Strategies de groupe pour debutants¶

C'est quoi une strategie de groupe ?¶

L'analogie de l'ecole¶

Imaginez une ecole. Il y a des regles qui s'appliquent a tout le monde dans l'etablissement : pas de telephone en classe, uniforme obligatoire, horaires fixes. Ces regles viennent de la direction (l'equivalent de la configuration Ordinateur).

Ensuite, chaque professeur peut ajouter ses propres regles pour sa classe : pas de calculatrice pendant le controle, places attribuees. Ces regles s'appliquent uniquement aux eleves de cette classe (l'equivalent de la configuration Utilisateur).

Les strategies de groupe, c'est exactement ca : un systeme qui permet a Windows de forcer certains reglages, soit pour tout l'ordinateur, soit pour un utilisateur en particulier.

Pourquoi ca existe ?¶

Vous avez peut-etre deja remarque que certains reglages sont grises sur votre PC de travail. Impossible de changer le fond d'ecran, de desactiver l'antivirus ou d'installer un logiciel. Ce n'est pas un bug : c'est une strategie de groupe qui vous en empeche.

Les deux grands types¶

gpedit.msc : l'editeur de strategies locales¶

Comment l'ouvrir¶

L'interface¶

L'editeur ressemble a l'Explorateur de fichiers, avec un panneau de gauche (les dossiers) et un panneau de droite (le contenu).

┌─ Editeur de strategie de groupe locale ──────────────────────────┐
│                                                                   │
│  ▼ Strategie Ordinateur local                                     │
│    ▼ Configuration ordinateur    │  Parametre        Etat         │
│      ▶ Parametres du logiciel   │  ────────────     ──────        │
│      ▶ Parametres Windows       │  Reglage 1        Non configure │
│      ▼ Modeles d'administration │  Reglage 2        Active        │
│        ▶ Panneau de config...   │  Reglage 3        Desactive     │
│        ▶ Reseau                 │                                  │
│        ▶ Systeme                │                                  │
│    ▼ Configuration utilisateur   │                                 │
│      ▶ Parametres du logiciel   │                                  │
│      ▶ Parametres Windows       │                                  │
│      ▼ Modeles d'administration │                                  │
│                                                                    │
└────────────────────────────────────────────────────────────────────┘

Les trois etats d'un parametre¶

Quand vous double-cliquez sur un parametre, une fenetre s'ouvre avec trois choix :

Naviguer dans gpedit¶

L'arborescence peut sembler intimidante au debut. Voici quelques reperes :

Le dossier Modeles d'administration est celui que vous utiliserez le plus souvent. Il contient des centaines de parametres organises par categorie : Panneau de configuration, Bureau, Reseau, Systeme, Composants Windows...

3 exemples concrets¶

Pour chaque exemple, on vous donne le chemin exact dans gpedit et la cle de registre correspondante. Ainsi, vous pouvez utiliser la methode qui vous convient.

Exemple 1 : Interdire l'acces au Panneau de configuration¶

Chemin dans gpedit :

Configuration utilisateur
  → Modeles d'administration
    → Panneau de configuration
      → Interdire l'acces au Panneau de configuration et aux parametres PC

Ce que ca fait : quand un utilisateur essaie d'ouvrir le Panneau de configuration ou les Parametres Windows, il recoit un message "Cette operation a ete annulee en raison de restrictions...".

Ce que ca ecrit dans le registre :

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
    "NoControlPanel" = dword:00000001

# Check if Control Panel access is blocked
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoControlPanel

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
    NoControlPanel    REG_DWORD    0x1

Exemple 2 : Desactiver le telechargement automatique de pilotes¶

Chemin dans gpedit :

Configuration ordinateur
  → Modeles d'administration
    → Systeme
      → Installation de peripheriques
        → Restrictions d'installation de peripheriques
          → Empecher l'installation de peripheriques non decrits
            par d'autres parametres de strategie

Ce que ca fait : Windows ne telecharge plus automatiquement les pilotes via Windows Update. Utile si une mise a jour de pilote cause des problemes.

