Gerer le bureau et le menu Demarrer¶

Pourquoi gerer le bureau par GPO ?¶

Imaginez une ecole ou chaque eleve porterait les vetements qu'il veut. Certains arriveraient en costume, d'autres en pyjama, et le jour de la photo de classe, ce serait le chaos. C'est pour ca que beaucoup d'ecoles imposent un uniforme : tout le monde a la meme base, c'est plus simple a gerer, et on evite les distractions.

Le bureau Windows, c'est pareil. Sans GPO, chaque employe personnalise son poste a sa sauce. Jean-Pierre met une photo de son chat en fond d'ecran, Sylvie installe 47 icones sur le bureau, et Kevin change les couleurs du systeme en vert fluo. Quand le support informatique doit intervenir sur un poste, il perd du temps a chercher ses reperes dans un environnement qu'il ne reconnait pas.

Avec une GPO de personnalisation du bureau, vous obtenez :

• Uniformite visuelle : tous les postes ont le meme aspect professionnel
• Image de marque : le fond d'ecran affiche le logo de l'entreprise
• Securite : l'economiseur d'ecran se verrouille apres quelques minutes d'inactivite
• Support simplifie : le technicien retrouve le meme environnement sur chaque poste
• Moins de distractions : les utilisateurs se concentrent sur leur travail, pas sur la decoration

Fond d'ecran et ecran de verrouillage¶

Ce sont les deux parametres de personnalisation les plus courants. Ils sont souvent confondus, mais ce sont deux reglages distincts dans des emplacements differents.

• Le fond d'ecran (ou papier peint) est l'image affichee sur le bureau Windows, derriere les icones.
• L'ecran de verrouillage est l'image affichee quand le poste est verrouille (avant la saisie du mot de passe).

Preparer l'image¶

Avant de configurer quoi que ce soit dans la GPO, il faut preparer l'image et la rendre accessible a tous les postes du reseau.

L'image doit etre stockee sur un partage reseau accessible en lecture par tous les utilisateurs. Si vous placez l'image sur le disque local d'un seul PC, les autres postes ne pourront pas y acceder. Logique, mais c'est une erreur tres frequente.

Le chemin UNC doit ressembler a :

\\serveur\partage\images\fond-ecran-entreprise.jpg

Voici les formats d'image pris en charge par Windows :

Et les resolutions recommandees :

Configurer le fond d'ecran¶

Le fond d'ecran se configure dans la section utilisateur de la GPO.

Les differents styles de papier peint fonctionnent ainsi :

Configurer l'ecran de verrouillage¶

L'ecran de verrouillage se configure dans la section ordinateur de la GPO. C'est une difference importante : le fond d'ecran est un parametre utilisateur, l'ecran de verrouillage est un parametre ordinateur.

Barre des taches¶

La barre des taches est la bande horizontale en bas de l'ecran. Elle contient le bouton Demarrer, les icones epinglees, la zone de notification et l'horloge. Par GPO, on peut verrouiller sa configuration pour empecher les utilisateurs de la modifier.

Les parametres essentiels¶

Tous les parametres de la barre des taches se trouvent dans :

Configuration utilisateur > Strategies > Modeles d'administration > Menu Demarrer et barre des taches

Voici les plus utiles :

Configurer la barre des taches¶

Menu Demarrer : layout Windows 10¶

Le menu Demarrer de Windows 10 est compose de tuiles (les fameux carres colores). Par GPO, on peut imposer un agencement precis de ces tuiles pour que tous les utilisateurs aient les memes applications epinglees au meme endroit.

C'est comme un plan de table dans un restaurant : au lieu de laisser chaque convive s'asseoir ou il veut, on decide a l'avance qui va ou. Le resultat est ordonne et previsible.

Le principe : un fichier XML¶

Sous Windows 10, le layout du menu Demarrer est defini dans un fichier XML. La methode est la suivante :

1. Personnaliser manuellement le menu Demarrer sur un poste de reference
2. Exporter la configuration dans un fichier XML
3. Deployer ce fichier XML via GPO

Exporter le layout¶

Sur le poste de reference (un PC Windows 10 configure comme vous le souhaitez) :

1. Personnalisez le menu Demarrer : ajoutez, supprimez et reorganisez les tuiles
2. Ouvrez PowerShell en tant qu'administrateur
3. Executez la commande suivante :

# Export the current Start menu layout to an XML file
Export-StartLayout -Path "C:\StartLayout.xml"

Le fichier genere contient la description complete de votre menu Demarrer. Voici un exemple simplifie :

