Traitement de la stratégie de groupe
La stratégie de groupe pour les ordinateurs est appliquée au démarrage de l'ordinateur. La stratégie de groupe pour les utilisateurs est appliquée lorsque ceux-ci ouvrent une session. Parallèlement au traitement initial de la stratégie de groupe lors du démarrage et de l'ouverture de session, la stratégie de groupe est appliquée par la suite en arrière-plan périodiquement. Pendant une actualisation en arrière-plan, une extension côté client ne réapplique les paramètres de stratégie que s'il détecte qu'une modification s'est produite sur le serveur dans un de ses objets de stratégie de groupe ou de sa liste d'objets de stratégie de groupe. Pour l'installation du logiciel et la redirection de dossiers, le traitement de la stratégie de groupe n'a lieu que lors du démarrage ou de l'ouverture de session de l'utilisateur.
Les paramètres de stratégie de groupe sont traités dans l'ordre suivant :
Objet de stratégie de groupe local Chaque ordinateur dispose d'un objet de stratégie de groupe qui est stocké localement. Cet objet de stratégie de groupe exécute le traitement à la fois pour l'ordinateur et la stratégie de groupe de l'utilisateur.
Site Les objets de stratégie de groupe liés au site auquel appartient l'ordinateur sont traités ensuite. Le traitement s'effectue dans l'ordre spécifié par l'administrateur sur l'onglet Objets de stratégie de groupe liés pour le site dans la console de gestion des stratégies de groupe (GPMC). L'objet stratégie de groupe dont l'ordre des liens est le plus bas est traité en dernier et a la priorité la plus élevée. Pour plus d'informations sur la façon d'utiliser la console de gestion des stratégies de groupe (GPMC), reportez-vous à la section Outils de gestion de la stratégie de groupe plus loin dans cet article.
Domaine Les multiples objets de stratégie de groupe liés aux domaines sont traités dans l'ordre spécifié par l'administrateur, sur Objets de stratégie de groupe liés pour le domaine dans console de gestion des stratégies de groupe (GPMC). L'objet stratégie de groupe dont l'ordre des liens est le plus bas est traité en dernier et a la priorité la plus élevée.
Unités d'organisation Les objets de stratégie de groupe liés à l'unité d'organisation qui est située tout en haut de la hiérarchie Active Directory sont traités en premier, suivis des objets de stratégie de groupe qui sont liés à son unité d'organisation enfant et ainsi de suite. Les objets de stratégie de groupe liés à l'unité d'organisation qui contient l'utilisateur ou l'ordinateur sont traités en dernier.
L'ordre de traitement est soumis aux conditions suivantes :
Filtrage WMI (Windows Management Instrumentation) ou filtrage de sécurité appliqué aux objets de stratégie de groupe.
Tout objet de stratégie de groupe de domaine (GPO non locaux) peut être appliqué à l'aide de l'option Appliquer afin que ses paramètres de stratégie ne puissent pas être remplacés. Comme un objet de stratégie de groupe appliqué est traité en dernier, aucun autre paramètre ne peut écraser les paramètres qu'il contient. S'il existe plusieurs objets de stratégie de groupe appliqués, le même paramètre dans chaque objet de stratégie de groupe peut prendre une valeur différente. Dans ce cas, l'ordre des liens des objets de stratégie de groupe détermine l'objet de stratégie de groupe qui contient les paramètres finaux.
L'héritage de la stratégie de groupe peut être désigné de manière sélective en tant que Bloquer l'héritage au niveau d'un domaine ou d'une unité d'organisation quelconque. Toutefois, étant donné que les objets de stratégie de groupe appliqués le sont toujours et qu'ils ne peuvent pas être bloqués, le blocage de l'héritage n'empêche pas l'application des paramètres de stratégie des objets de stratégie de groupe appliqués.
Héritage de la stratégie
Les paramètres de stratégie en vigueur pour un utilisateur et un ordinateur sont le résultat de la combinaison des objets de stratégie de groupe appliqués à un site, un domaine ou une unité d'organisation. Lorsque plusieurs objets de stratégie de groupe s'appliquent aux utilisateurs et aux ordinateurs de ces conteneurs Active Directory, les paramètres des objets de stratégie de groupe sont agrégés. Par défaut, les paramètres déployés dans les objets de stratégie de groupe liés aux conteneurs de niveau plus élevé (conteneurs parents) dans Active Directory sont transmis aux conteneurs enfants et combinés avec les paramètres déployés dans les objets de stratégie de groupe liés aux conteneurs enfants. Si plusieurs objets de stratégie de groupe tentent de définir un paramètre de stratégie ayant des valeurs en conflit, l'objet de stratégie de groupe présentant la priorité la plus élevée définit le paramètre. Les objets de stratégie de groupe qui sont traités après sont prioritaires sur les objets de stratégie de groupe qui sont traités avant.
