TP S : Windows Server 2008 Stratégies de groupe (GPO)

Transcription

1 TP S : Windows Server 2008 Stratégies de groupe (GPO) ENZO RIDEAU BTS SIO

2 S1 Administration des systèmes et serveur TP S : Windows Server Stratégies de groupe (GPO) But de la manipulation : Savoir sécuriser un serveur en utilisant les stratégies de groupe (GPO) Matériel nécessaire pour ce TP : Une machine équipée du logiciel Vmware (Server ou Workstation) Une machine virtuelle Windows Server 2008 (Configurée au TP 03) Une machine virtuelle Windows 7 (Configurée au TP 01) Les deux machines virtuelles sont supposées fonctionner en réseau, les adresses IP sont fixes et dans le même ré seau (sur un Vmnet indépendant du réseau réel). 1

3 1. Configuration du domaine : Gestion d la stratégie de sécurité du domaine Sur notre serveur, nous allons ouvrir la console «Gestion des stratégies de groupe» et ouvrir en modification la stratégie «Default Domain Policy» Nous allons donc configurer les paramètres de sécurité. Pour cela, il suffit de se rendre dans «Configuration Ordinateur / Stratégies / Paramètres Windows / Paramètres de sécurité) afin de répondre aux contraintes suivantes : Les mots de passe doivent être obligatoires et la longueur minimum est fixée à 5 caractères. Chaque utilisateur doit modifier son mot de passe chaque mois (30jours) et doit pouvoir le remodifier immédiatement. Il doit donner un mot de passe différent des 10 derniers. La composition du mot de passe est libre (pas d exigence de complexité) Les utilisateurs sont automatiquement verrouillés au bout de 3 tentatives infructueuses. Le déverrouillage est manuel. A l ouverture de session, il ne doit pas y avoir besoin de faire <ctrl><alt><suppr> 2

4 Les mots de passe doivent être obligatoires et la longueur minimum est fixée à 5 caractères. Chaque utilisateur doit modifier son mot de passe chaque mois (30jours) et doit pouvoir le remodifier immédiatement 3

5 Il doit donner un mot de passe différent des 10 derniers. La composition du mot de passe est libre (pas d exigence de complexité) 4

6 Les utilisateurs sont automatiquement verrouillés au bout de 3 tentatives infructueuses. Le déverrouillage est manuel. 5

7 A l ouverture de session, il ne doit pas y avoir besoin de faire <ctrl><alt><suppr> 6

8 Afin d appliquer les nouvelles stratégies misent en place, nous allons lancer la commande GPUPDATE, qui force l actualisation des stratégies. Après cette opération, fermer puis rouvrir les différentes sessions et faire les tests nécessaires pour vérifier que les stratégies sont bien appliquées. 7

9 Dans notre cas, sur le client, nous allons ouvrir une session avec l utilisateur «Isabelle». Il va falloir modifier son mot de passe pour vérifier que la stratégie est bonne. Avant toute chose, on vérifie si la taille minimale du mot de passe est bien appliquée (5caractères), pour cela on rentre un mot de passe : 123. Résultat : La stratégie de la taille du mot de passe à donc bien été pris en compte. 8

10 Nous allons désormais effectuer un test avec le mot de passe : isabelle123 Ce mot de passe compte plus de 5 caractères et ne respecte pas en revanche les spécifications de complexité (Alpha Numérique, numérique, caractères spéciaux). Notre changement de mot a bien fonctionné! 9

11 Vérification du verrouillage du compte, au bout de 3 tentatives infructueuses : Nous avons pris comme compte test, le compte «isabelle», nous avons rentré par 3 fois de suite un mauvais mot de passe afin d obtenir ce message. Puis, après vérification dans l AD, on constate que le compte est bien verrouillé. Et on peut seulement déverrouiller manuellement. 10

12 2. Utilisation des GPO, Redirection des dossiers utilisateurs Sur notre serveur, nous allons créer un dossier partagé «data» accessible en lecture/écriture à tous les utilisateurs. Après la création et la configuration de votre dossier, il faut se rendre dans la console «Gestion des stratégies de groupe» Puis nous allons devoir créer une GPO pour rediriger les dossiers de tous les utilisateurs du domaine vers un dossier partagé : Dans «Utilisateur/Stratégies/Paramètres Windows/Redirection des dossiers», configurer la redirection des documents, images et vidéos vers le dossier partagé «data». Choisir le même emplacement pour tous les utilisateurs et la création d un dossier personnel dans cet emplacement. 11

13 Application : Nous nous trouvons donc désormais dans le bon endroit pour configurer nos GPO. Ces modifications devront être effectuées sur les dossiers «Documents», «Images» et «Vidéos». 12

14 Il faudra appliquer exactement les modifications pour les deux autres dossiers concernés par la GPO. 13

15 Après avoir terminé la configuration de cette GPO, il faudra forcer l actualisation de la stratégie. Pour cela, lancer une commande «gpupdate/force». 14

16 Nous allons désormais vérifier, en ouvrant une session avec un utilisateur, (par exemple «isabelle»). Les dossiers «Documents», «Images» et «Vidéos» ont bien été redirigé. 15

17 3. Utilisation des GPO, Configuration des modèles d administration Sur notre serveur, ouvrir la console «Gestion des stratégies de groupe». Puis créer une ou plusieurs GPO afin de répondre aux objectifs suivant : Les utilisateurs du groupe commercial ne doivent pas pouvoir accéder au panneau de configuration. Les utilisateurs du groupe comptable ne doivent pas pouvoir lancer un programme par le menu «Exécuter» Pour le groupe «Commercial» : 16

18 Dans «Configuration Utilisateurs/Stratégies/Modèles d administration/panneau de configuration» désactiver dans «Affichage» le panneau de configuration. Ne pas oublier de rajouter le groupe «Commerciaux» dans le filtrage de sécurité car c est seulement ce groupe qui est touché 17

19 . Pour le groupe «Comptable» : 18

20 Après avoir terminé la création de ces GPO, nous allons encore une fois forcer l actualisation des stratégies en utilisant la commande «gpupdate». 19

21 Phase de test : Sur notre client, ouvrir une session avec l utilisateur «Isabelle», puis vérifier que la stratégie de groupe est appliquée Isabelle n a pas accès au panneau de configuration car elle fait partie du groupe «Commercial» et que c est sur ce dernier que la GPO est appliqué. A contrario, Isabelle a accès au menu «Exécuter» car elle ne fait pas partie du groupe Comptable et que c est sur ce groupe que la GPO est appliqué. 20

22 Cette fois-ci, nous allons effectuer un test sur un utilisateur du groupe «Comptable», donc dans notre cas, nous prendrons l utilisateur «Jeanine» : Jeanine a accès au panneau de configuration car elle ne fait pas partie du groupe «Commercial». A contrario, Jeanine n a pas accès au menu «Exécuter» car elle fait partie du groupe Comptable et que c est sur ce groupe que la GPO est appliqué. 21

23 22

24 23