Mon premier diagnostic GPO¶

La question de depart¶

"Ma GPO ne marche pas."

C'est la phrase la plus prononcee par les administrateurs Windows debutants. Et la bonne nouvelle : il y a toujours une raison. Les GPO n'ont pas de caprices. Elles suivent des regles tres precises.

Imaginez une voiture qui refuse de demarrer. Elle ne refuse pas par mauvaise volonte. Il y a une cause : batterie decharge, panne d'essence, contacteur defectueux. On n'appelle pas un voyant pour "demander a la voiture pourquoi". On suit une methode de diagnostic systematique.

C'est exactement pareil avec les GPO.

Etape 1 : gpresult /r — le verdict rapide¶

gpresult est la commande la plus importante du diagnostic GPO. Elle demande a Windows : "Quelles GPO s'appliquent sur cette machine, pour cet utilisateur ?"

Comment l'executer¶

Ouvrez une invite de commandes standard sur l'ordinateur concerne et tapez :

gpresult /r

gpresult /r /user contoso\jean.dupont

Lire le resultat¶

La sortie de gpresult /r est divisee en deux grandes sections. Voici ce qu'elle ressemble sur un poste de domaine :

Microsoft (R) Windows (R) Operating System Group Policy Result tool v2.0
Copyright (C) Microsoft Corporation. All rights reserved.

Cree le 05/04/2026 a 09:14:32


INFORMATIONS DU SYSTEME
-----------------------
Nom de l'ordinateur :    PC-DUPONT
Nom du domaine :         contoso.local
Site :                   Default-First-Site-Name
Type de systeme d'exploitation : Microsoft Windows 11 Professionnel
Version du systeme d'exploitation : 10.0.22631
Nom du controleur de domaine :  \\DC01.contoso.local
Heure du dernier traitement des strategies de groupe : 05/04/2026 a 08:47:18


PARAMETRES DE L'ORDINATEUR
---------------------------
Nom CN :                 CN=PC-DUPONT,OU=Postes,OU=Paris,DC=contoso,DC=local

Objets de strategie de groupe appliques
-----------------------------------------
    Default Domain Policy
    SEC-Postes-BaselineSecurite
    CFG-WindowsUpdate-Mensuel

Objets de strategie de groupe refuses
---------------------------------------
    GPO-Test-FondEcran
        Filtrage : Acces refuse (securite)

La strategie de groupe a ete appliquee a la derniere connexion.


PARAMETRES DE L'UTILISATEUR
----------------------------
Nom CN :                 CN=Jean Dupont,OU=Utilisateurs,OU=Paris,DC=contoso,DC=local

Objets de strategie de groupe appliques
-----------------------------------------
    Default Domain Policy
    USR-Restrictions-Chrome

Objets de strategie de groupe refuses
---------------------------------------
    GPO-Test-FondEcran
        Filtrage : Acces refuse (securite)

Les trois zones a surveiller¶

Etape 2 : gpresult /h — le rapport HTML complet¶

Quand gpresult /r ne suffit pas, ou quand vous voulez voir les valeurs exactes de chaque parametre applique, generez le rapport HTML. Il contient tout ce que /r affiche, plus les details de chaque parametre GPO.

Generer et ouvrir le rapport¶

gpresult /h C:\Temp\rapport-gpo.html && start C:\Temp\rapport-gpo.html

Le fichier rapport-gpo.html a ete cree dans C:\Temp.
Le navigateur s'ouvre automatiquement avec le rapport.

mkdir C:\Temp

Ce qu'on trouve dans le rapport¶

Le rapport HTML s'ouvre dans votre navigateur. Il est interactif : on peut deplier et replier les sections.

Modeles d'administration : Windows Update
  Configurer les mises a jour automatiques
    Valeur : Active — Telechargement automatique et installation
    GPO gagnante : CFG-WindowsUpdate-Mensuel

Etape 3 : rsop.msc — la vue graphique¶

rsop.msc signifie Resultant Set of Policy. C'est la "vue effective" de toutes les GPO appliquees sur la machine courante, presentee comme gpedit.msc.

La difference fondamentale :

Comment ouvrir rsop.msc¶

Naviguer dans rsop.msc¶

L'arborescence est identique a gpedit.msc. Naviguez vers le parametre que vous cherchez.

Exemple : vous voulez verifier si le parametre "Configurer Windows Update" est bien applique.

