Deploiement et mise a jour de logiciels par GPO sur Serveur AD

Mise a jour le 08/03/2018

  • Modifications du fichier de configuration et personnalisation de Firefox
  • Ajout des liens de téléchargement (Adobe Reader, Firefox, Flash)

Cette procédure décrit comment l’administrateur d’un domaine peut déployer (installer et mettre a jour) des logiciels automatiquement aux membres de son domaine. A l’aide d’une GPO de déploiement logiciels, un administrateur pourra attribuer lui même une liste de logiciel à des groupes d’utilisateur pour qui l’application s’installera automatiquement au démarrage de leur Ordinateur.

Information Importante : Strategies GPO Essentielles et Arborescence Active Directory (Unité d’Organisation)

Créer un dossier “GPOlogs” et partager ce dossier en tant que « GPOlogs$ » (partage administratif = invisible dans le voisinage réseau).

gpologs1

Droits du partage : tout le monde = contrôle total

gpologs2

Modification de la Sécurité du dossier : Utilisateurs authentifiés = contrôle total

– Ce groupe est autorisé dans une GPO, (vérification lors de la  création de la GPO, plus bas dans le guide)

Onglet sécurité, Avancé, Modifier les autorisations :

gpologs3

Décocher : Inclure les autorisations héritées du parent, puis Ajouter.

gpologs4

Supprimer les 2 lignes Utilisateurs et Créateur Propriétaire.

gpologs5

Cliquer Ajouter, inscrire utilisateur puis Vérifier les noms.

gpologs6

Choisir Utilisateurs authentifiés, OK.

gpologs7

OK

gpologs8

Cocher Contrôle total, OK.

gpologs9

Cocher Remplacer toutes les autorisations objets enfants ….. puis Appliquer et OUI.

gpologs10

Fermer

gpologs11

Voila, nous venons de créer le partage réseau UNC suivant : \\Dc1\GPOlogs$

Créer un raccourci de ce dossier sur le bureau :

gpologs12

Création d’un nouvel Objet GPO :

gpologs13

Exemple du nom a donner :

gpologs14

Une fois l’objet créé, Utilisateurs authentifiés est autorisé dans le filtrage de sécurité :

gpologs15

Clic droit sur cette GPO, puis modifier : (suivre le screen) et double clic sur “Démarrage” :

gpologs16

Cliquer sur ajouter puis donner un nom a ce script “logiciels.bat”, puis OK :

gpologs17

Cliquer sur “Afficher les fichiers” :

gpologs18

Créer un raccourci sur le bureau du dossier “Startup” (comme ci-dessous) :

gpologs19

Appliquer, OK :

gpologs20.0

Toujours dans la GPO, Aller jusqu’à “Stratégie de groupe” (voir screen), puis double clic sur “Spécifier le temps d’attente …..) :

gpologs20.1

Activé, valeur de 60 secondes, puis Appliquer, OK :

gpologs20.2

Résultats :

gpologs21

ATTENTION : GPO Ordinateur ! Donc vérifier que le ou les ordinateurs sont bien dans le groupe Utilisateurs de l’Active Directory (ou dans un de ses dossiers enfants)


Déploiement, configuration et personnalisation des logiciels

Ouvrir “\\Dc1\GPOlogs$” en cliquant sur le raccourci du bureau et déplacer le raccourci du dossier “Startup” a l’intérieur :

gpologs22

Mettre dans ce dossier (\\Dc1\GPOlogs$) les fichiers nécessaires a l’installation des logiciels :

Telecharger le pack des fichiers de configuration : GPOlogs

les “exe” (Adobe Reader, Firefox, Flash), sont a télécharger en version complète (hors ligne, standalone) sur le net …

Adobe Acrobat Reader : http://get.adobe.com/fr/reader/enterprise/

Mise a jour Acrobat Reader : ftp.adobe.com/pub/adobe/reader/win/AcrobatDC

Firefox ESR : https://www.mozilla.org/en-US/firefox/organizations/all/

Adobe Flash (pour Firefox) : http://fpdownload.macromedia.com/pub/flashplayer/latest/help/install_flash_player.exe

gpologs23

Cliquer sur “Startup – Raccourci” et déplacer a l’intérieur le fichier “logiciels.bat” :

gpologs24

Ci dessous, le contenu de ce fichier “logiciels.bat”, a adapter en fonction des logiciels et versions que vous souhaitez installer :

