Stratégie de groupe – Wikipédia – Bien choisir son serveur d impression

Certaines parties de cet article (celles liées aux problèmes de Windows 10) doivent être mis à jour. Aidez-nous à mettre à jour cet article pour refléter les événements récents ou les informations nouvellement disponibles. (septembre 2018)

Stratégie de groupe est une fonctionnalité de la famille de systèmes d'exploitation Microsoft Windows NT (y compris Windows 7, Windows 8.1, Windows 10 et Windows Server 2003+) qui contrôle l'environnement de travail des comptes d'utilisateurs et d'ordinateurs. La stratégie de groupe fournit une gestion et une configuration centralisées des systèmes d'exploitation, des applications et des paramètres des utilisateurs dans un environnement Active Directory. Un ensemble de configurations de stratégie de groupe est appelé un Objet de stratégie de groupe (Objet de stratégie de groupe). Une version de la stratégie de groupe appelée Stratégie de groupe locale (LGPO ou LocalGPO) permet la gestion des objets de stratégie de groupe sans Active Directory sur des ordinateurs autonomes.^[1][2]

Les serveurs Active Directory diffusent les stratégies de groupe en les répertoriant dans leur annuaire LDAP sous des objets de classe groupPolicyContainer. Ceux-ci font référence aux chemins du serveur de fichiers (attribut gPCFileSysPath) qui stockent les objets de stratégie de groupe réels, généralement dans un partage SMB \domaine.comSYSVOL partagé par le serveur Active Directory. Si une stratégie de groupe a des paramètres de registre, le partage de fichiers associé aura un fichier registre.pol avec les paramètres de registre que le client doit appliquer.^[3]

L'éditeur de stratégie (gpedit.msc) n'est pas fourni sur les versions Home de Windows XP/Vista/7/8/8.1/10/11.

Opération[[[[Éditer]

Les stratégies de groupe, en partie, contrôlent ce que les utilisateurs peuvent et ne peuvent pas faire sur un système informatique. Par exemple, une stratégie de groupe peut être utilisée pour appliquer une stratégie de complexité de mot de passe qui empêche les utilisateurs de choisir un mot de passe trop simple. D'autres exemples incluent : autoriser ou empêcher des utilisateurs non identifiés d'ordinateurs distants de se connecter à un partage réseau, ou bloquer/restreindre l'accès à certains dossiers. Un ensemble de telles configurations est appelé objet de stratégie de groupe (GPO).

Dans le cadre de Microsoft IntelliMirror technologies, la stratégie de groupe vise à réduire le coût de prise en charge des utilisateurs. Les technologies IntelliMirror concernent la gestion des machines déconnectées ou des utilisateurs itinérants et incluent profils d'utilisateurs itinérants, redirection de dossier, et fichiers hors ligne.

Mise en vigueur[[[[Éditer]

Pour atteindre l'objectif de gestion centralisée d'un groupe d'ordinateurs, les machines doivent recevoir et appliquer des objets de stratégie de groupe. Un objet de stratégie de groupe qui réside sur une seule machine ne s'applique qu'à cet ordinateur. Pour appliquer un GPO à un groupe d'ordinateurs, la stratégie de groupe s'appuie sur Active Directory (ou sur des produits tiers tels que ZENworks Desktop Management) pour la distribution. Active Directory peut distribuer des objets de stratégie de groupe aux ordinateurs qui appartiennent à un domaine Windows.

Par défaut, Microsoft Windows actualise ses paramètres de stratégie toutes les 90 minutes avec un décalage aléatoire de 30 minutes. Sur les contrôleurs de domaine, Microsoft Windows le fait toutes les cinq minutes. Pendant l'actualisation, il découvre, récupère et applique tous les objets de stratégie de groupe qui s'appliquent à la machine et aux utilisateurs connectés. Certains paramètres, tels que ceux pour l'installation automatisée du logiciel, les mappages de lecteurs, les scripts de démarrage ou les scripts de connexion, ne s'appliquent qu'au démarrage ou à la connexion de l'utilisateur. Depuis Windows XP, les utilisateurs peuvent lancer manuellement une actualisation de la stratégie de groupe en utilisant le gpupdate commande à partir d'une invite de commande.^[4]

Les objets de stratégie de groupe sont traités dans l'ordre suivant (de haut en bas) :^[5]