Configuration ordinateur
  → Modeles d'administration
    → Composants Windows
      → Windows Update
        → Configurer les mises a jour automatiques

Double-cliquez sur le parametre. Une fenetre s'ouvre avec :

• La valeur actuelle (Active / Desactive / Non configure)
• Le nom de la GPO qui l'a defini (c'est la difference cle avec gpedit)
• La priorite (si plusieurs GPO definissent ce parametre)

Les 5 raisons les plus courantes d'echec¶

Dans 95 % des cas, une GPO qui ne s'applique pas est due a l'une de ces cinq causes. Apprenez a les reconnaitre et vous resoudrez la plupart des problemes en quelques minutes.

Cause 1 : Filtrage de securite¶

C'est la cause numero 1. Par defaut, une GPO s'applique a Utilisateurs authentifies (Authenticated Users). Quand quelqu'un cree un filtrage de securite personnalise, il est facile d'oublier d'y ajouter les objets concernes.

Symptome dans gpresult /r :

Objets de strategie de groupe refuses
---------------------------------------
    GPO-Test-FondEcran
        Filtrage : Acces refuse (securite)

Solution : Ouvrez la GPMC, cliquez sur la GPO, allez dans l'onglet Etendue. Dans la section Filtrage de securite, verifiez que l'ordinateur (ou l'utilisateur) est bien present dans la liste, ou qu'il est membre d'un groupe qui y figure.

Cause 2 : Mauvaise OU¶

Une GPO est liee a une OU. Elle s'applique uniquement aux objets (ordinateurs ou utilisateurs) qui sont dans cette OU ou dans ses OU enfants.

Symptome dans gpresult /r : la GPO n'apparait nulle part, ni dans les GPO appliquees ni dans les GPO refusees.

Solution : Verifiez ou se trouve l'objet dans Active Directory. Ouvrez dsa.msc (Utilisateurs et ordinateurs Active Directory) et localisez l'objet. Comparez son OU avec celle ou la GPO est liee.

# Find the OU of a computer object in AD
Get-ADComputer -Identity "PC-DUPONT" -Properties DistinguishedName | Select DistinguishedName

DistinguishedName
-----------------
CN=PC-DUPONT,OU=Postes-Test,OU=Paris,DC=contoso,DC=local

Cause 3 : GPO desactivee¶

Une GPO peut etre partiellement ou totalement desactivee. Cela arrive souvent apres un test : quelqu'un desactive la GPO et oublie de la reactiver.

Symptome dans gpresult /r :

Objets de strategie de groupe refuses
---------------------------------------
    GPO-Test-FondEcran
        Desactivee (etat de la GPO)

Solution : Dans la GPMC, cliquez sur la GPO, allez dans l'onglet Details. Regardez le champ Etat de l'objet de strategie de groupe. Il peut valoir :

Cause 4 : Heritage bloque¶

Une OU peut bloquer l'heritage des GPO des OU parentes. Dans ce cas, les GPO liees aux OU parentes ne "descendent" plus jusqu'a cette OU.

Symptome : la GPO est liee a l'OU parente mais n'apparait pas dans gpresult /r pour un objet de l'OU enfant.

Solution : Dans la GPMC, selectionnez l'OU enfant. Si elle a l'option Bloquer l'heritage activee, vous verrez une icone bleue (point d'exclamation) sur l'OU. Pour desactiver : clic droit sur l'OU > Bloquer l'heritage (pour retirer le blocage).

Cause 5 : Filtre WMI qui echoue¶

Les filtres WMI permettent de conditionner l'application d'une GPO a un critere (version de Windows, espace disque, etc.). Si la requete WMI echoue ou retourne false, la GPO est refusee.

Symptome dans gpresult /r :

Objets de strategie de groupe refuses
---------------------------------------
    GPO-Win11-Seulement
        Filtrage : Filtre WMI non applicable

Solution : Testez la requete WMI manuellement sur le poste cible.

# Test a WMI filter query manually
Get-WmiObject -Query "SELECT * FROM Win32_OperatingSystem WHERE Version LIKE '10.0.2%'"

# If the query returns a result, the filter would pass
SystemDirectory : C:\Windows\system32
Organization    :
BuildNumber     : 22631
RegisteredUser  : Jean Dupont
SerialNumber    : 00000-00000-00000-00000
Version         : 10.0.22631

# If the query returns nothing, the filter fails and the GPO is denied

Etape 4 : Forcer le rafraichissement¶

Meme si votre diagnostic montre que tout est correct, les GPO ne s'appliquent peut-etre pas encore parce que le cycle de rafraichissement n'a pas eu lieu.

Par defaut, les GPO se rafraichissent toutes les 90 minutes (avec une variation aleatoire de 0 a 30 minutes) pour eviter que tous les postes interrogent le controleur de domaine en meme temps.

gpupdate /force¶

gpupdate /force

Mise a jour de la strategie...

