À Rennes, les nouvelles règles ne passent pas, alors qu'au siège tout est en ordre. Le journal du poste signale une erreur sur un fichier gpt.ini. »
Relevés poste de Rennes et GPMC
Événement 1058 (GroupPolicy) : le fichier
\\broceliande.lan\SysVol\broceliande.lan\Policies\{GUID}\gpt.ini est inaccessible
GPMC → Détails de U-Fond-ecran :
Version de l'utilisateur : 6 (AD), 5 (SYSVOL)
Quelle est la cause ?
Cause : l'annuaire (GPC) indique la version 6, SYSVOL (GPT) en est restée à la 5 : la réplication de SYSVOL vers le contrôleur de Rennes ne se fait pas. Correction : vérifier la liaison WAN et la réplication (repadmin /replsummary, dcdiag /test:sysvolcheck), l'heure et le DNS, puis attendre la réplication avant de retester.
Ticket n° 5De : comptabilitéPriorité basse
« J'ai changé le lecteur dans la GPO il y a trois minutes et mon poste n'a pas bougé. La GPO est cassée ? »
Windows 11 gpresult /r /scope user · PC-COMPTA-01
Dernière application de la stratégie de groupe : 16/10/2026 à 08:31:10
Heure actuelle : 16/10/2026 à 09:21:40
Objets Stratégie de groupe appliqués
U-Lecteur-Compta
Que réponds-tu ?
Cause : la GPO figure parmi les objets appliqués ; la dernière lecture date de 50 minutes et le poste n'a pas encore relu la version modifiée. Correction :gpupdate /force, puis fermer et rouvrir la session pour les réglages utilisateur.
« J'ai lié U-Restriction-Panneau à l'UO Postes pour bloquer le Panneau de configuration sur tous les PC de l'entrepôt. Les opérateurs l'ouvrent toujours. »
Relevé GPMC et annuaire
U-Restriction-Panneau : contient uniquement des paramètres de « Configuration utilisateur »
Lien : OU=Postes,OU=Siege (contient les comptes ORDINATEURS)
Compte de Yann : CN=Yann Kerjean,OU=Entrepot,OU=Utilisateurs,OU=Siege
Pourquoi n'y a-t-il aucun effet ?
Cause : la GPO ne contient que des paramètres utilisateur, mais elle est liée à une UO d'ordinateurs : aucun compte utilisateur n'y est rangé. Correction : lier la GPO à l'UO Entrepot (comptes des opérateurs). La boucle de rappel serait l'autre solution, mais elle est inutile ici.
11. À l'examen et en entreprise
Documentation attendue : l'arborescence des UO avec les GPO liées à chaque niveau, un tableau des GPO (nom, partie utilisateur ou ordinateur, objectif, lien, filtrage, paramètres clés) et la justification de l'ordre d'application.
Convention de nommage : U- / O- / D- et un sujet par GPO. Le jury apprécie qu'un nom dise tout de suite à qui s'applique la GPO.
Tester avant de déployer : une UO « Test » avec un poste et un compte, la modélisation de stratégie de groupe pour simuler, Backup-GPO pour sauvegarder avant de modifier. Ne jamais modifier la Default Domain Policy au-delà des mots de passe.
Cahier de recette : un test qui réussit (le lecteur S: apparaît pour la compta), un test qui doit échouer (il n'apparaît pas pour l'entrepôt), avec gpresult comme preuve.
Sécurité : mots de passe longs, verrouillage, restriction des fonctions sensibles, comptes d'administration rangés dans une UO à part. Une GPO touche des dizaines de machines : on la modifie avec prudence et on garde l'historique.
12. L'essentiel
Une GPO = un objet de l'annuaire (GPC) + un dossier de réglages dans SYSVOL (GPT), reliés par un GUID et une version.
Sans lien sur un site, le domaine ou une UO, une GPO ne s'applique à personne ; CN=Computers n'est pas une UO.
Ordre LSDOU : Locale, Site, Domaine, UO ; sur un même paramètre, le dernier gagne. Lien n°1 = priorité maximale dans un conteneur.
Héritage : les GPO descendent aux sous-UO. Bloquer l'héritage coupe celles d'en haut ; Appliqué traverse le blocage et gagne.
Filtrage de sécurité : Lecture + Appliquer la stratégie ; en retirant Utilisateurs authentifiés, garde la Lecture pour Ordinateurs du domaine.
Filtre WMI : une requête WQL évaluée sur le poste, une seule par GPO, à employer avec parcimonie.
