Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Windows Windows Serveur Active Directory Application d'un GPO

Application d'un GPO

26 réponses
Avatar
Bernard Delleur
Bonjour à tous

Une bête question, est-il possible d'appliquer une GPO à chaque fois que
l'utilisateur rentre sur le réseau et non plus que lorsque la GPO a été
modifier sur le serveur.

Bien à vous
Bernard
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2 3
Avatar
Fabrice
Bonjour,

Mais comment vérifier qu'une GPO s'applique sur le PC ?
Y-a-t-il une clé registre avec le nom et la version ? dans ce cas comment
connaître la version au niveau du serveur ?

Ceci afin d'établir un utilitaire de contrôle lors du login pour vérifier la
bonne application au niveau du PC

Merci de votre participation
Fabrice

"Emmanuel Dreux [MS]" a écrit dans le message
de news:
computer configuration -> administrative templates -> system -> Group
Policy -> Internet Explorer Maintenance Policy Processing.
Process even if the group policy object have not changed.

Les extensions de GPO côté client n'appliquent par défaut que les gpo qui
sont modifiées.
La liste des gpo appliquées est stockée dans la base de registre ainsi que
le numéro de version.
Si le numéro de version est changé, la gpo est réappliquée.

Ce n'est pas au moteur de gpo client de scanner les changements système
( clé de registre, modification de fichiers ou de répertoires ) pour
déterminer les changements.


"Bernard Delleur" a écrit dans le message de news:

Oui, tout a fait, mais c'est juste un exemple, j'aimerais que l'ensemble
de la config puisse revenir au logon.
Mais bon, peut être dans Windows 2009 ;-)

Bernard

"Jonathan Bismuth" wrote in
message news:
Re Bernard,

Si ce cas s'est déjà produit, pourquoi ne pas interdire aux utilisateurs
l'accès à l'onglet connexions des options Internet d'IE ?

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Bernard Delleur" a écrit dans le message de news:
%
Le problème est que, si une gpo positionne le serveur proxy dans IE et
que l'utilisateur change cette option, lorsqu'il va se reconnecter, il
n'aura toujours pas le proxy. Il faudra manuellement faire un gpupdate
/force

J'aurais aimé avoir la possibilité qu'a chaque logon, la config du PC
revienne avec les paramètres de "base" que la gpo aurait défini.

Bernard

"Emmanuel Dreux [MS]" wrote in message
news:
Bonjour,

quelle est le problème sous-jacent?
Il y a plusieurs extensions de gpo côté client qui sont en charge
d'appliquer les gpo ( ex scecli.dll...).
Chaque moteur applique sa gpo la première fois et ne réapplique sa
partie que lorsqu'il détecte un changement.

Pour se faire, il stocke des informations dans la base de registre.
Pas besoin de réappliquer un paramètre déjà appliqué sur la machine.

Par exemple, dans une même gpo, seule la partie de gpo modifiée sera
réappliquée ( Securité, ou paramètres de scripts, ou IE...).

Pour info, effectivement, les gpo sont appliqués au boot de la
machine, au logon du user, puis toutes les 90 minutes + delta.
Elles sont également réappliquées lors d'un refreshpolicy ( secedit ou
gpupdate ).
gpupdate /force va réappliquer toutes les gpo, même les parties qui
n'ont pas été modifiées.

C'est donc normal qu'un paramètre de gpo ne soit pas réappliqué si la
partie de gpo en question n'a pas été modifiée.


"Bernard Delleur" a écrit dans le message de news:

Ok, merci

Bernard

"Jonathan Bismuth"
wrote in message news:
Et non, à ma connaissance, les GPO ont toujours été basées sur un
timer plus que sur un évènement. (modifiable bientôt dans Vista)
en attendant... courage, scriptons ;)

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Bernard Delleur" a écrit dans le message de news:
eRKj1%
Salut Jonathan,

J'avais bien penser à forcer la mise à jour dans le script, mais je
me
disais que Microsoft avait surement prévu une option pour forcer la
mise à
jour lors du logon.

Bien à toi
Bernard































Avatar
Jonathan Bismuth
Bonjour Fabrice,

tu trouvera effectivement dans le registre une clé
HKLMSoftwareMicrosoftWindowsCurrentVersionGroup PolicyState qui
répertorie toutes les GPO appliquées à la machine et aux utilisateurs de
celle-ci.

