3.3Stratégies de groupe (GPO) : bases
L'essentiel en 30 secondes
- Les GPO appliquent règles et configurations à un parc entier de façon centralisée, sans passer sur chaque poste.
- Une GPO est créée, puis liée à un conteneur AD (domaine, site ou OU) ; elle s'applique au démarrage (machine) ou à la connexion (utilisateur).
- gpupdate /force force la réapplication pour tester ; en cas de conflit, la précédence tranche (site → domaine → OU).
Mini-cas filé — Sofiane impose une règle à tout un service
Sofiane, administrateur systèmes dans une PME de distribution à Alger, doit verrouiller automatiquement l'écran des postes après quelques minutes d'inactivité, pour tout le service expédition. Il refuse de passer poste par poste : il crée une GPO « Verrouillage-Auto », la lie à l'unité d'organisation du service, et laisse la stratégie s'appliquer au démarrage et à l'ouverture de session. Il teste d'abord sur un poste pilote avec un gpupdate /force, vérifie le résultat, puis généralise. Il note le réflexe : peu de GPO, bien nommées, liées au bon niveau et toujours testées avant déploiement.
Cas autonome de cette section : il revient dans le cours, le schéma, le script et le défi 48h de la section 3.3.
1. Configurer 200 postes sans les toucher
Les stratégies de groupe (GPO) permettent d'appliquer des configurations et des règles à un ensemble d'utilisateurs ou d'ordinateurs, de manière centralisée, sans passer sur chaque poste. Fond d'écran d'entreprise, règles de mot de passe, lecteurs réseau, restrictions logicielles : tout cela se pilote par GPO. Sofiane y voit l'outil qui transforme une politique en configuration réellement appliquée.
2. Comment une GPO s'applique
Une GPO est créée, puis liée à un conteneur AD (domaine, site ou OU). Elle s'applique ensuite aux objets de ce conteneur, au démarrage de l'ordinateur (paramètres machine) ou à l'ouverture de session (paramètres utilisateur). La commande gpupdate /force force une réapplication immédiate, précieuse pour tester sur un poste pilote.
3. Portée et précédence
Comme plusieurs GPO peuvent s'appliquer, il existe un ordre de précédence (site → domaine → OU, la plus proche gagnant en général). Une bonne pratique : peu de GPO, bien nommées, liées au bon niveau — plutôt qu'une forêt de stratégies qui se contredisent et deviennent impossibles à déboguer.
gpupdate /force. Lier une GPO trop haut élargit l'impact bien au-delà du besoin. Et multiplier des GPO qui se contredisent rend la précédence illisible : mieux vaut peu de stratégies claires. Sofiane teste toujours sur un poste pilote.🔎 Exemple concret — 🔎 Exemple concret — Imposer un verrouillage automatique de session
Sécurité : verrouiller l'écran après quelques minutes d'inactivité, sur tout un service.
1. Creer une GPO "Verrouillage-Auto"
2. La lier a l'OU "Expedition"
3. Parametre : verrouillage apres inactivite
4. gpupdate /force sur un poste test -> verifierLecture : une règle définie une fois s'applique à tous les postes de l'OU.
Leçon : les GPO transforment une politique de sécurité en configuration réellement appliquée.
Vocabulaire de la section
- GPO
- Stratégie de groupe : ensemble de règles et configurations appliqué de façon centralisée.
Exemple simple : Sofiane impose le verrouillage d'écran par GPO.
Ce que ce n'est pas : un réglage fait poste par poste à la main.
Réflexe : imposer une règle → GPO.
- Liaison (link)
- Rattachement d'une GPO à un domaine, un site ou une OU.
Exemple simple : Sofiane lie la GPO à l'OU du service expédition.
Ce que ce n'est pas : une GPO créée mais rattachée à rien.
Réflexe : cibler une GPO → la lier.
- Paramètres machine / utilisateur
- Réglages appliqués au démarrage du PC (machine) ou à l'ouverture de session (utilisateur).
Exemple simple : Le verrouillage d'écran est un paramètre machine.
Ce que ce n'est pas : une préférence que l'utilisateur change lui-même.
Réflexe : machine ou utilisateur → le bon volet.
