Définir des objets de stratégie de groupe

La fonctionnalité de stratégie de groupe de Windows systèmes d’exploitation a fourni une infrastructure avec laquelle les administrateurs peuvent définir les paramètres de manière centralisée, puis les déployer sur des ordinateurs au sein de leur organisation.

Le personnel informatique de Contoso peut définir, appliquer et mettre à jour toute sa configuration à l’aide des paramètres de stratégie de groupe. En utilisant des paramètres de stratégie de groupe, ils peuvent appliquer un ensemble de paramètres de configuration à un site entier ou à un domaine au sein de leur organisation, ou ils peuvent limiter leur focus à une unité d’organisation unique représentant un service.

Qu’est-ce que la stratégie de groupe ?

La stratégie de groupe est une infrastructure dans les systèmes d’exploitation Windows avec des composants qui résident dans AD DS, sur des contrôleurs de domaine et sur chaque serveur Windows et chaque client. À l’aide de ces composants, vous pouvez gérer la configuration dans un domaine AD DS. Vous définissez les paramètres de stratégie de groupe dans un objet de stratégie de groupe (GPO). Un objet de stratégie de groupe est un objet qui contient un ou plusieurs paramètres de stratégie s’appliquant à un ou plusieurs paramètres de configuration pour un utilisateur ou un ordinateur.

La stratégie de groupe est un outil d’administration puissant. Vous pouvez utiliser des GPO pour déployer divers paramètres auprès d’un grand nombre d’utilisateurs et d’ordinateurs. Étant donné que vous pouvez les appliquer à différents niveaux, de l’ordinateur local au domaine, vous pouvez également concentrer ces paramètres avec précision. En premier lieu, vous utilisez la stratégie de groupe pour configurer les paramètres que les utilisateurs ne doivent pas configurer. En outre, vous pouvez utiliser la stratégie de groupe pour normaliser les environnements de bureau sur tous les ordinateurs d’une unité d’organisation ou dans toute une organisation. Vous pouvez également utiliser la stratégie de groupe pour fournir une sécurité supplémentaire, pour configurer certains paramètres système avancés et à d’autres fins abordées dans une unité de démonstration ultérieure.

Que sont les objets de stratégie de groupe ?

Un objet de stratégie de groupe (GPO) est une collection de paramètres de stratégie de groupe. Un paramètre de stratégie individuel définit une configuration spécifique, telle qu’un paramètre de stratégie qui empêche un utilisateur d’accéder aux outils de modification du registre. Si vous définissez ce paramètre de stratégie, puis l’appliquez à un utilisateur, cet utilisateur ne pourra pas exécuter des outils tels que Regedit.exe.

Certains paramètres affectent un utilisateur, et sont appelés paramètres de configuration d’utilisateur ou stratégies d’utilisateur, et d’autres affectent l’ordinateur, et sont appelés paramètres de configuration d’ordinateur ou stratégies d’ordinateur.

La stratégie de groupe gère différents paramètres de stratégie, et l’infrastructure de stratégie de groupe est extensible. Vous pouvez gérer quasiment n’importe quel paramètre configurable avec la stratégie de groupe.

Pour définir un paramètre de stratégie :

1. Dans l’Éditeur de gestion des stratégies de groupe, recherchez le paramètre de stratégie, puis sélectionnez Entrée. La boîte de dialogue Propriétés du paramètre de stratégie s’affiche.
2. Redéfinissez l’état de la stratégie sur Activé ou Désactivé. La plupart des paramètres de stratégie peuvent avoir trois états : Non configuré, Activé et Désactivé.
3. Si nécessaire, configurez des valeurs supplémentaires, puis, lorsque vous avez terminé, sélectionnez OK.

Les objets de stratégie de groupe stockent les paramètres de stratégie de groupe. Dans un nouvel objet de stratégie de groupe, chaque paramètre de stratégie est défini par défaut sur Non configuré. Lorsque vous activez ou désactivez un paramètre de stratégie, Windows Server apporte une modification à la configuration des utilisateurs et des ordinateurs auxquels l’objet de stratégie de groupe est appliqué.

Pour créer un nouvel objet de stratégie de groupe (GPO) dans un domaine :

1. Dans Gestion des stratégies de groupe, cliquez avec le bouton droit ou accédez au menu contextuel du conteneur Objets de stratégie de groupe, puis sélectionnez Nouveau.
2. Pour modifier les paramètres de configuration dans un objet de stratégie de groupe, cliquez avec le bouton droit ou accédez au menu contextuel de l’objet de stratégie de groupe, puis sélectionnez Modifier. Cela ouvre le composant logiciel enfichable Éditeur de gestion des stratégies de groupe.

