P06 - Active Directory avancé et GPO

P06 - Active Directory avancé : GPO, groupes AGDLP, partages

Prérequis

Avoir monté le labo de W05 - Windows en entreprise et Active Directory (contrôleur de domaine sio.lan + un poste Windows 11 joint).

---

1. Les stratégies de groupe (GPO)

Une GPO = un ensemble de paramètres appliqués automatiquement aux utilisateurs et/ou ordinateurs d’une OU (ou de tout le domaine).

flowchart TB
  L["Ordre d'application : L-S-D-OU<br/>Local → Site → Domaine → OU (la dernière gagne)"]
  D["Domaine sio.lan<br/>GPO « Politique mots de passe »"] --> OU1["OU Ordinateurs-SIO<br/>GPO « Écran de veille verrouillé 10 min »"]
  D --> OU2["OU Utilisateurs-SIO<br/>GPO « Lecteur réseau P: »"]

Exemple de GPO	Où dans l’éditeur
Mot de passe : 12 caractères min., complexité	Configuration ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Stratégies de comptes (dans la Default Domain Policy)
Verrouillage de session après 10 min	Config. utilisateur → Modèles d’administration → Panneau de configuration → Personnalisation
Fond d’écran de l’entreprise	Config. utilisateur → Modèles d’administration → Bureau → Bureau
Lecteur réseau mappé	Config. utilisateur → Préférences → Paramètres Windows → Mappages de lecteurs
Bloquer le panneau de configuration	Config. utilisateur → Modèles d’administration → Panneau de configuration
Déployer un logiciel .msi	Configuration ordinateur → Stratégies → Paramètres du logiciel

New-GPO -Name "Verrouillage-10min" | New-GPLink -Target "OU=Ordinateurs-SIO,DC=sio,DC=lan"
gpupdate /force                 # sur le poste : appliquer tout de suite
gpresult /r                     # quelles GPO s'appliquent ?
gpresult /h rapport.html        # rapport détaillé

Console graphique : gpmc.msc.

2. Groupes : le modèle AGDLP

Accounts → Global groups → Domain Local groups → Permissions.

flowchart LR
  U1["👤 jdupont"] & U2["👤 amartin"] --> GG["GG-Compta<br/>(groupe global = QUI)"]
  GG --> DL["DL-Partage-Compta-Modif<br/>(domaine local = QUEL DROIT)"]
  DL --> P["📁 \\SRV-FIC\Compta<br/>droit Modifier"]

Avantage : un nouvel employé de la compta = l’ajouter à GG-Compta, c’est tout.

3. Partages et droits NTFS

Deux couches de droits, la plus restrictive gagne :

Droits de partage (accès réseau)	Droits NTFS (sur le disque)
Lecture, Modifier, Contrôle total	Lecture, Écriture, Modification, Contrôle total, + héritage

Bonne pratique : partage « Contrôle total » pour Utilisateurs authentifiés, et tout gérer finement en NTFS.

New-Item -Path "D:\Partages\Compta" -ItemType Directory
New-SmbShare -Name "Compta" -Path "D:\Partages\Compta" -FullAccess "SIO\Utilisateurs du domaine"
icacls "D:\Partages\Compta" /grant "SIO\DL-Partage-Compta-Modif:(OI)(CI)M"

4. Autres notions à venir

• Délégation : donner à un technicien le droit de réinitialiser les mots de passe d’une OU seulement.
• Profils itinérants / redirection de dossiers.
• Deuxième contrôleur de domaine (réplication, tolérance de panne).
• Rôles FSMO, corbeille AD, LAPS (mots de passe administrateur local uniques).
• Lier Linux à l’AD (SSSD, realm join) et GLPI à l’AD (LDAP).

Voir aussi

• W05 - Windows en entreprise et Active Directory · L03 - Utilisateurs, groupes et droits
• Retour : P00 - Programme pas encore vu