GPOs

pmchinch@cibertec.edu.pe

Group Policy Management Console

Cuando tengamos configurado nuestro AD y hagamos verificado que los
servicios de infraestructura estn funcionando correctamente, e importado los
usuarios de nuestro AD.
Vamos a comenzar a agregar polticas de AD, en las mquinas y en los usuarios.
Toda la administracin de las polticas de AD la vamos a manejar desde una
consola.

Dentro del Forest tenemos nuestro dominio

cibertecsoa.local, tenemos el contenedor de sitio,
donde nos van a ir apareciendo todos los sitios de
AD, para nosotros poder aplicar polticas a nivel de
sitio. Si abrimos el dominio cibertecsoa.local, vamos
a saber que significan esos contendedores:

Son los mismos OUs que tenemos definidos dentro de

nuestro AD, se tiene el Domain Controllers OU,
UsuariosImportados que se borrar, PE de Per, US de
EEUU, el Group Policy Objects donde se van a ir
almacenando todas las polticas en nuestro dominio, los
filtros WMI, que son los filtros que podemos utilizar para
aplicar polticas de manera selectiva, Starter GPOs son
plantillas de polticas que podemos aplicar nosostros, para
tomar como base en caso que queramos configurar las
mquinas de nuestro dominio, y hay varios niveles de
seguridad que nosotros podemos tomar como base.

Si abro Roles y Active Directory Users and

Computer tengo las mismas unidades
organizacionales en Group Policy Management
lo nico que no va a aparecer son los
contenedores Bultin que no son OUs

Si abro Roles y Active Directory Users and Computer tengo las mismas unidades organizacionales en Group Policy
Management lo nico que no va a aparecer son los contenedores Bultin que no son OUs

El primer tab Scope o Alcance, nos dice a que OU se encuentra vinculada esta poltica y a que grupo de seguridad
le est aplicando, en este caso Default Domain Controllers Policy se encuentra vinculada al OU de Domain
Controllers. El link Enabled Yes significa que s est activado porque yo puedo tener una poltica, es una forma de
apagar la poltica, la opcin Enforced es si yo tengo una poltica en un nivel superior y alguien aplica una poltica en
un nivel inferior de un OU y lo que est aplicando contradice lo que yo quiero aplicar, si yo coloco Enforced Yes
quiere decir que esta poltica va a sobrescribir a las dems poltica que estn en los OUs que hay por debajo de
ella. Tratar de no usarlo en lo posible
Las polticas se aplica en orden descendiente, y la poltica que gana es la ltima que se aplica.

Todas las polticas tienen dos

contenedores principales, uno que son
parmetros de computadoras (Computer
Configuration) y otros que son
parmetros
de
usuario
(User
Configuration). Cuando yo modifico algo
a nivel de computadora. En detalles
(grfico anterior) computer versin va ir
aumentando, y luego va a replicar esa
poltica en el sysvol que es la carpeta que
replican todo los controladores de
dominio. De esta manera va a tener
sincronizada la versin que est en una
mquina con lo que est en el sysvol. La
idea que estos nmeros esten iguales, y
cada vez que se hace un cambio ese
nmero se va incrementando.

Si vemos dentro de Settings, se observa que dentro de User Configuration no hay nada definido y
dentro de Computer Configurations si .

Aplicacin de las Polticas

Vamos a dar un ejemplo de como se aplican las polticas, a nivel de los OU cuando
tenemos una jerarqua, en este caso el OU de Lima.
Vamos a suponer que dentro de Lima, hay un administrador y este Administrador va a
definir una nueva poltica. Clic derecho al OU Lima, y selecciono Crear un GPO en este
dominio y vincularla aqu.

Se puede hacer tambin en dos pasos en:

Group Policy Objects clic derecho New, y
luego voy a Lima y selecciono Link an
Existing GPO, donde se vincula una poltica
ya existente.
Vamos a realizarlo en un solo paso creamos:
PE-Configuracin-General. Aqu va estar
toda las configuraciones que van a tener de
Lima.

Aplicacin de las Polticas

Nos va a aparecer la poltica y el link en este OU, cuando selecciono en Lima PE-ConfiguracinGeneral, me va a salir una advertencia, que yo estoy modificando un GPO que est vinculado a
este OU, y si lo cambio y este GPO est vinculado a otro OU voy a modificar lo que est afectando
en los dems OU.

Aplicacin de las Polticas

Vamos a suponer que el Administrador de Lima dentro de esta poltica PE-Configuration le da

clic derecho a Editar y se abre la venta:

Group Policy Management Editor

Aplicacin de las Polticas

Vamos dentro de User Configuration Policies Windows Settings y seleccionan la opcin

Internet Explorer Maintenance. Y doble clic en Browser Title
En Browser establece que el ttulo que va a tener IE diga, Poltica Lima, quiere decir que cuando un
usuario que est dentro de los niveles que estn abajo del OU de Lima, le va a salir en el titulo del IE
Poltica Lima.

Aplicacin de las Polticas

Si cerramos el editor y seleccionamos en la poltica de Lima PE-Configuracin-General
Y selecciono en Detalles, refrescamos, nos aparece el User Version en 1 y el sysvol en 1.
Como no hicimos ningn cambio en Computer sigue estando en 0 Y no afectar.

Creamos
un
Usuario
en
Lima
Dentro del OU de LIMA est los OU de usuarios, computadoras,, Vamos a dar un ejemplo dentro

del OU de Usuarios de Lima voy a crear un usuario adicional.

Creo el usuario Milton ChinchayCelada, con su username mchinchaycelada, su contrasea,
deshabilito porque no quiero que me vuelva a pedir que cambie la clave. En una situacin real si es
necesario para que el usuario cambie y coloque su clave personal. Finalizamos.

Creamos
un
Usuario
en
Lima
Ejemplo

podemos sobre escribir una poltica de nivel superior A una poltica de nivel inferior.
Aplicamos al OU de Lima pero lo estamos sobre escribiendo dentro del OU de Per.
Cuando se aplican las poltica se hacen desde afuera hacia adentro y La ultima es la que va a
ganar el de Lima.
Si el Administrador de Per no quiere que se realice cambio a su poltica por uno de nivel
inferior debera prender la opcin de Enforced a Yes para que no se modifique y quede como
un candado para que no se realice un cambio.

Hay un comando para poder forzar a que las polticas se lean nuevamente, puedes reiniciar y cuando
inicies sesin se va aplicar las polticas, sino cmd y se ejecuta: gpupdate /force, ahora a ver en el IE.