Mise a jour de la strategie de configuration de l'ordinateur terminee correctement.
Mise a jour de la strategie de configuration utilisateur terminee correctement.

gpupdate /force force l'application immediate de toutes les GPO, meme celles qui n'ont pas change.

Les variantes de gpupdate¶

Certains parametres GPO ne peuvent pas s'appliquer en session active. Ils necessitent un redemarrage ou une deconnexion.

# Force GPO update on a remote computer
Invoke-GPUpdate -Computer "PC-DUPONT" -Force -RandomDelayInMinutes 0

Computer      : PC-DUPONT
StatusCode    : 0
StatusMessage : Mise a jour de la strategie de groupe terminee.

# Install RSAT Group Policy Management Tools
Add-WindowsCapability -Online -Name Rsat.GroupPolicy.Management.Tools~~~~0.0.1.0

Etape 5 : L'Observateur d'evenements¶

Quand gpresult /r ne suffit pas, l'Observateur d'evenements contient le journal detaille de chaque traitement GPO. Chaque fois que Windows applique ou refuse une GPO, il ecrit un evenement.

Ou trouver les evenements GPO¶

Le journal GPO est dans :

Applications and Services Logs
  → Microsoft
    → Windows
      → GroupPolicy
        → Operational

Les identifiants d'evenements importants¶

Lire un evenement GPO¶

Cliquez sur un evenement pour voir son detail dans le panneau du bas. Voici un exemple d'evenement 1058 :

Journal : Microsoft-Windows-GroupPolicy/Operational
Source : GroupPolicy
ID de l'evenement : 1058
Niveau : Erreur
Date : 05/04/2026 09:12:45

Le traitement de la strategie de groupe a echoue. Windows n'a pas pu appliquer
les parametres du registre pour l'objet de strategie de groupe
{31B2F340-016D-11D2-945F-00C04FB984F9}. La strategie de groupe sera reappliquee
lors du prochain traitement.

Plus d'informations : l'heure sur le client differe de plus de 5 minutes
par rapport au controleur de domaine.

net time /domain /set /yes

L'heure du serveur \\DC01.contoso.local est 05/04/2026 a 09:14:32.
L'heure actuelle du poste de travail local est 05/04/2026 a 09:14:33.
La commande a ete executee correctement.

Rechercher par activite¶

Chaque traitement GPO est identifie par un ID d'activite (ActivityID) unique. Tous les evenements du meme traitement partagent cet ID. Cela permet de reconstituer le "film" complet d'un traitement.

# Retrieve the last 20 GPO events
Get-WinEvent -LogName "Microsoft-Windows-GroupPolicy/Operational" -MaxEvents 20 |
    Select TimeCreated, Id, LevelDisplayName, Message |
    Format-Table -AutoSize

TimeCreated         Id  LevelDisplayName Message
-----------         --  ---------------- -------
05/04/2026 09:14:22 4016 Information     Le traitement de la strategie de groupe a demarre...
05/04/2026 09:14:22 5312 Information     La liste des objets de strategie de groupe applic...
05/04/2026 09:14:24 7016 Information     Le traitement de l'extension Registre s'est termi...
05/04/2026 09:14:25 7017 Information     Le traitement de la strategie de groupe s'est ter...

L'arbre de decision¶

Voici comment aborder systematiquement le diagnostic d'une GPO qui ne s'applique pas.

flowchart TD
    A["Ma GPO ne s'applique pas"] --> B["gpresult /r\nsur le poste cible"]

    B --> C{"La GPO\napparaît-elle ?"}

    C -->|"Absente\n(ni appliquee\nni refusee)"| D{"L'objet est-il\ndans la bonne OU ?"}

    D -->|"Non"| E["Deplacer l'objet\ndans la bonne OU\npuis gpupdate /force"]
    D -->|"Oui"| F{"La GPO\nest-elle liee\na cette OU ?"}

    F -->|"Non"| G["Lier la GPO\na l'OU dans la GPMC"]
    F -->|"Oui"| H{"Block Inheritance\nactif sur l'OU ?"}

    H -->|"Oui"| I["Retirer le Block Inheritance\nou utiliser Enforced sur la GPO"]
    H -->|"Non"| J["Verifier que la GPO\nest activee (onglet Details)"]

    C -->|"Refusee"| K{"Raison du refus ?"}

    K -->|"Acces refuse\n(securite)"| L["Ajouter l'objet\nau groupe de filtrage\nde securite"]
    K -->|"Filtre WMI\nnon applicable"| M["Tester la requete WMI\nsur le poste cible"]
    K -->|"Desactivee"| N["Reactiver la GPO\ndans l'onglet Details GPMC"]

