Los objetos de directiva de grupo (GPO) son colecciones de configuraciones que definen cómo se verá un sistema y cómo se comportará para los usuarios y las computadoras.Los GPO se pueden aplicar a sitios, dominios o unidades organizativas (OU), y se pueden vincular directamente a los objetos involucrados o a contenedores por encima de ellos en la jerarquía de Active Directory.La vinculación de un GPO a un objeto se denomina «destinar» el GPO.
Una vez creados, los GPO se pueden editar con el complemento Consola de administración de directivas de grupo (GPMC) para MMC o con la herramienta de línea de comandos Gpupdate.Para editar un GPO mediante GPMC:
5Haga clic con el botón derecho en la(s) unidad(es) organizativa(s) de destino, en la(s) que desea que se aplique este GPO en particular, y elija «Vincular un GPO existente» en el menú contextual que aparece, como se muestra en la Figura 11-3; como alternativa, simplemente puede arrastrar cualquier GPOS desvinculado desde otro lugar hasta su(s) contenedor(es) de destino.Al hacerlo, aparece un cuadro de diálogo que le permite 6confirmar qué GPO en particular le gustaría vincular aquí antes de realizar realmente la operación de vinculación; simplemente seleccione el GPO apropiado de la lista desplegable y luego haga clic en Aceptar para continuar (como se muestra en la Figura 11).
- Abra la GPMC haciendo clic en Inicio → Herramientas administrativas → Administración de directivas de grupo.Esto inicia la consola de administración de directivas de grupo que se muestra en la Figura 11-
- En el panel izquierdo, expanda Bosque → Dominios → nombre_dominio para encontrar la unidad organizativa que contiene sus objetos de destino en la vista de árbol, como se muestra en la Figura 11. En este ejemplo, hemos navegado a contoso.com → Unidad organizativa de cuentas de usuario donde nuestra cuenta de usuario de prueba reside (Usuario.
- (Opcional) Haga clic con el botón derecho en una unidad organizativa y seleccione «Crear un GPO en este dominio y vincularlo aquí».Esto crea un nuevo GPO en esa ubicación sin configuraciones configuradas todavía; luego puede editarlo según sea necesario antes de vincularlo (destinar) a cualquier unidad organizativa debajo de él en la vista de árbol; esto le evita tener que usar arrastrar y soltar más adelante si desea que varias unidades organizativas se dirijan con esta misma configuración GPO exacta ( algo que es bastante común).
- (Opcional) Si hace clic con el botón derecho en un contenedor sobre su unidad organizativa de destino en Usuarios y equipos de Active Directory (como Controladores de dominio u otra unidad organizativa de nivel superior), puede vincular los GPO existentes aquí sin tener que ir hasta el final de cada uno. subcontenedor individual uno por uno: esto es útil si está apuntando a un dominio o sitio completo a la vez en lugar de unidades organizativas específicas dentro de esos contenedores más grandes.
- .
¿Cuáles son los pasos para editar un GPO en Active Directory?
Hay algunos pasos para editar un GPO en Active Directory.El primer paso es abrir la consola Usuarios y equipos de Active Directory.A continuación, debe encontrar el GPO que desea editar.Para hacer esto, use la función de búsqueda en el lado izquierdo de la ventana de la consola.Una vez que haya encontrado el GPO, haga clic en él para abrirlo en su propia ventana.Finalmente, deberá acceder a las propiedades del GPO.Para ello, haga clic en el triángulo junto al nombre de la GPO en su lista de políticas.Esto abrirá un cuadro de diálogo donde puede cambiar algunas de sus configuraciones.
¿Cómo puedo cambiar la configuración de un GPO en Active Directory?
Hay algunas formas de editar un GPO en Active Directory.
