Definición de objetos de directiva de grupo

La característica de directiva de grupo de Windows sistemas operativos ha proporcionado una infraestructura con la que los administradores pueden definir la configuración de forma centralizada y, a continuación, implementarlos en equipos de todas sus organizaciones.

El personal de TI de Contoso puede definir, aplicar y actualizar toda su configuración mediante la configuración de GPO. Mediante el uso de la configuración de GPO, pueden aplicar un conjunto de opciones de configuración a un sitio completo o a un dominio dentro de su organización, o bien pueden restringir su enfoque a una sola unidad organizativa que representa un departamento.

¿Qué es Directiva de grupo?

La directiva de grupo es un marco en sistemas operativos Windows con componentes que residen en AD DS, en controladores de dominio y en cada windows Server y cliente. Con estos componentes, puede administrar la configuración en un dominio de AD DS. Usted define la configuración de Directiva de grupo en un Objeto de directiva de grupo (GPO). Un GPO es un objeto que contiene una o más configuraciones de directiva que se aplican a una o varias opciones de configuración para un usuario o un equipo.

Una directiva de grupo es una herramienta administrativa de gran eficacia. Las GPO se pueden usar para aplicar varias configuraciones a un gran número de usuarios y equipos. Dado que puede aplicarlos a distintos niveles, desde el equipo local al dominio, también puede ajustar estas configuraciones con precisión. Una directiva de grupo se usa principalmente para configurar los valores que no quiere que configuren los usuarios. Además, puede usar la directiva de grupo para estandarizar entornos de escritorio en todos los equipos de una unidad organizativa (OU) o en toda una organización. También puede usar la directiva de grupo para proporcionar seguridad adicional, configurar algunas opciones avanzadas del sistema y para otros fines descritos en una unidad de demostración posterior.

¿Qué son los GPO?

Un objeto de directiva de grupo (GPO) es una colección de configuraciones de directiva de grupo. Una configuración de directiva individual define una configuración específica, por ejemplo, una configuración de directiva que impide que un usuario acceda a las herramientas de edición del registro. Si define esa configuración de directiva y, a continuación, la aplica a un usuario, este no podrá ejecutar herramientas como Regedit.exe.

Algunas configuraciones afectan a un usuario, lo que se conoce como parámetros de configuración de usuario o directivas de usuario, y otras afectan al equipo, lo que se conoce como parámetros de configuración del equipo o directivas de equipo.

Una directiva de grupo administra varias configuraciones de directiva y su marco es extensible. Con las directivas de grupo puede administrar prácticamente todos los valores configurables.

Para definir una configuración de directiva:

1. En el Editor de administración de directivas de grupo, busque la configuración de directiva y seleccione Entrar. Aparece el cuadro de diálogo Propiedades de configuración de directiva.
2. Cambie el estado de la directiva a Habilitada o Deshabilitada. La mayoría de las configuraciones de directiva pueden tener tres estados: No configurada, Habilitada y Deshabilitada.
3. Si es necesario, configure los valores adicionales y, cuando haya finalizado, seleccione Aceptar.

Los GPO almacenan la configuración de la directiva de grupo. En un nuevo GPO, cada configuración de directiva tiene como valor predeterminado No configurado. Al habilitar o deshabilitar una configuración de directiva, Windows Server modifica la configuración de los usuarios y los equipos a los que se aplica el GPO.

Para crear un GPO en un dominio:

1. En Administración de directivas de grupo, haga clic con el botón derecho o acceda al menú contextual del contenedor Objetos de directiva de grupo y, a continuación, seleccione Nuevo.
2. Para modificar los valores de configuración de un GPO, haga clic con el botón derecho o acceda al menú contextual del GPO y, a continuación, seleccione Editar. Al hacerlo, se abre el complemento Editor de administración de directivas de grupo.

El Editor de administración de directivas de grupo muestra todas las configuraciones de directiva disponibles en un GPO en una jerarquía organizada, que comienza con la división entre la configuración del equipo y la configuración de usuario: el nodo Configuración del equipo y el nodo Configuración de usuario.

