Exclure un utilisateur ou un ordinateur spécifique de la stratégie de groupe

Il existe plusieurs façons d'empêcher l'application de certains paramètres d'objet de stratégie de groupe (GPO) à des utilisateurs et/ou des ordinateurs spécifiques dans Active Directory :

UtiliserFiltrage de sécurité des GPOpour contrôler quels objets AD peuvent appliquer la politique (l'option la plus simple et la plus pratique)
Filtrage de la portée du GPO à l'aide deFiltres WMI
Ciblage au niveau de l'articleexceptions dans la stratégie de groupe. Cela s'applique uniquement aux paramètres GPO configurés via les préférences de stratégie de groupe.

Lecture recommandée :Comment afficher la stratégie de groupe appliquée à votre utilisateur Windows 10

Considérons un scénario dans lequel vous devez empêcher une stratégie de groupe qui configure les paramètres de Windows Update de s'appliquer à un ordinateur spécifique. Dans cet exemple, tous les ordinateurs sont situés dans une unité d’organisation appelée Workstations, à laquelle le GPO gpo_WSUS_workstations a été attribué.

Tout d’abord, créez un groupe de sécurité distinct dans AD (gpo_WSUS_workstations_excl) et ajoutez les ordinateurs ou comptes d’utilisateurs que vous souhaitez exclure de la portée de l’objet de stratégie de groupe.

Ouvrez la console de gestion des stratégies de groupe du domaine (gpmc.msc)
Sélectionnez le GPO requis, accédez auDélégationet cliquez sur l'ongletAjouterbouton.
Par défaut, le GPO s'applique à tous les objets AD (groupe Utilisateurs authentifiés)
Entrez le nom du groupe, de l'utilisateur ou de l'ordinateur que vous souhaitez exclure de la stratégie de groupe
Cliquez sur leAvancéet réglez leRefuserpourAppliquer la stratégie de groupeautorisation
Cela empêchera ces paramètres de stratégie de groupe d’être appliqués à l’un des objets AD du groupe spécifié. Les autorisations Refuser ont priorité sur les autorisations Autoriser. Par conséquent, même si le groupe Utilisateurs authentifiés est autorisé à appliquer la stratégie, l’autorisation Refuser a une priorité plus élevée.

Mettez à jour les paramètres GPO sur le client (de préférence redémarrez l'ordinateur pour actualiser l'adhésion au groupe AD). Ensuite, ouvrez une invite de commande et générez un rapport des GPO appliqués en exécutant la commande suivante :

gpresult /r

Ce rapport montre que la stratégie WSUS n'a pas été appliquée à cet ordinateur car les paramètres de sécurité l'empêchent :

The following GPOs were not applied because they were filtered out
WSUS_workstations
Filtering: Denied (Security)

Pour ajouter un autre ordinateur aux exclusions de ce GPO, ajoutez simplement son compte augpo_WSUS_workstations_exclgroupe et redémarrez l’ordinateur.

L'inconvénient de cette méthode de création d'exceptions pour le GPO est que l'administrateur doit ajouter ou supprimer manuellement des utilisateurs/ordinateurs du groupe qui doit être exclu de la stratégie. Si vous souhaitez que les utilisateurs ou les ordinateurs soient automatiquement ajoutés/supprimés de la portée de la stratégie en fonction de certains attributs dynamiques, vous pouvez utiliser le concept de groupes dynamiques AD ou les filtres GPO WMI.

L'idée derrière un filtre WMI est de créer une requête WQL pour définir les objets auxquels la stratégie s'applique. Par exemple, vous souhaiterez peut-être que la stratégie exclue les ordinateurs avec le mot-clé «adm' dans leur nom d'hôte. Cela peut être réalisé en utilisant la requête WMI suivante :

SELECT * FROM Win32_ComputerSystem WHERE NOT (Name LIKE '%adm%')

Créez ce filtre WMI dans la console GPMC et liez-le au GPO.

Désormais, chaque ordinateur vérifiera la requête WMI au démarrage, et si elle ne correspond pas, la stratégie ne sera pas appliquée.

Il existe une autre façon de créer des exceptions pour des utilisateurs et des ordinateurs spécifiques dans l'objet de stratégie de groupe. Si vous utilisez les paramètres GPO situés dans la section Préférences de stratégie de groupe (GPP), vous pouvez créer des exceptions de stratégie à l'aide du ciblage au niveau des éléments.

Dans les paramètres de n'importe quel élément GPP sur l'onglet Commun, vous devez activerCiblage au niveau de l'articleet configurerIS-NOTrègles pour définir des exceptions pour l’application de ce paramètre GPO. Dans cet exemple, nous avons configuré des exceptions GPP pour un groupe AD et un ordinateur spécifiques.

Related Posts