Gérer les objets de stratégie de groupe AD

« GPO Management » dans la gestion de domaine AD permet de consulter et gérer les objets de stratégie de groupe du domaine cible : informations générales, paramètres, liens, filtrage de sécurité, filtres WMI et délégation. Un GPO AD est distinct d’une stratégie de terminal Ping64. Une écriture réussie dans l’annuaire ne signifie pas que tous les utilisateurs ou ordinateurs ciblés l’ont appliqué ; vérifiez le résultat réel dans l’environnement cible.

Préparer l’environnement et l’approbation

Pour la configuration complète, consultez les règles d’approbation des opérations de domaine AD.

1. Terminez la configuration de la connexion et du périmètre de synchronisation AD. Vérifiez le domaine cible et les droits de lecture, d’écriture et d’action du compte d’annuaire et de l’administrateur. Sélectionnez le domaine dans « GPO Management » et attendez que l’environnement d’écriture soit prêt. Sinon, consultez le message et demandez à l’administrateur d’annuaire de vérifier l’environnement et les droits.
2. Identifiez les domaines, unités d’organisation, utilisateurs et ordinateurs concernés. Examinez les liens, filtres et délégations existants, évaluez l’impact métier et préparez une restauration. Testez d’abord dans un domaine de test ou sur des cibles contrôlées ; ne réalisez pas d’essais non autorisés sur des objets de production.
3. Si une approbation est requise, vérifiez un modèle d’opération AD applicable et ses approbateurs sous « Objects & Templates > Approval Templates », puis les règles actives sous gestion AD > « Audit Events > Platform Operations > Operation Audit > Approval rule ». Réutilisez les paramètres adaptés ; seule une personne autorisée crée ou modifie les modèles et règles si nécessaire.
4. Si une règle doit être créée ou modifiée, sélectionnez les actions GPO à approuver, notamment création, modification, copie, liens, filtres, délégation, paramètres et suppression, ainsi que le modèle. Définissez si nécessaire domaine, nombre de cibles, rôle du demandeur et priorité, puis activez et enregistrez. Testez la couverture avec des objets contrôlés. Une action sans règle active correspondante passe à l’exécution directe et n’attend pas automatiquement une approbation. Voir Traiter les approbations d’opérations de domaine AD.

Rôles du demandeur et couverture : si plusieurs rôles sont sélectionnés, le demandeur satisfait la condition en possédant au moins l’un des rôles actifs, et non nécessairement tous. L’opération choisie et les autres conditions doivent aussi correspondre. Si un rôle sélectionné est désactivé ou supprimé, retirez-le ou remplacez-le avant d’enregistrer la règle modifiée. Vérifiez la couverture après changement avec des opérations contrôlées afin d’éviter une exécution directe inattendue en l’absence de correspondance.

Rechercher et créer un GPO

1. Ouvrez « GPO Management », choisissez le domaine cible et recherchez par mot-clé, configuration utilisateur ou ordinateur, ou état des liens. Ouvrez les détails et vérifiez nom, état de configuration et périmètre existant.
2. Pour créer, sélectionnez « Create GPO », saisissez un nom et éventuellement une description, puis vérifiez l’activation des configurations utilisateur et ordinateur. Confirmez domaine et informations puis soumettez.
3. Si une approbation est requise, suivez-la puis suivez l’exécution dans l’annuaire ; sinon suivez directement l’exécution. Après achèvement, actualisez la liste et relisez les détails. La soumission ou l’approbation ne prouve pas la fin de la création.
4. Configurez les paramètres et liens nécessaires, puis vérifiez les filtres et l’application réelle aux cibles. La création seule n’applique pas la stratégie.

Configurer les paramètres et le périmètre

1. Sélectionnez « Edit Policy Content » du GPO cible. Dans l’arborescence, choisissez la configuration utilisateur ou ordinateur, recherchez le paramètre et vérifiez description, état actuel et possibilité de modification. Certains paramètres peuvent être en lecture seule ou indisponibles selon l’environnement ou les droits ; ne supposez pas qu’ils sont tous modifiables.
2. Effectuez les modifications puis sélectionnez « Apply » ou « Confirm ». Confirmez selon les indications et suivez l’approbation ou l’exécution. Si des modèles d’administration sont nécessaires, suivez les instructions de synchronisation ADMX ; ensuite, sélectionnez à nouveau le paramètre et vérifiez son état. Ne soumettez pas à nouveau tant que le résultat attend confirmation. Traitez les modifications non enregistrées avant de sélectionner « Sync ADMX », de changer de paramètre ou de quitter la page. Si vous choisissez de les abandonner dans la confirmation, elles seront perdues.
3. Dans « Manage » du GPO, ouvrez « GPO links » et sélectionnez « Add link ». Choisissez l’emplacement cible, vérifiez les liens existants et ajustez au besoin activation, application forcée et ordre. Soumettez et suivez le résultat. En cas de changement concurrent, rechargez les liens et examinez les modifications des autres administrateurs. Avant la modification, notez tous les liens GPO de l’emplacement cible ainsi que leur ordre et leurs états d’activation et d’application forcée. En cas d’échec en cours d’opération ou de résultat incertain, les autres liens du même emplacement peuvent aussi être affectés ; ne les supposez pas inchangés. Relisez la liste complète, appliquez le plan de restauration approuvé et vérifiez des cibles contrôlées.
4. Dans « Security filtering », vérifiez les objets autorisés à appliquer le GPO. La page avertit que l’enregistrement d’un filtre de sécurité vide empêche l’application du GPO ; vérifiez sélection et impact avant de soumettre. Si nécessaire, vérifiez ou modifiez le filtre WMI et la délégation, en contrôlant séparément le périmètre de la stratégie et les droits d’administration.
5. Relisez la configuration et vérifiez l’application réelle sur des utilisateurs ou ordinateurs contrôlés selon la procédure interne. Liens, filtres, états des configurations et environnement cible peuvent affecter le résultat. Retirer un lien n’est pas supprimer le GPO.