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Fabrice" a écrit dans le message de news:
%
Bonjour,

Mais comment vérifier qu'une GPO s'applique sur le PC ?
Y-a-t-il une clé registre avec le nom et la version ? dans ce cas comment
connaître la version au niveau du serveur ?

Ceci afin d'établir un utilitaire de contrôle lors du login pour vérifier
la bonne application au niveau du PC

Merci de votre participation
Fabrice

...


Avatar
Emmanuel Dreux [MS]
bonjour,

avec gpresult ( gpresult /v ), il est possible de vérifier l'application de
gpo sur un poste.

--
Cordialement,

Emmanuel Dreux


"Fabrice" a écrit dans le message de news:
%
Bonjour,

Mais comment vérifier qu'une GPO s'applique sur le PC ?
Y-a-t-il une clé registre avec le nom et la version ? dans ce cas comment
connaître la version au niveau du serveur ?

Ceci afin d'établir un utilitaire de contrôle lors du login pour vérifier
la bonne application au niveau du PC

Merci de votre participation
Fabrice

"Emmanuel Dreux [MS]" a écrit dans le
message de news:
computer configuration -> administrative templates -> system -> Group
Policy -> Internet Explorer Maintenance Policy Processing.
Process even if the group policy object have not changed.

Les extensions de GPO côté client n'appliquent par défaut que les gpo qui
sont modifiées.
La liste des gpo appliquées est stockée dans la base de registre ainsi
que le numéro de version.
Si le numéro de version est changé, la gpo est réappliquée.

Ce n'est pas au moteur de gpo client de scanner les changements système
( clé de registre, modification de fichiers ou de répertoires ) pour
déterminer les changements.


"Bernard Delleur" a écrit dans le message de news:

Oui, tout a fait, mais c'est juste un exemple, j'aimerais que l'ensemble
de la config puisse revenir au logon.
Mais bon, peut être dans Windows 2009 ;-)

Bernard

"Jonathan Bismuth" wrote
in message news:
Re Bernard,

Si ce cas s'est déjà produit, pourquoi ne pas interdire aux
utilisateurs l'accès à l'onglet connexions des options Internet d'IE ?

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Bernard Delleur" a écrit dans le message de news:
%
Le problème est que, si une gpo positionne le serveur proxy dans IE et
que l'utilisateur change cette option, lorsqu'il va se reconnecter, il
n'aura toujours pas le proxy. Il faudra manuellement faire un gpupdate
/force

J'aurais aimé avoir la possibilité qu'a chaque logon, la config du PC
revienne avec les paramètres de "base" que la gpo aurait défini.

Bernard

"Emmanuel Dreux [MS]" wrote in message
news:
Bonjour,

quelle est le problème sous-jacent?
Il y a plusieurs extensions de gpo côté client qui sont en charge
d'appliquer les gpo ( ex scecli.dll...).
Chaque moteur applique sa gpo la première fois et ne réapplique sa
partie que lorsqu'il détecte un changement.

Pour se faire, il stocke des informations dans la base de registre.
Pas besoin de réappliquer un paramètre déjà appliqué sur la machine.

Par exemple, dans une même gpo, seule la partie de gpo modifiée sera
réappliquée ( Securité, ou paramètres de scripts, ou IE...).

Pour info, effectivement, les gpo sont appliqués au boot de la
machine, au logon du user, puis toutes les 90 minutes + delta.
Elles sont également réappliquées lors d'un refreshpolicy ( secedit
ou gpupdate ).
gpupdate /force va réappliquer toutes les gpo, même les parties qui
n'ont pas été modifiées.

C'est donc normal qu'un paramètre de gpo ne soit pas réappliqué si la
partie de gpo en question n'a pas été modifiée.


"Bernard Delleur" a écrit dans le message de news:

Ok, merci

Bernard

"Jonathan Bismuth"
wrote in message news:
Et non, à ma connaissance, les GPO ont toujours été basées sur un
timer plus que sur un évènement. (modifiable bientôt dans Vista)
en attendant... courage, scriptons ;)

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Bernard Delleur" a écrit dans le message de news:
eRKj1%
Salut Jonathan,

J'avais bien penser à forcer la mise à jour dans le script, mais
je me
disais que Microsoft avait surement prévu une option pour forcer
la mise à
jour lors du logon.