L’éditeur de gestion des stratégies de groupe affiche tous les paramètres de stratégie disponibles dans un objet de stratégie de groupe dans une hiérarchie organisée qui commence par la division entre les paramètres d’ordinateur et les paramètres d’utilisateur : le nœud Configuration d'ordinateur et le nœud Configuration d’utilisateur.

Les objets de stratégie de groupe sont affichés dans un conteneur nommé Objets de stratégie de groupe. Les deux niveaux suivants de la hiérarchie sont des nœuds nommés Stratégies et Préférences. En progressant dans la hiérarchie, l’éditeur de gestion des stratégies de groupe affiche des dossiers, appelés nœuds ou groupes de paramètres de stratégie. Les paramètres de stratégie se trouvent dans les dossiers.

Configuration de l’ordinateur et configuration utilisateur

En tête de chaque objet de stratégie de groupe, les paramètres sont organisés en deux nœuds. Cette division constitue la distinction structurelle la plus importante dans un GPO, car elle détermine à quoi s’applique chaque paramètre :

• La configuration de l’ordinateur contient des paramètres qui s’appliquent à un ordinateur, quel que soit l’utilisateur qui se connecte. Ces paramètres définissent le comportement du système d’exploitation, la configuration de la sécurité, les scripts de démarrage et d’arrêt, ainsi que les paramètres d’application à l’échelle du système. Par exemple, citons les exigences de mot de passe et de verrouillage de compte, le comportement de démarrage du service et les paramètres qui contrôlent les composants Windows pour chaque utilisateur de l’appareil.
• La configuration utilisateur contient des paramètres qui s’appliquent à un utilisateur, quel que soit l’ordinateur auquel l’utilisateur se connecte. Ces paramètres définissent l’environnement de bureau, comme l’apparence du menu Démarrer, les scripts d’ouverture de session et de déconnexion, la redirection de dossiers et les restrictions sur les outils et Panneau de configuration éléments auxquels un utilisateur peut accéder.

De nombreux paramètres apparaissent dans un seul des deux nœuds, car ils sont pertinents uniquement pour un ordinateur ou pour un utilisateur. Certains paramètres apparaissent dans les deux nœuds, auquel cas chaque instance configure sa propre cible.

Stratégies et préférences

Dans les nœuds Configuration de l’ordinateur et Configuration utilisateur , les paramètres sont regroupés sous deux autres nœuds ( Stratégies et préférences) qui se comportent différemment :

• Les stratégies contiennent des paramètres managés appliqués par la stratégie de groupe. Un utilisateur ne peut généralement pas modifier un paramètre géré, et lorsque la GPO ne s’applique plus, le paramètre revient à sa valeur précédente. La plupart des paramètres de stratégie écrivent dans des zones protégées du registre.
• Les préférences contiennent des paramètres qui établissent une configuration initiale qu’un utilisateur peut modifier par la suite. Les préférences ne sont pas imposées et, par défaut, ne sont pas supprimées lorsque le GPO ne s’applique plus. Les éléments de préférence prennent également en charge le ciblage au niveau des éléments, ce qui permet à un seul élément d’appliquer uniquement lorsque des conditions définies, telles qu’un système d’exploitation spécifique, un groupe de sécurité ou un nom d’ordinateur, sont remplies.

La différence pratique entre les deux vient de l’application, de la persistance et de la façon dont le client écrit la configuration. Les stratégies sont gérées : le client les inscrit dans quatre clés de Registre réservées et restreintes (les branches Policies sous HKEY_LOCAL_MACHINE et HKEY_CURRENT_USER), et une application Windows conforme lit ces clés et désactive l’interface correspondante afin que l’utilisateur ne puisse pas modifier cette valeur. Étant donné que les stratégies vivent dans cet espace réservé, elles sont supprimées et réécrites chaque fois que la stratégie de groupe est actualisée et lorsque l’objet de stratégie de groupe tombe hors de portée, car il est supprimé, dissocié ou filtré de la cible, la valeur disparaît et le paramètre retourne à sa valeur par défaut. Ce comportement de réactualisation et de rétablissement explique pourquoi les stratégies conviennent bien aux paramètres que vous souhaitez verrouiller et faire appliquer en continu. Les préférences, en revanche, ne sont pas gérées : le client les écrit dans les mêmes emplacements de registre et de système de fichiers qu’un utilisateur ou un administrateur configurer manuellement, de sorte que le paramètre semble identique à un ensemble défini par la main et l’interface qui le contrôle reste entièrement disponible. Une préférence « marque donc durablement » la configuration : elle persiste même après que le GPO ne s’applique plus, sauf si vous choisissez explicitement l’option Appliquer une seule fois et ne pas réappliquer ou l’option Supprimer cet élément lorsqu’il n’est plus appliqué pour cet élément. Les préférences ajoutent une flexibilité que les stratégies manquent, notamment le ciblage au niveau de l’élément pour une application conditionnelle granulaire, plusieurs actions par élément (Créer, remplacer, mettre à jour et supprimer) et la possibilité de configurer des éléments qui n’ont aucun paramètre de stratégie du tout, tels que les lecteurs mappés, les raccourcis, les tâches planifiées et l’appartenance au groupe local. En règle générale, utilisez une stratégie lorsque vous avez besoin d’un paramètre pour être obligatoire et auto-rétablissant, et utilisez une préférence lorsque vous devez fournir une configuration de démarrage sensible que les utilisateurs peuvent toujours ajuster ou qui cible uniquement un sous-ensemble d’ordinateurs ou d’utilisateurs.

