Comment modifier la stratégie de groupe locale avec un script?

PolicyFileEditor est un module PowerShell pour gérer les fichiers registry.pol des GPO locales.

Brandon Padgett fournit un exemple d'utilisation:

$RegPath = 'Software\Policies\Microsoft\Windows\Control Panel\Desktop'
$RegName = 'ScreenSaverIsSecure'
$RegData = '1'
$RegType = 'String'

Set-PolicyFileEntry -Path $UserDir -Key $RegPath -ValueName $RegName -Data $RegData -Type $RegType

Vous pouvez le faire dans PowerShell en utilisant Set-ItemProperty sur le fournisseur de Registre ; par exemple pour désactiver l'accès à Windows Update, vous pouvez exécuter :

Set-ItemProperty -Path HKLM:\Software\Policies\Microsoft\Windows\WindowsUpdate -Name DisableWindowsUpdateAccess -Value 1

(HKLM:\ étant l'alias standard pour le chemin d'accès du lecteur de Registre "Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\").

La liste des clés de Registre des stratégies de groupe peut être téléchargée depuis Microsoft à Télécharger la référence des paramètres de stratégie de groupe pour Windows et Windows Server | Centre de téléchargement Microsoft

Il existe plusieurs CmdLets qui peuvent être utilisés pour manipuler les GPO (Create, Get-Info, ...). Vous pouvez facilement les lister en utilisant

Get-Command -Module GroupPolicy

Les plus importants :

New-GPO -Name "Ma propre GPO" -Comment "Il s'agit d'une nouvelle GPO pour moi"

New-GPO -Name "Ma propre GPO" | New-GPLink -Target "ou=clients,dc=ad,dc=contoso,dc=com"

Remove-GPLink -Name "Ma propre GPO" -Target "ou=clients,dc=ad,dc=contoso,dc=com"

Get-GPO -Name "Ma propre GPO"

Get-GPO -Name "Ma propre GPO" | Get-GPOReport -ReportType HTML -Path c:\temp\report.html

Set-GPRegistryValue -Name "Ma propre GPO" -Key "HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop" -ValueName ScreenSaveTimeOut -Type DWord -Value 300

Get-GPRegistryValue -Name "Ma propre GPO" -Key "HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop"

Remove-GPRegistryValue -Name "Ma propre GPO" -Key "HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop" -ValueName ScreenSaveTimeOut

Invoke-GPUpdate -Computer "ad\server1" -Target "User"

Get-GPResultantSetOfPolicy -Computer dc1 -ReportType HTML -Path c:\temp\dc1rsop.html

Ceci a été simplement pris sur ici.

Super script de Microsoft qui détaille l'édition des valeurs des propriétés du Registre via Powershell en utilisant les Set-ItemProperty et autres cmdlets. Comme indiqué, cela ne semble pas mettre à jour l'interface utilisateur de l'éditeur de stratégies locales, donc vous voudriez probablement utiliser PolicyFileEditor si c'est un problème pour vous. Je dois faire cela sur des machines distantes en utilisant un MDM tiers et je veux éliminer autant de dépendances que possible, donc je me contente des commandes de base. J'espère que cela aidera à assembler tout cela pour les autres.

Comme mes utilisateurs ont la possibilité de modifier les paramètres en tant qu'administrateurs locaux, je vais également re-exécuter ce script chaque jour. Malheureusement, gpupdate /force /target:computer ne semble pas mettre à jour les paramètres pour moi (je change le temps de verrouillage de l'écran), donc les machines devront redémarrer pour que les modifications prennent effet.