Bien à toi
Bernard



































Avatar
Benpages
Bonjour à vous , mes grands anciens

J'essaie actuellement de forcer l'application des paramètres d'un GPO sur
une station XP SP2 dans un domaine Windows 2000 SP3 (Oui, je sais, on a vu
mieux...) aprés qu'un petit malin l'ai modifié à la main.
J'ai déjà essayé par GPO (dans celui que je veux voir appliquer mais aussi
dans un autre, lié au même objet domaine, avant ou après dans le
classement)avec les paramètres de configuration ordinateurs et utilisateurs
concernant les stratégies de groupes, mais sans succès. Pire, le rapport
indique que le GPO s'applique, mais le registre est complètement muet (=
garde le paramètre du mesquin de service). Donc toujours pas de remise aux
normes de la stratégie de domaine.
Auriez-vous une piste, voire une solution à ce cas?
PS : (autre que refaire la machine, changer l'utilisateur, passer les
serveurs en 2003 (on y travaille), empêcher les utilisateurs de modifier (le
GPO de restriction de regedit, regedt32, at.exe, gestionnaire de tache, est
déjà prêt)).
Avatar
Jonathan BISMUTH
Bonjour Ben,

change l'utilisateur :)

Plus sérieusement, peux tu me donner un peu plus de détails, entre autre :
- quelle est le paramètre de stratégie modifié
- l'OU à laquelle s'applique la GPO contient elle des ordinateurs, des
utilisateurs ou les deux.

Cordialement,
--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?z5pCI2OyS6
"Benpages" a écrit dans le message de
news:
Bonjour à vous , mes grands anciens

J'essaie actuellement de forcer l'application des paramètres d'un GPO sur
une station XP SP2 dans un domaine Windows 2000 SP3 (Oui, je sais, on a vu
mieux...) aprés qu'un petit malin l'ai modifié à la main.
J'ai déjà essayé par GPO (dans celui que je veux voir appliquer mais aussi
dans un autre, lié au même objet domaine, avant ou après dans le
classement)avec les paramètres de configuration ordinateurs et
utilisateurs
concernant les stratégies de groupes, mais sans succès. Pire, le rapport
indique que le GPO s'applique, mais le registre est complètement muet ( > garde le paramètre du mesquin de service). Donc toujours pas de remise aux
normes de la stratégie de domaine.
Auriez-vous une piste, voire une solution à ce cas?
PS : (autre que refaire la machine, changer l'utilisateur, passer les
serveurs en 2003 (on y travaille), empêcher les utilisateurs de modifier
(le
GPO de restriction de regedit, regedt32, at.exe, gestionnaire de tache,
est
déjà prêt)).




Avatar
Fils d''OÏT
En fait, cela concerne essentiellement des paramètres IE, surtout le proxy,
ainsi que certains services désactivés ou activés par GPO (peer to peer,
assistance, mise à jour).
Pour simplifier, on a :
des GPO au niveau du domaine (générales au domaine), dont certains
paramètres IE (config ordinateur);
Un GPO bloquant les onglets sensibles de IE, appliqué aux
utilisateurs,filtré sur les admins (comme çà, eux, ils peuvent intervenir),
lié au domaine (Config utilisateur);
Sur les OU des filiales, on veut placer un GPO de proxy,chaque filiale ayant
le sien donc pas généralisable au niveau du domaine (et oui, le syndrôme
Astérix fait encore des siennes). Auparavant, ces paramètres étaient (et sont
encore) gérés par des scripts "maison" à chaque filiale.
Ces OU contiennent des utilisateurs et des ordinateurs.

On constate que les GPO n'imposent pas leur lois sur les clés de registre
"customisées" (HKCU et HKLM), alors que le rapport RSOP indique leur
application ??
Pas de pbs avec des PC fraichements configurés. Pas de campagne massive
prévue, donc faut faire avec l'existant.


A la demande générale, je me sépare donc de mon identifiant préféré
Benpages, qui m'avais été donné on ne peut plus officiellement en 2002, lors
d'une prestation de support dans une filliale française d'une entreprise
d'origine US, bien connue des technologies de l'information. Cet humour
torride m'a marqué, ainsi que certains VIP anglo saxon qui m'avaient comme
support !! :))


Bonjour Ben,

change l'utilisateur :)

Plus sérieusement, peux tu me donner un peu plus de détails, entre autre :
- quelle est le paramètre de stratégie modifié
- l'OU à laquelle s'applique la GPO contient elle des ordinateurs, des
utilisateurs ou les deux.