Gérer le filtrage de sécurité et la délégation

1. Dans la vue Manage du GPO, ouvrez Security filtering et choisissez Manage. Saisissez un nom d’utilisateur, d’ordinateur ou de groupe de sécurité, lancez la recherche avec Entrée et ajoutez les résultats nécessaires. Retirez les entrées modifiables si besoin ; les entrées en lecture seule ne peuvent pas être modifiées ici. Vérifiez la liste complète, choisissez Save et suivez l’approbation ou l’exécution.
2. Passez à Delegation et choisissez Manage. Recherchez et ajoutez des utilisateurs ou groupes. Pour les entrées modifiables, choisissez Read, Edit settings ou Edit, delete, and modify security selon le moindre privilège. Retirez les entrées modifiables si nécessaire ; celles en lecture seule ne sont pas modifiables ici. Enregistrez et suivez l’approbation ou l’exécution.
3. Notez les listes et droits initiaux avant d’enregistrer. En cas d’échec ou de résultat incertain, relisez le filtrage et la délégation et vérifiez leur état réel avant de réessayer. Vérifiez aussi l’application de la stratégie et les droits d’administration ; une soumission ne prouve pas l’effet.

Modifier, copier et supprimer

• Informations générales : sélectionnez leur modification, vérifiez nom, description et états des configurations utilisateur et ordinateur, enregistrez et suivez le résultat. Relisez pour confirmer le contenu réel.
• Copier : sélectionnez « Copy », renseignez le nouvel objet et soumettez. La page précise que les paramètres sont copiés, mais pas les liens, délégations personnalisées, filtrage de sécurité ni affectation WMI. Vérifiez et configurez séparément ces éléments si nécessaire ; ne supposez pas un périmètre identique. Si la copie échoue ou si son résultat est incertain, actualisez la liste et vérifiez si le nouveau GPO existe déjà et si ses paramètres sont complets. Ne décidez d’une nouvelle tentative qu’après cette vérification afin d’éviter les doublons ou les objets partiellement configurés.
• Supprimer : vérifiez d’abord liens, filtres, délégation et dépendances métier, puis préparez une restauration. Sélectionnez la suppression, saisissez le nom du GPO demandé et suivez l’approbation ou l’exécution. La suppression des objets intégrés est limitée. Le système analyse les liens dans toute la forêt et refuse la suppression si un périmètre ne peut pas être vérifié ; traitez la cause indiquée sans contourner la protection.

Lors de la suppression, le système tente d’abord de retirer les liens identifiés, puis supprime le GPO. En cas d’échec en cours d’opération ou de résultat incertain, certains liens peuvent déjà être retirés alors que l’objet existe encore. Ne soumettez pas de nouveau la demande sans vérification. Relisez l’objet et tous les liens concernés, appliquez le plan de restauration approuvé et vérifiez l’environnement cible.

Dépannage

• Écriture indisponible : vérifiez domaine sélectionné, droits et message de disponibilité ; contactez l’administrateur d’annuaire si nécessaire.
• Paramètre non modifiable ou modèles indisponibles : vérifiez l’indication de modification, les droits et l’état de synchronisation ADMX. La prise en charge dépend de l’environnement.
• Approuvé mais non appliqué : vérifiez d’abord l’exécution dans l’annuaire, puis configuration, liens, filtres et application réelle aux cibles contrôlées. L’approbation ne prouve ni exécution ni application au terminal.
• Lien ou objet modifié : rechargez les données, examinez les changements des autres administrateurs et leur impact, puis décidez de soumettre ou non. Ne répétez pas l’action si le résultat est inconnu.
• Suppression échouée : vérifiez confirmation du nom, protection, analyse des liens et message. Ne retirez pas protection ou liens sans évaluer l’impact.