Guía definitiva para la gestión de políticas de grupo en Active Directory

Introducción a la gestión de políticas de grupo

La Política de grupo es una característica de los sistemas operativos Microsoft Windows que ayuda a los administradores a administrar y proteger usuarios y computadoras en entornos de Active Directory. Las configuraciones de política de grupo se agrupan en objetos de política de grupo (GPO) y se aplican a objetos de computadora y usuario dentro del alcance del GPO.

Por ejemplo, los objetos de Política de grupo se pueden utilizar para administrar:

Configuraciones, como configuraciones de escritorio, scripts de inicio y scripts de inicio/cierre de sesión
Seguridad, incluidas políticas de contraseña de Active Directory (AD), políticas de bloqueo de cuentas y configuración de firewall
Acceso a recursos de red como carpetas compartidas, impresoras y aplicaciones
Implementación de software, incluida la instalación de software en máquinas seleccionadas y la programación de parches y actualizaciones.

Esta guía explica los elementos clave de la gestión de políticas de grupo.

Herramienta de administración de políticas de grupo

Para administrar los GPO, los administradores utilizan la Consola de administración de políticas de grupo (GPMC). Puede acceder a este editor de políticas de grupo de dominio desde el menú Herramientas del Administrador de servidores de Windows.

Puede ver todos los GPO en un dominio haciendo clic en el contenedor Objetos de política de grupo en el panel izquierdo de la Consola de administración de políticas de grupo. A continuación, puede ver que el dominio AD ad.contoso.com tiene solo un GPO, Política de dominio predeterminada:

La Consola de administración de políticas de grupo incluye un Editor de políticas de grupo, como se muestra aquí:

Tipos de configuración de política de grupo

El panel izquierdo de la siguiente captura de pantalla muestra los tipos de configuraciones en un GPO:

Como puede ver, hay dos categorías principales: Configuración del equipo y Configuración del usuario.

Cada uno de estos tiene Políticas y Preferencias, que puedes expandir para configurar:

Configuración del software
Configuración de Windows
Plantillas administrativas

Políticas vs Preferencias

Tanto las Políticas como las Preferencias se pueden utilizar para administrar la configuración de la computadora y los objetos de usuario de Active Directory. La principal diferencia es la siguiente:

Los usuarios no pueden cambiar las políticas. En consecuencia, las configuraciones relacionadas con la seguridad y el cumplimiento normativo deben incluirse en las políticas. Los ejemplos incluyen políticas de contraseña, políticas de bloqueo de cuentas, políticas de firewall y políticas de restricción de software.
Los usuarios pueden cambiar las Preferencias, por lo que deben usarse solo para la experiencia del usuario y la configuración del entorno. Por ejemplo, puede proporcionar un conjunto estándar de unidades de red, impresoras o accesos directos de escritorio asignados, pero establecerlos a través de Preferencias permitirá a los usuarios ajustarlos para satisfacer sus propias necesidades.

Instalación de la Consola de administración de políticas de grupo en Windows Server

Para instalar la Consola de administración de políticas de grupo en Windows Server, siga estos pasos:

Inicie el Administrador del servidor haciendo clic en el menú Inicio y seleccionando Administrador del servidor.
En el Administrador del servidor, haga clic en Administrar en el menú superior y luego seleccione Agregar funciones y características.

Elija Instalación basada en funciones o en funciones y haga clic en Siguiente.

Seleccione el servidor donde desea instalar GPMC y haga clic en Siguiente.

En la página "Seleccionar funciones de servidor", haga clic en Siguiente, ya que no vamos a agregar una función.
Desplácese hacia abajo, busque "Administración de políticas de grupo" y marque la casilla al lado.

Haga clic en "Siguiente" en cualquier mensaje de confirmación una vez que se complete la instalación. Haga clic en "Cerrar" para salir del asistente.

Instalación de la Consola de administración de políticas de grupo en Windows

Si está utilizando Windows 10 versión 1809 o posterior, puede instalar GPMC usando la aplicación Configuración:

Abra Configuración presionando WIN+I.
Busque funciones opcionales.
Haz clic en + Añadir una función.
Haga clic en RSAT: Herramientas de administración de políticas de grupo y luego haga clic en Instalar.

Si está utilizando una versión anterior de Windows, deberá descargar la versión correcta de RSAT del sitio web de Microsoft.

Cómo crear un GPO

Para crear un nuevo objeto de política de grupo:

Abra el Administrador del servidor, haga clic en Herramientas en la esquina superior derecha y seleccione Administración de políticas de grupo en el menú desplegable.

En la Consola de administración de políticas de grupo, expanda el bosque y el dominio donde desea vincular el GPO.
- Haga clic derecho en la unidad organizativa, dominio o sitio donde desea vincular el GPO y seleccione la opción Crear correspondiente, como Crear un GPO en este dominio y vincularlo aquí…

Introduzca un nombre descriptivo para el nuevo GPO y haga clic en Aceptar.

