15 mejores prácticas de políticas de grupo

Esta es la guía más completa sobre las mejores prácticas de políticas de grupo en la web.

En esta guía, compartiré mis configuraciones de política de grupo recomendadas y consejos de administración de GPO. Estas mejores prácticas simplificarán la administración de GPO, mejorarán la seguridad y el rendimiento de GPO.

Advertencia: La política de grupo no es única para todos. Cada entorno de Active Directory es diferente y no existe una solución única para la política de grupo. Es mejor planificar y probar cualquier cambio en la política de grupo antes de implementarla en todos los sistemas. Un pequeño cambio podría generar problemas importantes e impactar servicios comerciales críticos.

Mejores prácticas de GPO y configuraciones recomendadas

Recomiendo leer la lista completa a continuación, ya que algunas prácticas recomendadas pueden no tener sentido a menos que las lea todas.

1. No modifique la política de dominio predeterminada

Este GPO solo debe usarse para la configuración de políticas de cuentas, políticas de contraseñas, políticas de bloqueo de cuentas y políticas de Kerberos. Cualquier otra configuración debe colocarse en un GPO separado. La Política de dominio predeterminada se establece a nivel de dominio para que todos los usuarios y computadoras obtengan esta política. La política de dominio predeterminada está vinculada a la raíz del dominio.

Cuando coloca varias configuraciones de GPO en la política de dominio predeterminada, resulta muy difícil solucionar problemas y controlar la configuración de GPO. También puede afectar el rendimiento si el GPO tiene demasiadas configuraciones y cada usuario y computadora tiene que procesarlas. Es mejor utilizar GPO pequeños (consulte el consejo n.° 12) que meter todo en un GPO grande.

2. No modifique la política de controlador de dominio predeterminada

Este GPO solo debe contener la Política de Asignación de Derechos del Usuario y la Política de Auditoría. Cualquier otra configuración de los controladores de dominio debe establecerse en un GPO independiente.

La política de controlador de dominio predeterminado está vinculada a la unidad organizativa del controlador de dominio.

3. Un buen diseño de unidad organizativa (OU) hará su trabajo 10 veces más fácil

Un buen diseño de unidad organizativa facilita la aplicación y la resolución de problemas de la política de grupo. Es mejor crear una unidad organizativa para las computadoras y una unidad organizativa separada para los usuarios. Luego cree subunidades organizativas sobre cómo desea administrar sus objetos. Normalmente organizo objetos por departamento y funcionalidad.

Ejemplo de diseño de unidad organizativa:

Colocar usuarios y computadoras en unidades organizativas separadas facilita la aplicación de políticas informáticas a todas las computadoras y políticas de usuario solo a los usuarios.

Relacionado: 21 consejos eficaces para la administración de Active Directory

4. No establezca GPO a nivel de dominio

El único GPO que debe establecerse a nivel de dominio es la Política de dominio predeterminada. Todo lo establecido a nivel de dominio se aplicará a todos los objetos de usuario y computadora. Esto podría llevar a que se apliquen todo tipo de configuraciones a objetos que no desea. Es mejor aplicar las políticas a un nivel más granular.

5. Aplicar GPO a la unidad organizativa raíz

La aplicación de GPO en la raíz de una unidad organizativa permitirá que las subunidades organizativas hereden estas políticas. De esta manera, no es necesario vincular una política a cada unidad organizativa individual.

Si desea excluir unidades organizativas o un grupo de usuarios, tiene algunas opciones.

1. Utilice el filtrado de seguridad de GPO: la mejor opción.
2. Utilice la orientación a nivel de artículo
3. Aplique un GPO al grupo que deshabilita la política.

Excluir usuarios mediante el filtrado de seguridad de GPO.

Veamos un ejemplo. Tengo GPO que desactiva guardar contraseñas en el navegador Chrome, el GPO está vinculado a todos los usuarios.

¿Qué sucede si tengo usuarios en varios departamentos a los que no quiero que se les aplique esta política? La solución es utilizar el filtrado de seguridad de GPO.

Creo un grupo de seguridad, agrego usuarios al grupo y luego le niego a este grupo aplicar la política de grupo. Ahora todos los usuarios obtendrán el médico de cabecera excepto los usuarios del grupo de seguridad.

6. Evite el uso de la herencia de políticas de bloqueo y la aplicación de políticas

Si tiene una buena estructura de unidad organizativa, lo más probable es que pueda evitar el uso del bloqueo de la herencia de políticas y el uso de la aplicación de políticas. Me resulta mucho más fácil administrar y solucionar problemas de políticas de grupo sabiendo que ninguna de ellas está configurada en el dominio.

7. No desactive los GPO

Si un GPO está vinculado a una unidad organizativa y no desea que lo esté, elimínelo en lugar de deshabilitarlo. Eliminar el vínculo de una unidad organizativa no eliminará el GPO, solo elimina el vínculo de la unidad organizativa. Deshabilitar el GPO impedirá que se procese por completo en el dominio y esto podría causar problemas.

