[Active Directory] 5 Implémentation d'une stratégie de groupe
5.1 Création et configuration d'objets Stratégie de groupe
5.1.1 Présentation d’une stratégie de groupe
Une stratégie de groupes est un objet Active Directory qui va contenir un ensemble de paramètres.
Ces paramètres vont permettre d’agir sur l’environnement d’un utilisateur ou d’un ordinateur en déployant une configuration qui ne sera pas modifiable (interface bloquée) :
- Les paramètres de stratégies de groupe pour les ordinateurs définissent le comportement du système d’exploitation et d’une partie du bureau, la configuration de la sécurité, ….
- Les paramètres de stratégies de groupe pour les utilisateurs définissent les options d’applications affectées et publiées, la configuration des applications, le bureau de l’utilisateur, ….
Une stratégie de groupe peut aussi être appelée GPO (Group Policy Object)
Cet objet de stratégie de groupe va ensuite être lié à un conteneur site, un domaine ou une unité d’organisation. Cela va permettre d’appliquer les paramètres de stratégie de groupe aux objets contenu dans ces conteneurs.
5.1.2 Présentation des préférences de groupes
Les stratégies de préférences permettent la mise en place de paramètres par défaut, sans blocage de l’interface utilisateur.
Ils s’appliquent de la manière que les stratégies groupes et se configurent au même endroit.
L’objectif des stratégies de préférences est de remplacer les historiques script d’ouverture de session en permettant de configurer directement: les lecteurs réseaux, les partages, les imprimantes, les tâches planifiées, les comptes et groupes locaux, ….
5.1.3 Composants d'un objet Stratégie de groupe
Une stratégie de groupe se décompose en trois parties :
Un objet qui sera stocké dans la base Active Directory. Cet objet va ensuite être lié à des objets de sites, domaines ou unités d’organisation.
Cet objet permet aussi de gérer les versions permettant une réplication optimisée.
Un modèle au format ADMX (XML) ou ADM qui va définir les propriétés que l’on va pouvoir personnaliser dans les stratégies de groupes. Des fichiers ADML associés vont permettre de personnaliser la langue de l’interface.
Un répertoire qui sera stocké dans le partage SYSVOL ayant pour nom le SID de l’objet de la stratégie dans la base Active Directory. Ce répertoire contient l’ensemble des fichiers de scripts, de configuration, etc…
Le dossier SYSVOL est répliqué automatiquement entre tous les contrôleurs de domaine quel que soit leur version.
5.1.4 Gestion des Stratégies de groupe par un contrôleur de domaine
La modification des paramètres de stratégie de groupe peut se faire sur n’importe quel contrôleur de domaine, mais pour éviter les conflits un contrôleur de domaine s’occupe de centraliser l’ensemble des modifications.
Ce contrôleur est par défaut celui ayant le rôle de maître d’opérations Emulateur PDC, mais il est bien évidemment possible de le changer avec les options suivantes :
- Le contrôleur de domaine avec le jeton de maître d’opérations pour l’émulateur PDC.
- Tout contrôleur de domaine disponible.
- Tout contrôleur de domaine exécutant Windows Server 2008 ou version ultérieure.
- Ce contrôleur de domaine.
5.1.5 Définition des filtres WMI
Pour appliquer une stratégie de groupe, celle-ci est liée à un conteneur Active Directory, cette configuration ne permet pas de prendre en compte les caractéristiques spécifiques de la machine ou de l’utilisateur qui va appliquer la stratégie.
Vous avez pour cela la possibilité de créer un script WMI afin de définir les conditions d’applications.
Exemple :
Vous souhaitez déployer une application sur vos postes clients et cette application occupe 1 Go sur le disque dur, avec un script WMI vous avez la possibilité de filtrer l’application de cette stratégie en testant l’espace disque libre sur les stations de travail.
L’outil Scriptomatic vous aidera très certainement dans l’écriture de vos scripts.