Stratégies de groupe (GPO)

Afficher les extensions de fichiers

Type : GPO Utilisateur

Emplacement :

Configuration utilisateur > Préférences > Paramètres du panneau de configuration > Options des dossiers

Paramétrage :

Clic droit > Nouveau > Options des dossiers (au minimum Windows Vista) Décocher la case Masquer les extensions des fichiers dont le type est connu

Désactiver l’accès à l’invite de commandes MS-DOS

Type : GPO Utilisateur

Emplacement :

Configuration utilisateur > Stratégies > Modèles d’administration > Système

Paramétrage :

Editer la ligne Désactiver l’accès à l’invite de commandes

Associer une extension de fichier à une application

Type : GPO Utilisateur

Emplacement :

Configuration utilisateur > Préférences > Paramètres du panneau de configuration > Options des dossiers

Paramétrage :

Clic doit > Nouveau > Ouvrir avec et renseigner les paramètres suivants :

• Action : Mettre à jour

• Extension du fichier : java

• Programme associé (le chemin doit être exact ! attention aux coquilles) : C:\Program Files\Notepad++\Notepad++.exe

• Cochez la case Par défaut

Déployer une application via un installateur MSI

Note

On suppose que le contrôleur de domaine se nomme DC-1.

Préparation :

Placer l’installateur MSI dans le dossier \\DC-1\NETLOGON\ du contrôleur de domaine. ``NETLOGON`` est un dossier partagé automatiquement par Windows Server. Il est accessible en lecture seule par tous les postes du domaine.

Fig. 67 Le dossier NETLOGON sur le contrôleur de domaine

Type : GPO Ordinateur

Emplacement :

Configuration d’ordinateur > Stratégies > Paramètres du logiciel > Installation de logiciel

Paramétrage :

Clic droit > Nouveau > Package

Taper \\DC-1\NETLOGON dans la barre d’adresse (en haut) puis double-cliquer sur l’installateur MSI qui apparaît. Vérifier que le type de déploiement “Attribué” est bien sélectionné. Le paquetage doit apparaitre au bout de quelques secondes.

Warning

Plusieurs redémarrages du poste de travail peuvent être nécessaires pour que l’application soit effectivement installée …

Connecter un lecteur réseau

Type : GPO Utilisateur

Emplacement :

Configuration utilisateur > Préférences > Paramètres Windows > Mappage de lecteurs

Paramétrage :

Clic droit > Nouveau > Lecteur mappé

• Dans Emplacement indiquer le chemin UNC du dossier partagé. Par exemple : \\DC-1\partage

• Comme Lettre de lecteur, choisir Utiliser : Z:

Empêcher l’utilisation de clé USB

Type : GPO Utilisateur

Emplacement :

Configuration utilisateur > Préférences > Paramètres de Panneau de configuration > Périphériques

Paramétrage :

Clic droit > Nouveau > Périphérique

• Action : Ne pas utiliser ce périphérique (désactivé)

• Dans Classe de périphérique : cliquer sur ... et sélectionner Contrôleurs de bus USB

Autoriser le PC à répondre aux requêtes de ping

Type : GPO Ordinateur

Emplacement :

Configuration d’ordinateur > Stratégies > Modèles d'administration > Réseau > Connexions réseau > Pare-feu Windows > Profil du domaine

Paramétrage :

Éditer la ligne Pare-feu Windows : autoriser les exception ICMP.

Dans la fenêtre qui s’affiche, sélectionner Activé, puis cocher Autoriser les requêtes d'écho entrantes.

Autoriser les flux RDP (Bureau à distance)

Type : GPO Ordinateur

Emplacement :

Configuration d’ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Pare-feu Windows avec ... > Règles de trafic entrant

Paramétrage :

Clic droit > Nouvelle règle > Prédéfinie

Sélectionner la règle prédéfinie Bureau à distance > Suivant (laisser tous les autres paramètres par défaut) > Terminer

Activer le Bureau à distance

Type : GPO Ordinateur

Emplacement :

Configuration d'ordinateur > Stratégies > Modèles d’administration > Composants Windows > Services Bureau à distance > Hôte de la session Bureau à distance > Connexions

Paramétrage :

Éditer la ligne Autoriser les utilisateurs à se connecter à distance à l'aide des services Bureau à distance.

Dans la fenêtre qui s’affiche, sélectionner Activer.

Verrouiller le compte après n échecs

Type : GPO Ordinateur

Emplacement :

Configuration Ordinateur > Stratégies > Paramètres Windows > Paramètre de sécurité > Stratégie de compte > Stratégie de verrouillage du compte

Paramétrage :

Configurer le Seuil de verrouillage de comptes à la valeur souhaitée.

Activer le contrôle à distance PowerShell

Nécessite les paramétrages GPO suivants sur les postes de travail :

• Activer WinRM

• Autoriser les flux WinRM dans le firewall

• Activer le service WinRM

• Démarrer le service WinRM

Activer WinRM

Type : GPO Ordinateur

Emplacement :

Configuration d'ordinateur > Stratégies > Modèles d’administration > Composants Windows > Gestion à distance de Windows (WinRM) > Service WinRM

Paramétrage :

Éditer la ligne Autoriser la gestion de serveurs à distance via WinRM.

Dans la fenêtre qui s’affiche, sélectionner Activer.

Autoriser les flux WinRM

Type : GPO Ordinateur

Emplacement :

Configuration d’ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Pare-feu Windows avec ... > Règles de trafic entrant

Paramétrage :

Clic droit > Nouvelle règle > Prédéfinie.

Sélectionner la règle prédéfinie Gestion à distance de Windows > Suivant (laisser tous les autres paramètres par défaut) > Terminer

Activer le service WinRM

Type : GPO Ordinateur

Emplacement :

Configuration d’ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Services système

Paramétrage :

Éditer la ligne Gestion à distance de Windows (Gestion WSM).

Dans la fenêtre qui s’affiche, cocher Définir ce paramètre de stratégie et sélectionner Automatique

Démarrer le service WinRM

Type : GPO Ordinateur

Emplacement :

Configuration d’ordinateur > Préférences > Paramètres du Panneau de configuration > Services

Paramétrage :

Clic droit > Nouveau

Dans la fenêtre qui s’affiche, indiquer :

• Nom : WinRM

• Action du service : Démarrer le service

Fig. 68 Propriétés du service WinRM

Gérer les groupes locaux

Type : GPO Ordinateur

Emplacement :

Configuration d’ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Groupes restreints

Paramétrage :

Clic droit > Ajouter un groupe > Choisir le groupe local à modifier > Membres de ce groupe > Choisir le groupe de sécurité à ajouter

Fig. 69 Gestion du groupe local Administrateurs

Restreindre l’ouverture de session

Type : GPO Ordinateur

Emplacement :

Configuration d’ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Attribution des droits utilisateur

Paramétrage :

Paramètres à modifier :

• Interdire l'ouverture de session locale

• Interdire l'ouverture de session par les services Bureau à distance

Fig. 70 Interdire l’ouverture de session locale aux Admins du domaine