¿Qué son las GPO, políticas de grupo

en Windows Server?
Vamos a tratar de comprender que son las políticas de grupo o GPO de Windows
Server, una herramienta fundamental que nos da Microsoft para administrar la
infraestructura de nuestro dominio.
Básicamente las políticas nos dan el control de los equipos de la red, pudiendo
establecer configuraciones para los distintos componentes de sistema operativo,
para poder lograrlo vamos a necesitar un Windows Server que tenga el servicio o
rol de active directory, y podremos aplicar la configuración a sitios, dominios,
unidades organizativas. También debemos tener en claro que las políticas pueden
aplicarse a equipos y usuarios.

Las GPO’s, en el dominio son heredadas; las aplicadas a un contenedor padre,

son aplicadas a su vez a sus hijos, es decir:
• Las OU’s de primer nivel heredan del Dominio
• Las OU’s hijas heredan de las de primer nivel
• Las OU’s de nivel 3º heredan de las hijas
Vamos a familiarizarnos con algunos conceptos fundamentales sobre las GPO:
• Herencia de GPOs: si aplico una política en el nivel más alto del dominio,
bosque o sitio, se distribuirá a los equipos o usuarios que estén en los niveles
inferiores.
• Bloqueo de Herencia de GPOs: sirve para evitar que se apliquen
configuraciones a determinados equipos o usuarios del dominio, por lo general
se usa para no aplicarle a los administradores de dominio o equipos puntuales.

1
 CONFIGURACION DE POLITICAS O DIRECTIVAS PARA
USUARIOS CLIENTES
Para realizar la configuración de las políticas de Usuarios y Maquinas debemos
organizar en un mismo contenedor ambos elementos.
Contenedor=Pruebas
>Computador Operario01 > REDES
> Usuario Operario01 > Operario 01
Donde REDES es el computador, y Operador01 es el usuario como tal.
NOTA: al unir el cliente al dominio el Computador se va por defecto a la carpeta
“Computers” el cual lo debemos mover a la carpeta deseada (pruebas).

Finalmente queda organizado de la siguiente manera:

- Computador Operario01

2
 - Usuario Operario01

Ahora podemos crear y aplicar las políticas para el usuario o el computador.

Para esto debemos ir al Server Manager > Tools > Group Policy Management.

Desglosamos Forest>Domains>sena.com.

3
Dentro del dominio como tal le damos clic derecho a la carpeta llamada “Group
Policy Objects” y le damos New.

NOTA: Como las políticas de Usuario y Maquina son diferentes, por organización
y comodidad de administración crearemos una política para el usuario y otra
política para la Maquina.

Le damos OK, y repetimos el mismo procedimiento para crear una nueva política
ya para las maquinas.

4
Como podemos ver a continuación se crearon 2 nuevas políticas en la carpeta
Group Policy Objects.

La política como tal ya está creada, pero no está activa en ningún contenedor, por
lo tanto procedemos a enlazarlas.
Para ello, en la misma interfaz de Group Policy Management, buscaremos nuestra
carpeta creada y organizada con los sub contenedores, para ello la desglosamos.

Como podemos ver en el contenedor Pruebas, se encuentras los 2 sub

contenedores creados previamente, pero ninguno de estos tiene enlazado política
alguna.
Para enlazar una política le damos clic derecho al sub contenedor y
seleccionamos “Link an Existing GPO”.

5
En este ejemplo enlazaremos la política “Politica Maquina” en el contenedor
“Computador Operario01”.

6
Damos OK y podremos ver que se enlazo la política.

Ahora hacemos lo mismo pero con la política “Politica Usuario” al contenedor

“Usuario Operario01”.

7
Ya así quedaron enlazadas nuestras 2 políticas de ejemplo, podemos proceder a
configurarlas.

PRACTICA 1
- Los Usuarios deben loguearse solamente de 7:00 AM – 8:00 PM.

Para esta práctica no utilizaremos una configuración de política como tal, pero
haremos una configuración específica del usuario para que tenga una restricción
de logueo.
Empezamos por la interfaz Server Manager > Tools > Active Directory Users and
Computers.

Le daremos clic derecho al usuario > Propiedades.

