--- locale: "fr" updated_at: "2026-11-13T08:11:52.448Z" canonical: "https://www.isdecisions.com/fr/userlock/docs/guides/deploiement-agents/deploiement-par-strategie-de-groupe" --- # Déployer l’agent Station par stratégie de groupe Déployer l’agent Station par GPO, sans protocole entrant. ## Présentation À partir de UserLock 13.1, vous pouvez protéger des machines qui n’acceptent **aucun trafic réseau entrant**. Au lieu de laisser le serveur UserLock installer l’agent à distance, vous déployez les packages MSI de l’agent Station par stratégie de groupe. L’agent se connecte ensuite lui-même au serveur UserLock. Utilisez cette méthode si : - Votre politique de sécurité bloque le ping, le SMB ou le Registre à distance vers les postes de travail et les serveurs. - Vous déployez déjà vos logiciels par stratégie de groupe et souhaitez appliquer le même processus à UserLock. La même procédure s’applique avec un outil de déploiement tiers : déployez les mêmes packages MSI et le même paramètre de nom de serveur avec votre outil. > **Note** > > Le déploiement depuis la console UserLock reste possible. Dans ce cas, les prérequis réseau du déploiement par la console s’appliquent toujours. Consultez [Prérequis](/userlock/docs/demarrage/prerequis). ## Prérequis - Un **serveur UserLock principal 13.1** installé et configuré. Consultez [Installer et configurer UserLock](/userlock/docs/demarrage/installation). - Les droits nécessaires pour créer ou modifier un objet de stratégie de groupe (GPO) lié aux machines à protéger. - Uniquement du trafic **sortant** des machines protégées vers le serveur UserLock : | Source | Destination | Protocole | Port | Utilisation | | --- | --- | --- | --- | --- | | Machines protégées | Serveur UserLock | ICMP (ping) | – | L’agent vérifie que le serveur est joignable | | Machines protégées | Serveur UserLock | SMB | TCP 445 | Communication de l’agent et téléchargement du MSI depuis le partage `UserLockDownloads` | | Machines protégées | DNS | DNS | UDP/TCP 53 | Résolution du nom complet (FQDN) du serveur | Aucun flux n’est nécessaire du serveur UserLock vers les machines protégées : ni ping, ni SMB, ni Registre à distance, ni accès à `admin$`. Avec cette méthode de déploiement, le **compte de dépersonnalisation** du service UserLock n’a pas besoin de droits administrateur sur les machines protégées. Pour vérifier, ouvrez une session sur une machine protégée et exécutez : ```powershell ping explorer \\ ``` Le serveur doit répondre au ping et l’Explorateur de fichiers doit afficher ses partages, dont `UserLockDownloads`. ## 1. Choisir la GPO 1. Ouvrez **Gestion des stratégies de groupe** sur un contrôleur de domaine ou sur une machine équipée des outils RSAT. 2. Créez une GPO liée aux unités d’organisation (UO) qui contiennent les machines à protéger, ou choisissez une GPO existante. 3. Faites un clic droit sur la GPO ▸ **Modifier**. Une GPO dédiée est plus simple à maintenir et à annuler que la stratégie de domaine par défaut (Default Domain Policy). ## 2. Charger le modèle d’administration UserLock Les modèles se trouvent dans le dossier d’installation de UserLock sur le serveur (par défaut : `C:\Program Files (x86)\ISDecisions\UserLock\`). ### ADMX (recommandé) 1. Copiez `UserLock.admx` dans `%windir%\PolicyDefinitions` (ou dans le magasin central `\\\SYSVOL\\Policies\PolicyDefinitions`). 2. Copiez `UserLock.adml` dans le sous-dossier de langue, par exemple `PolicyDefinitions\en-US`. 