Cómo editar un GPO

Para editar la política de grupo en la consola de administración de políticas de grupo, siga los siguientes pasos:

Amplíe el bosque y el dominio al que pertenece el GPO.
Navegue hasta la unidad organizativa, dominio o sitio donde está vinculado el GPO.
Haga clic derecho en el GPO que desea editar y seleccione Editar.

En el Editor de administración de políticas de grupo, haga doble clic en la configuración de política deseada y modifíquela según sus requisitos.

La configuración de la computadora se aplica cuando se inicia Windows y la configuración del usuario se usa cuando un usuario inicia sesión. El procesamiento en segundo plano de la Política de grupo aplica la configuración periódicamente si se ha cambiado un GPO.

Cómo vincular un GPO

Para que entre en vigor, un GPO debe estar vinculado al menos a un contenedor de Active Directory, como una unidad organizativa, un dominio o un sitio. Para vincular un GPO, siga los siguientes pasos:

En la Consola de administración de políticas de grupo, expanda el bosque y el dominio donde desea vincular el GPO.
Haga clic derecho en la unidad organizativa, dominio o sitio donde desea vincular el GPO y seleccione Vincular un GPO existente.

Elija el GPO que desea vincular de la lista de GPO disponibles y haga clic en Aceptar.

Cómo habilitar o deshabilitar un enlace GPO

Cuando un vínculo de GPO está deshabilitado, su configuración no se aplicará a los objetos en el contenedor vinculado. A continuación se explica cómo habilitar o deshabilitar un enlace GPO:

En la Consola de administración de políticas de grupo, expanda el bosque y dominio de Active Directory al que pertenece el GPO vinculado.
Expanda el contenedor donde está vinculado el GPO y haga clic derecho en el GPO.
En el menú contextual, marque Enlace habilitado para habilitar el enlace o desmárquelo para deshabilitarlo.

Cómo importar configuraciones de GPO

Puede configurar un GPO importando la configuración desde un GPO de respaldo o un archivo de plantilla. Así es como se hace:

En la Consola de administración de políticas de grupo, navegue hasta la unidad organizativa, dominio o sitio con el GPO al que desea importar la configuración.
Haga clic con el botón derecho en el GPO de destino y seleccione style="color: inicial;">Importar configuración…
Elija el archivo de copia de seguridad o de plantilla (.admx o .adml) que contiene la configuración de GPO deseada y haga clic en style="color: inicial;">Abrir .
Dado que las ubicaciones de copia de seguridad pueden contener varios GPO, seleccione aquella desde la que desea importar la configuración.

Haga clic en Siguiente dos veces, revise el resumen y haga clic en Finalizar para completar el proceso de importación.

Herencia y precedencia de GPO

La herencia y precedencia de la política de grupo determinan cómo se aplican los objetos de la política de grupo a los objetos.

Herencia

La herencia de políticas de grupo sigue la estructura jerárquica de los dominios de AD y las unidades organizativas. Las políticas a nivel de dominio se aplican a todos los objetos (usuarios, computadoras, grupos) del dominio. Las políticas a nivel de unidad organizativa se aplican a objetos dentro de una unidad organizativa específica. Las políticas aplicadas en un nivel superior de la jerarquía las heredan los objetos secundarios, por lo que todas las unidades organizativas del dominio heredan los GPO de nivel de dominio, y todas las subunidades organizativas anidadas bajo esa unidad organizativa heredan una política vinculada a una unidad organizativa.

Sin embargo, puede utilizar la configuración Bloquear herencia en un sitio, dominio u unidad organizativa para evitar que los GPO vinculados a objetos principales se apliquen a objetos secundarios. Establecer el indicador Forzado en GPO individuales anula la configuración de Herencia de bloque.

Para ver los GPO que un objeto hereda de los objetos principales, haga clic en el objeto en GPMC y vaya a la pestaña Herencia de políticas de grupo.

Precedencia

Un dominio, sitio u unidad organizativa determinado puede tener varios GPO vinculados y esas políticas podrían tener configuraciones conflictivas. La precedencia de la política de grupo controla el orden en que se aplican los GPO y, por lo tanto, qué configuración entra en vigor. Cuanto más tarde se aplique un GPO en la secuencia, mayor será su prioridad.

El orden en que se aplican las políticas es el siguiente:

Política de grupo local
GPO a nivel de sitio
GPO a nivel de dominio
GPO a nivel de unidad organizativa

Para ver los GPO vinculados a un objeto, haga clic en el objeto en GPMC y vaya a la pestaña Objetos de política de grupo vinculados. Los GPO con un número de orden de enlace mayor tienen prioridad sobre aquellos con un número menor. Puede cambiar el número de orden del enlace haciendo clic en un GPO y usando las flechas de la izquierda para moverlo hacia arriba o hacia abajo.

