Os 10 principais GPOs no Windows Server
As 10 principais políticas de grupo para um escritório Windows Server – política de senha, bloqueio de tela, bloqueio USB, mapeamento de unidade, impressoras, atualizações, redirecionamento de pasta, AppLocker, auditoria e controle de administrador local – cada uma explicada em palavras simples.
📑Capítulos
- Por que um domínio novo precisa primeiro dessas dez políticas
- Política de senha — uma regra para todo o domínio
- Bloqueio de tela — o PC autônomo se bloqueia
- Bloco USB — pen drives deixam de ser uma porta
- Mapeamento de unidades — os compartilhamentos do servidor aparecem sozinhos
- Impressoras — a impressora do escritório sem tocar no PC
- Atualizações — as atualizações do Windows acontecem de acordo com sua programação
- Redirecionamento de pasta — os documentos ficam no servidor, não no PC
- AppLocker — somente programas aprovados são executados
- Auditoria — registre quem fez login e quem falhou
- Controle administrativo local — quase ninguém é administrador em seu próprio PC
- Teste em uma UO piloto antes de lançá-la para todos
📋 Visão geral e guia passo a passo
Abra primeiro o gerenciamento de política de grupo
Todas as dez políticas são criadas em um console: o Console de Gerenciamento de Política de Grupo. Abra a caixa Executar, digite o comando abaixo e pressione Enter. A regra de trabalho para toda a lista é um GPO por trabalho, cada um com um nome simples como Block-USB-Storage ou Screen-Lock-10-Min — uma política separada pode ser testada, desativada, revertida e filtrada por conta própria, enquanto um GPO gigante falha como gigante.
gpmc.mscPolítica de senha – uma regra para todo o domínio
Caminho: Configuração do Computador → Políticas → Configurações do Windows → Configurações de Segurança → Políticas de Conta → Política de Senha, normalmente editada na Política de Domínio Padrão. Defina um comprimento mínimo que as pessoas possam realmente lembrar - 12 caracteres com complexidade nas batidas, 8 caracteres alterados a cada mês. A orientação moderna da própria Microsoft eliminou a expiração frequente forçada, porque os usuários respondem com padrões previsíveis. Comprimento mais uma política sensata de bloqueio de conta é a combinação honesta.
Bloqueio de tela – o PC autônomo se bloqueia
Caminho: Configuração do usuário → Políticas → Modelos administrativos → Painel de controle → Personalização — habilite o protetor de tela, defina o tempo limite e ative proteger o protetor de tela com senha. Um gêmeo do lado do computador, Logon interativo: Limite de inatividade da máquina em Opções de segurança, faz o mesmo trabalho por máquina. Dez minutos é o ponto ideal do escritório: alguém sai de um PC desbloqueado conectado como contas ou RH, e qualquer pessoa que passa de repente é essa pessoa. Esta política fecha a falha de segurança mais barata do edifício.
Controle de armazenamento USB – Pen drives deixam de ser uma porta
Caminho: Configuração do Computador → Políticas → Modelos Administrativos → Sistema → Acesso ao Armazenamento Removível. Você pode negar leitura, gravação ou execução por classe de dispositivo ou negar todo o armazenamento removível em uma configuração. O motivo do escritório são os dados: um pen drive pode levar todo o banco de dados do cliente para fora do prédio ou levar um vírus para dentro.
Mapeamento de unidade – os compartilhamentos do servidor aparecem sozinhos
Caminho: Configuração do usuário → Preferências → Configurações do Windows → Mapas de unidade. Esta é uma Preferência de Política de Grupo, não uma política clássica: você aponta uma letra de unidade para um compartilhamento, escolhe a ação (Criar ou Atualizar) e usa a segmentação em nível de item se as contas devem receber uma unidade que as vendas não deveriam. Esta política retira o script mais antigo de TI – o arquivo em lote de logon – e a chamada diária “a unidade do servidor desapareceu”. Uma unidade mapeada mostrando uma cruz vermelha pode ser lida instantaneamente: um problema de rede ou de permissões, não um mistério de mapeamento.
