Cómo forzar una actualización de política de grupo con GPUpdate/force
Imagine que recibe una llamada telefónica del especialista en seguridad que maneja sus firewalls y servidores proxy. Le dice que ha agregado un servidor proxy adicional para los usuarios que acceden a Internet. Agrega un nuevo GPO que afecta a todos los usuarios para que puedan usar el nuevo servidor proxy a través de Internet Explorer. Por lo general, se necesitan entre 90 y 120 minutos para que se aplique un nuevo GPO, pero necesita que la nueva configuración se aplique ahora mismo y no puede decirle a sus usuarios que cierren sesión y vuelvan a iniciarla para aplicarla. En casos como estos, es posible que desee omitir el tiempo de espera normal antes de que se active el procesamiento de políticas en segundo plano. Puede hacerlo utilizando el símbolo del sistema, la Consola de administración de políticas de grupo (GPMC) o PowerShell.
¿Qué es la actualización de GPU?
La Política de grupo es una característica valiosa de Active Directory que permite a los administradores aplicar una amplia gama de configuraciones a usuarios y computadoras. Es fundamental para la seguridad y la productividad que los cambios en los objetos de política de grupo (GPO) y los nuevos GPO se apliquen de manera oportuna.
En consecuencia, la Política de grupo se actualiza automáticamente cada vez que se reinicia una computadora miembro del dominio o un usuario inicia sesión en ella. También se actualiza automáticamente en un intervalo de actualización en segundo plano definido (de forma predeterminada, cada 90 minutos con un desplazamiento aleatorio de hasta 30 minutos).
A veces, sin embargo, los administradores necesitan aplicar la configuración de GPO a los sistemas cliente de inmediato, como cuando crean una nueva política o realizan un cambio importante en una política existente. Además, a veces no solo quieren aplicar cambios sino también volver a aplicar los GPO que normalmente no se han modificado para revertir cambios no deseados realizados en las máquinas locales.
Este documento le explica las formas en que puede forzar una actualización de la política de grupo.
GPUpdate vs comando GPUpdate /force
El comando gpupdate /force es uno de los comandos más utilizados para actualizar la política de grupo. El modificador /force permite a los administradores volver a aplicar todas las configuraciones de políticas. Sin embargo, es importante considerar que el uso del modificador /force resultaría en una carga significativa en los controladores de dominio (DC), especialmente cuando hay una gran cantidad de objetos de política de grupo (GPO) en el entorno.
Si tiene un arrendamiento sustancial o una gran cantidad de GPO, es preferible ejecutar gpupdate sin el modificador /force para implementar nuevas configuraciones de políticas. Este enfoque solo recibirá cambios o nuevas políticas de grupo, lo que reducirá la carga de trabajo tanto en el cliente como en los controladores de dominio.
Cómo forzar la actualización de la política de grupo
Para forzar una actualización de la política de grupo, puede utilizar cualquiera de las siguientes opciones:
- El comando gpupdate /force
- La Consola de administración de políticas de grupo (GPMC)
- Potencia Shell
Requisito previo: configurar firewalls antes de aplicar GPO
Antes de forzar la reaplicación de GPO usando cualquiera de estas opciones, asegúrese de que los firewalls permitan el tráfico de red entrante en los puertos correspondientes (de forma predeterminada, el puerto TCP 135), como se detalla en la documentación de Microsoft.
Forzar una actualización de política de grupo mediante el símbolo del sistema
gpupdate es un comando de Microsoft Command Shell para la actualización de políticas de grupo en computadoras con Active Directory. Está incluido en todas las versiones del sistema operativo Windows.
El parámetro /force
La ejecución del comando gpupdate sin parámetros solo aplica las configuraciones de política modificadas y los nuevos GPO. Pero a veces también es necesario volver a aplicar todos los GPO que no han cambiado, como para revertir modificaciones no deseadas realizadas por administradores locales (o adversarios que han comprometido sus cuentas).
En ese caso, debe utilizar el parámetro /force, de la siguiente manera:
gpupdate /fuerza
Hay dos consideraciones clave a tener en cuenta al utilizar este parámetro para actualizar la configuración de la Política de grupo:
- Debes acudir físicamente a cada máquina de usuario y ejecutar el comando gpupdate /force manualmente. (Para actualizar las computadoras de forma remota, use PowerShell, como se describe a continuación).
- El uso del modificador /force puede generar una carga significativa en los controladores de dominio y los clientes, especialmente cuando hay una gran cantidad de GPO en un entorno. En esos casos, es preferible ejecutar gpupdate sin el parámetro /force.
Parámetros adicionales
La ejecución de gpupdate mientras un usuario ha iniciado sesión en una máquina proporciona inmediatamente a Windows la nueva configuración de GPO (suponiendo, por supuesto, que el controlador de dominio tenga la información de GPO replicada).
