Implementación y Gestión de Directivas de Grupo (GPO) en Entornos Windows Server

Administración de Directivas de Grupo (GPO)

En Windows existen directivas de grupo que el administrador puede editar según su criterio para personalizar el comportamiento del equipo. Para cambiar directivas de grupo en varios equipos del dominio se usa la herramienta de configuración centralizada en entornos de Windows Server.

Concepto de Directivas de Seguridad y GPO

Las directivas de seguridad son objetos del Directorio Activo (DA) denominados Objetos de Directiva de Grupo (Group Policy Objects - GPO). Un GPO es un objeto que contiene una o varias directivas de grupo que se aplican a la configuración de usuarios o equipos.

Tipos de Objetos de Directiva de Grupo (GPO)

• GPO Locales: Se aplican únicamente al equipo local y están diseñados para equipos que no forman parte de un dominio.
• GPO No Locales: Se crean en el dominio y se vinculan a un sitio, dominio, Unidad Organizativa (UO), usuarios o equipos.

GPO No Locales Predeterminados

De forma predeterminada, al crear el Directorio Activo (DA), se crean dos GPO no locales esenciales:

1. Directiva Predeterminada de Dominio (Default Domain Policy): Se vincula al dominio y afecta a todos los usuarios y equipos dentro de este.
2. Directiva Predeterminada de Controladores de Dominio (Default Domain Controller Policy): Se vincula únicamente a los controladores de dominio.

Orden de Aplicación de las Directivas (LSDOU)

Para evitar conflictos en la aplicación de directivas, se establece un orden concreto de procesamiento. Las directivas aplicadas posteriormente sobrescriben las anteriores:

1. Se aplica el GPO local del equipo.
2. Se aplican los GPO vinculados al sitio.
3. Se aplican los GPO vinculados al dominio.
4. Se aplican los GPO vinculados a las Unidades Organizativas (UO) (de primer nivel, segundo, y subsiguientes).

Estructura y Configuración de GPO

Grupos Principales de Directivas de Seguridad

Las directivas de grupo se dividen en dos grandes categorías, basadas en el objeto al que afectan y el momento de su aplicación:

• Configuración de Equipo: Incluye políticas y parámetros de seguridad del equipo. Se aplican cada vez que el equipo se reinicia.
• Configuración de Usuario: Incluye políticas y parámetros de configuración del usuario. Se aplican cada vez que el usuario inicia sesión.

Subcategorías de Configuración

Cada una de las categorías principales (Equipo y Usuario) se subdivide en las siguientes secciones:

1. Configuración de Políticas

• Configuración de Software: Gestión de la instalación automática de software.
• Configuración de Windows: Incluye configuraciones de seguridad y la aplicación de scripts.
• Plantillas Administrativas: Permiten configurar componentes de Windows, impresoras, Panel de Control, red y sistema.

2. Preferencias

Las preferencias permiten configurar elementos específicos del entorno:

• Configuración de Windows: Variables de entorno, accesos directos, unidades de red, etc.
• Configuración del Panel de Control: Instalación de impresoras, gestión de usuarios, grupos, opciones de energía, entre otros.

Frecuencia de Aplicación y Actualización

La configuración de las directivas se aplica de dos maneras principales:

• Configuración de Equipo: Se aplica al arrancar el equipo y, posteriormente, cada 90 a 120 minutos.
• Configuración de Usuario: Se aplica al iniciar sesión y, posteriormente, cada 90 a 120 minutos.

Para forzar la aplicación inmediata de las directivas, se utiliza el comando de consola gpupdate.

Administración de Directivas de Grupo Local

Las directivas de grupo local son un conjunto de opciones de configuración de usuario y equipo que especifican el funcionamiento del sistema. Aunque las GPO se usan principalmente en dominios, las directivas locales se pueden configurar para equipos, sitios, dominios o UO.

Para acceder y configurar las directivas locales, se utiliza la herramienta gpedit.msc.

Consola de Administración de Directivas de Grupo (GPMC)

Al ejecutar la Consola de Administración de Directivas de Grupo, se visualizan las directivas predeterminadas:

• La directiva general Default Domain Policy para el dominio.
• La directiva Default Domain Controller Policy, ubicada dentro de la carpeta Domain Controllers.

También se muestran las carpetas de clientes, GPO de inicio y las Unidades Organizativas (UO).

Creación y Personalización de GPO en UO

Para crear y personalizar un GPO asociado a una Unidad Organizativa (UO), siga estos pasos:

1. Seleccionar la UO deseada.
2. Hacer clic derecho y seleccionar la opción: "Crear un GPO en este dominio y vincularlo aquí" o "Vincular un GPO existente".
3. Indicar el nombre de la nueva directiva o seleccionar la ya existente.
4. Una vez que aparezca la directiva, hacer clic derecho sobre ella y seleccionar Editar para acceder al Editor de Administración de Directivas de Grupo.