Un nuevo dominio sin políticas es una oficina que funciona gracias a la confianza y la suerte. Estas son las diez políticas de grupo que los administradores experimentados establecen primero: qué hace cada uno, dónde vive y el problema de oficina que resuelve silenciosamente todos los días.
Pregunte a diez administradores experimentados de Active Directory qué políticas configuran en un nuevo dominio de Windows Server y escuchará casi los mismos diez nombres. No son exóticos. Son el conjunto estándar de oficina: las políticas que impiden compartir contraseñas, bloquean pantallas desatendidas, mantienen alejados los pendrives, entregan a cada usuario sus unidades e impresoras automáticamente y evitan que las actualizaciones de Windows reinicien la PC de la cuenta en medio de la facturación. Esta página recorre las diez una por una: el trabajo que realiza cada política, la ruta exacta de la consola y la advertencia honesta que la acompaña. En el tutorial completo de GPO de este canal se explica cómo crear, vincular y probar un GPO desde cero; esta lista trata sobre qué diez construir una vez que conozcas los conceptos básicos.
Un GPO por trabajo, cada uno con un nombre sencillo. Se muestran nombres de ejemplo: la estructura es el punto, no las etiquetas.
Ruta: Configuración del equipo - Políticas - Configuración de Windows - Configuración de seguridad - Políticas de cuenta - Política de contraseñas, normalmente editada en la Política de dominio predeterminada. Esta es la única política en la lista donde el dominio obtiene exactamente una versión para todas las cuentas de dominio: una política de contraseña vinculada a una sola unidad organizativa no hace nada para los usuarios del dominio (las excepciones por grupo necesitan políticas de contraseña detalladas, una característica separada).
Establezca una longitud mínima que la gente realmente pueda recordar: 12 caracteres con complejidad en tiempos. 8 caracteres cambian cada mes. La propia guía moderna de Microsoft ha eliminado la caducidad frecuente forzada, porque los usuarios responden con Office@123 y luego Office@124. La duración más una política sensata de bloqueo es la combinación honesta.
Ruta: Configuración de usuario - Políticas - Plantillas administrativas - Panel de control - Personalización - habilite el protector de pantalla, establezca el tiempo de espera y active proteger con contraseña el protector de pantalla. Un gemelo del lado de la computadora, Inicio de sesión interactivo: límite de inactividad de la máquina en Opciones de seguridad, realiza el mismo trabajo por máquina.
Diez minutos es el punto ideal de la oficina. Alguien se aleja de una PC desbloqueada iniciada como cuentas o Recursos Humanos, y cualquiera que pasa de repente es esa persona. Esta política cierra el agujero de seguridad más barato del edificio, y los usuarios la aceptan en el plazo de una semana, porque no pide nada más que escribir una contraseña al regresar.
Ruta: Configuración del equipo - Políticas - Plantillas administrativas - Sistema - Acceso a almacenamiento extraíble. Puede denegar la lectura, escritura o ejecución por clase de dispositivo, o denegar todo el almacenamiento extraíble en una sola configuración.
La razón de la oficina son los datos: un pendrive puede sacar toda la base de datos de clientes del edificio, o transportar un virus. La advertencia honesta: configure esto con una ruta de excepción desde el primer día - un grupo filtrado de seguridad para las dos o tres personas con una necesidad laboral genuina - o la política se desactivará silenciosamente la primera vez que bloquee al jefe antes de una presentación. Los teclados y ratones son una familia de configuraciones diferente (restricciones de instalación del dispositivo); esta política se refiere al almacenamiento.
Ruta: Configuración de usuario - Preferencias - Configuración de Windows - Drive Maps. Esta es una Preferencia de política de grupo, no una política clásica: señala una letra de unidad a un recurso compartido, elige la acción (Crear o Actualizar) y utiliza la orientación a nivel de elemento si las cuentas deben obtener S: y las ventas no.
Esta política retira el script más antiguo de TI (el archivo por lotes de inicio de sesión) y la llamada diaria al server wala drive gayab ho gaya. Asigne una vez en el servidor y cada usuario inicia sesión con las mismas letras que apuntan a los mismos recursos compartidos. Una unidad mapeada que muestra una cruz roja se puede leer instantáneamente: un problema de red o de permisos, no un misterio de mapeo.
Ruta: Preferencias - Configuración del panel de control - Impresoras (o implementar desde Administración de impresión). El usuario inicia sesión y la impresora de la oficina simplemente está allí, con el controlador adecuado del servidor de impresión.
La advertencia moderna y honesta: desde que se corrigió PrintNightmare, Windows es estricto con los controladores de impresora: los usuarios estándar generalmente no pueden instalar un controlador nuevo, por lo que el controlador ya debería estar en el servidor de impresión y ser preparado previamente por un administrador. La implementación por GPO aún elimina la visita por PC; simplemente ya no elimina la planificación única del conductor. Apunte a las impresoras por unidad organizativa o grupo para que el tercer piso deje de imprimir en la planta baja.