8. Utilice nombres de GPO descriptivos

Ser capaz de identificar rápidamente para qué sirve un GPO según el nombre facilitará mucho la administración de políticas de grupo. Darle a los GPO un nombre genérico como “configuración de computadora portátil” es demasiado genérico y confundirá a la gente. También invitará a otros administradores a volcar todas y cada una de las configuraciones en un solo GPO. Antes hay algunos nombres de GPO descriptivos:

• Usuario - Configuración del navegador
• Usuario - Configuración de Office 365
• Usuario - Bloquear PowerShell
• Computadora: bloqueo de pantalla activado
• Computadora: instale Adobe

Con solo mirar los nombres de GPO anteriores, tendrá una idea bastante clara de para qué se utilizan.

9. Acelere el procesamiento de GPO deshabilitando las configuraciones de usuario y computadora no utilizadas

Por ejemplo, tengo un GPO llamado configuración del navegador, solo tiene configuraciones de computadora configuradas y ninguna configuración de usuario, por lo que deshabilité la configuración de usuario para este GPO. Esto acelerará el procesamiento de políticas de grupo.

Para deshabilitar la configuración de computadora o usuario de un GPO:

1. Navegar a objetos de política de grupo
2. Haga clic derecho en un GPO y seleccione Estado del GPO
3. Seleccione una de las opciones.

10. Utilice el procesamiento de bucle invertido para casos de uso específicos

El procesamiento de bucle invertido, en pocas palabras, toma la configuración del usuario y limita esa configuración a una computadora a la que se aplica el GPO. Es muy útil pero también puede causar problemas si se usa incorrectamente. Un uso común del procesamiento de bucle invertido es en servidores de terminal y servidores Citrix. Los usuarios inician sesión en un servidor y es necesario aplicar configuraciones de usuario específicas cuando inician sesión solo en esos servidores. Necesitará crear un GPO, habilitar el procesamiento de bucle invertido y aplicarlo a la unidad organizativa que tiene los servidores.

11. Gestión de cambios de políticas de grupo

La política de grupo puede salirse de control si permite que todos sus administradores realicen los cambios que consideren necesarios.

La gestión del cambio puede ser terrible y realmente puede ralentizar los proyectos.

No estoy diciendo que todos los cambios en las políticas del grupo deban pasar por un proceso formal de gestión de cambios, pero deben discutirse con la gerencia y documentarse.

Un pequeño cambio en el GPO podría enviar una avalancha de llamadas al servicio de asistencia técnica. Sucede, por lo que es mejor discutir y documentar los cambios en los GPO.

12. Utilice GPO pequeños para simplificar la administración

Puede ser fácil caer en la trampa de meter todo en un solo GPO.

Yo también soy culpable de esto y gestionarlo se convierte en un gran dolor de cabeza.

Realmente no hay ninguna razón para hacer esto, muchos GPO pequeños no afectan el rendimiento. Los GPO pequeños facilitan diez veces la resolución de problemas, la gestión, el diseño y la implementación.

A continuación se muestran algunas formas de dividir las GPO en políticas más pequeñas:

• Configuración del navegador
• Configuraciones de seguridad
• Configuración de energía
• Configuración de Microsoft Office
• Configuración de la red
• Asignaciones de unidades
• Configuración de energía
• Bitlocker
• bloqueador de aplicaciones
• Reglas del cortafuegos
• etcétera…..

13. Mejores prácticas para el rendimiento de las políticas de grupo

A continuación se muestran algunas configuraciones que pueden provocar tiempos de inicio y de inicio de sesión lentos.

• Scripts de inicio de sesión que descargan archivos grandes
• Scripts de inicio que descargan archivos grandes
• Mapeo de viajes a casa que están lejos
• Implementar enormes controladores de impresora sobre las preferencias de políticas de grupo
• Uso excesivo del filtrado de políticas de grupo por membresía del grupo AD
• Usar filtros WMI excesivos
• Montones, montones de GPO vinculados a un usuario o computadora a través de un enlace lento.

14. Consejos para solucionar problemas de políticas de grupo

Sepa cómo utilizar los comandos RSop y gpresult para verificar y solucionar problemas de la política de grupo. Al solucionar problemas, necesita una forma de verificar que se estén aplicando los GPO y verificar exactamente qué políticas se aplican. Estos dos comandos son un gran salvavidas. He escrito un artículo instructivo completo para cada comando, así que asegúrese de consultarlos.

15. Copia de seguridad de GPO

Si no está haciendo una copia de seguridad de Active Directory o haciendo una copia de seguridad del estado del sistema, entonces necesita comenzar a hacer una copia de seguridad de sus GPO. Es posible que necesite recuperar un GPO eliminado o restaurar la configuración de los GPO existentes. Consulte mi guía completa sobre cómo realizar copias de seguridad y restaurar objetos de políticas de grupo.

Para obtener más información sobre la política de grupo, consulte mi guía definitiva para la gestión de políticas de grupo.

Espero que este artículo te haya resultado útil. Si tienes alguna pregunta sobre la política del grupo, deja un comentario a continuación.

Temas: Política de grupo