Vous pouvez supprimer les commandes JAVA car obsolète … (Presentes juste pour information… si besoin…)

gpologs25

Explication :

if exist “%programfiles(x86)%” goto x64     (Détection du système 32 bits ou 64 bits : si 64 bits aller a x64 (Système 64 Bits))
goto x86     (Sinon, aller a Système 32 Bits)

:x86     (Système 32 Bits)

if not exist “%programfiles%\Adobe\Acrobat Reader DC\Reader\AcroRd32.exe” “\\DC1\GPOlogs$\AcroRdrDC1801120035.exe” /sPB /rs /msi EULA_ACCEPT=YES     (Si ACROBAT READER n’est pas présent alors il sera installé)

for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{AC76BA86-7AD7-1036-7B44-AC0F074E4100}” ^| find “DisplayVersion”‘) do if %%a NEQ 18.011.20038 msiexec /p “\\DC1\GPOlogs$\AcroRdrDCUpd1801120038.msp” /passive     (Vérification dans la base de registre de la version d’ACROBAT READER, si la version n’est pas égale a 18.011.20038 alors il sera mis a jour a cette version)

if not exist “%programfiles%\Mozilla Firefox\firefox.exe” “\\DC1\GPOlogs$\FIREFOX5260ESR.exe” -ms     (Si FIREFOX ESR n’est pas présent alors il sera installé)

for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\Mozilla\Mozilla Firefox” ^| find “CurrentVersion”‘) do if %%a NEQ 52.6.0 “\\DC1\GPOlogs$\FIREFOX5260ESR.exe” -ms     (Vérification dans la base de registre de la version de FIREFOX, si la version n’est pas égale a 52.6.0 alors il sera mis a jour en version FIREFOX ESR)
for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\Mozilla\Mozilla Firefox ESR” ^| find “CurrentVersion”‘) do if %%a NEQ 52.6.0 “\\DC1\GPOlogs$\FIREFOX5260ESR.exe” -ms     (Vérification dans la base de registre de la version de FIREFOX ESR, si la version n’est pas égale a 52.6.0 alors il sera mis a jour a cette version)

xcopy “\\DC1\GPOlogs$\FirefoxGPO” “%programfiles%\Mozilla Firefox” /d /e /i /h /r /y     (Copie des fichiers de configuration de FIREFOX dans son dossier d’installation)

if not exist “%windir%\system32\Macromed\Flash\plugin.vch” “\\DC1\GPOlogs$\FLASH28FI.exe” -install     (Si FLASH n’est pas présent alors il sera installé)

for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\Macromedia\FlashPlayerPlugin” ^| find “Version”‘) do if %%a NEQ 28.0.0.137 “\\DC1\GPOlogs$\FLASH18FI.exe” -install     (Vérification dans la base de registre de la version de FLASH, si la version n’est pas égale a 28.0.0.137 alors il sera mis a jour a cette version)

xcopy “\\DC1\GPOlogs$\FlashGPO\mms.cfg” “%windir%\System32\Macromed\Flash” /d /e /i /h /r /y     (Copie des fichiers de configuration de FLASH dans son dossier d’installation)

if not exist “%programfiles%\Java\jre7\bin\java.exe” “\\DC1\GPOlogs$\JAVA779.exe” /s     (Si JAVA n’est pas présent alors il sera installé)

for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\JavaSoft\Java Runtime Environment” ^| find “Java7FamilyVersion”‘) do if %%a NEQ 1.7.0_79 “\\DC1\GPOlogs$\JAVA779.exe” /s     (Vérification dans la base de registre de la version de JAVA, si la version n’est pas égale a 1.7.0.79 (7u79)  alors il sera mis a jour a cette version)

regedit /S “\\DC1\GPOlogs$\regx86.reg”     (Modification de la base de registre pour système 32 bits, voir détail plus bas dans le guide)

goto END     (Aller a la FIN)

