Creer et lier sa premiere GPO¶

Le reflexe avant de commencer¶

On ne le repetera jamais assez : ne testez jamais une GPO directement sur une OU de production.

Imaginez un pilote d'avion qui testerait une nouvelle manoeuvre avec 200 passagers a bord. Absurde, non ? C'est pourtant exactement ce que font beaucoup d'administrateurs quand ils lient une GPO non testee sur l'OU qui contient tous les postes de l'entreprise.

Le reflexe a adopter est simple : on teste d'abord dans une OU dediee, avec un seul poste et un seul utilisateur. Si tout fonctionne, on elargit. Si ca casse, on n'a impacte personne.

Voici les trois scenarios possibles quand on deploie une GPO :

La conclusion s'impose d'elle-meme.

Preparer l'environnement de test¶

Avant de creer notre premiere GPO, on va construire un petit bac a sable dans Active Directory. Ce sera notre terrain d'experimentation pour tout le reste du livre.

Creer l'OU de test¶

Votre arborescence devrait maintenant ressembler a ceci :

labo.local
├── OU-Test-GPO
│   ├── PC-TEST-01     (ordinateur)
│   └── u.test         (utilisateur)
├── Computers
├── Domain Controllers
├── Users
└── ...

Creer une GPO¶

Maintenant que le terrain de jeu est pret, on passe a la creation de notre premiere GPO. On va creer une strategie qui impose un fond d'ecran specifique.

Nommer correctement ses GPO¶

Vous avez actuellement 3 GPO. Ca va. Mais dans un an, vous en aurez peut-etre 50. Dans trois ans, 200. Et si chacune s'appelle Nouvelle GPO (1), test truc, ou GPO de Pierre... bon courage pour s'y retrouver.

Un bon nommage, c'est un investissement. Ca prend 30 secondes de plus a la creation, et ca fait gagner des heures quand il faut diagnostiquer un probleme a 23h un vendredi soir.

La convention de nommage¶

Adoptez une convention des le depart. Une methode simple et efficace :

[TYPE]-[CIBLE]-[DESCRIPTION]

• TYPE : la categorie fonctionnelle de la GPO
• CIBLE : a qui ou a quoi elle s'applique
• DESCRIPTION : ce qu'elle fait, en quelques mots

Les types courants¶

Voici les prefixes les plus utilises. Adaptez-les a votre contexte :

Exemples concrets¶

Les erreurs de nommage a eviter¶

Configurer un parametre¶

Notre GPO GPO-Test-FondEcran existe mais elle est vide. On va maintenant lui donner du contenu : imposer un fond d'ecran specifique a tous les utilisateurs cibles.

Preparer le fichier image¶

Avant de configurer la GPO, il faut que l'image soit accessible a tous les postes du domaine. On la place sur un partage reseau.

Pour notre test, on va utiliser le partage SYSVOL, qui est disponible sur tous les postes du domaine par defaut :

1. Copiez une image JPG sur votre controleur de domaine, par exemple dans : C:\Windows\SYSVOL\sysvol\labo.local\scripts\wallpaper.jpg
2. Le chemin UNC correspondant sera : \\labo.local\SYSVOL\labo.local\scripts\wallpaper.jpg
3. Depuis un poste du domaine, verifiez l'acces avec :

dir \\labo.local\SYSVOL\labo.local\scripts\wallpaper.jpg

 Le volume dans le lecteur \\labo.local\SYSVOL n'a pas de nom.

 Repertoire de \\labo.local\SYSVOL\labo.local\scripts

05/04/2026  14:15           245 832 wallpaper.jpg
               1 fichier(s)          245 832 octets

Si la commande retourne une erreur, le fichier n'est pas au bon endroit ou le poste n'arrive pas a joindre le partage.

Modifier la GPO¶

Le parametre est configure. Mais la GPO n'est toujours liee nulle part. Passons a l'etape suivante.

