Guide pas à pas pour l'utilisation de la Console de gestion des stratégies de groupe

Transcription

1 Page 1 sur 16 Guide pas à pas pour l'utilisation de la Console de gestion des stratégies de groupe Paru le 17/09/2004 Ce guide pas à pas explique comment utiliser la Console de gestion des stratégies de groupe (GPMC, Group Policy Management Console) afin de prendre en charge les objets Stratégie de groupe (GPO, Group Policy Object) dans un environnement Active Directory. Il ne décrit pas l'implémentation des objets GPO. Sur cette page Introduction Présentation Installation et configuration de la console GPMC Gestion des objets Stratégie de groupe Sauvegarde, restauration, copie et importation d'objets GPO Modélisation d'un objet GPO Autres ressources Introduction Guides pas à pas Les guides pas à pas pour le déploiement de Windows Server 2003 fournissent une expérience pratique pour de nombreuses configurations de système d'exploitation courantes. Les guides commencent par établir une infrastructure réseau commune via l'installation de Windows Server 2003, la configuration d'active Directory, l'installation d'une station de travail Windows XP Professionnel et l'ajout de cette station de travail à un domaine. Les guides pas à pas ultérieurs partent du principe que vous avez déjà mis en place cette infrastructure réseau commune. Si vous ne souhaitez pas suivre cette infrastructure réseau commune, vous devez apporter les modifications appropriées lors de l'utilisation de ces guides. La mise en place de l'infrastructure réseau commune nécessite que vous ayez lu et appliqué les guides suivants : 1ère partie : Installation de Windows Server 2003 en tant que contrôleur de domaine 2ème partie : Installation d'une station de travail Windows XP Professionnel et connexion à un domaine Une fois que vous avez configuré l'infrastructure réseau commune, vous pouvez vous reporter à n'importe quel guide pas à pas supplémentaire. Notez que, dans certains guides pas à pas, d'autres conditions préalables peuvent venir s'ajouter à celles déjà mentionnées pour la mise en place de l'infrastructure réseau commune. Toute condition préalable supplémentaire sera indiquée dans le guide pas à pas correspondant. Microsoft Virtual PC Les guides pas à pas pour le déploiement de Windows Server 2003 peuvent être implémentés dans un environnement de laboratoire ou à l'aide de technologies de virtualisation telles que Microsoft Virtual PC 2004 ou Microsoft Virtual Server La technologie de la machine virtuelle permet aux clients d'exécuter simultanément plusieurs systèmes d'exploitation sur un seul serveur physique. Virtual PC 2004 et Virtual Server 2005 sont conçus pour offrir un meilleur rendement d'exécution en termes de test et développement de logiciels, migration d'applications héritées et scénarios de consolidation de serveur. Bien que les guides pas à pas de déploiement de Windows Server 2003 supposent que toutes les configurations ont lieu dans un environnement de laboratoire, la plupart des configurations peuvent s'appliquer dans un environnement virtuel sans modification. L'application des concepts présentés dans ces guides pas à pas dans un environnement virtuel dépasse le cadre de ce document. Remarques importantes

