GPO : créer, lier et appliquer une stratégie de groupe

Une GPO (Group Policy Object, objet de stratégie de groupe) est un ensemble de réglages que l'annuaire Active Directory applique automatiquement aux ordinateurs et aux utilisateurs d'un site, d'un domaine ou d'une unité d'organisation. Ce chapitre explique comment une GPO est construite, comment la créer et la lier, dans quel ordre les GPO s'appliquent (LSDOU), comment l'héritage, le blocage, l'application forcée et le filtrage modifient cet ordre, et comment vérifier le résultat avec gpresult.

À quoi sert une stratégie de groupe

Sans GPO, configurer cent postes veut dire passer sur cent postes. Avec une GPO, le technicien règle une fois et l'annuaire applique partout, y compris aux postes installés demain. Exemples de ce qu'une GPO impose :

• la politique de mots de passe et de verrouillage des comptes du domaine ;
• le verrouillage de l'écran après 10 minutes d'inactivité ;
• un lecteur réseau S: connecté au partage du service ;
• une imprimante installée selon le bureau ;
• un logiciel déployé sur tous les postes ;
• les réglages de Windows Update, du pare-feu, de BitLocker, de Windows LAPS ;
• l'interdiction des clés USB sur les postes de la comptabilité.

Pour un administrateur, la GPO est aussi une preuve : le réglage est écrit, daté, appliqué à tous et vérifiable, ce qui compte lors d'un audit de sécurité.

Comment est faite une GPO

Une GPO a deux moitiés, stockées à deux endroits et répliquées entre contrôleurs de domaine :

• le conteneur de stratégie de groupe (GPC), un objet de l'annuaire qui porte le nom, l'état, la version et les autorisations de la GPO ;
• le modèle de stratégie de groupe (GPT), un dossier dans SYSVOL, \\ad.sorbier.example\SYSVOL\ad.sorbier.example\Policies\{GUID}, qui contient les réglages eux-mêmes.

Chaque GPO est identifiée par un GUID. Si SYSVOL ne se réplique plus entre deux contrôleurs, un poste peut lire une GPO à moitié à jour : c'est l'une des causes des GPO « qui s'appliquent sur certains postes et pas sur d'autres ».

Chaque GPO contient deux parties indépendantes :

C'est la place de l'objet qui compte : une GPO liée à l'OU Postes-fixes, qui ne contient que des ordinateurs, n'applique jamais sa configuration utilisateur aux personnes qui s'y connectent (sauf en mode de bouclage, voir plus bas). Inversement, un réglage ordinateur dans une GPO liée à l'OU des utilisateurs ne fait rien.

Dans chaque partie, deux familles de réglages :

Les modèles d'administration sont décrits par des fichiers ADMX (et leurs traductions ADML). Pour que tous les administrateurs voient les mêmes réglages, à jour pour Windows 11 et Windows Server 2025, on crée un magasin central : le dossier PolicyDefinitions copié dans \\ad.sorbier.example\SYSVOL\ad.sorbier.example\Policies\. La console de gestion lit alors les modèles depuis SYSVOL au lieu du poste de l'administrateur.

Créer et lier une GPO

La console est Gestion des stratégies de groupe (gpmc.msc). Deux opérations distinctes, qu'on confond souvent :

1. créer la GPO : elle apparaît dans le dossier Objets de stratégie de groupe du domaine, et ne s'applique encore à personne ;
2. lier la GPO à un site, au domaine ou à une OU : elle s'applique alors aux objets placés sous cette liaison.

Une même GPO peut être liée à plusieurs endroits ; supprimer une liaison ne supprime pas la GPO.

Pour verrouiller l'écran des postes après 10 minutes chez Sorbier :

1. dans gpmc.msc, clic droit sur l'OU Ordinateurs > Créer un objet GPO dans ce domaine, et le lier ici ;
2. nom : C_Postes_Verrouillage_Ecran ;
3. clic droit sur la GPO > Modifier : l'éditeur de gestion des stratégies de groupe s'ouvre ;
4. Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Options de sécurité > Ouverture de session interactive : limite d'inactivité de l'ordinateur : 600 secondes ;
5. fermer l'éditeur : la GPO est enregistrée.

