Notes
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Chapitre 2 : Configuration de l'infrastructure de domaine Active Directory
Dernière mise à jour le 20 octobre 2005
Sur cette page
Présentation
Création d'une unité d'organisation (UO) pour prendre en charge la gestion de la sécurité
Création d'un objet Stratégie de groupe (GPO) pour prendre en charge la gestion de la sécurité
Stratégie de groupe au niveau du domaine
Paramètres de la stratégie de mot de passe
Paramètres de stratégie de verrouillage du compte
Paramètres d'attribution des droits d'utilisateur
Paramètres des options de sécurité
Stratégie Kerberos
Stratégie de groupe au niveau de l'unité d'organisation
Outils de la stratégie de groupe
Résumé
Présentation
La stratégie de groupe est une fonctionnalité du service d'annuaire Active Directory® facilitant la gestion des changements et des configurations au sein des domaines Microsoft® Windows Server™ 2003 et Microsoft Windows® 2000 Server. Cependant, avant de pouvoir appliquer la stratégie de groupe aux clients Microsoft Windows XP Professionnel avec Service Pack 2 (SP2) de votre environnement, il convient d'exécuter certaines étapes préliminaires sur votre domaine.
Les paramètres de stratégie de groupe sont stockés dans des objets de stratégie de groupe (GPO, Group Policy Object) de la base de données Active Directory. Ces objets GPO sont liés à des conteneurs qui incluent les sites Active Directory, les domaines et les unités d'organisation (UO). Comme la stratégie de groupe est étroitement intégrée à Active Directory, il est important de connaître les bases de la structure d'Active Directory et ce qu'implique, au niveau de la sécurité, la configuration des options de conception avant d'implémenter la stratégie de groupe. Pour plus d'informations sur la structure d’Active Directory, consultez le Chapitre 3, « Stratégie de domaine » du guide de sécurité deWindows Server 2003.
La stratégie de groupe constitue un outil essentiel pour la sécurisation de Windows XP. Ce chapitre présente en détail comment utiliser la stratégie de groupe afin de mettre en œuvre et de gérer une stratégie de sécurité consistante au sein d'un réseau à partir d'un point central.
Ce guide fait état des options pour les environnements Client Entreprise (EC) et Sécurité spécialisée - Fonctionnalité limitée (SSLF). Les paramètres recommandés dans ce module sont identiques pour les ordinateurs de bureau et les ordinateurs portables ; il s'agit de paramètres spéciaux qui sont appliqués au niveau de la racine du domaine et non pas au niveau des unités d'organisation. Par exemple, les stratégies de verrouillage des comptes et de mots de passe pour les domaines Windows Server 2003 et Windows 2000 Server doivent être configurés par le biais d'un objet GPO lié à la racine du domaine. Les noms des fichiers modèles de sécurité de base pour les deux environnements différents sont :
EC-Domain.inf
SSLF-Domain.inf
Création d'une unité d'organisation (UO) pour prendre en charge la gestion de la sécurité
Une unité d'organisation est un conteneur au sein d'un domaine Active Directory. Une UO peut contenir des utilisateurs, des groupes, des ordinateurs et d'autres unités d'organisation appelées unités enfants. Vous pouvez lier un objet de stratégie de groupe (GPO) à une unité d'organisation. Les paramètres GPO seront appliqués aux utilisateurs et aux ordinateurs qui sont contenus dans cette UO et ses unités enfants. Pour faciliter l'administration, vous pouvez déléguer une autorité d'administration à chaque UO. Les unités d'organisation constituent un moyen simple de regrouper les utilisateurs, les ordinateurs et autres entités de sécurité. Elles offrent également une méthode efficace pour segmenter les limites administratives. Microsoft recommande que les entreprises assignent des utilisateurs et des ordinateurs à des unités d'organisation distinctes, car certains paramètres ne s'appliquent qu'à des utilisateurs et d'autres qu'à des ordinateurs.
