Diagnostiquer l'application des stratégies de groupe : gpresult, gpupdate et le module GroupPolicy

Objectif

Déterminer quels objets de stratégie de groupe (GPO) ont réellement été appliqués à un ordinateur ou à un utilisateur donné, forcer une nouvelle évaluation et protéger un GPO existant par une sauvegarde avant de le modifier.

Prérequis

Une invite de commandes élevée (administrateur local) sur la cible, nécessaire pour obtenir avec gpresult les données de portée ordinateur et pour toute requête RSoP distante : sans élévation, gpresult n'affiche que les paramètres utilisateur. Le module PowerShell GroupPolicy (RSAT) pour Get-GPO/Backup-GPO/Get-GPResultantSetOfPolicy. Des droits de modification sur le GPO pour la sauvegarde et la restauration.

Étapes

1. Générer un rapport HTML lisible de l'ensemble de stratégie résultant (RSoP, Resultant Set of Policy) pour l'utilisateur et l'ordinateur courants : gpresult /h report.html /f. L'option /f force l'écrasement d'un fichier existant, de sorte que la commande n'attend pas de confirmation lors d'une exécution sans surveillance. Utiliser /r à la place pour obtenir sur la sortie standard un résumé texte rapide des GPO appliqués.
2. Pour une cible distante : gpresult /s SRV1 /user CONTOSO\jdoe /h report.html (les données utilisateur n'existent que si cet utilisateur s'est déjà connecté sur SRV1).
3. Depuis PowerShell, l'équivalent du module GroupPolicy est Get-GPResultantSetOfPolicy -Computer SRV1 -ReportType Html -Path C:\Temp\rsop.html (ou -User pour un rapport de portée utilisateur). Un agent peut l'appeler directement, sans passer par un shell externe ; indiquer -Path sous forme de chemin complet.
4. Lister tous les GPO du domaine (liés ou non) et en inspecter un : Get-GPO -All | Select-Object DisplayName, GpoStatus, ModificationTime, puis Get-GPO -Name "Default Domain Policy".
5. Avant de modifier un GPO, le sauvegarder : Backup-GPO -Name "Baseline Workstation Policy" -Path C:\GPOBackups (le dossier doit déjà exister). La sauvegarde capture les paramètres du GPO et son filtrage de sécurité ; elle peut être restaurée avec Restore-GPO -Name "Baseline Workstation Policy" -Path C:\GPOBackups si la modification doit être annulée. Les liens vers les unités d'organisation (OU) ou les sites ne font pas partie de la sauvegarde et ne sont pas restaurés.
6. Après modification d'un GPO ou de ses liens, forcer la cible à retraiter les stratégies sans attendre l'intervalle d'actualisation : gpupdate /force (n'ajouter /logoff ou /boot que si les paramètres concernés exigent une fermeture de session ou un redémarrage pour s'appliquer, comme l'installation de logiciels via GPO). Sans ces options, gpupdate peut s'arrêter sur une invite O/N demandant de fermer la session ou de redémarrer ; dans une exécution sans surveillance, y répondre explicitement (echo n | gpupdate /force).

Résultat attendu

report.html/rsop.html liste les GPO qui l'ont emporté et ceux qui ont été écartés, avec le motif pour chacun (filtrage de sécurité, filtre WMI, autorisation refusée) ; après gpupdate /force, un nouveau rapport RSoP reflète les paramètres attendus.

Limites et base de vérification

gpresult et gpupdate sont des commandes Windows documentées ; Get-GPResultantSetOfPolicy, Backup-GPO et Get-GPO du module GroupPolicy sont des cmdlets documentées. Le détail du traitement côté client (quelle extension côté client a appliqué quel paramètre) est consigné dans le journal d'événements opérationnel des stratégies de groupe, et non dans le seul rapport RSoP : consulter Microsoft-Windows-GroupPolicy/Operational pour ce niveau de détail. gpupdate force le retraitement mais ne garantit pas par lui-même la connectivité réseau avec un contrôleur de domaine ; un client qui n'en joint aucun signale une erreur de traitement et continue d'appliquer ses derniers paramètres mis en cache. Aucun redémarrage n'est nécessaire, sauf si un domaine de stratégie précis l'exige.