GPO : Group policies Objects

Nous pouvons définir les Group Policies Objects comme un mécanisme central de configuration des machines et des utilisateurs.

Les différentes politiques s'appliquent aux objets d'Active Directory, et les instructions de configuration concernent : les programmes, les scripts, la sécurité, et le déploiement d'applications et de fichiers.

Par défaut, les GPO sont stockés dans %SYSTEM ROOT%\sysvol

Sous Windows NT4, Poledit permettait une politique de gestion appliquée au domaine.
Avec Windows 2000, les GPO s'appliquent de manière hiérarchique dans différentes entités.

Héritage et hiérarchie des Group Policies Objects

Héritage : les sous-entités héritent automatiquement des GPO de l'entité. Par exemple, une politique appliquée à un domaine s'applique par défaut à tous les O.U. de ce domaine.

Les GPO s'appliquent selon l'ordre de priorité suivant : LSDOU

1. Local (applicable seulement à la machine).
2. Site.
3. Domaine.
4. O.U. (Organizational Units).

Options

NO OVERRIDE : option qui permet de désactiver (passer outre) les mécanismes de priorité pour les sous-entités qui héritent du Group Policies Object.
Exemple : une politique appliquée à un domaine, et qui doit absolument être appliquée à l'ensemble des O.U. de ce domaine. Normalement, les GPO d'un Organizational Unit ont un droit de préemption sur les GPO du domaine, mais comme l'option NO OVERRIDE est cochée, c'est le GPO du domaine qui est appliqué.

BLOCK INHERITANCE : cette option, lorsqu'elle est cochée dans une sous-entité, permet de ne pas hériter des GPO de l'entité supérieure. Les paramètres par défaut sont alors appliqués.

Remarques

Les Group Policies Objects relatifs à la gestion des mots de passe sont définis au niveau du domaine. Ces politiques de gestion ne peuvent pas être modifiées au niveau des sous-entités (par exemple au niveau des O.U.).

Nous pouvons gérer les politiques de gestion des mots de passe au niveau local, mais cette gestion ne s'applique qu'au niveau local et pas lorsque la machine est dans le domaine.

Administratives templates

Un Group Policies Object est subdivisé en 2 sections : la machine, et l'utilisateur. Chaque section est divisée en trois sous-sections :

• Software Settings
• Windows Settings
• Administrative templates

Le terme "Administrative Template" est utilisé pour désigner une série de paramètres qui modifient le registre.

Ces paramètres (contenus dans le fichier hive, ntuser.dat, ... ) influencent les ruches HKCU et HKLM.

Un exemple d'utilisation de ces paramètres est ce que nous appelons le "Desktop configuration". Il s'agit des réglages du fond d'écran, de l'économiseur d'écran, des icônes du bureau, des composants du menu démarrer, etc.

Application des Group Policies Objects

Si le GPO porte sur un utilisateur, son application se fait dès le logon, si il porte sur la machine, son application se fait dès le boot.

Si nous désirons forcer l'application immédiate des GPO, nous pouvons utiliser les commandes suivantes :

Structure du document