8
Entramos en la pestaña Account.

En esta sección seleccionaremos “Logon Hours…”

Donde, las casillas en blanco son las horas donde no permite logueo.

9
POLITICA DE USUARIO PRACTICA 2
- Los usuarios no deben tener acceso al panel de control.

Para empezar vamos Server Manager > Group Policy Management.

En el sub contenedor de “Usuario Operario01” de damos clic y nos mostrará la
política enlazada previamente.

Esta procedemos a editarla. Para esto damos clic derecho > Edit.

Esta es una política de Usuario por lo tanto entramos a “User Configuration” y

desglosamos de la siguiente forma.

User Configuration > Policies > Administrative Templates > Control panel.

10
 Le damos clic a carpeta Control panel y veremos en la parte derecha las politicas
generalizadas del panel de control, la cual específicamente solicitada la vimos en
la imagen anterior resaltada.

Para configurarla le damos clic derecho > Edit.

La habilitamos y le damos OK.

11
Como podemos ver la política de Control Panel ya aparece establecida.
Ahora verificaremos con el cliente logueado con el Operario01 y no debe permitir
entrar al panel de control.

NOTA: Se recomienda por velocidad y practicidad utilizar el comando “gpupdate

/force” en la interfaz de comandos del cliente (en este caso Windows 8).
Si en el cliente tratamos de ingresar al panel de control debe verse una
notificación similar a la siguiente:

12
POLITICA USUARIO PRACTICA 3
- Debe usarse el papel tapiz de la empresa y no debe poder cambiarse.

Primero ubicamos el logo o la imagen que queremos de papel tapiz para los
equipos de los usuarios, recomendable de la siguiente forma:

C:\\Pantalla\Imagen.jpg

Nota: Se crea la carpeta “Pantalla” en el disco C del cliente y pegamos el logo o la

imagen.

Ahora vamos al Servidor a configurar nuestra política de usuario.

Para ello vamos a Server Manager > Tools > Group Policy Management.
En el sub contenedor de “Usuario Operario01” de damos clic y nos mostrará la
política enlazada previamente. Procedemos a editarla.

Desglosamos el menú de edición de la política de la siguiente manera:

User Configuration > Policies > Administrative Templates > Desktop > Desktop.
Damos clic y veremos las políticas a nuestra derecha.

13
Procedemos a editar la política “Desktop Wallpaper”.

NOTA: Habilitamos, escribimos la ruta donde está el archivo y escogemos fill para
que expanda el papel tapiz.

Ahora vamos a editar la política de “Enabled Active Desktop” y la habilitamos.

14
Nos deben quedar establecidas ambas:

15
Ahora verificamos que la política de Wallpaper haya sido aplicada en el cliente.

NOTA: Se recomienda por velocidad y practicidad utilizar el comando “gpupdate

/force” en la interfaz de comandos del cliente (en este caso Windows 8). Una vez
ejecutado este comando se recomienda reiniciar la máquina.

La imagen fue establecida exitosamente y no permite cambiarla.

16
POLITICA MÁQUINA PRACTICA 4
- Los usuarios deben cambiar su contraseña cada 30 días.

Para esto vamos a Server Manager > Tools > Group Policy Management
Justo ahí buscamos nuestro contenedor “Pruebas” y como es una politica de
computador buscamos la politica creada previa y exclusivamente para equipos
físicos, llamada “Política Maquina”.

En Política de máquina damos botón derecho> Editar y se nos abre la ventana

“Group Policy Management Editor”.

Aquí vamos a la siguiente ruta: Computer Configuration > Policies > Windows
Settings > Security Settings > Account Policies > Password Policy.

Observaremos las diversas políticas, solo necesitamos habilitar y configurar solo

una.

17
Luego vamos y abrimos la ventana de “Maximum password age properties”, doble
clic y definimos la política a 30 días y damos ok.

18
Luego definimos en la ventana de “Minimum password age properties” por 1 día.
Con esto, ya tendríamos aplicada esta política.

Listo, le damos aceptar y salimos del group policy management.

Ahora procedemos a demostrar que la política se aplica perfectamente en los
clientes.