2 Page 2 sur 16 Les exemples de sociétés, organisations, produits, noms de domaines, adresses de messagerie, logos, personnes, lieux et événements décrits ici relèvent de la fiction, et aucun lien avec une société, organisation, produit, nom de domaine, adresse de messagerie, logo, personne, lieu ou événement réel n'en peut être déduit. Cette infrastructure commune répond à des objectifs d'utilisation sur un réseau privé. Le nom de société fictif et le nom DNS (Domain Name System) utilisés dans l'infrastructure commune ne sont pas enregistrés et ne peuvent donc pas être utilisés sur Internet. Vous ne devez pas utiliser ce nom sur un réseau public ou sur Internet. La structure du service Active Directory pour cette infrastructure commune est conçue pour illustrer la gestion des modifications et de la configuration de Windows Server 2003 et son interaction avec Active Directory. Elle n'a pas été conçue comme modèle de configuration d'active Directory pour une organisation. Haut de page Présentation La Console de gestion des stratégies de groupe (GPMC) Microsoft est un nouvel outil de gestion des stratégies de groupe permettant aux administrateurs de gérer une entreprise de façon plus rentable grâce à l'amélioration de la souplesse de gestion et à l'augmentation de la productivité. Elle comprend un nouveau composant logiciel enfichable Microsoft Management Console (MMC) et un ensemble d'interfaces contrôlées par scripting. La console GPMC simplifie la gestion des stratégies de groupe en permettant la centralisation de la gestion des principaux aspects d'une stratégie de groupe. Elle répond aux exigences majeures des clients en termes de déploiement des stratégies de groupe en fournissant les avantages suivants : Interface utilisateur simplifiant l'utilisation des stratégies de groupe. Sauvegarde/restauration des objets Stratégie de groupe (GPO). Importation/exportation et copier/coller des objets GPO et des filtres de l'infrastructure de gestion Windows (WMI, Windows Management Instrumentation). Gestion simplifiée de la sécurité liée aux stratégies de groupe. Rapports HTML (Hyper Text Markup Language) sur les paramètres des objets GPO et les données du Jeu de stratégie résultant (RSoP, Resultant Set of Policy). Scripts des tâches de cet outil liées aux stratégies (pas de scripts des paramètres d'un objet GPO). Auparavant, les administrateurs devaient utiliser plusieurs outils Microsoft pour gérer les stratégies de groupe, tels que les composants logiciels enfichables Utilisateurs et ordinateurs Active Directory, Sites et services Active Directory et RSoP. La console GPMC rassemble les fonctionnalités de stratégie de groupe contenues dans ces outils au sein d'une console unique et unifiée et en propose de nouvelles. La prise en charge de la gestion de plusieurs domaines et forêts, permettant aux administrateurs de gérer facilement les stratégies de groupe à travers une entreprise, est intégrée à la console GPMC. Les administrateurs peuvent ainsi entièrement contrôler la liste des forêts et domaines de la console GPMC, offrant la possibilité d'afficher uniquement les parties pertinentes d'un environnement. Remarque : Ce guide pas à pas explique uniquement l'utilisation de la console GPMC pour la gestion des objets GPO. Il n'aborde pas leur configuration. Pour plus d'informations sur la configuration des objets GPO, consultez le Guide pas à pas de l'ensemble des fonctionnalités de stratégie de groupe. Conditions préalables 1ère partie : Installation de Windows Server 2003 en tant que contrôleur de domaine Guide pas à pas pour la configuration de contrôleurs de domaine supplémentaires Guide pas à pas pour la gestion du service Active Directory Guide pas à pas pour l'utilisation de l'assistant Délégation de contrôle

3 Page 3 sur 16 Guide pas à pas de l'ensemble des fonctionnalités de stratégie de groupe Guide pas à pas pour l'application de stratégies de mots de passe renforcés Haut de page Installation et configuration de la console GPMC Installation de la console GPMC L'installation de la console GPMC est un processus simple qui implique l'exécution du package Windows Installer (.MSI). Pour en télécharger la toute dernière version, consultez la ressource relative à la gestion des stratégies de groupe du site Windows Server System. Pour installer la Console de gestion des stratégies de groupe 1. Sur le serveur HQ-CON-DC-01, accédez au dossier contenant le fichier gpmc.msi, double-cliquez sur le package gpmc.msi, puis cliquez sur Suivant. 2. Cliquez sur J'accepte pour accepter le Contrat de licence utilisateur final (CLUF), puis sur Suivant. 3. Cliquez sur Terminer pour achever l'installation de la console GPMC. Une fois l'installation terminée, l'onglet Stratégie de groupe qui s'affiche sur les pages Propriétés des sites, domaines et unités d'organisation (OU) des composants logiciels enfichables Active Directory est mis à jour afin de fournir un lien direct vers la console GPMC. La console GPMC permettant de gérer l'ensemble des stratégies de groupe, les fonctionnalités de l'onglet Stratégie de groupe d'origine ne sont plus disponibles. Pour ouvrir le composant logiciel enfichable GPMC 1. Sur le serveur HQ-CON-DC-01, cliquez sur le bouton Démarrer, puis sur Exécuter. Tapez GPMC.msc, puis cliquez sur OK. Remarque : Vous pouvez utiliser l'une ou l'autre des méthodes ci-dessous pour lancer la console GPMC. Dans le menu Démarrer ou le Panneau de configuration, cliquez sur le raccourci Gestion des stratégies de groupe du dossier Outils d'administration. Créez une console MMC personnalisée de la façon suivante : cliquez sur le bouton Démarrer, puis sur Exécuter. Tapez MMC, puis cliquez sur OK. Pointez sur Fichier, cliquez sur Ajouter/Supprimer un composant logiciel enfichable, puis sur Ajouter. Sélectionnez Gestion des stratégies de groupe, cliquez sur Ajouter, sur Fermer, puis sur OK. Configuration de la console GPMC pour plusieurs forêts Vous pouvez facilement ajouter plusieurs forêts à l'arborescence de la console GPMC. Par défaut, vous ne pouvez ajouter qu'une forêt à une console GPMC s'il existe une approbation bidirectionnelle avec la forêt de l'utilisateur exécutant la console GPMC. Vous pouvez également activer la console GPMC pour qu'elle fonctionne avec une approbation à sens unique, voire aucune approbation. Pour ajouter une forêt supplémentaire à la console GPMC, sélectionnez Gestion des stratégies de groupe à la racine de l'arborescence, puis Action dans le menu contextuel. Cliquez ensuite sur Ajouterune forêt. Dans la mesure où l'exemple d'environnement ne contient qu'une seule forêt, cette procédure n'entre pas dans le cadre de ce guide pas à pas. Remarque : Lorsque vous ajoutez des forêts pour lesquelles vous ne disposez d'aucune approbation, certaines fonctionnalités, telles que Modélisation de stratégie de groupe, ne sont pas disponibles. Vous ne pouvez pas non plus utiliser l'éditeur d'objets de stratégie de groupe pour ouvrir des objets GPO de la forêt non approuvée. Le scénario de forêt non approuvée est principalement destiné à permettre la copie d'objets GPO dans des forêts. Gestion simultanée de plusieurs domaines La console GPMC prend en charge la gestion simultanée de plusieurs domaines, chaque domaine étant classé par forêt dans la console. Par défaut, un seul domaine s'affiche dans la console GPMC. Au premier démarrage de la console GPMC à l'aide du composant logiciel enfichable préconfiguré (gpmc.msc) ou d'une

