TIP 3.14 – Comprendre les GPO utiles au technicien de proximité

Dans un domaine Active Directory, administrer chaque poste manuellement deviendrait rapidement impossible.

Les stratégies de groupe, appelées couramment GPO — Group Policy Objects — permettent d’appliquer de manière centralisée des paramètres aux utilisateurs et aux ordinateurs.

Elles peuvent notamment être utilisées pour :

• renforcer la sécurité des postes ;
• configurer certains paramètres Windows ;
• déployer des lecteurs réseau ;
• configurer des imprimantes ;
• définir des paramètres de navigateur ;
• encadrer l’environnement utilisateur ;
• configurer certaines fonctions réseau ;
• appliquer des scripts ;
• uniformiser la configuration d’un parc.

Le technicien de proximité n’a pas nécessairement pour mission de concevoir toutes les GPO de l’entreprise, mais il doit savoir comprendre leur fonctionnement, vérifier leur application et diagnostiquer les problèmes courants.

1. Qu’est-ce qu’une GPO ?

Une GPO est un ensemble de paramètres administratifs pouvant être appliqués dans un environnement Active Directory.

Une stratégie peut par exemple imposer :

• un verrouillage de session ;
• des règles du pare-feu Windows ;
• des paramètres de sécurité ;
• un lecteur réseau ;
• une imprimante ;
• un fond d’écran d’entreprise ;
• certaines restrictions Windows ;
• des scripts de connexion ou démarrage.

2. Pourquoi utiliser les GPO ?

Imaginons une entreprise disposant de 300 ordinateurs.

Sans gestion centralisée, modifier le même paramètre sur chaque poste demanderait de nombreuses interventions manuelles.

Avec une GPO, l’administrateur peut définir une configuration centralisée qui sera ensuite appliquée aux objets concernés.

3. Stratégie locale et stratégie de domaine

Windows dispose également de stratégies locales.

La console :

gpedit.msc

permet d’administrer la stratégie locale sur certaines éditions Windows.

Une GPO de domaine est quant à elle administrée depuis Active Directory et peut concerner plusieurs machines ou utilisateurs.

4. La console de gestion des stratégies de groupe

Les administrateurs utilisent notamment :

gpmc.msc

Cette console correspond à :

Group Policy Management Console – GPMC.

Elle permet notamment de :

• visualiser les GPO ;
• créer ou modifier des stratégies selon les droits accordés ;
• gérer leurs liaisons ;
• examiner leur héritage ;
• gérer certains filtres ;
• générer des rapports.

Elle nécessite les outils d’administration appropriés et les autorisations nécessaires.

5. Deux grandes parties dans une GPO

Une GPO contient principalement deux ensembles de paramètres :

Cette distinction est essentielle pour le diagnostic.

6. Configuration ordinateur

Cette partie contient des paramètres liés au poste.

Par exemple :

• pare-feu ;
• services ;
• paramètres de sécurité ;
• scripts de démarrage ;
• configuration système ;
• certains paramètres Windows Update.

Elle dépend notamment de l’emplacement de l’objet ordinateur dans Active Directory.

7. Configuration utilisateur

Cette partie concerne la session de l’utilisateur.

Par exemple :

• lecteurs réseau ;
• certains paramètres du bureau ;
• scripts de connexion ;
• certaines restrictions utilisateur ;
• préférences Windows.

Elle dépend principalement de l’emplacement de l’objet utilisateur dans Active Directory, sauf mécanismes particuliers comme le traitement en boucle.

8. Où peut être liée une GPO ?

Dans Active Directory, une GPO peut notamment être liée à :

• un site ;
• un domaine ;
• une unité d’organisation.

Une GPO n’est pas directement liée à un groupe de sécurité.

GG_GPO_ECRAN

9. Pourquoi les OU sont importantes ?

Dans TIP 3.12, nous avons vu que les unités d’organisation permettent de structurer Active Directory.

Elles sont également importantes pour les GPO.

Exemple :

Une GPO destinée aux ordinateurs portables peut être liée à :

OU=Portables,
OU=Ordinateurs,
DC=entreprise,
DC=local

Les objets ordinateurs placés dans cette OU peuvent alors être concernés par cette stratégie selon les autres règles applicables.

