Introduits avec Windows Server 2008 dans la console de gestion des stratégies de groupe (GPMC), les Starter GPO (ou objets de stratégie de groupe de départ) agissent comme des modèles prêts à l’emploi. Ils permettent de préconfigurer une base de paramètres réutilisables pour générer rapidement de nouvelles GPO uniformes sur un ou plusieurs parcs informatiques.
Comprendre le fonctionnement et le périmètre des Starter GPO
Une Starter GPO n’est jamais directement liée à une unité d’organisation (OU) ni appliquée aux postes ou aux utilisateurs. Elle sert uniquement de moule. Lorsqu’un administrateur instancie une nouvelle GPO à partir d’un Starter GPO, l’ensemble des réglages définis dans le modèle est copié vers la nouvelle stratégie indépendante.
Il existe toutefois une restriction majeure à prendre en compte : les Starter GPO ne stockent que les modèles d’administration (Administrative Templates – ADMX/ADML), situés sous les sections Configuration ordinateur et Configuration utilisateur. Vous ne pouvez donc pas y intégrer de paramètres de sécurité NTFS, de restrictions de droits locaux, de scripts de démarrage ou de politiques de déploiement logiciel (comme c’est le cas lorsqu’on cherche à installer un paquet applicatif par GPO). Pour ces besoins avancés, il faudra passer par une sauvegarde standard de GPO ou des scripts d’importation.
Création d’un Starter GPO dans la console GPMC
- Ouvrez la console de gestion des stratégies de groupe (gpmc.msc).
- Déroulez l’arborescence de votre forêt et de votre domaine, puis faites un clic droit sur le conteneur Starter GPOs (si c’est la première utilisation, cliquez sur le bouton permettant de créer le dossier système correspondant dans le partage SYSVOL).
- Sélectionnez Nouveau (New), attribuez un nom explicite à votre modèle (par exemple Template_Hardening_Postes) et ajoutez éventuellement un commentaire de documentation.
- Faites un clic droit sur le Starter GPO créé puis cliquez sur Modifier.
- Configurez vos paramètres de registre cibles, comme la désactivation des protocoles obsolètes ou la configuration des accès d’administration pour autoriser l’exécution distante des scripts PowerShell.
Déployer une GPO opérationnelle à partir du modèle
Une fois votre socle technique validé, la création d’une stratégie active s’effectue en deux étapes :
- Faites un clic droit sur la Starter GPO concernée et sélectionnez Nouvelle GPO à partir du modèle de départ (New GPO from Starter GPO).
- Renseignez le nom de votre stratégie finale, puis liez-la à l’OU cible selon la structure de votre annuaire Active Directory.
Toute modification ultérieure du Starter GPO ne rétroagit pas sur les GPO déjà instanciées, ce qui évite les ruptures de conformité inattendues en production.
Sauvegarde et portabilité inter-domaines
L’atout principal des Starter GPO réside dans leur simplicité d’exportation sous forme de fichiers autonomes compressés (fichiers CAB), idéaux pour transférer un standard de sécurité entre un domaine de recette et un domaine de production :
- Sauvegarde : Clic droit sur le Starter GPO > Sauvegarder (Backup). Choisissez un dossier de destination sécurisé.
- Restauration / Import : Sur le domaine cible, ouvrez la console GPMC, faites un clic droit sur Starter GPOs > Restaurer à partir de la sauvegarde (Restore from backup), puis pointez vers votre archive.
Cette approche garantit un socle d’administration reproductible, documenté et facilement diffusable au sein de vos infrastructures Active Directory.