Ordinateur : appliqué au démarrage, suit l'UO de la machine. Utilisateur : appliqué à l'ouverture de session, suit l'UO du compte.
Stratégies : imposent et se retirent d'elles-mêmes. Préférences : proposent, avec ciblage au niveau de l'élément.
Mots de passe du domaine : GPO à la racine du domaine ; règles plus strictes pour un groupe : stratégie affinée (PSO), pas une GPO.
Vérifier : gpupdate /force, nouvelle session, gpresult /r ou /h, puis RSoP (Résultats / Modélisation) ; rafraîchissement automatique toutes les 90 à 120 min.
La fiche en une image : à refaire de mémoire, sur une feuille, avant de passer aux exercices.
Les commandes clés
Pour…
Commandes
Gérer les GPO
gpmc.msc · éditeur : clic droit sur la GPO → Modifier ; stratégie locale : gpedit.msc
Forcer le traitement
gpupdate /force · /target:user ou /target:computer · à distance : Invoke-GPUpdate -Computer PC-COMPTA-01
Voir ce qui est appliqué
gpresult /r · gpresult /r /scope user (ou computer)
La pratiqueLe quiz noté pour vérifier tes acquis, les exercices à rendre à ton professeur, puis le TP sur ton pool Proxmox : trois GPO, la vérification et un dépannage volontaire.
13. Quiz noté
8 questions · 10 minutesRéponds à toutes les questions, puis valide. Seule ta première tentative est enregistrée : elle compte dans ton suivi. Ensuite, tu peux t'entraîner autant que tu veux.
1. Où sont stockés les réglages d'une GPO (le GPT) ?
2. Dans quel ordre les GPO sont-elles appliquées ?
3. Deux GPO liées à la même UO règlent le même paramètre. Laquelle l'emporte ?
4. Une UO bloque l'héritage. Une GPO du domaine y est liée avec l'option « Appliqué ». Que se passe-t-il ?
5. Comment limiter une GPO aux membres du groupe GG_Compta ?
6. Quand la « configuration utilisateur » d'une GPO est-elle appliquée ?
7. Où définit-on la stratégie de mot de passe commune à tous les comptes du domaine ?
8. Un ordinateur fraîchement joint ne reçoit pas la GPO liée à l'UO Postes. Quelle est la première chose à vérifier ?
14. Exercices : à toi de répondre
Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige. Justifie chaque résultat par la règle utilisée.
Exercice 1 – Prévoir le résultat (SIO1)
Trois GPO règlent la partie utilisateur : D-Poste (liée au domaine : fond « logo », écran de veille à 5 min), U-Veille (liée à l'UO Siege : veille à 10 min) et U-Entrepot (liée à l'UO Entrepot : fond orange). La stratégie locale du poste impose un fond gris. Yann a son compte dans l'UO Entrepot, elle-même dans l'UO Siege. Donne son fond et sa veille dans trois cas : a) situation normale ; b) l'UO Entrepot bloque l'héritage ; c) l'UO Entrepot bloque l'héritage etD-Poste est « Appliquée ».
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
Exercice 2 – Choisir le bon outil (SIO1)
Pour chaque besoin, indique : stratégie ou préférence, configuration ordinateur ou utilisateur, et l'endroit où lier la GPO. 1. Fond d'écran commun à tous. 2. Lecteur T: vers \\SRV-01\Direction pour GG_Direction seulement. 3. Interdire les clés USB sur les postes de l'entrepôt. 4. Mot de passe de 14 caractères minimum pour tous les comptes du domaine. 5. Imprimante 172.16.20.20 pour les postes de la compta.
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
Exercice 3 – Lire un gpresult (SIO1)
Voici un extrait de gpresult /r sur le poste de Yann. Réponds : a) pourquoi O-Securite ne figure pas dans la partie ordinateur ? b)U-Imprimante-Compta est « Refusé (Sécurité) » : est-ce une anomalie ? c) Yann ne voit pas le lecteur S: alors que U-Lecteur-Compta est « appliquée » : est-ce un bug ?
Windows 11 gpresult /r · utilisateur Yann sur PC-ENTREPOT-01
PARAMÈTRES DE L'ORDINATEUR
CN=PC-ENTREPOT-01,CN=Computers,DC=broceliande,DC=lan
Objets Stratégie de groupe appliqués : Default Domain Policy
PARAMÈTRES DE L'UTILISATEUR
CN=Yann Kerjean,OU=Entrepot,OU=Utilisateurs,OU=Siege,DC=broceliande,DC=lan
Objets Stratégie de groupe appliqués : U-Fond-ecran, U-Lecteur-Compta
Objets filtrés : U-Imprimante-Compta (Filtrage : Refusé (Sécurité))
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
Exercice 4 – Concevoir (SIO2)
Brocéliande Logistique compte 60 salariés : Direction, Comptabilité, Entrepôt et l'agence de Rennes (VLAN 60). Propose un plan de GPO : arborescence d'UO, liste des GPO avec nom, partie, lien et filtrage, traitement des administrateurs, sécurité des mots de passe, méthode de test avant déploiement et de sauvegarde. Justifie l'emploi (ou non) de « Appliqué » et de « Bloquer l'héritage ».
