Composants Objet Stratégie de Groupe (GPO) : Architecture complète détaillée
Les Objets Stratégie de Groupe (GPO) sont la colonne vertébrale de la gestion centralisée Windows dans les environnements Active Directory. Comprendre leurs composants est essentiel pour déploiement, dépannage et sécurité efficaces.
Composants principaux
1. Modèle Stratégie de Groupe (GPT)
- Stockage physique : Dossier système de fichiers dans SYSVOL :
\\domain.com\SYSVOL\domain.com\Policies\{GUID}\ - Contenu : Registry.pol (paramètres), scripts, templates .admx/.adml, packages MSI, XML préférences
- Réplication : DFS-R (réplication SYSVOL) sur tous les contrôleurs de domaine
- Permissions : Utilisateurs authentifiés : Lecture ; Admins domaine : Contrôle total
2. Conteneur Stratégie de Groupe (GPC)
- Objet AD :
CN={GUID},CN=Policies,CN=System,DC=domain,DC=com - Attributs : versionNumber (GPT + GPC), gPCFileSysPath, gPCFunctionalityVersion, flags
- Réplication : Réplication AD standard (intra-domaine)
- But : Métadonnées, versioning, liaison, filtrage — pas stockage paramètres
3. Préférences Stratégie de Groupe (GPP)
- Extension des GPOs (Extensions Côté Client — CSEs)
- Configurent des paramètres non gérés : lecteurs mappés, imprimantes, fichiers, dossiers, registre, INI, services, tâches, utilisateurs/groupes locaux, plans alimentation, menu Démarrer
- Ciblage niveau élément (ILT) : CPU, OS, plage IP, groupe sécurité, WMI, temps, correspondance registre
- Actions : Créer, Remplacer, Mettre à jour, Supprimer
4. Sécurité & Délégation
- Permissions GPO : Lecture, Écriture, Suppression, Modifier Sécurité (sur GPC + GPT)
- Appliquer Stratégie de Groupe : ACE sur OU/domaine/site cible — contrôle qui reçoit le GPO
- Modèle délégation : Admins OU lient GPOs ; Group Policy Creator Owners créent ; Admins domaine gèrent tout
- Filtrage WMI : Ciblage dynamique via requêtes WQL (ex: portable vs fixe)
5. Ordre de traitement (Priorité)
- GPO local (ordinateur)
- GPOs liés au site (ordonnés)
- GPOs liés au domaine (ordonnés)
- GPOs liés à l'OU (parent → enfant, ordonnés)
- Dernier écrivain gagne (avec exceptions : Forcé, Blocage héritage)
Stratégie utilisateur suit même hiérarchie à l'ouverture de session. Traitement en boucle (Fusion/Remplacement) modifie source stratégie utilisateur.
6. Liens & Portée
- GPOs liés à : Sites, Domaines, OUs (pas utilisateurs/groupes directement)
- Un GPO → multiples liens (mêmes paramètres, portées différentes)
- Ordre liens (1 = priorité haute) configurable par conteneur
- Forcé (Pas de remplacement) : Empêche remplacement par OU enfant
- Blocage héritage : Arrête GPOs parents (sauf Forcé)
Essentiels opérationnels
- GPMC : Console gestion principale (gpmc.msc)
- gpresult /h report.html : RSOP (Resultant Set of Policy) côté client
- gpupdate /force : Rafraîchissement manuel (arrière-plan : 90±30 min)
- GPOs de départ : Templates pour création lignes de base
- Sauvegarde/Restauration : GPMC → Clic droit domaine → Sauvegarder tout
Maîtrisez ces six composants et vous contrôlez l'état de configuration de chaque appareil joint au domaine.