Exemples de GPO : mots de passe, lecteurs réseau, imprimantes, profils

Ce chapitre rassemble les stratégies de groupe qu'un technicien SISR configure le plus souvent : la politique de mots de passe du domaine et les stratégies affinées, la connexion des lecteurs réseau, le déploiement des imprimantes et des logiciels, les profils itinérants et la redirection de dossiers, et les GPO de sécurité des postes. Pour chacune : où se trouve le réglage, comment le cibler, et les pièges qui la font échouer. Le fonctionnement des GPO (création, liaison, ordre LSDOU, filtrage) est expliqué au chapitre 4.

Politique de mots de passe et de verrouillage du domaine

La politique de mots de passe des comptes du domaine se règle dans une GPO liée au domaine, en pratique la Default Domain Policy : Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes.

Les valeurs à retenir ne sont pas des chiffres magiques : elles découlent des recommandations de l'ANSSI et de la CNIL (longueur, entropie, verrouillage après un nombre limité d'échecs), détaillées dans le chapitre Politique de mots de passe du cours Authentification.

Les stratégies de mot de passe affinées

Les stratégies de mot de passe affinées (FGPP, fine-grained password policies, ou objets PSO) appliquent une politique différente à certains utilisateurs ou groupes du domaine : 16 caractères et un verrouillage après 5 échecs pour les administrateurs, par exemple. On les crée dans le Centre d'administration Active Directory (dsac.exe > le domaine > System > Password Settings Container) ou en PowerShell :

New-ADFineGrainedPasswordPolicy -Name "PSO-Admins" -Precedence 10 `
    -MinPasswordLength 16 -ComplexityEnabled $true -PasswordHistoryCount 24 `
    -LockoutThreshold 5 -LockoutDuration "00:30:00" -LockoutObservationWindow "00:30:00" `
    -MaxPasswordAge "365.00:00:00" -MinPasswordAge "1.00:00:00" -ReversibleEncryptionEnabled $false

Add-ADFineGrainedPasswordPolicySubject -Identity "PSO-Admins" -Subjects "GG_Admins_Domaine"

# Quelle politique s'applique réellement à un compte ?
Get-ADUserResultantPasswordPolicy -Identity "adm0-amercier"

Une stratégie affinée s'applique à des utilisateurs ou à des groupes globaux, pas à des OU. Si plusieurs s'appliquent à un même compte, celle qui a la plus petite valeur de priorité (Precedence) gagne, et une stratégie appliquée directement au compte l'emporte sur celles qui viennent de ses groupes. Un compte sans stratégie affinée suit la politique du domaine.

Connecter un lecteur réseau

Le lecteur réseau se configure dans les préférences de la configuration utilisateur : Configuration utilisateur > Préférences > Paramètres Windows > Mappages de lecteurs > Nouveau > Lecteur mappé.

Puis, onglet Commun : coche Ciblage au niveau de l'élément et ajoute la condition Groupe de sécurité = SORBIER\GG_Comptables. Une seule GPO U_Lecteurs_Reseau, liée à l'OU Utilisateurs, peut ainsi contenir un lecteur par service, chacun ciblé sur le groupe global du service.

Les quatre actions des préférences ont un sens précis : Créer (ajoute si absent, ne corrige jamais), Remplacer (supprime puis recrée à chaque application), Mettre à jour (ajoute ou corrige, le choix habituel) et Supprimer.

Déployer une imprimante

Le serveur d'impression. Le rôle Services d'impression et de numérisation de documents centralise les files d'attente : les pilotes sont installés une fois sur le serveur, les postes se connectent à \\srv-fichiers\IMP-COMPTA et récupèrent le pilote automatiquement.

Install-WindowsFeature Print-Server -IncludeManagementTools

Add-PrinterDriver -Name "HP Universal Printing PCL 6"
Add-PrinterPort -Name "IP_192.168.10.116" -PrinterHostAddress "192.168.10.116"
Add-Printer -Name "IMP-COMPTA" -DriverName "HP Universal Printing PCL 6" -PortName "IP_192.168.10.116" `
    -Shared -ShareName "IMP-COMPTA" -Location "2e étage, comptabilité" -Published

-Published publie l'imprimante dans l'annuaire, où les utilisateurs peuvent la rechercher.

Le déploiement par GPO. Dans les préférences : Configuration utilisateur > Préférences > Paramètres du Panneau de configuration > Imprimantes > Nouveau > Imprimante partagée, action Mettre à jour, chemin \\srv-fichiers\IMP-COMPTA, avec un ciblage sur le groupe des comptables ou sur la plage d'adresses IP du 2e étage. On peut aussi cocher Définir cette imprimante comme imprimante par défaut.

Déployer un logiciel

Les GPO savent installer des paquets MSI : Configuration ordinateur > Stratégies > Paramètres du logiciel > Installation de logiciel > Nouveau > Package.