De même, vous pouvez déléguer le contrôle d'un groupe ou d'une seule unité d'organisation via l'Assistant Délégation, disponible dans le composant logiciel enfichable Utilisateurs et ordinateurs Active Directory de la console MMC (Microsoft Management Console). Vous trouverez des liens vers la documentation sur la délégation d'autorité dans la section « Informations complémentaires » à la fin de ce chapitre.
L'un des principaux objectifs de la création d'une structure d'unités d'organisation pour tout environnement est de fournir les bases de l'implémentation d'une stratégie de groupe transparente qui couvrira toutes les stations de travail résidant dans Active Directory et ce, tout en s'assurant qu'elles sont conformes aux standards de sécurité de votre organisation. La structure d'unités d'organisation doit également être conçue pour fournir les paramètres de sécurité appropriés aux types spécifiques d'utilisateurs de l'organisation. Ainsi, les développeurs pourront être autorisés à effectuer certaines opérations sur leur station de travail alors que les utilisateurs moyens n'auront pas ce droit. Il est possible que les utilisateurs d'ordinateur portable aient des exigences de sécurité légèrement différentes de celles des utilisateurs d'ordinateur de bureau. La figure suivante illustre une simple structure d'unités d'organisation, suffisante pour présenter la stratégie de groupe dans ce chapitre. La structure de cette unité d'organisation peut différer des exigences d'organisation de votre environnement.
.gif)
Figure 2.1 Structure d'unités d'organisation pour ordinateurs Windows XP
Unité d'organisation de service
Comme les exigences de sécurité varient souvent au sein même d'une entreprise, il peut s'avérer utile de créer des unités d'organisation par service dans votre environnement. Les paramètres de sécurité d'un service peuvent être appliqués aux ordinateurs et utilisateurs par le biais d'un objet de stratégie de groupe et ce, dans chaque unité d'organisation de service.
Unité d'organisation des utilisateurs de XP sécurisé
Cette unité d'organisation contient les comptes des utilisateurs faisant partie à la fois des environnements EC et SSLF. Les paramètres appliqués à cette unité sont traités dans la section « Configuration utilisateur » du chapitre 4, « Modèles d'administration pour Windows XP ».
Unité d'organisation Windows XP
Cette unité d'organisation contient des unités enfants pour chaque type d'ordinateur client Windows XP de votre environnement. Des conseils sont inclus dans ce guide pour les ordinateurs de bureau et les portables. C'est pour cette raison que nous avons créé une unité d'organisation Bureau et une unité Portable.
Unité d'organisation Bureau. Cette unité d'organisation contient tous les ordinateurs de bureau connectés en permanence au réseau de votre société. Les paramètres appliqués à cette unité sont traités en détail au chapitre 3, « Paramètres de Sécurité pour les clients Windows XP » et au chapitre 4, « Modèles d'administration pour Windows XP ».
Unité d'organisation Portable. Cette unité d'organisation comporte tous les ordinateurs portables des utilisateurs nomades qui ne sont pas connectés en permanence au réseau de votre société. Le chapitre 3, « Paramètres de sécurité pour les clients Windows XP » et le chapitre 4, « Modèles d'administration pour Windows XP » donnent une présentation détaillée sur les paramètres qui sont appliqués à cette unité d'organisation.
Création d'un objet Stratégie de groupe (GPO) pour prendre en charge la gestion de la sécurité
Vous pouvez utiliser les objets de stratégie de groupe pour vous assurer que certains paramètres spécifiques, droits d'utilisateur et comportements s'appliquent à toutes les stations de travail ou utilisateurs au sein d'une unité d'organisation. En utilisant la stratégie de groupe plutôt que la configuration manuelle, la mise à jour de plusieurs stations de travail ou de plusieurs utilisateurs est un jeu d'enfant. La configuration manuelle est inefficace parce qu'elle nécessite qu'un technicien visite chaque ordinateur client. De plus, si les paramètres des objets de stratégie de groupe de domaine sont différents de ceux qui sont appliquées localement, ils les écraseront.