La forma más sencilla es utilizar la herramienta Usuarios y equipos de Active Directory.Puede abrir esta herramienta haciendo clic en el botón Inicio, escribiendo «Directorio activo» en el cuadro de búsqueda y presionando Intro.Luego, haga clic en el nombre de dominio con el que desea trabajar y haga clic en la pestaña Bosque.A continuación, haga clic en la carpeta Dominios y luego en el dominio con el que desea trabajar.Finalmente, haga doble clic en su nombre de dominio en la lista de dominios, o selecciónelo con las teclas de flecha.
Si no tiene acceso a Usuarios y equipos de Active Directory, también puede editar un GPO abriendo ADSI Edit (que se incluye con Windows Server). Para abrir ADSI Edit, escriba «adsiedit» en el cuadro de búsqueda del menú Inicio y presione Entrar.Luego escriba su nombre de dominio en la barra de direcciones de ADSI Edit (por ejemplo: «c:windowssystem32adsiedit»). A continuación, haga clic con el botón derecho en su nombre de dominio en la vista de árbol de ADSI Edit y seleccione Nuevo > Objeto de directiva de grupo en su menú contextual.
Una vez que haya abierto Usuarios y equipos de Active Directory o ADSI Edit (o la herramienta que esté utilizando), vaya a su nombre de dominio/GPO/Políticas/Configuración de Windows/Configuración de seguridad. Verá una lista de todos sus GPO aquí.Haga doble clic en cualquiera de estas políticas para abrir su ventana de configuración.
Para cambiar una configuración en un GPO, primero busque qué tipo de configuración es, por ejemplo, Configuración de seguridad o Clave de registro, y luego busque la hoja de propiedades adecuada dentro de la ventana de esa configuración.Por ejemplo: si quisiera cambiar la frecuencia con la que se generan los registros para una política de seguridad en particular, buscaría Propiedades de registro en la sección Registro de Configuración de seguridad. Una vez que haya encontrado lo que está buscando, haga doble clic en él para abrir su hoja de propiedades.Allí encontrarás opciones como Frecuencia (en segundos) y Nivel.
¿Cuál es el proceso para modificar un GPO en Active Directory?
El proceso para modificar un GPO en Active Directory es el siguiente:
- Abra la consola Usuarios y equipos de Active Directory.
- En el panel izquierdo, en Política de dominio predeterminada, haga clic en el GPO que desea modificar.
- En el panel derecho, haga doble clic en el elemento de política que desea editar.
- En la pestaña General, cambie cualquiera de las configuraciones que desee cambiar.
- Haga clic en Aceptar para guardar los cambios y cerrar la ventana.
¿Cómo se editan los GPO en Active Directory?
Hay algunas formas de editar GPO en Active Directory.Puede usar la Consola de administración de directivas de grupo (GPMC) o los cmdlets de Windows PowerShell.También puede usar el complemento Microsoft Management Console (MMC) para las herramientas administrativas de Active Directory (ADAM).
¿Es posible editar varios GPO a la vez en Active Directory?
Sí, es posible editar varios GPO a la vez en Active Directory.Para hacer esto, primero debe abrir la consola Usuarios y equipos de Active Directory (dsa.msc) y luego navegar hasta el controlador de dominio que contiene el GPO que desea editar.A continuación, abra la Consola de administración de directivas de grupo (gpmc) en ese mismo controlador de dominio.Finalmente, use los siguientes pasos para editar su GPO:
- En la consola gpmc, expanda su dominio y seleccione su GPO de la lista de objetos que se muestran.
- En la pestaña Inicio de la cinta, haga clic en Editar.Se abre la ventana Editar política de grupo.
- En esta ventana, en Ámbito, haga clic en Todas las configuraciones o en una configuración específica, como Configuración del equipoPolíticasConfiguración de WindowsConfiguración de seguridadPolíticas localesOpciones de seguridad.
- En Acciones, haga clic en Nuevo. Aparece el Asistente para nuevo objeto de directiva de grupo.
- En el campo Nombre, escriba un nombre para su nuevo GPO (por ejemplo, MyNewGPO).