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
15. Au labo : trois GPO, la vérification et un dépannage
Objectif
Dans ton pool Proxmox (page Mes serveurs et VM), tu crées trois GPO sur le domaine broceliande.lan : un lecteur réseau (préférence), un fond d'écran et une restriction du Panneau de configuration (stratégies). Tu vérifies leur effet avec gpresult, puis tu mènes un dépannage volontaire : une panne est provoquée, tu la diagnostiques avec la méthode de la partie 10 et tu la répares.
Machine
Système
Rôle dans le TP
SRV-01
Windows Server 2025, contrôleur de broceliande.lan (fiche B2-17)
Crée et lie les GPO avec GPMC, héberge les partages Compta et Ressources
PC-COMPTA-01
Windows 11 Pro, joint au domaine
Reçoit les GPO ; ouvertures de session de lea.martin puis de paul.leroy
IPFire
Routeur de ton pool
Réseau du pool, rien à modifier
Il te faut le domaine de la fiche B2-17 : l'UO Siege avec ses sous-UO Utilisateurs (Compta, Direction, Entrepot) et Postes, les comptes lea.martin (Compta, membre de GG_Compta) et paul.leroy (Direction, membre de GG_Direction), le poste PC-COMPTA-01 et le partage \\SRV-01\Compta (fiches B2-17 et B2-13). Ce qui manque, crée-le d'abord avec les étapes 5 à 8 du TP de B2-17 : ses créations sont conditionnelles et ne touchent pas à ce qui existe déjà. Adapte les adresses à ton pool si besoin.
Ce que tu réalises
Un lecteur S: préférence ciblée sur GG_Compta.
Un fond d'écran commun, par stratégie, lié à l'UO Siege.
Une restriction du Panneau de configuration, filtrée sur un groupe.
Un dépannage volontaire avec gpresult et GPMC, puis une sauvegarde des GPO.
1 Vérifier l'annuaire et prendre un point de retour
Dans Proxmox, crée un instantané avant-gpo de SRV-01 et de PC-COMPTA-01. Puis, sur SRV-01, contrôle où se trouvent tes objets : le poste doit être dans l'UO Postes, pas dans CN=Computers.
Windows Server 2025 PowerShell en administrateurSRV-01
PS> Get-ADOrganizationalUnit -Filter * | Select-Object Name, DistinguishedName # les UO existantes PS> Get-ADUser lea.martin | Select-Object DistinguishedName # doit être dans OU=Compta,OU=Utilisateurs,OU=Siege PS> Get-ADComputer PC-COMPTA-01 | Select-Object DistinguishedName # dans CN=Computers ? alors on le déplace : PS> Move-ADObject -Identity "CN=PC-COMPTA-01,CN=Computers,DC=broceliande,DC=lan" -TargetPath "OU=Postes,OU=Siege,DC=broceliande,DC=lan"
2 Préparer le partage Ressources
Le fond d'écran est lu depuis le réseau : crée un partage en lecture pour tous les comptes du domaine, avec une image.
Windows Server 2025 PowerShell en administrateurSRV-01
PS> New-Item -ItemType Directory -Path C:\Partages\Ressources PS> Copy-Item C:\Windows\Web\Wallpaper\Windows\img0.jpg C:\Partages\Ressources\fond-broceliande.jpg # ou n'importe quelle image .jpg PS> New-SmbShare -Name Ressources -Path C:\Partages\Ressources -ReadAccess "Utilisateurs authentifiés" PS> gpmc.msc # ouvre la console de gestion des stratégies de groupe
Avant de créer les GPO, prépare tes valeurs : complète, puis vérifie avec ✓.
Chemin UNC du lecteur de la compta ›
Groupe de ciblage du lecteur ›
Chemin UNC de l'image du fond ›
UO où lier le fond d'écran ›
Droit à donner à Ordinateurs du domaine ›
3 GPO 1 : le lecteur S: (préférence)
Dans GPMC, déroule Forêt → Domaines → broceliande.lan. Clic droit sur l'UO Siege → Créer un objet GPO dans ce domaine, et le lier ici… → nom U-Lecteur-Compta.
