Group Policy Object (GPO)

Définition

Un Group Policy Object (GPO) est un objet Active Directory encapsulant un ensemble de paramètres de configuration destinés à être appliqués centralement aux ordinateurs et utilisateurs d'un domaine, couvrant des domaines aussi variés que les stratégies de sécurité locale, le déploiement logiciel, les scripts de connexion et de démarrage, ou les restrictions de registre. Une GPO se compose techniquement de deux parties distinctes stockées séparément : le Group Policy Container (GPC), un objet dans la base d'annuaire référençant les métadonnées de la GPO, et le Group Policy Template (GPT), un ensemble de fichiers stockés dans le partage SYSVOL contenant les paramètres effectifs appliqués aux clients. Une GPO n'a aucun effet tant qu'elle n'est pas liée (Linked GPO) à un conteneur — site, domaine ou OU — et son application effective résulte de la combinaison de son ordre de priorité, du principe d'héritage LSDOU et des options Enforced ou Block Inheritance éventuellement configurées. Les GPO constituent l'outil de durcissement de référence en environnement Active Directory, permettant de déployer uniformément des paramètres critiques comme l'activation du LDAP Signing, les restrictions NTLM, ou le déploiement de Credential Guard. À l'inverse, des permissions de modification excessives sur une GPO sensible, ou sur son lien vers un conteneur privilégié, constituent un vecteur d'escalade de privilèges à impact maximal, régulièrement identifié en audit.