Comme cette GPO n'utilise que la configuration ordinateur, on peut désactiver sa partie utilisateur (onglet Détails > État GPO > Paramètres de configuration utilisateur désactivés) : le poste n'a plus à la lire à chaque ouverture de session.

En PowerShell, avec le module GroupPolicy :

# Créer une GPO et la lier à l'OU des ordinateurs
New-GPO -Name "C_Postes_Verrouillage_Ecran" -Comment "Verrouillage après 10 min" |
    New-GPLink -Target "OU=Ordinateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example"

# Un réglage de modèle d'administration se pose par sa clé de registre :
# ici, l'économiseur d'écran protégé par mot de passe, côté utilisateur
New-GPO -Name "U_Ecran_Veille" |
    New-GPLink -Target "OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example"
Set-GPRegistryValue -Name "U_Ecran_Veille" -Key "HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop" `
    -ValueName "ScreenSaverIsSecure" -Type String -Value "1"

# Lister les GPO et voir celles liées à une OU
Get-GPO -All | Select-Object DisplayName, GpoStatus, ModificationTime
Get-GPInheritance -Target "OU=Comptabilite,OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example"

Quand une GPO s'applique-t-elle

• Configuration ordinateur : au démarrage de la machine, puis toutes les 90 minutes environ, avec un décalage aléatoire de 0 à 30 minutes pour ne pas saturer les contrôleurs ;
• configuration utilisateur : à l'ouverture de session, puis selon le même cycle ;
• contrôleurs de domaine : toutes les 5 minutes.

Certains réglages ne s'appliquent qu'au démarrage ou à l'ouverture de session, jamais en arrière-plan : l'installation de logiciels, la redirection de dossiers, certains lecteurs réseau. Et comme Windows ouvre la session sans attendre le réseau (optimisation de l'ouverture de session rapide), il faut parfois deux redémarrages ou deux ouvertures de session pour qu'un tel réglage prenne effet.

Pour ne pas attendre :

gpupdate /force          # sur le poste : réapplique toutes les GPO
gpupdate /target:computer /force

# Depuis le serveur, sur un poste distant (le pare-feu du poste doit autoriser la tâche planifiée à distance)
Invoke-GPUpdate -Computer "PC-COMPTA-01" -Force

L'ordre d'application : LSDOU

Un objet reçoit souvent plusieurs GPO. Elles sont appliquées dans un ordre précis, résumé par LSDOU :

1. L, la stratégie locale de la machine (gpedit.msc) ;
2. S, les GPO liées au site Active Directory où se trouve la machine ;
3. D, les GPO liées au domaine ;
4. OU, les GPO liées aux unités d'organisation, de la plus haute à la plus basse dans l'arborescence : Sorbier, puis Utilisateurs, puis Comptabilite.

En cas de conflit, la dernière appliquée l'emporte. Une GPO liée à l'OU Comptabilite gagne donc sur une GPO liée au domaine qui règle le même paramètre autrement. Les réglages qui ne sont pas en conflit s'additionnent : si le domaine impose le verrouillage d'écran et l'OU un lecteur réseau, l'utilisateur reçoit les deux.

Plusieurs GPO liées au même endroit. Elles sont classées par ordre des liens dans l'onglet de l'OU : la liaison numéro 1 a la priorité la plus forte, ce qui veut dire qu'elle est appliquée en dernier. Pour changer la priorité, on déplace la liaison avec les flèches de la console ou Set-GPLink -Order.

Héritage, blocage et application forcée

Par défaut, les GPO sont héritées : une GPO liée au domaine s'applique à toutes les OU du domaine, une GPO liée à Sorbier à toutes ses sous-OU. Deux options modifient ce comportement.

Bloquer l'héritage se règle sur une OU : les GPO liées au-dessus (site, domaine, OU parentes) ne s'appliquent plus aux objets de cette OU et de ses sous-OU. Seules restent les GPO liées à l'OU elle-même et en dessous.

Appliqué (Enforced en anglais) se règle sur une liaison de GPO. Il a deux effets :

1. la GPO traverse les blocages d'héritage placés plus bas ;
2. en cas de conflit, elle gagne sur les GPO liées plus bas, même si elles sont appliquées après elle. Si deux liaisons appliquées se contredisent, c'est celle liée le plus haut qui l'emporte.

C'est l'outil de l'administrateur du domaine pour imposer une règle de sécurité que personne, plus bas, ne pourra défaire.