Para esto vamos a modificar la fecha de la maquina anfitriona.

NOTA: Para efectuar sincronizadamente el cambio de fecha, los 2 sistemas

virtuales deben tener instalado el VirtualBox Additions.
Esta es la fecha y hora actual de la maquina anfitriona sincronizada con la
máquina virtual.

19
Procedemos a modificar la fecha 30 días, para comprobar que la contraseña
caduca.

Al modificar la fecha en la maquina anfitriona inmediatamente cambia también en

el cliente, en este caso Windows 8.
Procedemos a reiniciar la maquina cliente para verificar que efectivamente
caducó.

Como podemos observar en esta imagen con fecha del 10 de abril, dice que la
contraseña expirará en 2 días, sin embargo nos damos cuenta que han pasado 33
días, lo que nos hace pensar que debemos adelantar aún más la fecha y
procedemos a hacerlo.

20
La hemos adelantado hasta el 15 de abril y reiniciamos nuevamente el cliente.

Al reiniciar y tratar de volver a ingresar al usuario, vemos que la contraseña

efectivamente expiró.

21
POLITICA USUARIO PRACTICA 5
- La carpeta Documentos de todos los usuarios, apuntará a una carpeta
independiente por usuario que este dentro de la carpeta compartida
\\Controladordominio\Publica.

Primero creamos la carpeta Pública que va a contener las carpetas “Documentos”

de todos los usuarios a los que les aplique la política.

NOTA: se crea en el Disco C del Windows Server.

A esa carpeta creada llamada “Publica” procedemos a compartirla de la siguiente

manera:
Clic derecho a la carpeta, propiedades y la pestaña Sharing.

22
Advanced Sharing…

Seleccionamos “Share this floder” y le damos clic a Permissions…

23
Procedemos a eliminar el grupo “Everyone”, lo seleccionamos y lo removemos.

Cuando no se encuentre ningún grupo, procedemos a añadir un nuevo grupo.

24
Buscamos el grupo “Domain Users” y lo seleccionamos.

Aceptamos…

25
Le damos control total al grupo “Domain Users” de la carpeta “Publica”.
Aceptamos todo y volvemos al Disco C.

De nuevo le daremos clic derecho a la carpeta y le damos “Share With” > Specific
People…

26
En esta interfaz observamos que los administradores son los únicos con
permisos, procedemos a agregar los usuarios por medio del grupo “Domain
Users”.
Para esto seleccionamos “Find People…”

27
Buscamos el grupo “Domain Users” y lo seleccionamos.

Aceptamos…

28
Como vemos el grupo aparece perfectamente, solo debemos darle permiso de
lectura y escritura y ahora si podemos darle compartir.

La carpeta está perfectamente creada y compartida, ahora procedemos a

configurar y aplicar la política adecuada.

29
Entramos al Server Manager >Tools > Group Policy Management.

NOTA: Como la política a configurar es de usuario, en nuestro ejemplo vamos al

contenedor que contiene la política respectiva.

Clic derecho editar y procedemos a configurarla de la siguiente manera:

Entramos a : User Configuration > Policies > Windows Settings > Folder
Redirection > Documents.

30
Clic derecho a Documents y seleccionamos propiedades.
Lo configuramos de la siguiente manera:

NOTA; en Root path, escribimos el nombre de nuestro servidor completo con el

dominio y la carpeta creada anteriormente.
Aceptamos…

La política ya está configurada y perfectamente redireccionada, vamos a

comprobarlo:
NOTA: En el cliente ejecutamos el comando “gpupdate” y cerramos sesión.
Ahora observamos en el cliente la carpeta Documentos.

31
Aparecen carpetas estándar y compartidas con sus sub carpetas.
Ahora veremos la carpeta “Publica” en el servidor.

Se creó una nueva ruta de carpetas dentro de Publica, con el respectivo nombre
de usuario, al cual dentro de este se encuentra la carpeta Documentos de él, la
cual no es accesible por el administrador.

Para Poder verla y modificarla siendo administradores simplemente agregamos el

grupo “Administrators” en opciones de compartir.