1. Local – Tous les paramètres de la stratégie locale de l'ordinateur. Avant Windows Vista, il n'y avait qu'une seule stratégie de groupe locale stockée par ordinateur. Windows Vista et les versions ultérieures de Windows autorisent des stratégies de groupe individuelles par compte d'utilisateur.^[6]
2. Placer – Toute politique de groupe associée au Site Active Directory dans lequel réside l'ordinateur. (Un site Active Directory est un regroupement logique d'ordinateurs, destiné à faciliter la gestion de ces ordinateurs en fonction de leur proximité physique.) Si plusieurs stratégies sont liées à un site, elles sont traitées dans l'ordre défini par l'administrateur.
3. Domaine – Toutes les stratégies de groupe associées au domaine Windows dans lequel réside l'ordinateur. Si plusieurs politiques sont liées à un domaine, elles sont traitées dans l'ordre défini par l'administrateur.
4. Unité organisationnelle – Les politiques de groupe assignées au Unité d'organisation (OU) Active Directory dans lequel l'ordinateur ou l'utilisateur sont placés. (Les unités d'organisation sont des unités logiques qui aident à organiser et à gérer un groupe d'utilisateurs, d'ordinateurs ou d'autres objets Active Directory.) Si plusieurs stratégies sont liées à une unité d'organisation, elles sont traitées dans l'ordre défini par l'administrateur.

Les paramètres de stratégie de groupe résultants appliqués à un ordinateur ou à un utilisateur donné sont connus sous le nom de jeu de stratégie résultant (RSoP). Les informations RSoP peuvent être affichées à la fois pour les ordinateurs et les utilisateurs utilisant le gpresult commander.^[7]en réseau, nous pouvons exécuter avec la commande gpedit.msc

Héritage[[[[Éditer]

Un paramètre de stratégie à l'intérieur d'une structure hiérarchique est généralement transmis des parents aux enfants, et des enfants aux petits-enfants, et ainsi de suite. C'est ce qu'on appelle héritage. Il peut être bloqué ou appliqué pour contrôler les politiques appliquées à chaque niveau. Si un administrateur de niveau supérieur (administrateur d'entreprise) crée une stratégie dont l'héritage est bloqué par un administrateur de niveau inférieur (administrateur de domaine), cette stratégie sera toujours traitée.

Lorsqu'un paramètre de préférence de stratégie de groupe est configuré et qu'un paramètre de stratégie de groupe équivalent est également configuré, la valeur du paramètre de stratégie de groupe prévaut.

Filtration[[[[Éditer]

Filtrage WMI est le processus de personnalisation de la portée de l'objet de stratégie de groupe en choisissant un filtre WMI (Windows Management Instrumentation) à appliquer. Ces filtres permettent aux administrateurs d'appliquer le GPO uniquement, par exemple, aux ordinateurs de modèles spécifiques, à la RAM, aux logiciels installés ou à tout ce qui est disponible via les requêtes WMI.

Stratégie de groupe locale[[[[Éditer]

Stratégie de groupe locale (LGP ou LocalGPO) est une version plus basique de la stratégie de groupe pour les ordinateurs autonomes et sans domaine, qui existe au moins depuis Windows XP,^{[[[[lorsque?]} et peut être appliqué aux ordinateurs du domaine.^{[[[[citation requise]} Avant Windows Vista, LGP pouvait appliquer un objet de stratégie de groupe pour un seul ordinateur local, mais ne pouvait pas créer de stratégies pour des utilisateurs ou des groupes individuels. À partir de Windows Vista, LGP permet également la gestion de la stratégie de groupe locale pour les utilisateurs individuels et les groupes,^[1] et permet également la sauvegarde, l'importation et l'exportation de politiques entre des machines autonomes via des "Packs GPO" – des conteneurs de politiques de groupe qui incluent les fichiers nécessaires pour importer la politique sur la machine de destination.^[2]

Préférences de stratégie de groupe[[[[Éditer]

Les préférences de stratégie de groupe permettent à l'administrateur de définir des stratégies qui ne sont pas obligatoires, mais facultatives pour l'utilisateur ou l'ordinateur.
Il existe un ensemble d'extensions de paramètres de stratégie de groupe qui étaient auparavant connues sous le nom de PolicyMaker. Microsoft a acheté PolicyMaker, puis les a intégrés à Windows Server 2008. Microsoft a depuis publié un outil de migration qui permet aux utilisateurs de migrer les éléments de PolicyMaker vers les préférences de stratégie de groupe.^[8]

Les préférences de stratégie de groupe ajoutent un certain nombre de nouveaux éléments de configuration. Ces éléments disposent également d'un certain nombre d'options de ciblage supplémentaires qui peuvent être utilisées pour contrôler de manière granulaire l'application de ces éléments de paramètres.

