Infraestructura de directivas de grupo

1. Orden de aplicación en el puesto de trabajo

Las directivas de grupo se aplican en el puesto en función de un orden preciso bien definido. La primera directiva que se aplica en el puesto es la directiva local (si existe alguna directiva presente). A continuación, se recuperan las GPO de Active Directory y se aplican en el siguiente orden.

La GPO del sitio AD es la primera que se recupera. Las directivas aplicadas a la raíz del dominio (Default Domain Policy o cualquier otra directiva configurada) se recuperan a continuación. Por último, se recuperan las configuradas sobre una OU o una sub-OU.

Es posible realizar este vínculo sobre una entidad de seguridad (equipo o usuario). Es necesario enlazarla a algún contenedor (OU, dominio...). La directiva que se aplica en último lugar es aquella definida a nivel de OU. En caso de conflicto con algún parámetro, es la última GPO recuperada (es decir, la correspondiente a la OU) la que se aplica. Para modificar este orden de prioridad es posible bloquear la herencia o aplicar (forzar) una directiva específica....

1. Introducción

Cuando se abre sesión en un servidor TS (Terminal Server) o en un puesto cliente, la directiva resultante que se aplica es una combinación de la configuración del usuario y del equipo. Puede ser necesario, en un servidor TS, prohibir la aplicación de la configuración del usuario conectado.

El procesamiento de bucle permite aplicar los parámetros Configuración de usuario de la directiva de grupo del equipo sobre la que se inicia la sesión. Todos los usuarios reciben los mismos parámetros.

Es posible configurar dos modos: el modo Sustituir y el modo Fusionar. El primero elimina los parámetros Configuración de usuario configurados en la cuenta de usuario para atribuirles aquellos configurados en la GPO de la cuenta de equipo sobre la que se abre la sesión. El segundo modo realiza una fusión entre los parámetros Configuración de usuario de la cuenta de usuario y aquellos configurados en la directiva de grupo de la cuenta del equipo.

De este modo es posible asegurar la uniformidad de la configuración para el conjunto de usuarios que inician una sesión en el servidor TS (Terminal Server). El modo se selecciona mediante el parámetro Configurar el modo de procesamiento de bucle invertido de la directiva de grupo de usuario existente en Configuración del equipo\Directivas\Plantillas administrativas\Sistema\Directiva...

1. Archivo ADMX/ADML

Los parámetros de las plantillas administrativas están contenidos en archivos con la extensión ADMX. Estos archivos se ubican en C:\Windows\PolicyDefinitions y es posible abrirlos con Notepad.

A diferencia de las antiguas plantillas administrativas de Windows Server 2003, los archivos ADMX son archivos XML. Resulta, por tanto, mucho más sencillo crear un archivo personalizado. Se utilizan dos tipos de archivo:

Es posible agregar plantillas antiguas basadas en el modelo adm.

1. Bloquear la herencia

Bloquear la herencia consiste en implementar un bloqueo a cierto nivel de la arborescencia. Esta funcionalidad permite evitar conflictos (dos parámetros aplicados que se contradicen, por ejemplo) asegurando que las GPO configuradas en el padre no se atribuyen al hijo. Para verificar el orden de aplicación de las directivas es posible utilizar la pestaña Herencia de directivas de grupo. Esta pestaña está presente haciendo clic en una OU.

No se aplica, en adelante, ninguna directiva sobre la OU.

El círculo azul ubicado sobre el icono de la OU permite resaltar que existe un bloqueo en la herencia.

2. Aplicar una directiva de grupo

La opción Aplicar una directiva de grupo no consiste en vincular una GPO a una OU; el propósito de esta opción...

1. Presentación de las preferencias de las directivas

Las preferencias de directivas de grupo ofrecen a los administradores la posibilidad de configurar nuevos parámetros. Ahora es posible configurar las opciones de las carpetas, las impresoras, las tareas planificadas, los servicios, el menú Inicio...

Además, el destino ofrece una flexibilidad mayor que las directivas (GPO). Es posible ajustarlo a partir de diversos elementos (sistema operativo, rango de direcciones IP...).

A diferencia de las directivas, que entorpecen la interfaz de usuario (el usuario no puede modificar la configuración establecida por el administrador), las preferencias dejan la posibilidad a un usuario de modificarlas. Tomemos como ejemplo el Proxy de IE: si configura la conexión al proxy en IE mediante las preferencias, el usuario tendrá la posibilidad de anular la conexión a un proxy cuando esté fuera de la empresa.

2. Configuración de parámetros mediante preferencias

1. Creación de un usuario local

La primera etapa es la elaboración de un script. Las distintas etapas se detallan a continuación; sin embargo es posible recuperar el script final (CuentaLocal.ps1) desde la página Información.

En primer lugar vamos a definir las variables que contendrán el nombre de la cuenta de usuario local y la del equipo.

$localUsers='LocalAdmin'  
$ComputerName=$Env:COMPUTERNAME 

A continuación vamos a recuperar en la variable $AllLocalAccounts el conjunto de cuentas de usuario presentes en la base SAM del ordenador. El nombre de este último se define mediante la variable $Computer.

$AllLocalAccounts = Get-WmiObject -Class Win32_UserAccount   
-Namespace "root\cimv2" -Filter "LocalAccount='$True'"   
-ComputerName $ComputerName -ErrorAction Stop 

Si el ordenador contiene una cuenta llamada LocalAdmin, el script se detiene. En caso contrario, se crea la cuenta. La contraseña definida en la variable $pass se utiliza para el usuario. La cuenta local se agrega al grupo Administradores del equipo local y a continuación se configura la opción "la contraseña nunca expira".

if($AllLocalAccounts.name -Contains $localUsers)  
  {  
       exit     
  }  
   else  ...