Tutorial completo de GPO de Active Directory ⚡ Explicación de la política de usuario e informática

Qué es realmente un GPO

Un GPO es simplemente un conjunto de configuraciones con nombre. No hace nada por sí solo. Comienza a funcionar solo cuando lo vincula a un contenedor (un sitio, el dominio o una unidad organizativa (OU)) y luego se aplica a las cuentas de usuario o de computadora dentro de ese contenedor.

De esto se desprenden dos hechos. Primero, editar un GPO y vincular un GPO son dos trabajos separados; un GPO perfectamente configurado y que no esté vinculado a ningún lado no cambia nada. En segundo lugar, un GPO puede vincularse a varias unidades organizativas y una unidad organizativa puede recibir muchos GPO.

Todo en este tutorial sucede en una consola: la Consola de administración de políticas de grupo. Ábralo en el controlador de dominio, o en cualquier PC con las herramientas RSAT instaladas, desde el cuadro Ejecutar:

gpmc.msc

Política informática versus política de usuario: las dos mitades

Abra cualquier GPO y verá las mismas dos secciones: Configuración del equipo y Configuración del usuario. No son dos vistas de una lista: son dos cajas de herramientas diferentes con configuraciones diferentes, aplicadas en momentos diferentes a cuentas diferentes.

La Configuración del ordenador se aplica a la cuenta del ordenador. Se procesa cuando se inicia la PC, antes de que alguien inicie sesión. Aquí se encuentran la instalación de software para máquinas, scripts de inicio, bloqueo de USB, comportamiento de Windows Update y configuraciones de seguridad.

La Configuración de usuario se aplica a la cuenta de usuario. Se procesa cuando un usuario inicia sesión en cualquier PC. Aquí se encuentran fondos de pantalla, asignaciones de unidades, redirección de carpetas, scripts de inicio de sesión y restricciones del Panel de control.

El lugar donde se vincula decide quién lo obtiene

Los GPO se vinculan en tres niveles: sitio (una ubicación de oficina física), dominio (todos) y OU (un departamento o grupo). En oficinas pequeñas y medianas, casi todos los enlaces se realizan a nivel de unidad organizativa, porque primero se organizan las cuentas en unidades organizativas: una para las PC de oficina, otra para los usuarios del personal, otra para las computadoras portátiles, etc.

Es mejor dejar las dos GPO que existen de forma predeterminada: Política de dominio predeterminada (reglas de cuenta y contraseña) y Política de controladores de dominio predeterminada. Cree sus propios GPO para su propia configuración, de modo que pueda desactivarlos sin tocar los valores predeterminados.

Cree, configure y vincule su primer GPO

En gpmc.msc, haga clic derecho en Objetos de política de grupo → Nuevo → asígnele un nombre que diga lo que hace, como Bloquear unidades USB. Sinceramente, nombrar es importante: después de seis meses una oficina tiene cuarenta GPO, y nombres como "Nuevo GPO" o "test2" no dicen nada: nombre por trabajo, no por fecha.

Haga clic derecho en el nuevo GPO → Editar. El editor abre con las dos mitades. Configure sus ajustes en la mitad correcta y cierre el editor.

De vuelta en GPMC, haga clic con el botón derecho en la unidad organizativa de destino → Vincular un GPO existente → seleccione su GPO. En la PC cliente, reiníciela (para la configuración de la computadora) o cierre la sesión y vuelva a iniciarla (para la configuración del usuario), o fuerce la actualización con los comandos del siguiente paso.

Fuercelo y pruébelo: gpupdate y gpresult

Las políticas se actualizan por sí solas aproximadamente cada 90 minutos (con un desplazamiento aleatorio), pero nadie las prueba tan lentamente. En la PC cliente, abra el símbolo del sistema y ejecute:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force vuelve a aplicar todas las políticas ahora. Honestamente, algunas configuraciones todavía necesitan un reinicio (configuraciones de la computadora, instalaciones de software) o un nuevo inicio de sesión (configuraciones de usuario): /force no puede saltarse la física.

gpresult /r es el recibo: enumera exactamente qué GPO se aplicaron a la computadora y al usuario, y cuáles se filtraron y por qué. Para obtener un informe legible, gpresult /h report.html crea una página HTML que muestra cada configuración ganadora y de qué GPO proviene. Nunca juzgues un GPO por la esperanza: gpresult /r debe ser el primer comando que ejecutes siempre que una política "no funcione".