Les 3 etats d'un parametre¶

Quand vous ouvrez un parametre dans l'editeur de GPO, il peut avoir trois etats :

Lier la GPO a une OU¶

C'est le moment ou tout prend vie. On va connecter notre GPO configuree a l'OU de test.

Le flux complet¶

Voici ce qui va se passer maintenant que la GPO est liee :

flowchart LR
    A["GPO creee<br>dans GPMC"] --> B["GPO<br>configuree"]
    B --> C["GPO liee<br>a l'OU"]
    C --> D["Controleur de<br>domaine replique"]
    D --> E["Le poste<br>recupere la GPO"]
    E --> F["Le parametre<br>est applique"]

    style A fill:#4a86c8,color:#fff
    style B fill:#4a86c8,color:#fff
    style C fill:#e8a838,color:#fff
    style D fill:#e8a838,color:#fff
    style E fill:#43a047,color:#fff
    style F fill:#43a047,color:#fff

Trois phases distinctes :

1. Preparation (bleu) : on cree et on configure la GPO dans la GPMC
2. Distribution (orange) : on lie la GPO a une OU et le controleur de domaine replique l'information vers les autres DC
3. Application (vert) : le poste client contacte un DC, recupere la GPO et applique les parametres

C'est un flux unidirectionnel : le poste ne renvoie jamais de donnees au controleur de domaine. Il se contente de lire et d'appliquer.

Forcer l'application¶

Attendre 90 minutes pour voir si ca marche ? Non merci. On va forcer le poste de test a recuperer la GPO immediatement.

Sur le poste de test¶

Connectez-vous sur PC-TEST-01 avec le compte u.test, puis ouvrez une Invite de commandes (Win+R > cmd > Enter) et tapez :

gpupdate /force

Mise a jour de la strategie...

La mise a jour de la strategie de l'ordinateur s'est terminee.
La mise a jour de la strategie de l'utilisateur s'est terminee.

La commande force le poste a contacter le controleur de domaine immediatement pour recuperer toutes les GPO qui le concernent, sans attendre le prochain cycle de rafraichissement.

Que fait /force exactement ?¶

La mise a jour de la strategie de l'utilisateur s'est terminee.
Pour que certaines modifications prennent effet, vous devez
fermer la session et ouvrir une nouvelle session.

Verifier le resultat¶

On a cree la GPO, on l'a configuree, liee et forcee. Mais est-ce que ca marche vraiment ? Trois methodes de verification, de la plus simple a la plus detaillee.

Methode 1 : la verification visuelle¶

La plus evidente. Le fond d'ecran a-t-il change ?

Si oui : la GPO fonctionne. Si non : on passe aux methodes suivantes pour comprendre pourquoi.

Methode 2 : gpresult /r¶

Cette commande affiche un rapport des GPO appliquees sur le poste. Ouvrez une invite de commandes et tapez :

gpresult /r

Informations sur le systeme d'exploitation de l'utilisateur connecte

    Nom de l'ordinateur :           PC-TEST-01
    Nom du domaine :                labo.local
    Site du domaine :               Default-First-Site-Name
    Profil local :                  C:\Users\u.test
    Profil itinerant :              (Aucun)

    ...

RESULTAT UTILISATEUR
--------------------

    Derniere application de la strategie de groupe :    05/04/2026 a 14:32:15
    Application de la strategie de groupe a partir de : DC01.labo.local
    Seuil du lien lent du domaine :                     500 Kbits/s

    Objets de strategie de groupe appliques
    ----------------------------------------
        GPO-Test-FondEcran
        Default Domain Policy

    ...

Si GPO-Test-FondEcran apparait dans la liste Objets de strategie de groupe appliques, c'est bon. Si elle apparait dans la liste Objets refuses, il y a un probleme de filtrage ou de lien.

gpresult /h C:\rapport-gpo.html

Methode 3 : l'Observateur d'evenements¶

Pour un diagnostic plus fin, Windows enregistre chaque etape du traitement des GPO dans les journaux.

