Créer des unités organisationnelles (UO) et activer GPO dans Zentyal

Après mes deux tutoriels précédents sur l’installation, les configurations de base et l’accès à distance à Zentyal PDC à partir d’un nœud Windows, il est temps d’appliquer un certain degré de sécurité et de configurations sur vos utilisateurs et ordinateurs qui sont joints à votre domaine en créant des unités organisationnelles (UO) et en activant GPO (Group Policy).

Exigences

• Installer Zentyal en tant que PDC (Primary Domain Controller) et intégrer le système Windows - Partie 1
• Comment gérer Zentyal PDC (Primary Domain Controller) à partir du système Windows - Partie 2

Comme vous le savez peut-être déjà, GPO est un logiciel qui contrôle les comptes d’utilisateurs, les ordinateurs, les environnements de travail, les paramètres, les applications et d’autres problèmes liés à la sécurité à partir d’un point central sur tous les systèmes d’exploitation Windows pour ordinateurs de bureau et serveurs.

Ce sujet est très complexe et des tonnes de documentation ont été publiées sur le sujet, mais ce tutoriel couvre une implémentation de base sur la façon d’activer GPO sur les utilisateurs et les ordinateurs reliés dans un serveur Zentyal PDC.

Étape 1 : Créer des unités organisationnelles (UO)

1. Accédez à vos outils d’administration Web Zentyal via le domaine ou l’adresse IP et allez dans le module Utilisateurs et ordinateurs -> Gérer.

https://your_domain_name:8443
OR
https://your_zentyal_ip_addess:8443

2. Mettez votre domaine en surbrillance, cliquez sur le bouton vert « + », sélectionnez Unité organisationnelle, et à l’invite, entrez votre « Nom de l’unité organisationnelle » (choisissez un nom descriptif), puis tirez sur Ajouter (les unités d’organisation peuvent également être créées à partir d’outils d’administration à distance tels que les utilisateurs Active Directory et la gestion des stratégies d’ordinateur ou de groupe).

3. Allez maintenant dans votre système Windows Remote et ouvrez le raccourci de gestion des stratégies de groupe (comme vous pouvez voir que votre unité organisationnelle nouvellement créée apparaît sur votre domaine).

4. Faites un clic droit sur le nom de votre organisation que vous venez de créer et sélectionnez Créer un GPO dans ce domaine, et liez-le ici...

5. À l’invite Nouvel objet de stratégie de groupe, entrez un nom descriptif pour ce nouvel objet de stratégie de groupe, puis appuyez sur OK.

6. Cela crée votre fichier de base GPO pour cette unité organisationnelle, mais aucun paramètre n’est encore configuré. Pour commencer à modifier ce fichier, faites un clic droit sur ce nom de fichier et sélectionnez Modifier.

7. Cela ouvrira l’éditeur de gestion des stratégies de groupe pour ce fichier (ces paramètres s’appliqueront uniquement aux utilisateurs et aux ordinateurs déplacés vers cette unité d’organisation).

8. Commençons maintenant à configurer quelques paramètres simples pour ce fichier de stratégie de groupe.

Voici quelques paramètres de base

un. Accédez à Configuration de l’ordinateur –> Paramètres Windows –> Paramètres de sécurité –> Stratégies locales –> Options de sécurité –> Connexion interactive –> Texte/titre du message pour les utilisateurs qui tentent de se connecter, entrez du texte dans les paramètres Définir cette stratégie sur les deux paramètres et appuyez sur OK.

WARN : Pour appliquer ce paramètre à l’ensemble de vos utilisateurs de domaine et ordinateurs jusqu’à présent, vous devez sélectionner et modifier le fichier de politique de domaine par défaut dans la liste des forêts de domaine.

B. Accédez à Configuration utilisateur > Stratégies > Modèles d’administration > Panneau de configuration > interdire l’accès au Panneau de configuration et aux paramètres du PC, double-cliquez et sélectionnez Activé.

Vous pouvez effectuer toutes sortes de paramètres de sécurité liés aux utilisateurs et aux ordinateurs pour cette unité organisationnelle (seuls vos besoins et votre imagination sont la limite) comme ceux de la capture d’écran ci-dessous, mais ce n’est pas le but de ce tutoriel (je l’ai configuré uniquement pour la démonstration).

9. Une fois que vous avez effectué tous vos paramètres et configurations de sécurité, fermez toutes les fenêtres et revenez à l’interface d’administration Web Zentyal (https://mydomain.com), allez à Module de domaine > Liens de stratégie de groupe, mettez en surbrillance votre fichier GPO à partir de votre forêt de domaine, sélectionnez Liens activés et Appliqués et appuyez sur le bouton Modifier pour appliquer les paramètres de cette unité d’organisation.

Comme vous pouvez le voir à partir de l’outil à distance de gestion des stratégies de groupe Windows, cette stratégie a été activée sur l’unité d’organisation.

Vous pouvez également voir une liste de tous vos paramètres GPO OU en cliquant sur l’onglet Paramètres.

10. Maintenant, pour pouvoir voir vos nouveaux paramètres appliqués, il suffit de redémarrer deux fois vos machines Windows jointes dans ce domaine pour voir l’effet.

Étape 2 : Ajouter des utilisateurs aux unités organisationnelles (UO)

Maintenant, ajoutons un utilisateur dans notre nouvelle unité d’organisation pour appliquer efficacement ces paramètres. Disons que vous avez des doutes sur l’utilisateur2 sur votre domaine et que vous savez s’il a des restrictions imposées par Allowed_User OU GPO.

11. Sur l’ordinateur distant Windows, ouvrez Utilisateurs et ordinateurs Active Directory, accédez à Utilisateurs, sélectionnez utilisateur2 et faites un clic droit pour l’apparence du menu.

12. À l’invite de la fenêtre Déplacer, sélectionnez Allowed_Users unité d’organisation et appuyez sur OK.

Désormais, tous les paramètres de cette GPO s’appliqueront à cet utilisateur dès qu’il se reconnectera la prochaine fois. Comme prouvé, cet utilisateur n’a pas accès au Gestionnaire des tâches, au Panneau de configuration ou à d’autres paramètres de l’ordinateur associés à ce domaine.

Tous ces paramètres ont été rendus possibles sous un serveur exécutant une distribution basée sur Linux, Zentyal 7.0, avec des logiciels open source gratuits, Samba4 et LDAP, qui agit presque comme un véritable serveur Windows et quelques outils de gestion à distance disponibles sur n’importe quelle machine de bureau Windows.