Deshabilite el guardado de contraseña en Chrome usando la política de grupo

En esta guía, aprenderá cómo impedir que los usuarios guarden contraseñas en el navegador Chrome mediante la Política de grupo.

Le mostraré cómo deshabilitar el guardado de contraseñas para todos los usuarios y para usuarios específicos.

Tabla de contenidos:

GPO Deshabilitar el guardado de contraseña de Chrome para todos los usuarios
GPO deshabilita la contraseña de Chrome para usuarios específicos
Eliminar las contraseñas de Chrome guardadas existentes (secuencia de comandos de PowerShell)

GPO Deshabilitar el guardado de contraseña de Chrome para todos los usuarios

Estos son los pasos para deshabilitar el guardado de contraseñas de Chrome para todos los usuarios del dominio.

Paso 1: Instale las plantillas de políticas de grupo de Chrome

El primer paso es descargar e instalar las plantillas de política de grupo de Chrome.

Haga clic aquí para descargar las plantillas ADM/ADMX.

A continuación, extraiga el archivo zip descargado y abra la carpeta extraída. Deberías ver las carpetas de los archivos adm/admx.

A continuación, inicie sesión en su controlador de dominio y siga los pasos a continuación para instalar las plantillas.

Instalar archivos ADMX
En la carpeta admx, copie y pegue los dos archivos admx (chrome.admx y google.admx) en c:\windows\PolicyDefinitions en su controlador de dominio.

Instalar archivos ADML
Busque la carpeta de su idioma (la mía es en-US), copie y pegue los dos archivos adml (chrome.adml y google.adml) en la misma carpeta de idioma en c: \windows\PolicyDefinitions en su controlador de dominio.

Las plantillas de GPO de Chrome ahora deberían estar instaladas.

Abra el editor de políticas de grupo y, desde un GPO nuevo o existente, verifique que las plantillas de Chrome estén instaladas. Aparecerán en políticas -> Plantillas administrativas - > google tanto para la configuración de la computadora como del usuario.

Consejo profesional: Es más fácil administrar e instalar plantillas de políticas de grupo utilizando el almacén central de políticas de grupo. Esto también permite a los administradores utilizar las mismas plantillas de GPO y cargarlas desde varias computadoras. Para obtener más información, consulte mi guía sobre Cómo configurar el Almacén central de políticas de grupo.

Paso 2: crear una política de GPO de contraseña de Chrome

Con las plantillas de GPO de Chrome instaladas, el siguiente paso es crear la política para deshabilitar el guardado de contraseñas.

1. Cree un nuevo GPO y vincúlelo a una unidad organizativa (OU) que contenga todos los usuarios. En mi dominio, todos los usuarios están en la unidad organizativa de usuarios de ADPRO.

Asigne un nombre al nuevo GPO. Llamé al mío "Usuario - Configuración de Chrome".

2. Establezca las siguientes políticas de configuración de usuario:

Habilitar guardar contraseñas en el administrador de contraseñas configurado como deshabilitado.

Configuración de usuario -> Políticas -> Plantillas administrativas -> Google Chrome -> Administrador de contraseñas

Habilitar Autocompletar para direcciones configurado como deshabilitado.

Configuración de usuario -> Políticas -> Plantillas administrativas -> Google Chrome

Habilitar Autocompletar para tarjetas de crédito configurado como deshabilitado

Configuración de usuario -> Políticas -> Plantillas administrativas -> Google Chrome

Importar contraseñas guardadas desde el navegador predeterminado en la primera ejecución configurado como deshabilitado.

Configuración de usuario -> Políticas -> Plantillas administrativas -> Google Chrome

Deshabilitar la sincronización de datos con Google configurado como habilitado.

Configuración de usuario -> Políticas -> Plantillas administrativas -> Google Chrome

Eso completa la configuración de GPO.

Paso 3: Actualización/reinicio de GPO

Con el GPO creado, ejecute gpupdate en una computadora o reinícielo para que se aplique la política.

Aquí hay una captura de pantalla que muestra el administrador de contraseñas del navegador habilitado, esto es antes de aplicar el GPO.