1. Ouvrez l'Observateur d'evenements (Win+R > eventvwr.msc)
2. Naviguez vers : Journaux des applications et des services > Microsoft > Windows > GroupPolicy > Operational
3. Cherchez l'evenement 4016 (pour les parametres utilisateur) ou 5016 (pour les parametres ordinateur)
4. Double-cliquez sur l'evenement pour voir les details, notamment le nom de la GPO appliquee et le temps de traitement

Annuler : supprimer le lien vs supprimer la GPO¶

C'est l'une des confusions les plus dangereuses pour un debutant. Il y a une enorme difference entre supprimer un lien et supprimer une GPO. Se tromper peut avoir des consequences catastrophiques, surtout si la GPO est liee a plusieurs OU.

L'analogie du poster¶

Imaginez que votre GPO est un poster que vous avez accroche dans une salle de reunion.

• Supprimer le lien = retirer le poster de cette salle. Le poster existe toujours, vous pouvez l'accrocher ailleurs.
• Supprimer la GPO = passer le poster a la broyeuse. Il n'existe plus nulle part.

La difference en tableau¶

Supprimer le lien (methode sure)¶

Supprimer la GPO (methode definitive)¶

Pour supprimer une GPO :

1. Dans gpmc.msc, naviguez vers Objets de strategie de groupe
2. Clic droit sur GPO-Test-FondEcran > Supprimer
3. Le message d'avertissement vous previent que tous les liens seront supprimes
4. Confirmez uniquement si vous etes certain de ne plus en avoir besoin

Desactiver un lien (la troisieme option)¶

Il existe aussi une option intermediaire : desactiver le lien sans le supprimer. C'est pratique pour tester.

1. Clic droit sur le lien sous l'OU
2. Selectionnez Lien active pour decocher l'option

Le lien reste visible mais apparait avec une icone grisee. La GPO ne s'applique plus a cette OU, mais le lien est toujours la, pret a etre reactive.

Exercice complet guide¶

Vous avez vu toutes les etapes individuellement. On va maintenant les enchainer dans un exercice complet, de A a Z, avec une GPO differente.

Objectif : creer une GPO qui desactive les notifications toast (les petites bulles en bas a droite de l'ecran), la lier a l'OU de test, verifier qu'elle s'applique, puis la supprimer proprement.

Duree estimee : 10-15 minutes.

Prerequis : l'OU de test OU-Test-GPO est en place avec un poste et un utilisateur (section "Preparer l'environnement de test" ci-dessus).

Suivez chaque etape dans l'ordre. Si une etape echoue, ne passez pas a la suivante : corrigez d'abord le probleme.

Etape 1 : Creer la GPO¶

1. Ouvrez gpmc.msc
2. Naviguez vers Objets de strategie de groupe
3. Clic droit > Nouveau
4. Nom : CFG-Utilisateurs-DesactiverNotifications
5. Cliquez OK

Etape 2 : Configurer le parametre¶

1. Clic droit sur CFG-Utilisateurs-DesactiverNotifications > Modifier...
2. Naviguez vers : Configuration utilisateur > Strategies > Modeles d'administration > Menu Demarrer et barre des taches > Notifications
3. Double-cliquez sur Desactiver les notifications par toast
4. Selectionnez Active
5. Cliquez OK
6. Fermez l'editeur

Etape 3 : Lier a l'OU de test¶

1. Dans gpmc.msc, naviguez vers OU-Test-GPO
2. Clic droit > Lier un objet de strategie de groupe existant...
3. Selectionnez CFG-Utilisateurs-DesactiverNotifications
4. Cliquez OK

Etape 4 : Forcer et verifier¶

Sur le poste PC-TEST-01, connecte avec u.test :

gpupdate /force

Mise a jour de la strategie...

La mise a jour de la strategie de l'ordinateur s'est terminee.
La mise a jour de la strategie de l'utilisateur s'est terminee.

