Windows Server 2025 / Comprendre la priorité et l’héritage des GPO

Par défaut, les stratégies de groupe s'appliquent dans l'ordre local, site, domaine, puis unités d'organisation (UO) parentes et enfants. Si le même paramètre diffère, le résultat dépend aussi de l'ordre des liens, des liens imposés, du blocage de l'héritage et du filtrage. Un rapport de stratégie permet d'identifier le GPO qui fournit réellement la valeur gagnante.

Comprenez la priorité par défaut et ses exceptions

Les paramètres sont cumulatifs : un GPO traité plus tard ne supprime pas tous les autres paramètres définis par les GPO précédents. La documentation Microsoft sur le traitement des stratégies de groupe décrit l'ordre par défaut et ses exceptions.

Le filtrage de sécurité et les filtres Windows Management Instrumentation (WMI) peuvent exclure un GPO. Les sections utilisateur et ordinateur suivent aussi les emplacements de leurs objets respectifs. Vérifiez la source effective avant d'activer un lien imposé pour masquer un problème.

Enregistrez la configuration existante

CLIENT1 se trouve dans Lab\Workstations. Le GPO enfant Lab-Computer-Message, créé dans la leçon précédente, fournit le titre Laboratoire Windows Server et le texte Laboratoire du cours Windows Server. Notez l'ordre des liens, les options d'imposition, les filtres et ces deux valeurs. Faites l'essai dans le laboratoire isolé ; ne modifiez pas l'imposition ou l'héritage d'un domaine utilisé en production.

Ajoutez un GPO parent avec le même texte de message ; seul le titre change. Cette comparaison isole ainsi une variable.

Définissez le même paramètre dans les UO parent et enfant

1. Créez Lab-Parent-Message et liez-le à l'UO parent Lab.
2. Dans Options de sécurité, définissez son titre de message de connexion ordinateur sur Laboratoire Parent.
3. Définissez le texte sur Laboratoire du cours Windows Server, identique à celui du GPO enfant.
4. Conservez le titre Laboratoire Windows Server dans le GPO enfant, sans imposer de lien ni ajouter de filtre.
5. Actualisez la stratégie de CLIENT1, puis examinez le rapport et le message lors d'une nouvelle connexion.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gp-order-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

Dans ces conditions, le titre Laboratoire Windows Server du GPO enfant doit prévaloir. Si ce n'est pas le cas, consultez la source indiquée dans le rapport et l'emplacement réel de CLIENT1 ; un autre GPO peut participer au résultat.

Désactivez temporairement le seul lien enfant

1. Désactivez le lien Lab-Computer-Message sur l'UO Workstations, sans désactiver la section ordinateur de tout le GPO.
2. Actualisez la stratégie et examinez un nouveau rapport ainsi qu'une nouvelle connexion.
3. Vérifiez si Lab-Parent-Message devient la source du titre Laboratoire Parent.
4. Réactivez le lien enfant, actualisez la stratégie et confirmez le retour du titre et de la source initiaux.

Cette comparaison porte sur deux GPO qui définissent des valeurs différentes pour un même paramètre. Elle ne prouve pas que tout paramètre revient automatiquement à son état initial lorsqu'un lien est retiré. Ne changez pas les filtres pendant l'essai.

Supprimez uniquement la configuration d'essai

Avant de retirer le lien de Lab-Parent-Message, vérifiez tous ses usages. Supprimez le GPO lui-même seulement s'il ne sert nulle part ailleurs. Contrôlez ensuite le lien enfant et le retour des paramètres d'origine.

Pour comparer des paramètres utilisateur, examinez l'UO du compte utilisateur. Un GPO contenant seulement des paramètres utilisateur et lié à l'UO d'un ordinateur ne suit normalement pas cet ordinateur de la même façon. Le traitement en boucle (loopback) est un mécanisme distinct à planifier séparément. Consultez la portée des stratégies de groupe documentée par Microsoft.