Configurar políticas de grupo usando Windows PowerShell

En esta publicación de blog, describiré cómo usar PowerShell para administrar políticas de grupo en su entorno de Active Directory. Las políticas de grupo controlan el entorno de los usuarios y las computadoras. Pero no se trata sólo de controlar: las políticas de grupo pueden ayudarle a hacer que sus sistemas cliente y servidor sean más fáciles de usar.

La política de grupo del módulo

Todos los comandos se pueden encontrar en el módulo Política de grupo. Simplemente ejecute Get-Command en uno de sus controladores de dominio para obtenerlos todos.

Get-Command -Module GroupPolicy

Crear un GPO

Primero, creamos un objeto de política de grupo simple sin ninguna configuración.

New-GPO -Name "ScreenSaverTimeOut" -Comment "Sets the time to 900 seconds"

Configurar el tiempo de espera del protector de pantalla del GPO

Y ahora la mala noticia: debes ingresar una clave de registro.

Set-GPRegistryValue -Name "ScreenSaverTimeOut" -Key "HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop" -ValueName ScreenSaveTimeOut -Type String -Value 900

Vincular el GPO a una unidad organizativa/dominio/sitio

Ahora hemos configurado un GPO. El último paso es vincularlo a un objeto de Active Directory (unidad organizativa, dominio, sitio).

New-GPLink -Name "ScreenSaverTimeOut" -Target "ou=people,dc=pagr,dc=inet"

Como puede ver, no se aplica de forma predeterminada. Hacer cumplir un GPO es una configuración muy poco común. Puede resultar útil cuando algunas de nuestras unidades organizativas están configuradas para bloquear los GPO heredados de las unidades organizativas principales. Luego, el GPO aplicado anulará esa configuración. Más sobre esto más adelante.

Revise su GPO

Puede verificar su GPO configurado anteriormente mediante la interfaz gráfica o PowerShell.

Get-GPO -Name "ScreenSaverTimeOut" | Get-GPOReport -ReportType HTML -Path $Home\report.html
Invoke-Item $Home\report.html

O abra gpmc.msc y navegue hasta el objeto.

Configurar ajustes avanzados

Políticas de grupo heredadas

Para encontrar todos los objetos de política de grupo heredados para una unidad organizativa, ejecute

Get-GPInheritance -Target "ou=people,dc=pagr,dc=inet"

Bloquear la herencia

Si desea bloquear todos los GPO heredados de las unidades organizativas principales, ejecute

Set-GPInheritance -Target "ou=people,dc=pagr,dc=inet" -IsBlocked 1

Compare esta captura de pantalla con la anterior. La Política de dominio predeterminada proviene de un objeto principal y ya no existe.

Hacer cumplir las políticas de grupo

Como se mencionó anteriormente, hacer cumplir anula el bloqueo. Entonces, si hago cumplir mi Política de dominio predeterminada, debería estar ahí nuevamente.

Set-GPLink -Name "Default Domain Policy" -Target "dc=pagr,dc=inet" -Enforced Yes

Y está ahí de nuevo:

Get-GPInheritance -Target "ou=people,dc=pagr,dc=inet" | Select InheritedGpoLinks

Configurar ajustes de seguridad

La configuración de seguridad predeterminada para todos los GPO recién creados es Usuarios autenticados (Aplicar). Esto significa que todos los objetos en una OU, Sitio o Dominio, donde se aplica la política, tienen derecho a leer el GPO y por lo tanto a aplicarlo.

Por ejemplo, tiene 10 usuarios en una unidad organizativa. Quiere aplicar un GPO a un solo usuario. Luego simplemente modifique los derechos del grupo Usuarios autenticados.

Para ello, elimine el grupo de usuarios autenticados. No te preocupes por las advertencias.

Set-GPPermission -Name "ScreenSaverTimeOut" -TargetName "Authenticated Users" -TargetType User -PermissionLevel None

Luego agréguelo nuevamente. Pero ahora permita sólo "Leer".

Set-GPPermission -Name "ScreenSaverTimeOut" -TargetName "Authenticated Users" -TargetType User -PermissionLevel GPORead

Y finalmente, agregue su usuario y otorgue al usuario “GPOApply”.

Set-GPPermission -Name "ScreenSaverTimeOut" -TargetName "Petra" -TargetType User -PermissionLevel GPOApply