Limpieza de GPO: la guía definitiva

Esta es una guía paso a paso para limpiar la política de grupo. En esta guía, le mostraré cómo revisar sus GPO para determinar si se pueden eliminar o no.

Pasos de limpieza de GPO:

• Paso 1. Crea una hoja de cálculo
• Paso 2. Copia de seguridad de los GPO
• Paso 3. Cómo encontrar GPO deshabilitados (AllsettingsDisabled)
• Paso 4. Cómo encontrar GPO no vinculados
• Paso 5. Cómo encontrar GPO vacíos (sin configuración de política configurada)
• Paso 6. Revisar los filtros WMI de GPO
• Paso 7. Revisar el filtrado de seguridad de GPO
• Paso 8. Revisar y limpiar los GPO

Nota: En esta guía, usaré los informes de políticas de grupo del kit de herramientas AD PRO. Esta herramienta hace que sea muy fácil generar un informe sobre todos los GPO y configuraciones. También puede usar PowerShell y la consola de administración de políticas de grupo para crear un informe, pero necesitará pasos adicionales.

Paso 1. Crea una hoja de cálculo

Qué asco, no otra hoja de cálculo. Lo sé, pero es una hoja de cálculo sencilla que le ayudará a identificar fácilmente los GPO que potencialmente pueden eliminarse.

Si no está utilizando AD Pro Toolkit, puede crear manualmente una hoja de cálculo con estos encabezados:

• Nombre del GPO
• Ubicación
• Estado
• Versión de usuario
• versión de computadora
• Filtro WMI
• Filtrado de seguridad

Usando el kit de herramientas, seleccione Informes -> Todos los GPO y haga clic en ejecutar. Luego haga clic en Exportar a CSV.

En la lista de informes, seleccione Todos los GPO y haga clic en ejecutar, luego exporte a CSV.

Esto creará una hoja de cálculo de todos sus GPO y varias configuraciones que usaremos para el proceso de limpieza.

Paso 2. Copia de seguridad de los GPO

Antes de realizar cambios en sus GPO, debe realizar una copia de seguridad de ellos.

Debe poder restaurar un GPO lo más rápido posible en caso de que algo se rompa después del proceso de limpieza. Consulte la guía de gpo de respaldo para conocer los pasos.

Paso 3. Cómo encontrar GPO deshabilitados (AllsettingsDisabled)

Los GPO deshabilitados son aquellos que tienen su estado establecido en "Todas las configuraciones deshabilitadas". Esto significa que los GPO no están haciendo nada. Incluso si el GPO está vinculado al sitio o a una unidad organizativa, el GPO no aplica ninguna configuración.

En la hoja de cálculo, resaltaré cualquier GPO en naranja que tenga el estado establecido en "AllSettingsDisabled". Resaltaré la configuración en amarillo para poder ver fácilmente por qué está marcado el GPO.

Puede ver arriba que tengo dos GPO "PSRemoting" y "FIPS" que están deshabilitados.

Alternativamente, puede enumerar todos los GPO deshabilitados ejecutando el informe "Todas las configuraciones de GPO deshabilitados".

En la consola de administración de políticas de grupo (GPMC), deberá abrir cada GPO, hacer clic en los detalles y buscar el estado del GPO.

Paso 4. Cómo encontrar GPO no vinculados

Los GPO no vinculados no están vinculados al sitio, dominio o unidad organizativa. Es un GPO que actualmente no estaría en uso. Es posible que un administrador haya creado el GPO pero nunca lo vinculó ni lo usó y luego eliminó el vínculo. Cualquiera que sea el caso, los GPO desvinculados no se utilizan actualmente.

En la hoja de cálculo, los GPO desvinculados tienen el campo de ubicación en blanco.

Puedes ver arriba que tengo varios GPO desvinculados.

Para encontrar GPO no vinculados en la consola GPMC, deberá hacer clic en cada GPO y mirar el cuadro de ubicación.

Alternativamente, use el kit de herramientas -> informe TODOS los GPO y revise los que no tienen nada en la columna Ubicación. Con AD Pro Toolkit, también puedo filtrar la columna de ubicación para mostrar solo los GPO que tienen la ubicación en blanco.