- En la pestaña General, establezca una descripción para su nuevo GPO (por ejemplo, MyNewGPO – Configuración de seguridad).
- Haga clic en Aceptar . El asistente crea su nuevo GPO y muestra su ubicación en Active Directory Domain Services (AD DS).
¿Cómo se cambia la configuración de la política de grupo en Active Directory?
7a) Si deshabilitó el procesamiento de políticas de grupo para este GPO: a) Haga clic con el botón derecho en cualquier lugar dentro del alcance de este Gpo (no solo en su barra de título), seleccione Nuevo | Regla de objeto de directiva de grupo (REGLA GPO) y, a continuación, haga clic en Editar regla…
- Abra Usuarios y equipos de Active Directory.
- En el panel izquierdo, en Dominio, haga clic en su nombre de dominio.
- En el panel derecho, en Bosque, haga clic en el nombre de su bosque.
- En Dominios y confianzas, haga clic en Objetos de directiva de grupo (GPO).
- En la pestaña Inicio de la cinta, en la sección Grupos vinculados, haga clic en Editar configuración de GPO.
- En el cuadro de diálogo que se abre, en la pestaña General, realice una de las siguientes acciones: a) Para habilitar o deshabilitar el procesamiento de políticas de grupo para este GPO, marque o desmarque Habilitar procesamiento de políticas de grupo. b) Para cambiar qué usuarios o equipos se ven afectados por este GPO, ingrese valores en los cuadros Lista de usuarios o equipos junto a cada configuración de política que desea aplicar a esos usuarios o equipos. c) Para agregar un nuevo usuario o computadora a la lista de usuarios o computadoras afectados por este GPO, escriba su nombre en el campo Nombre de usuario o computadora y presione Entrar. d) Para eliminar un usuario de la lista de usuarios afectados por este GPO, escriba su nombre en el campo Nombre de usuario o computadora y presione Entrar. e) Para cambiar la configuración de este GPO que se aplica a tipos específicos de objetos, como archivos o carpetas, seleccione una de estas opciones de las listas desplegables junto a cada configuración de política: Todos los objetos (predeterminado), Archivos y carpetas, O Claves y valores del registro. f) Haga clic en Aceptar dos veces para cerrar ambos cuadros de diálogo y volver a la vista Usuarios y equipos de Active Directory.
¿Puedo personalizar mis políticas de grupo en ActiveDirectory?
Las políticas de grupo de Active Directory son una herramienta poderosa que los administradores pueden usar para administrar la configuración de usuarios, computadoras y grupos en su dominio.Los objetos de directiva de grupo (GPO) se pueden crear en Active Directory y almacenar como archivos XML.Luego, los administradores pueden usar GPO para configurar ajustes en computadoras individuales o cuentas de usuario dentro de su dominio.
Para editar un GPO en Active Directory, primero debe ubicar el archivo GPO.Puede encontrar este archivo utilizando el cmdlet Get-GPO o explorando la estructura de directorios de su instancia de Active Directory Domain Services.Una vez que haya localizado el archivo GPO, puede abrirlo con un editor de texto como el Bloc de notas o Microsoft Word.
Una vez que haya abierto el archivo GPO, verá una serie de nodos contenedores que representan diferentes secciones del documento de política.El nodo más importante es el nodo Raíz, que contiene todas las configuraciones de políticas para su dominio.Para editar una configuración específica dentro de un GPO, deberá acceder a uno de sus nodos secundarios.Por ejemplo, si desea cambiar la configuración de impresora predeterminada para los usuarios de su dominio, acceda al nodo Impresoras y realice los cambios allí.
¿Qué opciones de política de grupo están disponibles para meinActiveDirectory?
Hay una serie de opciones de directivas de grupo que puede utilizar para administrar su entorno de Active Directory.Esta guía proporcionará una descripción general de las opciones de directiva de grupo más comunes y cómo usarlas.