Solución de problemas: directiva de grupo (GPO) que no se aplica a los clientes

En esta guía de solución de problemas de GPO, intentaré informarle sobre las razones típicas por las que un determinado objeto de política de grupo (GPO) podría no aplicarse a una unidad organizativa (OU) o una computadora/usuario de dominio específico. Creo que este artículo será útil tanto para los administradores de políticas de grupo de AD novatos como para los experimentados a fin de comprender cómo funcionan las políticas de grupo y la arquitectura de GPO. El artículo describe problemas potenciales con la aplicación de GPO relacionados con la configuración de políticas a nivel de dominio, así como la solución de problemas de GPO en clientes de Windows. Casi todas las configuraciones descritas en el artículo se configuran mediante la Consola de administración de directivas de grupo (

GPMC.msc

).

Administración del alcance de GPO

Si un parámetro de política específico no se aplica a un cliente, verifique el alcance de su GPO. Si configura la configuración en la sección Configuración de la computadora, su Política de grupo debe estar vinculada a una unidad organizativa con objetos de computadora. Lo mismo ocurre si establece sus parámetros en la sección Configuración de usuario.

Además, asegúrese de que el objeto al que está tratando de aplicar su GPO esté en las computadoras correctas o en el contenedor AD (OU) de los usuarios. Puede buscar por dominio usando el ADUC (

dsa.msc

) consola. La unidad organizativa en la que se encuentra el objeto se especifica en la pestaña Objeto.

Significa que el objeto de destino debe estar ubicado en la unidad organizativa a la que está vinculada la política (o en un contenedor AD anidado).

¿Cómo usar el filtrado de seguridad de directivas de grupo para aplicar GPO a grupos seleccionados?

Verifique la configuración de Filtrado de seguridad en su política. De forma predeterminada, todos los objetos GPO nuevos en el dominio tienen habilitados los permisos para el grupo Usuarios autenticados. Este grupo incluye todos los usuarios y equipos del dominio. Significa que la política se aplicará a todos los usuarios y equipos dentro de su alcance.

En algunos casos, desea que un GPO específico se aplique solo a miembros de un grupo de seguridad de dominio específico (o usuarios/equipos específicos). Para hacer esto, debe eliminar el grupo Usuarios autenticados del filtro de seguridad y agregar el grupo objetivo o las cuentas al filtro.

Si ha asignado un filtro de seguridad a un grupo, asegúrese de que el objeto que desea sea miembro de ese grupo de AD.

Además, verifique que el grupo que agregó al Filtrado de seguridad tenga permisos Leer y Aplicar política de grupo con la opción Permitir marcada en GPO -> Delegación -> pestaña Avanzado.

Si está utilizando filtros de seguridad de GPO no estándar, verifique que no haya una prohibición explícita sobre el uso de GPO para grupos objetivo (Denegar).

Filtrado WMI de GPO de directiva de grupo

Puede utilizar filtros WMI especiales en el GPO. Esto permite aplicar una política a sus equipos en función de alguna consulta WMI. Por ejemplo, puede crear un filtro GPO WMI para aplicar una política solo a computadoras con la versión específica de Windows, a computadoras en la subred de IP específica, solo a computadoras portátiles, etc.

Cuando utilice el filtrado WMI de directiva de grupo, asegúrese de que su consulta WMI sea correcta. Debe seleccionar solo los dispositivos que necesita y sus computadoras de destino no están excluidas. Puede probar su filtro WMI en cualquier computadora usando PowerShell:

gwmi -Query ‘select * from Win32_OperatingSystem where Version like "10.%" and ProductType="1"‘

Si la consulta devuelve algún dato, el filtro WMI se aplicará a esta computadora.

Deshabilitar la configuración de usuario o computadora en el objeto de directiva de grupo

Como ya mencionamos, cada GPO tiene dos secciones independientes:

• Configuración de la computadora: configuración aplicada a la computadora;

• Configuración de usuario: configuración de usuario.