32
POLITICA MÁQUINA PRACTICA 6
- Solo los administradores pueden apagar la máquina.

Ingresamos a Server Manager > Tools > Group Policy Management.

Buscamos nuestro contenedor con la respectiva política de máquina.

Procedemos a editarla.
Clic derecho, edit y seguimos la siguiente ruta:
Computer Configuration > Policies > Windows Settings > Security Settings > Local
Policies > User Rights Assignment.

Damos clic y en la parte derecha vemos las políticas y seleccionamos “Shut down
the system”.

33
Al selecionarla le damos clic derecho, propiedades y lo configuramos de la
siguiente forma:

Buscamos el respectivo grupo, seleccionamos “Browse”.

34
Buscamos los grupos y usuarios y escogemos el grupo “Administrators”.
Aceptar…

Aceptamos Todo…

35
NOTA: Hasta este punto la politica esta configurada para que solo los
administradores “logueados” puedan apagar la maquina , sin embargo en la
consola de inicio de sesión aun aparece el botón de apagar, y permite apagar, por
lo tanto configuraremos una segunda politica que permite deshabilitar dicho botón
y por ningún motivo puede ser apagada sin estar logueados.

Vamos a Server Manager > Tools > Group Policy Management.

Dentro de este buscamos el contenedor nuevamente con la politica de maquina y

procedemos a editarla siguiendo esta ruta:

Computer Configuration > Policies > Windows Settings > Security Settings > Local
Policies > Security Options.

Al darle clic veremos las políticas de las cuales configuraremos “Shut Down Allow
System to be shut down without having to log on”.

36
La editamos, la definimos como politica y seleccionamos “disabled”.

Aceptamos…

Ahora procedemos a comprobar, para esto reiniciamos la maquina cliente y

verificamos que puede ser apagada solo por el administrador.

37
POLITICA MÁQUINA PRACTICA 7

- Solo los administradores pueden cambiar la hora del sistema.

Ingresamos a Server Manager > Tools > Group Policy Management.

Buscamos nuestro contenedor con la respectiva política de máquina.

Procedemos a editarla siguiendo esta ruta:

La seleccionamos y al lado derecho buscamos esta politica “Change the system

time”.

Clic derecho, propiedades, escogemos el grupo administradores y nos quedará

así:

38
Aceptar…

Ahora comprobamos con el cliente, tratando de modificar la hora y nos debe salir
esta restricción.

39
POLITICA USUARIO PRACTICA 8

- Todas las maquinas tendrán permanente la unidad H que apuntará a la

ruta \\ControladorDominio\Compartida.

Empezaremos creando la carpeta “Compartida” que contendrá los datos de la

unidad H.
La creamos igualmente en el Disco C de nuestro server.

40
El mismo procedimiento de prácticas anteriores.

41
Seleccionamos compartir con “Specific People”.

Ahora procedemos a configurar la política de usuario para crear y organizar

nuestra unidad H.

Vamos a Server Manager > Tools > Group Policy Management.

Buscamos nuestro contenedor con la respectiva política de usuario.

42
Clic derecho editar y seguimos esta ruta:

Damos clic y nos sale esta interfaz.

Clic derecho, seleccionamos New > Mapped Drive.

43
Configuramos de la siguiente manera:

Ahora ingresamos a la pestaña “Common”.

Seleccionamos Item-Level Targeting y previamente se habilitará el botón

Targetting, damos clic.

44
Buscamos “Security Group”.

45
Y seguimos el mismo procedimiento para agregar el grupo “Domain Users”.

46
Aceptamos y listo.

47
Ahora podemos ver que se creó exitosamente en el drive maps.

Para comprobar crearemos en la carpeta “compartida” desde nuestro servidor un

archivo cualquiera de texto y debemos reiniciar nuestro cliente y veremos una
nueva UNIDAD H llamada Compartida con este archivo de Texto.

Como vemos en nuestro cliente nos aparece la Unidad H, llamada Compartida.

48
Comprobamos viceversa creando desde el cliente un archivo cualquiera en la
unidad H y debe aparecer sin problema en la carpeta Compartida del servidor.

Ahora observamos en el Server.

Nuestra Unidad H funciona perfectamente.

49