Si el usuario no ha iniciado sesión, en Windows XP y versiones posteriores, de forma predeterminada, la configuración de GPO se procesa solo en el siguiente momento de inicio de sesión. Pero si usa los modificadores correctos, gpupdate puede determinar si los elementos recién modificados requieren cerrar sesión o reiniciar para estar activos:
- /Cerrar sesión : el uso de este modificador determinará si un cambio de política requiere que el usuario cierre la sesión. De lo contrario, la nueva configuración se aplica inmediatamente; De ser así, se cerrará la sesión del usuario automáticamente y se aplicará la configuración de la Política de grupo cuando vuelva a iniciar sesión.
- /boot : de manera similar, si el arranque rápido está habilitado, se requiere un reinicio para aplicar los GPO que tienen configuraciones de distribución de software. Al ejecutar gpupdate con el parámetro /boot se determinará si una política tiene algo que requiera un reinicio y reiniciará automáticamente la computadora. Si el GPO actualizado no requiere reiniciar, se aplica la configuración del GPO y el usuario permanece conectado.
Los modificadores /Logoff y /boot son opcionales.
Otras opciones de interruptores útiles están disponibles junto con /force
- /Cerrar sesión: cierra la sesión del usuario después de que se haya actualizado la configuración de la Política de grupo.
- /Sync : cambia el procesamiento de primer plano (inicio/inicio de sesión) a sincrónico.
- /Target: indica si se actualiza la configuración de la política solo para usuarios o solo para computadoras. Tanto la configuración de la política de Usuario como la de Computadora se actualizan de forma predeterminada.
- /Boot : reinicie la máquina después de aplicar la configuración de la Política de grupo.
Forzar una actualización de política de grupo mediante la Consola de administración de políticas de grupo (GPMC)
La segunda forma de forzar una actualización de la política de grupo de Windows es utilizar la Consola de administración de políticas de grupo. Si bien el comando gpupdate actualiza todas las políticas para todas las unidades organizativas, GPMC le ofrece la opción de limitar la actualización a una unidad organizativa específica. Siga estos pasos:
- Abra la GPMC (Consola de administración de políticas de grupo)
- Vincule el GPO a una unidad organizativa.
- Haga clic derecho en la unidad organizativa deseada y elija la opción "Actualización de política de grupo".
- Confirme la acción en el cuadro de diálogo Forzar actualización de directiva de grupo que aparece, haciendo clic en Sí.
Forzar la actualización de la política de grupo de forma remota en computadoras que usan Powershell
Para actualizar la política de grupo de forma remota, debe utilizar Powershell. Desde Windows Server 2012, puede utilizar el cmdlet Invoke-GPUpdate. para forzar una actualización remota de la Política de grupo en las computadoras cliente de Windows. Necesitará tener instalados PowerShell y la Consola de administración de políticas de grupo. El cmdlet no produce ningún resultado.
Ejemplos de uso de Involve-GPUpdate para la actualización remota de políticas de grupo
Otra ventaja de utilizar el cmdlet Invoke-GPUpdate es que la opción “RandomDelayInMinutes” le permite ajustar el retraso. Si desea una actualización inmediata de la Política de grupo, configúrela en 0, como se muestra aquí:
Invoke-GPUpdate –Computer LHE-LT-ADAM -RandomDelayInMinutes 0En este caso, una computadora identificada como "LHE-LT-ADAM" se reinició inmediatamente después de iniciar una actualización de la Política de grupo. El cmdlet no produce ningún resultado. El único inconveniente de usar este parámetro es que los usuarios obtendrán una ventana emergente de cmd.
Si desea forzar una actualización en todas las computadoras, ejecute el siguiente código. Obtendrá todas las computadoras del dominio, las colocará en una variable y ejecutará los comandos para cada objeto.
$compgpoupd = Get-ADComputer -Filter *
$compgpoupd | ForEach-Object -Process {Invoke-GPUpdate -Computer $_.name -RandomDelayInMinutes 0 -Force}
El único inconveniente de utilizar el parámetro RandomDelayInMinutes es que los usuarios obtendrán una ventana emergente de cmd.
Este código obtendrá todas las computadoras del dominio, las colocará en una variable y ejecutará los comandos para cada objeto.
Configure firewalls antes de aplicar GPO
Asegúrese de que los firewalls permitan el tráfico de red entrante en puertos particulares antes de abrir su GPMC. A partir de Windows Server 2012, hay un GPO inicial en el Editor de políticas de grupo llamado "Puertos del firewall de actualización remota de la política de grupo", que verifica si el puerto TCP 135 está configurado para la administración remota de tareas programadas.
Para habilitar el Firewall de Windows con seguridad avanzada con un GPO:
- Inicie la interfaz para la administración de políticas de grupo.
En el panel de navegación, expanda lo siguiente: Bosque (SuNombreDeBosque) => Dominios (SuNombreDeDominio) => Objetos de política de grupo: (SuNombreDeDominio) => haga clic derecho en el GPO que desea editar y seleccione Editar.
En la barra de navegación del Editor de administración de políticas de grupo, seleccione Configuración del equipo => Políticas => Configuración de Windows => Configuración de seguridad => Firewall de Windows con Seguridad Avanzada => Seguridad Avanzada para Firewall de Windows.
