Manual configuración GPO
Upcoming SlideShare
Loading in...5
×
 

Manual configuración GPO

on

  • 607 views

 

Statistics

Views

Total Views
607
Views on SlideShare
241
Embed Views
366

Actions

Likes
0
Downloads
32
Comments
0

3 Embeds 366

http://cyberleon95.blogspot.com 363
http://cyberleon95.blogspot.com.es 2
http://cyberleon95.blogspot.com.ar 1

Accessibility

Categories

Upload Details

Uploaded via as Adobe PDF

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

    Manual configuración GPO Manual configuración GPO Document Transcript

    • CONFIGURACIÓN DE POLÍTICAS O DIRECTIVAS PARA USUARIOS CLIENTES GESTIÓN DE REDES DE DATOS SERVICIO NACIONAL DE APRENDIZAJE DIEGO LEON GIL BARRIENTOS Instructora: ISABEL CRISTINA YEPES OCAMPO Ficha: 464327
    • 1 ¿Qué son las GPO, políticas de grupo en Windows Server? Vamos a tratar de comprender que son las políticas de grupo o GPO de Windows Server, una herramienta fundamental que nos da Microsoft para administrar la infraestructura de nuestro dominio. Básicamente las políticas nos dan el control de los equipos de la red, pudiendo establecer configuraciones para los distintos componentes de sistema operativo, para poder lograrlo vamos a necesitar un Windows Server que tenga el servicio o rol de active directory, y podremos aplicar la configuración a sitios, dominios, unidades organizativas. También debemos tener en claro que las políticas pueden aplicarse a equipos y usuarios. Las GPO’s, en el dominio son heredadas; las aplicadas a un contenedor padre, son aplicadas a su vez a sus hijos, es decir:  Las OU’s de primer nivel heredan del Dominio  Las OU’s hijas heredan de las de primer nivel  Las OU’s de nivel 3º heredan de las hijas Vamos a familiarizarnos con algunos conceptos fundamentales sobre las GPO:  Herencia de GPOs: si aplico una política en el nivel más alto del dominio, bosque o sitio, se distribuirá a los equipos o usuarios que estén en los niveles inferiores.  Bloqueo de Herencia de GPOs: sirve para evitar que se apliquen configuraciones a determinados equipos o usuarios del dominio, por lo general se usa para no aplicarle a los administradores de dominio o equipos puntuales.
    • 2 CONFIGURACION DE POLITICAS O DIRECTIVAS PARA USUARIOS CLIENTES Para realizar la configuración de las políticas de Usuarios y Maquinas debemos organizar en un mismo contenedor ambos elementos. Contenedor=Pruebas >Computador Operario01 > REDES > Usuario Operario01 > Operario 01 Donde REDES es el computador, y Operador01 es el usuario como tal. NOTA: al unir el cliente al dominio el Computador se va por defecto a la carpeta “Computers” el cual lo debemos mover a la carpeta deseada (pruebas). Finalmente queda organizado de la siguiente manera: - Computador Operario01
    • 3 - Usuario Operario01 Ahora podemos crear y aplicar las políticas para el usuario o el computador. Para esto debemos ir al Server Manager > Tools > Group Policy Management. Desglosamos Forest>Domains>sena.com.
    • 4 Dentro del dominio como tal le damos clic derecho a la carpeta llamada “Group Policy Objects” y le damos New. NOTA: Como las políticas de Usuario y Maquina son diferentes, por organización y comodidad de administración crearemos una política para el usuario y otra política para la Maquina. Le damos OK, y repetimos el mismo procedimiento para crear una nueva política ya para las maquinas.
    • 5 Como podemos ver a continuación se crearon 2 nuevas políticas en la carpeta Group Policy Objects. La política como tal ya está creada, pero no está activa en ningún contenedor, por lo tanto procedemos a enlazarlas. Para ello, en la misma interfaz de Group Policy Management, buscaremos nuestra carpeta creada y organizada con los sub contenedores, para ello la desglosamos. Como podemos ver en el contenedor Pruebas, se encuentras los 2 sub contenedores creados previamente, pero ninguno de estos tiene enlazado política alguna. Para enlazar una política le damos clic derecho al sub contenedor y seleccionamos “Link an Existing GPO”.
    • 6 En este ejemplo enlazaremos la política “Politica Maquina” en el contenedor “Computador Operario01”.