3. Rouvrez l’éditeur de la GPO. Les paramètres apparaissent sous **Configuration ordinateur ▸ Stratégies ▸ Modèles d’administration ▸ UserLock ▸ Agent**. ![Paramètres du modèle ADMX UserLock dans l’éditeur de stratégie de groupe](https://a.storyblok.com/f/122374/954x466/16eb8525ce/agentgrouppolicyadmx.png) ### ADM (classique) 1. Allez dans **Configuration ordinateur ▸ Stratégies**, faites un clic droit sur **Modèles d’administration** ▸ **Ajout/Suppression de modèles…** ▸ **Ajouter**. ![Ajout/Suppression de modèles dans l’éditeur de stratégie de groupe](https://a.storyblok.com/f/122374/676x455/47b4ddd4ac/agentgrouppolicyadd.png) 2. Sélectionnez `UserLock.adm` dans le dossier d’installation de UserLock. 3. Les paramètres apparaissent sous **Modèles d’administration ▸ Modèles d’administration classiques (ADM) ▸ UserLock ▸ Agent**. ![Paramètres du modèle ADM UserLock sous Modèles d’administration classiques](https://a.storyblok.com/f/122374/813x430/15c04b3b36/agentgrouppolicy.png) ## 3. Définir le nom du serveur UserLock C’est le seul paramètre dont l’agent a besoin pour joindre le serveur. 1. Dans **UserLock ▸ Agent**, ouvrez **Nom du serveur UserLock principal**. 2. Sélectionnez **Activé** et saisissez le **FQDN** du serveur principal, par exemple `ulserver.corp.local`. ![Paramètre de stratégie Nom du serveur UserLock principal](https://a.storyblok.com/f/122374/461x449/caeb1935ea/agentgrouppolicyservername.png) 3. Cliquez sur **OK**. 4. Si vous avez un serveur de secours, définissez **Nom du serveur UserLock de sauvegarde** de la même façon. Les autres paramètres de l’agent de ce modèle sont facultatifs. Les paramètres déployés par GPO sont prioritaires sur les valeurs définies sur la machine. ## 4. Ajouter les packages MSI de l’agent L’installation de UserLock crée le partage `UserLockDownloads` sur le serveur. Il contient les packages de l’agent. 1. Allez dans **Configuration ordinateur ▸ Stratégies ▸ Paramètres du logiciel ▸ Installation de logiciel**. 2. Clic droit ▸ **Nouveau ▸ Package…** 3. Parcourez le **chemin réseau** `\\\UserLockDownloads` et sélectionnez `ULAgent_x64.msi`. N’utilisez pas de chemin local : les machines doivent accéder au package par le réseau. 4. Sélectionnez **Attribué** et cliquez sur **OK**. ### Facultatif : machines 32 bits 1. Ajoutez `ULAgent_x86.msi` depuis le même partage, en mode **Attribué**. 2. Ouvrez ses **Propriétés**. Dans l’onglet **Général**, renommez-le, par exemple `UserLock Agent (32 bits)`. 3. Dans l’onglet **Déploiement**, cliquez sur **Avancé…** et **décochez** *Rendre cette application x86 32 bits disponible pour les ordinateurs Win64*. Le package x86 doit s’installer uniquement sur les machines 32 bits. 4. Cliquez deux fois sur **OK**. ## 5. Faire attendre le réseau aux stratégies de démarrage Les packages attribués s’installent au démarrage de l’ordinateur. Si la stratégie de groupe s’exécute avant que le réseau soit prêt, le package ne peut pas être téléchargé et l’installation est reportée au redémarrage suivant. Ce paramètre est recommandé. 1. Allez dans **Configuration ordinateur ▸ Stratégies ▸ Modèles d’administration ▸ Système ▸ Stratégie de groupe**. 2. Ouvrez **Spécifier le délai d’attente du traitement de la stratégie au démarrage**. 3. Sélectionnez **Activé** et réglez le délai d’attente (en secondes) sur `120`. 4. Cliquez sur **OK**. ## 6. Déployer sur les machines L’agent s’installe au premier démarrage de l’ordinateur après réception de la GPO. Aucune action de l’utilisateur n’est nécessaire. Pour tester immédiatement sur une machine : 1. Ouvrez une session administrateur sur la machine et exécutez `gpupdate /force`. 2. Windows indique que l’installation du logiciel nécessite un redémarrage. Acceptez. 3. L’agent s’installe pendant le démarrage. Pour le reste du parc, attendez l’actualisation normale des stratégies de groupe et le redémarrage des machines. Pour les machines qui redémarrent rarement, comme les serveurs, planifiez un redémarrage. ## 7. Vérifier le déploiement ### Sur la machine 1. Ouvrez **Panneau de configuration ▸ Programmes et fonctionnalités**. 