:x64     (Système 64 Bits)

if not exist “%programfiles(x86)%\Adobe\Acrobat Reader DC\Reader\AcroRd32.exe” “\\DC1\GPOlogs$\AcroRdrDC1801120035.exe” /sPB /rs /msi EULA_ACCEPT=YES     (Si ACROBAT READER n’est pas présent alors il sera installé)

for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{AC76BA86-7AD7-1036-7B44-AC0F074E4100}” ^| find “DisplayVersion”‘) do if %%a NEQ 18.011.20038 msiexec /p “\\DC1\GPOlogs$\AcroRdrDCUpd1801120038.msp” /passive     (Vérification dans la base de registre de la version d’ACROBAT READER, si la version n’est pas égale a 18.011.200.38 alors il sera mis a jour a cette version)

if not exist “%programfiles(x86)%\Mozilla Firefox\firefox.exe” “\\DC1\GPOlogs$\FIREFOX5260ESR.exe” -ms     (Si FIREFOX ESR n’est pas présent alors il sera installé)

for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\Wow6432Node\Mozilla\Mozilla Firefox” ^| find “CurrentVersion”‘) do if %%a NEQ 52.6.0 “\\DC1\GPOlogs$\FIREFOX5260ESR.exe” -ms     (Vérification dans la base de registre de la version de FIREFOX, si la version n’est pas égale a 52.6.0 alors il sera mis a jour en version FIREFOX ESR)
for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\Wow6432Node\Mozilla\Mozilla Firefox ESR” ^| find “CurrentVersion”‘) do if %%a NEQ 52.6.0 “\\DC1\GPOlogs$\FIREFOX5260ESR.exe” -ms     (Vérification dans la base de registre de la version de FIREFOX ESR, si la version n’est pas égale a 52.6.0 alors il sera mis a jour a cette version)

xcopy “\\DC1\GPOlogs$\FirefoxGPO” “%programfiles(x86)%\Mozilla Firefox” /d /e /i /h /r /y     (Copie des fichiers de configuration de FIREFOX dans son dossier d’installation)

if not exist “%windir%\SysWOW64\Macromed\Flash\plugin.vch” “\\DC1\GPOlogs$\FLASH28FI.exe” -install     (Si FLASH n’est pas présent alors il sera installé)

for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\Wow6432Node\Macromedia\FlashPlayerPlugin” ^| find “Version”‘) do if %%a NEQ 28.0.0.137 “\\DC1\GPOlogs$\FLASH28FI.exe” -install     (Vérification dans la base de registre de la version de FLASH, si la version n’est pas égale a 28.0.0.137 alors il sera mis a jour a cette version)

xcopy “\\DC1\GPOlogs$\FlashGPO\mms.cfg” “%windir%\SysWOW64\Macromed\Flash” /d /e /i /h /r /y     (Copie des fichiers de configuration de FLASH dans son dossier d’installation)

if not exist “%programfiles(x86)%\Java\jre7\bin\java.exe” “\\DC1\GPOlogs$\JAVA779.exe” /s     (Si JAVA n’est pas présent alors il sera installé)

for /f “tokens=3” %%a in (‘reg query “HKLM\SOFTWARE\Wow6432Node\JavaSoft\Java Runtime Environment” ^| find “Java7FamilyVersion”‘) do if %%a NEQ 1.7.0_79 “\\DC1\GPOlogs$\JAVA779.exe” /s     (Vérification dans la base de registre de la version de JAVA, si la version n’est pas égale a 1.7.0.79 (7u79)  alors il sera mis a jour a cette version)

regedit /S “\\DC1\GPOlogs$\regx64.reg”     (Modification de la base de registre pour système 64 bits, voir détail plus bas dans le guide)

goto END     (Aller a la FIN)

:END     (FIN)


Ci dessous, le contenu du fichier “regx86.reg” : modification du registre pour système 32 bits.

gpologs26

Explication :

Windows Registry Editor Version 5.00     (Base de registre Windows)

;Modification Service Application     (Désactivation des services de mises a jour pour ACROBAT READER, FLASH, JAVA, PDF Creator)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AdobeARMservice] “Start”=dword:00000004

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\AdobeFlashPlayerUpdateSvc] “Start”=dword:00000004

[HKEY_LOCAL_MACHINE\SOFTWARE\Adobe\Adobe ARM\1.0\ARM] “iCheckReader”=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\JavaSoft\Java Update\Policy] “EnableJavaUpdate”=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\PDFCreator\Program] “UpdateInterval”=”0”

(Suppression de la recherche de mise a jour de JAVA et ACROBAT READER au démarrage)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] “SunJavaUpdateSched”=-
“Adobe ARM”=-

