Actualización de la configuración de directiva de grupo en equipos de dominio de Windows
En este artículo, mostraremos cómo actualizar la configuración de la Política de grupo (GPO) en computadoras con Windows en un dominio de Active Directory: cómo actualizar (actualizar) las Políticas de grupo automáticamente, cómo usar el
GPUpdatecomando, cómo actualizarlos de forma remota mediante la Consola de administración de directivas de grupo (
GPMC.msc) o el
Invoke-GPUpdateCmdlet de PowerShell.
¿Cómo cambiar el intervalo de actualización de la política de grupo?
Antes de que la nueva configuración que ha establecido en una directiva de grupo (GPO) local o de dominio se aplique a los clientes de Windows, el servicio de cliente de directiva de grupo debe leer las políticas y realizar cambios en la configuración de Windows. El proceso se denomina Actualización de directiva de grupo. La configuración de GPO se actualiza cuando la computadora arranca, el usuario inicia sesión y se actualiza automáticamente en segundo plano cada 90 minutos + un intervalo de tiempo aleatorio de 0 a 30 minutos (significa que la configuración de la política definitivamente se aplicará en los clientes en 90 a 120 minutos después de que haya actualizado los archivos de GPO en el controlador de dominio).
De forma predeterminada, los controladores de dominio actualizan la configuración de GPO con más frecuencia: cada 5 minutos.
Puede cambiar el intervalo de actualización de GPO mediante la opción Establecer intervalo de actualización de directiva de grupo para equipos ubicada en Configuración del equipo -> Plantillas administrativas -> Sistema -> sección Política de grupo del GPO.
Habilite la política y configure el tiempo (en minutos) para las siguientes opciones:
Esta configuración le permite personalizar la frecuencia con la que se aplica la política de grupo a las computadoras (0 a 44640 minutos), la frecuencia con la que el cliente debe actualizar la configuración de GPO en segundo plano. Si establece 0 aquí, las políticas se actualizarán cada 7 segundos (no vale la pena hacerlo);
Este es un tiempo aleatorio agregado al intervalo de actualización para evitar que todos los clientes soliciten la Política de grupo al mismo tiempo (0 a 1440 minutos) es un valor máximo de un intervalo de tiempo aleatorio agregado como compensación al parámetro anterior (usado para reducir la cantidad de llamadas simultáneas del cliente al DC para descargar archivos GPO).
Tenga en cuenta que la actualización frecuente de GPO da como resultado el crecimiento del tráfico a los controladores de dominio y conduce a una mayor carga de la red.
Uso del comando GPUpdate.exe para forzar la actualización de la configuración de GPO
Todos los administradores conocen el comando gpupdate.exe que permite actualizar la configuración de la Política de grupo en una computadora. Para hacerlo, la mayoría utiliza el
gpupdate /forcecomando sin ninguna vacilación. El comando obliga a su computadora a leer todos los GPO del controlador de dominio y volver a aplicar todas las configuraciones. Esto significa que cuando se usa la tecla forzar, el cliente se conecta al controlador de dominio para recuperar los archivos para TODAS las políticas que lo tienen como objetivo. Puede resultar en una mayor carga en su red y controlador de dominio.
Un simple
gpudateEl comando sin ningún parámetro solo aplica configuraciones de GPO nuevas y modificadas.
Si ha tenido éxito, aparece el siguiente mensaje:
Updating policy...
Computer Policy update has completed successfully.
User Policy update has completed successfully.
Si no se han aplicado algunas políticas o configuraciones, use el comando gpresult para diagnosticar el problema y siga las instrucciones del artículo Problemas comunes que hacen que la política de grupo no se aplique
Puede actualizar solo la configuración de GPO del usuario:
gpupdate /target:usero solo la configuración de la política de la computadora:
gpupdate /target:computer /forceSi algunas políticas no se pueden actualizar en segundo plano, gpupdate puede cerrar la sesión del usuario actual:
gpupdate /target:user /logoffO reinicie una computadora (si los cambios de GPO solo se pueden aplicar cuando se inicia Windows):
gpupdate /Boot¿Cómo forzar una actualización remota de GPO desde la Consola de administración de directivas de grupo (GPMC)?