    • 7 Damos OK y podremos ver que se enlazo la política. Ahora hacemos lo mismo pero con la política “Politica Usuario” al contenedor “Usuario Operario01”.
    • 8 Ya así quedaron enlazadas nuestras 2 políticas de ejemplo, podemos proceder a configurarlas. PRACTICA 1 - Los Usuarios deben loguearse solamente de 7:00 AM – 8:00 PM. Para esta práctica no utilizaremos una configuración de política como tal, pero haremos una configuración específica del usuario para que tenga una restricción de logueo. Empezamos por la interfaz Server Manager > Tools > Active Directory Users and Computers. Le daremos clic derecho al usuario > Propiedades.
    • 9 Entramos en la pestaña Account. En esta sección seleccionaremos “Logon Hours…” Donde, las casillas en blanco son las horas donde no permite logueo.
    • 10 POLITICA DE USUARIO PRACTICA 2 - Los usuarios no deben tener acceso al panel de control. Para empezar vamos Server Manager > Group Policy Management. En el sub contenedor de “Usuario Operario01” de damos clic y nos mostrará la política enlazada previamente. Esta procedemos a editarla. Para esto damos clic derecho > Edit. Esta es una política de Usuario por lo tanto entramos a “User Configuration” y desglosamos de la siguiente forma. User Configuration > Policies > Administrative Templates > Control panel.
    • 11 Le damos clic a carpeta Control panel y veremos en la parte derecha las politicas generalizadas del panel de control, la cual específicamente solicitada la vimos en la imagen anterior resaltada. Para configurarla le damos clic derecho > Edit. La habilitamos y le damos OK.
    • 12 Como podemos ver la política de Control Panel ya aparece establecida. Ahora verificaremos con el cliente logueado con el Operario01 y no debe permitir entrar al panel de control. NOTA: Se recomienda por velocidad y practicidad utilizar el comando “gpupdate /force” en la interfaz de comandos del cliente (en este caso Windows 8). Si en el cliente tratamos de ingresar al panel de control debe verse una notificación similar a la siguiente:
    • 13 POLITICA USUARIO PRACTICA 3 - Debe usarse el papel tapiz de la empresa y no debe poder cambiarse. Primero ubicamos el logo o la imagen que queremos de papel tapiz para los equipos de los usuarios, recomendable de la siguiente forma: C:PantallaImagen.jpg Nota: Se crea la carpeta “Pantalla” en el disco C del cliente y pegamos el logo o la imagen. Ahora vamos al Servidor a configurar nuestra política de usuario. Para ello vamos a Server Manager > Tools > Group Policy Management. En el sub contenedor de “Usuario Operario01” de damos clic y nos mostrará la política enlazada previamente. Procedemos a editarla. Desglosamos el menú de edición de la política de la siguiente manera: User Configuration > Policies > Administrative Templates > Desktop > Desktop. Damos clic y veremos las políticas a nuestra derecha.
    • 14 Procedemos a editar la política “Desktop Wallpaper”. NOTA: Habilitamos, escribimos la ruta donde está el archivo y escogemos fill para que expanda el papel tapiz. Ahora vamos a editar la política de “Enabled Active Desktop” y la habilitamos.
    • 15 Nos deben quedar establecidas ambas:
    • 16 Ahora verificamos que la política de Wallpaper haya sido aplicada en el cliente. NOTA: Se recomienda por velocidad y practicidad utilizar el comando “gpupdate /force” en la interfaz de comandos del cliente (en este caso Windows 8). Una vez ejecutado este comando se recomienda reiniciar la máquina. La imagen fue establecida exitosamente y no permite cambiarla.
    • 17 POLITICA MÁQUINA PRACTICA 4 - Los usuarios deben cambiar su contraseña cada 30 días. Para esto vamos a Server Manager > Tools > Group Policy Management Justo ahí buscamos nuestro contenedor “Pruebas” y como es una politica de computador buscamos la politica creada previa y exclusivamente para equipos físicos, llamada “Política Maquina”. En Política de máquina damos botón derecho> Editar y se nos abre la ventana “Group Policy Management Editor”. Aquí vamos a la siguiente ruta: Computer Configuration > Policies > Windows Settings > Security Settings > Account Policies > Password Policy. Observaremos las diversas políticas, solo necesitamos habilitar y configurar solo una.
