Este documento describe cómo crear y configurar políticas de grupo (GPO) en Active Directory para administrar la configuración de usuarios y equipos de dominio. Explica cómo crear nuevas GPO, editarlas para configurar opciones de software, hardware y seguridad, y vincularlas a unidades organizativas para aplicar dichas configuraciones automáticamente a los usuarios y equipos asignados. Finalmente, concluye que las GPO son una herramienta útil para implementar configuraciones estandarizadas y restringir opciones de forma centralizada en un entorno de domin
3. INTRODUCCIÓN
Las Directivas de Grupo (en adelante GPO) permiten implementar configuraciones específicas para
uno o varios usuarios y/o equipos. Nos centraremos en cómo se debe hacer la gestión correcta de
GPO en Active Directory de Microsoft Windows.
Para la configuración de GPO que sólo afecten a un usuario o equipo local se puede utilizar el editor
de directivas locales gpedit.msc. En nuestro caso accederemos en el entorno de Servicios de
Dominio de Active Directory, con la consola de administración gpmc.msc.
Las GPO permiten administrar objetos de usuarios y equipos, aplicando la más restrictiva en caso de
existir más de una política. Se puede usar una GPO para casi cualquier cosa, como indicar qué
usuario o grupo tiene acceso a una unidad de disco, o limitar el tamaño máximo que puede tener
un archivo.
Las GPO se pueden diferenciar dependiendo del objeto al que configuran y se pueden entender en
distintos niveles:
Equipo Local: tan solo se aplican en el equipo que las tiene asignadas independientemente
del dominio al que pertenezca.
Sitio: se aplican a los equipos y/o usuarios de un sitio, independientemente del dominio.
Dominio: se aplican a todos los equipos y/o usuarios de un dominio.
Unidad Organizativa (OU): se aplican únicamente a los equipos y/o usuarios que pertenecen
a la OU.
4. DESARROLLO
Creación de políticas de grupo (GPO)
Para crear una política de grupo tenemos que irnos al administrador de servidor y después en
herramientas y buscar “Administración de directivas de grupo”.
Al salir la pantalla de las directivas de grupo podremos observar como aparece el dominio que
estamos usando y las Unidades Organizativas que tiene creadas. Nos iremos a “Objetos de
directivas de grupo”.
En este apartado podemos visualizar todas las directivas que han sido creadas así como crear
nuevas.
5. Sólo daremos clic derecho y en Nuevo:
Una vez ahí nos aparecerá una ventana en la cual le daremos el nombre a nuestra política nueva y
dejaremos la siguiente opción tal como está, sin origen.
Una vez hecho eso, ya nos mostrará creada y habilitada nuestra política de grupo.
Ahora lo que hay que hacer es empezar a cargar las distintas políticas del grupo a las unidades
organizativas o bien a los dominios que queramos, en este caso serán a las UO dentro del domino
tescha.com para afectar a todos los usuarios que están dentro de esta. Damos clic derecho en editar:
6. Configuración de la administrativa de grupo GPO
Nos mostrará una ventana como la siguiente:
Nos iremos a Directivas->Plantillas administrativas->Sistema->Servicios de configuración regional
7. Daremos clic en editar a cualquiera de estas plantillas:
Al hacer esto nos abrirá la siguiente ventana:
Aquí lo único que nos importa es marcar a la opción habilitada y esto es, para que no deje cambiar
la zona demográfica a nuestro usuario, ahorita al poner el ejemplo notaremos como esta opción
estará bloqueada, sin embargo, si le damos en deshabilitada es como si estuviera en No configurada
y el usuario podrá modificar esta opción libremente.
8. Modificaremos unas cuantas cosas más que el usuario no podrá realizar en su ordenador:
Ahora bien, una vez seleccionado lo que no querramos que nuestro usuario haga empezaremos a
unir esta GPO a nuestra UO.
Cerramos esa ventana y nos vamos a buscar la UO que querramos aplicarle esta política y daremos
clic derecho sobre la UO y luego en “Vincular una GPO existente…”
Vincular GPO existente a una UO
Seleccionamos cual es la política que asignaremos a esta UO:
9. Notaremos una barra que nos indica que las políticas se están aplicando:
Actualización del cliente para las GPO
Ahora del lado del cliente nos iremos a comprobar que se aplicó correctamente la GPO. Abriremos
la consola de nuestro cliente y digitaremos los siguientes códigos para que se nos actualice las
directivas.
Una vez hecho esto reiniciaremos el equipo y al meternos a cualquiera de lo que hayamos
bloqueado por la política ya no nos mostrará. Veamos el ejemplo con la configuración regional, del
lado del servidor.
10. Como vemos ya no puede seleccionar otra ubicación.
Ahora nos vamos a la personalización de la pantalla y notaremos como los temas para Windows
están en gris, esto quiere decir que nuestro Administrador bloqueo correctamente cambiar el tema.
Ahora y por último para este usuario abrimos panel de control y daremos clic en desinstalar un
programa:
11. Nótese como nos dice esto:
Configurar un software en la GPO
Esto quiere decir que nuestra política está funcionando correctamente.
Ahora vamos a instalar de manera automática un Software a nuestro usuario pero desde la GPO
esto se logra usando un archivo con formato .msi, en este caso instalaremos Firefox. Para esto
primero una vez descargado nos vamos del lado del servidor y colocamos el software en el lugar
que queramos que se instale, por ejemplo, al ponerlo en una UO se implementará en todos los
usuarios.
Una vez colocado en la ventana de directivas de grupo, en la carpeta directivas y luego en software
le damos en Nuevo y seleccionamos la ruta de donde se encuentra nuestro archivo.
12. Al dar clic en abrir nos aparecerá este mensaje:
Nos dice en pocas palabras que si no está compartido en un recurso compartido no se podrá instalar
o ser usado por los usuarios. Daremos clic en seguir esta.
Nos pedirá que seleccionemos como implementar el software, daremos que en Asignada para que
lo asigne automáticamente.
Una vez hayamos hecho todo bien notaremos como en la parte de editor de administración de
directiva ya aparece el software que instalaremos.
13. Una vez en nuestro cliente abriremos la consola.
Y una vez más ejecutaremos el código gpudate y gpupdate /force para que nos actualice las
directivas.
En cuanto lo hagamos notaremos un acceso directo del programa o bien en el Inicio.
14. Lo único que queda es implementar nuevas GPO y asignarlas a las UO que teníamos anteriormente
para aplicarles lo mismo a los 20 usuarios que aún nos restan.
Hay muchas cosas que hacer por ejemplo a Martha Villalobos en Control escolar le quitamos la
opción de que no pueda cambiar el fondo de pantalla:
Aquí se muestran todas las políticas creadas para las diferentes UO.
CONCLUSIONES
Es a veces importante y necesario crear estas políticas de grupos para los usuarios de ciertas áreas
ya que puede ser de gran utilidad para prohibir ciertas cosas que queramos que no puedan cambiar
por ningún motivo o incluso que no puedan modificarlo aun pidiendo la contraseña del
administrador.
También pueden ahorrar y optimizar tiempos a la hora de instalar softwares pues sólo se configura
la directiva para que haga esto en cualquier usuario.