En Windows Server 2012 y versiones posteriores, puede actualizar la configuración de la directiva de grupo en los equipos del dominio de forma remota mediante el
GPMC.msc(Consola de administración de directivas de grupo).
En Windows 10, deberá instalar el RSAT para usar la consola GPMC:
Add-WindowsCapability -Online -Name Rsat.GroupPolicy.Management.Tools~~~~0.0.1.0Luego, después de cambiar cualquier configuración, o crear y vincular un nuevo GPO, basta con hacer clic con el botón derecho en la Unidad organizativa (OU) que desee en GPMC y seleccionar Actualización de directiva de grupo en el menú contextual. En una nueva ventana, verá la cantidad de computadoras en las que se actualizará el GPO. Confirme la actualización forzada de las políticas haciendo clic en Sí.
Luego, el GPO se actualizará de forma remota en cada computadora en la unidad organizativa una por una, y obtendrá el resultado con el estado de actualización de la política de grupo en las computadoras (Correcto/Error).
Esta función crea una tarea en el Programador de tareas con el
GPUpdate.exe /forcecomando para cada usuario conectado en la computadora remota. La tarea se ejecuta en un período de tiempo aleatorio (hasta 10 minutos) para reducir la carga de la red.
Para que la función de actualización remota de GPO de GPMC funcione en un cliente, se deben cumplir las siguientes condiciones:
El puerto TCP 135 debe estar abierto en las reglas del Firewall de Windows Defender;
Los servicios de Instrumentación de administración de Windows y Programador de tareas deben estar habilitados.
Si una computadora está apagada o un firewall bloquea el acceso a ella, el '
The remote procedure call was canceled. Error Code 8007071aAparece el mensaje junto al nombre de la computadora.
En realidad, la característica funciona igual que si hubiera actualizado la configuración de GPO manualmente usando el
GPUpdate /forcecomando en cada computadora.
Invoke-GPUpdate: Forzar la actualización de la política de grupo remoto a través de PowerShell
También puede llamar a la actualización remota de GPO en computadoras usando el cmdlet de PowerShell Invoke-GPUpdate (que forma parte del módulo de administración de políticas de grupo de RSAT). Por ejemplo, para actualizar de forma remota la configuración de la política de usuario en una computadora específica, puede usar el siguiente comando:
Invoke-GPUpdate -Computer "frparsrv12" -Target "User"Si ejecuta el cmdlet Invoke-GPUpdate sin ningún parámetro, actualizará la configuración de GPO en la computadora actual (como gpudate.exe).
Junto con el cmdlet Get-ADComputer, puede actualizar GPO en todas las computadoras en una unidad organizativa específica:
Get-ADComputer -filter * -Searchbase "OU=Computes,OU=Mun,OU=DE,dc=a-d,dc=com" | foreach{ Invoke-GPUpdate -computer $_.name -force}o en todas las computadoras que cumplan con el requisito específico (por ejemplo, en todos los hosts de Windows Server en un dominio):
Get-ADComputer -Filter {enabled -eq "true" -and OperatingSystem -Like '*Windows Server*' }| foreach{ Invoke-GPUpdate -computer $_.name -RandomDelayInMinutes 10 -force}Puede establecer una compensación aleatoria para actualizar GPO usando RandomDelayInMinutes. Por lo tanto, puede reducir la carga de la red si actualiza la configuración de la directiva de grupo en varias computadoras simultáneamente. Para aplicar la configuración de directiva de grupo inmediatamente, el
RandomDelayInMinutes 0se utiliza el parámetro.
El comando Invoke-GPUpdate devuelve el siguiente error para equipos no disponibles:
Invoke-GPUpdate: Computer "frparsrv12" is not responding. The target computer is either turned off or Remote Scheduled Tasks Management Firewall rules are disabled.
Si ejecuta el
Invoke-GPUpdatecmdlet de forma remota o actualizar GPO desde GPMC, una ventana de consola con la ejecución
gpupdateEl comando puede aparecer en el escritorio de un usuario durante un breve período de tiempo.