    • 18 Luego vamos y abrimos la ventana de “Maximum password age properties”, doble clic y definimos la política a 30 días y damos ok.
    • 19 Luego definimos en la ventana de “Minimum password age properties” por 1 día. Con esto, ya tendríamos aplicada esta política. Listo, le damos aceptar y salimos del group policy management. Ahora procedemos a demostrar que la política se aplica perfectamente en los clientes. Para esto vamos a modificar la fecha de la maquina anfitriona. NOTA: Para efectuar sincronizadamente el cambio de fecha, los 2 sistemas virtuales deben tener instalado el VirtualBox Additions. Esta es la fecha y hora actual de la maquina anfitriona sincronizada con la máquina virtual.
    • 20 Procedemos a modificar la fecha 30 días, para comprobar que la contraseña caduca. Al modificar la fecha en la maquina anfitriona inmediatamente cambia también en el cliente, en este caso Windows 8. Procedemos a reiniciar la maquina cliente para verificar que efectivamente caducó. Como podemos observar en esta imagen con fecha del 10 de abril, dice que la contraseña expirará en 2 días, sin embargo nos damos cuenta que han pasado 33 días, lo que nos hace pensar que debemos adelantar aún más la fecha y procedemos a hacerlo.
    • 21 La hemos adelantado hasta el 15 de abril y reiniciamos nuevamente el cliente. Al reiniciar y tratar de volver a ingresar al usuario, vemos que la contraseña efectivamente expiró.
    • 22 POLITICA USUARIO PRACTICA 5 - La carpeta Documentos de todos los usuarios, apuntará a una carpeta independiente por usuario que este dentro de la carpeta compartida ControladordominioPublica. Primero creamos la carpeta Pública que va a contener las carpetas “Documentos” de todos los usuarios a los que les aplique la política. NOTA: se crea en el Disco C del Windows Server. A esa carpeta creada llamada “Publica” procedemos a compartirla de la siguiente manera: Clic derecho a la carpeta, propiedades y la pestaña Sharing.
    • 23 Advanced Sharing… Seleccionamos “Share this floder” y le damos clic a Permissions…
    • 24 Procedemos a eliminar el grupo “Everyone”, lo seleccionamos y lo removemos. Cuando no se encuentre ningún grupo, procedemos a añadir un nuevo grupo.
    • 25 Buscamos el grupo “Domain Users” y lo seleccionamos. Aceptamos…
    • 26 Le damos control total al grupo “Domain Users” de la carpeta “Publica”. Aceptamos todo y volvemos al Disco C. De nuevo le daremos clic derecho a la carpeta y le damos “Share With” > Specific People…
    • 27 En esta interfaz observamos que los administradores son los únicos con permisos, procedemos a agregar los usuarios por medio del grupo “Domain Users”. Para esto seleccionamos “Find People…”
    • 28 Buscamos el grupo “Domain Users” y lo seleccionamos. Aceptamos…
    • 29 Como vemos el grupo aparece perfectamente, solo debemos darle permiso de lectura y escritura y ahora si podemos darle compartir. La carpeta está perfectamente creada y compartida, ahora procedemos a configurar y aplicar la política adecuada.
    • 30 Entramos al Server Manager >Tools > Group Policy Management. NOTA: Como la política a configurar es de usuario, en nuestro ejemplo vamos al contenedor que contiene la política respectiva. Clic derecho editar y procedemos a configurarla de la siguiente manera: Entramos a : User Configuration > Policies > Windows Settings > Folder Redirection > Documents.
    • 31 Clic derecho a Documents y seleccionamos propiedades. Lo configuramos de la siguiente manera: NOTA; en Root path, escribimos el nombre de nuestro servidor completo con el dominio y la carpeta creada anteriormente. Aceptamos… La política ya está configurada y perfectamente redireccionada, vamos a comprobarlo: NOTA: En el cliente ejecutamos el comando “gpupdate” y cerramos sesión. Ahora observamos en el cliente la carpeta Documentos.
    • 32 Aparecen carpetas estándar y compartidas con sus sub carpetas. Ahora veremos la carpeta “Publica” en el servidor. Se creó una nueva ruta de carpetas dentro de Publica, con el respectivo nombre de usuario, al cual dentro de este se encuentra la carpeta Documentos de él, la cual no es accesible por el administrador. Para Poder verla y modificarla siendo administradores simplemente agregamos el grupo “Administrators” en opciones de compartir.
