Déployer l’agent Station par stratégie de groupe

À partir de UserLock 13.1, vous pouvez protéger des machines qui n’acceptent aucun trafic réseau entrant. Au lieu de laisser le serveur UserLock installer l’agent à distance, vous déployez les packages MSI de l’agent Station par stratégie de groupe. L’agent se connecte ensuite lui-même au serveur UserLock.

Utilisez cette méthode si :

• Votre politique de sécurité bloque le ping, le SMB ou le Registre à distance vers les postes de travail et les serveurs.

• Vous déployez déjà vos logiciels par stratégie de groupe et souhaitez appliquer le même processus à UserLock.

La même procédure s’applique avec un outil de déploiement tiers : déployez les mêmes packages MSI et le même paramètre de nom de serveur avec votre outil.

• Un serveur UserLock principal 13.1 installé et configuré. Consultez Installer et configurer UserLock.

• Les droits nécessaires pour créer ou modifier un objet de stratégie de groupe (GPO) lié aux machines à protéger.

• Uniquement du trafic sortant des machines protégées vers le serveur UserLock :

Aucun flux n’est nécessaire du serveur UserLock vers les machines protégées : ni ping, ni SMB, ni Registre à distance, ni accès à admin$.

Avec cette méthode de déploiement, le compte de dépersonnalisation du service UserLock n’a pas besoin de droits administrateur sur les machines protégées.

Pour vérifier, ouvrez une session sur une machine protégée et exécutez :

ping <FQDN du serveur UserLock>
explorer \\<FQDN du serveur UserLock>

Le serveur doit répondre au ping et l’Explorateur de fichiers doit afficher ses partages, dont UserLockDownloads.

1. Ouvrez Gestion des stratégies de groupe sur un contrôleur de domaine ou sur une machine équipée des outils RSAT.

2. Créez une GPO liée aux unités d’organisation (UO) qui contiennent les machines à protéger, ou choisissez une GPO existante.

3. Faites un clic droit sur la GPO ▸ Modifier.

Une GPO dédiée est plus simple à maintenir et à annuler que la stratégie de domaine par défaut (Default Domain Policy).

Les modèles se trouvent dans le dossier d’installation de UserLock sur le serveur (par défaut : C:\Program Files (x86)\ISDecisions\UserLock\).

1. Copiez UserLock.admx dans %windir%\PolicyDefinitions (ou dans le magasin central \\<domaine>\SYSVOL\<domaine>\Policies\PolicyDefinitions).

2. Copiez UserLock.adml dans le sous-dossier de langue, par exemple PolicyDefinitions\en-US.

3. Rouvrez l’éditeur de la GPO. Les paramètres apparaissent sous Configuration ordinateur ▸ Stratégies ▸ Modèles d’administration ▸ UserLock ▸ Agent.

   

1. Allez dans Configuration ordinateur ▸ Stratégies, faites un clic droit sur Modèles d’administration ▸ Ajout/Suppression de modèles… ▸ Ajouter.

   

2. Sélectionnez UserLock.adm dans le dossier d’installation de UserLock.

3. Les paramètres apparaissent sous Modèles d’administration ▸ Modèles d’administration classiques (ADM) ▸ UserLock ▸ Agent.

   

C’est le seul paramètre dont l’agent a besoin pour joindre le serveur.

1. Dans UserLock ▸ Agent, ouvrez Nom du serveur UserLock principal.

2. Sélectionnez Activé et saisissez le FQDN du serveur principal, par exemple ulserver.corp.local.

   

3. Cliquez sur OK.

4. Si vous avez un serveur de secours, définissez Nom du serveur UserLock de sauvegarde de la même façon.

Les autres paramètres de l’agent de ce modèle sont facultatifs. Les paramètres déployés par GPO sont prioritaires sur les valeurs définies sur la machine.

L’installation de UserLock crée le partage UserLockDownloads sur le serveur. Il contient les packages de l’agent.

1. Allez dans Configuration ordinateur ▸ Stratégies ▸ Paramètres du logiciel ▸ Installation de logiciel.

2. Clic droit ▸ Nouveau ▸ Package…

3. Parcourez le chemin réseau \\<serveur UserLock>\UserLockDownloads et sélectionnez ULAgent_x64.msi. N’utilisez pas de chemin local : les machines doivent accéder au package par le réseau.