Nœud Stratégies

Le nœud Stratégies contient trois sous-dossiers dans la configuration del’ordinateur et la configuration utilisateur :

• Les paramètres logiciels contiennent l’extension d’installation logicielle que vous utilisez pour déployer des applications sur des ordinateurs ou des utilisateurs.
• Windows Paramètres contient les paramètres qui configurent le système d’exploitation. Parmi les éléments courants figurent Scripts (démarrage et arrêt pour les ordinateurs, ouverture et fermeture de session pour les utilisateurs), Paramètres de sécurité (tels que les stratégies de compte, les stratégies locales et le Pare-feu Windows Defender), Stratégie de résolution de noms et Imprimantes déployées. Sous Configuration utilisateur, ce dossier inclut également la redirection de dossiers.
• Modèlesadministratives contient des centaines de paramètres basés sur le Registre, organisés en dossiers tels que Panneau de configuration, Network, System, Printers et Windows Components. Chaque paramètre de ce dossier correspond à une valeur de Registre spécifique qui contrôle le comportement de Windows ou d’une application.

Nœud Préférences

Le nœud Préférences organise les éléments de préférence en groupes associés :

• Windows Settings inclut des éléments tels que Drive Maps, Environment, Files, Folders, Registry et Shortcuts.
• Panneau de configuration Settings inclut des éléments tels que Data Sources, Devices, Local Users and Groups, Power Options, Printers, Scheduled Tasks, et Services.

Structure d’un paramètre de stratégie individuel

Un paramètre de stratégie unique est l’élément le plus granulaire d’un objet de stratégie de groupe, mais chaque paramètre est plus qu’un simple commutateur activé/désactivé. Lorsque vous ouvrez un paramètre, sa boîte de dialogue Propriétés expose plusieurs éléments :

• État du paramètre : non configuré, activé ou désactivé.
• Toutes les options ou valeurs supplémentaires qui deviennent disponibles lorsque le paramètre est activé. Par exemple, l’activation d’une stratégie de longueur minimale de mot de passe vous oblige à spécifier le nombre de caractères.
• Volet de texte d’aide explicatif qui décrit ce que fait le paramètre et comment ses options interagissent.
• Pris en charge sur : informations qui identifient les versions du système d’exploitation et les applications qui prennent en charge ce paramètre. Une cible qui ne satisfait pas à l'exigence ignore le paramètre.

Étant donné que la plupart des paramètres de stratégie sont basés sur le Registre, l’activation ou la désactivation d’un paramètre entraîne l’écriture par le client d’une valeur correspondante dans le Registre. Lorsqu’un paramètre revient à Non configuré, la stratégie de groupe supprime cette valeur et la configuration revient à sa valeur par défaut.

Que sont les objets de stratégie de groupe de démarrage ?

Vous pouvez utiliser un objet de stratégie de groupe de démarrage comme modèle à partir duquel créer d’autres objets de stratégie de groupe au sein de la console de gestion des stratégies de groupe. Les GPO de démarrage ne contiennent que des paramètres des modèles d’administration. Vous pouvez utiliser un GPO de démarrage comme point de départ pour créer de nouveaux GPO dans votre domaine. L’objet de stratégie de groupe de démarrage possède peut-être déjà des paramètres spécifiques qui sont des pratiques recommandées pour votre environnement. Vous pouvez exporter des objets de stratégie de groupe de démarrage vers et les importer depuis des fichiers cabinet (. cab) pour rendre la distribution vers d’autres environnements simple et efficace.

Microsoft comprend des objets de stratégie de groupe de démarrage préconfigurés pour les systèmes d’exploitation clients Windows. Ces objets de stratégie de groupe de démarrage possèdent des paramètres de modèle d’administration qui reflètent les pratiques recommandées par Microsoft pour la configuration de l’environnement client.