Tutorial completo do GPO do Active Directory ⚡ Política de usuário e computador explicada

O que realmente é um GPO

Um GPO é simplesmente um pacote nomeado de configurações. Não faz nada por si só. Ele começa a funcionar somente quando você o vincula a um contêiner — um site, o domínio ou uma unidade organizacional (OU) — e então se aplica às contas de usuário ou de computador dentro desse contêiner.

Dois fatos decorrem disso. Primeiro, editar um GPO e vincular um GPO são duas tarefas distintas; um GPO perfeitamente configurado que não está vinculado a lugar nenhum não muda nada. Segundo, um GPO pode estar vinculado a diversas UOs e uma UO pode receber vários GPOs.

Tudo neste tutorial acontece em um console – o Console de Gerenciamento de Política de Grupo. Abra-o no controlador de domínio ou em qualquer PC com as ferramentas RSAT instaladas, na caixa Executar:

gpmc.msc

Política de computador versus política de usuário – as duas metades

Abra qualquer GPO e você verá as mesmas duas seções: Configuração do Computador e Configuração do Usuário. Não são duas visualizações de uma lista — são duas caixas de ferramentas diferentes com configurações diferentes, aplicadas em momentos diferentes a contas diferentes.

Configuração do computador aplica-se à conta do computador. Ele é processado quando o PC é iniciado, antes que alguém faça logon. Instalação de software para máquinas, scripts de inicialização, bloqueio de USB, comportamento do Windows Update e configurações de segurança residem aqui.

A Configuração do usuário se aplica à conta do usuário. Ele é processado quando um usuário faz logon, em qualquer PC. Papéis de parede, mapeamentos de unidades, redirecionamento de pastas, scripts de logon e restrições do Painel de Controle residem aqui.

O local onde você vincula decide quem o recebe

Os GPOs se vinculam em três níveis: site (um escritório físico), domínio (todos) e OU (um departamento ou grupo). Em escritórios pequenos e médios, quase todas as vinculações acontecem no nível da UO, porque primeiro você organiza as contas em UOs — uma para PCs de escritório, uma para usuários da equipe, uma para laptops e assim por diante.

É melhor deixar os dois GPOs que existem por padrão — Política de Domínio Padrão (regras de senha e conta) e Política de Controladores de Domínio Padrão. Crie seus próprios GPOs para suas próprias configurações, para que você possa desativá-los sem alterar os padrões.

Crie, configure e vincule seu primeiro GPO

Em gpmc.msc, clique com o botão direito em Objetos de política de grupo → Novo → dê um nome que diga o que ele faz, como Bloquear unidades USB. Nomear honestamente é importante: depois de seis meses, um escritório tem quarenta GPOs, e nomes como "Novo GPO" ou "teste2" não dizem nada - nome por cargo, não por data.

Clique com o botão direito no novo GPO → Editar. O editor abre com as duas metades. Defina suas configurações na metade correta e feche o editor.

De volta ao GPMC, clique com o botão direito na UO de destino → Vincular um GPO existente → selecione seu GPO. No PC cliente, reinicie-o (para configurações do computador) ou faça logoff e logon novamente (para configurações do usuário) — ou force a atualização com os comandos da próxima etapa.

Force e prove – gpupdate e gpresult

As políticas são atualizadas sozinhas aproximadamente a cada 90 minutos (com um deslocamento aleatório), mas ninguém testa tão lentamente. No PC cliente, abra o Prompt de Comando e execute:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force reaplica todas as políticas agora. Algumas configurações ainda precisam honestamente de uma reinicialização (configurações do computador, instalações de software) ou um novo logon (configurações do usuário) — /force não pode ignorar a física.

gpresult /r é o recibo: lista exatamente quais GPOs aplicados ao computador e ao usuário, quais foram filtrados e por quê. Para um relatório legível, gpresult /h report.html cria uma página HTML mostrando cada configuração vencedora e de qual GPO ela veio. Nunca julgue um GPO pela esperança — gpresult /r deve ser o primeiro comando a ser executado sempre que uma política "não funciona".