10. L’héritage des stratégies

Les GPO peuvent être héritées dans la hiérarchie Active Directory.

Une stratégie liée au domaine peut donc affecter des objets contenus dans des OU situées en dessous, sauf configuration particulière.

Il faut donc toujours examiner :

• les GPO directement liées à l’OU ;
• les GPO héritées ;
• les éventuelles exceptions d’héritage ;
• le filtrage appliqué.

11. L’ordre général LSDOU

Pour comprendre l’ordre général du traitement des stratégies, on utilise souvent l’acronyme :

LSDOU

Dans une hiérarchie comportant plusieurs OU imbriquées, les stratégies sont traitées des OU parentes vers les OU enfants.

12. Que se passe-t-il en cas de paramètres contradictoires ?

Lorsque plusieurs stratégies configurent le même paramètre, l’ordre et la priorité de traitement deviennent importants.

Dans un cas simple, une stratégie appliquée plus tard peut prendre le dessus sur une valeur définie précédemment.

Mais le comportement exact dépend aussi :

• du type de paramètre ;
• des liens ;
• de l’ordre des liens ;
• de l’héritage ;
• du filtrage ;
• des options Enforced ou Block Inheritance ;
• de certains mécanismes particuliers.

13. L’ordre des liens

Plusieurs GPO peuvent être liées au même conteneur.

La console GPMC permet alors d’administrer leur ordre de liaison.

Ce paramètre participe au calcul de la stratégie résultante.

Le technicien doit surtout savoir que :

deux GPO appliquées au même objet peuvent entrer en interaction.

14. Block Inheritance

Une OU peut, dans certains cas, être configurée pour bloquer une partie de l’héritage provenant des niveaux supérieurs.

Cette option doit être utilisée de manière maîtrisée car elle peut modifier fortement les stratégies reçues par les objets contenus dans l’OU.

15. Enforced

Un lien GPO peut également être configuré comme :

Enforced, parfois traduit par Appliqué.

Cela modifie son comportement vis-à-vis de l’héritage et des stratégies situées en dessous.

Ces paramètres doivent être gérés par les administrateurs responsables de l’architecture GPO.

16. Le filtrage de sécurité

Une GPO liée à une OU ne doit pas nécessairement s’appliquer à tous les objets de cette OU.

Le filtrage de sécurité permet de contrôler quels utilisateurs ou ordinateurs sont autorisés à lire et appliquer la stratégie.

Les groupes de sécurité peuvent donc intervenir ici.

17. Ne pas confondre liaison et filtrage

Retenons :

liaison GPO → site, domaine ou OU ;

filtrage de sécurité → utilisateurs, ordinateurs ou groupes concernés.

Cette différence est régulièrement source d’erreurs lors du diagnostic.

18. Les filtres WMI

Une GPO peut également utiliser un filtre WMI.

Celui-ci permet d’appliquer une stratégie seulement lorsque certaines caractéristiques correspondent.

Par exemple :

• version de Windows ;
• type de système ;
• certaines caractéristiques matérielles ou logicielles.

Pour un technicien de proximité, il faut surtout retenir qu’un filtre WMI peut expliquer pourquoi :

une GPO liée et autorisée ne s’applique pourtant pas à un poste donné.

19. Quand les GPO s’appliquent-elles ?

Les stratégies sont traitées à différents moments, notamment :

• au démarrage de l’ordinateur ;
• à l’ouverture de session ;
• lors des actualisations périodiques ;
• lorsqu’une actualisation est déclenchée manuellement.

Certaines modifications nécessitent malgré tout :

• une fermeture de session ;
• une nouvelle ouverture de session ;
• ou un redémarrage.

20. Actualiser les stratégies avec gpupdate

Commande classique :

gpupdate

Pour demander une actualisation complète :

gpupdate /force

Windows peut ensuite indiquer qu’une déconnexion ou un redémarrage est nécessaire pour certains paramètres.