    C -->|"Appliquee\nmais sans effet"| O{"gpresult /h :\nun autre parametre\necrase la valeur ?"}

    O -->|"Oui"| P["Identifier la GPO\ngagnante et ajuster\nla priorite ou l'heritage"]
    O -->|"Non"| Q{"Redemarrage\nrequis ?"}

    Q -->|"Oui"| R["Redemarrer le poste"]
    Q -->|"Non"| S["Verifier l'Observateur\nd'evenements\nGroupPolicy/Operational"]

    style A fill:#e64980,color:#fff
    style E fill:#51cf66,color:#fff
    style G fill:#51cf66,color:#fff
    style I fill:#51cf66,color:#fff
    style J fill:#fd7e14,color:#fff
    style L fill:#51cf66,color:#fff
    style M fill:#fd7e14,color:#fff
    style N fill:#51cf66,color:#fff
    style P fill:#51cf66,color:#fff
    style R fill:#51cf66,color:#fff
    style S fill:#fd7e14,color:#fff

Exercice de diagnostic¶

Il est temps de pratiquer. Voici un scenario realiste. Suivez chaque etape et reflechissez avant de lire la suite.

La situation¶

Vous venez de creer la GPO GPO-Postes-Chrome dans la GPMC. Elle doit deployer des parametres de Chrome (desactiver l'historique de navigation, forcer la page d'accueil de l'entreprise).

Vous avez lie la GPO a l'OU OU=Postes,DC=contoso,DC=local. Vous allez sur le poste PC-MARTIN, vous faites un gpupdate /force, puis vous lancez Chrome. Rien n'a change.

Que faites-vous ?

Etape de diagnostic 1 : gpresult /r¶

Vous ouvrez une invite de commandes standard sur PC-MARTIN et vous tapez gpresult /r.

PARAMETRES DE L'ORDINATEUR
---------------------------
Nom CN :  CN=PC-MARTIN,OU=Postes,DC=contoso,DC=local

Objets de strategie de groupe appliques
-----------------------------------------
    Default Domain Policy
    SEC-Postes-BaselineSecurite

Objets de strategie de groupe refuses
---------------------------------------
    GPO-Postes-Chrome
        Filtrage : Acces refuse (securite)

Qu'avez-vous trouve ? La GPO est bien liee a la bonne OU (l'ordinateur PC-MARTIN est dans OU=Postes). Mais elle est refusee a cause du filtrage de securite.

Etape de diagnostic 2 : verifier le filtrage de securite¶

Vous ouvrez la GPMC (gpmc.msc) et vous cliquez sur GPO-Postes-Chrome. Dans l'onglet Etendue, section Filtrage de securite, vous voyez :

Nom                           Type
----                          ----
GPO-Postes-Chrome-AutorisesGRP Groupe de securite

Le groupe GPO-Postes-Chrome-AutorisesGRP est dans le filtrage. Mais PC-MARTIN est-il membre de ce groupe ?

Etape de diagnostic 3 : verifier l'appartenance au groupe¶

# Check group membership of the computer account
Get-ADGroupMember -Identity "GPO-Postes-Chrome-AutorisesGRP" | Select Name

Name
----
PC-TEST01
PC-TEST02

La cause trouvee. PC-MARTIN n'est pas dans le groupe GPO-Postes-Chrome-AutorisesGRP. Quand vous avez cree la GPO, vous avez cree un filtrage personnalise mais vous avez oublie d'y ajouter les postes de production.

Etape de diagnostic 4 : corriger¶

# Add the computer to the GPO security filter group
Add-ADGroupMember -Identity "GPO-Postes-Chrome-AutorisesGRP" -Members "PC-MARTIN$"

# No output means success

Etape de diagnostic 5 : verifier et forcer¶

Maintenant, forcez le rafraichissement. Attention : les changements d'appartenance de groupe ne sont pris en compte qu'apres une reouverture de session ou un redemarrage (le token Kerberos doit etre regenere).

gpupdate /boot

Mise a jour de la strategie...
Pour appliquer les modifications des parametres de la strategie de groupe,
l'ordinateur doit etre redémarre.
Voulez-vous redemarrer maintenant ? (O/N) O

Apres le redemarrage, relancez gpresult /r. La GPO apparait maintenant dans les GPO appliquees. Chrome charge bien la page d'accueil de l'entreprise.

Tableau de reference rapide¶

Ce tableau est votre aide-memoire de diagnostic. Gardez-le sous la main.

Chapitre suivant : Les erreurs classiques a eviter — les pieges dans lesquels tombent meme les administrateurs experimentes, et comment les anticiper.