Comment réussir le mappage lecteur réseau GPO sous Windows Server

Créer et configurer la GPO de mappage de lecteur réseau

Ouvrir GPMC et créer la GPO utilisateur

• Ouvrir gpmc.msc depuis un contrôleur de domaine ou un poste avec RSAT.
• Clic droit sur la forêt ou le domaine pour lancer la création d’un nouvel objet.
• Créer un objet Stratégie de groupe dans le conteneur approprié.
• Nommer la GPO par exemple U_Connecter_Lecteur_Reseau, le préfixe U indiquant une stratégie utilisateur.
• Éditer la GPO via clic droit puis Modifier pour ouvrir l’éditeur de gestion.

Configurer le mappage via Préférences de stratégie de groupe

Le mappage repose sur les Préférences de stratégie de groupe (GPP), bien plus souples qu’un script de connexion classique. Dans l’éditeur, dépliez Configuration utilisateur, puis Préférences, Paramètres Windows et enfin Mappages de lecteurs.

Un clic droit dans le volet droit permet de créer un Mappage de lecteur. Renseignez l’action (Créer, Remplacer ou Mettre à jour), la lettre de lecteur souhaitée, puis le chemin UNC du partage sous la forme \\serveur\partage.

Cochez si besoin Reconnecter pour rétablir le lecteur à chaque ouverture de session. L’onglet Commun permet d’appliquer un ciblage au niveau de l’élément, utile pour restreindre le mappage à un groupe précis. Validez ensuite avec OK : la GPO est prête à être liée à une OU ou au domaine.

Dépanner un lecteur réseau non mappé

Vérifier l’application effective de la GPO

Avant de modifier quoi que ce soit, confirmez que la stratégie atteint bien le poste. La commande gpupdate /force reste le premier réflexe côté client.

• Lancer gpupdate /force dans une invite de commandes en tant qu’utilisateur ciblé.
• Ouvrir rsop.msc sur client pour visualiser les stratégies réellement appliquées.
• Contrôler journal événements : cherchez les erreurs de traitement dans Applications et services.
• Confirmer OU du compte pour valider que la GPO couvre bien cette unité d’organisation.

Si rsop.msc n’affiche pas votre GPO dans l’arborescence des paramètres utilisateur, le problème vient du ciblage ou de l’héritage du site, et non de la configuration du mappage lui-même.

Corriger les causes fréquentes de non mappage

Dans la majorité des cas, le lecteur reste absent pour l’une de ces raisons : l’utilisateur n’appartient pas au groupe ciblé (par exemple Grp_partage_RW), les droits NTFS ou les autorisations de partage sont insuffisants, ou le chemin UNC saisi dans la GPO contient une faute de frappe. Une seule lettre erronée dans \\serveur\partage suffit à bloquer tout le mappage.

Vérifiez également que le poste est bien joint au domaine Active Directory et que le compte dispose des autorisations nécessaires pour ouvrir la session sur le partage. Après correction, relancez gpupdate /force et demandez à l’utilisateur de se reconnecter : la commande ne réexécute pas les scripts d’ouverture de session déjà passés.

Prérequis Active Directory et environnement

Avant même d’ouvrir la console GPMC, le mappage d’un lecteur réseau via GPO repose sur une chaîne de prérequis côté Active Directory, serveur de fichiers et poste client. Si un seul maillon manque, la stratégie sera bien appliquée mais le lecteur restera invisible. Voici la liste à valider impérativement avant de créer votre GPO.

• Domaine Active Directory fonctionnel : le contrôleur de domaine doit répondre aux requêtes LDAP et SYSVOL être accessible.
• Partage réseau déjà créé : le dossier doit être partagé sur le serveur de fichiers avec un chemin UNC valide du type \\serveur\partage.
• Droits NTFS configurés : les autorisations sur le dossier lui-même (Modification, Lecture) doivent être posées pour le groupe cible.
• Autorisations de partage définies : le partage SMB possède ses propres permissions, distinctes des droits NTFS.
• Compte ciblé avec autorisations : l’utilisateur ou le groupe doit disposer des droits sur le partage et sur NTFS.
• Poste joint au domaine : le client doit être membre du domaine et pouvoir authentifier le compte cible.

Beaucoup d’administrateurs juniors confondent autorisations de partage et droits NTFS. Les deux couches se cumulent : la plus restrictive s’applique. Un utilisateur peut donc avoir « Contrôle total » en partage et « Lecture seule » en NTFS, il ne pourra jamais écrire dans le dossier.

Vérifiez également que le compte ciblé appartient bien au groupe prévu dans la GPO. Un mauvais groupe signifie un mappage silencieusement ignoré, sans message d’erreur. Côté poste, testez une connexion manuelle avec net use avant de déployer la stratégie : si le partage ne se monte pas à la main, la GPO ne fera pas mieux.

Tester et valider l’application sur poste client

Procédure de test sur poste du domaine

• Ouvrir session compte ciblé : un utilisateur membre du groupe visé par la GPO.
• Forcer gpupdate /force : en invite de commandes, pour rafraîchir les stratégies.
• Fermer puis rouvrir session : une simple déconnexion ne suffit pas toujours.
• Vérifier lecteur dans Explorateur : la lettre et le chemin UNC doivent apparaître.

Le point à retenir : gpupdate /force ne relance pas les scripts d’ouverture de session et ne reconstruit pas toujours les mappages utilisateur. C’est pourquoi une reconnexion complète du compte reste indispensable pour voir le lecteur apparaître.

Points de contrôle après application

Une fois la session rouverte, contrôlez d’abord la présence du lecteur dans l’Explorateur de fichiers, sous « Ce PC ». La lettre doit être associée au bon chemin UNC, par exemple \\serveur\partage.