Traitement synchrone et asynchrone
Les processus synchrones peuvent se décrire comme une série de processus dans laquelle un processus doit terminer son exécution avant que le suivant ne commence. Les processus asynchrones peuvent s'exécuter en même temps sur des threads différents car leur résultat est indépendant des autres processus. Les administrateurs peuvent utiliser un paramètre de stratégie pour chaque objet de stratégie de groupe afin de modifier le comportement de traitement par défaut et faire en sorte qu'il soit asynchrone au lieu de synchrone.
Dans le processus synchrone, le traitement de la stratégie de groupe complète sur l'ordinateur client doit s'effectuer en 60 minutes, qui correspond à la durée maximale autorisée. Les extensions côté client dont le traitement n'est pas terminé au bout de 60 minutes sont signalées pour s'arrêter. Dans ce cas, il est possible que les paramètres de stratégie associés n'aient pas été complètement appliqués.
Fonctionnalité d'optimisation d'ouverture de session rapide
Par défaut, la fonctionnalité d'optimisation d'ouverture de session rapide est définie pour les membres de domaine et les membres de groupe de travail. Cela se traduit par l'application asynchrone de la stratégie lors du démarrage de l'ordinateur et de l'ouverture de session de l'utilisateur. Cette application de la stratégie est semblable à une actualisation en arrière-plan. Elle peut réduire le temps nécessaire pour faire apparaître la boîte de dialogue d'ouverture de session et pour rendre le bureau disponible pour l'utilisateur.
Les administrateurs peuvent désactiver la fonctionnalité d'optimisation d'ouverture de session rapide à l'aide du paramètre de stratégie Toujours attendre le réseau lors du démarrage de l'ordinateur et de l'ouverture de session, situé sous le nœudConfiguration de l'ordinateur\Modèles d'administration\Système\Ouverture de session de l'Éditeur d'objets de stratégie de groupe.
Traitement des liaisons lentes
Certaines extensions de la stratégie de groupe ne sont pas traitées lorsque la vitesse de connexion tombe en dessous des seuils spécifiés. La valeur par défaut de ce que la stratégie de groupe considère comme une liaison lente correspond à n'importe quelle vitesse inférieure à 500 kilo-bits par seconde (Kbits/s).
Intervalle d'actualisation de la stratégie de groupe
La stratégie de groupe est traitée par défaut toutes les 90 minutes, avec un délai aléatoire allant jusqu'à 30 minutes, soit un intervalle d'actualisation maximal total de 120 minutes.
Concernant les paramètres de sécurité, une fois que vous avez modifié les stratégies associées, ils sont actualisés sur les ordinateurs de l'unité d'organisation à laquelle l'objet de stratégie de groupe est lié :
au démarrage d'un ordinateur,
toutes les 90 minutes sur une station de travail ou un serveur et toutes les 5 minutes sur un contrôleur de domaine.
Par défaut, les paramètres de stratégie de sécurité transmis par la stratégie de groupe sont également appliqués toutes les 16 heures (960 minutes), même si un objet de stratégie de groupe n'a pas été modifié.
Déclenchement d'une actualisation de la stratégie de groupe
Les modifications apportées à l'objet de stratégie de groupe doivent tout d'abord répliquer sur le contrôleur de domaine approprié. Par conséquent, celles apportées aux paramètres de stratégie de groupe peuvent ne pas être immédiatement disponibles sur les ordinateurs de bureau des utilisateurs. Dans certains scénarios, tels que l'application des paramètres de stratégie de sécurité, il peut être nécessaire d'appliquer les paramètres de stratégie immédiatement.
Les administrateurs peuvent déclencher une actualisation de la stratégie manuellement à partir d'un ordinateur local sans attendre l'actualisation automatique en arrière-plan. Pour cela, ils peuvent entrer gpupdate sur la ligne de commande pour actualiser les paramètres de stratégie utilisateur ou ordinateur. Vous ne pouvez pas utiliser la console de gestion des stratégies de groupe pour déclencher une actualisation de la stratégie.
La commande gpupdate déclenche une actualisation de la stratégie en arrière-plan sur l'ordinateur local à partir duquel la commande est exécutée. La commande gpupdate est utilisée dans les environnements Windows Server 2003 et Windows XP.
L'application de la stratégie de groupe ne peut pas être poussée (push) vers des clients à la demande à partir du serveur.
|
