Les stratégies de groupe et l’option « Appliqué » (Enforced)
I. Présentation
Dans le chapitre précédent, nous avons vu comment créer et appliquer notre première GPO. Les plus curieux d'entre vous ont peut-être remarqué que dans les propriétés de la liaison, il y avait un paramètre intitulé "Appliqué". Compte tenu de l'importance de ce paramètre et du mauvais usage qui en est fait, j'ai décidé de lui dédier un chapitre.
II. Option "Appliqué" : explications
Je vais reprendre la GPO créée précédemment, et qui je vous le rappelle, fonctionnait parfaitement sur le poste client.
Dans la console GPMC, lorsque je clic sur la GPO, sur la droite au sein de l'onglet "Étendue", nous avons la partie "Liaisons". Dans cette partie, nous retrouvons autant de lignes que la GPO a de liaisons. Autrement dit, si la GPO est liée à 5 unités d'organisations différentes, il y aurait 5 lignes, chaque liaison ayant ses propres paramètres.
La question que l'on peut se poser : comment cela se fait-il que la GPO fonctionnait sur le poste client alors que le paramètre "Appliqué" et sur "Non" ?
La réponse est plutôt simple : ce n'est pas ce paramètre qui indique si la GPO s'applique ou non. Par contre, si le paramètre "Lien activé" était sur "Non" là je peux vous garantir qu'elle ne s'appliquerait pas.
En fait, l'option "Appliqué" est très mal traduite ! Avant traduction, en anglais donc, le terme est : Enforced.
Imaginons que nous avons une GPO contenant des paramètres de sécurité sensibles et qui doivent être impérativement appliqués sur l'ensemble des postes, le tout sans qu'il soit possible de remplacer ces paramètres. Alors, activez l'option "Appliqué". Même si la GPO s'applique au niveau du domaine, qu'elle active un paramètre, qui est lui-même désactivé dans une autre GPO positionnée sur l'OU où se trouve l'objet cible, ce sera la GPO "Enforced" qui gagnera.
Nous verrons plus tard la notion d'héritage, mais en temps normal si l'on désactive l'héritage des GPO sur une OU, vont s'appliquer uniquement les GPO liées directement sur l'OU. Sauf que si une GPO est Enforced, elle s'appliquera même si l'héritage est désactivé !
Cette option doit être utilisée à bon escient, et surtout ne l'activez pas par défaut, cela est plus source de problèmes qu'autre chose. Si une GPO ne s'applique pas, le problème est surement ailleurs.
Maintenant que vous connaissez le véritable intérêt de l'option "Appliqué", s'il vous plaît, ne faites pas partie de ceux qui l'activent sur toutes les stratégies de groupe ?