21. gpresult : outil essentiel

Pour savoir quelles stratégies ont réellement été appliquées :

gpresult /r

La commande affiche notamment des informations concernant :

• l’utilisateur ;
• l’ordinateur ;
• les GPO appliquées ;
• certaines GPO non appliquées ;
• les groupes de sécurité.

22. Attention aux droits d’exécution

Pour obtenir toutes les informations concernant la partie ordinateur, il peut être nécessaire d’exécuter l’invite de commandes avec les privilèges appropriés.

Sinon, le rapport peut être incomplet.

23. Générer un rapport HTML

Pour produire un rapport plus lisible :

gpresult /h C:\Temp\gpresult.html

Tu peux ensuite ouvrir :

C:\Temp\gpresult.html

dans un navigateur.

Ce rapport est très utile pour diagnostiquer :

• les GPO appliquées ;
• les paramètres résultants ;
• les groupes ;
• certains motifs de filtrage.

24. RSOP

Windows dispose également d’un outil appelé :

rsop.msc

RSOP signifie :

Resultant Set of Policy.

Il permet d’examiner graphiquement une partie de la stratégie résultante.

Pour le diagnostic quotidien, gpresult reste cependant un outil particulièrement important à connaître.

25. Vérifier la localisation de l’objet ordinateur

Une GPO ordinateur peut ne pas s’appliquer simplement parce que le poste est placé dans la mauvaise OU.

Exemple :

La GPO :

GPO_PORTABLES_WIFI

est liée à :

OU=Portables,
OU=Ordinateurs,
DC=entreprise,
DC=local

mais le poste se trouve dans :

OU=Postes,
OU=Ordinateurs,
DC=entreprise,
DC=local

La GPO ne ciblera donc pas le poste par cette liaison.

26. Vérifier l’objet utilisateur

Le même raisonnement s’applique à une configuration utilisateur.

Si la GPO est liée à :

OU=Comptabilite,
OU=Utilisateurs,
DC=entreprise,
DC=local

mais Sophie est située dans :

OU=RH,
OU=Utilisateurs,
DC=entreprise,
DC=local

la stratégie ne la ciblera pas par cette liaison.

27. Vérifier le DNS avant les GPO

Un poste membre du domaine doit communiquer correctement avec l’infrastructure Active Directory.

Vérifie :

Get-NetIPConfiguration

puis :

Resolve-DnsName dc01.entreprise.local

et si nécessaire :

nltest /dsgetdc:entreprise.local

Un problème DNS peut empêcher l’accès correct aux services du domaine et perturber l’application des stratégies.

28. Vérifier SYSVOL

Les GPO d’un domaine utilisent notamment le partage :

\\entreprise.local\SYSVOL

Sur un poste du domaine, il peut être pertinent de vérifier que cette ressource est accessible lorsque le diagnostic l’exige.

Par exemple :

\\entreprise.local\SYSVOL

dans l’Explorateur Windows.

29. GPO appliquée mais paramètre absent

Une GPO peut apparaître comme appliquée alors que le résultat attendu n’est pas visible.

Vérifie alors :

• que le bon paramètre est configuré ;
• qu’il se trouve dans la bonne section utilisateur ou ordinateur ;
• qu’une autre stratégie ne configure pas le même paramètre ;
• si une fermeture de session est nécessaire ;
• si un redémarrage est nécessaire ;
• si le paramètre est compatible avec le système concerné.

30. Cas fréquent : lecteur réseau absent

Sophie doit obtenir automatiquement :

S:

pointant vers :

\\SRV-FICHIERS\COMPTABILITE

mais le lecteur n’apparaît pas.

Le diagnostic doit vérifier :

1. que la ressource existe ;
2. que Sophie possède les droits ;
3. que la GPO est liée au bon emplacement ;
4. que Sophie est ciblée par la stratégie ;
5. que la GPO apparaît dans gpresult ;
6. que le paramètre de lecteur est correctement configuré ;
7. qu’aucun filtrage ne l’exclut.

31. Cas fréquent : imprimante non déployée

Une imprimante devait être installée automatiquement mais n’apparaît pas.

Vérifie notamment :

• la GPO concernée ;
• la partie utilisateur ou ordinateur ;
• la cible Active Directory ;
• le filtrage ;
• la disponibilité du serveur d’impression ;
• les droits d’accès ;
• le résultat gpresult.