Si su GPO configura solo la configuración del usuario o solo la configuración de la computadora, puede deshabilitar la sección de políticas no utilizadas. Esto reducirá el tráfico de GPO y le permitirá reducir el tiempo de procesamiento de GPO en los clientes.

Verifique el estado del GPO en la pestaña Detalles de las propiedades de la política en

GPMC.msc

. Anote el valor en la lista desplegable Estado de GPO.

Como puede ver, hay 4 opciones disponibles:

• Todas las configuraciones deshabilitadas: todas las configuraciones de políticas están deshabilitadas (no se aplicará GPO);

• Configuración de la configuración de la computadora deshabilitada: la configuración solo de la configuración de la computadora de su GPO no se aplica;

• Ajustes de configuración de usuario deshabilitados: los ajustes de la sección de configuración de usuario no se aplican;

• Habilitado: todas las configuraciones de GPO se aplican a los objetos AD de destino (el valor predeterminado).

Delegación de directivas de grupo

Los permisos configurados para una política se muestran en la pestaña Delegación del GPO. Aquí puede ver qué grupos pueden cambiar la configuración de GPO y si se les aplica la política. Puede otorgar privilegios para administrar GPO desde esta consola o usar el Asistente de delegación de Active Directory en ADUC. Si hay un permiso de acceso "Controladores de dominio empresariales", esta política se puede replicar entre los controladores de dominio de Active Directory (tenga en cuenta si tiene algún problema de replicación de GPO entre DC). Los permisos en la pestaña Delegación coinciden con los permisos NTFS asignados al directorio de políticas en la carpeta SYSVOL.

Bloquear la herencia y la aplicación en el enlace de directiva de grupo

La herencia es uno de los conceptos principales de la directiva de grupo. De forma predeterminada, las políticas de alto nivel se aplican a todos los objetos anidados en la jerarquía del dominio. Sin embargo, un administrador puede bloquear la aplicación de todas las políticas heredadas a la unidad organizativa específica. Para hacerlo, haga clic con el botón derecho en la unidad organizativa en GPMC y seleccione Bloquear herencia.

Las unidades organizativas con la opción de herencia bloqueada habilitada se marcan con un signo de exclamación azul en la consola.

Si no se aplica una directiva de grupo a un cliente, verifique si está en la unidad organizativa con la opción de herencia bloqueada.

Tenga en cuenta que las políticas de dominio con la propiedad Obligatoria habilitada se aplican incluso a las unidades organizativas con la configuración de herencia bloqueada (puede ver las políticas heredadas aplicadas al contenedor en la pestaña Herencia de política de grupo).

Orden de procesamiento de directivas y ámbitos de GPO (LSDOU)

Para recordar el orden en que se aplican las políticas de grupo en el dominio, recuerde la abreviatura LSDOU. Los GPO se aplican a los clientes en el siguiente orden:

1. Políticas de equipo local (Local) configuradas en la consola gpedit.msc del editor de GPO local (si están configuradas incorrectamente, puede restablecerlas);

2. GPO a nivel de sitio (Sitio);

3. GPO a nivel de dominio (Dominio).

4. GPO del nivel de unidad organizativa (Unidad organizativa).

Las últimas políticas tienen la más alta prioridad. Significa que si habilita alguna configuración de Windows en el nivel de dominio, puede ser deshabilitada por otra política en el nivel de OU (ganará la política más cercana al objeto en la jerarquía de AD).

Cuando se usa la opción Forzada, gana la política que se encuentra más arriba en la jerarquía del dominio (por ejemplo, si la Política de dominio predeterminada tiene habilitada la opción Forzada, tendrá una prioridad más alta que cualquier otro GPO).