Cordialement,
--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?z5pCI2OyS6
"Benpages" a écrit dans le message de
news:
Bonjour à vous , mes grands anciens

J'essaie actuellement de forcer l'application des paramètres d'un GPO sur
une station XP SP2 dans un domaine Windows 2000 SP3 (Oui, je sais, on a vu
mieux...) aprés qu'un petit malin l'ai modifié à la main.
J'ai déjà essayé par GPO (dans celui que je veux voir appliquer mais aussi
dans un autre, lié au même objet domaine, avant ou après dans le
classement)avec les paramètres de configuration ordinateurs et
utilisateurs
concernant les stratégies de groupes, mais sans succès. Pire, le rapport
indique que le GPO s'applique, mais le registre est complètement muet ( > > garde le paramètre du mesquin de service). Donc toujours pas de remise aux
normes de la stratégie de domaine.
Auriez-vous une piste, voire une solution à ce cas?
PS : (autre que refaire la machine, changer l'utilisateur, passer les
serveurs en 2003 (on y travaille), empêcher les utilisateurs de modifier
(le
GPO de restriction de regedit, regedt32, at.exe, gestionnaire de tache,
est
déjà prêt)).









Avatar
Jonathan Bismuth
aucun message d'erreur nul part?
as tu choisi le mode stratégie ou préférence ?

petit lien qui pourrait t'aider :
http://www.gpoguy.com/FAQs.htm#IE_Maintenance_Policy

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Fils d''OÏT" a écrit dans le message de
news:

En fait, cela concerne essentiellement des paramètres IE, surtout le
proxy,
ainsi que certains services désactivés ou activés par GPO (peer to peer,
assistance, mise à jour).
Pour simplifier, on a :
des GPO au niveau du domaine (générales au domaine), dont certains
paramètres IE (config ordinateur);
Un GPO bloquant les onglets sensibles de IE, appliqué aux
utilisateurs,filtré sur les admins (comme çà, eux, ils peuvent
intervenir),
lié au domaine (Config utilisateur);
Sur les OU des filiales, on veut placer un GPO de proxy,chaque filiale
ayant
le sien donc pas généralisable au niveau du domaine (et oui, le syndrôme
Astérix fait encore des siennes). Auparavant, ces paramètres étaient (et
sont
encore) gérés par des scripts "maison" à chaque filiale.
Ces OU contiennent des utilisateurs et des ordinateurs.

On constate que les GPO n'imposent pas leur lois sur les clés de registre
"customisées" (HKCU et HKLM), alors que le rapport RSOP indique leur
application ??
Pas de pbs avec des PC fraichements configurés. Pas de campagne massive
prévue, donc faut faire avec l'existant.


A la demande générale, je me sépare donc de mon identifiant préféré
Benpages, qui m'avais été donné on ne peut plus officiellement en 2002,
lors
d'une prestation de support dans une filliale française d'une entreprise
d'origine US, bien connue des technologies de l'information. Cet humour
torride m'a marqué, ainsi que certains VIP anglo saxon qui m'avaient comme
support !! :))

...


Avatar
Fils d''OÏT
Bonjour
Merci pour le lien, j'ai récupéré rgprefresh, en vu de le tester avec mon
domaine impitoyable.

Pas de message d'erreur, bien au contraire, le rapport via GPMC indique
clairement que le GPO s'exprime, mais pas d'effet sur le registre "customisé".
Le GPO est bien en mode maintenance.
J'essaie en paramètrant un proxy sur un GPO lié au domaine, il se peut que
le problème se pose au niveau de l'OU. J'en profite pour coller un paramètre
ordinateur dans le GPO proxy lié à l'OU, juste pour voir ce qui s'exprime
dans GPMC et dans le registre.

Cordialement



aucun message d'erreur nul part?
as tu choisi le mode stratégie ou préférence ?

petit lien qui pourrait t'aider :
http://www.gpoguy.com/FAQs.htm#IE_Maintenance_Policy

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Fils d''OÏT" a écrit dans le message de
news:

En fait, cela concerne essentiellement des paramètres IE, surtout le
proxy,
ainsi que certains services désactivés ou activés par GPO (peer to peer,
assistance, mise à jour).
Pour simplifier, on a :
des GPO au niveau du domaine (générales au domaine), dont certains
paramètres IE (config ordinateur);
Un GPO bloquant les onglets sensibles de IE, appliqué aux
utilisateurs,filtré sur les admins (comme çà, eux, ils peuvent
intervenir),
lié au domaine (Config utilisateur);
Sur les OU des filiales, on veut placer un GPO de proxy,chaque filiale
ayant
le sien donc pas généralisable au niveau du domaine (et oui, le syndrôme
Astérix fait encore des siennes). Auparavant, ces paramètres étaient (et
sont
encore) gérés par des scripts "maison" à chaque filiale.
Ces OU contiennent des utilisateurs et des ordinateurs.

