Explicación del filtrado de seguridad y bucle invertido de GPO

Comience desde el valor predeterminado: usuarios autenticados

De fábrica, cada GPO nuevo incluye un filtro de seguridad: Usuarios autenticados, que tiene permisos de Lectura y Aplicar política de grupo. Ese grupo es más amplio de lo que parece (incluye a todos los usuarios que han iniciado sesión y a todas las cuentas de computadora del dominio) y es por eso que un GPO nuevo "simplemente funciona" para todos en la unidad organizativa a la que está vinculado. Puede ver el filtro en la Consola de administración de políticas de grupo: seleccione el GPO y observe el cuadro Filtrado de seguridad en la pestaña Alcance. Todo en este video es un cambio deliberado a ese valor predeterminado, y cada sorpresa comienza ahí.

Activar el procesamiento de bucle invertido

El procesamiento de bucle invertido es una configuración del ordenador. Edite el GPO que está vinculado a la unidad organizativa que contiene las computadoras y vaya a Configuración de la computadora → Políticas → Plantillas administrativas → Sistema → Política de grupo. Abra Configurar el modo de procesamiento de bucle invertido de la directiva de grupo del usuario y configúrelo en Activado. A partir de ese momento, la configuración de usuario para cualquiera que inicie sesión en esas PC se toma de los GPO vinculados a la unidad organizativa de la computadora en lugar de solo de la propia unidad organizativa del usuario. Loopback nunca cambia la mitad de la política de la computadora: la configuración de la computadora siempre se procesa normalmente.

Elija el modo Fusionar o Reemplazar

La misma configuración solicita un modo y la elección lo cambia todo. Reemplazar omite por completo los GPO del lado del usuario; solo se aplican las configuraciones de usuario de los GPO de la computadora. Éste es el modo para quioscos, aulas y servidores RDS, donde la máquina debe presentar un entorno idéntico y controlado para absolutamente todos. Fusionar aplica primero los propios GPO del usuario, luego aplica la configuración del usuario de la computadora en la parte superior y la configuración de la computadora gana cualquier conflicto. Merge se adapta a PC normales donde la persona mantiene la mayor parte de su política habitual pero las reglas de la máquina deben tener la última palabra.

Apunte el GPO con filtrado de seguridad

El filtrado de seguridad es la forma en que se evita que un GPO llegue a todos los miembros de la unidad organizativa. Seleccione el GPO en la consola, abra la pestaña Alcance y en la sección Filtrado de seguridad elimine Usuarios autenticados y agregue solo el grupo que debe recibir la política. Para recibir un GPO, una cuenta necesita ambas Leer y Aplicar Política de Grupo; con solo una de las dos, el GPO nunca se descarga o aparece en la lista, sino que se omite. El filtrado es la forma estándar de poner a prueba una nueva política primero en un grupo pequeño o de dirigirse a un solo departamento, sin mover una sola cuenta entre unidades organizativas.

Mantenga el permiso de lectura de las computadoras (MS16-072)

Esta es la trampa que ha afectado a los administradores desde junio de 2016. La actualización de seguridad MS16-072 cambió la forma en que se recupera la Política de grupo: la cuenta de computadora ahora recupera los GPO de usuario del controlador de dominio en el propio contexto de seguridad de la computadora. Por lo tanto, la computadora debe tener permiso de Lectura en cada GPO que obtenga, incluidos los GPO de usuario filtrados a un grupo del que la computadora no es miembro. Si eliminó Usuarios autenticados en el paso anterior, abra la pestaña Delegación del GPO, haga clic en Agregar y otorgue a los Usuarios autenticados (o Computadoras del dominio) permiso de Lectura solamente: leer es todo lo que la máquina necesita; Solicite estancias con su grupo objetivo.

Cuando el loopback y el filtrado se encuentran

Los dos controles interactúan y la interacción atrapa incluso a los administradores experimentados. La configuración de usuario que ofrece el bucle invertido aún se encuentra en los GPO vinculados a la unidad organizativa de la computadora, pero siguen siendo configuraciones de usuario, por lo que la persona que está en el teclado aún necesita Aplicar política de grupo en ese GPO, y la computadora aún necesita Leer. Apriete el filtro en un GPO de bucle invertido solo a un grupo de computadoras, y la máquina obedientemente buscará un GPO cuyas configuraciones de usuario nadie sentado en él puede aplicar: un GPO de quiosco perfectamente configurado que silenciosamente no entrega nada. Antes de culpar a la política misma, verifique ambas mitades del par de permisos.

Pruébalo con gpresult

No adivines, verifica. En la PC afectada, en la sesión del usuario afectado, abra el símbolo del sistema y ejecute el comando de prueba del video:

gpresult /h report.html

Abra el report.html generado y lea los veredictos. Los GPO aplicados se enumeran en la parte superior y cada GPO rechazado tiene su motivo: Denegado (Seguridad) significa una decisión de filtrado, Denegado (Inaccesible) significa una falla de obtención o permisos, y Denegado (Vacío) significa que la mitad del GPO simplemente no tiene configuración. Con el loopback funcionando, la huella digital es inconfundible: los GPO que entregan la configuración del usuario son los de la unidad organizativa de la computadora. Trabaje la evidencia en este orden (alcance, filtro, bucle invertido) y la mayoría de los casos de "GPO que no se aplica" se explican por sí solos.