Cómo hacer una copia de seguridad y copiar la configuración de la política de grupo local a otra computadora

Las políticas de grupo se utilizan para configurar de forma centralizada las configuraciones para computadoras y usuarios en Windows. Si sus computadoras están unidas a un dominio de Windows, puede usar GPO de dominio para reunir todas las computadoras dentro de un dominio de Active Directory en una sola configuración. Si no tiene un dominio, puede usar la Política de grupo local para configurar los ajustes de una sola computadora (el Editor de políticas de grupo local se inicia con el

gpedit.msc

dominio). En este artículo, le mostraremos cómo hacer una copia de seguridad de un GPO local y copiar la configuración de la política local a otras computadoras.

Si su red se basa en un grupo de trabajo de Windows, puede usar la Política de grupo local para que todas sus computadoras tengan la misma configuración. Para hacer esto, debe configurar las opciones de GPO locales en la computadora de referencia y luego copiar y aplicar esta configuración a otras computadoras.

Cómo copiar manualmente la configuración de GPO local a otra computadora

No hay herramientas integradas en Windows para realizar copias de seguridad, importar, exportar o migrar configuraciones de GPO locales. Windows almacena la configuración de la plantilla administrativa de directiva de grupo local en archivos Registry.pol en las siguientes rutas:

• %SystemRoot%\System32\GroupPolicy\Machine\

• %SystemRoot%\System32\GroupPolicy\User\

Por lo tanto, la forma más fácil de transferir la configuración de la directiva de grupo local entre computadoras es copiar y reemplazar manualmente el contenido de la

%systemroot%\System32\GroupPolicy

carpeta de un ordenador a otro. Debe actualizar manualmente la configuración de la política de grupo con el

gpupdate /force

Comando o reinicie Windows después de reemplazar los archivos GPO.

Principales inconvenientes de este método de migración de GPO:

1. La configuración de las plantillas de seguridad locales no se copia;

2. Pueden ocurrir errores al aplicar el GPO si la versión de Windows en la computadora de destino es diferente;

3. No puede importar la configuración de GPO local en la Consola de administración de directivas de grupo del dominio (

   gpmc.msc

   );

4. Hay algunos problemas con la migración de configuraciones desde plantillas ADMX personalizadas.

Cómo hacer una copia de seguridad (exportar) de la política de grupo local con LGPO.exe

Microsoft recomienda el uso de la herramienta de consola LGPO.exe para la copia de seguridad/importación/exportación y transferencia de la configuración de directiva de grupo local. LGPO (versión actual 3.0) se incluye en el kit de herramientas de cumplimiento de seguridad de Microsoft y está disponible para descargar aquí https://www.microsoft.com/en-us/download/details.aspx?id=55319.

Este

LGPO.exe

utilidad le permite:

• Exporte la configuración de la política de grupo local a archivos;

• Importe la configuración de GPO desde la copia de seguridad. Permite importar archivos Registry.pol, plantillas de seguridad y archivos CSV;

• Convierta archivos Registry.pol a formato LGPO legible y viceversa.

Para hacer una copia de seguridad (exportar) de la configuración de GPO local actual al directorio especificado, use el comando:

LGPO.exe /b c:\tools\GPO

La herramienta guarda la configuración de la política local en una carpeta con un nombre GUID aleatorio. Este directorio contiene todos los archivos necesarios que se requieren para restaurar la configuración de GPO local o para aplicarlos a una computadora diferente.

Restore-GPO -Name Win10Settings -Path C:\Backup\GPO_W10\

Para ver convenientemente la configuración actual de GPO en el archivo registration.pol, ejecute el siguiente comando:

lgpo.exe /parse /m "C:\Tools\GPO\{985966AD-21BE-4A9C-BF7D-26C879982067}\DomainSysvol\GPO\Machine\registry.pol" >>c:\tools\gpo\lgpo.txt

El archivo de texto de destino lgpo.txt contiene la configuración del registro que aplica esta política.

Puede editar manualmente el archivo lgpo.txt y convertirlo al formato registration.pol:

LGPO.exe /r "C:\tools\GPO\lgpo.txt" /w "C:\tools\GPO\registry_new.pol"

Para aplicar la nueva configuración del archivo registration_new.pol a la política local actual de la computadora:

LGPO.exe /m "C:\tools\GPO\registry_new.pol"

Importar (restaurar) la configuración de la directiva de grupo local en Windows

Para importar (restaurar) la configuración de GPO local desde una copia de seguridad en otra computadora, debe copiar el directorio GUID de la política en la computadora de destino y ejecutar el comando:

LGPO.exe /g C:\tools\GPO\

Algunos administradores usan Políticas de grupos locales múltiples (MLGPO) para aplicar configuraciones de GPO locales individuales solo a grupos específicos (no administradores o administradores) o usuarios. De forma predeterminada, lgpo.exe no exporta la configuración de MLGPO.

Lo siguiente que veremos es cómo copiar la configuración de MLGPO para usuarios o grupos específicos a otras computadoras.

Cuando un administrador crea una nueva política local para un usuario o grupo local específico (MLGPO), se crea una carpeta separada para ese GPO en el

C:\Windows\System32\GroupPolicyUsers

directorio. El SID del usuario o grupo se utiliza como nombre de directorio. Por ejemplo:

• S-1-5-32-545

  - no administradores (BUILTIN\USERS)

• S-1-5-32-544

  -administradores (INTEGRADO\ADMINISTRADORES)

Por ejemplo, es posible que desee copiar la configuración del GPO local para usuarios que no son administradores en otra computadora.

• Desde la computadora de referencia, copie el archivo de configuración de directiva local del directorio con el SID requerido (

  C:\Windows\System32\GroupPolicyUsers\S-1-5-32-545\User\Registry.pol

  );

• Para aplicar el archivo Registry.pol para no administradores en la computadora de destino, ejecute el siguiente comando:

  lgpo /un "C:\tmp\Registry.pol"

Import MLGPO settings for Non-Administrators from registry.pol

lgpo /ua "C:\tmp\Registry.pol"

lgpo /u:username "C:\tmp\Registry.pol"

Exportar e importar configuraciones de políticas de grupo con LocalGPO

Anteriormente, la secuencia de comandos LocalGPO (parte de Microsoft Security Compliance Manager 3.0) se usaba para importar y exportar la configuración de directiva de grupo local. La herramienta LocalGPO le permite crear rápidamente una copia de seguridad de un GPO local y restaurar la configuración de la política local desde allí. También tiene una opción interesante para crear un archivo ejecutable GPOPack que te permite migrar (importar) la configuración local de GPO a otra máquina con un solo clic.

Para exportar la configuración de la directiva de grupo local al directorio C:\GPObackup (la carpeta de destino debe crearse con anterioridad):

cscript LocalGPO.wsf /Path:C:\GPObackup /Export

La utilidad LocalGPO le permite exportar la configuración de MLGPO para un grupo o usuario específico a un directorio separado. Sintaxis utilizada:

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Administrators

o

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:LocalUserName

Para restaurar la configuración de la directiva de grupo local desde una copia de seguridad anterior:

cscript LocalGPO.wsf /Path:C:\GPObackup\{B6542366-C0C0-4948-AF39-B17F0B1F0E9A}

LocalGPO le permite restablecer todas las configuraciones de directivas de grupo locales actuales a sus valores predeterminados:

cscript LocalGPO.wsf /Restore