Comment configurer Windows 10/11 à l'aide des objets de stratégie de groupe (GPO)

Tout d'abord, vous devez installer la Console de gestion des stratégies de groupe sur votre contrôleur de domaine ou station de travail administrative. GPMC fait partie du package Outils d'administration de serveur distant (RSAT).

Sur Windows Server 2025, ouvrez le Gestionnaire de serveur et accédez au tableau de bord :

Add-WindowsCapability -Online -Name Rsat.GroupPolicy.Management.Tools~~~~0.0.1.0

Alternativement, utilisez la méthode GUI : Ouvrez le Gestionnaire de serveur > Tableau de bord > Démarrage rapide > Ajouter des rôles et fonctionnalités > Sélectionnez RSAT : Outils de gestion des stratégies de groupe.

Pour les stations de travail administratives Windows 10/11, téléchargez RSAT depuis Microsoft et installez le composant Outils de gestion des stratégies de groupe.

Vérification : Lancez GPMC en exécutant gpmc.msc ou via le Gestionnaire de serveur > Outils > Gestion des stratégies de groupe. Vous devriez voir la structure de votre forêt de domaine.

Créez maintenant un GPO dédié pour les optimisations de Windows 10/11. Cela garde vos paramètres organisés et facilite le dépannage.

Dans GPMC, développez la structure de votre forêt :

1. Accédez à Forêt > Domaines > [VotreDomaine]
2. Cliquez avec le bouton droit sur votre domaine ou l'Unité Organisationnelle cible
3. Sélectionnez Créer un GPO dans ce domaine, et le lier ici
4. Nommez-le de manière descriptive : "Windows10-11 Enterprise Optimization"

Avec PowerShell, vous pouvez automatiser ce processus :

New-GPO -Name "Windows10-11 Enterprise Optimization" -Comment "Paramètres d'optimisation pour les clients Windows 10/11"
New-GPLink -Name "Windows10-11 Enterprise Optimization" -Target "ou=Computers,dc=yourdomain,dc=com"

Vérification : Vérifiez que votre nouveau GPO apparaît dans l'arborescence GPMC et qu'il est affiché comme lié à votre OU cible avec une coche verte.

Désactivez les invites de paramètres de confidentialité et configurez la télémétrie pour répondre aux exigences de l'entreprise. Faites un clic droit sur votre nouveau GPO et sélectionnez Modifier pour ouvrir l'Éditeur de gestion des stratégies de groupe.

Accédez à Configuration de l'ordinateur > Stratégies > Modèles d'administration > Composants Windows > Collecte de données et versions préliminaires :

1. Double-cliquez sur Autoriser la télémétrie
2. Sélectionnez Activé
3. Réglez le menu déroulant sur 0 - Sécurité [Entreprise uniquement] ou 1 - Basique
4. Cliquez sur OK

Configurez également ces stratégies connexes :

• Configurer l'utilisation du proxy authentifié pour le service Expérience utilisateur connectée et télémétrie - Désactivé
• Ne pas afficher les notifications de retour d'information - Activé
• Basculer le contrôle utilisateur sur les versions Insider - Désactivé

Pour les paramètres d'expérience de confidentialité, accédez à Configuration de l'ordinateur > Modèles d'administration > Composants Windows > OOBE :

Stratégie : "Ne pas lancer l'expérience des paramètres de confidentialité à la connexion de l'utilisateur"
Paramètre : Activé

Vérification : Après avoir appliqué le GPO, vérifiez le registre sur un client de test : HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DataCollection doit contenir AllowTelemetry avec votre valeur configurée.

Windows 11 a introduit des widgets et une intégration de recherche web améliorée que de nombreuses entreprises souhaitent désactiver pour des raisons de sécurité et de productivité.

Dans l'Éditeur de gestion des stratégies de groupe, accédez à Configuration de l'ordinateur > Modèles d'administration > Composants Windows > Widgets :

1. Double-cliquez sur Autoriser les widgets
2. Sélectionnez Désactivé
3. Cliquez sur OK

Pour la fonctionnalité de recherche web, allez à Configuration de l'ordinateur > Modèles d'administration > Composants Windows > Recherche :

• Autoriser Cortana - Désactivé
• Autoriser la recherche et Cortana à utiliser la localisation - Désactivé
• Ne pas rechercher sur le web ni afficher les résultats web dans la Recherche - Activé
• Définir les informations partagées dans la Recherche - Activé, puis sélectionnez "Infos anonymes"

Vous pouvez également configurer ces paramètres via PowerShell pour l'automatisation :

Set-GPRegistryValue -Name "Windows10-11 Enterprise Optimization" -Key "HKLM\Software\Policies\Microsoft\Dsh" -ValueName "AllowNewsAndInterests" -Type DWord -Value 0
Set-GPRegistryValue -Name "Windows10-11 Enterprise Optimization" -Key "HKLM\Software\Policies\Microsoft\Windows\Windows Search" -ValueName "ConnectedSearchUseWeb" -Type DWord -Value 0

Vérification : Sur un client Windows 11, l'icône des widgets devrait disparaître de la barre des tâches, et les résultats de recherche ne devraient pas inclure de contenu web.