4 Page 4 sur 16 console MMC personnalisée, la console GPMC affiche le domaine contenant le compte d'utilisateur utilisé pour son démarrage. Ajoutez et supprimez des domaines de la console GPMC afin de déterminer ceux de chaque forêt que vous souhaitez gérer. Remarque : Vous pouvez ajouter des domaines approuvés en externe même si vous ne disposez pas d'une approbation pour l'ensemble de la forêt. Par défaut, vous devez posséder une approbation bidirectionnelle entre le domaine que vous souhaitez ajouter et celui de votre objet utilisateur. Vous pouvez également ajouter des domaines via une approbation à sens unique en désactivant la fonctionnalité de détection d'approbation de la console GPMC dans la boîte de dialogue Options du menu Affichage. Pour ajouter des domaines approuvés en externe, vous devez d'abord accéder à la boîte de dialogueajouter une forêt afin d'ajouter un domaine depuis une forêt contenant ces types de domaines. Une fois que cette forêt a été ajoutée, vous pouvez ajouter tous ses domaines approuvés en cliquant avec le bouton droit sur le nœud Domaines de la forêt, puis en cliquant sur Afficher les domaines. Pour ajouter le domaine enfant vancouver.contoso.com à la console 1. Dans la fenêtre Gestion des stratégies de groupe, cliquez sur le signe plus (+) en regard de Forêt:contoso.com pour développer l'arborescence, puis sur celui en regard de Domaines. 2. Cliquez avec le bouton droit sur Domaines, puis cliquez sur Afficherles domaines. 3. Activez la case à cocher en regard de vancouver.contoso.com, comme indiqué dans la figure 1, puis cliquez sur OK. Figure 1. Affichage des domaines Le même contrôleur de domaine est utilisé pour toutes les opérations d'un même domaine disponible sur la console GPMC. Cela comprend les opérations sur les objets GPO, les unités d'organisation, les principaux de sécurité et les filtres WMI qui résident dans ce domaine. En outre, lorsque l'éditeur d'objets de stratégie de groupe est ouvert depuis la console GPMC, il utilise toujours le même contrôleur de domaine ciblé dans la console pour le domaine dans lequel cet objet GPO est situé. La console GPMC vous permet de choisir le contrôleur de domaine à utiliser pour chaque domaine. Quatre possibilités s'offrent à vous : Utiliser l'émulateur du contrôleur principal de domaine (PDC, Primary Domain Controller) (option par défaut). Utiliser tout contrôleur de domaine disponible. Utiliser tout contrôleur de domaine disponible exécutant un système d'exploitation de la famille Windows

5 Page 5 sur 16 Server Cette option est utile si vous restaurez un objet GPO supprimé contenant des paramètres d'installation de logiciels Stratégie de groupe. Utiliser un contrôleur de domaine que vous spécifiez. Pour changer le contrôleur de domaine utilisé par la console GPMC pour le domaine vancouver.contoso.com 1. Dans la fenêtre Gestion des stratégies de groupe, sous le dossier Domaines, cliquez avec le bouton droit sur vancouver.contoso.com, puis cliquez sur Modifier le contrôleur de domaine. 2. Dans la boîte de dialogue Modifier le contrôleur de domaine, cliquez sur Ce contrôleur de domaine, puis sélectionnez hq-con-dc-03.vancouver.contoso.com, comme indiqué dans la figure Cliquez sur OK pour continuer. Figure 2. Changement de contrôleur de domaine Haut de page Gestion des objets Stratégie de groupe Affichage des objets GPO des domaines Dans chaque domaine, la console GPMC fournit un affichage d'active Directory basé sur les stratégies ainsi que les composants associés aux stratégies de groupe, tels que les objets GPO, les filtres WMI et les liens d'objets GPO. La console GPMC et le composant logiciel enfichable Utilisateurs et ordinateurs Active Directory affichent tous deux la hiérarchie des unités d'organisation. Toutefois, la console GPMC diffère de ce composant car au lieu d'afficher les utilisateurs, ordinateurs et groupes des unités d'organisation, elle affiche les objets GPO liés à chaque conteneur ainsi que les objets GPO eux-mêmes. Chaque nœud de domaine de la console GPMC affiche les éléments suivants. Tous les objets GPO liés au domaine.

