Depuis le correctif de sécurité MS16-072, Windows lit les GPO utilisateur avec le compte de
l'ordinateur. Le filtrage par groupe reste possible (GG-Compta : Appliquer), mais il faut que les
ordinateurs puissent encore lire la GPO. En retirant Utilisateurs authentifiés (qui contient les
comptes d'ordinateur), Reda a supprimé cette lecture : gpresult affiche « Denied (Security) ».
Les autres pistes sont écartées par les sorties : le lien est actif (Get-GPInheritance), Sanaa est bien
dans GG-Compta, et repadmin ne montre aucun échec de réplication.
Incident résolu
Analyse et correction
Correction : rendre la lecture seule aux utilisateurs authentifiés (ou à Ordinateurs du domaine), sans leur donner « Appliquer » :
Set-GPPermission -Name 'Compta - Lecteur Z' -TargetName 'Authenticated Users' -TargetType Group -PermissionLevel GpoRead
Invoke-GPUpdate -Computer PC-COMPTA-03 -Force
Vérification : gpresult /s PC-COMPTA-03 /user ALAMAL\s.bennis /r doit lister la GPO dans « Applied
Group Policy Objects », puis Sanaa retrouve Z:.
Pour que cela ne recommence pas :
- règle simple : filtrer avec « Appliquer » pour le groupe voulu, mais toujours laisser la Lecture à Utilisateurs authentifiés ou Ordinateurs du domaine ;
- tester une GPO modifiée sur un poste pilote (
gpresult) avant de la laisser en place ; - sauvegarder les GPO avant modification (
Backup-GPO -All -Path …).