Cómo agregar, establecer, eliminar o importar claves de registro a través de GPO

En este artículo, veremos cómo usar la Política de grupo (GPO) para crear, modificar, importar y eliminar de manera centralizada cualquier clave de registro y parámetros en las computadoras unidas a un dominio.

Puede administrar los elementos del registro mediante extensiones especiales, denominadas Preferencias de políticas de grupo (GPP). Hay una sección separada en GPP donde puede configurar de forma centralizada (crear, eliminar, modificar, actualizar) cualquier parámetro o rama del registro e implementar estos cambios en todas las computadoras del dominio.

Supongamos que desea deshabilitar la actualización automática del controlador en todas las computadoras en una OU (unidad organizativa) específica de Active Directory. Para hacer esto, deberá cambiar el valor del parámetro de registro SearchOrderConfig en la clave de registro HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching. Puede configurar una configuración de registro en las computadoras de destino en el dominio de dos maneras: usando el Explorador de registro GPP incorporado o manualmente especificando la ruta a la clave de registro, el nombre del parámetro y el valor.

Implementar elementos de registro mediante el asistente de registro en GPO

El asistente del registro en el GPO es la forma más sencilla de realizar cambios en el registro.

1. Ejecute la consola de administración de directivas de grupo (

   gpmc.msc

   );

2. Cree un nuevo GPO (o edite el existente), vincúlelo al contenedor requerido (OU) en AD con las computadoras (o usuarios) en las que desea aplicar la clave de registro y cambie al modo de edición de políticas;

3. Expanda la sección GPO Equipo (o Usuario) Configuración -> Preferencias -> Configuración de Windows -> Registro y seleccione Nuevo -> Asistente de Registro en el menú contextual;

   

4. El asistente de registro le permite conectarse al registro en una computadora remota y seleccionar la clave de registro existente;

5. Especifique el nombre de la computadora remota a la que desea conectarse;

   

   Nota. Si aparece el error No se encontró la ruta de la red cuando intenta conectarse a una computadora a través del Navegador del registro, lo más probable es que esta computadora remota esté apagada, el acceso a ella esté bloqueado por un firewall o el servicio de Registro remoto no se haya iniciado en ella.

   

   Para iniciar el servicio manualmente, ejecute estos comandos en la computadora remota:

   sc config remoteregistry start= demand
   net start remoteregistry

   

6. Utilice el Explorador de registro remoto para buscar y seleccionar todos los parámetros de registro que desea implementar a través del GPO;

   Nota. Este navegador de registro le permite seleccionar solo claves de registro de las colmenas HKEY_LOCAL_MACHINE y HKEY_USERS en una computadora remota. Si necesita configurar las claves contenidas en otras secciones de registro, debe instalar RSAT en la computadora remota. Luego ejecute la consola gpmc.msc en esta computadora y use el mismo procedimiento para seleccionar las claves de registro que necesita.

7. En este ejemplo, quiero importar solo un parámetro de registro al GPP: SearchOrderConfig;

   

8. La entrada de registro especificada se importa a la consola de GPP junto con la ruta y el valor actual (0). Puede cambiar su valor y la acción deseada (esto se considerará más adelante);

   

9. Por lo tanto, ha creado una Política de grupo para implementar su clave de registro. La próxima vez que se actualice la configuración de la directiva de grupo en los equipos de destino, el valor de la clave de registro SearchOrderConfig cambiará a 0.

   Si la política no se aplica al cliente, puede utilizar la herramienta GPResult para el diagnóstico.

Si este GPO se elimina, se desvincula de un contenedor de AD o se mueve una computadora de destino a otra unidad organizativa, el valor del parámetro de registro no volverá a su valor original (predeterminado).

¿Cómo crear, editar o eliminar manualmente una clave de registro mediante la directiva de grupo?

Puede usar GPP para crear, modificar o eliminar un parámetro específico o una clave de registro especificando manualmente la ruta y el valor del elemento de registro.

1. Seleccione Registro -> Nuevo -> Elemento de registro;

   

2. Configure los ajustes de su elemento de registro:

   Action: Update
   Hive: HKEY_LOCAL_MACHINE
   Key Path: SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching
   Value name: SearchOrderConfig
   Value type: REG_DWORD
   Value date: 00000000

   

   No ingrese el nombre de HIVE en la ruta de la clave o se creará una subclave adicional en el registro (como HKEY_HKEY_XXX).

3. De forma predeterminada, los elementos de registro configurados por el GPO se establecen en el modo Actualizar.

Hay 4 tipos de acciones disponibles en GPO para claves de registro:

• Crear: crea una clave/parámetro de registro. Si el parámetro ya existe, su valor no cambia;

• Actualizar (por defecto): actualiza el valor de un parámetro existente según el GPP. Si el parámetro de registro no existe, se creará automáticamente (así como la clave de registro donde debe ubicarse);

• Reemplazar: si la clave/parámetro de registro ya existe, se eliminará y se volverá a crear (rara vez se usa);

• Eliminar: elimina un elemento del registro.