Un administrador también puede cambiar el orden de procesamiento de políticas mediante la consola de GPMC. Para hacerlo, seleccione una unidad organizativa y vaya a la pestaña Objetos de directiva de grupo vinculados. Hay una lista de GPO aplicados a esta unidad organizativa con la prioridad que se muestra. Las pólizas se procesan en orden inverso (de abajo hacia arriba). Significa que una política con Orden de enlace 1 se aplicará en último lugar. Puede cambiar la prioridad de GPO usando las flechas en la columna izquierda y mover una política hacia arriba o hacia abajo en la lista.

Administración de vínculos de GPO habilitados

Cualquier objeto GPO vinculado a una unidad organizativa de AD puede tener la opción Vincular habilitado activada o desactivada. Si el enlace está deshabilitado, su icono se vuelve gris. Cuando el enlace está deshabilitado, la política no se aplica a los clientes, pero el enlace al objeto GPO no se elimina de la jerarquía del dominio. Puede habilitar el enlace GPO en cualquier momento.

Modo de procesamiento de bucle invertido de directiva de grupo explicado

Por ejemplo, si aplica una política que tiene configuraciones configuradas en la sección Configuración de usuario a una unidad organizativa con computadoras, estas configuraciones no se aplicarán al usuario sin usar un bucle invertido. El modo de procesamiento de bucle invertido está habilitado en Configuración del equipo -> Plantillas administrativas -> Sistema -> Política de grupo -> Configurar el modo de procesamiento de bucle invertido de la política de grupo del usuario.

Esta política de procesamiento de loopback tiene dos modos posibles:

• Combinar: los GPO basados en la ubicación del usuario se aplican a la computadora y luego se aplican los GPO vinculados a la computadora. Si hay conflictos entre la OU del usuario y las políticas de la OU del equipo, prevalecerán las políticas del nivel de configuración del equipo.

  Tenga en cuenta que cuando se utiliza el procesamiento de bucle invertido con el modo de fusión, la política se ejecuta dos veces. Considere esto cuando use secuencias de comandos de inicio de sesión.

• Reemplazar: solo se aplicarán al usuario las políticas asignadas a la unidad organizativa que contiene la computadora en la que el usuario inició sesión.

Usar el asistente de modelado de directivas de grupo

Puede usar la función Modelado de GPO en la Consola de administración de políticas de dominio (

gpmc.msc

). El modelado de GPO permite al administrador obtener las políticas resultantes que se aplicarán a un objeto de Active Directory específico.

Vaya a la sección Modelado de directivas de grupo y ejecute el Asistente de modelado de directivas de grupo.

Seleccione la unidad organizativa o el usuario/equipo específico para el que desea obtener el informe de política resultante.

Luego siga las preguntas del Asistente de modelado de GPO. Como resultado, recibirá un informe (consulte la pestaña Detalles), que muestra qué políticas se aplican al objeto AD y cuáles no. Si se aplica o rechaza una política debido a un filtro GPO, esto será visible en el informe.

Habilitar registro de depuración de preferencias de directiva de grupo

En las versiones modernas de Active Directory, hay una extensión adicional de Política de grupo: Preferencias de política de grupo (GPP). GPP le permite aplicar configuraciones adicionales utilizando las extensiones del lado del cliente de GP. Por ejemplo, a través de GPP, puede:

• Implementar impresoras a través de GPO;

• Agregue usuarios al grupo de administradores locales en una computadora de dominio;

• Asignar unidades de red;

• Implementar la configuración del registro;

• Copiar carpetas y archivos a las computadoras de los usuarios;

• Etc.

Para solucionar problemas de Preferencias de directiva de grupo, puede utilizar un modo de registro especial: Seguimiento de preferencias de directiva de grupo.

Puede habilitar este modo a través del parámetro en la sección Configuración de la computadora -> Políticas -> Plantillas administrativas -> Sistema -> Política de grupo -> Registro y seguimiento. Hay opciones de registro separadas para diferentes parámetros GPP.

Por ejemplo, quiero comprobar cómo se aplica un parámetro de registro con configuración de proxy a través de un GPO. Para hacer esto, habilito la opción Configurar registro y seguimiento de preferencias de registro. Aquí puede configurar los parámetros de registro y depuración y el tamaño del registro.

