Solución de problemas del dispositivo GPO
Bienvenido a una serie de siete publicaciones breves que expondrán todos los aspectos del GPO, también conocido como Objeto de política de grupo, el marco de Microsoft para la configuración automatizada del sistema operativo Windows.
Lea el artículo completo aquí o salte al artículo anterior utilizando el enlace al final de esta publicación.
Solución de problemas del dispositivo GPO
Obviamente, con toda la complejidad asociada con el procesamiento de GPO, eventualmente encontrará una situación en la que las computadoras no parecen reflejar su configuración de GPO. Existen diferentes métodos y herramientas para solucionar este problema.
Las siguientes secciones presentan algunas de las herramientas básicas utilizadas para solucionar problemas del dispositivo GPO.
Actualización de GPU
Puede activar el procesamiento de GPO en su sistema utilizando el comando GPUpdate. Utilice el parámetro /Force para garantizar el procesamiento completo y limite el alcance con el parámetro /Target, por ejemplo:
GPUpdate /Force /Target:Computer
Resultado GP
En los clientes, la herramienta número uno para solucionar problemas del dispositivo GPO es el comando GPResult. Toma varios parámetros de los cuales los más utilizados son /R y /Scope.
Como ejemplo, el siguiente comando le mostrará información del dispositivo GPO relacionada (únicamente) con la configuración de la computadora:
GPResult /R /Scope:Computer
Reemplace Computadora con Usuario para obtener solo información de GPO para la configuración del usuario. Omita por completo el parámetro /Scope para obtener información completa.
El resultado del comando anterior tiene varias secciones de información. Cada sección proporciona información valiosa para solucionar problemas de procesamiento de GPO.
Echemos un vistazo a las diferentes secciones y qué información proporciona:
CN=DC-01,OU=Domain Controllers,DC=gigacorp,DC=local
Last time Group Policy was applied: 8/10/2020 at 8:48:31 PM
Group Policy was applied from: DC-01.gigacorp.local
Group Policy slow link threshold: 500 kbps
Domain Name: GIGACORP
Domain Type: Windows 2008 or later
Información principal en esta sección:
- En qué unidad organizativa está ubicada su cuenta de computadora (en el momento del dispositivo GPO)
- A qué hora se aplicaron los GPO
- El DC desde el cual su computadora recibió la configuración de GPO
Esta información es particularmente útil si su cuenta de computadora se movió recientemente de una unidad organizativa a otra y la nueva configuración no se aplica.
Applied Group Policy Objects
-----------------------------
Default Domain Controllers Policy
Default Domain Policy
Computer Certificate Autoenroll
La información aquí es una lista de GPO que se aplicaron a su sistema. Obviamente, es muy importante comprender si recibe la configuración de los GPO que espera.
The following GPOs were not applied because they were filtered out
-------------------------------------------------------------------
802.1x LAN Authentication
Filtering: Denied (Security)
Local Group Policy
Filtering: Not Applied (Empty)
Aquí verá una lista de GPO que no se aplicaron debido al filtrado de seguridad. Esto le permite confirmar si el filtrado de seguridad que ha configurado realmente está funcionando.
The computer is a part of the following security groups
-------------------------------------------------------
BUILTIN\Administrators
Everyone
BUILTIN\Pre-Windows 2000 Compatible Access
BUILTIN\Users
Certificate Service DCOM Access
Windows Authorization Access Group
NT AUTHORITY\NETWORK
NT AUTHORITY\Authenticated Users
This Organization
DC-01$
Domain Controllers
NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS
Authentication authority asserted identity
Cert Publishers
Denied RODC Password Replication Group
System Mandatory Level
Y finalmente, una lista de los grupos de seguridad a los que pertenece su computadora. Esta información puede ayudarle a solucionar situaciones en las que el filtrado de seguridad no funciona.
Verifique nuevamente si su computadora es realmente miembro del grupo que está utilizando en su filtro de seguridad. Si el grupo no está allí, investigue si algún cambio reciente en la membresía del grupo se ha replicado en el controlador de dominio del cual recibió el GPO.
Conjunto resultante de políticas
Otra herramienta muy poderosa para solucionar problemas del dispositivo GPO es la herramienta Conjunto resultante de políticas (RSoP). RSoP le permite recopilar la información de procesamiento de GPO desde un sistema remoto y es parte de la herramienta GPMC:
Haga clic con el botón derecho en Resultados de la política de grupo y seleccione Asistente para resultados de la política de grupo. Luego haga clic en Siguiente y seleccione el sistema remoto que desea analizar:
Seleccione el usuario para el cual desea recopilar información de GPO, o no seleccione ningún usuario si solo está investigando la configuración de la computadora:
La herramienta RSoP le brindará toda la información que vimos en la herramienta GPResult en la pestaña Resumen. Las cosas se vuelven aún más interesantes cuando haces clic en la pestaña Detalles. Aquí encontrará una lista de todas las configuraciones aplicadas desde los GPO. Expanda cualquier sección para ver detalles sobre lo que se aplicó y de qué GPO proviene la configuración:
Resumen
Espero que este artículo le haya ayudado a eliminar cierta confusión sobre el procesamiento de GPO y la solución de problemas.
Con el filtrado de seguridad, puede probar fácilmente cualquier GPO nuevo sin afectar a los usuarios ni a los sistemas activos.
Complete el filtrado de seguridad de su GPO con el uso de Grupos Dinámicos. Nuestra herramienta gratuita le permitirá automatizar su configuración en función de los atributos del usuario y de la computadora.
Usando GPResult en el lado del cliente o del servidor RSoP, puedes solucionar rápidamente los errores de GPO y convertirte en el héroe del día ?
Las políticas de grupo también se pueden administrar con el módulo GroupPolicy para PowerShell. Usando PowerShell puedes realizar tareas que no son factibles de realizar manualmente.
Como ejemplo de cómo administrar GPO con PowerShell, consulte este artículo. Le muestra cómo analizar rápidamente cada GPO en su dominio para filtrado de seguridad y delegación personalizada, usando solo PowerShell y Excel.