<!-- Simplified Start menu layout for Windows 10 -->
<LayoutModificationTemplate
    xmlns:defaultlayout="http://schemas.microsoft.com/Start/2014/FullDefaultLayout"
    xmlns:start="http://schemas.microsoft.com/Start/2014/StartLayout"
    xmlns="http://schemas.microsoft.com/Start/2014/LayoutModification"
    Version="1">
    <LayoutOptions StartTileGroupCellWidth="6" />
    <DefaultLayoutOverride>
        <StartLayoutCollection>
            <defaultlayout:StartLayout GroupCellWidth="6">
                <start:Group Name="Bureautique">
                    <start:DesktopApplicationTile
                        Size="2x2"
                        Column="0"
                        Row="0"
                        DesktopApplicationLinkPath="%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Word.lnk" />
                    <start:DesktopApplicationTile
                        Size="2x2"
                        Column="2"
                        Row="0"
                        DesktopApplicationLinkPath="%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Excel.lnk" />
                    <start:DesktopApplicationTile
                        Size="2x2"
                        Column="4"
                        Row="0"
                        DesktopApplicationLinkPath="%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Outlook.lnk" />
                </start:Group>
                <start:Group Name="Outils">
                    <start:Tile
                        Size="2x2"
                        Column="0"
                        Row="0"
                        AppUserModelID="Microsoft.WindowsCalculator_8wekyb3d8bbwe!App" />
                    <start:Tile
                        Size="2x2"
                        Column="2"
                        Row="0"
                        AppUserModelID="Microsoft.WindowsNotepad_8wekyb3d8bbwe!App" />
                </start:Group>
            </defaultlayout:StartLayout>
        </StartLayoutCollection>
    </DefaultLayoutOverride>
</LayoutModificationTemplate>

Deployer le layout via GPO¶

Une fois le fichier XML pret :

1. Copiez le fichier XML sur un partage reseau accessible en lecture par tous les utilisateurs (par exemple \\serveur\partage\config\StartLayout.xml)

2. Dans l'editeur de GPO, naviguez vers :

   Configuration utilisateur > Strategies > Modeles d'administration > Menu Demarrer et barre des taches

3. Double-cliquez sur Disposition de l'ecran de demarrage

4. Selectionnez Active
5. Dans le champ Fichier de disposition de l'ecran de demarrage, entrez le chemin UNC : \\serveur\partage\config\StartLayout.xml
6. Cliquez OK

Layout complet vs layout partiel¶

Par defaut, le layout exporte est complet : il verrouille entierement le menu Demarrer. Les utilisateurs ne peuvent ni ajouter ni supprimer de tuiles. C'est l'option la plus restrictive.

Si vous voulez laisser un peu de liberte aux utilisateurs, vous pouvez creer un layout partiel. Pour cela, ajoutez LayoutCustomizationRestrictionType="OnlySpecifiedGroups" dans le fichier XML :

<!-- Partial layout: only the specified groups are locked -->
<DefaultLayoutOverride LayoutCustomizationRestrictionType="OnlySpecifiedGroups">
    <StartLayoutCollection>
        <!-- Groups defined here are locked -->
        <!-- Users can add their own groups in the remaining space -->
    </StartLayoutCollection>
</DefaultLayoutOverride>

Avec cette option, les groupes de tuiles que vous definissez sont verrouilles, mais l'utilisateur peut ajouter ses propres groupes a cote. C'est un bon compromis entre controle et flexibilite.

Menu Demarrer : layout Windows 11¶

Windows 11 a completement change le menu Demarrer. Fini les tuiles, place a une liste d'applications epinglees et une section Recommandations. La consequence : le fichier XML de Windows 10 ne fonctionne pas sous Windows 11. Il faut utiliser un fichier JSON a la place.

C'est comme si vous aviez appris a cuisiner avec un four a gaz, et qu'on vous donnait soudainement un four electrique. Les ingredients sont les memes, mais la methode change completement.

Le principe : un fichier JSON¶

Le layout du menu Demarrer sous Windows 11 est defini dans un fichier JSON beaucoup plus simple que l'XML de Windows 10. Il contient la liste des applications epinglees, identifiees par leur desktopAppId (applications classiques) ou leur packagedAppId (applications du Store).