Clic droit sur la GPO → Modifier : Configuration utilisateur → Préférences → Paramètres Windows → Mappages de lecteurs → Nouveau → Lecteur mappé.
Action Mettre à jour, emplacement \\SRV-01\Compta, Se reconnecter, lettre S:.
Onglet Commun → Ciblage au niveau de l'élément → Ciblage… → Nouvel élément → Groupe de sécurité → GG_Compta (l'utilisateur dans le groupe).
4 GPO 2 : le fond d'écran (stratégie)
Clic droit sur l'UO Siege → nouvelle GPO liée → U-Fond-ecran → Modifier.
Configuration utilisateur → Stratégies → Modèles d'administration → Bureau → Bureau → Papier peint du Bureau : Activé, nom \\SRV-01\Ressources\fond-broceliande.jpg, style Remplir.
5 GPO 3 : la restriction, filtrée sur un groupe
Nouvelle GPO liée à l'UO Siege : U-Restriction-Panneau. Modifier : Configuration utilisateur → Stratégies → Modèles d'administration → Panneau de configuration → Interdire l'accès au Panneau de configuration et à l'application Paramètres du PC : Activé.
Dans GPMC, sélectionne la GPO → onglet Étendue → Filtrage de sécurité : AjouterGG_Compta, puis Supprimer « Utilisateurs authentifiés ».
Onglet Délégation → Ajouter → Ordinateurs du domaine → droit Lecture uniquement.
Sans la Lecture pour Ordinateurs du domaine, la GPO sera « Refusée (Sécurité) » même pour lea.martin. Tu t'en serviras justement à l'étape 7.
6 Vérifier sur PC-COMPTA-01
Ouvre une session lea.martin sur PC-COMPTA-01 (console noVNC de Proxmox). Force le traitement, ferme la session, rouvre-la, puis lis le résultat. Recommence ensuite avec paul.leroy et compare.
Windows 11 invite de commandesPC-COMPTA-01 · session de lea.martin
C:\> gpupdate /force REM puis fermer la session et la rouvrir C:\> gpresult /r /scope user REM objets appliqués et filtrés C:\> mkdir C:\temp C:\> gpresult /h C:\temp\rapport-lea.html /f REM rapport à ouvrir dans le navigateur : onglet Détails C:\> net use REM le lecteur S: doit apparaître pour lea.martin
Compte
Fond d'écran
Lecteur S:
Panneau de configuration
lea.martin (Compta, GG_Compta)
Fond de l'entreprise
Présent
Refusé : « opération annulée en raison de restrictions »
paul.leroy (Direction)
Fond de l'entreprise
Absent (hors de GG_Compta)
S'ouvre normalement
7 Dépannage volontaire
À deux, échangez vos rôles : l'un provoque la panne sans la dire, l'autre diagnostique. Si tu es seul, tire au sort un numéro de 1 à 3 et fais comme si tu ne savais pas ce que tu as cassé.
Panne 1Sur U-Restriction-Panneau, onglet Délégation : retire le droit Lecture à Ordinateurs du domaine.
Panne 2Dans Active Directory, déplace le compte utilisateur lea.martin dans CN=Users, puis elle rouvre sa session.
Le dépanneur suit la méthode de la partie 10 et note l'ensemble dans une fiche d'incident : symptôme, commande utilisée avec l'extrait utile, cause, correction, retest.
Windows outils de diagnosticPC-COMPTA-01 et SRV-01
C:\> gpupdate /force REM rouvrir la session ensuite C:\> gpresult /r /scope user REM la GPO est-elle appliquée ? filtrée ? absente ? PS> Get-ADUser lea.martin | Select-Object DistinguishedName # SRV-01 : dans quelle UO est le compte ? PS> Get-ADComputer PC-COMPTA-01 | Select-Object DistinguishedName # SRV-01 : et le poste ? PS> Get-GPInheritance -Target "OU=Siege,DC=broceliande,DC=lan" # SRV-01 : liens actifs ? PS> Get-WinEvent -LogName "Microsoft-Windows-GroupPolicy/Operational" -MaxEvents 10 # PC-COMPTA-01 : journal
8 Sauvegarder les GPO, instantané et fiche
Une fois tout réparé, sauvegarde les GPO (elles se restaurent en cas d'erreur), puis éteins proprement les VM et crée l'instantané SRV-01-gpo avec la description « Trois GPO fonctionnelles ».
Windows Server 2025 PowerShell en administrateurSRV-01