Actualización de fondo de GPO
Todos los clientes de políticas de grupo procesan los GPO cuando llega el intervalo de actualización en segundo plano, pero solo procesan aquellos GPO que son nuevos o han cambiado desde la última vez que el cliente los solicitó.
Sin embargo, para la configuración de seguridad, el motor de políticas de grupo funciona de manera diferente. Solicita una actualización de fondo especial solo para la configuración de la política de seguridad. Esto se denomina actualización de seguridad en segundo plano y es válido para todas las versiones de Windows Server. Cada 16 horas, cada cliente de directiva de grupo pregunta a Active Directory sobre todos los GPO que contienen configuraciones de seguridad (no solo los que han cambiado) y vuelve a aplicar esas configuraciones de seguridad. Esto garantiza que si una configuración de seguridad ha cambiado en el cliente (a espaldas del motor de políticas de grupo), se revierte automáticamente a la configuración adecuada dentro de las 16 horas.
Proceso de actualización en segundo plano para GPO locales
Como se señaló anteriormente, una razón clave por la que podría necesitar forzar una actualización de la política de grupo es que los administradores locales (o adversarios o que hayan comprometido sus cuentas) pueden realizar cambios en la configuración de sus máquinas que anulan una política que haya establecido con un GPO. Esos cambios pueden perjudicar la productividad o incluso la seguridad. Por ejemplo, un administrador local podría anular la configuración de GPO que prohíbe las unidades USB, lo que permite tanto el robo de datos como la introducción de malware.
En consecuencia, debe otorgar derechos de administrador local sólo cuando sean realmente necesarios. Los usuarios habituales nunca deben tener derechos de administrador local.
Reaplicación obligatoria de configuraciones de políticas de grupo no relacionadas con la seguridad
Como se señaló anteriormente, la actualización periódica en segundo plano se aplica solo a los GPO nuevos y modificados. Sin embargo, puede modificar la actualización periódica en segundo plano para volver a aplicar ciertas configuraciones, incluso si los GPO no han cambiado. Esta es una buena manera de corregir exploits que no están relacionados con la seguridad.
Específicamente, puede optar por exigir la reaplicación de las siguientes áreas de la Política de grupo durante cada procesamiento de política inicial y actualización en segundo plano:
- Registro (Plantillas Administrativas)
- Mantenimiento de Microsoft Edge
- Seguridad IP
- Política de recuperación de EFS
- Política inalámbrica
- Cuota de disco
- Guiones
- Seguridad
- Redirección de carpetas
- Instalación de software
- Política cableada
Cómo puede ayudar Netwrix
La Política de grupo es una forma extremadamente poderosa de administrar la configuración de su infraestructura de Windows. Pero también es complejo. De hecho, después de años de fusiones y adquisiciones, rotación de empleados, cambios tecnológicos, etc., la Política de grupo se vuelve casi imposible de administrar de manera efectiva utilizando métodos manuales y herramientas nativas.
Netwrix PolicyPak simplifica la administración de políticas de grupo y le permite limpiar y consolidar sus GPO. Como resultado, su organización disfrutará de un inicio de sesión más rápido, mayor seguridad, mejor tiempo de actividad y menos configuraciones erróneas.
Conclusión
Mantener actualizada la configuración de la política de grupo en todo su entorno de TI es fundamental para la productividad, la seguridad, el cumplimiento y más. Mientras que los cambios de GPO se aplican automáticamente en el siguiente intervalo de actualización; También puedes forzar una actualización para aplicarlos inmediatamente. Como medida de seguridad adicional, puede asegurarse de que ciertas configuraciones de la Política de grupo siempre se vuelvan a aplicar, incluso si no han cambiado, para revertir cualquier cambio no deseado realizado por los administradores locales.
Preguntas más frecuentes
¿Cómo actualizar la política de grupo?
Para actualizar la política de grupo manualmente, los administradores pueden usar el comando gpupdate /force, la Consola de administración de políticas de grupo (GMPC) o PowerShell. El interruptor /force permite a los administradores volver a aplicar todas las configuraciones de políticas
¿Qué hace gpupdate/force?
La política de grupo se actualiza automáticamente según un programa de actualización en segundo plano. Sin embargo, a veces una actualización o una nueva política debe entrar en vigor antes, o la organización necesita revertir cambios inadecuados en las políticas realizados por los administradores locales. En esos casos, un administrador puede usar el comando gpupdate con el parámetro /force para aplicar una actualización de la política de grupo inmediatamente.
¿Cuánto tiempo tarda gpupdate /force en actualizar la política de grupo?
El tiempo necesario para forzar una actualización de la política de grupo depende de la cantidad de políticas que se aplican. Actualizar una pequeña cantidad de políticas puede llevar solo un par de minutos, pero normalmente el proceso implica un tiempo de aplicación de 90 minutos más un retraso de 30 minutos para la distribución de la carga de trabajo.