Implantação de impressora — a impressora do escritório sem tocar no PC
Caminho: Preferências → Configurações do Painel de Controle → Impressoras (ou implantar no Gerenciamento de Impressão). O usuário faz login e a impressora do escritório simplesmente está lá, com o driver correto do servidor de impressão. Direcione as impressoras por UO ou grupo para que o terceiro andar pare de imprimir no andar térreo.
Controle do Windows Update – As atualizações acontecem de acordo com sua programação
Caminho: Configuração do Computador → Políticas → Modelos Administrativos → Componentes do Windows → Windows Update. Configurações principais: Configurar atualizações automáticas, Sem reinicialização automática com usuários conectados, prazos de instalação e — se o escritório usar o WSUS — o local do servidor de atualização da intranet. As configurações de adiamento permitem que um grupo piloto receba as atualizações primeiro e o restante do escritório alguns dias depois. Seja claro sobre o trabalho: esta política controla o tempo, e não se as atualizações acontecem. Defina uma janela de instalação após o expediente e um prazo de reinicialização que os usuários podem prever, e as atualizações se tornarão enfadonhas – que é exatamente o que você deseja.
Redirecionamento de pasta – Documentos ficam no servidor, não no PC
Caminho: Configuração do usuário → Políticas → Configurações do Windows → Redirecionamento de pasta. Documentos, Área de Trabalho e Imagens apontam silenciosamente para uma pasta no servidor de arquivos em vez do disco local. A recompensa aparece no pior dia: um PC morre, o usuário entra em qualquer outro PC e seus arquivos já estão lá – e a cópia do servidor fica dentro do seu backup normal.
AppLocker – Somente programas aprovados são executados
Caminhos: Configuração do computador → Configurações do Windows → Configurações de segurança → Políticas de controle de aplicativos → AppLocker ou as políticas de restrição de software mais antigas na mesma área. A ideia é uma lista de permissões: Windows, arquivos de programas e aplicativos aprovados pelo administrador podem ser executados; tudo o que um usuário baixa em seu próprio perfil não pode. Este é o item mais forte da lista e o que exige mais respeito.
Registro de auditoria – registre quem fez login e quem falhou
Caminho: Configuração do computador → Políticas → Configurações do Windows → Configurações de segurança → Configuração avançada de política de auditoria. No mínimo, audite o sucesso e a falha do logon em controladores de domínio e servidores membros. A auditoria responde à pergunta que todo escritório faz após um incidente: de quem foi a conta usada, de qual PC e quando?
Controle de administrador local – quase ninguém é administrador em seu próprio PC
Caminho: Preferências → Configurações do Painel de Controle → Usuários e Grupos Locais pode limpar o grupo Administradores em cada PC – remover contas de usuários perdidas, manter o grupo de suporte de TI. A peça complementar é o Windows LAPS, que dá a cada PC uma senha de administrador local exclusiva, rotacionada automaticamente e armazenada com segurança no Active Directory. O trabalho diário não precisa de direitos de administrador; o malware os herda. Remova os direitos permanentes de administrador, mantenha o LAPS durante o dia em que a TI precisar da senha local e metade dos incidentes em um escritório normal nunca acontecerão — mas mantenha uma rota de quebra de vidro testada antes da implementação.
Aplicar, atualizar e verificar em um PC de teste
Vincule o novo GPO à UO de teste e, em um cliente de teste, force uma atualização de política e comprove o resultado antes que alguém o receba. O primeiro comando aplica as políticas agora em vez de aguardar o próximo ciclo de atualização; a segunda escreve um relatório que lista exatamente quais GPOs foram aplicados – e quais foram negados, e por quê.
gpupdate /forcegpresult /h report.html🏷️Variáveis e palavras-chave de pesquisa de tópico
🎙️ Transcrição completa – toque para expandir
__TOK_35__
__TOK_36__
__TOK_37__
❓ Perguntas frequentes
Este tutorial é 100% gratuito para seguir?
__TOK_38__
Os iniciantes podem seguir este guia?
__TOK_39__
Onde posso fazer perguntas se tiver dúvidas?
__TOK_40__