Después de aplicar la política al cliente, abra el

C:\ProgramData\GroupPolicy\Preference\Trace\Computer.log

para obtener el estado detallado del GPP.

Deshabilite esta opción de GPO después de que termine de depurar GPP.

Además, tenga en cuenta que GPP tiene opciones adicionales de orientación a nivel de artículo para filtrar cuando se aplica una política.

Solución de problemas de GPO aplicados en clientes de Windows

El resultado,

rsop.msc

y el Visor de eventos de Windows se utilizan para solucionar problemas y depurar la directiva de grupo en el lado del cliente. Las dos primeras herramientas proporcionan el conjunto resultante de políticas que se aplicaron en el dispositivo Windows.

Para obtener un informe simple sobre los GPO aplicados en la computadora, ejecute el comando:

gpresult /r

El comando devolverá una lista de objetos de política de grupo aplicados y GPO que no se aplicaron. La lista de GPO filtrados puede contener los siguientes elementos:

• No aplicado (vacío): la política está asignada pero no contiene configuraciones;

• Denegado (filtro WMI): la política no se aplicó porque el filtro WMI no coincide con esta computadora;

• Denegado (Seguridad): la política de grupo ACL no tiene permisos para aplicar el GPO a este objeto;

• Deshabilitado (GPO): la sección Configuraciones de la computadora o del usuario está deshabilitada en la configuración de GPO.

Para obtener un informe HTML con el GPO resultante, use el comando:

gpresult /h c:\reports\gpreport.html /f

El informe gpresult RSoP HTMP contiene errores de GPO, el tiempo de procesamiento de ciertas políticas y CSE, y otra información útil. Esto le ayuda a comprender por qué algunos GPO se procesan durante demasiado tiempo. Este informe muestra qué configuración de directiva se aplicó y por qué GPO específicos.

El cliente de directiva de grupo (

gpsvc

) el servicio debe estar ejecutándose en Windows para poder procesar los GPO. Verifique que el servicio se haya iniciado usando PowerShell:

Get-Service gpsvc

También debe recordar cómo se actualiza la Política de grupo en Windows. De forma predeterminada, los GPO se actualizan en segundo plano cada 90 minutos + una compensación de tiempo aleatoria de 0 a 30 minutos. Sin embargo, un administrador puede cambiar este intervalo utilizando la opción "Establecer intervalo de actualización de directiva de grupo para equipos" en Configuración del equipo -> Plantillas administrativas -> Sistema -> Directiva de grupo en el GPO.

Puede usar el Visor de eventos para buscar eventos de procesamiento de GPO. Filtre el registro del sistema por fuente GroupPolicy (Microsoft-Windows-GroupPolicy). Además, eche un vistazo de cerca a los eventos en los Registros de aplicaciones y servicios -> Microsoft -> Windows -> Política de grupo -> Operacional.

Algunos consejos adicionales al depurar GPO:

• Al analizar las políticas de contraseñas de dominio, tenga en cuenta que solo se puede configurar una política de contraseñas de dominio mediante GPMC (generalmente en la Política de dominio predeterminada). Use las Políticas de contraseña detalladas si necesita usar políticas de bloqueo de cuentas y contraseñas separadas para usuarios o grupos específicos;

• También recomiendo utilizar la herramienta Microsoft AGPM (Advanced Group Policy Management), que permite mantener el control de versiones de los GPO y las reglas para su aprobación;

• Utilice el Almacén central de directivas de grupo para las plantillas ADMX. En este caso, no necesitará implementar manualmente los archivos admx de la directiva de grupo en todas las computadoras.

En conclusión, recomendaré mantener la estructura de su GPO lo más simple posible y no crear políticas innecesarias. Utilice un esquema de nomenclatura de política transparente. El nombre del GPO debe indicar claramente para qué sirve.