Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Existe-t-il un moyen de définir l'accès à WMI via la stratégie de groupe ?

ayi

D’après diverses documentations, il semble que pour modifier l’accès WMI, vous devez utiliser WMI pour accéder au service en cours d’exécution et modifier des parties spécifiques de l’arborescence.
C’est assez ennuyeux de modifier 150 000 hôtes via l’interface graphique.
Et ensuite de devoir inclure de tels changements dans le processus d’ajout de nouveaux hôtes.
On pourrait écrire un script pour faire la même chose, mais il faut soit se connecter à toutes ces machines en direct, soit le distribuer pour une mise à jour ultérieure, par exemple dans un script de démarrage/installation. Et ensuite vous devez vous occuper de copier des données binaires SD depuis un contrôle d’accès exemple.
J’ai également trouvé que vous pouvez modifier le fichier wbem/*.mof pour inclure un SDDL, mais je suis vraiment vague sur le fonctionnement de tout cela pour le moment.
Est-ce que je passe à côté de quelque chose de simple en termes d’administration ?

ayi_2

J’ai fait quelques recherches à ce sujet et il semble que la méthode ci-dessous devrait fonctionner :
Pour Windows 2003 avec la Console de gestion des stratégies de groupe (GPMC), effectuez les étapes suivantes :
<ul>
<li>
Naviguez vers <code>Menu Démarrer</code> > <code>Outils d'administration</code> > <code>Gestion des stratégies de groupe</code>.
</li>
<li>
Dans le volet de gauche, naviguez vers Forêt : <code>Nom de domaine</code> → <code>Domaines</code> → <code>Nom de domaine</code>, où Nom de domaine est le nom du domaine que vous souhaitez modifier.
</li>
<li>
Faites un clic droit sur <code>Nom de domaine</code> dans le volet de gauche et sélectionnez <code>Créer un objet GPO dans ce domaine et le lier ici</code>.
</li>
<li>
Nommez la nouvelle stratégie <code>Permissions WMI</code>.
</li>
</ul>
REMARQUE : Puisque WMI doit établir une connexion DCOM vers l’hôte distant, cela suffit pour configurer les permissions d’accès pour DCOM.
Configuration des permissions DCOM (Distributed Component Object Model) :
<ul>
<li>
Naviguez vers la stratégie de groupe <code>Permissions WMI</code>, soit via le composant logiciel enfichable <code>Gestion des stratégies de groupe</code>, soit via le composant logiciel enfichable <code>ADUC</code>.
</li>
<li>
Assurez-vous que la stratégie <code>Permissions WMI</code> est en surbrillance et cliquez sur le bouton <code>Modifier</code>.
</li>
<li>
Naviguez vers <code>Configuration ordinateur</code> → <code>Stratégies</code> → <code>Paramètres Windows</code> → <code>Paramètres de sécurité</code> → <code>Stratégies locales</code> → <code>Options de sécurité</code>.
</li>
<li>
Dans le volet de droite de l’interface, double-cliquez sur <code>DCOM : Restrictions d'accès de la machine dans la syntaxe SDDL (Security Descriptor Definition Language)</code>.
</li>
<li>
Cochez la case à côté de <code>Définir ce paramètre de stratégie</code>.
</li>
<li>
Cliquez sur le bouton <code>Modifier la sécurité</code>.
</li>
<li>
Cliquez sur le bouton <code>Ajouter</code> ; dans la fenêtre contextuelle résultante, spécifiez le compte administrateur de domaine qui sera utilisé.
</li>
<li>
Cliquez sur OK.
</li>
<li>
Dans le champ <code>Noms de groupes ou d'utilisateurs</code>, sélectionnez l’administrateur de domaine que vous avez spécifié à l’étape 7.
</li>
<li>
Dans le champ <code>Permissions pour Administrateurs</code>, assurez-vous qu’il y a une coche dans la colonne <code>Autoriser</code> pour l’option <code>Accès à distance</code>.
</li>
<li>
Cliquez sur OK.
</li>
<li>
Cliquez sur OK.
</li>
<li>
Dans le volet de droite de l’interface, double-cliquez sur <code>DCOM : Restrictions de lancement de la machine dans la syntaxe SDDL (Security Descriptor Definition Language)</code>.
</li>
<li>
Cochez la case à côté de <code>Définir ce paramètre de stratégie</code>.
</li>
<li>
Cliquez sur le bouton <code>Modifier la sécurité</code>.
</li>
<li>
Cliquez sur le bouton <code>Ajouter</code> ; dans la fenêtre contextuelle résultante, spécifiez le compte administrateur de domaine qui sera utilisé.
</li>
<li>
Cliquez sur OK.
</li>
<li>
Dans le champ Noms de groupes ou d’utilisateurs, sélectionnez l’administrateur de domaine que vous avez spécifié à l’étape 16.
</li>
<li>
Dans le champ <code>Permissions pour Administrateurs</code>, assurez-vous qu’il y a une coche dans la colonne <code>Autoriser</code> pour <code>Lancement à distance</code> et <code>Activation à distance</code>.
</li>
<li>
Cliquez sur OK.
</li>
<li>
Cliquez sur OK.
</li>
<li>
Fermez la fenêtre <code>Éditeur d'objet de stratégie de groupe</code>.
</li>
<li>
Cliquez sur OK et fermez la fenêtre <code>Utilisateurs et ordinateurs Active Directory</code>.
</li>
</ul>