6 Page 6 sur 16 Toutes les unités d'organisation de niveau supérieur ainsi qu'une arborescence des unités d'organisation imbriquées et des objets GPO liés à chacune de ces unités. Le conteneur d'objets Stratégie de groupe présentant tous les objets GPO du domaine. Le conteneur de filtres WMI présentant tous les filtres WMI du domaine. Pour afficher les objets GPO associés à un conteneur particulier 1. Dans l'arborescence Domaines, développez l'arborescence contoso.com. Les objets GPO associés au conteneur (racine du domaine) s'affichent comme indiqué dans la figure 3. Ce concept peut s'appliquer à n'importe quel contrôleur de domaine. Figure 3. Objets GPO à la racine du domaine Afficher l'image dans sa taille réelle Pour afficher tous les objets GPO associés à un domaine particulier 1. Dans l'arborescence Domaines, cliquez sur le signe plus (+) en regard de contoso.com, puis cliquez sur Objets de stratégie de groupe. Recherche d'objets GPO Il est possible de rechercher des objets GPO au niveau d'une forêt ou d'un domaine. Dans un ensemble conséquent d'objets GPO, un ou plusieurs paramètres de recherche peuvent vous aider à affiner votre recherche. Pour rechercher un objet GPO spécifique dans la forêt contoso.com à l'aide de plusieurs paramètres de recherche 1. Dans l'arborescence de la console, cliquez avec le bouton droit sur Forêt:contoso.com, puis cliquez sur Rechercher. 2. Dans la zone Rechercher un élément, sélectionnez Nom d'objet de stratégie de groupe. Tapez Mot de passe dans la zone Valeur, puis cliquez sur Ajouter. 3. Dans la zone Rechercher un élément, sélectionnez Configuration ordinateur. Sélectionnez Sécurité dans la zone Valeur, puis cliquez sur Ajouter. 4. Cliquez sur Rechercher. Les résultats doivent s'afficher comme indiqué dans la figure 4.

7 Page 7 sur 16 Figure 4. Recherches d'objets GPO basées sur des critères 5. Une fois que les résultats de la recherche s'affichent, vous pouvez effectuer l'une des opérations suivantes : Pour ouvrir l'objet GPO afin de le modifier, cliquez sur Modifier. Pour enregistrer les résultats de la recherche, cliquez sur Enregistrer les résultats. Dans la boîte de dialogue Enregistrer les résultats de la recherche d'objets GPO, entrez le nom du fichier dans lequel enregistrer les résultats, puis cliquez sur Enregistrer. Pour accéder à un objet GPO trouvé, double-cliquez sur l'objet GPO dans la liste des résultats de la recherche. Pour effacer les résultats de la recherche, cliquez sur Effacer. Pour fermer la boîte de dialogue Rechercher des objets de stratégie de groupe, cliquez sur Fermer. Étendue des objets GPO Les performances des stratégies de groupe ne peuvent être optimales que si les objets GPO ont été correctement appliqués aux conteneurs Active Directory que vous souhaitez gérer. «L'étendue d'un objet GPO» consiste à déterminer les utilisateurs et ordinateurs qui recevront les paramètres de cet objet GPO. Elle est basée sur trois facteurs : Sites, domaines ou unités d'organisation au niveau desquels l'objet GPO est lié La liaison de l'objet GPO à un site, un domaine ou une unité d'organisation d'active Directory constitue le mécanisme principal par lequel les paramètres d'un objet GPO sont appliqués aux utilisateurs et ordinateurs. L'emplacement de lien d'un objet GPO est appelé Étendue de la gestion, SOM (Scope of Management) ou encore SDOU dans des livres blancs antérieurs. Il existe trois types de SOM : sites, domaines et unités d'organisation. Un objet GPO peut être lié à plusieurs SOM, et une SOM peut présenter plusieurs liens d'objets GPO. Un objet GPO doit être lié à une SOM pour pouvoir être appliqué. Filtrage de sécurité de l'objet GPO Par défaut, tous les utilisateurs authentifiés situés dans la SOM

