GPO : Group policies Objects

Contents

Nous pouvons définir les Group Policies Objects comme un mécanisme central de configuration des machines et des utilisateurs.

Les différentes politiques s'appliquent aux objets d'Active Directory, et les instructions de configuration concernent : les programmes, les scripts, la sécurité, et le déploiement d'applications et de fichiers.

Par défaut, les GPO sont stockés dans %SYSTEM ROOT%\sysvol

Sous Windows NT4, Poledit permettait une politique de gestion appliquée au domaine.
Avec Windows 2000, les GPO s'appliquent de manière hiérarchique dans différentes entités.

Héritage et hiérarchie des Group Policies Objects

Héritage : les sous-entités héritent automatiquement des GPO de l'entité. Par exemple, une politique appliquée à un domaine s'applique par défaut à tous les O.U. de ce domaine.

Les GPO s'appliquent selon l'ordre de priorité suivant : LSDOU

  1. Local (applicable seulement à la machine).
  2. Site.
  3. Domaine.
  4. O.U. (Organizational Units).

Options des GPO

NO OVERRIDE : option qui permet de désactiver (passer outre) les mécanismes de priorité pour les sous-entités qui héritent du Group Policies Object.
Exemple : une politique appliquée à un domaine, et qui doit absolument être appliquée à l'ensemble des O.U. de ce domaine. Normalement, les GPO d'un Organizational Unit ont un droit de préemption sur les GPO du domaine, mais comme l'option NO OVERRIDE est cochée, c'est le GPO du domaine qui est appliqué.

BLOCK INHERITANCE : cette option, lorsqu'elle est cochée dans une sous-entité, permet de ne pas hériter des GPO de l'entité supérieure. Les paramètres par défaut sont alors appliqués.

Mot de passe GPO

Les Group Policies Objects relatifs à la gestion des mots de passe sont définis au niveau du domaine. Ces politiques de gestion ne peuvent pas être modifiées au niveau des sous-entités (par exemple au niveau des O.U.).

Nous pouvons gérer les politiques de gestion des mots de passe au niveau local, mais cette gestion ne s'applique qu'au niveau local et pas lorsque la machine est dans le domaine.

Administratives templates

Un Group Policies Object est subdivisé en 2 sections : la machine, et l'utilisateur. Chaque section est divisée en trois sous-sections :

  • Software Settings
  • Windows Settings
  • Administrative templates

Le terme "Administrative Template" est utilisé pour désigner une série de paramètres qui modifient le registre.

Ces paramètres (contenus dans le fichier hive, ntuser.dat, ... ) influencent les ruches HKCU et HKLM.

Un exemple d'utilisation de ces paramètres est ce que nous appelons le "Desktop configuration". Il s'agit des réglages du fond d'écran, de l'économiseur d'écran, des icônes du bureau, des composants du menu démarrer, etc.

Application des Group Policies Objects

Si le GPO porte sur un utilisateur, son application se fait dès le logon, si il porte sur la machine, son application se fait dès le boot.

Si nous désirons forcer l'application immédiate des GPO, nous pouvons utiliser les commandes suivantes :

SECEDIT/REFRESHPOLICY user_policy

SECEDIT/REFRESHPOLICY computer_policy

English translation

You have asked to visit this site in English. For now, only the interface is translated, but not all the content yet.

If you want to help me in translations, your contribution is welcome. All you need to do is register on the site, and send me a message asking me to add you to the group of translators, which will give you the opportunity to translate the pages you want. A link at the bottom of each translated page indicates that you are the translator, and has a link to your profile.

Thank you in advance.

Document created the 04/06/2004, last modified the 26/10/2018
Source of the printed document:https://www.gaudry.be/en/windows2000-gpo.html

The infobrol is a personal site whose content is my sole responsibility. The text is available under CreativeCommons license (BY-NC-SA). More info on the terms of use and the author.