.gif)
Figure 2.2 Ordre d'application de l'objet de stratégie de groupe
Cette figure montre l'ordre selon lequel les objets de stratégie de groupe sont appliqués à un ordinateur membre d'une unité d'organisation enfant, du plus faible (1) au plus élevé (5). Les stratégies de groupe sont tout d'abord appliquées à partir de la stratégie locale de chaque poste de travail Windows XP. Une fois ces stratégies locales appliquées, tous les objets de stratégie de groupe sont appliqués au niveau du site, puis au niveau du domaine.
Dans le cas des clients Windows XP imbriqués dans plusieurs couches d'unité d'organisation, les objets de stratégie de groupe sont appliqués dans l'ordre du niveau d'unité le plus élevé de la hiérarchie au plus faible. Le dernier objet de stratégie de groupe est appliqué à partir de l'unité d'organisation contenant l'ordinateur client. Cet ordre de traitement des objets de stratégie de groupe (stratégie locale, de site, de domaine, d'unité parente et d'unité enfant) est particulièrement important dans la mesure où les objets appliqués en dernier dans le processus écrasent ceux appliqués précédemment. Les objets de stratégie de groupe utilisateurs sont appliqués de la même manière.
Tenez compte des considérations suivantes lorsque vous concevez la stratégie de groupe.
L'administrateur doit définir l'ordre dans lequel vous pouvez lier plusieurs objets de stratégie de groupe à une unité d'organisation ou les stratégies seront appliquées par défaut suivant l'ordre dans lequel elles ont été liées à l'unité d'organisation. Si plusieurs stratégies spécifient le même ordre, c'est la stratégie la plus élevée de la liste des stratégies du conteneur qui aura la priorité.
Vous pouvez configurer un objet de stratégie de groupe avec l'option Appliqué. Si vous choisissez cette option, les autres objets de stratégie de groupe ne pourront pas écraser les paramètres configurés dans cet objet GPO.
Remarque : Dans Windows 2000, l'option Appliqué est appelée option Ne pas passer outre.
Vous pouvez configurer un Active Directory, un site, un domaine ou une unité d'organisation avec l'option Bloquer l'héritage de stratégies. Cette option bloque les paramètres d'un objet de stratégie de groupe issus d' objets de stratégie plus élevés dans la hiérarchie Active Directory, sauf si l'option Appliqué est sélectionnée. En d'autres termes, l'option Appliqué a la priorité sur l'option Bloquer l'héritage de stratégies.
Les paramètres de stratégie de groupe s'appliquent aux utilisateurs et aux ordinateurs en fonction de l'emplacement de l'objet utilisateur ou ordinateur dans Active Directory. Dans certains cas, les objets utilisateur peuvent nécessiter une stratégie particulière, basée sur l'emplacement de l'objet ordinateur et non sur celui de l'objet utilisateur. La fonctionnalité Mode de traitement par boucle de rappel de la stratégie de groupe offre à l'administrateur la possibilité d'appliquer des paramètres de stratégie de groupe utilisateur en fonction de l'ordinateur auquel l'utilisateur est connecté. Pour plus d'informations sur le support du bouclage, reportez-vous au livre blanc Stratégie de groupe référencé dans la section « Informations complémentaires », à la fin de ce chapitre.
La figure suivante développe la structure d'unité d'organisation préliminaire pour montrer comment les objets de stratégie de groupe peuvent s'appliquer aux clients exécutant Windows XP et appartenant aux unités d'organisation Bureau ou Portable.
.gif)
Figure 2.3 Structure d'UO étendue pour l'adapter aux ordinateurs de bureau et ordinateurs portables Windows XP
Dans l'exemple précédent, les ordinateurs portables sont membres de l'unité d'organisation Portable. La première stratégie appliquée est la stratégie de sécurité locale sur les ordinateurs portables. Comme il n'existe qu'un seul site dans cet exemple, aucun objet de stratégie de groupe n'est appliqué au niveau du site et la stratégie suivante est par conséquent l'objet de stratégie de groupe de domaine. Enfin, l'objet de stratégie de groupe Portable est appliqué.