    • 33 POLITICA MÁQUINA PRACTICA 6 - Solo los administradores pueden apagar la máquina. Ingresamos a Server Manager > Tools > Group Policy Management. Buscamos nuestro contenedor con la respectiva política de máquina. Procedemos a editarla. Clic derecho, edit y seguimos la siguiente ruta: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > User Rights Assignment. Damos clic y en la parte derecha vemos las políticas y seleccionamos “Shut down the system”.
    • 34 Al selecionarla le damos clic derecho, propiedades y lo configuramos de la siguiente forma: Buscamos el respectivo grupo, seleccionamos “Browse”.
    • 35 Buscamos los grupos y usuarios y escogemos el grupo “Administrators”. Aceptar… Aceptamos Todo…
    • 36 NOTA: Hasta este punto la politica esta configurada para que solo los administradores “logueados” puedan apagar la maquina , sin embargo en la consola de inicio de sesión aun aparece el botón de apagar, y permite apagar, por lo tanto configuraremos una segunda politica que permite deshabilitar dicho botón y por ningún motivo puede ser apagada sin estar logueados. Vamos a Server Manager > Tools > Group Policy Management. Dentro de este buscamos el contenedor nuevamente con la politica de maquina y procedemos a editarla siguiendo esta ruta: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options. Al darle clic veremos las políticas de las cuales configuraremos “Shut Down Allow System to be shut down without having to log on”.
    • 37 La editamos, la definimos como politica y seleccionamos “disabled”. Aceptamos… Ahora procedemos a comprobar, para esto reiniciamos la maquina cliente y verificamos que puede ser apagada solo por el administrador.
    • 38 POLITICA MÁQUINA PRACTICA 7 - Solo los administradores pueden cambiar la hora del sistema. Ingresamos a Server Manager > Tools > Group Policy Management. Buscamos nuestro contenedor con la respectiva política de máquina. Procedemos a editarla siguiendo esta ruta: La seleccionamos y al lado derecho buscamos esta politica “Change the system time”. Clic derecho, propiedades, escogemos el grupo administradores y nos quedará así:
    • 39 Aceptar… Ahora comprobamos con el cliente, tratando de modificar la hora y nos debe salir esta restricción.
    • 40 POLITICA USUARIO PRACTICA 8 - Todas las maquinas tendrán permanente la unidad H que apuntará a la ruta ControladorDominioCompartida. Empezaremos creando la carpeta “Compartida” que contendrá los datos de la unidad H. La creamos igualmente en el Disco C de nuestro server.
    • 41 El mismo procedimiento de prácticas anteriores.
    • 42 Seleccionamos compartir con “Specific People”. Ahora procedemos a configurar la política de usuario para crear y organizar nuestra unidad H. Vamos a Server Manager > Tools > Group Policy Management. Buscamos nuestro contenedor con la respectiva política de usuario.
    • 43 Clic derecho editar y seguimos esta ruta: Damos clic y nos sale esta interfaz. Clic derecho, seleccionamos New > Mapped Drive.
    • 44 Configuramos de la siguiente manera: Ahora ingresamos a la pestaña “Common”. Seleccionamos Item-Level Targeting y previamente se habilitará el botón Targetting, damos clic.
    • 45 Buscamos “Security Group”.
    • 46 Y seguimos el mismo procedimiento para agregar el grupo “Domain Users”.
    • 47 Aceptamos y listo.
    • 48 Ahora podemos ver que se creó exitosamente en el drive maps. Para comprobar crearemos en la carpeta “compartida” desde nuestro servidor un archivo cualquiera de texto y debemos reiniciar nuestro cliente y veremos una nueva UNIDAD H llamada Compartida con este archivo de Texto. Como vemos en nuestro cliente nos aparece la Unidad H, llamada Compartida.
    • 49 Comprobamos viceversa creando desde el cliente un archivo cualquiera en la unidad H y debe aparecer sin problema en la carpeta Compartida del servidor. Ahora observamos en el Server. Nuestra Unidad H funciona perfectamente.