Ce guide fournit des instructions pas à pas expliquant comment appliquer la stratégie de groupe locale aux utilisateurs non administrateurs dans Windows 11 et Windows 10, et comment cela peut être utile pour l’administration du système Windows. Il comprend également des informations sur la stratégie de groupe locale dans Windows, des conseils de dépannage et les bonnes pratiques pour gérer la stratégie de groupe Windows à grande échelle.
La possibilité d’appliquer les paramètres de la stratégie de groupe locale uniquement aux non-administrateurs vous permet de contrôler ce que les autres utilisateurs peuvent ou ne peuvent pas faire sur un système Windows, tout en vous assurant que votre propre compte d’administrateur n’est pas affecté.
Comprendre la stratégie de groupe locale dans Windows
La stratégie de groupe est une fonctionnalité du système d’exploitation Windows qui permet l’administration centrale des appareils Windows, y compris les paramètres du système et de l’utilisateur ainsi que la configuration des applications. Il s’agit notamment de gérer les stratégies de sécurité, les autorisations utilisateur, la configuration du réseau et la manière dont les profils utilisateur sont gérés.
Les stratégies de groupe sont constituées d’objets de stratégie de groupe (GPO). Chaque GPO contient un ensemble d’options de configuration qui modifient le comportement de la fonctionnalité ou de l’application Windows associée. Les GPO peuvent être appliqués en tant que configuration d’ordinateur (s’appliquant à un appareil Windows spécifique et à tout utilisateur connecté) ou en tant que configuration d’utilisateur (s’appliquant uniquement à un compte utilisateur unique lorsqu’il est connecté, quel que soit l’appareil sur lequel il est connecté).
Les tâches de configuration courantes effectuées à l’aide des stratégies de groupe et des objets de stratégie de groupe de Windows sont les suivantes :
- Configuration automatique des lecteurs réseau ou des imprimantes partagées.
- Définition des scripts de connexion.
- Configuration automatique des paramètres du navigateur web, tels que les moteurs de recherche et les pages d’accueil.
- Activation du pare-feu et de l’antivirus.
- Bloquer l’accès à des applications ou à des fonctions Windows (par exemple, désactiver l’accès à l’éditeur de registre pour les utilisateurs non administrateurs).
La stratégie de groupe de Windows se divise en deux catégories :
- Stratégie de groupe locale : Les stratégies locales ne s’appliquent qu’à la machine sur laquelle elles sont configurées. Notez que les objets de stratégie de groupe locaux sont remplacés par les objets de stratégie de groupe du domaine à partir de la stratégie de groupe dans Active Directory.
- Stratégie de groupe dans Active Directory: Des objets de stratégie de groupe peuvent être définis dans un domaine Active Directory, pour le contrôle des utilisateurs ou des ordinateurs dans un environnement d’entreprise. Ces stratégies sont définies en fonction de l’unité organisationnelle de l’utilisateur ou de l’appareil dans Active Directory.
Pourquoi appliquer la stratégie de groupe aux non-administrateurs ?
En général, la stratégie de groupe est utilisée dans les environnements d’entreprise dans le cadre d’un domaine Active Directory pour le contrôle centralisé des appareils Windows. Toutefois, les administrateurs de petits déploiements de Windows pour les entreprises et les particuliers peuvent tirer profit de l’ajout de restrictions pour les utilisateurs non administratifs, car cela leur permet d’avoir accès à des informations et à des services de qualité :
- Empêcher les utilisateurs de modifier les paramètres du système et de casser leur machine ou de désactiver des fonctions essentielles telles que les pare-feu ou les antivirus.
- Empêcher les utilisateurs d’installer des logiciels et d’exécuter des scripts s’ils ont tendance à installer des logiciels malveillants ou à ouvrir des pièces jointes suspectes.
- S’assurer que les mises à jour de Windows sont régulièrement installées.
- Renforcer les applications par défaut, telles qu’un navigateur web ou un client de messagerie spécifique.
- Renforcer la sécurité et la fiabilité globales des appareils Windows qu’ils supervisent en veillant à ce qu’ils soient les seuls à pouvoir apporter des modifications de configuration testées et documentées.
Conditions préalables à l’application de la stratégie de groupe aux non-administrateurs
La stratégie de groupe Windows n’est pas disponible sur les éditions Home du système d’exploitation Windows. Pour tirer parti de la stratégie de groupe locale et de la stratégie de groupe dans Active Directory, vous devez disposer de l’une des versions suivantes du système d’exploitation :
- Windows 10 Pro, Enterprise ou Education.
- Windows 11 Pro, Enterprise ou Education.
- Windows 7/8 Pro, Enterprise ou Ultimate (bien que vous ne deviez absolument pas utiliser ces versions de Windows car elles ne sont plus prises en charge).
Vous aurez également besoin d’un compte utilisateur avec des autorisations administratives et des utilisateurs non administrateurs que vous souhaitez gérer à l’aide de la stratégie de groupe locale.
Guide étape par étape : application de la stratégie de groupe locale aux non-administrateurs
La manière la plus efficace de gérer la stratégie de groupe pour les non-administrateurs est de créer une fenêtre Microsoft Management Console (MMC) personnalisée qui modifie les stratégies de groupe uniquement pour les utilisateurs non administrateurs. Pour ce faire, procédez comme suit :
- Faites un clic droit sur le bouton Démarrer , puis sélectionnez Exécuter.
- Tapez mmc, cliquez sur OK, puis sur Oui à l’invite du contrôle de compte d’utilisateur pour ouvrir Microsoft Management Console (MMC).
