La sécurité par les GPO

L’un des premiers aspects de la sécurité à 
prendre en compte quand on déploie AD
sont les stratégies des comptes, partie des
paramètres de sécurité d’un GPO qui permet
de définir la longueur et la complexité
des mots de passe et le blocage des intrus
pour les comptes d’utilisateurs de domaines. Pour définir les stratégies de
compte sur un GPO, ouvrez le Microsoft
Management Console (MMC)
Group Policy Object Editor, trouvez le
GPO et naviguez jusqu’à  Computer
Configuration\Windows Settings\Security
Settings\Account Policies sous ce
GPO.
Quand vous voulez qu’une stratégie
de comptes s’applique aux logons
des domaines AD (c’est-à -dire, les
comptes utilisateur définis dans AD),
vous devez définir cette stratégie dans
un GPO qui est lié au domaine parce
que les DC (domain controllers) dans
un domaine AD ne traitent que les stratégies
de compte contenues dans les
GPO qui sont eux-mêmes liés au domaine.
Les DC ignorent aussi trois
autres stratégies de sécurité sauf si
elles sont liées au domaine :

• Déconnecter automatiquement les
  utilisateurs dès que le délai de logon
  a expiré

• Renommer le compte administrateur
• Renommer le compte guest

Ces trois stratégies se trouvent
dans Computer Configuration\Windows
Settings\Security Settings\Local
Policies\Security Options sous le GPO.
Peut-être vous demandez-vous
pourquoi Microsoft veut que des stratégies
de compte et ces trois stratégies
de sécurité se trouvent dans un GPO
lié au domaine. Comme vous le savez,
quand on promeut un serveur
membre au rang de DC dans un domaine
AD, AD stocke le DC dans l’OU
(organizational unit) Domain Controllers
par défaut. En revanche, si on
déplace un DC vers une autre OU, le
DC peut alors recevoir des stratégies
de sécurité différentes. Les stratégies
de compte et les trois stratégies de sécurité
spécifiées doivent être homogènes
sur tous les DC, c’est pourquoi
Microsoft a conçu le code de traitement
GPO pour qu’il ignore ces stratégies
à  moins qu’elles ne soient liées au
domaine. Cela garantit que tous les
DC, indépendamment de leur emplacement,
reçoivent les mêmes stratégies.
(Microsoft permet que d’autres
stratégies de sécurité, comme les stratégies
d’audit et groupes restreints
soient différentes sur des DC dans différentes
OU. Vous devez connaître
cette tolérance si l’envie vous prend de
commencer à  déplacer des DC hors de
l’OU Domain Controllers).