Remarque :La stratégie Bureau n'est pas appliquée aux portables car elle n'est pas liée à quelque unité d'organisation que ce soit dans la hiérarchie contenant l'unité d'organisation Portable. En outre, l'unité d'organisation des utilisateurs de XP sécurisé ne dispose pas de modèle de sécurité correspondant (fichier .inf) car cette unité n'inclut que les paramètres des modèles d'administration.
Pour illustrer les mécanismes de priorité, prenons le cas où le paramètre de stratégie de l'unité d'organisation Windows XP Autoriser l'ouverture de session par les services Terminal Server est défini sur le groupe Administrateurs et le paramètre d'objet de stratégie de groupe Portable Autoriser l'ouverture de session par les services Terminal Server est défini sur les groupes Utilisateurs avec pouvoir et Administrateurs. Dans ce cas, l'utilisateur dont le compte fait partie du groupe Utilisateurs avec pouvoir peut se connecter sur un ordinateur portable à l'aide des services Terminal Server parce que l'unité d'organisation Portable est un enfant de l'unité d'organisation Windows XP. Si l'option de stratégie Ne pas passer outre est activée dans l'objet de stratégie de groupe Windows XP, seuls les utilisateurs dont le compte appartient au groupe Administrateurs seront autorisés à se connecter à l'ordinateur client à l'aide des services Terminal Server.
Modèles de sécurité
Les modèles de sécurité sont des fichiers texte qui contiennent des valeurs de paramètres de sécurité. Ils sont des sous-composants d'objets de stratégie de groupe. Les paramètres de stratégie qui sont contenus dans les modèles de sécurité peuvent être modifiés dans le composant logiciel enfichable Éditeur d’objets de stratégie de groupe de la console MMC (Microsoft Management Console) et sont situés dans le dossier Configuration ordinateur\Paramètres Windows\Paramètres de sécurité. Vous pouvez également modifier ces fichiers avec le composant logiciel enfichable Modèles de Sécurité MMC ou avec un éditeur de texte tel que Bloc-notes. Microsoft vous recommande d'utiliser le composant logiciel enfichable Éditeur d'objets de stratégie de groupe pour gérer les paramètres de stratégie dans les modèles de sécurité qui sont dans les objets GPO. Microsot vous recommande également d'utiliser le composant logiciel enfichable Modèles de sécurité pour gérer les paramètres de stratégie dans les modèles de sécurité autonomes.
Certaines sections des fichiers modèles contiennent des listes de contrôle d'accès (ACL) définies par le SDDL (Security Descriptor Definition Language). Pour plus d'informations sur l'édition des modèles de sécurité et SDDL, consultez la section « Informations complémentaires » à la fin de ce chapitre.
Gestion des modèles de sécurité
Il est très important de stocker les modèles de sécurité utilisés pour un environnement de production dans un emplacement sûr au sein de l'infrastructure. L'accès aux modèles de sécurité ne doit être accordé qu’aux administrateurs qui sont responsables de la mise en œuvre des stratégies de groupe. Les modèles de sécurité, qui sont inclus avec Windows XP, Windows 2000 et Windows Server 2003, sont stockés dans le dossier %SystemRoot%\security\templates par défaut. Comme indiqué au Chapitre 1, les modèles de sécurité inclus dans ce guide sont copiés dans le dossier \Windows XP Security Guide Tools and Templates\Security Templates quand vous exécutez le fichier .msi qui est inclus dans le fichier d'archive de WinZip renfermant ce guide. (La version téléchargeable du guide est disponible à l'adresse http://go.microsoft.com/fwlink/?LinkId=14840.) Vous pouvez copier ou déplacer les modèles de sécurité de ce dossier à un nouvel emplacement sur des ordinateurs de test pendant que vous évaluez et affinez les paramètres afin de les adapter aux besoins de votre entreprise. À la fin du test, vous devrez déplacer les versions finales des modèles de sécurité à un emplacement centralisé, tel que l'emplacement par défaut des modèles de sécurité intégrés.
