Bonjour,
 
Je m"exerce depuis hier aux groupes restreints afin de les tester grandeur nature dans mon AD composé de machines clientes xp sp3 et d'un 2003 serveur r2.
 
J'arrive parfaitement à faire en sorte que l'utilisateur TEST faisant partie du groupe "Utilisateur du domaine" soit simple utilisateur, utilisateurs avec pouvoir ou administrateur de sa machine. Par contre, dès que je souhaite le "rétrograder" dans ses droits en le faisant passer d'dministrateur local à simple utilisateur, là çà ne fonctionne pas.
 
Voici ma procédure :
 
1/ je crée une nouvelle GPO que je lie à une OU ordinateur contenant l’ordinateur TEST
2/ Dans l'arborescence de la GPO, je vais dans Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Groupes restreints  
3/ Dans la fenêtre de droite, j'ai fait clique droit puis "Ajouter un groupe"  
4/ Dans la fenêtre qui s'affiche, je choisis dans la liste de mon contrôleur le groupe à protéger : "utilisateurs du domaine"  
5/ dans le champs du bas "Ce groupe est membre de", je clique sur Ajouter puis je tape le nom du groupe auquel je veux que fasse partie mon utilisateur TEST travaillant sur l'ordinateur TEST, par exemple le groupe local "Administrateurs"
6/ dans le champ du haut  "Membres de ce groupe" j'ajoute le groupe "Utilisa. du domaine"
 
Sur le serveur, j'actualise la stratégie en faisant un gpupdate /force, ainsi que sur l'ordinateur test que je re-démarre qui plus est.
A l'ouverture de session de l'utilisateur TEST sur la machine TEST, ce dernier aura effectivement changé de groupe.
 
Mais dès que je veux ré-éditer cette même stratégie afin que mon utilisateur TEST "sorte" du groupe administrateurs afin de le re-mettre dans le groupe "utilisateurs", çà ne marche pas.
 
Lorsque je fais un gpresult sur la machine test, j'obtiens la ligne suivante :
 
Les objets stratégie de groupe n'ont pas été appliqués car ils ont été refusés.
 
Si quelqu'un peut m'aider à y voir plus clair ce serait sympa  
 
PS : je précise que c'est l'adresse ip du serveur qui se trouve enregistré dans le dns de la machine test et rien d'autre.