Utilisation des GPO (Group Policy Objects) dans Windows Server

Nous allons traiter d'un sujet très important pour les administrateurs de domaine, et ce sont les stratégies de groupe ou les GPO, mais :

Qu'est-ce qu'un objet de stratégie de groupe (GPO) ? À quoi servent-ils?Les GPO, comme leur nom l'indique, sont directives que l'on peut appliquer à un ordinateur ou à un utilisateur pour exécuter certaines tâches ou pour appliquer les modifications que nous voulons refléter, par exemple, nous pouvons appliquer un GPO afin que le fond d'écran de l'entreprise soit reflété sur toutes les machines des utilisateurs ou nous pouvons appliquer un GPO afin que dans certaines machines démarre un spécifique programme, donc un GPO nous permet en tant qu'administrateurs de définir des paramètres dans notre réseau de domaine.

Dans ce tutoriel, nous expliquerons comment créer, modifier ou supprimer des objets de stratégie de groupe de stratégie de groupe.

1. Comment créer un GPO

Nous allons connaître la procédure pour créer un GPO de base sur Windows Server 2008 R2 (le même schéma est utilisé dans Windows Server 2012). Nous devons entrer dans le panneau Gestion des politiques de groupe, pour cela nous avons deux options, la première, en entrant par :

• Début
• Outils administratifs
• Administration de la stratégie de groupe :

Une autre option à saisir est via la commande Exécuter :

Windows + R

Nous écrivons ce qui suit :

 gpmc.msc

Entrez la clé et nous accédons au panneau GPO :

Une fois dans la fenêtre d'administration de la stratégie de groupe, nous affichons le domaine dans lequel nous travaillons, cliquez avec le bouton droit et choisissez Créez un GPO et liez-le ici :

Nous pouvons également effectuer cette action en sélectionnant le domaine, choisissez dans le menu Action Créer un objet de stratégie de groupe et le lier ici

L'étape suivante consiste à donner un nom à notre GPO, ceci afin d'identifier l'action à entreprendre par ce GPO :

Nous cliquons sur Accepter.

2. Configurer l'équipement et les paramètres utilisateur

Comme on peut le voir, une fenêtre avec deux paramètres s'affiche pour spécifier des restrictions ou des modifications.

Configuration de l'équipementIl nous permet de restreindre l'accès ou d'empêcher les modifications de l'équipement, quel que soit l'utilisateur connecté à cet appareil.

Paramètres utilisateurVous permet d'apporter des modifications ou de restreindre les autorisations à un utilisateur spécifique, quel que soit l'appareil auquel il s'est connecté.

3. Modifier n'importe quel paramètre d'un appareil ou d'un objet de stratégie de groupe utilisateur

Tout d'abord, nous devons être clairs sur la restriction ou la politique que nous allons appliquer (équipe ou utilisateur). Voyons quelques exemples pratiques :

Ils nous demandent en tant qu'administrateurs de désactiver la lecture automatique sur un ordinateur, pour eux, nous devons suivre la route suivante.

Une fois que nous avons cliqué avec le bouton droit sur notre GPO et cliqué sur Modifier, nous procédons à la recherche de l'option Configuration de l'équipement, pour cela nous avons 2 options :

Supposons que nous choisissions l'option 1 située dans le panneau de droite, nous devons double-cliquer sur Configuration de l'équipement, Puis dans Directives, plus tard dans Modèles d'administration et là, recherchez l'option souhaitée, comme nous le voyons, nous avons quelques options :

• Composants du système:

Configuration des composants du système d'exploitation (Windows Explorer, Calendrier, etc.).

• Imprimantes :

Gère la configuration des imprimantes du domaine.

• Panneau de commande:

Gère le Panneau de configuration permettant d'afficher ou non des éléments.

• Rapporter:

Configurez les paramètres réseau, y compris DNS.

• Système:

Gérer diverses options dans les composants du système.

• Toutes les valeurs :

Affiche toutes les options non classées.

Dans notre exemple, nous devons entrer Composants Windows puis choisir l'option Règles de lecture automatique:

Nous double-cliquons dessus et choisissons l'option requise, dans ce cas, Désactiver la lecture automatique:

On double-clique, on choisit l'option Activer, et on peut choisir dans quelles unités désactiver ladite reproduction :

Pour finir on clique sur Appliquer et puis dans Accepter.

