Mappage lecteur réseau GPO : tutoriel complet sous Windows

Créer et configurer la GPO de mappage de lecteur réseau

La méthode recommandée pour déployer un lecteur réseau à grande échelle repose sur les Préférences de stratégie de groupe. Contrairement aux scripts de connexion, cette approche se configure directement dans la console GPMC et s’applique de façon fiable à chaque ouverture de session utilisateur. Voici la procédure pas à pas.

• Ouvrir la console GPMC : lancez gpmc.msc depuis un contrôleur de domaine ou un poste d’administration.
• Créer une nouvelle GPO : clic droit sur votre domaine ou OU cible, puis « Créer un objet GPO dans ce domaine, et le lier ici ».
• Nommer la GPO : utilisez une convention explicite comme U_Connecter_Lecteur_Reseau.
• Atteindre Mappages de lecteurs : dépliez Configuration utilisateur, Préférences, Paramètres Windows.
• Renseigner le chemin UNC : indiquez le partage au format \\serveur\partage dans le champ Emplacement.
• Choisir la lettre du lecteur : sélectionnez une lettre libre, par exemple Z: pour le partage commun.
• Valider par utilisateur : conservez la portée utilisateur, jamais ordinateur, car le mappage dépend de la session.
• Dupliquer pour autres lecteurs : répétez l’opération dans la même GPO pour chaque partage supplémentaire.

Pourquoi privilégier Configuration utilisateur

Le paramètre Configuration utilisateur garantit que le lecteur se mappe au moment de l’ouverture de session, avec les droits du compte connecté. Cette méthode évite tout script, mais exige que l’utilisateur soit bien membre du domaine et dispose des autorisations de partage adéquates.

Renseigner le chemin UNC sans erreur

Un chemin mal saisi est la première cause d’échec. Vérifiez que le nom du serveur est résolvable, que le partage existe et qu’il est accessible en lecture depuis le poste. Le champ Reconnecter doit rester coché pour que le lecteur persiste à chaque session.

Une fois la GPO liée, chaque poste du domaine recevant cette stratégie affichera le lecteur après gpupdate /force et une reconnexion utilisateur.

Dépannage : le lecteur réseau ne se mappe pas

Quand un lecteur réseau reste invisible après le déploiement de la GPO, l’origine se range presque toujours dans l’une de ces quatre catégories. Voici la séquence de vérification à appliquer dans l’ordre.

GPO non appliquée ou utilisateur hors groupe ciblé

• Vérifier application GPO : exécuter gpresult /r sur le poste du compte concerné.
• Contrôler appartenance groupe : confirmer que l’utilisateur figure bien dans le groupe ciblé par le filtrage.
• Lancer gpupdate /force : forcer la réapplication des stratégies sans attendre le cycle automatique.
• Se reconnecter utilisateur : une simple fermeture de session est parfois nécessaire pour relancer le traitement des préférences.

La commande gpupdate /force ne relance pas toujours les scripts de connexion, ce qui explique bien des faux diagnostics. Si le lecteur dépend d’un script, il faut se déconnecter puis se reconnecter avec le compte ciblé pour que l’action s’exécute réellement.

Droits de partage, chemin UNC et permissions NTFS

Un chemin UNC mal orthographié, une lettre de lecteur déjà occupée ou un partage inaccessible bloquent le mappage, même si la GPO s’applique correctement. Vérifiez d’abord que le chemin du type \\serveur\partage répond depuis le poste concerné, puis contrôlez les autorisations de partage et les permissions NTFS accordées au compte ou au groupe.

Un symptôme révélateur : le lecteur se mappe quand l’utilisateur est administrateur local, mais échoue avec un compte standard. Cela indique presque toujours un problème de droits sur le partage, et non un défaut de la stratégie. Croisez donc toujours le diagnostic GPO avec un test manuel de connexion au partage.

Cibler le mappage par groupe (item-level targeting)

Le ciblage par item (item-level targeting) permet de n’appliquer un mappage qu’aux utilisateurs concernés, sans multiplier les GPO. Dans la fenêtre du mappage, onglet Commun, cochez Ciblage au niveau de l’élément, puis Nouvel élément et choisissez Utilisateur dans un groupe de sécurité. Indiquez le groupe voulu : seuls ses membres verront le lecteur apparaître à l’ouverture de session.

Pour une seule GPO contenant plusieurs mappages, chaque lecteur possède son propre ciblage. Un groupe Compta reçoit le lecteur P: vers le dossier factures, un groupe RH obtient R: vers les dossiers du personnel, et un utilisateur cumulant les deux appartenances reçoit les deux lecteurs. Le ciblage accepte aussi l’OU, le nom d’ordinateur ou l’adresse IP, ce qui reste pratique pour ajuster finement le déploiement.

Point capital : le ciblage contrôle uniquement l’affichage du lecteur chez l’utilisateur. Il ne remplace jamais les permissions NTFS ni les droits de partage. Un utilisateur bien ciblé mais sans autorisation sur le dossier verra un lecteur rouge inaccessible. Définissez donc systématiquement les droits d’accès côté serveur de fichiers, indépendamment du ciblage GPO.