8 Page 8 sur 16 (et ses enfants) à laquelle un objet GPO est lié appliqueront les paramètres de l'objet GPO. En gérant les autorisations sur un objet GPO, vous pouvez déterminer plus précisément les utilisateurs et ordinateurs qui recevront les paramètres de l'objet GPO. Ce processus s'appelle le filtrage de sécurité. Pour qu'un objet GPO s'applique à un utilisateur ou un ordinateur donné, cet utilisateur ou cet ordinateur doit disposer des autorisations Lire et Appliquer la stratégie de groupe sur l'objet GPO. Par défaut, les objets GPO accordent ces autorisations au groupe Utilisateurs authentifiés. Ainsi, tous les utilisateurs authentifiés reçoivent les paramètres d'un nouvel objet GPO lié à une SOM (unité d'organisation, domaine ou site). Toutefois, ces autorisations peuvent être modifiées afin de limiter l'étendue de l'objet GPO à un ensemble spécifique d'utilisateurs, de groupes et/ou d'ordinateurs de la ou des SOM auxquelles il est lié. Filtre WMI sur l'objet GPO Les filtres WMI permettent à un administrateur de déterminer de façon dynamique l'étendue d'objets GPO en fonction d'attributs (disponibles via l'infrastructure WMI) de l'ordinateur cible. Un filtre WMI comprend une ou plusieurs requêtes définies comme étant vraies ou fausses par rapport à l'espace de stockage WMI de l'ordinateur cible. Le filtre WMI est un objet distinct de l'objet GPO dans le répertoire. Pour appliquer un filtre WMI à un objet GPO, vous devez lier le filtre à l'objet GPO. Cette opération est définie dans la zone Filtrage WMI de l'onglet Étendue d'un objet GPO. Chaque objet GPO ne peut présenter qu'un seul filtre WMI, mais un même filtre WMI peut être lié à plusieurs objets GPO. Lorsqu'un objet GPO lié à un filtre WMI est appliqué sur l'ordinateur cible, le filtre y est évalué. S'il est défini comme faux, l'objet GPO n'est pas appliqué. S'il est défini comme vrai, l'objet GPO est appliqué. Pour définir l'étendue de l'objet GPO Stratégie de mot de passe de domaine trouvé dans la recherche précédente 1. Dans le volet des résultats de la recherche Rechercher des objets de stratégie de groupe, double-cliquez sur Stratégie de mot de passe de domaine, puis cliquez sur Fermer. Remarque : Une fois que la boîte de dialogue Rechercher des objets de stratégie de groupe est fermée, l'objet GPO sélectionné précédemment est activé dans la console GPMC. La page Étendue de l'objet GPO s'affiche comme indiqué dans la figure 5. Figure 5. Étendue d'un objet GPO Pour afficher les stratégies qui seront appliquées par un objet GPO 1. Dans le volet de résultats Stratégie de mot de passe de domaine, cliquez sur l'onglet Paramètres, puis sur Afficher tout. Un récapitulatif de tous les paramètres de stratégie définis s'affiche comme indiqué dans la figure 6. Les paramètres non définis ne s'affichent pas.

9 Page 9 sur 16 Figure 6. Affichage des paramètres d'un objet GPO Héritage de stratégies d'objets GPO et ordre des liens L'onglet Héritage de stratégie de groupe d'un conteneur donné affiche tous les objets GPO (à l'exception de ceux liés à des sites) qui seraient hérités de conteneurs parents. La colonne de priorité de cet onglet affiche la priorité globale de tous les liens qui seraient appliqués aux objets de ce conteneur, compte tenu de l'ordre et de l'attribut Contrôle obligatoire de chaque lien ainsi que du paramètre Bloquer l'héritage. Pour afficher l'héritage de stratégies d'un conteneur 1. Dans la fenêtre Gestion des stratégies de groupe, dans l'arborescence contoso.com, développez l'unité d'organisation Comptes, puis cliquez sur l'unité d'organisation Siège, comme indiqué dans la figure 7.

10 Utilisation de la Console de gestion des stratégies de groupe dans un environneme... Page 10 sur 16 Figure 7. Héritage de stratégie de groupe Afficher l'image dans sa taille réelle Si plusieurs objets GPO sont liés au même conteneur et présentent des paramètres en commun, un mécanisme doit rapprocher ces paramètres. Ce comportement est déterminé par l'ordre des liens. Plus le numéro d'ordre des liens est faible, plus la priorité est élevée. L'onglet Objets de stratégie de groupe liés d'un conteneur donné affiche des informations sur ses liens. Ce volet indique si le lien est appliqué ou activé et si un filtre WMI est appliqué et fournit sa date de modification, l'état de l'objet GPO et le conteneur de domaine dans lequel il est stocké. Tout administrateur ou utilisateur à qui il a été accordé des autorisations de lier des objets GPO au conteneur peut modifier l'ordre des liens en sélectionnant un lien d'objet GPO et en utilisant les flèches vers le haut et le bas pour déplacer ce lien dans la liste. Pour modifier l'ordre des liens de stratégies d'un conteneur 1. Dans la fenêtre Siège, cliquez sur Objets de stratégie de groupe liés. 2. Dans la colonne Objet de stratégie de groupe, cliquez sur Stratégies liées, puis sur la flèche vers le haut en regard de la colonne Ordre des liens. L'ordre des liens des objets GPO de l'unité d'organisation Siège doit alors s'afficher comme indiqué dans la figure 8.