Le dossier %SystemRoot%\security\templates n'est pas répliqué sur les contrôleurs de domaine. Vous devez par conséquent sélectionner un contrôleur de domaine qui conservera la copie maître des modèles de sécurité de manière à ne pas rencontrer de problème de contrôle de version avec les modèles. Cette précaution vous permet de vous assurer que vous modifiez toujours le même exemplaire des modèles.
Importation d'un modèle de sécurité
Suivez la procédure ci-dessous pour importer un modèle de sécurité.
Pour importer un modèle de sécurité dans un objet de stratégie de groupe
Accédez au dossier des paramètres Windows dans l'Éditeur d'objet de stratégie de groupe.
Développez le dossier des paramètres Windows et sélectionnez Paramètres de sécurité.
Cliquez avec le bouton droit de la souris sur le dossier Paramètres de sécurité, puis cliquez sur Importer la stratégie...
Sélectionnez le modèle de sécurité que vous souhaitez importer et cliquez sur Ouvrir. Les paramètres du fichier sont importés dans l'objet de stratégie de groupe.
Modèles d'administration
Il existe d'autres paramètres de sécurité, disponibles dans des fichiers Unicode appelés Modèles d'administration. Ces fichiers contiennent les paramètres de registre qui ont une incidence sur Windows XP et ses composants, ainsi que sur d'autres applications telles que Microsoft Office 2003. Les modèles d'administration peuvent inclure des paramètres ordinateur aussi bien que des paramètres utilisateur. Les paramètres ordinateur sont stockés dans la ruche de registre HKEY_LOCAL_MACHINE. Les paramètres utilisateur sont stockés dans la ruche de registre HKEY_CURRENT_USER.
Gestion d'un modèle d'administration
Il est important de stocker les modèles d'administration, tout comme les modèles de sécurité, d'un environnement de production dans un emplacement sûr au sein de l'infrastructure. Seuls les administrateurs responsables de l'implémentation de la stratégie de groupe doivent avoir accès à cet emplacement. Les modèles d'administration livrés avec Windows XP et Windows Server 2003 sont stockés dans le répertoire %systemroot%\inf. Les autres modèles pour Office 2003 sont inclus dans le Kit de ressources Office 2003. Les modèles d'administration Microsoft ne devraient pas être modifiés car ils sont susceptibles de changer à chaque nouveau Service Pack.
Ajout d'un modèle d'administration à une stratégie
Outre les modèles d'administration livrés avec Windows XP, vous pouvez appliquer les modèles Office 2003 aux objets de stratégie de groupe pour lesquels vous souhaitez définir les paramètres Office 2003. Ou bien, vous disposez peut-être de modèles d’administration personnalisés qui sont propres à votre entreprise. Conformez-vous à la procédure suivante pour ajouter un modèle d'administration à un objet de stratégie de groupe.
Pour ajouter un modèle d'administration à un objet de stratégie de groupe
Accédez au dossier Modèles d'administration dans l'Éditeur d'objet Stratégie de groupe.
Cliquez avec le bouton droit de la souris sur le dossier Modèles d'administration, puis cliquez sur Ajout/Suppression de modèles.
Dans la boîte de dialogue Ajout/Suppression de modèles, cliquez sur Ajouter.
Accédez au dossier contenant vos fichiers de modèles d'administration.
Sélectionnez le modèle à ajouter et cliquez sur Ouvrir, puis sur Fermer.
Stratégie de groupe au niveau du domaine
La stratégie de groupe au niveau du domaine inclut des paramètres qui s'appliquent à l'ensemble des ordinateurs et des utilisateurs du domaine. Ce guide vous recommande de configurer les paramètres de niveau du domaine dans un nouveau objet GPO plutôt que dans l'objet de stratégie prédéfini Stratégie de domaine. La raison de cette recommandation est simple : vous pourrez ainsi restaurer plus facilement les paramètres par défaut si les modifications qui sont introduites dans ce guide créent des problèmes. Notez que certaines applications configurent automatiquement la stratégie de domaine par défaut, et que les paramètres de stratégie qui sont modifiés par de telles applications peuvent entrer en conflit avec les paramètres qui sont définis dans l'objet GPO de la stratégie de domaine de ce guide. Cependant, ce risque est minime parce que seuls quelques paramètres sont configurés au niveau du domaine. La sécurité au niveau du domaine est détaillée dans le Chapitre 3, « Stratégie de domaine », du guide de sécurité Windows Server 2003, disponible à l'adresse http://go.microsoft.com/fwlink/?LinkId=14845 (en anglais).