Extensibilidad de la política de grupo

Puede ampliar la funcionalidad de la Política de grupo integrando funciones adicionales, configuraciones personalizadas o componentes de terceros. A continuación se muestran varios aspectos de la extensibilidad de la política de grupo:

Plantillas administrativas (archivos .admx): los administradores pueden crear plantillas personalizadas para administrar configuraciones adicionales o configurar políticas personalizadas.
Preferencias de política de grupo personalizadas: puede crear elementos de preferencias personalizados utilizando archivos XML o secuencias de comandos. Estos le permiten administrar cosas como unidades asignadas, impresoras, configuraciones de registro, archivos y accesos directos en las computadoras cliente.
Extensiones del lado del cliente (CSE) de directiva de grupo: puede crear CSE personalizados para agregar configuraciones, políticas o tareas de administración adicionales.
Filtros de política de grupo y filtros WMI: puede crear filtros para orientar la configuración de política de grupo según criterios específicos, como atributos de usuario o computadora.
Herramientas de políticas de grupo de terceros: las soluciones de terceros brindan capacidades de administración adicionales, funciones de generación de informes, herramientas de auditoría y plantillas de políticas.

Copia de seguridad de GPO

Cree copias de seguridad periódicas de sus GPO para asegurarse de tener una copia reciente en caso de eliminación, corrupción o configuración incorrecta accidental o maliciosa. También debe realizar una copia de seguridad de los GPO después de realizar cambios importantes o antes de realizar tareas de mantenimiento que podrían afectar la configuración de la política de grupo.

Establezca una ubicación centralizada para almacenar copias de seguridad de GPO para garantizar un fácil acceso y administración. Considere organizar los archivos de respaldo por dominio, fecha o propósito para facilitar la recuperación y recuperación. Utilice convenciones de nomenclatura descriptivas o metadatos para identificar versiones de copia de seguridad y cambios asociados. Implemente prácticas de control de versiones para realizar un seguimiento de los cambios en los GPO a lo largo del tiempo y mantener un historial de copias de seguridad.

Modelado de cambios en la configuración de políticas de grupo

El modelado de políticas de grupo es una característica de GPMC que permite a los administradores simular cómo actuaría la configuración de políticas de grupo para los usuarios y computadoras en un entorno de Active Directory. Proporciona una forma de predecir el resultado de aplicar configuraciones de políticas de grupo específicas sin implementarlas.

Gestión avanzada de políticas de grupo

La administración avanzada de políticas de grupo (AGPM) es un componente de Microsoft Desktop Optimization Pack (MDOP) que mejora la administración, delegación, control de versiones y auditoría de los objetos de políticas de grupo.

A diferencia de GPMC, AGPM es una aplicación cliente/servidor. El componente del servidor almacena los GPO y sus historiales sin conexión. Los GPO administrados por AGPM se denominan GPO controlados. Los administradores pueden registrarlos y retirarlos, de forma similar a cómo se manejan los archivos o el código en GitHub o un sistema de gestión de documentos.

AGPM ofrece más control sobre los GPO que GPMC. Además del control de versiones, puede asignar funciones como revisor, editor y aprobador a los administradores de políticas de grupo. Esto facilita un estricto control de cambios durante todo el ciclo de vida del GPO. La auditoría AGPM también proporciona una visión más profunda de los cambios en la política de grupo.

Preguntas frecuentes

¿Qué es la gestión de políticas de grupo de Active Directory?

La Política de grupo es una característica de Active Directory que permite a los administradores controlar los ajustes de configuración de usuarios y computadoras. La administración de políticas de grupo es el proceso de creación y mantenimiento de configuraciones de políticas de grupo que imponen la seguridad, implementan software, administran configuraciones de escritorio y más.

¿Cómo se abre la Consola de administración de políticas de grupo?

Para abrir la Consola de administración de políticas de grupo de Active Directory:

Presione la tecla de Windows + R en su teclado.
En el cuadro de diálogo Ejecutar que aparece, escriba gpmc. msc y presione Entrar o haga clic en Aceptar.

¿Cómo puedo instalar la Consola de administración de políticas de grupo?

Para instalar GPMC en un servidor Windows, siga estos pasos:

Inicie el Administrador del servidor. Por lo general, puede encontrarlo en la barra de tareas o puede ubicarlo en el menú Inicio.
En el Administrador del servidor, haga clic en Administrar en la esquina superior derecha y luego seleccione Agregar funciones y características.
En la pantalla "Antes de comenzar", haga clic en Siguiente.
En la pantalla "Seleccionar tipo de instalación", elija Instalación basada en funciones o en funciones y luego haga clic en Siguiente.
Seleccione el servidor donde desea instalar la función GPMC y haga clic en Siguiente.
En la pantalla "Seleccionar funciones", marque la casilla junto a Administración de políticas de grupo. Haga clic en Siguiente.
Revise sus selecciones y haga clic en Instalar.
Espere a que se complete el proceso de instalación. Una vez que vea un mensaje de confirmación, cierre el Administrador del servidor.

¿A qué usuarios se les conceden permisos automáticamente para realizar tareas de administración de políticas de grupo?

El grupo Propietarios del creador de políticas de grupo se crea automáticamente cuando se crea un bosque de Active Directory. Los miembros del grupo pueden crear, editar y administrar objetos de política de grupo a nivel de dominio. Este grupo se utiliza normalmente cuando los administradores desean delegar el control sobre la Política de grupo sin otorgar privilegios administrativos completos. De forma predeterminada, solo el administrador del dominio es miembro de este grupo.