Voici un exemple :

{
    "pinnedList": [
        { "desktopAppId": "MSEdge" },
        { "desktopAppId": "Microsoft.Office.WINWORD.EXE.15" },
        { "desktopAppId": "Microsoft.Office.EXCEL.EXE.15" },
        { "desktopAppId": "Microsoft.Office.OUTLOOK.EXE.15" },
        { "desktopAppId": "Microsoft.Office.POWERPNT.EXE.15" },
        { "packagedAppId": "Microsoft.WindowsCalculator_8wekyb3d8bbwe!App" },
        { "packagedAppId": "Microsoft.WindowsNotepad_8wekyb3d8bbwe!App" },
        { "packagedAppId": "windows.immersivecontrolpanel_cw5n1h2txyewy!microsoft.windows.immersivecontrolpanel" },
        { "desktopAppId": "Microsoft.Windows.Explorer" }
    ]
}

C'est beaucoup plus lisible que le XML, non ?

Trouver les identifiants des applications¶

Pour trouver le desktopAppId ou le packagedAppId d'une application, la methode la plus fiable est d'exporter la configuration actuelle.

Sous Windows 11 22H2 et superieur, vous pouvez utiliser PowerShell :

# Export the current Start menu layout (Windows 11)
# The layout is stored in a binary file per user
$startLayoutPath = "$env:LOCALAPPDATA\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\LocalState\start2.bin"

# Copy to a working location for inspection
Copy-Item $startLayoutPath -Destination "C:\start2-backup.bin"

Deployer le layout via GPO¶

Le deploiement sous Windows 11 passe par un parametre different de celui de Windows 10 :

1. Copiez le fichier JSON sur un partage reseau (par exemple \\serveur\partage\config\StartLayout.json)

2. Dans l'editeur de GPO, naviguez vers :

   Configuration utilisateur > Strategies > Modeles d'administration > Menu Demarrer et barre des taches

3. Double-cliquez sur Configurer la disposition de l'ecran de demarrage

4. Selectionnez Active
5. Dans le champ de texte, collez le contenu JSON directement (pas le chemin du fichier, mais le contenu)
6. Cliquez OK

Comparaison Windows 10 vs Windows 11¶

Icones du bureau¶

Les icones du bureau sont un autre element que l'on peut controler par GPO. Certaines entreprises preferent un bureau completement vide (plus propre, moins de distractions), d'autres veulent simplement masquer certaines icones systeme comme la Corbeille ou le raccourci Reseau.

:material-desktop-mac: Les parametres disponibles¶

Les parametres des icones du bureau se trouvent dans :

Configuration utilisateur > Strategies > Modeles d'administration > Bureau

Economiseur d'ecran avec verrouillage¶

C'est probablement le parametre de securite le plus important de ce chapitre. Un poste non verrouille dans un open space, c'est comme laisser la porte de votre maison grande ouverte avec un panneau "Entrez, servez-vous". N'importe qui peut acceder aux mails, aux documents confidentiels, voire aux applications metier avec les droits de la personne absente.

La GPO d'economiseur d'ecran permet de forcer :

1. L'activation de l'economiseur d'ecran
2. Le verrouillage de la session au reveil (saisie du mot de passe obligatoire)
3. Le delai d'inactivite avant le declenchement

Les trois parametres cles¶

Ils se trouvent tous dans le meme dossier :

Configuration utilisateur > Strategies > Modeles d'administration > Panneau de configuration > Personnalisation

Verifier l'application¶

Sur le poste de test, apres un gpupdate /force :

1. Ouvrez les Parametres > Personnalisation > Ecran de verrouillage > Parametres de l'economiseur d'ecran
2. Les champs doivent etre grises (non modifiables par l'utilisateur)
3. L'economiseur d'ecran est active avec le delai que vous avez defini
4. La case A la reprise, afficher l'ecran de connexion est cochee et grisee

Si les champs sont toujours modifiables, verifiez avec gpresult /r que la GPO est bien appliquee. Le probleme le plus courant est un oubli de liaison de la GPO a l'OU contenant l'utilisateur de test.

Themes et couleurs¶

Les themes Windows regroupent le fond d'ecran, les couleurs, les sons et le curseur dans un ensemble coherent. Par GPO, on peut forcer un theme specifique ou empecher les utilisateurs de le modifier.

Les parametres disponibles¶

Les parametres de themes se trouvent dans deux emplacements :

Configuration utilisateur > Strategies > Modeles d'administration > Panneau de configuration > Personnalisation

Forcer un theme¶

Pour forcer un theme specifique :

1. Creez ou recuperez un fichier .theme (les themes par defaut de Windows se trouvent dans C:\Windows\Resources\Themes\)
2. Placez le fichier sur un partage reseau : \\serveur\partage\config\entreprise.theme
3. Dans l'editeur de GPO :
   1. Double-cliquez sur Charger un theme specifique
   2. Selectionnez Active
   3. Dans le champ Chemin du fichier de theme, entrez le chemin UNC
   4. Cliquez OK
4. Activez aussi Empecher la modification du theme pour que l'utilisateur ne puisse pas le remplacer

Exercice : personnaliser le bureau et le menu Demarrer via GPO¶

Il est temps de mettre tout ca en pratique. On va creer une GPO complete qui standardise l'environnement de bureau pour tous les utilisateurs d'une OU.

