Los 10 principales cmdlets de PowerShell de directiva de grupo

Además de la Consola de administración de políticas de grupo (GPMC), Microsoft proporciona un conjunto de cmdlets de Windows PowerShell que puede usar para administrar la Política de grupo. Para utilizar los cmdlets de PowerShell de la directiva de grupo, debe tener GPMC instalado en el dispositivo donde ejecutará los cmdlets. Para verificar si el módulo PowerShell de política de grupo está instalado en un dispositivo, ejecute el siguiente comando, que mostrará todos los cmdlets de política de grupo disponibles si el módulo está instalado.

Get-Command -Module GroupPolicy

Crear un nuevo objeto de política de grupo

Comencemos creando un nuevo objeto de política de grupo (GPO). El siguiente comando crea un nuevo GPO llamado "Netwrix PC" y agrega un comentario para describir su propósito:

New-GPO -Name "Netwrix PCs" -Comment "Client settings for Netwrix PCs"

El comando crea un GPO vacío sin configuración. Si tiene GPO iniciales configurados en su dominio de Active Directory, puede crear un nuevo GPO basado en su configuración. El siguiente comando crea un nuevo GPO llamado "Netwrix PC" basado en el GPO "Configuración de seguridad de Windows 10 MS":

New-GPO -Name "Netwrix PCs" -StarterGPOName "Windows 10 MS Security Settings"

Opcionalmente, puede vincular el GPO a un dominio, a una unidad organizativa (OU) del controlador de dominio o a un sitio mediante canalización. El siguiente comando crea un nuevo GPO y lo vincula a la unidad organizativa Clientes en el dominio ad.contoso.com:

New-GPO -Name "Netwrix PCs" | New-GPLink -Target "ou=clients,dc=ad,dc=contoso,dc=com"

Para desvincular un GPO, utilice el cmdlet Remove-GPLink:

Remove-GPLink -Name "Netwrix PCs" -Target "ou=clients,dc=ad,dc=contoso,dc=com"

Figura 1. Cómo vincular y desvincular un GPO

Obtener información sobre un GPO

Una vez que se crea un GPO, puede usar Get-GPO para devolver información como el estado del GPO, la hora de creación y la hora de la última modificación:

Get-GPO -Name "Netwrix PCs"

Si desea obtener más información, canalice el objeto creado por Get-GPO a Get-GPOReport. El siguiente script crea un informe HTML que brinda información sobre el GPO similar a la que podría ver en la Consola de administración de políticas de grupo:

Get-GPO -Name "Netwrix PCs" | Get-GPOReport -ReportType HTML -Path c:tempreport.html

Figura 2. Informe HTML con datos detallados sobre un GPO específico

Configurar los ajustes de la política de grupo

Si conoce la ubicación de una configuración de política de grupo basada en el registro, puede usar el cmdlet Set-GPRegistryValue para configurarla. Las configuraciones de directiva de grupo basadas en registro son las que aparecen en Plantillas administrativas en GPMC. Set-GPRegistryValue también se puede utilizar para establecer valores de registro que no están cubiertos por la configuración de la Política de grupo. Por ejemplo, si desea configurar los ajustes de registro para aplicaciones de terceros que no tienen un archivo ADMX para la Política de grupo, Set-GPRegistryValue es una forma rápida de configurar los ajustes que necesita. El siguiente comando establece un tiempo de espera del protector de pantalla de 300 segundos para el usuario que ha iniciado sesión:

Set-GPRegistryValue -Name "Netwrix PCs" -Key "HKCUSoftwarePoliciesMicrosoftWindowsControl PanelDesktop" -ValueName ScreenSaveTimeOut -Type DWord -Value 300

Puede especificar la configuración de la computadora o la configuración del usuario usando Set-GPRegistryValue. La ruta de registro en el parámetro -Key a continuación comienza con "HKCU" (que significa "HKEY_CURRENT_USER"). Si desea configurar una configuración de computadora, reemplace "HKCU" con "HKLM" (que se expande a HKEY_LOCAL_MACHINE).

Para obtener información detallada sobre una clave de registro configurada en un GPO, use Get-GPRegistryValue:

Get-GPRegistryValue -Name "Netwrix PCs" -Key "HKCUSoftwarePoliciesMicrosoftWindowsControl PanelDesktop"

Figura 3. Cómo obtener información detallada sobre una clave de registro configurada en un GPO

Para eliminar una configuración de registro de un GPO, use Remove-GPRegistryValue:

Remove-GPRegistryValue -Name "Netwrix PCs" -Key "HKCUSoftwarePoliciesMicrosoftWindowsControl PanelDesktop" -ValueName ScreenSaveTimeOut

Los tres cmdlets anteriores tienen equivalentes de Preferencia de Política de Grupo si decide usar Preferencias en lugar de Políticas para establecer claves de registro: Set-GPPrefRegistryValue, Get-GPPrefRegistryValue y Remove-GPPrefRegistryValue. .

Aplicar la configuración de la política de grupo

Siempre que su GPO esté vinculado a un dominio, unidad organizativa o sitio, se aplicará a los objetos de usuario y de computadora que se encuentren debajo de donde está vinculado. Pero si desea forzar una actualización de la política de grupo en un servidor remoto u otro dispositivo, puede usar Invoke-GPUpdate. La ejecución de Invoke-GPUpdate sin ningún parámetro forzará una actualización de los ajustes de configuración del usuario y de la computadora en la computadora local. El siguiente comando fuerza una actualización de la Política de grupo en el servidor1 solo para los ajustes de configuración del usuario:

Invoke-GPUpdate -Computer "adserver1" -Target "User"

Revisar qué GPO se aplican a un usuario o computadora

Para obtener información sobre qué GPO se aplican a un usuario o computadora, puede generar un informe de conjunto resultante de políticas (RSoP) utilizando el cmdlet Get-GPResultantSetOfPolicy. El siguiente comando genera un informe para la computadora llamado "dc1" y escribe los resultados en el directorio c:temp:

Get-GPResultantSetOfPolicy -Computer dc1 -ReportType HTML -Path c:tempdc1rsop.html

Figura 4. Cómo obtener información sobre qué GPO se aplican a un usuario o computadora