Stratégie locale et de domaine

Introduction

Dans le système de stratégies de groupe, deux catégories peuvent être distinguées : les stratégies locales et celles du domaine.

Les stratégies locales sont utilisées lors d’une approche individuelle des postes de travail.

Les stratégies de domaine sont indispensables pour configurer un parc entier d’ordinateurs clients d’un réseau de grande taille.

Il existe deux façons d’approcher la gestion des stratégies de groupe au sein des différentes architectures Microsoft.

Si les administrateurs souhaitent utiliser les GPO au sein d’une architecture de type décentralisée (appelée communément un Workgroup), l’unique moyen est de configurer une ou plusieurs stratégies locales sur chaque poste de travail. 

Cette approche moins onéreuse génère cependant beaucoup de travail pour les responsables des structures informatiques.

Lorsque l’architecture est centralisée et gérée avec Active Directory, les GPO de domaines sont alors disponibles et pratiquement indispensables pour garantir une homogénéisation des GPO appliquées sur tout le parc.

Les stratégies locales dans un Workgroup

Les stratégies locales permettent aux administrateurs d’effectuer une configuration plus précise et plus approfondie des postes clients fonctionnant avec des systèmes d’exploitation Microsoft.

Dans les systèmes d’exploitation Windows, beaucoup d’options sont déjà disponibles dans les menus de configuration de Windows. La compréhension de l’ensemble des éléments de configuration n’est pas nécessairement à la portée des utilisateurs finaux. En outre, le niveau de configuration requis d’un poste de travail demande souvent plus de recherches que l’utilisation simple des menus classiques de Windows du type panneau de configuration.

Ces cas de figure qui nécessitent une approche encore plus minutieuse concernant la configuration de Windows trouvent des solutions à travers l’utilisation des stratégies locales.

L’Éditeur de stratégie de groupe locale (console gpedit.msc), composant logiciel enfichable de la console MMC (Microsoft Management Console), permet cette approche. Dans cet éditeur, vous pourrez trouver des centaines de paramètres à configurer pour les systèmes et les applications de Windows.

Il existe deux catégories principales disponibles à l’intérieur de la console GPEDIT : le nœud Configuration ordinateur et le nœud Configuration utilisateur. Les objets de stratégie modifiés dans le conteneur Ordinateur s’appliquent à la station de travail quel que soit l’utilisateur et les objets modifiés...

Présentation d’Active Directory

Les services de domaine Active Directory (AD DS) et les services associés constituent une base pour les réseaux d’entreprise qui exécutent des systèmes d’exploitation Windows. La base de données AD DS est le magasin central de tous les objets de domaine, tels que les comptes d’utilisateurs, les comptes d’ordinateurs et les groupes. AD DS fournit un répertoire hiérarchisé interrogeable et une méthode pour l’application de la configuration et des paramètres de sécurité aux objets de l’entreprise.

1. Les différents états d’un serveur Windows

Les systèmes d’exploitation serveurs de Microsoft ont différents états : il est dit Autonome (SA) lorsque le serveur gère sa propre sécurité, il devient un serveur Membre (SM) lorsqu’il est joint à un domaine Active Directory. Ainsi, il récupère la sécurité qui provient du contrôleur de domaine (CD) qui est le rôle "ultime", c’est lui qui est responsable de la sécurité dans un domaine.

Le processus de création d’un annuaire Active Directory implique une infrastructure de résolution de noms car AD fait référence à des noms d’objets (ordinateurs, partages, imprimantes). Pour cela, il faut un serveur DNS (Domain Name System) pour que, lors de la promotion du contrôleur de domaine, une zone du nom correspondant au domaine soit créée. Cette nouvelle zone DNS peut être intégrée à Active Directory.

Généralement lors de la création du premier contrôleur de domaine d’une forêt AD, le rôle de serveur DNS est installé sur le premier contrôleur de domaine. 