Nous devons prendre en compte quelque chose de très important, Les GPO peuvent être appliqués à l'ensemble du domaine ou à une OU (unité organisationnelle) spécifique.

Dans notre exemple, nous allons appliquer le GPO Test GPO à l'OU Test Equipment (Cette OU a été créée dans le domaine), pour cela dans le Gestion des politiques de groupe, on localise l'OU sur laquelle on veut appliquer notre GPO (Dans ce cas Équipement de test).

Nous faisons un clic droit sur l'OU et choisissons Liez un objet de stratégie de groupe existant.

Nous choisissons le GPO que nous avons créé et cliquons sur Accepter.

Avec ceci à l'équipement ou aux objets qui sont dans l'OU "Équipement de test" La restriction de la lecture automatique s'appliquera à eux.

Si au contraire, ce qu'ils nous demandent en tant qu'administrateurs, c'est de gérer un paramètre sur un utilisateur, le processus est identique à celui décrit ci-dessus, à la différence près que les options au niveau de l'utilisateur sont beaucoup plus larges.

Supposons que nous devions masquer tous les éléments sur le bureau. Pour ce faire, nous devons éditer notre GPO (Clic droit, éditer) et choisir Paramètres utilisateur:

Nous double-cliquons et choisissons, Directives et par la suite Modèles d'administration. Les différentes options que nous avons au niveau de l'utilisateur sont affichées.

• Dossiers partagés:

Gérer les paramètres des dossiers partagés.

• Composants Windows :

Gérer les composants dans la configuration du système d'exploitation.

• Bureau:

Gérez à la fois le bureau Windows et les icônes qu'il contient.

• Menu Démarrer et barre des tâches :

Permet de gérer toutes les options du menu Démarrer et de la barre des tâches.

• Panneau de commande:

Il vous permet de gérer ce qui est affiché et ce qui ne l'est pas dans le Panneau de configuration.

• Rapporter:

Gérer les paramètres réseau.

• Système:

Définit les options dans les paramètres système.

Pour notre cas, nous devons entrer l'option bureau et là, choisissez l'option "Masquer et désactiver tous les éléments sur le bureau".

Nous double-cliquons et choisissons l'option Activer, puis on clique sur Appliquer et puis dans Accepter.

Enfin, pour que le GPO remplisse sa fonction dans le profil de l'utilisateur, il faut savoir dans quelle OU (Unité Organisationnelle) se trouve l'utilisateur, une fois qu'on est au clair sur cette information, on place l'OU dans la fenêtre Gestion des politiques de groupe, on fait un clic droit, on choisit l'option Liez un objet de stratégie de groupe existant.

Nous choisissons le GPO et cliquons sur Accepter.

Il s'agit de la procédure pour créer et lier des objets de stratégie de groupe sur un ordinateur ou un utilisateur dans Windows Server

4. Comment modifier les objets de stratégie de groupe

Le processus pour éditer un GPO est très simple, il faut ouvrir la fenêtre "Group Policy Administration" via l'option :

• Début
• Outils administratifs
• Gestion des politiques de groupe

Ou nous pouvons également l'ouvrir plus rapidement via la commande Exécuter qui apparaît en appuyant sur :

Windows + R

Et écrire gpmc.msc et appuyez sur Entrée ou Accepter :

Une fois que nous sommes situés dans la fenêtre de Gestion des politiques de groupe Nous verrons que dans le panneau de gauche se trouvent les GPO créés :

Nous pouvons simplement faire un clic droit Éditer:

Soit en sélectionnant le GPO et dans le menu action, choisir Éditer:

Là, nous ajustons les modifications souhaitées en fonction des besoins et les acceptons.

NotesFaites attention à ces indications sur GPO :

• Il est très important de ne pas modifier le GPO par défaut du contrôleur de domaine "Stratégie de domaine par défaut » car si nous apportons des modifications à cet objet de stratégie de groupe, nous pouvons avoir des résultats instables dans l'ensemble de notre domaine, ce qui nous apportera des problèmes et des mauvais moments.

• Pour qu'un GPO ait l'effet souhaité, nous devons le lier à un domaine ou à une OU (Organizational Unit).

• Nous devons avoir des privilèges d'administrateur pour créer, modifier ou supprimer des GPO dans notre domaine.

Il existe certaines classes de GPO que nous devons prendre en compte dans nos rôles d'administrateurs ou d'assistants :

• GPO au niveau de l'équipe locale:

Ils s'appliquent uniquement à l'appareil auquel ils sont attribués, quel que soit le domaine auquel il est lié.