Los GPO se muestran en un contenedor denominado Objetos de directiva de grupo. Los dos niveles siguientes de la jerarquía son los nodos denominados Directivas y Preferencias. Al avanzar por la jerarquía, vemos que el Editor de administración de directivas de grupo muestra distintas carpetas, llamadas nodos o grupos de configuración de directivas. Las configuraciones de directiva se encuentran en las carpetas.

Configuración del equipo y Configuración de usuario

En la parte superior de cada GPO, la configuración se divide en dos nodos. Esta división es la distinción estructural más importante en un GPO porque determina lo que afecta cada configuración:

• Configuración del equipo contiene opciones que se aplican a un equipo, independientemente de qué usuario inicie sesión. Estas opciones definen el comportamiento del sistema operativo, la configuración de seguridad, los scripts de inicio y apagado y la configuración de la aplicación en todo el sistema. Entre los ejemplos se incluyen los requisitos de contraseña y bloqueo de cuenta, el comportamiento de inicio del servicio y la configuración que controlan los componentes de Windows para cada usuario del dispositivo.
• La configuración de usuario contiene opciones que se aplican a un usuario, independientemente del equipo al que inicie sesión el usuario. Esta configuración define el entorno de escritorio, como la apariencia del menú Inicio, los scripts de inicio de sesión y de cierre de sesión, la redirección de carpetas y las restricciones en las herramientas y Panel de control elementos a los que un usuario puede acceder.

Muchas opciones de configuración solo aparecen en uno de los dos nodos porque solo son relevantes para un equipo o solo para un usuario. Algunas opciones aparecen en ambos nodos, en cuyo caso cada instancia configura su propio destino.

Directivas y preferencias

Dentro de los nodos Configuración del equipo y Configuración de usuario, la configuración se agrupa en dos nodos adicionales: Directivas y preferencias, que se comportan de forma diferente:

• Las directivas contienen la configuración administrada que aplica la directiva de grupo. Normalmente, un usuario no puede cambiar una configuración administrada y, cuando el GPO ya no se aplica, la configuración vuelve a su valor anterior. La mayoría de las configuraciones de directivas escriben en áreas protegidas del registro.
• Las preferencias contienen opciones que establecen una configuración inicial que un usuario puede cambiar posteriormente. Las preferencias no se aplican y, de forma predeterminada, no se quitan cuando el GPO ya no se aplica. Los elementos de preferencia también admiten la segmentación de nivel de elemento, que permite que un único elemento solo se aplique cuando se cumplen condiciones definidas, como un sistema operativo específico, un grupo de seguridad o un nombre de equipo.

La diferencia práctica entre los dos se reduce a la aplicación, la persistencia y cómo el cliente escribe la configuración. Las directivas son managed: el cliente las escribe en cuatro claves del Registro reservadas y restringidas (las ramas Policies en HKEY_LOCAL_MACHINE y HKEY_CURRENT_USER) y una aplicación Windows compatible lee esas claves y deshabilita la interfaz correspondiente para que el usuario no pueda invalidar el valor. Dado que las directivas residen en este espacio reservado, se quitan y se vuelven a escribir cada vez que se actualiza la directiva de grupo y, cuando el GPO está fuera del ámbito, ya que se elimina, desvincula o se filtra fuera del destino, el valor desaparece y la configuración vuelve a su valor predeterminado. Este comportamiento de actualización y reversión es la razón por la que las directivas son idóneas para las configuraciones que quiera bloquear y mantener aplicadas de forma continua. Las preferencias, por el contrario, no están administradas: el cliente las escribe en las mismas ubicaciones del registro y del sistema de archivos que un usuario o administrador configuraría manualmente, por lo que la configuración es idéntica a una establecida por mano y la interfaz que controla que permanece totalmente disponible. Por lo tanto, una preferencia "deja marcada" la configuración: persiste incluso después de que el GPO ya no se aplique, a menos que elija explícitamente la opción Aplicar una vez y no volver a aplicar o la opción Quitar este elemento cuando ya no se aplique para ese elemento. Las preferencias aportan una flexibilidad de la que carecen las directivas, incluida la segmentación a nivel de elemento para una aplicación condicional detallada, varias acciones por elemento (Crear, Reemplazar, Actualizar y Eliminar) y la capacidad de configurar elementos que no tienen ninguna opción de directiva en absoluto, como unidades asignadas, accesos directos, tareas programadas y la pertenencia a grupos locales. Como regla general, utilice una directiva cuando necesite que una configuración sea obligatoria y se revierta automáticamente, y utilice una preferencia cuando necesite proporcionar una configuración inicial adecuada que los usuarios aún puedan ajustar o que solo se aplique a un subconjunto de equipos o usuarios.