11 Utilisation de la Console de gestion des stratégies de groupe dans un environneme... Page 11 sur 16 Figure 8. Ordre des liens d'objets GPO Afficher l'image dans sa taille réelle Haut de page Sauvegarde, restauration, copie et importation d'objets GPO Sauvegarde d'un objet GPO La sauvegarde d'un objet GPO copie les données de l'objet dans un système de fichiers. La fonction de sauvegarde permet également d'exporter des objets GPO. Vous pouvez utiliser la sauvegarde d'un objet GPO pour restaurer l'objet dans l'état dans lequel il était au moment de la sauvegarde ou pour en importer les paramètres dans un autre objet GPO. La sauvegarde d'un objet GPO enregistre toutes les informations stockées dans l'objet sur le système de fichiers, notamment : L'identificateur unique global (GUID, Globally Unique Identifier) de l'objet GPO et les paramètres d'objet GPO du domaine La liste de contrôle d'accès discrétionnaire (DACL, Discretionary Access Control List) de l'objet GPO Le lien du filtre WMI, le cas échéant, mais pas le filtre Les liens vers des stratégies de sécurité IP, le cas échéant Un rapport XML (Extensible Markup Language) sur les paramètres de l'objet GPO, qui peut être consulté au format HTML depuis la console GPMC L'heure et la date de la sauvegarde La description de la sauvegarde, fournie par l'utilisateur La sauvegarde d'un objet GPO n'enregistre que les données stockées dans l'objet. Les données suivantes sont stockées en dehors de l'objet GPO : Liens vers un site, un domaine ou une unité d'organisation

12 Utilisation de la Console de gestion des stratégies de groupe dans un environneme... Page 12 sur 16 Filtre WMI Stratégie de sécurité IP Ces données ne sont pas disponibles lorsque l'objet GPO d'origine est restauré à partir de la sauvegarde ou que les informations sauvegardées sont importées dans un nouvel objet. Pour sauvegarder l'objet GPO Stratégie de mot de passe de domaine 1. Dans la fenêtre Gestion des stratégies de groupe, dans l'arborescence contoso.com, cliquez sur le dossier Objets de stratégie de groupe. 2. Dans le dossier Objets de stratégie de groupe, cliquez avec le bouton droit sur l'objet GPO Stratégie de mot de passe de domaine, puis cliquez sur Sauvegarder. 3. Dans la boîte de dialogue Sauvegarde de l'objet GPO, tapez c:\windows dans la zone Emplacement et Sauvegarde de la stratégie de mot de passe de domaine dans la zone Description, puis cliquez sur Sauvegarder. 4. Une fois la sauvegarde terminée, cliquez sur OK pour continuer. Gestion des sauvegardes Vous pouvez stocker plusieurs sauvegardes d'un même objet GPO ou d'objets GPO différents au même emplacement du système de fichiers, chaque sauvegarde étant identifiée par un ID de sauvegarde unique. Vous pouvez gérer l'ensemble des sauvegardes d'un emplacement donné du système de fichiers à l'aide de la boîte de dialogue Gestion des sauvegardes de la console GPMC ou via les interfaces contrôlées par scripting. Accédez à la boîte de dialogue Gestion des sauvegardes en cliquant avec le bouton droit sur le nœud Domaines ou Objets de stratégie de groupe d'un domaine. Lorsque vous ouvrez la boîte de dialogue Gestion des sauvegardes à partir du nœud Objets de stratégie de groupe, l'affichage est automatiquement filtré pour présenter uniquement les sauvegardes d'objets GPO du domaine concerné. Lorsqu'elle est ouverte depuis le nœud Domaines, elle affiche toutes les sauvegardes, quel que soit leur domaine d'origine. Pour gérer des sauvegardes d'objets GPO disponibles 1. Dans la fenêtre Gestion des stratégies de groupe, dans l'arborescence contoso.com, cliquez avec le bouton droit sur le dossier Objets de stratégie de groupe, puis cliquez sur Gérer les sauvegardes. La fenêtre Gestion des sauvegardes doit s'afficher comme indiqué dans la figure 9.

