Loopback de GPO e filtragem de segurança explicada

Comece do padrão – usuários autenticados

Pronto para uso, cada novo GPO traz um filtro de segurança: Usuários Autenticados, com permissões de Ler e Aplicar Política de Grupo. Esse grupo é mais amplo do que parece – inclui todos os usuários conectados e todas as contas de computador de domínio – e é por isso que um novo GPO “simplesmente funciona” para todos na UO à qual está vinculado. Você pode ver o filtro no Console de gerenciamento de política de grupo: selecione o GPO e observe a caixa Filtragem de segurança na guia Escopo. Tudo neste vídeo é uma mudança deliberada nesse padrão – e toda surpresa começa aí.

Ativar processamento de loopback

O processamento de loopback é uma configuração do computador. Edite o GPO que está vinculado à UO que contém os computadores e vá para Configuração do Computador → Políticas → Modelos Administrativos → Sistema → Política de Grupo. Abra Configurar modo de processamento de loopback da Política de Grupo do usuário e defina-o como Ativado. A partir desse momento, as configurações do usuário para qualquer pessoa que faça logon nesses PCs serão obtidas dos GPOs vinculados à UO do computador, em vez de apenas à UO do próprio usuário. O loopback nunca altera metade da política do computador – as configurações do computador sempre são processadas normalmente.

Escolha o modo Mesclar ou Substituir

A mesma configuração pede um modo, e a escolha muda tudo. Replace ignora completamente os GPOs do lado do usuário — somente as configurações do usuário dos GPOs do computador se aplicam. Essa é a modalidade dos quiosques, salas de aula e servidores RDS, onde a máquina deve apresentar um ambiente idêntico e controlado para absolutamente todos. Mesclar aplica primeiro os GPOs do próprio usuário e, em seguida, aplica as configurações do usuário do computador por cima — e as configurações do computador vencem qualquer conflito. A mesclagem se adapta a PCs normais onde a pessoa mantém a maior parte de sua política usual, mas as regras da máquina devem ter a última palavra.

Mire o GPO com filtragem de segurança

A filtragem de segurança é como você impede que um GPO chegue a todos na UO. Selecione o GPO no console, abra a aba Escopo e na seção Filtragem de Segurança remova Usuários Autenticados e adicione apenas o grupo que deve receber a política. Para receber um GPO, uma conta precisa de ambos Ler e Aplicar Política de Grupo. Com apenas um dos dois, o GPO nunca é baixado ou listado, mas ignorado. A filtragem é a maneira padrão de testar uma nova política primeiro em um pequeno grupo ou de direcionar um único departamento, sem mover uma única conta entre UOs.

Mantenha a permissão de leitura dos computadores (MS16-072)

Esta é a armadilha que atinge os administradores desde junho de 2016. A atualização de segurança MS16-072 mudou a forma como a Política de Grupo é recuperada: a conta do computador agora busca GPOs de usuário do controlador de domínio no próprio contexto de segurança do computador. Portanto, o computador deve ter permissão de Leitura em todos os GPOs que busca, incluindo GPOs de usuários filtrados para um grupo do qual o computador não é membro. Se você removeu Usuários Autenticados na etapa anterior, abra a guia Delegação do GPO, clique em Adicionar e conceda aos Usuários Autenticados (ou Computadores de Domínio) apenas permissão de Leitura — a leitura é tudo o que a máquina precisa; Aplique estadias com seu grupo-alvo.

Quando Loopback e Filtragem se encontram

Os dois controles interagem e a interação atinge até mesmo administradores experientes. As configurações de usuário que o loopback fornece ainda estão em GPOs vinculados à UO do computador, mas ainda são configurações de usuário, portanto, a pessoa que está no teclado ainda precisa de Aplicar Política de Grupo nesse GPO, e o computador ainda precisa Lê-lo. Aperte o filtro em um GPO de loopback apenas para um grupo de computadores, e a máquina obedientemente buscará um GPO cujas configurações de usuário ninguém poderá aplicar: um GPO de quiosque perfeitamente configurado que não entrega nada silenciosamente. Antes de culpar a política em si, verifique as duas metades do par de permissões.

Prove com gpresult

Não adivinhe – verifique. No PC afetado, na sessão do usuário afetado, abra o Prompt de Comando e execute o comando de prova do vídeo:

gpresult /h report.html

Abra o report.html gerado e leia os veredictos. Os GPOs aplicados são listados no topo, e cada GPO rejeitado traz seu motivo: Negado (Segurança) significa uma decisão de filtragem, Negado (Inacessível) significa uma falha na busca ou nas permissões e Negado (Vazio) significa que metade do GPO simplesmente não tem configurações. Com o loopback funcionando, a impressão digital é inconfundível — os GPOs que fornecem as configurações do usuário são os da UO do computador. Trabalhe as evidências nesta ordem – escopo, filtro, loopback – e a maioria dos casos de “GPO não aplicável” se explicam por si mesmos.