Paso 5. Cómo encontrar GPO vacíos

Los GPO vacíos son objetos de política de grupo que no tienen configuración de política. Cada vez que se modifica un GPO, se incrementa la versión de usuario o la versión de computadora. Si crea un nuevo GPO y no modifica ninguna configuración, la versión será 0. Desea encontrar todos los GPO que tengan tanto la versión de usuario como la versión de computadora configuradas en 0.

En la hoja de cálculo, encontré tres GPO que están vacíos.

En la consola GPMC, deberá abrir cada GPO y hacer clic en la pestaña de detalles para ver la versión del usuario y de la computadora.

Paso 6. Verifique el filtro GPO WMI

A continuación, revise cualquier GPO que utilice un filtro WMI. Un filtro GPO WMI se utiliza para apuntar a dispositivos específicos; por ejemplo, desea aplicar un GPO solo a computadoras que ejecutan Windows 10.

Es posible que tenga algunos GPO que utilicen un filtro WMI que ya no necesito. Por ejemplo, este filtro solo se dirige a computadoras con Windows 10 de 32 bits.

No tengo ningún sistema de 32 bits en mi red, por lo que no se utiliza este GPO. Destacaré esto en la hoja de cálculo. Para cualquier GPO que tenga un filtro WMI, deberá revisar la consulta WMI. para determinar si todavía es válido.

En GPMC puede ver qué GPO tienen un filtro WMI configurado haciendo clic en "Objetos de política de grupo".

Paso 7. Revisar el filtrado de seguridad de GPO

La última configuración de GPO que se debe revisar son los GPO que tienen configurado el filtrado de seguridad. De forma predeterminada, los GPO pueden ser procesados por el grupo de usuarios autenticados. Si alguien ha agregado un grupo o usuario al filtrado de seguridad, esto limitará el alcance del GPO.

Por ejemplo, tengo dos GPO que tienen algo distinto a "Usuarios autenticados". Los marcaré en la hoja de cálculo y los revisaré.

En el ejemplo anterior, el grupo "gpo_apply_block_control_panel" está configurado pero cuando reviso el grupo no tiene miembros. Al observar los permisos de delegación de GPO, los usuarios autenticados no tienen marcada la opción "Aplicar política de grupo". Esto significa que sólo los miembros del grupo "gpo_apply_block_control_pane" pueden procesar el GPO. Pero como el grupo no tiene miembros, no se utiliza el GPO.

Paso 8. Revisar y limpiar los GPO

Importante: No olvide hacer una copia de seguridad de sus GPO antes de eliminarlos.

Si completó todos los pasos anteriores, ahora debería tener una hoja de cálculo como la siguiente con una lista de GPO que potencialmente se pueden eliminar. El siguiente paso es revisar la hoja de cálculo con su equipo y luego obtener aprobación para eliminarlas.

En resumen, esto es lo que debe revisar para cada GPO:

• Ubicación=en blanco: son GPO que no están en uso porque no están vinculados a ningún objeto de dominio.
• Status=AllSettingsDisabled : estos son GPO que tienen la configuración de usuario y computadora deshabilitada, por lo que no se aplicaría ninguna configuración de política.
• userVersion y computerVersion=0: estos son GPO vacíos. Alguien creó un GPO pero no configuró ninguna configuración.
• Revisar filtro WMI: busque GPO que tengan un filtro WMI configurado. El filtro WMI limita qué dispositivos pueden aplicar el GPO.
• Filtrado de seguridad: el filtrado de seguridad puede limitar qué usuarios o computadoras pueden procesar un GPO. Es muy fácil modificar esto y evitar que funcione un GPO.

Resumen

Limpiar la política de grupo no es un proceso sencillo. Se necesitan varios pasos para revisar cada GPO y determinar si aún son válidos. AD Pro Toolkit ayuda con el proceso de limpieza creando un informe simple de todos sus GPO y configuraciones de estado. Si no está utilizando el kit de herramientas, aún puede usar PowerShell o GPMC para revisar manualmente cada GPO. Se necesitarán más pasos pero aún funciona.