Règles d’application de stratégie de groupe pour les contrôleurs de domaine

Cet article décrit les règles d’application de stratégie de groupe pour les contrôleurs de domaine.

Numéro de base de connaissances d’origine : 259576

Résumé

Les contrôleurs de domaine extrayent certains paramètres de sécurité uniquement à partir d’objets de stratégie de groupe liés à la racine du domaine. Étant donné que les contrôleurs de domaine partagent la même base de données de compte pour le domaine, certains paramètres de sécurité doivent être définis uniformément sur tous les contrôleurs de domaine. Cela garantit que les membres du domaine ont une expérience cohérente, quel que soit le contrôleur de domaine qu’ils utilisent pour se connecter. Windows effectue cette tâche en autorisant uniquement certains paramètres de la stratégie de groupe à appliquer aux contrôleurs de domaine au niveau du domaine. Ce comportement de stratégie de groupe est différent pour les serveurs membres et les stations de travail.

Les paramètres suivants sont appliqués aux contrôleurs de domaine dans Windows lorsque la stratégie de groupe est liée au conteneur de domaine :

• Tous les paramètres de configuration ordinateur/Paramètres Windows/Paramètres de sécurité/Stratégies de compte (cela inclut tous les stratégies de verrouillage, de mot de passe et Kerberos du compte.)

• Les trois paramètres suivants dans Configuration ordinateur/Paramètres Windows/Paramètres de sécurité/Stratégies locales/Options de sécurité :

  • Déconnectez automatiquement les utilisateurs au moment de l’expiration de l’ouverture de session
  • Renommer un compte d’administrateur
  • Renommer le compte invité

Les paramètres suivants sont appliqués aux contrôleurs de domaine Windows uniquement lorsque la stratégie de groupe est liée au conteneur de domaine. (Les paramètres se trouvent dans Configuration ordinateur/Paramètres Windows/Paramètres de sécurité/Stratégies locales/Options de sécurité.)

• Comptes : statut du compte Administrateur
• Comptes : statut du compte Invité
• Comptes : renommer le compte Administrateur
• Comptes : renommer le compte Invité
• Sécurité réseau : forcer la fermeture de session quand les horaires de connexion expirent

Plus d’informations

Ces paramètres des objets de stratégie de groupe ne sont pas appliqués à l’unité organisationnelle Contrôleurs de domaine, car un contrôleur de domaine peut être déplacé hors de l’unité organisationnelle Contrôleurs de domaine et dans une autre unité organisationnelle. L’utilisation du conteneur de domaine permet à ces paramètres d’être appliqués, quelle que soit l’unité organisationnelle qui réside dans le conteneur de domaine.

Le processus d’application de ces paramètres sur un contrôleur de domaine inclut :

• Le contrôleur de domaine rassemble la liste des objets de stratégie de groupe en recherchant les conteneurs parents de l’objet Ordinateur du contrôleur de domaine.
• Le contrôleur de domaine applique les paramètres répertoriés précédemment uniquement si l’objet de stratégie de groupe est lié au conteneur de domaine.
• S’il existe plusieurs objets de stratégie de groupe liés au conteneur domaine, l’application des objets de stratégie de groupe commence par l’objet de stratégie de groupe en bas de la liste et se termine par l’objet de stratégie de groupe en haut. Cela entraîne la priorité de l’objet de stratégie de groupe en haut sur les autres.