Paramètres de la stratégie de mot de passe
L'utilisation de mots de passe complexes que l'on modifie régulièrement réduit les possibilités de réussite des attaques par mot de passe. Les paramètres de stratégie de mot de passe contrôlent la complexité et la durée de vie des mots de passe et peuvent être configurés seulement par la stratégie de groupe au niveau du domaine. Pour plus d’informations sur la manière de définir des stratégies de mot de passe directement dans le Gestionnaire de comptes de sécurité local (SAM) sur les ordinateurs autonomes, consultez le Chapitre 5 « Sécurisation des clients autonomes Windows XP ».
Cette section présente chaque paramètre de stratégie de mot de passe dans le cas d'environnements EC et SSLF.
Vous pouvez configurer les paramètres de stratégie de mot de passe à l’emplacement suivant de l’Éditeur d’objets de stratégie de groupe :
Configuration ordinateur\Paramètres Windows\Paramètres de sécurité\Stratégies de compte\Stratégie de mot de passe
Le tableau suivant présente les recommandations en matière de paramètres de la stratégie de mot de passe pour les deux types d'environnements sécurisés définis dans ce guide. Vous trouverez des informations plus détaillées sur chacun des paramètres dans les sous-sections suivantes.
Tableau 2.1 Recommandations relatives aux paramètres de la stratégie de mot de passe
| Paramètre | Valeur par défaut du contrôleur de domaine | EC | SSLF |
|---|---|---|---|
| Conserver l’historique des mots de passe | 24 mots de passe | 24 mots de passe | 24 mots de passe |
| Durée de vie maximale du mot de passe | 42 jours | 90 jours | 90 jours |
| Durée de vie minimale du mot de passe | 1 jour | 1 jour | 1 jour |
| Longueur minimale du mot de passe | 7 caractères | 8 caractères | 12 caractères |
| Le mot de passe doit répondre aux exigences de complexité | Activé | Activé | Activé |
| Stocker le mot de passe en utilisant le cryptage réversible pour tous les utilisateurs du domaine | Désactivé | Désactivé | Désactivé |
| Paramètre | Valeur par défaut du contrôleur de domaine | EC | SSLF |
|---|---|---|---|
| Durée de verrouillage du compte | Non défini | 15 minutes | 15 minutes |
| Seuil de verrouillage du compte | 0 tentative d'ouverture de session incorrecte | 50 tentatives d'ouverture de session incorrectes | 10 tentatives d'ouverture de session incorrectes |
| Réinitialiser le compteur de verrouillage du compte après | Non défini | 15 minutes | 15 minutes |
| Paramètre | Valeur par défaut du contrôleur de domaine | EC | SSLF |
|---|---|---|---|
| Ajouter des stations de travail au domaine | Utilisateurs authentifiés | Administrateurs | Administrateurs |
| Paramètre | Valeur par défaut du membre de domaine | EC | SSLF |
|---|---|---|---|
| Serveur réseau Microsoft : Déconnecter les clients à l'expiration des horaires de connexion | Non défini | Activé | Activé |
| Accès réseau : Permettre la traduction de noms/SID anonymes | Non défini | Désactivé | Désactivé |
| Sécurité réseau : Forcer la fermeture de session à l'expiration des horaires de connexion | Désactivé | Activé | Activé |
C:\Documents and Settings\administrator.MSSLAB>gpupdate /force
Refreshing Policy...
User Policy Refresh has completed.
Computer Policy Refresh has completed.