(Suppression des taches planifiées de mise a jour d’ACROBAT READER, FLASH et KLITE CODEC)
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Adobe Acrobat Update Task] [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Adobe Flash Player Updater] [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\klcp_update]


Ci dessous, le contenu du fichier “regx64.reg” : modification du registre pour système 64 bits.

gpologs27

Explication :

Windows Registry Editor Version 5.00     (Base de registre Windows)

;Modification Service Application     (Désactivation des services de mises a jour pour ACROBAT READER, FLASH, JAVA, PDF Creator)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AdobeARMservice] “Start”=dword:00000004

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\AdobeFlashPlayerUpdateSvc] “Start”=dword:00000004

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Adobe\Adobe ARM\1.0\ARM] “iCheckReader”=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\JavaSoft\Java Update\Policy] “EnableJavaUpdate”=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\PDFCreator\Program] “UpdateInterval”=”0”

(Suppression de la recherche de mise a jour de JAVA et ACROBAT READER au démarrage)
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] “SunJavaUpdateSched”=-
“Adobe ARM”=-

(Suppression des taches planifiées de mise a jour d’ACROBAT READER, FLASH et KLITE CODEC)
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Adobe Acrobat Update Task] [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Adobe Flash Player Updater] [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\klcp_update]


Configuration et Personnalisation de FLASH

Contenu du fichier “mms.cfg” : désactive la mise a jour de Flash Player :

gpologs28

Explication : (Désactivation la mise a jour pour FLASH)

SilentAutoUpdateEnable=0
AutoUpdateDisable=1


Configuration et Personnalisation de FIREFOX

Contenu du fichier “mozilla.cfg” : personnalisation de Firefox :

Explication :

pref(“browser.startup.page”, 1);     (Utiliser la page d’accueil)
pref(“browser.startup.homepage”, “www.google.fr”);     (Définir la page d’accueil avec google.fr)
lockPref(“app.update.enabled”, false);     (Désactiver la mise a jour)
lockPref(“app.update.auto”, false);     (Désactiver la mise a jour automatique)
lockPref(“app.update.mode”, 0);     (Désactiver la mise a jour)
lockPref(“app.update.service.enabled”, false);     (Désactiver le service de mise a jour)
lockPref(“app.update.silent”, false);     (Désactiver la mise a jour silencieuse)
lockPref(“browser.download.useDownloadDir”, false);     (Définir le dossier de téléchargement)
lockPref(“browser.search.update”, false);     (Désactiver la recherche de mise a jour)
lockPref(“extensions.autoDisableScopes”, 3);     (Désactiver les extensions non souhaitées)
lockPref(“extensions.enabledScopes”, 12);     (Désactiver les extensions non souhaitées)
lockPref(“extensions.blocklist.enabled”, false);     (Désactiver la listes des extensions bloquées)
lockPref(“extensions.update.enabled”, false);     (Désactiver la mise a jour des extensions)
lockPref(“extensions.update.autoUpdateDefault”, false);     (Désactiver MAJ AUTO des extensions)
lockPref(“plugin.state.java”, 2);     (Toujours activer le plugin JAVA)
lockPref(“plugin.state.flash”, 2);     (Toujours activer le plugin FLASH)
lockPref(“plugin.state.npctrl”, 2);     (Toujours activer le plugin SILVERLIGHT)
lockPref(“plugin.state.nppdf”, 2);     (Toujours activer le plugin ACROBAT READER)
lockPref(“security.insecure_field_warning.contextual.enabled”, false);     (Désactiver les avertissements “cette connexion n’est pas sécurisée”)
lockPref(“xpinstall.enabled”, false);     (Désactiver l’installation manuelle des extensions)
lockPref(“xpinstall.whitelist.required”, true);     (Autoriser seulement les extensions en liste blanche)
lockPref(“browser.shell.checkDefaultBrowser”, true);     (Activer Toujours verifier que Firefox est le navigateur par defaut)
lockPref(“dom.disable_open_during_load”, true);     (Activer Bloquer les fentres PoPup)
lockPref(“privacy.trackingprotection.pbmode.enabled”, true);     (Activer Utiliser la protection contre le pistage)
lockPref(“privacy.donottrackheader.enabled”, false);     (Bloquer Toujours activer Ne pas me pister)
lockPref(“browser.privatebrowsing.autostart”, false);     (Désactiver Toujours utiliser le mode de navigation privée)
lockPref(“privacy.sanitize.sanitizeOnShutdown”, false);     (Désactiver Vider l’historique a la fermeture de Firefox)
lockPref(“places.history.enabled”, true);     (Activer Conserver l’historique de navigation et des telechargements)
lockPref(“browser.formfill.enable”, true);     (Activer Conserver l’historique des recherches et des formulaires)
lockPref(“network.cookie.cookieBehavior”, 0);     (Activer Accepter les cookies)
lockPref(“network.cookie.lifetimePolicy”, 0);     (Activer Accepter les cookies)
lockPref(“privacy.cpd.formdata”, false);     (Désactiver Supprimer l’historique des formulaires et des recherches)
lockPref(“privacy.cpd.history”, false);     (Désactiver Supprimer l’historique de navigation et des telechargements)
lockPref(“browser.urlbar.suggest.history”, true);     (Activer suggestion barre d’adresse Historique)
lockPref(“browser.urlbar.suggest.bookmark”, true);     (Activer suggestion barre d’adresse Marque-pages)
lockPref(“browser.urlbar.suggest.openpage”, true);     (Activer suggestion barre d’adresse Onglets ouverts)
lockPref(“browser.safebrowsing.malware.enabled”, true);     (Activer Bloquer les contenus dangereux ou Trompeurs)
lockPref(“browser.safebrowsing.phishing.enabled”, true);     (Activer Bloquer les contenus dangereux ou Trompeurs)
lockPref(“browser.safebrowsing.downloads.enabled”, true);     (Activer Bloquer les telechargements dangereux)
lockPref(“browser.safebrowsing.downloads.remote.block_potentially_unwanted”, true);     (Activer Signaler la presence de logiciels indesirables)
lockPref(“browser.safebrowsing.downloads.remote.block_uncommon”, true);     (Activer Signaler la presence de logiciels peu communs)
lockPref(“signon.rememberSignons”, true);     (Activer Enregistrer les identifiants)
lockPref(“datareporting.healthreport.uploadEnabled”, false);     (Désactiver Le bilan de santé)
lockPref(“toolkit.telemetry.enabled”, false);     (Désactiver Envoyer des données supplementaires)
lockPref(“browser.crashReports.unsubmittedCheck.autoSubmit2”, false);     (Désactiver l’envoi des rapports de plantage en attente)


