GPO : Group Policy Object
Infrastructure
GPO : Group Policy Object. « Objet de stratégie de groupe », par analogie avec une circulaire ministérielle qui s'applique d'office à tous les services de son périmètre, qu'ils l'aient lue ou non.
Contenu : Une GPO regroupe des paramètres de configuration (registre, sécurité, scripts, logiciels, pare-feu) appliqués aux ordinateurs et aux utilisateurs d'un domaine AD. Les réglages machine s'appliquent au démarrage, ceux de l'utilisateur à l'ouverture de session, puis les deux sont rafraîchis périodiquement.
Liaison et ordre : Une GPO se lie à un site, à un domaine ou à une OU, et la dernière appliquée l'emporte en cas de conflit. Démêler un résultat qui hérite de cinq niveaux, deux filtres et une exception oubliée relève davantage de l'exégèse que de l'administration système.
Distribution : Les paramètres sont répliqués entre les DC ; chaque poste les récupère et les applique localement, en écrivant notamment dans HKLM pour la partie machine.
Vecteur d'attaque : Qui peut modifier une GPO peut exécuter du code sur tous les postes qu'elle vise. Les droits de modification sur les GPO forment donc un chemin classique d'escalade de privilèges dans un annuaire.
Ce qui arrive si on s'en passe
Sans stratégies de groupe, chaque poste garde la configuration que son installateur lui a donnée, puis dérive au fil des interventions. Les durcissements (désactivation des protocoles d'authentification anciens, signature des échanges de fichiers, pare-feu local, verrouillage de session) ne s'appliquent qu'aux machines où quelqu'un a pensé à les régler à la main. Un paramètre faible oublié sur un seul poste suffit à un attaquant pour prendre pied et rebondir. Corriger une configuration à l'échelle du parc devient une campagne longue au lieu d'une modification unique, et rien ne garantit que le réglage tienne dans le temps. L'audit perd aussi sa référence : sans politique centrale, il n'existe aucun état attendu auquel comparer.
Explication de la marmotte
Dans une grande entreprise, des centaines d'ordinateurs doivent suivre les mêmes règles : mot de passe assez long, écran qui se verrouille après une pause, logiciels interdits, imprimantes disponibles. Configurer chaque machine à la main prendrait des semaines et laisserait forcément des oublis. On rédige donc ces règles une seule fois, dans un paquet de consignes rangé sur un serveur central. Chaque ordinateur concerné vient le lire régulièrement et s'y conforme tout seul. C'est un peu le règlement intérieur d'un lycée, affiché une fois et valable dans toutes les salles.
Où ce terme est utilisé
- GPO Active Directory : durcissement, abus et contrôle (70 occurrences)
- Registre Windows, GPO et services, fonctionnement et attaques (48 occurrences)
- Comment structurer Active Directory et déléguer sans escalade (7 occurrences)
- Centraliser les journaux Sysmon des postes Windows (5 occurrences)
- Configurer Windows Hello for Business sans mot de passe (4 occurrences)
- RDP exposé sur Internet : risques, durcissement et détection (3 occurrences)
- WannaCry et MS17-010 : fenêtre d'exposition et correctifs (3 occurrences)
- Auditer l'héritage des permissions et le droit effectif (2 occurrences)
- CCN-CERT Espagne : rôle, guides CCN-STIC et ENS (2 occurrences)
- NTLM : protocole authentification LAN Manager New Technology Microsoft (2 occurrences)