4. Sélectionnez Attribué et cliquez sur OK.

1. Ajoutez ULAgent_x86.msi depuis le même partage, en mode Attribué.

2. Ouvrez ses Propriétés. Dans l’onglet Général, renommez-le, par exemple UserLock Agent (32 bits).

3. Dans l’onglet Déploiement, cliquez sur Avancé… et décochez Rendre cette application x86 32 bits disponible pour les ordinateurs Win64. Le package x86 doit s’installer uniquement sur les machines 32 bits.

4. Cliquez deux fois sur OK.

Les packages attribués s’installent au démarrage de l’ordinateur. Si la stratégie de groupe s’exécute avant que le réseau soit prêt, le package ne peut pas être téléchargé et l’installation est reportée au redémarrage suivant. Ce paramètre est recommandé.

1. Allez dans Configuration ordinateur ▸ Stratégies ▸ Modèles d’administration ▸ Système ▸ Stratégie de groupe.

2. Ouvrez Spécifier le délai d’attente du traitement de la stratégie au démarrage.

3. Sélectionnez Activé et réglez le délai d’attente (en secondes) sur 120.

4. Cliquez sur OK.

L’agent s’installe au premier démarrage de l’ordinateur après réception de la GPO. Aucune action de l’utilisateur n’est nécessaire.

Pour tester immédiatement sur une machine :

1. Ouvrez une session administrateur sur la machine et exécutez gpupdate /force.

2. Windows indique que l’installation du logiciel nécessite un redémarrage. Acceptez.

3. L’agent s’installe pendant le démarrage.

Pour le reste du parc, attendez l’actualisation normale des stratégies de groupe et le redémarrage des machines. Pour les machines qui redémarrent rarement, comme les serveurs, planifiez un redémarrage.

1. Ouvrez Panneau de configuration ▸ Programmes et fonctionnalités.

2. Vérifiez que UserLock Agent apparaît dans la liste (UserLock Agent (32 bits) sur les machines 32 bits).

1. Allez dans Environnement ▸ Machines et actualisez. L’agent Station de la machine apparaît comme Installé.

2. Allez dans Activité ▸ Sessions actives. Les sessions ouvertes sur la machine apparaissent.

3. Verrouillez la machine et actualisez la vue. L’état de la session passe à Verrouillée.

1. Allez dans Stratégies d’accès et ajoutez une stratégie pour un utilisateur de test : Permanente ▸ Limites de session.

2. Réglez Station de travail sur Limiter à 1 et enregistrez.

3. Avec une session ouverte sur une machine, ouvrez une session avec le même utilisateur sur une deuxième machine.

4. L’ouverture de session est refusée, avec un message indiquant la machine où la première session est ouverte.

Une fois un agent 13.1 ou ultérieur installé, vous pouvez le mettre à jour depuis la console UserLock ou avec le mode de déploiement automatique, comme un agent déployé par UserLock. Les machines protégées n’ont toujours pas besoin d’accepter de trafic entrant : l’agent se met à jour lui-même par sa connexion permanente au serveur, et le compte de service UserLock n’a pas besoin de droits administrateur sur les machines.

Il n’est pas nécessaire de mettre à jour le package MSI dans la GPO. Après une telle mise à jour, les paramètres Windows peuvent encore afficher la version du package MSI.

UserLock ne peut pas désinstaller un agent installé avec le package MSI. Supprimez le package de la GPO, ou désinstallez-le sur la machine. Consultez Package Windows Installer.

Pour vérifier les valeurs reçues par une machine, ouvrez HKLM\SOFTWARE\WOW6432Node\Policies\ISDecisions\UserLock\Agent dans l’Éditeur du Registre (HKLM\SOFTWARE\Policies\ISDecisions\UserLock\Agent sur les machines 32 bits) :

• Déployer l’agent Station : autres paramètres de l’agent, propriétés MSI et installation manuelle.

• Implémentation de la MFA : une fois l’agent déployé partout, mettez en place l’authentification multifacteur.