Structure d’une stratégie de groupe

Le magasin central

Jusqu’à présent les fichiers ADMX et ADML sont situés sur chaque contrôleur de domaine et sur chaque poste administrateur du domaine. Imaginons qu’un administrateur souhaite créer ou personnaliser un fichier ADMX ou ADML, ce paramètre ne pourra être modifié que sur le poste sur lequel le ou les fichiers ont été modifiés.

Le magasin central est une des nouveautés apparues avec Windows Server 2008 et 2008 R2, il permet une centralisation des modèles d’administration dans le répertoire SYSVOL.

Pour bénéficier du magasin central, celui-ci doit être créé. Microsoft recommande d’effectuer la création du magasin central sur le contrôleur de domaine qui héberge le rôle Émulateur PDC. Les contrôleurs de domaine supplémentaires dans le domaine récupéreront le magasin central avec la réplication Active Directory.

Les filtres WMI

Les filtres WMI (Windows Management Instrumentation) font partie des outils de ciblage de la GPMC. Ils sont très puissants et permettent de cibler les postes clients d’une stratégie de groupe avec précision.

La recherche d’informations exécutée à partir des filtres WMI est basée sur un nombre important de paramètres relatifs aux postes de travail. Les filtres de recherche peuvent s’appuyer sur le matériel constituant le poste de travail, la version du système d’exploitation installé, les versions des applications installées ou encore le paramétrage système en cours sur le poste.

Les filtres WMI peuvent être utilisés sur les technologies Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016 et 2019 pour les serveurs ainsi que Windows 7, 8.x et 10 pour les postes de travail.

Les stratégies de groupe sont liées aux unités d’organisation et les objets contenus dans ces dernières reçoivent les paramètres de la GPO liée. Mais dans certains cas, nous avons besoin d’effectuer une sélection des ordinateurs de manière plus précise, en fonction de l’espace disponible sur les disques par exemple ou de la version du système d’exploitation. Les filtres WMI vont nous permettre ces opérations de sélection.

Prenons l’exemple d’une stratégie de groupe liée à une OU contenant un ordinateur exécutant Windows XP et une station cliente installée avec Windows Vista ou 7. La stratégie de groupe doit modifier certains paramètres en fonction de la version de l’OS des postes clients.

De ce fait, il est nécessaire de configurer deux objets de stratégie de groupe. Un premier paramètre de stratégie est destiné à la modification des postes XP et le second à la modification des postes Vista/7.

Dans ce cas de figure, l’intérêt est de garantir l’application des paramètres de stratégie uniquement aux ordinateurs concernés.

Plusieurs méthodes peuvent être envisagées pour mener à bien cette opération dont l’utilisation de filtres de WMI. En effet, les filtres WMI permettent de distinguer les ordinateurs selon des critères...

Conclusion et commentaires

Les objets de stratégie de groupe peuvent être utilisés sur des machines dans un Workgroup. Néanmoins la charge administrative pour gérer des postes dans un workgroup est trop importante, d’où l’importance de pouvoir gérer notre parc informatique de manière centralisée avec Active Directory.

La mise en place d’une infrastructure Active Directory impose une étape importante de réflexion et de planification sur l’arborescence de l’annuaire AD. Plus cette arborescence aura été réfléchie, plus son administration en termes de stratégie de groupe en sera facilitée. Une infrastructure AD impose une structure de résolution de noms, une synchronisation du temps de l’ensemble des machines du domaine avec le maître d’opération émulateur PDC qui assure la gestion des GPO dans le domaine ainsi que la gestion du temps dans un domaine Active Directory.

Une stratégie de groupe est composée de deux fichiers, un fichier ADMX qui décrit la structure et les paramètres de registre de l’objet de stratégie de groupe et un fichier linguistique ADML qui lui permet d’afficher les paramètres ADMX associés dans une langue. Ces deux  fichiers utilisent le langage XML, il est possible de migrer les anciens fichiers ADM avec...