Windows Server 2025 / Diagnostiquer un GPO qui ne s'applique pas

Si un paramètre de stratégie de groupe ne s'applique pas, vérifiez successivement le contenu du GPO, son lien et sa portée, les filtres et autorisations, la connectivité au domaine, puis le résultat observé sur le client. Le rapport gpresult peut indiquer pourquoi un GPO a été refusé ou quelle stratégie a gagné ; il est plus utile qu'une répétition de gpupdate sans diagnostic.

Identifier le compte, l'ordinateur et le réglage concernés

Si le message de connexion « Laboratoire Windows Server » configuré dans les exercices précédents manque sur CLIENT1, notez le nom de l'ordinateur, son unité d'organisation (OU) et le GPO concerné. Pour un réglage utilisateur, identifiez le compte réellement connecté et son OU. Déterminez si le problème touche un seul réglage, l'ensemble du GPO ou plusieurs clients.

Pendant la réplication, deux contrôleurs de domaine peuvent momentanément présenter des versions différentes. La procédure Microsoft de dépannage des stratégies de groupe s'appuie sur les rapports de résultat et les journaux d'événements pour identifier la cause.

hostname
whoami
$env:LOGONSERVER
Get-CimInstance Win32_ComputerSystem | Select-Object Domain,PartOfDomain

Examiner le contenu et les liens dans la console GPMC

1. Dans l'onglet Paramètres du GPO, confirmez que la valeur attendue a bien été enregistrée.
2. Vérifiez si elle relève de Configuration ordinateur ou de Configuration utilisateur.
3. Contrôlez l'OU liée, l'état du lien et l'activation de la section concernée du GPO.
4. Dans le filtrage de sécurité et la délégation, distinguez l'autorisation Lire de l'autorisation Appliquer la stratégie de groupe.
5. Examinez aussi le filtre Windows Management Instrumentation (WMI), le blocage de l'héritage et les liens imposés.

Retirer « Utilisateurs authentifiés » ne suffit pas à définir une portée restreinte correcte. Pour traiter une stratégie utilisateur, le compte d'ordinateur peut aussi avoir besoin du droit de lecture du GPO. Consultez la documentation sur la portée et le filtrage des GPO.

Recueillir le résultat appliqué au client

Sur CLIENT1, ouvrez une console élevée pour les requêtes concernant l'ordinateur. Exécutez la dernière ligne, relative à l'utilisateur, dans la session du compte réellement touché ; si l'élévation ouvre la session d'un autre administrateur, lancez cette ligne séparément dans la session de l'utilisateur :

$reportDirectory = Join-Path $env:TEMP ('gp-check-' + (Get-Date -Format 'yyyyMMdd-HHmmss'))
New-Item -ItemType Directory -Path $reportDirectory | Out-Null
gpresult /r /scope computer
gpresult /scope computer /h (Join-Path $reportDirectory 'computer.html')
gpresult /r /scope user

La présence d'un GPO dans la liste des stratégies appliquées ne garantit pas que chaque réglage a produit l'effet attendu. Vérifiez la version de Windows prise en charge, le modèle administratif, la section ordinateur ou utilisateur et le traitement de l'extension concernée.

Rapprocher DNS, SYSVOL, réplication et événements

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV
Test-Path '\\ad.example.test\SYSVOL'
Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 30 | Select-Object TimeCreated,Id,LevelDisplayName,Message

Un DNS incorrect ou un dossier SYSVOL inaccessible peut empêcher le client d'obtenir les stratégies. Si Test-Path renvoie True, cela confirme seulement l'accès au chemin ; les fichiers et leurs autorisations peuvent encore poser problème. Pour relier les événements d'une même tentative, comparez leur heure et leur identifiant d'activité (ActivityID).

Un GPO possède une partie dans AD DS et une autre dans SYSVOL. Vérifiez la réplication entre DC1 et DC2 plutôt que de vous fier à la seule liste des dossiers. N'écrasez pas les données depuis un ancien contrôleur et ne supprimez pas SYSVOL comme réparation générale.

Corriger une cause confirmée et vérifier de nouveau

Corrigez une seule cause identifiée, actualisez la stratégie sur le client concerné, puis reconnectez l'utilisateur ou redémarrez uniquement si le type de réglage l'exige :

gpupdate /target:computer /force

Générez un nouveau rapport et comparez la valeur prévue, le GPO qui fournit la valeur finale et le comportement réel. Consultez les cas particuliers du traitement des stratégies de groupe. Si la correction ne résout pas le problème, annulez-la et conservez l'erreur ainsi que l'heure de collecte pour poursuivre le diagnostic.

Les rapports HTML et les journaux d'événements peuvent contenir des noms de comptes et d'ordinateurs, des domaines et des chemins internes. Examinez ces données et limitez-les avant toute publication du diagnostic.