13 Utilisation de la Console de gestion des stratégies de groupe dans un environneme... Page 13 sur 16 Figure 9. Gestion des sauvegardes 2. Dans la fenêtre Gestion des sauvegardes, sélectionnez la descriptionsauvegarde de la stratégie de mot de passe de domaine créée précédemment, puis cliquez sur Afficher les paramètres. 3. Consultez les informations détaillées relatives à l'objet GPO, puis fermez Internet Explorer. Restauration à partir d'une sauvegarde La restauration d'un objet GPO recrée l'objet à partir des données de la sauvegarde. Vous pouvez effectuer une restauration dans les cas suivants : l'objet GPO a été sauvegardé, puis supprimé ou l'objet GPO est actif et vous souhaitez le récupérer dans un état antérieur connu. Une restauration remplace les composants d'un objet GPO suivants : Les paramètres de l'objet GPO La liste DACL de l'objet GPO Les liens des filtres WMI (mais pas les filtres) Cette opération ne restaure pas les objets qui n'appartiennent pas à l'objet GPO, c'est-à-dire les liens vers un site, un domaine ou une unité d'organisation, les filtres WMI et les stratégies IPSec. Pour restaurer l'objet GPO Stratégie de mot de passe de domaine 1. Dans la fenêtre Gestion des sauvegardes, cliquez sur Restaurer. 2. À l'invite, cliquez sur OK pour restaurer la sauvegarde sélectionnée. 3. Une fois la restauration de l'objet GPO terminée, cliquez sur OK. 4. Dans la boîte de dialogue Gestion des sauvegardes, cliquez sur Fermer. Copie d'un objet GPO La copie vous permet de transférer des paramètres d'un objet GPO existant dans Active Directory directement vers un nouvel objet GPO. Un nouveau GUID est attribué à l'objet GPO créé lors de l'opération de copie et ses liens sont supprimés. Vous pouvez effectuer une copie pour transférer des paramètres vers un nouvel objet GPO du même domaine, d'un autre domaine de la même forêt ou d'un domaine d'une autre forêt. Dans la mesure où la copie utilise comme source un objet GPO existant dans Active Directory, une approbation est requise entre les domaines source et de destination. Les opérations de copie permettent de déplacer des stratégies de groupe d'un environnement de production à un autre. Vous pouvez également les utiliser pour migrer, vers un environnement de production, des stratégies de groupe testées dans un domaine ou une forêt de test, à condition qu'il y ait une approbation entre les domaines source et de destination. Pour copier un objet GPO 1. Dans le dossier Objets de stratégie de groupe de l'arborescence contoso.com, cliquez avec le bouton droit sur l'objet GPO Stratégies utilisateur appliquées, puis cliquez sur Copier. 2. Cliquez sur le signe plus (+) en regard de vancouver.contoso.com pour développer le domaine, puis sur celui en regard de Objets de stratégie de groupe pour développer l'arborescence. 3. Cliquez avec le bouton droit sur Objets de stratégie de groupe, puis cliquez sur Coller. 4. Dans l'assistant Copie entre domaines, cliquez sur Suivant pour continuer. 5. Dans la fenêtre Spécification des autorisations en cours, sélectionnez Utiliser les autorisations par défaut pour les nouveaux objets GPO (valeur par défaut), comme indiqué dans la figure 10, puis cliquez sur Suivant.

14 Utilisation de la Console de gestion des stratégies de groupe dans un environneme... Page 14 sur 16 Figure 10. Assistant Copie entre domaines 6. Une fois l'objet GPO d'origine analysé, cliquez sur Suivant pour continuer. 7. Dans la fenêtre Fin de l'assistant Copie entre domaines, vérifiez vos paramètres, puis cliquez sur Terminer. 8. Une fois la copie terminée, cliquez sur OK. Remarque : L'objet GPO Stratégies utilisateur appliquées a été copié dans le domaine vancouver.contoso.com, mais il n'a été lié à aucun conteneur. Pour lier l'objet GPO Stratégies utilisateur appliquées à la racine de vancouver.contoso.com 1. Cliquez avec le bouton droit sur vancouver.contoso.com, cliquez surlier un objet de stratégie de groupe existant, sélectionnez Stratégies utilisateur appliquées, puis cliquez sur OK. Importation d'un objet GPO L'importation transfère des paramètres vers un objet GPO existant dans Active Directory en utilisant comme source un objet GPO sauvegardé à un emplacement du système de fichiers. Vous pouvez effectuer des opérations d'importation pour transférer des paramètres d'un objet GPO à un autre objet GPO du même domaine, d'un autre domaine de la même forêt ou d'un domaine d'une autre forêt. L'importation place toujours les paramètres sauvegardés dans un objet GPO existant. Elle écrase tout paramètre pré-existant dans l'objet GPO de destination. Ce type d'opération ne requiert aucune approbation entre les domaines source et de destination et s'avère donc utile pour transférer des paramètres entre des forêts et des domaines qui n'en présentent pas. L'importation de paramètres dans un objet GPO n'affecte ni la liste DACL de l'objet, ni les liens de sites, domaines ou unités d'organisation vers l'objet, ni les liens vers un filtre WMI. Pour importer la stratégie de mot de passe de domaine de contoso.com dans celle de vancouver.contoso.com 1. Dans la fenêtre Gestion des stratégies de groupe, cliquez avec le bouton droit sur vancouver.contoso.com, puis cliquez sur Créer et lier un objet de stratégie de groupe ici. 2. Dans la boîte de dialogue Nouvel objet GPO, tapez Stratégie de mot de passe de domaine dans Nom, puis cliquez sur OK. 3. Sous Objets de stratégie de groupe dans l'arborescence vancouver.contoso.com, cliquez avec le bouton droit sur l'objet GPO Stratégie de mot de passe de domaine, puis cliquez sur Importer les paramètres.

