Introduction

Lorsque l’on déploie des stratégies de groupe au sein d’un domaine, il peut arriver que les choses ne se passent pas comme prévu… Surtout lorsque l’on commence à avoir beaucoup de GPO et que l’on utilise des paramètres spécifiques comme les filtres WMI...

Voici quelques points à vérifier si votre GPO ne s'applique pas.

Point 1 : vérifiez l'étendue, le "scope" de votre GPO

Si un paramètre ne s'applique pas, vérifier l'unité d'organisation sur laquelle s'applique la GPO. S'il s'agit d'un paramètre Ordinateur, la GPO doit s'appliquer sur l'OU qui contient l'objet ordinateur ciblé. Sur le même principe s'il s'agit d'un paramètre Utilisateur, la GPO doit s'appliquer sur l'OU qui contient cet utilisateur.

En fait, il faut surtout que l'objet cible soit dans l’étendue de la GPO (l’étendue est aussi appelée scope), c'est-à-dire qu'il soit dans la sous-arborescence sur laquelle s'applique la GPO.

Point 2 : le filtre de sécurité

Par défaut, le groupe "Utilisateurs authentifiés" dispose des autorisations nécessaires sur un objet GPO nouvellement créé. Pour rappel, ce groupe inclut tous les utilisateurs... et tous les ordinateurs du domaine !

Par défaut, le groupe "Utilisateurs authentifiés" dispose des autorisations nécessaires sur un objet GPO nouvellement créé. Pour rappel, ce groupe inclut tous les utilisateurs... et tous les ordinateurs du domaine !

Normalement, on ne modifie pas manuellement ces autorisations, sauf cas particulier. Par exemple, si l’on souhaite empêcher qu’une GPO s’applique sur un utilisateur, un ordinateur, ou un groupe, on passera par la modification manuelle des droits pour passer « Appliquer la stratégie de groupe » sur l’état « Refuser ». Ainsi, la GPO ne s’appliquera pas, d’ailleurs vous pourriez contrôler au sein de votre infrastructure que n’ayez pas ce genre de problème qui pourrait se manifester par des messages du type « Accès refusé ».

Point 3 : filtre WMI

Il est possible d'appliquer un filtre dynamique sous forme de requête WMI sur une GPO. Par exemple, appliquer la GPO uniquement si l'OS de l'hôte cible est Windows 8.

De ce fait, si vous avez défini un filtre WMI, vérifiez qu'il est correct et qu'il ne pénalise pas votre cible. Autrement dit, vérifiez qu'il n'exclut pas votre cible plutôt que de la prendre en compte.

Point 4 : vérifier l'état de la GPO

En sélectionnant une GPO et en cliquant sur l’objet « Détails », il est possible de donner différents états à la GPO (notamment des états de désactivation). Vérifiez que l’état est bien sûr « Activé » pour activer l’ensemble des paramètres (ordinateurs et utilisateurs) définis dans cette GPO.

Point 5 : l'héritage

Il existe des notions d’héritages pour les stratégies de groupe. Par exemple, si l’on souhaite que la GPO « Default Domain Policy » ne s’applique pas sur une OU en particulier, il suffira de faire clic droit sur l’OU concernée puis « Bloquer l’héritage ».

Les héritages bloqués sont facilement visibles grâce à un icône bleu contenant un point d’exclamation.

À savoir également, le fait que si on désactive l’héritage sur l’OU « Service informatique » comme ci-dessus, mais que la GPO « Default Domain Policy » est « Appliqué » (Enforced), elle sera appliquée malgré tout. Autrement dit, elle outrepasse le blocage et s’applique quand même.

Point 6 : est-ce-que le lien est actif ?

Dans la console de gestion des stratégies de groupe, les différentes GPO sont stockées dans un container nommé « Objets de stratégie de groupe ». Ensuite, chaque GPO est liée sur une ou plusieurs OUs, ce qui crée des liens.Un lien représente un raccourci entre la GPO dans le container et l'OU sur laquelle s'applique cette GPO.Ces liens peuvent être activé ou désactivé, cela signifie que l'on peut temporairement désactiver un lien pour désactiver l'application de la GPO sur une OU. Ceci est pratique puisque ça évite de devoir supprimer le raccourci et le recréer ultérieurement.Vous devez vérifier que les liens sont corrects, notamment actif pour la GPO qui doit s'appliquer.En faisant un clic droit sur un raccourci, il sera possible de savoir si le lien est activé ou non.

Point 7 : Les GPOs « Enforced » - « Appliqué »

Lorsque vous faites un clic droit sur une GPO, vous avez une option "Appliqué". Dans la version française, le mot "Appliqué" est une mauvaise traduction de cette option. Le mot anglais étant "Enforced", la traduction devrait être "Forcé", car cette option sert en fait à forcer l'application de la GPO.

Cette possibilité remet en cause le schéma d’application LSDOU et offre de nouvelles perspectives pour appliquer les GPOs. En effet, si on active ce paramètre pour une GPO on force son application et on la rend prioritaire par rapport à une autre.

De plus, si deux GPOs sont forcées ce sera celle de plus haut niveau qui sera prioritaire ! Par exemple, si je force la GPO « Default Domain Policy » et la GPO « Mapper lecteur Z », ce sera la première qui gagnera sur la deuxième, car elle est placée « plus haut » dans l'aborescence.

Point 8 : KB3163622 - utilisateurs authentifiés et délégation

Dans les dernières version de windows server 2019, lorsque vous supprimez le groupe "Utilisateurs authentifiés" du filtrage de sécurité, ce groupe s'enlève aussi dans l'onglet "Délégation". Hors, il faut que ce groupe possède l'autorisation de lecture de la GPO (dans Délégation) pour que la GPO s'applique.

Source : https://docs.microsoft.com/fr-fr/archive/blogs/askds/deploying-group-policy-security-update-ms16-072-kb3163622

La GPO ne s’applique pas ? Voici les pistes à étudier.