32. Cas fréquent : politique de veille

Une GPO impose par exemple une mise en veille après :

30 minutes

mais un poste semble utiliser :

40 minutes

Avant de modifier directement le poste :

1. identifier la GPO attendue ;
2. vérifier qu’elle est appliquée ;
3. contrôler la stratégie résultante ;
4. chercher une autre stratégie configurant le même paramètre ;
5. actualiser les stratégies ;
6. tester après le délai ou redémarrage nécessaire.

33. Ne pas modifier localement pour contourner une GPO

Si une stratégie de domaine impose un paramètre, modifier manuellement la valeur locale peut :

• être temporaire ;
• être écrasé lors de la prochaine application ;
• masquer la cause du problème ;
• rendre le poste non conforme.

Il faut diagnostiquer la stratégie plutôt que lutter contre elle localement.

34. Le traitement en boucle – Loopback

Il existe un mécanisme appelé Loopback Processing.

Il permet, dans certains environnements, d’appliquer la configuration utilisateur en fonction de l’ordinateur sur lequel la personne ouvre sa session.

Il est notamment rencontré sur :

• postes en libre-service ;
• salles de formation ;
• bornes ;
• environnements RDS ;
• postes nécessitant une configuration utilisateur spécifique quel que soit l’utilisateur.

Pour un technicien TIP, il faut surtout savoir que ce mécanisme existe car il peut expliquer une stratégie utilisateur inattendue.

35. Modes Merge et Replace

Le traitement en boucle possède notamment deux modes :

La configuration de ce mécanisme relève généralement de l’administration du domaine.

36. Journaliser et documenter le diagnostic

Lorsqu’un incident GPO est résolu, la fiche d’intervention peut contenir :

• poste concerné ;
• utilisateur concerné ;
• GPO attendue ;
• résultat gpresult ;
• OU de l’objet ;
• cause identifiée ;
• correction réalisée ;
• test final.

37. Méthode de diagnostic d’une GPO

Utilise cette démarche :

1. Identifier le paramètre attendu.
2. Déterminer s’il s’agit d’une configuration utilisateur ou ordinateur.
3. Identifier l’objet concerné.
4. Vérifier son OU.
5. Vérifier la connectivité au domaine.
6. Vérifier DNS.
7. Vérifier que la GPO est liée au bon emplacement.
8. Vérifier le filtrage de sécurité.
9. Vérifier un éventuel filtre WMI.
10. Exécuter gpupdate si nécessaire.
11. Examiner gpresult.
12. Vérifier les stratégies concurrentes.
13. Effectuer déconnexion ou redémarrage si requis.
14. Tester le résultat.
15. Documenter.

38. Cas pratique – La GPO ne s’applique pas au poste

La GPO :

GPO_W11_SECURITE

est liée à :

OU=Postes,
OU=Ordinateurs,
DC=entreprise,
DC=local

Le poste :

PC-COMPTA-07

se trouve dans :

OU=Portables,
OU=Ordinateurs,
DC=entreprise,
DC=local

39. Cas pratique – Groupe correct mais GPO absente

Sophie appartient à :

GG_COMPTABILITE

mais une GPO censée être liée à l’OU Comptabilité n’apparaît pas dans :

gpresult /r

40. Cas pratique – gpupdate ne change rien

Le technicien exécute :

gpupdate /force

plusieurs fois.

Le paramètre attendu n’est toujours pas appliqué.

gpresult /r

gpresult /h C:\Temp\gpresult.html

41. TP – Diagnostiquer une stratégie de groupe

GPO_POSTES_STANDARD

OU=Postes,
OU=Ordinateurs,
DC=entreprise,
DC=local

PC-COMPTA-07

Get-CimInstance Win32_ComputerSystem |
Select-Object Name,Domain,PartOfDomain

Get-NetIPConfiguration

Resolve-DnsName dc01.entreprise.local

nltest /dsgetdc:entreprise.local

gpupdate /force

gpresult /r

gpresult /h C:\Temp\gpresult.html

Quiz – Vérifie tes connaissances