Infrastructure de stratégies de groupe

1. Ordre d’attribution sur les postes de travail

Les stratégies de groupes sont appliquées sur le poste en fonction d’un ordre bien précis. La première stratégie à s’appliquer sur le poste est la stratégie locale (si une stratégie est présente). Les GPO Active Directory sont par la suite récupérées et appliquées, dans l’ordre ci-dessous :

La GPO du site AD est la première à être récupérée. Les stratégies appliquées à la racine du domaine (Default Domain Policy ou toute autre stratégie positionnée) sont ensuite récupérées. Enfin, celles positionnées sur une OU ou sous-OU sont récupérées.

La liaison ne peut pas être faite directement sur un objet Active Directory de type ordinateur ou utilisateur. Il est nécessaire de la lier à un conteneur (OU, domaine…). La stratégie qui s’applique en dernier est celle positionnée sur l’OU. En cas de conflit sur un paramètre, c’est la dernière GPO récupérée (donc celle de l’OU) qui l’emporte. Pour modifier cet ordre...

1. Introduction

Lors de l’ouverture de session sur un serveur TS (Terminal Server) ou un poste client, la stratégie résultante qui est appliquée est une combinaison des paramètres utilisateur et ordinateur. Il peut être nécessaire sur un serveur TS d’interdire l’application des paramètres de l’utilisateur connecté.

Le traitement en boucle permet l’application des paramètres Configuration utilisateur de la stratégie de groupe de l’ordinateur sur lequel la session est ouverte. Tous les utilisateurs recevront ces mêmes paramètres.

Deux modes peuvent être configurés : le mode Remplacer et le mode Fusion. Le premier effectue la suppression des paramètres Configuration utilisateur configurés pour le compte utilisateur afin de lui attribuer ceux configurés dans la GPO du compte ordinateur sur lequel la session est ouverte. Le deuxième mode effectue une fusion entre les paramètres Configuration utilisateur du compte utilisateur et ceux configurés dans la stratégie de groupe du compte ordinateur.

On peut ainsi s’assurer de l’uniformité des paramètres pour l’ensemble des utilisateurs qui ouvrent une session sur le serveur TS (Terminal Server). Le mode est sélectionné à l’aide du paramètre Configurer le mode de traitement...

1. Création d’un objet et liaison à une OU

L’Éditeur de gestion des stratégies de groupe se lance.

La stratégie est maintenant liée à la racine du domaine.

L’onglet Étendue permet de visualiser le conteneur auquel la GPO est liée. Il est possible de...

1. Fichiers ADMX/ADML

Les paramètres des modèles d’administration sont contenus dans des fichiers portant l’extension ADMX. Ces fichiers présents dans C:\Windows\PolicyDefinitions peuvent être ouverts avec Notepad.

Contrairement aux anciens modèles d’administration sous Windows Server 2003, les fichiers ADMX sont des fichiers XML. Il est donc beaucoup plus aisé de créer un fichier personnalisé. Deux types de fichiers sont utilisés :

Il est envisageable d’ajouter d’anciens modèles d’administration au format adm.

1. Blocage de l’héritage

Le blocage de l’héritage consiste à mettre en place un blocage à un certain niveau de l’arborescence. Cette fonctionnalité permet d’éviter les conflits (deux paramètres appliqués qui se contredisent) en s’assurant que les GPO configurées sur le parent ne sont pas attribuées à l’enfant. Pour vérifier l’ordre d’attribution des stratégies, l’onglet Héritage de stratégie de groupe doit être utilisé. Cet onglet est présent en cliquant sur une OU.

Aucune stratégie ne s’applique désormais sur l’OU....

1. Présentation des préférences de stratégies

Les préférences de stratégies de groupe offrent aux administrateurs la possibilité de configurer de nouveaux paramètres. Il est maintenant possible de paramétrer les options des dossiers, les lecteurs mappés, les imprimantes, les tâches planifiées, les services, le menu Démarrer…

De plus, le ciblage offre une plus grande souplesse que les stratégies (GPO). Il est possible de cibler sur plusieurs éléments (système d’exploitation, plage d’adresses IP…).

Contrairement aux stratégies qui verrouillent l’interface utilisateur (l’utilisateur ne peut pas modifier le paramètre configuré par l’administrateur), les préférences laissent la possibilité à un utilisateur de le modifier. Prenons l’exemple du proxy IE : si vous configurez la connexion au proxy dans IE par les préférences, l’utilisateur a la possibilité d’annuler la connexion à un proxy lorsqu’il est en dehors de la société.

2. Configuration de paramètres avec les préférences

1. Création d’un utilisateur local

La première étape est l’élaboration du script. Les différentes étapes sont détaillées ci-dessous, il est néanmoins possible de récupérer le script final (CompteLocal.ps1) depuis la page Informations générales.

Nous allons dans un premier temps définir les variables qui contiendront le nom du compte utilisateur local et celui de l’ordinateur.

$localUsers='LocalAdmin' 
$ComputerName=$Env:COMPUTERNAME 

Nous allons maintenant récupérer dans la variable $AllLocalAccounts l’ensemble des comptes utilisateurs présents dans la base SAM de l’ordinateur. Le nom de ce dernier est définit à l’aide de la variable $Computer.

$AllLocalAccounts = Get-WmiObject -Class Win32_UserAccount  
-Namespace "root\cimv2" -Filter "LocalAccount='$True'"  
-ComputerName $ComputerName -ErrorAction Stop 

Si l’ordinateur contient un compte nommé LocalAdmin, le script s’arrête. Sinon Le compte est créé. Le mot de passe défini dans la variable $pass est utilisé pour l’utilisateur. Le compte local est ajouté au groupe Administrateurs de l’ordinateur local puis l’option "le mot de passe n’expire jamais" est configuré....