De nombreuses entreprises préfèrent désactiver l'intégration de OneDrive pour maintenir la gouvernance des données et empêcher l'utilisation non autorisée du stockage cloud.

Accédez à Configuration de l'ordinateur > Modèles d'administration > Composants Windows > OneDrive :

1. Empêcher l'utilisation de OneDrive pour le stockage de fichiers - Activé
2. Enregistrer les documents sur OneDrive par défaut - Désactivé
3. Empêcher OneDrive de générer du trafic réseau jusqu'à ce que l'utilisateur se connecte à OneDrive - Activé

Pour un contrôle plus complet, configurez également ces politiques au niveau utilisateur sous Configuration de l'utilisateur > Modèles d'administration > Composants Windows > OneDrive :

• Empêcher la synchronisation des fichiers OneDrive sur les connexions mesurées - Activé
• Configurer silencieusement le compte utilisateur - Désactivé

Configuration basée sur le registre pour l'automatisation :

Set-GPRegistryValue -Name "Windows10-11 Enterprise Optimization" -Key "HKLM\Software\Policies\Microsoft\Windows\OneDrive" -ValueName "DisableFileSyncNGSC" -Type DWord -Value 1
Set-GPRegistryValue -Name "Windows10-11 Enterprise Optimization" -Key "HKLM\Software\Policies\Microsoft\Windows\OneDrive" -ValueName "DisableFileSync" -Type DWord -Value 1

Vérification : OneDrive ne devrait pas apparaître dans le volet de navigation de l'Explorateur de fichiers, et les utilisateurs ne devraient pas voir les invites de configuration de OneDrive lors de la connexion.

Configurez le comportement de recherche de la barre des tâches et les paramètres du menu Démarrer pour offrir une expérience d'entreprise cohérente sur Windows 10/11.

Pour la configuration de la recherche de la barre des tâches, accédez à Configuration utilisateur > Modèles d'administration > Menu Démarrer et Barre des tâches :

1. Supprimer la zone de recherche de la barre des tâches - Activé (pour masquer complètement)
2. Ou configurez Configurer la recherche sur la barre des tâches - Activé, puis sélectionnez "Afficher l'icône de recherche" pour une présence minimale

Pour les politiques spécifiques à la barre des tâches de Windows 11, allez à Configuration de l'ordinateur > Modèles d'administration > Composants Windows > Recherche :

• Configurer la recherche sur la barre des tâches - Définir sur "Masquer" ou "Afficher uniquement l'icône de recherche"
• Autoriser les mises en avant de recherche - Désactivé

Politiques de personnalisation du menu Démarrer :

Chemin de la politique : Configuration utilisateur > Modèles d'administration > Menu Démarrer et Barre des tâches
- Supprimer et empêcher l'accès aux commandes Arrêter, Redémarrer, Veille et Mise en veille prolongée : Désactivé
- Supprimer la liste Tous les programmes du menu Démarrer : Désactivé
- Supprimer les programmes épinglés du menu Démarrer : Configurer selon les besoins

Exemple de configuration PowerShell :

Set-GPRegistryValue -Name "Windows10-11 Enterprise Optimization" -Key "HKCU\Software\Policies\Microsoft\Windows\Explorer" -ValueName "DisableSearchBoxSuggestions" -Type DWord -Value 1
Set-GPRegistryValue -Name "Windows10-11 Enterprise Optimization" -Key "HKCU\Software\Microsoft\Windows\CurrentVersion\Search" -ValueName "SearchboxTaskbarMode" -Type DWord -Value 0

Vérification : La zone de recherche de la barre des tâches devrait apparaître selon votre configuration, et le comportement du menu Démarrer devrait correspondre à vos paramètres de politique.

Configurez des optimisations d'entreprise supplémentaires pour améliorer les performances et la sécurité dans votre environnement Windows 10/11.