Ce que ca ecrit dans le registre :

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions
    "DenyUnspecified" = dword:00000001

Exemple 3 : Forcer un fond d'ecran¶

Chemin dans gpedit :

Configuration utilisateur
  → Modeles d'administration
    → Bureau
      → Bureau
        → Papier peint du Bureau

Ce que ca fait : tous les utilisateurs ont le meme fond d'ecran, et ils ne peuvent pas le changer.

Ce que ca ecrit dans le registre :

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
    "Wallpaper"      = "C:\Chemin\Vers\Image.jpg"
    "WallpaperStyle" = "2"

Le lien avec le registre¶

Ce qui se passe en coulisses¶

Quand vous activez un parametre dans gpedit.msc, Windows ne fait qu'une seule chose : ecrire une valeur dans le registre, dans une zone speciale reservee aux strategies.

Les strategies s'ecrivent dans des sous-cles Policies :

Visualiser le mecanisme¶

┌─────────────────────────────────────┐
│         gpedit.msc                  │
│  "Activer le parametre X"          │
└──────────────┬──────────────────────┘
               │ ecrit dans
               ▼
┌─────────────────────────────────────┐
│         Registre                    │
│  HKLM\SOFTWARE\Policies\...        │
│  ou HKCU\Software\Policies\...     │
└──────────────┬──────────────────────┘
               │ lu par
               ▼
┌─────────────────────────────────────┐
│         Windows                     │
│  Applique le reglage force          │
│  (et grise l'option dans les        │
│   Parametres)                       │
└─────────────────────────────────────┘

Exercice de verification¶

gpedit n'est pas disponible sur Windows Home¶

Si vous avez Windows Home (Famille), pas de gpedit.msc. Mais pas de panique : puisque les strategies de groupe ne font qu'ecrire dans le registre, vous pouvez ecrire directement les memes valeurs avec Regedit.

Les 10 strategies les plus utiles¶

Voici les 10 modifications les plus couramment appliquees via gpedit, avec leur equivalent registre pour Windows Home :

| 10 | Bloquer le Microsoft Store | HKLM\SOFTWARE\Policies\Microsoft\WindowsStore | RemoveWindowsStore | REG_DWORD | 1 |

# Block access to Control Panel and Settings
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoControlPanel /t REG_DWORD /d 1 /f

L'operation a reussi.

# Restore access to Control Panel and Settings
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoControlPanel /f

The operation completed successfully.

Attention aux entreprises¶

Votre PC de travail, c'est different¶

Si votre PC est fourni par votre employeur, les strategies de groupe ne viennent probablement pas de votre machine locale. Elles arrivent d'un serveur central appele Active Directory (ou Entra ID / Intune pour les environnements modernes).

Comment savoir si votre PC est gere ?¶

Quelques indices qui ne trompent pas :

• Certains reglages dans les Parametres sont grises avec le message "Certains parametres sont geres par votre organisation"
• Vous ne pouvez pas installer certains logiciels
• Votre fond d'ecran ou ecran de verrouillage est impose
• Des logiciels d'entreprise (antivirus, VPN) sont installes sans que vous les ayez choisis

Verifier les strategies appliquees¶

Pour voir les strategies qui s'appliquent a votre PC, ouvrez une invite de commandes en administrateur et tapez :

REM Display applied Group Policies summary
gpresult /r

RESULTATS DE LA STRATEGIE DE GROUPE
------------------------------------
Nom de l'ordinateur : PC-BUREAU
Nom du domaine      : ENTREPRISE.LOCAL

CONFIGURATION ORDINATEUR
  Objets de strategie de groupe appliques :
    Default Domain Policy
    Securite-Postes-Travail
    Restrictions-USB

CONFIGURATION UTILISATEUR
  Objets de strategie de groupe appliques :
    Default Domain Policy
    Bureau-Standard-Employes

REM Generate detailed Group Policy report as HTML
gpresult /h C:\Users\%USERNAME%\Desktop\rapport-gpo.html

Un fichier rapport-gpo.html est cree sur le Bureau.

Ne tentez pas de contourner¶