Windows Server 2025 / Créer un GPO et le lier à une UO

Un objet de stratégie de groupe (Group Policy Object, GPO) contient des paramètres pour les utilisateurs et les ordinateurs. Dans Active Directory (AD), un lien vers un site, un domaine ou une unité d'organisation (UO) définit où le GPO peut s'appliquer. Les paramètres ordinateur suivent l'emplacement de l'objet ordinateur et les autres conditions d'application, pas l'UO de l'utilisateur connecté.

Limitez l’essai à l’ordinateur prévu

CLIENT1 doit appartenir à ad.example.test et son objet doit se trouver dans Lab\Workstations. Ne faites pas cet essai sur la stratégie de domaine par défaut ni sur l'UO des contrôleurs de domaine. Pour tester un paramètre ordinateur, le compte standard labuser1 peut rester dans LabUsers.

Ouvrez la console de gestion des stratégies de groupe (GPMC) avec gpmc.msc sur DC1 ou un poste doté de RSAT. Il faut les droits de créer, modifier et lier un GPO. Réservez ces opérations à un compte privilégié et consultez les concepts de stratégie de groupe de Microsoft.

Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName

Créez et liez le GPO à Workstations

1. Dans GPMC, développez la forêt et le domaine ad.example.test jusqu'à Lab → Workstations.
2. Sur Workstations, choisissez Créer un objet GPO dans ce domaine, et le lier ici.
3. Nommez le GPO Lab-Computer-Message.
4. Dans l'onglet Étendue, vérifiez le lien sur Workstations et son état activé. Ne modifiez ni l'application forcée (Enforced) ni le filtrage WMI pour ce premier essai.
5. Conservez le filtrage de sécurité par défaut pour le premier test, puis enregistrez le GPO.

Un GPO visible sous Objets de stratégie de groupe n'est pas nécessairement lié à cette UO. Le même GPO peut avoir plusieurs liens ; vérifiez ses autres usages avant de le modifier. Consultez la documentation des liens GPO.

Configurez un message de connexion visible pour l'ordinateur

Utilisez un message d'essai neutre, sans affaiblir la sécurité ni le présenter comme une mention légale de l'organisation.

1. Modifiez Lab-Computer-Message sous Configuration ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Stratégies locales → Options de sécurité.
2. Pour Ouverture de session interactive : titre du message pour les utilisateurs essayant de se connecter, saisissez un titre d'essai tel que Laboratoire Windows Server.
3. Dans le paramètre de texte du message correspondant, saisissez Laboratoire du cours Windows Server.
4. Enregistrez, puis vérifiez le titre et le texte dans l'onglet Paramètres de GPMC.

Le titre et le texte sont deux paramètres distincts affichés ensemble. La correspondance des paramètres documentée par Microsoft permet de confirmer leur rôle ; cet exercice utilise un GPO, sans ajouter de déploiement de gestion des appareils mobiles (MDM).

Vérifiez le résultat côté client

Sur CLIENT1, ouvrez une session PowerShell avec élévation pour actualiser la stratégie ordinateur et produire un rapport horodaté :

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gpresult-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

Dans le rapport, vérifiez que le GPO est appliqué et quelle stratégie fournit le paramètre. Enregistrez votre travail, déconnectez-vous, puis vérifiez le message à la connexion suivante. Le rapport GPO et le message visible sont deux contrôles distincts. Certains paramètres exigent une nouvelle connexion ou un redémarrage : un gpupdate réussi ne garantit pas un effet immédiat dans la session en cours.

Annulez les paramètres de façon contrôlée

Pour retirer le message, vérifiez comment ces deux paramètres reviennent à leur état précédent, effacez les valeurs selon le cas et actualisez la stratégie sur CLIENT1. Mettre un paramètre sur Non configuré ou retirer un lien ne restaure pas systématiquement la valeur précédente de tous les types de stratégies.

Retirer le lien d'une UO ne supprime pas le GPO, qui peut être lié ailleurs. Conservez ce GPO pour l'exercice de priorité qui suit. Si le message n'apparaît pas, vérifiez l'UO de CLIENT1, la section ordinateur du GPO, les liens, le filtrage, les autorisations et l'accès au contrôleur avant d'étendre le lien à tout le domaine.