Vérifiez ensuite que le compte utilisé appartient bien au groupe ciblé et qu’il dispose des autorisations de partage et des droits NTFS nécessaires. Le ciblage de la GPO agit sur l’affichage du mappage, jamais sur les permissions réelles du dossier.

Alternative : script PowerShell de mappage

Pourquoi le script VBS est déprécié sous Windows 11

Le script VBS (Visual Basic Script) a longtemps servi à mapper un lecteur réseau via un logon script. Sous Windows 11, ce format est désormais déprécié : VBS devient une fonctionnalité facultative qui peut être retirée par défaut ou bloquée par les stratégies de sécurité.

Concrètement, un script de connexion en VBS peut ne plus s’exécuter du tout sur un poste fraîchement installé. Si votre parc migre vers Windows 11, remplacer les scripts VBS par du PowerShell évite une panne silencieuse du mappage, sans message d’erreur visible pour l’utilisateur.

Écrire un script PowerShell avec vérification d’appartenance

Un Logon Script PowerShell reste utile dans les cas où la GPO ne suffit pas, par exemple pour une logique conditionnelle complexe. La bonne pratique consiste à restreindre le script au bon groupe avant d’agir :

• Vérifier groupe via Get-ADUser et comparer avec le groupe cible du partage.
• Mapper via New-PSDrive en précisant le chemin UNC et la lettre de lecteur.
• Restreindre aux cas spécifiques : scripts réservés aux besoins que la GPO ne couvre pas.

Cette vérification d’appartenance évite d’exécuter le mappage pour tous les utilisateurs du domaine. Le script ne s’applique qu’aux membres du groupe concerné, comme Grp_partage_RW par exemple.

Cibler la GPO par groupe ou OU

Une GPO de mappage appliquée à l’ensemble du domaine connecte le lecteur réseau à tous les utilisateurs, y compris ceux qui n’y ont pas droit. Le ciblage au niveau de l’élément (Item-Level Targeting) résout ce problème : il conditionne le mappage à l’appartenance réelle de l’utilisateur à un groupe de sécurité précis. Le paramètre utilisateur reste unique, seul le déclencheur change.

Le principe est simple : au lieu de créer une GPO par service ou par métier, vous conservez une seule GPO et activez le ciblage sur chaque entrée de mappage. L’affichage du lecteur dépend alors du groupe AD, pas de l’emplacement de l’objet dans l’arborescence.

Activer le ciblage sur un mappage existant

Reprenez la GPO U_Connecter_Lecteur_Reseau et ouvrez la préférence de mappage concernée. Le ciblage se configure entrée par entrée, ce qui permet des règles différentes pour chaque lecteur réseau dans la même GPO.

• Ouvrir l’onglet Commun : section de la fenêtre de propriétés du mappage.
• Cocher ciblage niveau élément : case « Ciblage au niveau de l’élément ».
• Ajouter utilisateur dans groupe : élément de ciblage à sélectionner.
• Saisir Grp_partage_RW : nom exact du groupe AD autorisé, avec le domaine.
• Répéter par lecteur distinct : chaque mappage reçoit son propre groupe cible.

Combiner OU et groupes dans une même GPO

Liez la GPO au niveau de l’OU des utilisateurs ou de l’OU qui regroupe les comptes concernés. Le filtrage par groupe s’applique ensuite indépendamment pour chaque lecteur : un utilisateur membre de Grp_partage_RW verra le lecteur lecture-écriture, un membre de Grp_partage_RO verra l’accès lecture seule.

Attention : le ciblage agit uniquement sur le déclenchement du mappage. Il ne remplace en aucun cas les permissions NTFS ni les autorisations de partage. Un utilisateur ciblé par erreur restera bloqué à l’ouverture du lecteur si les droits du dossier ne lui sont pas accordés.

FAQ du mappage lecteur réseau GPO

Pourquoi mon lecteur réseau n’apparaît pas malgré la GPO

Le lecteur n’apparaît pas si la GPO n’est pas liée au bon niveau (utilisateur, pas ordinateur) ou si le compte n’a pas de session de connexion complète. Vérifiez aussi les filtres de sécurité, la portée de la stratégie et l’absence de conflit avec un lecteur déjà mappé en local.

Peut-on appliquer la GPO sans redémarrer le poste

Oui, la GPO de mappage s’applique à l’ouverture de session utilisateur, sans redémarrage du poste. Un simple gpupdate /force suivi d’une reconnexion utilisateur suffit. Le redémarrage n’est utile que pour les stratégies liées à l’ordinateur ou les scripts de démarrage.

Pourquoi préférer une GPO à un script de connexion

La GPO est centralisée, plus simple à auditer et s’applique automatiquement à tous les utilisateurs ciblés. Elle évite les scripts VBS dépréciés et fonctionne nativement avec le ciblage par groupe ou OU, ce qui réduit la maintenance et les erreurs manuelles.

Peut-on mapper plusieurs lecteurs réseau dans une seule GPO

Oui, une même GPO peut contenir plusieurs éléments de mappage, chacun avec sa lettre, son chemin UNC et ses options. Regroupez-les dans la même préférence utilisateur pour simplifier la gestion, en respectant une lettre unique par lecteur.

Le ciblage de la GPO remplace-t-il les permissions NTFS

Non, le ciblage de la GPO agit uniquement sur la distribution du mappage, pas sur les droits d’accès. Les permissions NTFS et de partage restent seules garantes de la sécurité des données. Une GPO bien ciblée sans droits NTFS corrects n’ouvre aucun accès.