To check for errors in policy processing, review the event log.
C:\Documents and Settings\administrator.MSSLAB>
Pour les stratégies de groupe utilisateur, vous devrez vous déconnecter puis ouvrir une nouvelle session sur l'ordinateur que vous utilisez afin de tester les stratégies. Les stratégies ordinateur doivent se mettre à jour immédiatement.
Pour afficher plus d'options Gpupdate, exécutez la commande suivante à l'invite de commande :
gpupdate /?
#### Affichage du jeu de stratégie résultant
Deux outils livrés avec Windows XP vous permettent de déterminer les stratégies qui ont été appliquées aux ordinateurs de votre environnement ainsi que leur date et leur ordre d'application.
- **Logiciel enfichable RSoP**. Cet outil (RSoP.msc) est un logiciel enfichable MMC qui présente tous les paramètres de l'ensemble des stratégies s'appliquant à un ordinateur. L'outil peut être exécuté en local ou à distance à partir d'un autre ordinateur. Pour chaque paramètre de stratégie, l'outil RSoP affiche la configuration de l'ordinateur et l'objet de stratégie de groupe source.
- **Gpresult**. Cet outil de ligne de commande fournit des statistiques sur : la dernière date d'application d'une stratégie de groupe sur un ordinateur, les objets de stratégie de groupe appliqués et l'ordre dans lequel ils ont été appliqués. L'outil fournit en outre des informations sur tous les objets de stratégie de groupe qui ont été appliqués par filtrage. L'outil Gpresult peut être utilisé à distance ou en local sur les ordinateurs clients.
#### Console de gestion des stratégies de groupes
La console GPMC (Group Policy Management Console) est un composant logiciel enfichable MMC qui est disponible en tant que composant facultatif avec Windows Server 2003 Service Pack 1. Elle est utilisée pour gérer toutes les tâches liées à la stratégie de groupe. La console GPMC aide à planifier, monter, déployer, signaler, scripter et dépanner l'application des objets GPO. D'autres informations sont disponibles sur le site[GPMC](http://www.microsoft.com/windowsserver2003/gpmc/default.mspx) à l'adresse www.microsoft.com/windowsserver2003/gpmc/default.mspx.
[](#mainsection)[Haut de page](#mainsection)
### Résumé
La stratégie de groupe est une fonctionnalité Active Directory conçue pour contrôler les environnements utilisateur et ordinateur des domaines Windows Server 2003 et Windows 2000. Avant d'appliquer une stratégie de groupe aux ordinateurs de bureau Windows XP de votre environnement, il convient d'exécuter une série d'opérations préliminaires sur votre domaine.
Les paramètres de stratégie de groupe stockés dans des objets de stratégie de groupe sur les contrôleurs de domaine de votre environnement sont liés à des sites, domaines ou unités d'organisation résidant au sein de la structure Active Directory. Avant d'implémenter la stratégie de groupe, il est important de comprendre la structure Active Directory et ce qu'implique au niveau de la sécurité la configuration des différentes options
La stratégie de groupe constitue un outil essentiel pour la sécurisation de Windows XP. Ce chapitre présente en détail comment utiliser la stratégie de groupe afin de mettre en œuvre et de gérer une stratégie de sécurité consistante au sein d'un réseau à partir d'un point central.
Il donne également des informations sur les différents niveaux de la stratégie de groupe ainsi que sur des outils spéciaux pouvant être utilisés pour mettre à jour cette stratégie de groupe dans votre environnement
#### Informations complémentaires
Cliquez sur les liens suivants pour obtenir des informations complémentaires sur les questions de sécurité liées à Windows XP Professionnel.
