La gestion des stratégies de groupe

Introduction

Nous voici arrivés à un des points nodaux de la technologie Active Directory : les stratégies de groupe, ou GPO (Group Policy Object). En effet, Active Directory est un service d’annuaire globalement distribué, mais présentant aussi des dispositifs de centralisation tout à fait puissants. Et cet aspect duel représente un atout majeur de la technologie Active Directory, car il s’agit là de la mise en pratique d’une philosophie consistant à permettre l’accès aux ressources d’une infrastructure à partir de multiples points d’un même réseau, tout en centralisant la gestion et l’administration de ces ressources. 

Ce principe de fonctionnement de l’Active Directory est générateur d’autres principes dont les stratégies de groupe sont l’un des éléments centraux. Il est donc essentiel de comprendre ce que revêt ce principe, dont les contours seront tracés dans la première partie de ce chapitre. Après avoir saisi le fonctionnement des stratégies de groupe dans l’écosystème Active Directory, nous tenterons de mieux les analyser avec Windows PowerShell en effectuant des manipulations comme l’obtention ou la création d’objets représentant des stratégies de groupe. PowerShell nous offre aussi...

Qu’est-ce qu’une stratégie de groupe ?

Le principe fondateur des stratégies de groupe réside finalement dans deux termes : « centralisation » et « configuration ». Par centralisation, nous entendons une gestion centralisée de deux grandes catégories de paramètres :

Active Directory centralise une foultitude de paramètres influant directement sur ces deux catégories, et évitant aux administrateurs de perdre un temps précieux, car une situation inverse, dans des infrastructures constituées de milliers de comptes d’utilisateurs et d’ordinateurs, reviendrait à montrer des processus de gestion catastrophiques et dénués de tout sens pratique.

Le terme de centralisation nous amène à celui de configuration. Par configuration, nous entendons une prise en charge presque intégrale...

Lister les GPO existant au sein d’un domaine

Au même titre que les unités d’organisation, les stratégies de groupe existant au sein d’un domaine Active Directory doivent être connues des administrateurs dans le but de mieux apprécier l’infrastructure dont il est question. Il est un fait que dans beaucoup d’infrastructures les administrateurs, même s’ils ne peuvent pas gérer l’ensemble des éléments d’une organisation Active Directory, ont cependant une vue qui leur en est proposée.

Cette vue est, comme son nom l’indique, un moyen d’analyser l’existant d’un point de vue organisationnel. Et cela est une donnée majeure parce que dans de grandes infrastructures où tout est segmenté, il est important de relier la partie dont nous avons la responsabilité au tout qui englobe cette partie. De cette façon, les administrateurs seront mieux à même de comprendre une organisation Active Directory dans sa globalité.

Créer une GPO

La création d’une stratégie de groupe nécessite d’abord de définir un certain nombre de caractéristiques du point de vue de l’organisation d’une infrastructure. En effet, une stratégie de groupe est un objet ayant des propriétés propres, comme d’autres objets existant dans l’environnement Active Directory, mais avec un poids cette fois-ci plus important qu’un objet représentant par exemple un compte d’utilisateur dans la mesure où une stratégie de groupe est intimement liée à la notion d’architecture de l’infrastructure Active Directory. Donc, mettre en place une stratégie de groupe exige des prérequis avant de passer au processus de création en tant que tel. Lorsque les contours de la stratégie de groupe sont clairement définis, alors l’étape suivante sera sa création, et ce quel que soit l’outil utilisé. Dans notre cas, nous utiliserons très exactement trois commandes nous permettant de créer une GPO : New-GPO, Set-GPPrefRegistryValue et New-GPLink.

Générer un rapport HTML affichant les données d’une GPO

Lorsque plusieurs stratégies de groupe existent à l’échelle d’un domaine, il devient de plus en plus difficile d’étudier chacune d’entre elles, tout simplement parce que le nombre de données de configuration qu’une stratégie de groupe contient peut potentiellement être important. Si une trentaine de stratégies de groupe sont appliquées dans un domaine Active Directory, alors toutes les étudier par le mécanisme fourni via une arborescence de domaine se révélera très vite inefficace. Heureusement, la console GPMC dispose déjà d’un mécanisme proposant l’étude des stratégies de groupe par le biais de rapports HTML, mais qu’en est-il de Windows PowerShell ? Propose-t-il lui aussi des facilités en la matière ? La réponse est évidemment oui, et la commande Get-GPOReport en est la preuve.

Sauvegarder une GPO

Le maintien d’une infrastructure Active Directory passe notamment par la sauvegarde de ses éléments importants. Parmi ces éléments figurent évidemment les stratégies de groupe. La sauvegarde d’une stratégie de groupe autorise le phénomène de « photographie » à un instant T, et permet une restauration dans le futur si les circonstances l’exigent.