Comment déléguer des permissions aux GPOs

Ceci est un guide détaillé sur la façon de déléguer des autorisations à des objets de stratégie de groupe pour un utilisateur ou un groupe spécifique.

Table des matières

• Comment déléguer les autorisations de modification des GPO
• Autoriser un utilisateur ou un groupe à créer des GPO dans une OU spécifique
• Déléguer des autorisations pour lier des GPO à une unité d'organisation spécifique
• Meilleures pratiques pour la délégation GPO

Dans ce guide, j'utiliserai la console de gestion des stratégies de groupe (GPMC) pour donner à un utilisateur spécifique des permissions pour modifier, créer et lier des GPO. Vous pouvez également utiliser ces étapes pour déléguer l'accès à un groupe.

Comment déléguer les autorisations de modification des GPO

Par défaut, le groupe des utilisateurs authentifiés a des permissions de lecture sur les GPO, cela donnera à tous les utilisateurs du domaine les permissions de lire et d'appliquer la GPO.

Si un utilisateur ouvrait la console de gestion des stratégies de groupe et essayait de modifier un GPO, l'option de modification serait désactivée.

Pour donner à un utilisateur ou à un groupe des autorisations pour modifier un GPO, suivez ces étapes.

Étape #1 : Ouvrez la console de gestion des stratégies de groupe

Étape n°2 : Cliquez sur l'onglet de délégation

Accédez à la GPO sur laquelle vous souhaitez déléguer des permissions d'édition et cliquez sur l'onglet « Délégation ».

Étape #3 : Cliquez sur Ajouter

Dans l'onglet de délégation, cliquez sur le bouton ajouter.

Étape n°4 : Ajouter un utilisateur ou un groupe

Dans cet exemple, je vais donner des droits spécifiques à un utilisateur pour modifier le GPO.

Entrez le nom d'utilisateur ou de groupe et cliquez sur « OK ». Vous pouvez également cliquer sur le bouton avancé pour rechercher dans l'annuaire actif.

Étape n°5 : Définir les autorisations de modification

Dans la boîte contextuelle, changez les autorisations en « Modifier les paramètres » et cliquez sur « OK ».

L'utilisateur ou le groupe devrait maintenant avoir les autorisations pour modifier la GPO.

Remarque : L'utilisateur devra avoir installé la console de gestion de la police de groupe.

Autoriser un utilisateur ou un groupe à créer des GPO dans une OU spécifique

Remarque : Il n'existe pas de création de GPO dans une OU. Les GPO sont créées dans le domaine puis liées à une OU.

Pour permettre à un utilisateur de créer de nouveaux GPO et de les lier à une OU spécifique, suivez ces étapes.

Étape 1. Ouvrez la console de gestion des stratégies de groupe

Étape 2. Sélectionnez « Objets de stratégie de groupe »

Développez les domaines et votre domaine, puis sélectionnez « Objets de stratégie de groupe ».

Étape 3. Cliquez sur « Ajouter »

Étape 4. Entrez l'utilisateur ou le groupe et cliquez sur « OK ».

À ce stade, l'utilisateur ou le groupe peut créer de nouveaux GPO, mais ne peut pas les lier à une UO ou au domaine.

Étape 5. Sélectionnez l'OU

Sélectionnez l'OU à laquelle vous souhaitez déléguer des autorisations pour créer de nouveaux GPO (lien vers).

Cliquez sur l'onglet « Délégués » et cliquez sur « Ajouter ».

Dans cet exemple, je sélectionne mon OU "Comptabilité".

Entrez l'utilisateur ou le groupe et cliquez sur « OK ».

Dans la fenêtre contextuelle, sélectionnez les autorisations et cliquez sur « OK ».

Maintenant, l'utilisateur peut créer et lier des GPO aux unités organisationnelles "Comptabilité".

Mais si l'utilisateur essaie de créer et de lier un GPO à une autre OU, cela n'est pas activé. Dans la capture d'écran ci-dessous, vous pouvez voir que l'utilisateur a essayé de créer un GPO dans l'OU Marketing, mais les options ne sont pas activées. C'est attendu et c'est ce que vous voulez. Vous ne voulez pas déléguer l'accès pour créer et lier des GPO à toutes les OUs.

Déléguer des autorisations pour lier des GPO à une unité d'organisation spécifique

Si vous avez seulement besoin qu'un utilisateur lie des GPO à une UO, suivez ces étapes. Cela ne permettra pas à l'utilisateur de créer de nouveaux GPO, mais de lier ceux qui existent.

1. Ouvrez la console de gestion des stratégies de groupe
2. Cliquez sur l'onglet « délégation »
3. Cliquez sur « Ajouter »
4. Entrez l'utilisateur ou le groupe et cliquez sur « OK ».
5. Sélectionnez les autorisations que vous souhaitez accorder et cliquez sur « OK ».

Une fois terminé, cela devrait ressembler à la capture d'écran ci-dessous pour l'utilisateur ou le groupe que vous avez sélectionné.

Meilleures pratiques pour la délégation GPO

1. Utiliser des groupes pour la délégation

   • Déléguez les autorisations aux groupes de sécurité plutôt qu'aux comptes individuels. Cela facilite la gestion lorsque les employés changent de rôle ou quittent l'entreprise. Dans cet article, j'ai utilisé un compte individuel plutôt qu'un groupe. Mon domaine est uniquement un environnement de laboratoire.

2. Ne pas autoriser la délégation de liens au niveau du domaine

   • Je ne déléguerais pas les autorisations pour lier des GPO au niveau du domaine, laissez cette tâche aux administrateurs de domaine. N'autorisez que les non-administrateurs à créer et lier des GPO à des unités organisationnelles spécifiques.

3. Gestion du changement

   • Même si vous déléguez des responsabilités de GPO, vous devez toujours avoir un processus de gestion des changements en place. Toute nouvelle création ou modification des GPO doit passer par un processus d'approbation.

4. Documentation

   • Conservez une documentation détaillée des utilisateurs qui ont les autorisations de créer, modifier et lier des GPO. L'utilisation de groupes facilitera cela car vous pouvez utiliser la section des notes pour les détails.

5. Auditer et surveiller les GPOs

   • Il est recommandé d'auditer et de surveiller régulièrement les modifications des GPO. Les modifications des GPO sont stockées dans les journaux d'événements Windows. Vous pouvez auditer les autorisations GPO avec PowerShell et des outils tiers.

Conclusion

La délégation des permissions GPO est une partie essentielle de la gestion d'un environnement Active Directory Windows, en particulier dans les grandes organisations. Cela vous permet de déléguer les responsabilités GPO à d'autres membres du personnel pour aider à rationaliser la gestion des actifs informatiques. En suivant les meilleures pratiques, vous pouvez réduire le risque de permettre aux mauvais utilisateurs d'apporter des modifications aux GPO tout en restant en contrôle des politiques.