• GPO au niveau du site:

Ce GPO s'applique aux utilisateurs et/ou appareils d'un site quel que soit le domaine auquel vous appartenez.

• GPO au niveau du domaine:

Ce GPO s'applique à tous (sans exception) les appareils et utilisateurs du domaine sur lequel nous travaillons.

• GPO au niveau de l'OU (Organizational Unit) :

Cet objet de stratégie de groupe s'applique aux utilisateurs et aux appareils d'une unité d'organisation donnée.

Tous ces types de GPO sont basés, comme nous l'avons mentionné précédemment, sur les exigences et les besoins de l'organisation. Aujourd'hui, il existe plus de 3668 politiques disponibles auprès de Microsoft tant au niveau des utilisateurs que des équipes, nous devons être extrêmement prudents dans la manière dont nous éditons et appliquons ces GPO dans notre domaine.

5. Comment trouver des GPO dans mon domaine

En plus de ce que nous avons vu, nous pouvons rechercher un GPO, ceci dans le cas d'avoir de nombreux GPO créés dans notre Domaine, pour cela nous suivons le processus suivant :

Étape 1
Nous ouvrons le Gestionnaire de stratégie de groupe, nous recherchons le domaine et faisons un clic droit sur Rechercher :

Dans la fenêtre affichée, nous devons entrer les valeurs suivantes :

• Domaine à rechercher
• Élément à rechercher (Nom de l'objet de stratégie de groupe, lien, etc.)
• État (si on veut)
• Valeur (Nom précis que nous recherchons)

Nous cliquons sur Ajouter et plus tard dans Chercher:

Là, nous pouvons cliquer sur Éditer afin que le système nous amène directement à modifier ledit GPO ou que nous puissions enregistrer les résultats pour une recherche future. En plus de ce que nous avons mentionné, nous avons les options suivantes pour éditer un GPO via l'option Menu ou un clic droit sur le GPO :

• Éditer:

Comme nous l'avons vu précédemment, cette option nous amène à éditer les paramètres de notre GPO (restrictions ou paramétrages).

• Statut de l'objet de stratégie de groupe :

Une fois que nous l'avons lié à un site, un domaine ou une unité d'organisation, le statut par défaut est Activé, il existe également les options Pour désactiver ledit GPO, si nous cochons Désactiver, nous laisserons ledit GPO sans action.

• Faire une sauvegarde:

Il nous permet de faire une sauvegarde du GPO sélectionné.

• Restore depuis une sauvergarde:

Il nous permet de restaurer un GPO à partir d'une copie enregistrée à une date antérieure.

• Importer la configuration :

Il permet d'importer la configuration GPO dans un dossier de sécurité spécifique (Pour cela il est important d'avoir créé une sauvegarde au préalable).

• Enregistrer le rapport :

Enregistre un rapport GPO au format HTML.

• Nouvelle fenêtre à partir d'ici :

Ouvrir une nouvelle vente.

• Copier:

Copiez l'objet de stratégie de groupe sélectionné.

• Supprimer:

Supprimez l'objet de stratégie de groupe sélectionné.

• Rebaptiser:

Renommez l'objet de stratégie de groupe sélectionné.

• Mettre à jour:

Met à jour les modifications apportées à l'objet de stratégie de groupe.

• Aider:

Affiche l'aide de Windows.

Aussi si on veut ajouter un commentaire à un GPO c'est possible, pour cela, il faut aller sur la route suivante :

On sélectionne le GPO auquel on veut ajouter un commentaire, on fait un clic droit Éditer, ou via le menu action, option Éditer:

Une fois la fenêtre affichée, nous choisissons l'option Propriétés (modifier) du menu Action.

Là, nous déplions à l'onglet commentaires, nous entrons notre commentaire et cliquons sur Appliquer et puis dans Accepter.

6. Comment supprimer un GPO

Il y a des moments où il est nécessaire de désactiver et de supprimer certains GPO. Pour supprimer un GPO existant, nous pouvons le faire de deux manières.

Voie 1Il peut d'abord être donné clic droit sur le GPO et choisissez l'option Supprimer:

Cliquez ensuite sur Accepter.

Voie 2Et la deuxième alternative est par le menu action, option Supprimer.

Cliquez enfin sur Accepter.