Nodo Directivas

El nodo Directivas contiene tres subcarpetas en Configuración del equipo y Configuración de usuario:

• Configuración de software contiene la extensión de instalación de software , que se usa para implementar aplicaciones en equipos o usuarios.
• Windows Settings contiene las opciones que configuran el sistema operativo. Entre los elementos comunes se incluyen Scripts (inicio y apagado de los equipos, inicio y cierre de sesión de los usuarios), Configuración de seguridad (como directivas de cuenta, directivas locales y Firewall de Windows Defender), Directiva de resolución de nombres y Impresoras implementadas. En Configuración de usuario, esta carpeta también incluye redirección de carpetas.
• Plantillas administrativas contiene cientos de configuraciones basadas en el Registro, organizadas en carpetas como Panel de control, Network, System, Printers y Windows Components. Cada configuración de esta carpeta corresponde a un valor del Registro específico que controla el comportamiento de Windows o una aplicación.

El nodo Preferencias

El nodo Preferencias organiza los elementos de preferencia en grupos relacionados:

• Windows Settings incluye elementos como Drive Maps, Environment, Files, Folders, Registry y Shortcuts.
• Panel de control Settings incluye elementos como Data Sources, Devices, Usuarios y grupos locales, Power Options, Printers, Scheduled Tasks y Services.

Estructura de una configuración de directiva individual

Una única configuración de directiva es el elemento más granular de un GPO, pero cada configuración es más que un conmutador de encendido y apagado simple. Al abrir una configuración, su cuadro de diálogo Propiedades expone varios elementos:

• Estado de la configuración: No configurado, Habilitado o Deshabilitado.
• Cualquier opción o valor adicional que esté disponible cuando la configuración esté habilitada. Por ejemplo, habilitar una directiva de longitud mínima de contraseña requiere que especifique el número de caracteres.
• Un panel de texto de ayuda explicativo que describe lo que hace la configuración y cómo interactúan sus opciones.
• Compatible con la información que identifica las versiones del sistema operativo y las aplicaciones que admiten esta configuración. Un destino que no cumple el requisito ignora la configuración.

Dado que la mayoría de las configuraciones de directiva se basan en el Registro, habilitar o deshabilitar una configuración hace que el cliente escriba un valor correspondiente en el Registro. Cuando un valor vuelve a No configurado, la directiva de grupo quita ese valor y la configuración vuelve a su valor predeterminado.

¿Qué son los GPO de inicio?

Un GPO de inicio se puede usar como plantilla a partir de la que se crean otros GPO en la Consola de administración de directivas de grupo. Los GPO de inicio solo tienen configuración de plantilla administrativa. Puede usar un GPO de inicio como punto de partida para crear nuevos GPO en el dominio. Es posible que el GPO de Starter ya incluya configuraciones específicas que sean prácticas recomendadas para su entorno. Los GPO de inicio pueden exportarse a archivos .cab o importarse desde estos para facilitar y hacer más eficaz la distribución a otros entornos.

Microsoft incluye GPO de inicio preconfigurados para los sistemas operativos cliente de Windows. Estos GPO de inicio tienen una configuración de Plantilla administrativa que refleja los procedimientos recomendados por Microsoft para la configuración del entorno de cliente.