Prérequis Active Directory et préparation

Avant de créer la moindre GPO, il faut s’assurer que l’environnement est prêt des deux côtés, serveur et poste client. Le mappage de lecteur réseau par stratégie de groupe repose entièrement sur une relation d’approbation entre un contrôleur de domaine et la machine de l’utilisateur. Sans cette base, aucune préférence ne s’appliquera, même correctement configurée.

Vérifiez donc les éléments suivants avant de vous lancer :

• Domaine Active Directory opérationnel, avec au moins un contrôleur de domaine joignable.
• Client Windows joint au domaine, pas simplement en groupe de travail.
• Compte utilisateur membre du groupe ou de l’OU ciblé par la GPO.
• Droits de partage et NTFS accordés au compte sur le dossier distant.
• Console GPMC accessible depuis un poste d’administration.

Le point le plus souvent négligé reste le compte dans le groupe ciblé. Une GPO parfaitement écrite ne produira rien si l’utilisateur ne fait pas partie du groupe de sécurité ou de l’unité d’organisation visée par le filtrage. Prenez l’habitude de vérifier l’appartenance avant de chercher une erreur ailleurs.

Côté ressources, l’utilisateur doit disposer à la fois des autorisations de partage (le droit d’accéder au partage réseau) et des permissions NTFS (le droit de lire ou d’écrire dans les dossiers). Ces deux niveaux sont distincts et cumulatifs : le plus restrictif des deux s’applique. Le chemin UNC doit également être correct et résolvable depuis le poste client.

Enfin, la console GPMC doit être installée, généralement via les RSAT (Remote Server Administration Tools). Elle permet de créer la GPO au bon niveau, de la lier à l’OU adéquate et de contrôler son application. Une fois ces prérequis validés, vous pouvez passer sereinement à la configuration du mappage.

Tester et valider l’application de la GPO

Connectez-vous sur un poste membre du domaine avec un compte utilisateur qui appartient bien au groupe ciblé par la GPO et qui possède les droits d’accès sur le partage. Ouvrez ensuite une invite de commandes en tant qu’administrateur et lancez gpupdate /force pour forcer la réapplication immédiate des stratégies de groupe.

Attention : gpupdate /force ne relance pas les scripts de connexion déjà exécutés. Si votre mappage repose sur un script plutôt que sur une préférence GPO, une reconnexion de l’utilisateur (voire un redémarrage) est indispensable pour que le lecteur apparaisse.

Après application, ouvrez l’Explorateur Windows et vérifiez la présence du lecteur mappé. Vous pouvez aussi exécuter net use dans l’invite de commandes : la lettre et le chemin UNC doivent s’afficher. En cas d’absence, contrôlez le journal d’événements côté client et l’onglet Paramètres de la stratégie pour confirmer que la préférence a bien été traitée.

Alternative : script PowerShell pour mapper un lecteur

Les scripts VBS historiquement utilisés dans les stratégies de connexion sont désormais dépréciés, et cette fonctionnalité devient facultative dans les prochaines versions de Windows 11. Mieux vaut donc se tourner vers un script PowerShell exécuté à l’ouverture de session pour les cas où la GPO de préférences ne convient pas.

Le principe reste simple : un script placé dans l’onglet Scripts de connexion de la GPO (ou poussé via une tâche planifiée) appelle New-PSDrive avec les paramètres -Persist, -Name, -PSProvider FileSystem et -Root pointant vers le chemin UNC du partage.

Attention toutefois : gérer le ciblage par groupe en script impose d’écrire soi-même les fonctions de vérification d’appartenance (par exemple via Get-ADGroupMember ou whoami /groups), là où la GPO le fait nativement avec l’item-level targeting. Réservez donc le script aux cas spécifiques : logique conditionnelle avancée, nettoyage de lecteurs obsolètes, ou environnements sans préférences de GPO disponibles.

FAQ mappage lecteur réseau GPO

Pourquoi mon lecteur réseau ne se mappe toujours pas

Vérifiez d’abord que l’utilisateur est bien dans le groupe ciblé et que la GPO est liée à son OU. Contrôlez ensuite le chemin UNC, les droits de partage et les permissions NTFS, puis forcez avec gpupdate /force.

Peut-on appliquer la GPO sans redémarrer le poste

Oui. Exécutez gpupdate /force en ligne de commande, puis demandez à l’utilisateur de se déconnecter et se reconnecter. Le mappage de lecteur étant une préférence utilisateur, une simple reconnexion de session suffit généralement.

Une seule GPO peut-elle mapper plusieurs lecteurs

Oui. Dans Preferences, Windows Settings, Drive Maps, ajoutez autant d’éléments que de lecteurs souhaités dans la même GPO. Chaque élément peut cibler une lettre, un chemin UNC et un groupe différents.

Le ciblage GPO remplace-t-il les permissions NTFS

Non. Le ciblage détermine seulement qui reçoit le mappage. Les permissions NTFS et de partage restent indispensables pour contrôler l’accès réel aux dossiers, même si le lecteur apparaît chez l’utilisateur.

Faut-il préférer la GPO ou un script de connexion

Préférez la GPO Preferences, plus simple à gérer, à cibler et à auditer. Le script PowerShell reste utile pour des cas particuliers, hors domaine ou pour des scénarios dynamiques impossibles en GPO.