- Ensuite, cliquez sur Fichier dans la barre de menu, puis sélectionnez Ajouter/Effacer des composants logiciels enfichables (snap-in)…
- Sélectionnez Éditeur d’objets de stratégie locale dans la liste des snap-in disponibles.
- Cliquez sur le bouton Ajouter > pour l’ajouter à la liste des snap-in (composants logiciels enfichables) sélectionnés.
- Cliquez sur le bouton Parcourir dans la fenêtre Sélectionnerr un objet de stratégie de groupe .
- Sélectionnez l’onglet Utilisateurs puis sélectionnez le groupe d’utilisateurs Non administrateurs (ou tout autre groupe d’utilisateurs auquel vous souhaitez appliquer spécifiquement une stratégie) et appuyez sur OK.
- Cliquez sur Terminer dans la fenêtre Sélectionner un objet de stratégie de groupe et appuyez ensuite sur OK dans la fenêtre Ajouter ou supprimer des composants logiciels enfichables .
- La fenêtre MMC affiche désormais l’éditeur de stratégie de groupe local pour les utilisateurs non administrateurs dans le volet de navigation.
- Cliquez sur Fichier puis Sauvegarder sous, et enregistrez cette vue personnalisée de Microsoft Management Console sur le bureau en tant qu’éditeur de stratégie de groupe pour les utilisateurs non administrateurs.
- Désormais, vous pouvez ignorer toutes les étapes ci-dessus lorsque vous souhaitez gérer les stratégies utilisateur et utiliser le fichier MMC enregistré sur votre bureau.
Les modifications apportées à la stratégie de groupe dans cette fenêtre MMC ne s’appliquent qu’aux utilisateurs non administratifs. Par exemple, vous pouvez configurer une stratégie de groupe empêchant les utilisateurs non administrateurs d’ouvrir le panneau de configuration :
- Ouvrez Microsoft Management Console en utilisant le fichier que vous avez créé ci-dessus.
- Naviguez jusqu’à Ordinateur local/Stratégie des non-administrateurs/Configuration d’utilisateur/Modèles d’administration/Panneau de configuration.
- Double-cliquez sur Interdire l’accès au panneau de configuration et aux paramètres de l’ordinateur .
- Sélectionnez Activé dans la fenêtre de configuration, puis cliquez sur OK.
- Pour appliquer les modifications, redémarrez ou exécutez la commande gpupdate /force à partir de PowerShell ou de l’invite de commande.
Pour inverser le processus, répétez la procédure, mais au lieu de sélectionner Activé dans le paramètre Interdire l’accès au panneau de configuration et aux paramètres de l’ordinateur , sélectionnez Désactivé ou Non configuré.
Veillez à tester tous les paramètres que vous modifiez à l’aide de la stratégie de groupe locale après les avoir déployés, afin de vous assurer qu’ils ont bien l’effet escompté.
Dépannage des problèmes courants liés à la stratégie de groupe locale
Si les modifications apportées à la stratégie de groupe locale ne sont pas prises en compte par les utilisateurs non administratifs, vérifiez les points suivants :
- Vérifiez que les stratégies sont attribuées au bon groupe d’utilisateurs.
- Assurez-vous que les utilisateurs que vous essayez de gérer sont membres du groupe auquel la stratégie est assignée.
Si vos modifications sont appliquées aux utilisateurs administratifs alors qu’elles ne devraient pas l’être, vérifiez-le :
- Vous n’avez pas attribué la stratégie à la machine au lieu du groupe d’utilisateurs prévu.
- Votre stratégie cible le bon groupe d’utilisateurs.
Vous pouvez exécuter gpresult /r pour obtenir la liste de toutes les stratégies de groupe actives. La stratégie la plus restrictive parmi les stratégies conflictuelles est toujours appliquée.
Si vous commettez une erreur lors de la définition des stratégies de groupe et que vous ne pouvez pas en déterminer la cause pour annuler vous-même une modification individuelle, vous pouvez annuler toutes les stratégies de groupe en exécutant les commandes suivantes en tant qu’administrateur :
gpupdate /force
secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
Redémarrez votre appareil pour terminer le processus – cela réinitialisera à la fois la configuration de l’ordinateur et les stratégies de configuration de l’utilisateur.
Comment gérer efficacement la stratégie de groupe de Windows à l’échelle de l’entreprise ?
La gestion de la stratégie de groupe locale visant à empêcher les non-administrateurs d’effectuer certaines tâches pour plus d’une poignée de périphériques Windows peut s’avérer fastidieuse et source d’erreurs. La stratégie de groupe Windows dans Active Directory vous permet de gérer de manière centralisée des milliers (ou des dizaines de milliers) de machines et d’utilisateurs Windows, en appliquant des stratégies à un niveau granulaire en fonction de l’emplacement, du rôle de l’utilisateur ou du type d’appareil.
Cependant, il ne suffit pas de pouvoir gérer la configuration de Windows et des applications à l’échelle. Vous devez être en mesure de déployer, de vérifier et de tester l’impact des changements pour vous assurer qu’ils sont efficaces, et de les mettre à jour en fonction du comportement des utilisateurs. Ceci est particulièrement important dans un contexte de sécurité : vous ne voulez pas de lacunes dans votre configuration Windows qui permettraient aux utilisateurs d’effectuer des actes potentiellement dangereux (intentionnellement ou non) tels que l’installation de logiciels malveillants.
NinjaOne fournit une solution complète de gestion des terminaux pour les domaines Windows, avec une interface de gestion centralisée et une intégration avec la protection des terminaux pour s’assurer que les appareils sont correctement configurés, mis à jour et sécurisés.