1. Placer le fichier .msi sur un partage lisible par les ordinateurs : \\srv-fichiers\Logiciels$\7zip\7z2409-x64.msi (le compte de l'ordinateur doit pouvoir le lire : donne la lecture à Ordinateurs du domaine).
2. Indiquer le chemin réseau (UNC), jamais un chemin local comme D:\Logiciels\… : les postes ne le trouveraient pas.
3. Choisir Attribué : le logiciel s'installe au prochain démarrage du poste.

En configuration utilisateur, un paquet peut aussi être publié : il apparaît dans la liste des programmes disponibles et l'utilisateur l'installe s'il le souhaite.

Ce mécanisme est ancien et limité : MSI seulement, aucun suivi de l'installation, mises à jour pénibles. Dans une PME, on l'utilise encore pour quelques logiciels simples ; pour un vrai parc, on passe par un outil de déploiement (Microsoft Configuration Manager, Intune, un script avec winget, ou l'outil de gestion de parc de l'organisation, comme GLPI et ses agents : voir le cours GLPI et gestion de parc). Le cours Déploiement de postes compare ces outils au chapitre Déployer des logiciels, des pilotes et des mises à jour.

Profils itinérants et redirection de dossiers

Le profil d'un utilisateur est le dossier C:\Users\jlefevre : son bureau, ses documents, ses réglages (le fichier NTUSER.DAT, qui contient sa partie du registre).

Le profil itinérant se règle dans l'onglet Profil du compte, où la console remplace %username% par le nom du compte, ou en PowerShell, où il faut écrire le nom :

Set-ADUser -Identity "jlefevre" -ProfilePath "\\srv-fichiers\Profils$\jlefevre"

Les profils itinérants ont un défaut : un profil lourd met longtemps à se copier, et un profil corrompu suit l'utilisateur partout. On les complète ou on les remplace par la redirection de dossiers : certains dossiers du profil (Documents, Bureau, Images) sont stockés directement sur un partage, sans copie à l'ouverture de session. Les fichiers sont sur le serveur, donc sauvegardés avec lui.

La redirection se règle par GPO : Configuration utilisateur > Stratégies > Paramètres Windows > Redirection de dossiers > Documents > Propriétés :

• De base : rediriger tous les dossiers vers le même emplacement, ou Avancé : un emplacement par groupe de sécurité ;
• Créer un dossier pour chaque utilisateur sous le chemin racine : \\srv-fichiers\Redirections$ ;
• onglet Paramètres : Accorder à l'utilisateur des droits exclusifs (seul l'utilisateur et le système accèdent à son dossier ; décoche-le si les administrateurs doivent pouvoir y entrer) et Déplacer le contenu de l'ancien emplacement.

Dans les organisations qui utilisent Microsoft 365, la redirection vers le serveur est souvent remplacée par la sauvegarde des dossiers connus de OneDrive, réglée elle aussi par GPO (ou par Intune) : Bureau, Documents et Images sont synchronisés dans le cloud.

Durcir les postes par GPO

Les GPO sont l'outil principal de durcissement d'un parc Windows. Les réglages qui reviennent dans les audits et les sujets d'examen :

Le nombre d'identifiants mis en cache mérite une explication : il permet à un utilisateur d'ouvrir sa session sur son portable sans joindre le contrôleur de domaine. Mais ces informations stockées sur le poste peuvent être attaquées hors ligne si le poste est volé ou compromis. On réduit ce nombre (1 ou 2 sur les portables, 0 sur les postes fixes et les serveurs qui sont toujours sur le réseau) ; c'était l'une des questions du sujet de cybersécurité 2024 sur l'audit d'un annuaire.

Plutôt que de tout régler à la main, on part des lignes de base de sécurité publiées par Microsoft (Security Compliance Toolkit), importables comme GPO et comparables à l'existant avec l'outil Policy Analyzer, et des guides de l'ANSSI. Le durcissement global des serveurs Windows est traité dans le chapitre Durcissement des serveurs du cours Cybersécurité des infrastructures, et le durcissement côté poste dans Sécuriser un poste de travail.

Scripts de démarrage et d'ouverture de session

Une GPO peut lancer des scripts : au démarrage et à l'arrêt de l'ordinateur (configuration ordinateur, avec le compte SYSTEM), à l'ouverture et à la fermeture de session (configuration utilisateur, avec le compte de l'utilisateur). Les scripts sont stockés dans le dossier de la GPO, dans SYSVOL, et peuvent être en PowerShell.

Avant d'écrire un script, vérifie qu'une préférence ne fait pas déjà le travail : lecteurs, imprimantes, raccourcis, clés de registre, tâches planifiées et groupes locaux ont tous leur préférence, plus lisible, ciblable et vérifiable dans gpresult. Le script reste utile pour des actions sans équivalent (un inventaire envoyé à l'outil de gestion de parc, par exemple).

Exercices