Accédez à Configuration de l'ordinateur > Modèles d'administration > Système et configurez :

• Désactiver les applications en arrière-plan - Activé (sous Confidentialité)
• Désactiver Windows Spotlight dans le Centre d'actions - Activé
• Ne pas suggérer de contenu tiers dans Windows Spotlight - Activé

Pour l'optimisation de Windows Update, allez à Configuration de l'ordinateur > Modèles d'administration > Composants Windows > Windows Update :

Configurer les mises à jour automatiques : Activé
- Option : 4 - Téléchargement automatique et planification de l'installation
- Jour d'installation planifié : 0 - Tous les jours
- Heure d'installation planifiée : 03:00

Optimisations des performances sous Configuration de l'ordinateur > Modèles d'administration > Système > Gestion de la communication Internet :

• Désactiver le programme d'amélioration de l'expérience utilisateur Windows - Activé
• Désactiver le rapport d'erreurs Windows - Activé
• Désactiver l'accès au Store - Activé (si requis par la politique)

Paramètres axés sur la sécurité :

Set-GPRegistryValue -Name "Windows10-11 Enterprise Optimization" -Key "HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" -ValueName "NoAutoUpdate" -Type DWord -Value 0
Set-GPRegistryValue -Name "Windows10-11 Enterprise Optimization" -Key "HKLM\Software\Policies\Microsoft\SQMClient\Windows" -ValueName "CEIPEnable" -Type DWord -Value 0

Vérification : Utilisez gpresult /r sur les machines clientes pour vérifier que toutes les politiques s'appliquent correctement et vérifiez les clés de registre spécifiques pour vos valeurs configurées.

Maintenant, liez votre GPO aux unités organisationnelles appropriées et forcez une mise à jour immédiate de la stratégie pour tester vos configurations.

Dans GPMC, assurez-vous que votre GPO est lié aux bonnes UO :

1. Cliquez avec le bouton droit sur votre UO cible (par exemple, "Stations de travail" ou "Ordinateurs")
2. Sélectionnez Lier un GPO existant
3. Choisissez votre GPO "Windows10-11 Enterprise Optimization"
4. Vérifiez l'ordre des liens et les paramètres d'application

Forcez l'application immédiate de la stratégie sur les clients de test :

gpupdate /force
gpupdate /target:computer /force
gpupdate /target:user /force

Pour les mises à jour de stratégie à distance sur plusieurs machines :

Invoke-GPUpdate -Computer "TestPC01","TestPC02" -Force
# Ou pour une UO entière :
Get-ADComputer -Filter * -SearchBase "OU=Workstations,DC=yourdomain,DC=com" | ForEach-Object { Invoke-GPUpdate -Computer $_.Name -Force }

Surveillez l'application de la stratégie avec des rapports détaillés :

Get-GPResultantSetOfPolicy -ReportType Html -Path C:\RSoP_Report.html -Computer "TestPC01"
gpresult /h C:\GPResult.html /f

Vérification : Vérifiez les rapports HTML générés par RSoP pour confirmer que toutes vos stratégies s'appliquent correctement et qu'il n'y a pas de conflits ou d'erreurs.

Implémentez des procédures de surveillance et de dépannage pour vous assurer que vos optimisations GPO fonctionnent correctement dans votre environnement.

Utilisez PowerShell pour vérifier l'état d'application des GPO sur plusieurs ordinateurs :

Get-ADComputer -Filter * -SearchBase "OU=Workstations,DC=yourdomain,DC=com" | ForEach-Object {
    $computer = $_.Name
    try {
        $result = Invoke-Command -ComputerName $computer -ScriptBlock {
            gpresult /scope:computer /r
        } -ErrorAction Stop
        Write-Host "$computer: GPO applied successfully" -ForegroundColor Green
    }
    catch {
        Write-Host "$computer: Failed to check GPO status" -ForegroundColor Red
    }
}

Commandes de dépannage courantes pour les problèmes de GPO :

gpresult /r /scope:computer
gpresult /z > C:\GPResult_detailed.txt
rsop.msc
gpupdate /force /boot

Vérifiez les problèmes courants d'application des GPO :

• Structure OU : Vérifiez que les ordinateurs sont dans la bonne OU
• Filtrage de sécurité : Assurez-vous que les "Utilisateurs authentifiés" ou des groupes spécifiques ont les autorisations "Lire" et "Appliquer la stratégie de groupe"
• Filtres WMI : Vérifiez si des filtres WMI bloquent l'application de la stratégie
• Héritage : Recherchez les paramètres "Bloquer l'héritage" ou "Forcé" qui pourraient être en conflit

Configurez une surveillance automatisée avec des tâches planifiées :

$action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\GPO-Monitor.ps1"
$trigger = New-ScheduledTaskTrigger -Daily -At "08:00AM"
Register-ScheduledTask -TaskName "GPO Monitoring" -Action $action -Trigger $trigger -User "SYSTEM"

Vérification : Créez un tableau de bord ou un rapport montrant l'état d'application des GPO dans votre environnement. Surveillez les journaux d'événements de la stratégie de groupe (Journaux des applications et services > Microsoft > Windows > GroupPolicy > Operational) pour toute erreur ou avertissement.