SISR / Réseaux / Active Directory — stratégies de groupe (GPO)

Active Directory — stratégies de groupe (GPO)

Une stratégie de groupe applique automatiquement des paramètres de configuration et de sécurité aux postes et aux comptes du domaine. C'est ce qui rend l'administration centralisée réellement centralisée.

1. À quoi sert une GPO

Une GPO (Group Policy Object) est un objet contenant des centaines de paramètres possibles, que l'on lie à un conteneur de l'annuaire. Tous les objets de ce conteneur reçoivent les paramètres au démarrage ou à l'ouverture de session.

Chaque partie se divise ensuite en deux branches :

• Stratégies : paramètres imposés, que l'utilisateur ne peut pas modifier durablement. Ils sont réappliqués à chaque actualisation.
• Préférences : paramètres déployés, modifiables ensuite par l'utilisateur selon l'action choisie. C'est ici que se trouvent les mappages de lecteurs, les imprimantes, les raccourcis.

Rappel du piège le plus courant : une GPO se lie à un site, un domaine ou une OU. Jamais à un groupe. On peut en revanche restreindre son application à un groupe par le filtrage de sécurité, ce qui est un mécanisme différent.

2. Créer et lier une GPO

Tout se passe dans la console Gestion des stratégies de groupe (Gestionnaire de serveur > Outils > Gestion des stratégies de groupe, ou gpmc.msc).

Créer une GPO et la lier en une seule fois

1. Déplier Forêt > Domaines > gameon.local.
2. Clic droit sur l'OU voulue > Créer un objet GPO dans ce domaine, et le lier ici.
3. Saisir un nom explicite, par exemple GPO_Postes_Verrouillage > OK.

Créer une GPO sans la lier

1. Clic droit sur le dossier Objets de stratégie de groupe > Nouveau.
2. La GPO existe mais ne s'applique nulle part.
3. Pour la lier ensuite : clic droit sur l'OU > Lier un objet de stratégie de groupe existant.

Une même GPO peut être liée à plusieurs OU : on la modifie à un seul endroit et le changement se propage partout. C'est le bon réflexe plutôt que de dupliquer des stratégies quasi identiques.

Convention de nommage

Un nom comme Nouvel objet Stratégie de groupe ou test2 rend l'annuaire illisible au bout de quelques semaines.

3. Éditer une GPO

1. Clic droit sur la GPO > Modifier.
2. L'Éditeur de gestion des stratégies de groupe s'ouvre.
3. Naviguer dans l'arborescence jusqu'au paramètre voulu.
4. Double-clic sur le paramètre, choisir Activé, Désactivé ou Non configuré, puis Appliquer > OK.

Chaque paramètre dispose d'un onglet Expliquer qui décrit précisément son effet et les versions de Windows concernées. Le lire évite beaucoup d'essais à l'aveugle.

Les modifications sont enregistrées immédiatement : il n'y a pas de bouton « enregistrer la GPO ». Fermer l'éditeur suffit.

4. L'ordre d'application

Plusieurs GPO peuvent s'appliquer à un même objet. L'ordre est fixe et se retient par l'acronyme LSDOU.

La dernière appliquée l'emporte en cas de conflit. Une GPO liée à une OU profonde écrase donc celle du domaine. C'est logique : plus on descend, plus on est spécifique.

Quand plusieurs GPO sont liées à la même OU, l'ordre se règle dans l'onglet Objets de stratégie de groupe liés : la GPO ayant le numéro de priorité le plus bas est appliquée en dernier, et l'emporte donc. Les flèches permettent de réordonner.

Les deux exceptions

En cas de conflit entre les deux, Appliqué l'emporte sur Bloquer l'héritage. C'est ce qui permet à une stratégie de sécurité définie au niveau du domaine de rester non contournable.

Ces deux options rendent le diagnostic difficile : un paramètre semble configuré mais ne s'applique pas, ou l'inverse. À utiliser avec parcimonie, et à documenter systématiquement. L'onglet Héritage de stratégie de groupe d'une OU montre l'ordre final réellement appliqué.

5. Filtrer et cibler

Le filtrage de sécurité

Par défaut, une GPO s'applique au groupe Utilisateurs authentifiés, donc à tout le monde dans l'OU. Pour la restreindre :

1. Sélectionner la GPO, onglet Étendue.
2. Dans Filtrage de sécurité, retirer Utilisateurs authentifiés.
3. Ajouter le groupe global voulu, par exemple GG_Comptabilite.
4. Onglet Délégation > Avancé : vérifier que Utilisateurs authentifiés conserve au minimum le droit de lecture, sinon la GPO ne peut pas être lue et ne s'applique pas.

Le point 4 est un piège classique introduit par un correctif de sécurité Microsoft : sans droit de lecture, la GPO est silencieusement ignorée.

Le ciblage au niveau de l'élément

Réservé aux préférences, il est bien plus souple : chaque élément d'une même GPO peut avoir sa propre condition.

1. Dans l'éditeur, ouvrir l'élément de préférence.
2. Onglet Commun > cocher Ciblage au niveau de l'élément > Ciblage.
3. Nouvel élément > choisir la condition : Groupe de sécurité, Système d'exploitation, Plage d'adresses IP…

C'est ce mécanisme qui permet de gérer tous les mappages de lecteurs dans une seule GPO, chaque lecteur étant conditionné à un groupe différent.

6. La stratégie de mot de passe

Elle se configure dans la Default Domain Policy, ou dans une GPO liée à la racine du domaine.

Chemin dans l'éditeur :

Configuration ordinateur
└── Stratégies
    └── Paramètres Windows
        └── Paramètres de sécurité
            └── Stratégies de comptes
                ├── Stratégie de mot de passe
                └── Stratégie de verrouillage du compte

Deux points contre-intuitifs mais désormais recommandés par l'ANSSI comme par le NIST : allonger plutôt que complexifier — une phrase de passe longue résiste mieux qu'un P@ssw0rd! — et ne plus forcer l'expiration périodique, qui pousse aux variantes prévisibles (Janvier2026! puis Fevrier2026!). L'expiration ne se justifie qu'en cas de compromission suspectée.

Limite importante : la stratégie de mot de passe est un paramètre de domaine. Lier une GPO de mot de passe à une OU n'a aucun effet. Pour appliquer des règles différentes à certains comptes — comptes administrateurs plus stricts, par exemple — il faut passer par les stratégies de mot de passe affinées (PSO), dans le Centre d'administration Active Directory > System > Password Settings Container.

7. GPO utiles

8. Vérifier et diagnostiquer

gpupdate /force           # forcer l'application immédiate des GPO
gpresult /r               # GPO appliquées à la session en cours
gpresult /h rapport.html  # rapport complet au format HTML
whoami /groups            # appartenances effectives du compte

Côté console, deux outils intégrés à la GPMC :

Sans intervention, les GPO s'actualisent toutes les 90 minutes environ, avec un décalage aléatoire, et à chaque démarrage ou ouverture de session.