Administración de Políticas de Grupo

La Política de grupo es una tecnología de administración de Active Directory para Windows que proporciona administración centralizada de los ajustes de configuración. Si bien no es la única solución de administración disponible (también se pueden usar PowerShell Desired State Configuration (DSC) y Mobile Device Management (MDM), la Política de grupo es la tecnología recomendada para dispositivos cliente unidos a un dominio porque proporciona un control más granular que otras soluciones.

Consola de administración de políticas de grupo

La configuración de la política de grupo se configura en los objetos de política de grupo (GPO). Puede vincular GPO a dominios, sitios y unidades organizativas (OU). Para obtener un control aún mayor, los GPO se pueden aplicar de acuerdo con los resultados de los filtros del Instrumental de administración de Windows (WMI), aunque los filtros WMI deben usarse con moderación porque pueden aumentar significativamente el tiempo de procesamiento de políticas.

La Consola de administración de políticas de grupo (GPMC) es una herramienta de administración integrada de Windows que permite a los administradores administrar la política de grupo en un bosque de Active Directory y obtener datos para solucionar problemas de la política de grupo. Puede encontrar la Consola de administración de políticas de grupo en el menú Herramientas de Microsoft Windows Server Manager. No es una buena práctica utilizar controladores de dominio para las tareas de administración diarias, por lo que debe instalar las herramientas de administración remota del servidor (RSAT) para su versión de Windows.

Instalación de la consola de administración de políticas de grupo

Si está utilizando Windows 10 versión 1809 o posterior, puede instalar GPMC usando la aplicación Configuración:

1. Abra la aplicación Configuración presionando WIN+I.
2. Haga clic en Aplicaciones en Configuración de Windows.
3. Haga clic en Administrar funciones opcionales.
4. Haga clic en + Agregar una función.
5. Haga clic en RSAT: Herramientas de administración de políticas de grupo y luego haga clic en Instalar.

Figura 1. Instalación de la Consola de administración de políticas de grupo mediante la interfaz de la aplicación Configuración

Si está utilizando una versión anterior de Windows, deberá descargar la versión correcta de RSAT del sitio web de Microsoft.

Para su comodidad, es posible que desee instalar también el Administrador del servidor. Pero si decide no hacerlo, puede agregar GPMC a Microsoft Management Console (MMC) y guardar la consola.

Uso de la consola de administración de políticas de grupo

Cada dominio AD tiene dos GPO predeterminados:

• Política de dominio predeterminada, que está vinculada al dominio
• Política de controladores de dominio predeterminada, que está vinculada a la unidad organizativa del controlador de dominio

Puede ver todos los GPO en un dominio haciendo clic en el contenedor Objetos de política de grupo en el panel izquierdo de GPMC.

Figura 2. Interfaz de la Consola de administración de políticas de grupo

Crear un nuevo objeto de política de grupo

No cambie ni la Política de controladores de dominio predeterminada ni la Política de dominio predeterminada. La mejor manera de agregar su propia configuración es crear un nuevo GPO. Hay dos formas de crear un nuevo GPO:

• Haga clic con el botón derecho en el dominio, sitio u unidad organizativa al que desea vincular el nuevo GPO y seleccione Crear un GPO en este dominio y vincularlo aquí...Cuando guarde el nuevo GPO, se vinculará. y habilitado inmediatamente.
• Haga clic derecho en el contenedor Objetos de política de grupo y seleccione Nuevo en el menú. Deberá vincular manualmente el nuevo GPO haciendo clic con el botón derecho en un dominio, sitio u unidad organizativa y seleccionando Vincular un GPO existente. Puedes hacer esto en cualquier momento.

Independientemente de cómo cree un nuevo GPO, en el cuadro de diálogo Nuevo GPO debe darle un nombre al GPO y puede elegir basarlo en un GPO existente. Consulte la siguiente sección para obtener información sobre las otras opciones.

