GPO Windows Server : 10 stratégies de groupe indispensables

Les stratégies de groupe (GPO) restent l’outil le plus efficace pour configurer des centaines de postes et de serveurs depuis un seul endroit. Encore faut-il savoir lesquelles mettre en place en priorité. Voici les 10 GPO que l’on retrouve dans presque tous les domaines Active Directory bien tenus, sur Windows Server 2019 comme sur 2022.

Rappel : l’ordre d’application (LSDOU)

Les GPO s’appliquent dans cet ordre : Local, Site, Domaine, puis Unités d’organisation (de la plus haute à la plus proche de l’objet). En cas de conflit, la dernière appliquée l’emporte, sauf si une GPO est marquée « Appliqué » (Enforced).

Les 10 GPO à mettre en place

1. Stratégie de mot de passe du domaine : longueur minimale, historique et durée de vie. Elle se définit au niveau du domaine (Default Domain Policy).
2. Verrouillage de compte : seuil de tentatives et durée de verrouillage, pour freiner les attaques par force brute.
3. Verrouillage de session : écran de veille protégé par mot de passe après quelques minutes d’inactivité.
4. Lecteurs réseau : mappage par les préférences de stratégie de groupe, avec ciblage par groupe de sécurité plutôt que par script.
5. Imprimantes : déploiement par préférences ou par la console Gestion de l’impression.
6. Windows Update / WSUS : serveur de mise à jour, plages d’installation et redémarrages.
7. Pare-feu Windows : profils activés et règles entrantes communes, gérés de façon centralisée.
8. Restrictions du Panneau de configuration et des paramètres pour les postes partagés ou en libre-service.
9. Redirection de dossiers : Documents et Bureau vers un partage serveur, pour la sauvegarde et la mobilité.
10. Stratégie d’audit avancée : ouvertures de session, modifications de comptes et accès aux objets sensibles.

Bonnes pratiques

• Une GPO = un objectif, avec un nom explicite (par exemple U-Lecteurs-Compta ou C-WSUS-Serveurs).
• Ne modifiez pas les deux GPO par défaut au-delà des mots de passe et du verrouillage : créez les vôtres.
• Désactivez la partie inutilisée (Ordinateur ou Utilisateur) de chaque GPO pour accélérer le traitement.
• Testez sur une unité d’organisation pilote avant de lier au domaine.
• Sauvegardez vos GPO depuis la console GPMC avant toute modification importante.

Dépanner une GPO qui ne s’applique pas

gpupdate /force
gpresult /r
gpresult /h C:\Temp\rapport.html

gpresult indique quelles GPO ont été appliquées ou refusées, et pourquoi. Les causes les plus fréquentes : l’objet n’est pas dans la bonne unité d’organisation, le filtrage de sécurité exclut l’utilisateur ou l’ordinateur, un filtre WMI ne correspond pas, ou la réplication entre contrôleurs de domaine n’est pas terminée.

---

Aller plus loin avec la formation vidéo

La formation montre en vidéo la création, la liaison, le filtrage et le dépannage des GPO, avec des cas concrets à reproduire dans votre propre domaine.

Découvrir la formation « Maîtriser les GPO avec Windows Server 2019 et 2022 »