# Bloquer l'héritage sur une OU
Set-GPInheritance -Target "OU=Labo,OU=Sorbier,DC=ad,DC=sorbier,DC=example" -IsBlocked Yes

# Rendre une liaison « Appliqué »
Set-GPLink -Name "C_Securite_Socle" -Target "DC=ad,DC=sorbier,DC=example" -Enforced Yes

# L'ordre réel de priorité des GPO sur une OU, héritées comprises
(Get-GPInheritance -Target "OU=Comptabilite,OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example").InheritedGpoLinks

Dans la console, l'onglet Héritage de stratégie de groupe d'une OU affiche la liste finale, de la plus prioritaire (1) à la moins prioritaire : c'est là qu'on lit le résultat de LSDOU, des blocages et des liaisons appliquées.

Filtrer l'application d'une GPO

Une liaison vise tous les objets sous l'OU. Pour viser plus finement, trois mécanismes.

Le filtrage de sécurité. Une GPO ne s'applique qu'aux comptes qui ont sur elle les autorisations Lire et Appliquer la stratégie de groupe. Par défaut, ce sont les Utilisateurs authentifiés, donc tout le monde. Pour réserver une GPO aux comptables, on retire Utilisateurs authentifiés du filtrage et on ajoute GG_Comptables.

Pour exclure un groupe (ne pas appliquer la GPO aux administrateurs, par exemple), on lui met Refuser sur l'autorisation Appliquer la stratégie de groupe, dans l'onglet Délégation > Avancé. Le refus l'emporte.

Le filtre WMI. Il conditionne la GPO au résultat d'une requête sur la machine : la version de Windows, le type de machine, l'espace disque. Pour ne viser que les postes sous Windows 11 (et pas les serveurs) :

SELECT * FROM Win32_OperatingSystem WHERE Version LIKE "10.0.2%" AND ProductType = "1"

Version vaut 10.0.22000 et plus pour Windows 11 ; c'est une chaîne de caractères, d'où l'opérateur LIKE plutôt qu'une comparaison numérique (comparés comme du texte, « 9600 » serait plus grand que « 22000 »). ProductType vaut 1 pour un poste de travail, 2 pour un contrôleur de domaine et 3 pour un serveur membre. Un filtre WMI s'évalue à chaque application, sur chaque machine : il ralentit le traitement, et une requête fausse empêche la GPO de s'appliquer. On le crée dans le dossier Filtres WMI de la console, puis on l'associe à la GPO (une seule par GPO).

Le ciblage au niveau de l'élément, dans les préférences seulement : chaque lecteur réseau, chaque imprimante peut recevoir ses propres conditions (membre de tel groupe, dans telle OU, nom de machine commençant par PC-COMPTA). C'est souvent plus lisible qu'une GPO par service : une seule GPO U_Lecteurs_Reseau, avec un lecteur par service, chacun ciblé sur le groupe global du service.

Le mode de bouclage

Normalement, l'utilisateur reçoit la configuration utilisateur des GPO liées à son OU, quel que soit le poste. Sur certains ordinateurs, on veut au contraire que la configuration utilisateur dépende de la machine : un poste en libre-service à l'accueil, un serveur de bureau à distance, une salle de formation. C'est le mode de bouclage (loopback), activé dans la configuration ordinateur d'une GPO liée à l'OU de ces machines (Configuration ordinateur > Stratégies > Modèles d'administration > Système > Stratégie de groupe > Configurer le mode de traitement par bouclage de la stratégie de groupe utilisateur).

• Remplacer : l'utilisateur ne reçoit que la configuration utilisateur des GPO liées à l'OU de l'ordinateur ;
• Fusionner : il reçoit d'abord celle de son OU, puis celle de l'OU de l'ordinateur, qui gagne en cas de conflit.