On constate que les GPO n'imposent pas leur lois sur les clés de registre
"customisées" (HKCU et HKLM), alors que le rapport RSOP indique leur
application ??
Pas de pbs avec des PC fraichements configurés. Pas de campagne massive
prévue, donc faut faire avec l'existant.


A la demande générale, je me sépare donc de mon identifiant préféré
Benpages, qui m'avais été donné on ne peut plus officiellement en 2002,
lors
d'une prestation de support dans une filliale française d'une entreprise
d'origine US, bien connue des technologies de l'information. Cet humour
torride m'a marqué, ainsi que certains VIP anglo saxon qui m'avaient comme
support !! :))

....







Avatar
Jonathan Bismuth
ok, tiens moi au courant de la suite ;)
PS, quels sont les droits des utilisateurs sur l'OU (pas la GPO)?

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Fils d''OÏT" a écrit dans le message de
news:
Bonjour
Merci pour le lien, j'ai récupéré rgprefresh, en vu de le tester avec mon
domaine impitoyable.

Pas de message d'erreur, bien au contraire, le rapport via GPMC indique
clairement que le GPO s'exprime, mais pas d'effet sur le registre
"customisé".
Le GPO est bien en mode maintenance.
J'essaie en paramètrant un proxy sur un GPO lié au domaine, il se peut que
le problème se pose au niveau de l'OU. J'en profite pour coller un
paramètre
ordinateur dans le GPO proxy lié à l'OU, juste pour voir ce qui s'exprime
dans GPMC et dans le registre.

Cordialement



aucun message d'erreur nul part?
as tu choisi le mode stratégie ou préférence ?

petit lien qui pourrait t'aider :
http://www.gpoguy.com/FAQs.htm#IE_Maintenance_Policy

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Fils d''OÏT" a écrit dans le message
de
news:

En fait, cela concerne essentiellement des paramètres IE, surtout le
proxy,
ainsi que certains services désactivés ou activés par GPO (peer to
peer,
assistance, mise à jour).
Pour simplifier, on a :
des GPO au niveau du domaine (générales au domaine), dont certains
paramètres IE (config ordinateur);
Un GPO bloquant les onglets sensibles de IE, appliqué aux
utilisateurs,filtré sur les admins (comme çà, eux, ils peuvent
intervenir),
lié au domaine (Config utilisateur);
Sur les OU des filiales, on veut placer un GPO de proxy,chaque filiale
ayant
le sien donc pas généralisable au niveau du domaine (et oui, le
syndrôme
Astérix fait encore des siennes). Auparavant, ces paramètres étaient
(et
sont
encore) gérés par des scripts "maison" à chaque filiale.
Ces OU contiennent des utilisateurs et des ordinateurs.

On constate que les GPO n'imposent pas leur lois sur les clés de
registre
"customisées" (HKCU et HKLM), alors que le rapport RSOP indique leur
application ??
Pas de pbs avec des PC fraichements configurés. Pas de campagne massive
prévue, donc faut faire avec l'existant.


A la demande générale, je me sépare donc de mon identifiant préféré
Benpages, qui m'avais été donné on ne peut plus officiellement en 2002,
lors
d'une prestation de support dans une filliale française d'une
entreprise
d'origine US, bien connue des technologies de l'information. Cet humour
torride m'a marqué, ainsi que certains VIP anglo saxon qui m'avaient
comme
support !! :))

....









Avatar
Fils d''OÏT
Bonjour

Les resultats aux test méritent leurs propre discution, hors de la présente.
Cela reste "fascinant "(mode Mr Spock).

Le problème persiste, avec des variantes :

Utilisateur de l'OU, profil purgé : Le proxy lié au domaine s'exprime (verif
des options IE), celui de l'OU est lu et considéré comme appliqué par le
Rapport via RSoP.
Utilisateur de L'OU, sans purge : pas de modifications. RSoP affirme
pourtant appliquer le Proxy lié à L'OU
Domaine /administrateur : Le proxy lié au domaine s'exprime, comme indique
RSoP.Seule la configuration ordinateur du GPO lié à l'OU s'exprime, la
configuration utilisateur n'est même pas lue! (aucune trace dans le rapport
RSoP, ???? ).

Voila
Je commence à chercher on-line un formulaire d'inscription à Ste Anne, au
cas où...
1 2 3