Ruta: Configuración del equipo - Políticas - Plantillas administrativas - Componentes de Windows - Actualización de Windows. Configuraciones clave: Configurar actualizaciones automáticas, Sin reinicio automático con usuarios registrados, fechas límite de instalación y, si la oficina usa WSUS, la ubicación del servidor de actualización de la intranet. La configuración de aplazamiento permite que un grupo piloto reciba las actualizaciones primero y el resto de la oficina unos días después.
Sea claro acerca del trabajo: esta política controla el momento, no si se realizan actualizaciones. Las oficinas que resultan perjudicadas son las que desactivan las actualizaciones por completo y luego se encuentran con una vulnerabilidad de dos años de antigüedad. Establezca una ventana de instalación fuera de horario y una fecha límite de reinicio que los usuarios puedan ver venir, y las actualizaciones se vuelven aburridas, que es exactamente lo que desea.
Ruta: Configuración de usuario - Políticas - Configuración de Windows - Redirección de carpetas. Documentos, Escritorio e Imágenes apuntan silenciosamente a una carpeta en el servidor de archivos en lugar del disco local.
La recompensa aparece en el peor día: una PC muere, el usuario inicia sesión en cualquier otra PC y sus archivos ya están allí, y la copia del servidor se encuentra dentro de su copia de seguridad normal. Dos advertencias honestas. El primer inicio de sesión copia los archivos existentes, por lo que debe implementarlos en pequeños lotes. Y nunca redirija a un servidor lento o moribundo: cada guardado se siente roto y los usuarios comienzan a guardar en un pendrive, lo que anula la política número 3.
Rutas: Configuración del equipo - Configuración de Windows - Configuración de seguridad - Políticas de control de aplicaciones - AppLocker, o las Políticas de restricción de software más antiguas en la misma área. La idea es una lista blanca: se pueden ejecutar Windows, archivos de programa y aplicaciones aprobadas por el administrador; lo que sea que un usuario descargue en su propio perfil, es posible que no lo haga.
Este es el elemento más fuerte de la lista y el que exige más respeto. La aplicación de AppLocker a través de GPO es una característica de la edición Enterprise y Education, y cada administrador debe comenzar en modo solo auditoría, corregir lo que revela el registro y solo después aplicarla. Si se hace con paciencia, detiene silenciosamente la mayoría del malware de facturas falsas. Si se hace a toda prisa el viernes, se detiene el software de facturación; esa historia tiene su propia página en esta serie.
Ruta: Configuración del equipo - Políticas - Configuración de Windows - Configuración de seguridad - Configuración de política de auditoría avanzada. Como mínimo, audite el éxito y el fracaso del inicio de sesión en los controladores de dominio y servidores miembro.
La auditoría responde a la pregunta que toda oficina se hace después de un incidente: ¿de quién se utilizó la cuenta, desde qué PC y cuándo? Pero sea honesto acerca de la segunda mitad: los registros que nadie lee no son seguridad, son almacenamiento. Active la auditoría junto con un pequeño hábito semanal de leer realmente los errores: una guía complementaria de esta serie cubre ese hábito en su totalidad.
Ruta: Preferencias - Configuración del panel de control - Usuarios y grupos locales puede limpiar el grupo de administradores en cada PC: eliminar cuentas de usuario perdidas y conservar el grupo de soporte de TI. La pieza complementaria es Windows LAPS, que proporciona a cada PC una contraseña de administrador local única, rotada automáticamente y almacenada de forma segura en Active Directory.
El trabajo diario no necesita derechos de administrador; el malware los hereda. Cuando cada usuario es administrador local, una descarga incorrecta se apropia de la máquina y comienza a buscar en la red desde adentro. Elimine los derechos de administrador permanentes, conserve LAPS para el día en que TI necesite la contraseña local y la mitad de los incidentes en una oficina normal nunca suceden. Mantenga una ruta probada contra rotura de cristales antes del lanzamiento: la guía de precaución de esta serie explica por qué.
Las diez políticas creadas y vinculadas en vivo en un dominio real de Windows Server: mire el video una vez y su propia lista le tomará menos de una hora.
▶️ Watch Full VideoComience con la política de contraseñas y el bloqueo de pantalla: no cuestan casi nada a los usuarios y cierran los dos agujeros más comunes. Luego, impulse el mapeo y la implementación de impresoras, porque los usuarios los sienten como ayuda en lugar de restricción, y la buena voluntad conlleva políticas más estrictas (control de USB, control de software, eliminación de administradores locales) que vienen más adelante.
Para las cuentas de dominio, una política de contraseña solo entra en vigor desde un GPO vinculado a nivel de dominio; la política de dominio predeterminada es la de inicio habitual. Una política de contraseña vinculada a una unidad organizativa se aplica solo a las cuentas locales en esas computadoras. Diferentes reglas para un grupo específico necesitan políticas de contraseña detalladas, que se configuran por separado en Active Directory.
Puedes y no debes. Un GPO por trabajo, con un nombre sencillo como Block-USB-Storage, se puede probar, desactivar, revertir y filtrar de forma independiente. Un GPO gigante falla como gigante: cuando algo se rompe no se puede apagar la mitad y nadie recuerda lo que hay dentro. La guía de un GPO por trabajo de esta serie muestra la disciplina en la práctica.