Dossier pour utiliser la personnalisation de Firefox : browser\default\preferences

gpologs31

Contenu du fichier “autoconfig.js” : permet a Firefox d’utiliser le fichier de personnalisation “mozilla.cfg” :

gpologs32

Explication :     (Permet a FIREFOX d’utiliser le fichier de configuration “mozilla.cfg”)

pref(“general.config.filename”, “mozilla.cfg”);
pref(“general.config.obscure_value”, 0);


Exemple d’installation automatique de plugin dans Firefox (ici avec ADBlock Plus) :

Télécharger le Plugin au format “.XPI” sur le site officiel (https://adblockplus.org/fr/). Clic droit sur “Installer sur FIREFOX” puis “Copier l’adresse du lien” :

adblock1

Coller cette adresse dans un autre navigateur, ici avec Internet Explorer, et “Entrer” pour lancer le téléchargement :

adblock2

Aller dans le dossier “\\DC1\GPOlogs$\FirefoxGPO\browser\extensions” :

Ouvrir l’archive avec 7ZIP et copier le contenu dans un “Nouveau dossier” qu’il faudra nommer en fonction du “Nom” de ce plugin (suivre les screens ci-dessous) :

gpologs33.1

Contenu du “Nouveau dossier” avec fichiers décompressés :

Ouvrir avec un éditeur texte le fichier “manifest.json” pour trouver la chaine “id”, cette chaine est le “Nom” du plugin :

Renommer le “Nouveau dossier” pour correspondre à cette chaîne, y compris les accolades (“Nouveau dossier” renomé avec le “Nom” du plugin) :

gpologs35.2


Résultat sur un Poste client du Domaine :

Avant l’application de la GPO d’installation de logiciels :

gpologs36

Après l’application de la GPO d’installation de logiciels :

gpologs37

Bon courage …..