GPO pratiques : fond d'écran, MDP et déploiement logiciel

Une fois les bases des GPO comprises, voici trois cas concrets que vous rencontrerez en helpdesk PME : imposer un fond d'écran corporate, renforcer la politique de mots de passe, et déployer un logiciel sans toucher à chaque poste.

Fond d'écran imposé

Configuration Utilisateur → Modèles d'administration → Bureau → Papier peint du Bureau.

Renseigner le chemin UNC du fichier image (ex : \\srv-fichiers\IT\fond.jpg). Le fichier doit être accessible en lecture par tous les ordinateurs du domaine.

Politique de mots de passe

Configuration Ordinateur → Paramètres Windows → Paramètres de sécurité → Stratégies de compte → Stratégie de mot de passe.

Paramètres typiques PME : longueur minimale 10 caractères, complexité activée, historique 5 mots de passe, expiration 90 jours.

Déploiement de logiciel MSI

Configuration Ordinateur → Paramètres logiciels → Installation de logiciels → Nouveau → Package.

Pointer vers le fichier .msi sur un partage réseau accessible par les comptes ordinateur du domaine (pas seulement les utilisateurs). Le logiciel s'installe au prochain démarrage.

graph LR
    A[GPO] --> B[Configuration Ordinateur]
    A --> C[Configuration Utilisateur]
    B --> D[Stratégie MDP]
    B --> E[Déploiement MSI]
    C --> F[Fond d'écran]
    C --> G[Restrictions bureau]

Cas concret

L'entreprise veut déployer 7-Zip sur tous les postes du domaine sans intervention manuelle. On place 7zip.msi sur \\srv-fichiers\IT\Logiciels\, on crée une GPO "Déploiement 7-Zip" liée à l'OU Ordinateurs, et on ajoute le package MSI en installation assignée. Au prochain démarrage de chaque poste, 7-Zip est installé automatiquement.

Erreurs fréquentes

• Tenter de déployer un fichier EXE : seuls les packages MSI fonctionnent nativement avec les GPO (les EXE nécessitent un outil tiers comme SCCM).
• GPO créée mais pas liée à une OU ou au domaine : elle n'a aucun effet.
• Le partage réseau contenant le MSI n'est pas accessible aux comptes ordinateur (seuls les utilisateurs ont les droits) : l'installation échoue silencieusement.

À retenir

• Fond d'écran → GPO Utilisateur. MDP et MSI → GPO Ordinateur.
• Seuls les fichiers MSI sont déployables nativement via GPO.
• Le partage du MSI doit être lisible par les comptes machine, pas seulement les utilisateurs.

Mini-exercice

Sur votre VM, créez une GPO "Politique MDP" liée au domaine. Configurez : longueur minimale 8 caractères, complexité activée. Vérifiez avec gpresult /r sur un poste que la politique s'applique. Tentez de créer un compte avec un mot de passe simple et constatez le refus.