- gpupdate /force
- Commande qui force la réapplication immédiate des GPO.
Exemple simple : Sofiane l'exécute sur le poste pilote pour vérifier.
Ce que ce n'est pas : attendre le prochain rafraîchissement naturel.
Réflexe : tester tout de suite → gpupdate /force.
- Précédence
- Ordre qui détermine quelle GPO l'emporte en cas de conflit.
Exemple simple : La GPO de l'OU la plus proche gagne en général.
Ce que ce n'est pas : une seule GPO qui ne rentre jamais en conflit.
Réflexe : conflit de GPO → la précédence.
En pratique — En pratique — Planifier une GPO
- Choisissez une règle simple à imposer (fond d'écran, mot de passe, lecteur réseau), comme Sofiane.
- Déterminez la cible (quels utilisateurs ou postes) et l'OU correspondante.
- Décidez si le paramètre est « machine » ou « utilisateur ».
- Notez comment vous testeriez avec gpupdate /force sur un poste pilote.
Script pas-à-pas — déployer une GPO proprement comme Sofiane (4 min)
1) Choisissez la règle et nommez la GPO clairement (ex. « Verrouillage-Auto »). 2) Liez-la au bon conteneur (l'OU du service, pas la racine). 3) Réglez le paramètre, en distinguant machine et utilisateur. 4) Testez sur un poste pilote avec gpupdate /force. 5) Vérifiez le résultat, puis généralisez.
Gardez cette fiche : moins de GPO bien nommées = moins de conflits de précédence et un dépannage plus simple.
Modèle copier-coller — ma fiche GPO
GPO : "Verrouillage-Auto"
Cible : OU "Expedition" (pas la racine)
Volet : parametre machine (ou utilisateur)
Parametre : verrouillage apres inactivite
Test : gpupdate /force sur un poste pilote
Regle : peu de GPO, bien nommees ; tester avant de deployerUn fond d'écran d'entreprise
Sofiane déploie le fond d'écran commun par une GPO liée à l'OU des postes.
Une politique de mot de passe
Sofiane impose la longueur et le renouvellement des mots de passe à tout le domaine.
Un lecteur réseau
Sofiane mappe un lecteur partagé pour le service comptabilité via une GPO ciblée.
Un test de poste pilote
Sofiane applique la GPO à un seul poste d'abord, vérifie au gpupdate /force, puis généralise.
✓ Bonnes pratiques
- Peu de GPO, bien nommées et liées au bon niveau.
- Toujours tester sur un poste pilote (gpupdate /force).
- Distinguer paramètres machine et utilisateur.
✗ Pièges fréquents
- Multiplier des GPO qui se contredisent.
- Lier une GPO trop haut (impact trop large).
- Déployer sans test préalable.
Points clés à retenir
- Les GPO appliquent règles et configs à un parc, de façon centralisée.
- Une GPO est créée, liée à une OU, puis appliquée au boot/login.
- gpupdate /force force la réapplication pour tester.
- En cas de conflit, la précédence décide ; mieux vaut peu de GPO claires.
Défi 48h — appliquez demain
Comme Sofiane, concevez une GPO pour une règle simple (verrouillage d'écran, mot de passe, lecteur réseau) : nommez-la, indiquez la cible (quelle OU), précisez si le paramètre est machine ou utilisateur, et décrivez le test que vous feriez avec gpupdate /force sur un poste pilote.
- Je peux expliquer à quoi servent les GPO.
- Je décris le cycle : création, liaison à une OU, application, test.
- Je sais qu'un test sur poste pilote et la précédence comptent.
Questions fréquentes
Une GPO s'applique-t-elle instantanément ?
Pas toujours : les GPO se rafraîchissent au démarrage, à la connexion et périodiquement. Pour un test immédiat, on utilise gpupdate /force, puis on vérifie le résultat sur le poste pilote.
Que faire si deux GPO se contredisent ?
La précédence tranche (souvent : la GPO liée à l'OU la plus proche de l'objet gagne). En pratique, on simplifie : moins de GPO, des noms explicites et un test évitent la plupart des conflits.
À quoi servent les stratégies de groupe (GPO) ?