Objectif : creer la GPO CFG-Utilisateurs-EnvironnementBureau qui :

• Impose un fond d'ecran d'entreprise
• Verrouille la barre des taches
• Force l'economiseur d'ecran avec verrouillage apres 15 minutes
• :material-desktop-mac: Masque les icones systeme inutiles du bureau

Duree estimee : 15-20 minutes.

Prerequis :

• L'OU de test OU-Test-GPO est en place (chapitre 5)
• Un poste et un utilisateur de test sont dans cette OU
• Une image de fond d'ecran est disponible sur un partage reseau

Etape 1 : Creer la GPO¶

1. Ouvrez gpmc.msc
2. Naviguez vers Objets de strategie de groupe
3. Clic droit > Nouveau
4. Nom : CFG-Utilisateurs-EnvironnementBureau
5. Cliquez OK

Etape 2 : Configurer le fond d'ecran¶

1. Clic droit sur CFG-Utilisateurs-EnvironnementBureau > Modifier...
2. Naviguez vers : Configuration utilisateur > Strategies > Modeles d'administration > Bureau > Bureau
3. Double-cliquez sur Papier peint du Bureau
4. Selectionnez Active
5. Nom du papier peint : \\serveur\partage\images\fond-ecran-entreprise.jpg
6. Style du papier peint : Remplissage
7. Cliquez OK

Etape 3 : Verrouiller la barre des taches¶

1. Naviguez vers : Configuration utilisateur > Strategies > Modeles d'administration > Menu Demarrer et barre des taches
2. Double-cliquez sur Verrouiller la barre des taches → Active → OK
3. Double-cliquez sur Supprimer l'acces au menu contextuel de la barre des taches → Active → OK
4. Double-cliquez sur Masquer le bouton Affichage des taches → Active → OK

Etape 4 : Configurer l'economiseur d'ecran¶

1. Naviguez vers : Configuration utilisateur > Strategies > Modeles d'administration > Panneau de configuration > Personnalisation
2. Double-cliquez sur Activer l'economiseur d'ecran → Active → OK
3. Double-cliquez sur Proteger l'economiseur d'ecran par mot de passe → Active → OK
4. Double-cliquez sur Delai de l'economiseur d'ecran → Active → Secondes : 900 → OK

Etape 5 : Masquer les icones systeme¶

1. Naviguez vers : Configuration utilisateur > Strategies > Modeles d'administration > Bureau
2. Double-cliquez sur Supprimer l'icone de la Corbeille du bureau → Active → OK
3. Double-cliquez sur Supprimer l'icone Voisinage reseau du bureau → Active → OK

Etape 6 : Lier a l'OU de test¶

1. Fermez l'editeur de GPO
2. Dans gpmc.msc, naviguez vers OU-Test-GPO
3. Clic droit > Lier un objet de strategie de groupe existant...
4. Selectionnez CFG-Utilisateurs-EnvironnementBureau
5. Cliquez OK

Etape 7 : Verifier¶

Sur le poste de test, connecte avec le compte utilisateur de test :

gpupdate /force

Puis fermez et rouvrez la session (certains parametres ne prennent effet qu'a l'ouverture de session).

Verifiez les points suivants :

Confirmez avec gpresult /r /scope:user :

gpresult /r /scope:user

RESULTAT UTILISATEUR
--------------------

    Objets de strategie de groupe appliques
    ----------------------------------------
        CFG-Utilisateurs-EnvironnementBureau
        Default Domain Policy

Recapitulatif complet¶

Voici le tableau de synthese de tous les parametres couverts dans ce chapitre :

Et maintenant ?¶

Vous savez desormais controler l'apparence et le comportement du bureau Windows par GPO. Vos postes ont tous le meme fond d'ecran, la barre des taches est verrouillee, et l'economiseur d'ecran protege les sessions inactives.

Mais il reste un sujet critique que tout administrateur doit maitriser : les mises a jour Windows. Comment s'assurer que tous les postes installent les correctifs de securite a temps ? Comment eviter qu'une mise a jour ne casse une application metier ? Comment planifier les redemarrages pour ne pas interrompre le travail des utilisateurs ?

C'est exactement ce que couvre le chapitre 9 : Configurer Windows Update par GPO.