- Pour plus d'informations sur la gestion et la conception Active Directory, reportez-vous au site (en anglais) « [Windows 2000 Server Active Directory](http://www.microsoft.com/technet/prodtechnol/windows2000serv/technologies/activedirectory) » à l'adresse www.microsoft.com/technet/prodtechnol/windows2000serv/technologies/activedirectory. (version française « Considérations relatives à la conception d'une délégation d'administration dans Active Directory » disponible à l'adresse http://www.microsoft.com/france/technet/produits/win2000s/addeladm.mspx)
- Pour plus d'informations sur la conception Active Directory, reportez-vous au livre blanc (en anglais) « [Best Practice Active Directory Design for Managing Windows Networks](http://technet.microsoft.com/fr-fr/library/bb727085.aspx) » à l'adresse technet.microsoft.com/fr-fr/library/Bb727085.aspx.
- Pour plus d'informations sur la stratégie de groupe, reportez-vous au livre blanc (en anglais) « [Step-by-Step Guide to Understanding the Group Policy Feature Set](http://www.microsoft.com/technet/prodtechnol/windowsserver2003/technologies/directory/activedirectory/stepbystep/gpfeat.mspx) » à l'adresse www.microsoft.com/technet/prodtechnol/windowsserver2003/technologies/directory
/activedirectory/stepbystep/gpfeat.mspx.
Consultez également la page d'accueil (en anglais) sur la [Stratégie de groupe](http://www.microsoft.com/windowsserver2003/technologies/management/grouppolicy/default.mspx) de Windows Server 2003 à l'adresse www.microsoft.com/windowsserver2003/technologies/management/grouppolicy/default.mspx.
- Pour plus d'informations sur la sécurité de Windows XP, consultez le document (en anglais) « [Microsoft Windows XP Professional Resource Kit Documentation](http://www.microsoft.com/technet/prodtechnol/winxppro/reskit/default.mspx) » à l'adresse www.microsoft.com//technet/prodtechnol/winxppro/reskit/default.mspx. (version française « Documentation du Kit de ressources techniques Microsoft Windows XP Professionnel » disponible à l'adresse http://www.microsoft.com/technet/prodtechnol/windowsserver2003/fr/library/ServerHelp/82d599b9-cab8-485a-a914-9e876d6b1246.mspx?mfr=true)
- Pour avoir un aperçu des fonctionnalités de sécurité pour Windows XP, consultez le livre blanc (en anglais) « [What's New in Security for Windows XP Professional and Windows XP Home Edition](http://www.microsoft.com/technet/prodtechnol/winxppro/evaluate/xpsec.mspx) » à l'adresse technet.microsoft.com/en-us/library/bb457059.aspx.
- Pour plus d'informations sur les Modèles d'administration, consultez le livre blanc (en anglais) « [Implementing Registry-Based Group Policy](http://www.microsoft.com/windows2000/techinfo/howitworks/management/rbppaper.asp) » à l'adresse support.microsoft.com/kb/810767.
- Pour plus d'informations sur la console de gestion des stratégies de groupes ([GPMC](http://www.microsoft.com/windowsserver2003/gpmc/default.mspx)), consultez le site www.microsoft.com/windowsserver2003/gpmc/default.mspx.
- Pour plus d’informations sur l’outil Group Update ([GpUpdate](http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/refrgp.mspx)), consultez la page www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/refrgp.mspx.
- Pour plus d’informations sur l'outil [Jeu de stratégie résultant (RSoP)](http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/rspoverview.mspx?mfr=true), consultez le site www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/rspoverview.mspx?mfr=true.
- Pour plus d’informations sur l'outil de résultats de stratégie de groupe ([Gpresult](http://www.microsoft.com/windowsxp/using/setup/expert/gpresults.mspx)), consultez le site www.microsoft.com/windowsxp/using/setup/expert/gpresults.mspx.
- Pour plus d'informations sur la délégation d’autorité dans Active Directory, consultez la section *Planning Distributed Security* (en anglais) du [Kit de ressources Windows 2000](http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/distrib/dsca_pt3_stbp.mspx?mfr=true) à l'adresse www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/distrib/
dsca\_pt3\_stbp.mspx?mfr=true.
##### Téléchargez
[.gif)Télécharger le Guide de sécurité de Windows XP](http://go.microsoft.com/fwlink/?linkid=14840)
[](#mainsection)[Haut de page](#mainsection)