15 Utilisation de la Console de gestion des stratégies de groupe dans un environneme... Page 15 sur Dans l'assistant Importation des paramètres, cliquez sur Suivant pour continuer. 5. Dans la fenêtre Objet de stratégie de groupe de sauvegarde, cliquez sur Suivant pour continuer sans sauvegarder, dans la mesure où l'objet GPO ne présente actuellement aucune définition de stratégie. 6. Acceptez le dossier de sauvegarde par défaut, c:\windows, puis cliquez sur Suivant pour continuer. 7. Dans la mesure où la Stratégie de mot de passe de domaine est la seule sauvegarde en cours, elle est sélectionnée par défaut. Cliquez sur Suivant pour commencer l'importation des paramètres à partir de cet objet GPO. 8. Cliquez sur Suivant une fois que les principaux de sécurité de l'objet GPO ont été analysés, puis cliquez sur Terminer. 9. À la fin de l'assistant Importation des paramètres, cliquez sur OK. Pour vérifier la stratégie de mot de passe de domaine de vancouver.contoso.com 1. Sous Objets de stratégie de groupe dans l'arborescence vancouver.contoso.com, cliquez sur Stratégie de mot de passe de domaine, puis sur Afficher tout dans le volet de résultats. Les paramètres doivent être identiques à ceux indiqués dans la figure 11. Figure 11. Stratégie de mot de passe de domaine de vancouver.contoso.com Afficher l'image dans sa taille réelle Haut de page Modélisation d'un objet GPO Modélisation de stratégie de groupe La modélisation de stratégie de groupe est une simulation d'un événement dont les circonstances sont spécifiées par un administrateur. Le service qui réalise cette simulation exige au moins un contrôleur de domaine exécutant Windows Server Grâce à la modélisation de stratégie de groupe, vous pouvez simuler l'application des données RSoP à une configuration existante ou effectuer des analyses de scénarios en simulant d'hypothétiques modifications

16 Utilisation de la Console de gestion des stratégies de groupe dans un environneme... Page 16 sur 16 apportées à votre environnement d'annuaire, puis en évaluant les données RSoP de cette configuration hypothétique. Par exemple, vous pouvez simuler des modifications apportées à l'appartenance au groupe de sécurité ou à l'emplacement de l'objet utilisateur ou ordinateur dans Active Directory. En dehors de la console GPMC, la modélisation de stratégie de groupe est appelée mode de planification RSoP. Pour simuler l'impact d'objets GPO 1. Dans la fenêtre Gestion des stratégies de groupe, cliquez sur le signe moins (-) en regard de Domaines pour réduire l'arborescence. 2. Dans l'arborescence Forêt: contoso.com, cliquez avec le bouton droit sur Modélisation de stratégie de groupe, puis cliquez sur Assistant Modélisation de stratégie de groupe. 3. Dans la fenêtre Assistant Modélisation de stratégie de groupe, cliquez sur Suivant. 4. Dans la fenêtre Sélection du contrôleur de domaine, conservez les paramètres par défaut, puis cliquez sur Suivant. 5. Dans la fenêtre Sélection d'ordinateurs et d'utilisateurs, sous Informations utilisateur, cliquez sur Utilisateur. Cliquez sur Parcourir, tapez Christine sous Entrez le nom de l'objet à sélectionner, puis cliquez sur OK. Activez la case à cocher Se rendre à la dernière page de cet Assistant sans recueillir de données supplémentaires, puis cliquez sur Suivant. Vos paramètres doivent s'afficher comme indiqué dans la figure 12. Figure 12. Assistant Modélisation de stratégie de groupe 6. Dans la fenêtre Aperçu des sélections, cliquez sur Suivant pour démarrer la simulation. 7. Cliquez sur Terminer. Le volet droit affiche les résultats de la simulation. Haut de page Autres ressources Pour plus d'informations, consultez les ressources suivantes : Page de téléchargement Console de gestion des stratégies de groupe Service Pack 1 Livre blanc Administering Group Policy with GPMC Pour obtenir les dernières informations concernant Windows Server 2003, consultez ce site Web