Dans quel ordre de priorité s’appliquent les GPO ?

Sur un réseau, il arrive qu’une multitude de GPO soient appliquées. Il n’est pas toujours facile de savoir lesquelles sont prioritaires ou annulés par une suivante. Dans cet article, nous allons voir dans quel ordre de priorité s’appliquent les GPO.

A lire également : Comment voir quelles GPO sont appliquées à un ordinateur Windows ?

Priorité selon la position de la GPO

Selon l’endroit où se situe la GPO, celle-ci s’appliquera ou sera « écrasée » par une autre.
Pour faire simple, c’est toujours la GPO la plus proche de l’objet qui prévaut.

Par exemple, vous avez une GPO « Paramètres Java » liée au domaine qui permet d’activer les mises à jour automatiques de Java. Celle-ci s’applique sur toutes les OU enfants de ce domaine. Maintenant, imaginons que dans votre OU « PC » se trouve une autre GPO « No MAJ Java » dont le rôle est de désactiver les mises à jour de Java. Et bien ce sera la GPO « No MAJ Java » qui sera appliquée car la plus basse dans l’arborescence.

Priorité selon l’ordre de la GPO dans la liste

Si plusieurs GPO se trouvent au même endroit, comme dans l’exemple ci-dessous, une priorité s’applique.

Ici, on a appliqué trois GPO au dossier « IT ». Ces dernières sont des GPO de test. Quand on ouvre le dossier, on remarque que les différentes GPO ont un ordre. Celui-ci est modifiable avec les petites flèches sur la droite.

Dans notre exemple précis, la GPO « Test de GPO » sera la plus prioritaire.

Héritage des GPO

Lorsqu’une GPO se place dans un site, un domaine ou une Unité d’Organisation, celle-ci s’applique également à ses dossiers enfants. C’est ce que l’on appelle l’héritage.

C’est pourquoi il est important de bien mettre la GPO le plus bas dans l’arborescence, pour être sûr qu’elle s’applique bien uniquement aux objets désirés.

Si vous vouliez appliquer une GPO a un groupe d’Unités d’Organisation tout en en ignorant une, sachez qu’il est possible de bloquer l’héritage sur un dossier particulier.

Dans cet exemple, imaginons qu’on GPO « Security » ajoute des règles de pare-feu pour empêcher le protocole FTP. Celle-ci va alors s’appliquer à tous les dossiers enfants et les objets qu’ils contiennent.

Priorité des GPO appliquées

Appliquer une GPO signifie lui donner la priorité la plus importante. Elle s’appliquera donc après les GPO contenues plus bas dans l’arborescence.

Reprenons la GPO « Security » déjà évoquée précédemment. Nous en créons une nouvelle dans le dossier IT, « No security ». Cette dernière ouvre les ports du pare-feu pour le FTP.

Comme la GPO « Security » est appliquée, elle reste néanmoins prioritaire et s’appliquera au dessus de la « No security » qui est alors inutile.