Después de aplicar el GPO, revisaré Chrome y veré si el administrador de contraseñas está deshabilitado. Si está deshabilitado a través de GPO, el usuario no podrá guardar contraseñas en el navegador ni activar el administrador de contraseñas.

GPO deshabilita el guardado de contraseñas de Chrome para usuarios específicos

Si desea deshabilitar el guardado de contraseñas de Chrome para usuarios o grupos específicos, siga estos pasos.

Nota: Estoy usando la misma política de GPO del ejemplo anterior. La única diferencia en este ejemplo es que estoy usando el filtrado de seguridad de GPO para limitar a qué usuarios se aplica el GPO.

Paso 1: cree un nuevo grupo de seguridad de Active Directory.

Por ejemplo, crearé un nuevo grupo de seguridad llamado "GPO-Disable-Chrome-Password".

A continuación, agregue los usuarios al grupo al que desea aplicar el GPO.

Agregué tres usuarios de varios departamentos.

Abel Evans
Adán Reed
Alma Martín

Paso 2: agregue el grupo de seguridad al filtrado de seguridad del GPO.

En la pestaña de alcance del GPO, haga clic en el botón "Agregar" en Filtrado de seguridad.

A continuación, agregue el grupo de seguridad creado en el paso 1. Para mí, este es mi grupo "GPO-disable-chrome-password".

Luego, haga clic en la pestaña de delegación en la parte superior.

A continuación, haga clic en el botón avanzado en la parte inferior derecha.

Seleccione "Usuarios autenticados" y desmarque Permitir para "Aplicar política de grupo"

Haga clic en Aceptar.

Ahora el GPO está configurado para aplicarse únicamente al grupo de seguridad configurado. A cualquier usuario que sea miembro del grupo se le aplicará el GPO, a todos los demás usuarios se les negará (filtrado por seguridad) el GPO.

Lo demostraré.

Iniciaré sesión en una computadora como "Adam S Reed" (el usuario es miembro del grupo de seguridad configurado). Usaré el comando gpresult para verificar que se esté aplicando el GPO.

Arriba puede ver que se aplica el GPO "Usuario - Configuración de Chrome".

Cuando abro el navegador Chrome, el administrador de contraseñas está deshabilitado.

Ahora iniciaré sesión en la computadora como "Alan Keys", un usuario que no forma parte del grupo de seguridad.

Puede ver en la captura de pantalla a continuación que el GPO “Usuario - Configuración de Chome” no se aplicó (denegado).

Cuando abro el navegador Chrome con el inicio de sesión de este usuario, el administrador de contraseñas de Chrome está habilitado.

Así es como puede aplicar fácilmente un GPO a un grupo específico de usuarios.

Eliminar las contraseñas de Chrome guardadas existentes

Desafortunadamente, deshabilitar el administrador de contraseñas no elimina las contraseñas almacenadas existentes. Para los usuarios nuevos, esto no es un problema, pero si aplica esta política a los usuarios existentes, es posible que desee tomar medidas adicionales.

Para eliminar las contraseñas almacenadas existentes, deberá eliminar un archivo de "Datos de inicio de sesión" del perfil de cada usuario. Los archivos se encuentran en C:\Users\username\AppData\Local\Google\Chrome\User Data\Default.

La mala noticia es que no existe una configuración de GPO para eliminar este archivo. Deberá crear una secuencia de comandos y utilizar comandos remotos como PsExec o el comando de invocación de PowerShell para eliminar este archivo de computadoras remotas.

Aquí hay un script que eliminará el archivo de datos de inicio de sesión de todos los perfiles en una computadora. Asegúrese de probar esto antes de ejecutarlo en computadoras de producción.

$users = Get-ChildItem -Path c:\users -Directory
ForEach ($user in $users) {    
remove-item "C:\Users\$user.name\AppData\Local\Google\Chrome\User Data\Default\Login Data" -Force 
}

Si desea saber por qué es malo guardar contraseñas en los navegadores, consulte estos dos artículos.

El malware Redline muestra por qué las contraseñas no deberían guardarse en los navegadores
Administradores de contraseñas del navegador: seguridad defectuosa, por diseño

Si tiene preguntas o comentarios, publique un comentario a continuación.