2. Vérifiez que **UserLock Agent** apparaît dans la liste (**UserLock Agent (32 bits)** sur les machines 32 bits). ### Dans la console UserLock 1. Allez dans **Environnement ▸ Machines** et actualisez. L’agent Station de la machine apparaît comme **Installé**. 2. Allez dans **Activité ▸ Sessions actives**. Les sessions ouvertes sur la machine apparaissent. 3. Verrouillez la machine et actualisez la vue. L’état de la session passe à **Verrouillée**. > **Note** > > Avant l’installation de l’agent, les machines qui bloquent le trafic entrant apparaissent comme **Inconnu** avec le message *Pas de réponse au ping*. C’est normal. ### Tester une stratégie d’accès (facultatif) 1. Allez dans **Stratégies d’accès** et ajoutez une stratégie pour un utilisateur de test : **Permanente** ▸ **Limites de session**. 2. Réglez **Station de travail** sur **Limiter à 1** et enregistrez. 3. Avec une session ouverte sur une machine, ouvrez une session avec le même utilisateur sur une deuxième machine. 4. L’ouverture de session est refusée, avec un message indiquant la machine où la première session est ouverte. ## Mettre à jour l’agent Une fois un agent 13.1 ou ultérieur installé, vous pouvez le mettre à jour depuis la console UserLock ou avec le mode de déploiement automatique, comme un agent déployé par UserLock. Les machines protégées n’ont toujours pas besoin d’accepter de trafic entrant : l’agent se met à jour lui-même par sa connexion permanente au serveur, et le compte de service UserLock n’a pas besoin de droits administrateur sur les machines. Il n’est pas nécessaire de mettre à jour le package MSI dans la GPO. Après une telle mise à jour, les paramètres Windows peuvent encore afficher la version du package MSI. ## Désinstaller l’agent UserLock ne peut pas désinstaller un agent installé avec le package MSI. Supprimez le package de la GPO, ou désinstallez-le sur la machine. Consultez [Package Windows Installer](/userlock/docs/guides/deploiement-agents/agent-station#package-windows-installer). ## Dépannage | Symptôme | Que vérifier | | --- | --- | | L’agent n’est pas installé après un redémarrage | Exécutez `gpresult /r` sur la machine : la GPO doit apparaître dans *Objets Stratégie de groupe appliqués* (paramètres de l’ordinateur). Dans **Observateur d’événements ▸ Journaux Windows ▸ Système**, recherchez les événements *Application Management Group Policy*. | | L’installation échoue au démarrage | Vérifiez le paramètre d’attente du réseau (étape 5). Vérifiez que le chemin du package est le chemin UNC vers `UserLockDownloads` et que la machine peut y accéder. | | Le package x86 s’installe sur des machines 64 bits | Décochez *Rendre cette application x86 32 bits disponible pour les ordinateurs Win64* dans le package x86 (étape 4). | | L’agent est installé mais la console l’affiche toujours comme non installé, ou aucune session n’apparaît | Depuis la machine, vérifiez `ping` et `\\` (voir Prérequis). Vérifiez la valeur de **Nom du serveur UserLock principal**. Sur la machine, les valeurs de la GPO sont stockées dans `HKLM\SOFTWARE\WOW6432Node\Policies\ISDecisions\UserLock\Agent`. | Pour vérifier les valeurs reçues par une machine, ouvrez `HKLM\SOFTWARE\WOW6432Node\Policies\ISDecisions\UserLock\Agent` dans l’Éditeur du Registre (`HKLM\SOFTWARE\Policies\ISDecisions\UserLock\Agent` sur les machines 32 bits) : ![Valeurs GPO de l’agent UserLock dans le Registre](https://a.storyblok.com/f/122374/566x562/b6da722eeb/registry-editor.png) ## Étapes suivantes - [Déployer l’agent Station](/userlock/docs/guides/deploiement-agents/agent-station) : autres paramètres de l’agent, propriétés MSI et installation manuelle. - [Implémentation de la MFA](/fr/userlock/docs/guides/implementation-mfa) : une fois l’agent déployé partout, mettez en place l’authentification multifacteur.