Les préférences de stratégie de groupe sont compatibles avec les versions x86 et x64 de Windows XP, Windows Server 2003 et Windows Vista avec l'ajout des extensions côté client (également appelées CSE).^{[9][10][11][12][13][14]}

Les extensions côté client sont désormais incluses dans Windows Server 2008, Windows 7 et Windows Server 2008 R2.

Console de gestion des stratégies de groupe[[[[Éditer]

À l'origine, les stratégies de groupe étaient modifiées à l'aide de l'outil de modification de stratégie de groupe intégré au composant logiciel enfichable Utilisateurs et ordinateurs Active Directory Microsoft Management Console (MMC), mais il a ensuite été divisé en un composant logiciel enfichable MMC distinct appelé Console de gestion de stratégie de groupe ( GPMC). Le GPMC est désormais un composant utilisateur dans Windows Server 2008 et Windows Server 2008 R2 et est fourni en téléchargement dans le cadre des outils d'administration de serveur distant pour Windows Vista et Windows 7.^{[15][16][17][18]}

Gestion avancée des stratégies de groupe[[[[Éditer]

Microsoft a également publié un outil pour apporter des modifications à la stratégie de groupe appelé Advanced Group Policy Management^[19] (alias AGPM). Cet outil est disponible pour toute organisation disposant d'une licence Microsoft Desktop Optimization Pack (alias MDOP). Cet outil avancé permet aux administrateurs d'avoir un processus d'archivage/d'extraction pour la modification des objets de stratégie de groupe, de suivre les modifications apportées aux objets de stratégie de groupe et de mettre en œuvre des workflows d'approbation pour les modifications apportées aux objets de stratégie de groupe.

AGPM se compose de deux parties – serveur et client.
Le serveur est un service Windows qui stocke ses objets de stratégie de groupe dans une archive située sur le même ordinateur ou sur un partage réseau.
Le client est un composant logiciel enfichable de la console de gestion des stratégies de groupe et se connecte au serveur AGPM. La configuration du client est effectuée via la stratégie de groupe.

Sécurité[[[[Éditer]

Les paramètres de stratégie de groupe sont appliqués volontairement par les applications ciblées. Dans de nombreux cas, cela consiste simplement à désactiver l'interface utilisateur pour une fonction particulière.^[20]

Alternativement, un utilisateur malveillant peut modifier ou interférer avec l'application afin qu'elle ne puisse pas lire avec succès ses paramètres de stratégie de groupe, appliquant ainsi des valeurs par défaut de sécurité potentiellement inférieures ou même renvoyant des valeurs arbitraires.^[21]

Améliorations de Windows 8[[[[Éditer]

Windows 8 a introduit une nouvelle fonctionnalité appelée Mise à jour de la stratégie de groupe. Cette fonctionnalité permet à un administrateur de forcer une mise à jour de la stratégie de groupe sur tous les ordinateurs avec des comptes dans une unité organisationnelle particulière. Cela crée une tâche planifiée sur l'ordinateur qui exécute le gpupdate commande dans les 10 minutes, ajusté par un décalage aléatoire pour éviter de surcharger le contrôleur de domaine.

L'état de l'infrastructure de stratégie de groupe a été introduit, qui peut signaler lorsque des objets de stratégie de groupe ne sont pas répliqués correctement parmi les contrôleurs de domaine.^[22]

Le rapport de résultats de stratégie de groupe comporte également une nouvelle fonctionnalité qui chronomètre l'exécution de composants individuels lors d'une mise à jour de stratégie de groupe.^[23]

Voir également[[[[Éditer]

Les références[[[[Éditer]

Lectures complémentaires[[[[Éditer]

Liens externes[[[[Éditer]