Verifiez avec gpresult /r :

gpresult /r /scope:user

RESULTAT UTILISATEUR
--------------------

    Derniere application de la strategie de groupe :    05/04/2026 a 14:45:22
    Application de la strategie de groupe a partir de : DC01.labo.local

    Objets de strategie de groupe appliques
    ----------------------------------------
        CFG-Utilisateurs-DesactiverNotifications
        GPO-Test-FondEcran
        Default Domain Policy

La GPO CFG-Utilisateurs-DesactiverNotifications apparait dans la liste ? Parfait.

Pour verifier visuellement : essayez de declencher une notification (changer le volume, brancher une cle USB...). Si les notifications toast sont desactivees, vous ne verrez rien apparaitre en bas a droite.

Etape 5 : Nettoyer¶

1. Dans gpmc.msc, naviguez vers OU-Test-GPO
2. Clic droit sur le lien CFG-Utilisateurs-DesactiverNotifications > Supprimer
3. Confirmez

Le lien est supprime, mais la GPO existe toujours dans Objets de strategie de groupe. Les notifications reviendront au prochain gpupdate /force (ou au prochain cycle de rafraichissement automatique) sur le poste de test.

Pour verifier que le lien a bien ete supprime, executez gpresult /r /scope:user sur le poste de test apres un gpupdate /force. La GPO CFG-Utilisateurs-DesactiverNotifications ne devrait plus apparaitre dans les objets appliques.

Les pieges frequents du debutant¶

Avant de passer au recapitulatif, voici les erreurs les plus courantes que font les debutants. On les a presque toutes mentionnees dans ce chapitre, mais les rassembler ici permet de s'y referer rapidement.

Recapitulatif du workflow¶

Voici le flux complet de creation d'une GPO, de A a Z :

flowchart TD
    A["1. Preparer l'OU de test<br><i>dsa.msc</i>"] --> B["2. Creer la GPO<br><i>gpmc.msc > Objets de strategie de groupe</i>"]
    B --> C["3. Nommer selon la convention<br><i>[TYPE]-[CIBLE]-[DESCRIPTION]</i>"]
    C --> D["4. Configurer les parametres<br><i>Clic droit > Modifier...</i>"]
    D --> E["5. Lier a l'OU de test<br><i>Clic droit sur l'OU > Lier...</i>"]
    E --> F["6. Forcer l'application<br><i>gpupdate /force</i>"]
    F --> G["7. Verifier<br><i>gpresult /r + visuel</i>"]
    G --> H{OK ?}
    H -- Oui --> I["8. Lier a l'OU de production"]
    H -- Non --> J["9. Diagnostiquer et corriger"]
    J --> D

    style A fill:#4a86c8,color:#fff
    style B fill:#4a86c8,color:#fff
    style C fill:#4a86c8,color:#fff
    style D fill:#e8a838,color:#fff
    style E fill:#e8a838,color:#fff
    style F fill:#43a047,color:#fff
    style G fill:#43a047,color:#fff
    style I fill:#43a047,color:#fff
    style J fill:#e53935,color:#fff

Checklist avant deploiement en production¶

Utilisez cette checklist a chaque nouvelle GPO avant de la deployer en production :

Les commandes essentielles¶

Et maintenant ?¶

Felicitations, vous avez cree et deploye votre premiere GPO de domaine !

Vous savez creer une GPO, la configurer, la lier, la verifier et la nettoyer. C'est le cycle de base que vous repeterez des centaines de fois dans votre carriere d'administrateur.

Mais un detail important vous a peut-etre echappe : que se passe-t-il quand plusieurs GPO s'appliquent au meme utilisateur ou au meme poste ? Si une GPO impose un fond d'ecran bleu et une autre un fond d'ecran rouge, laquelle gagne ?

C'est la question de l'heritage et de l'ordre d'application. Comprendre ce mecanisme est indispensable des que vous avez plus d'une poignee de GPO. Et c'est exactement ce que couvre le chapitre suivant.

Chapitre suivant : Comprendre l'heritage et l'ordre d'application — Decouvrez l'ordre LSDOU, le blocage d'heritage et l'application forcee.