Hay una serie de otras opciones útiles en la pestaña Común:

• Ejecutar en el contexto de seguridad del usuario que ha iniciado sesión (opción de política de usuario): se crea una clave de registro solo en el contexto de usuario actual (solo es posible para GPP en la sección Configuración de usuario de GPO). Si un usuario no tiene privilegios de administrador, la política no podrá escribir nada en las claves de registro del sistema protegido;

• Eliminar este elemento cuando ya no se aplique: si la política ya no se aplica a un cliente, el cambio de registro se eliminará automáticamente;

• Aplicar una vez y no volver a aplicar: una política se aplica a un cliente (usuario o computadora) solo una vez. Más tarde no se volverá a aplicar. Si después de aplicar el GPO, el usuario cambia manualmente el valor del elemento de registro, la política no anulará su valor en el próximo ciclo de actualización de la política;

• Segmentación a nivel de elemento: le permite orientar la política a los clientes con mayor precisión (puede orientar la política a una IP específica, una máscara de red, un nombre de computadora o computadoras con ciertas características, de forma similar a cómo usa los filtros WMI en GPO). Por ejemplo, puede especificar que el parámetro de registro se aplique a los equipos que ejecutan Windows Server 2016 en la unidad organizativa AD denominada Servidores.

  

Así es como se verá la configuración de directiva de grupo resultante en la consola de GPMC (en la pestaña Configuración).

GPO: importar datos de registro desde un archivo REG

La preferencia de directiva de grupo del registro permite que un administrador importe un archivo .REG que contiene varias entradas de registro en la directiva de grupo a la vez. Para esto, el archivo REG debe convertirse a XML (el Editor de políticas de grupo le permite importar archivos solo en formato XML).

Por ejemplo, tiene una computadora de referencia en la que algunas configuraciones están configuradas a través del registro. Puede exportar esta configuración a un archivo REG haciendo clic con el botón derecho en el nombre de la clave de registro en regedit.exe y seleccionando Exportar.

Guarde las entradas de la clave de registro en el archivo REG.

A continuación, debe convertir este archivo REG a formato XML. Puede realizar la conversación reg->xml utilizando el servicio en línea Reg2GPP https://www.runecasters.com.au/reg2gpp con el script de PowerShell RegToXML.ps1.

Copie el archivo XML resultante en el Explorador de archivos y péguelo en la sección Registro del Editor de políticas de grupo.

Como resultado, todas las configuraciones de registro de su archivo REG aparecerán en la consola de directivas de grupo y se aplicarán a las computadoras del dominio de destino.

Establecer permisos de clave de registro con directiva de grupo

Puede usar la directiva de grupo para cambiar los permisos de acceso (ACL) para claves de registro específicas. Puede usar esta función para evitar que los usuarios que no son administradores accedan a las claves de registro protegidas o para permitir que los usuarios normales modifiquen las claves del sistema.

Puede configurar los ajustes de ACL del registro en la sección GPO Configuración del equipo-> Configuración de Windows -> Configuración de seguridad -> Registro

1. Seleccione Agregar clave;

2. Use el Navegador de registro incorporado para encontrar la clave de registro que necesita (o especifique la ruta manualmente en el siguiente formato

   MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching

   );

   

3. Establezca la nueva configuración de ACL para su clave de registro que desea aplicar en la ventana Seguridad de la base de datos. En este ejemplo, quiero permitir que los usuarios realicen cambios en la clave de registro protegida por el sistema. Debe seleccionar el grupo Usuarios y concederle el permiso Control total. Puede habilitar la herencia de permisos a las subclaves usando la opción Avanzado -> Habilitar herencia;

   

   Puede agregar o eliminar cualquier otro grupo de seguridad, usuarios y otras entidades principales de la computadora local o Active Directory.

4. Guarde sus cambios. Los nuevos permisos de clave de registro se aplicarán a los clientes después de que se actualice el GPO.

¿Cómo modificar entradas de registro con un script de inicio de sesión de GPO?

Antes de Windows Server 2008, solo los archivos BAT de la secuencia de comandos de inicio de sesión se pueden usar para modificar la configuración del registro mediante el GPO. Debe utilizar los comandos reg add o reg import en dicho archivo .bat para realizar cambios en el registro.

Para realizar cambios en el registro mediante el script de inicio de sesión de GPO, debe crear un archivo de texto myreg.bat con los comandos necesarios. Por ejemplo:

• Estos dos comandos le permiten configurar los ajustes de proxy en Windows (ejecutarlos a través de la secuencia de comandos de inicio en Configuración de la computadora):

  reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 1 /f
  reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer /t REG_SZ /d yourproxyadress:proxyport /f

• Los siguientes dos comandos borran el historial de conexión RDP del cliente. En este ejemplo, la secuencia de comandos debe ejecutarse desde la sección de secuencia de comandos de inicio de sesión en la configuración de usuario porque estamos accediendo a una sección de registro de usuario:

  reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
  reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f

• El último comando le permite importar una clave de registro completa desde un archivo REG (para exportar la clave de registro local, use el siguiente comando: reg export HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate c:\WindowsUpdateRegFile.reg):

  reg import "%~dp0"WindowsUpdateRegFile.reg

%~dp0

Copie su *.bat (y *.reg si necesita importar) al directorio Netlogon en el controlador de dominio (

\\a-d.loc\netlogon

).

Abra su GPO y vaya a Configuración del equipo -> Configuración de Windows -> Scripts -> Inicio.
Haga clic en Agregar y especifique la ruta UNC a su archivo bat en NETLOGON.

La próxima vez que reinicie Windows, su archivo BAT se ejecutará y realizará cambios en el registro.