Vérifier ce qui s'applique : gpresult et le jeu de stratégies résultant

Le jeu de stratégies résultant (RSoP) est le résultat final de toutes les GPO sur un utilisateur et un ordinateur. On le lit avec gpresult, sur le poste concerné :

gpresult /r                          # résumé : GPO appliquées et filtrées, groupes, OU
gpresult /r /scope computer          # partie ordinateur seulement (console en administrateur)
gpresult /h C:\Temp\rsop.html        # rapport HTML détaillé, réglage par réglage
gpresult /s PC-COMPTA-01 /user SORBIER\jlefevre /h C:\Temp\julie.html   # à distance

Extrait simplifié d'un gpresult /r sur le poste de Julie Lefèvre (les libellés exacts varient un peu selon la version de Windows) :

PARAMÈTRES UTILISATEUR
----------------------
    CN=Julie Lefèvre,OU=Comptabilite,OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example
    Dernière application de la stratégie de groupe : 02/11/2026 à 08:42:17
    Stratégie de groupe appliquée depuis : srv-ad.ad.sorbier.example

    Objets Stratégie de groupe appliqués
    -------------------------------------
        U_Lecteurs_Reseau
        U_Ecran_Veille
        Default Domain Policy

    Les GPO suivants n'ont pas été appliqués parce qu'ils ont été filtrés
    -------------------------------------------------------------------
        U_Commerciaux_Imprimante
            Filtrage :  Refusé (Sécurité)

        U_Test_Ancien
            Filtrage :  Désactivé (Lien)

    L'utilisateur est membre des groupes de sécurité suivants
    ---------------------------------------------------------
        Utilisateurs du domaine
        GG_Comptables
        DL_Compta_M
        ...

Les raisons de filtrage à connaître : Refusé (Sécurité) (le compte n'a pas Appliquer la stratégie de groupe), Désactivé (Lien) (la liaison est désactivée), Désactivé (GPO) (la partie de la GPO est désactivée), Refusé (Filtre WMI) (la requête a renvoyé faux), Vide (la GPO ne contient aucun réglage pour cette partie).

Côté serveur, la console de gestion propose deux assistants : Résultats de stratégie de groupe, qui interroge un vrai poste pour un vrai utilisateur, et Modélisation de stratégie de groupe, qui simule ce qui se passerait si un compte était déplacé dans une autre OU, avant de le faire.

Dépanner une GPO qui ne s'applique pas

Procède dans l'ordre, du plus probable au moins probable :

1. Le bon objet au bon endroit ? Un réglage utilisateur dans une GPO liée à une OU d'ordinateurs ne fait rien. L'objet est-il bien dans l'OU (et pas dans le conteneur Computers) ?
2. La liaison est-elle activée, et la partie de la GPO aussi (onglet Détails, état de la GPO) ?
3. Le filtrage de sécurité inclut-il le compte, et les ordinateurs ont-ils encore le droit de lire la GPO ?
4. Un filtre WMI est-il associé, et renvoie-t-il vrai sur cette machine ?
5. Un blocage d'héritage ou une GPO plus prioritaire contredit-il le réglage ? L'onglet Héritage de stratégie de groupe et le rapport gpresult /h le montrent.
6. Le réglage s'applique-t-il seulement au démarrage ou à l'ouverture de session ? Redémarre, deux fois si besoin.
7. Le poste joint-il le contrôleur : DNS correct, heure synchronisée, SYSVOL accessible (dir \\ad.sorbier.example\SYSVOL) ?
8. La réplication entre contrôleurs est-elle saine (repadmin /replsummary, chapitre 10) ?

Le journal Applications et services > Microsoft > Windows > GroupPolicy > Opérationnel du poste détaille chaque traitement, avec les GPO trouvées et les erreurs.

Sauvegarder et documenter les GPO

Une GPO supprimée par erreur ne se retrouve pas dans une corbeille. Sauvegarde-les régulièrement et avant toute modification importante :

# Sauvegarder toutes les GPO du domaine
Backup-GPO -All -Path "D:\Sauvegardes\GPO" -Comment "Avant migration 2025"

# Restaurer une GPO à partir de sa dernière sauvegarde
Restore-GPO -Name "U_Lecteurs_Reseau" -Path "D:\Sauvegardes\GPO"

# Rapport HTML de toutes les GPO, pour la documentation
Get-GPOReport -All -ReportType Html -Path "D:\Docs\GPO-Sorbier.html"

La sauvegarde ne contient pas les liaisons : note-les dans la documentation, ou garde le rapport HTML qui les liste.

Exercices

U_Imprimante_Accueil      Filtrage : Refusé (Filtre WMI)
U_Raccourcis_CRM          Filtrage : Vide
U_Fond_Commercial         Filtrage : Désactivé (GPO)