Editar un objeto de política de grupo

Para editar un GPO, haga clic derecho en él en GPMC y seleccione Editar en el menú. El Editor de administración de políticas de grupo de Active Directory se abrirá en una ventana separada.

Figura 3. Interfaz del Editor de administración de políticas de grupo

Los GPO se dividen en configuraciones de computadora y de usuario. La configuración de la computadora se aplica cuando se inicia Windows y la configuración del usuario se aplica cuando un usuario inicia sesión. El procesamiento en segundo plano de la Política de grupo aplica la configuración periódicamente si se detecta un cambio en un GPO.

Políticas vs Preferencias

La configuración del usuario y de la computadora se divide a su vez en Políticas y Preferencias:

• Las políticas no tatúan el registro: cuando se cambia una configuración en un GPO o el GPO queda fuera de alcance, la configuración de la política se elimina y en su lugar se utiliza el valor original. Las configuraciones de políticas siempre reemplazan las configuraciones de una aplicación y estarán atenuadas para que los usuarios no puedan modificarlas.
• Las Preferencias tatúan el registro de forma predeterminada, pero este comportamiento se puede configurar para cada configuración de preferencia. Las preferencias sobrescriben los ajustes de configuración de una aplicación, pero siempre permiten a los usuarios cambiar los elementos de configuración. Muchos de los elementos configurables en las Preferencias de directiva de grupo son aquellos que podrían haberse configurado previamente mediante un script de inicio de sesión, como las asignaciones de unidades y la configuración de la impresora.

Puede expandir Políticas o Preferencias para configurar sus ajustes. Luego, estas configuraciones se aplicarán a los objetos de computadora y de usuario que estén dentro del alcance del GPO. Por ejemplo, si vincula su nuevo GPO a la unidad organizativa del controlador de dominio, la configuración se aplicará a los objetos de computadora y de usuario ubicados en esa unidad organizativa y a cualquier unidad organizativa secundaria. Puede utilizar la configuración Bloquear herencia en un sitio, dominio u unidad organizativa para evitar que los GPO vinculados a objetos principales se apliquen a objetos secundarios. También puede establecer el indicador Aplicado en GPO individuales, que anula la configuración de Herencia de bloque y cualquier elemento de configuración en los GPO que tengan mayor prioridad.

Precedencia de GPO

Se pueden vincular varios GPO a dominios, sitios y unidades organizativas. Cuando hace clic en uno de estos objetos en GPMC, aparecerá una lista de GPO vinculados a la derecha en la pestaña Objetos de política de grupo vinculados. Si hay más de un GPO vinculado, los GPO con un número de orden de enlace mayor tienen prioridad sobre las configuraciones configuradas en los GPO con un número menor.

Puede cambiar el número de orden del enlace haciendo clic en un GPO y usando las flechas de la izquierda para moverlo hacia arriba o hacia abajo. La pestaña Herencia de políticas de grupo mostrará todos los GPO aplicados, incluidos los heredados de los objetos principales.

Figura 4. Información sobre todos los GPO aplicados en GPMC

Gestión avanzada de políticas de grupo

La administración avanzada de políticas de grupo (AGPM) está disponible como parte del paquete de optimización de escritorio de Microsoft (MDOP) para los clientes de Software Assurance. A diferencia de GPMC, AGPM es una aplicación cliente/servidor donde el componente del servidor almacena los GPO fuera de línea, incluido un historial para cada GPO. Los GPO administrados por AGPM se denominan GPO controlados porque son administrados por el servicio AGPM y los administradores pueden registrarlos y retirarlos, de manera muy similar a como lo haría con archivos o códigos dentro y fuera de GitHub o un sistema de administración de documentos.

AGPM proporciona un mayor control sobre los GPO del que es posible con GPMC. Además de proporcionar control de versiones, le permite asignar roles como revisor, editor y aprobador a administradores de políticas de grupo, lo que le ayuda a implementar un estricto control de cambios durante todo el ciclo de vida del GPO. La auditoría AGPM también brinda una mayor comprensión de los cambios en las políticas de grupo.