La directiva de grupo es una característica de la familia de sistemas operativos Microsoft Windows NT (incluidos Windows 8.1, Windows 10, Windows 11) que controla el entorno de trabajo de las cuentas de usuario y de las cuentas de equipo. La directiva de grupo proporciona una gestión y configuración centralizadas de los sistemas operativos, las aplicaciones y las configuraciones de los usuarios en un entorno de Active Directory . Un conjunto de configuraciones de directiva de grupo se denomina objeto de directiva de grupo ( GPO ). Una versión de la directiva de grupo denominada directiva de grupo local (LGPO o LocalGPO) permite la gestión de objetos de directiva de grupo sin Active Directory en equipos independientes. [1] [2]
Los servidores de Active Directory difunden políticas de grupo al incluirlas en su directorio LDAPgroupPolicyContainer bajo objetos de clase . Estos hacen referencia a rutas de servidor de archivos (atributo gPCFileSysPath) que almacenan los objetos de política de grupo reales, normalmente en un recurso compartido SMB \\ domain.com \ SYSVOL compartido por el servidor de Active Directory. Si una política de grupo tiene configuraciones de registro, el recurso compartido de archivos asociado tendrá un archivo registry.polcon las configuraciones de registro que el cliente debe aplicar. [3]
El Editor de políticas (gpedit.msc) no está disponible en las versiones Home de Windows XP/Vista/7/8/8.1/10/11.
Las políticas de grupo controlan, en parte, lo que los usuarios pueden y no pueden hacer en un sistema informático. Por ejemplo, una política de grupo se puede utilizar para aplicar una política de complejidad de contraseñas que impida a los usuarios elegir una contraseña demasiado simple. Otros ejemplos incluyen: permitir o impedir que usuarios no identificados de equipos remotos se conecten a un recurso compartido de red , o bloquear o restringir el acceso a determinadas carpetas. Un conjunto de estas configuraciones se denomina objeto de política de grupo (GPO).
Como parte de las tecnologías IntelliMirror de Microsoft , la directiva de grupo tiene como objetivo reducir el costo de brindar soporte a los usuarios. Las tecnologías IntelliMirror se relacionan con la administración de máquinas desconectadas o usuarios itinerantes e incluyen perfiles de usuario itinerantes , redirección de carpetas y archivos sin conexión .
Para lograr el objetivo de la administración central de un grupo de equipos, los equipos deben recibir y aplicar GPO. Un GPO que reside en un solo equipo solo se aplica a ese equipo. Para aplicar un GPO a un grupo de equipos, la directiva de grupo se basa en Active Directory (o en productos de terceros como ZENworks Desktop Management ) para su distribución. Active Directory puede distribuir GPO a equipos que pertenecen a un dominio de Windows .
De forma predeterminada, el tiempo de actualización de las directivas de grupo de Microsoft Windows se establece en 90 minutos para los usuarios y 5 minutos para los controladores de dominio ; Microsoft Windows lo hace cada cinco minutos. Durante la actualización, descubre, recupera y aplica todos los GPO que se aplican a la máquina y a los usuarios que han iniciado sesión. Algunas configuraciones, como las de instalación de software automatizada, asignaciones de unidades, scripts de inicio o scripts de inicio de sesión, solo se aplican durante el inicio o el inicio de sesión del usuario. Desde Windows XP , los usuarios pueden iniciar manualmente una actualización de la directiva de grupo mediante el gpupdate comando desde un símbolo del sistema . [4]
Los objetos de política de grupo se procesan en el siguiente orden (de arriba a abajo): [5]
Las configuraciones de directiva de grupo resultantes aplicadas a un determinado equipo o usuario se conocen como Conjunto resultante de directivas (RSoP). La información de RSoP se puede mostrar tanto para equipos como para usuarios mediante el gpresultcomando. [7]
Una configuración de política dentro de una estructura jerárquica se transmite normalmente de padre a hijo, y de hijo a nieto, y así sucesivamente. Esto se denomina herencia . Se puede bloquear o aplicar para controlar qué políticas se aplican en cada nivel. Si un administrador de nivel superior (administrador de empresa) crea una política cuya herencia está bloqueada por un administrador de nivel inferior (administrador de dominio), esta política se procesará igualmente.
Cuando se configura una configuración de preferencia de política de grupo y también hay una configuración de política de grupo equivalente configurada, entonces el valor de la configuración de política de grupo tendrá prioridad.
El filtrado WMI es el proceso de personalizar el alcance de la GPO mediante la elección de un filtro (WMI) para aplicar. Estos filtros permiten a los administradores aplicar la GPO solo a, por ejemplo, equipos de modelos específicos, memoria RAM, software instalado o cualquier elemento disponible a través de consultas WMI.
La directiva de grupo local (LGP o LocalGPO) es una versión más básica de la directiva de grupo para equipos independientes y no pertenecientes a un dominio, que existe al menos desde Windows XP [ ¿cuándo? ] y se puede aplicar a equipos pertenecientes a un dominio. [ cita requerida ] Antes de Windows Vista , LGP podía aplicar un objeto de directiva de grupo para un único equipo local, pero no podía crear directivas para usuarios individuales o grupos. A partir de Windows Vista, LGP también permite la gestión de directivas de grupo locales para usuarios individuales y grupos [1] y también permite la copia de seguridad, importación y exportación de directivas entre equipos independientes a través de "paquetes GPO": contenedores de directivas de grupo que incluyen los archivos necesarios para importar la directiva al equipo de destino. [2]
Las preferencias de directiva de grupo son una forma de que el administrador establezca políticas que no son obligatorias, sino opcionales para el usuario o el equipo. Existe un conjunto de extensiones de configuración de directiva de grupo que antes se conocían como PolicyMaker. Microsoft compró PolicyMaker y luego las integró con Windows Server 2008. Desde entonces, Microsoft ha lanzado una herramienta de migración que permite a los usuarios migrar elementos de PolicyMaker a las preferencias de directiva de grupo. [8]
Las preferencias de directiva de grupo agregan una serie de nuevos elementos de configuración. Estos elementos también tienen una serie de opciones de destino adicionales que se pueden utilizar para controlar de forma granular la aplicación de estos elementos de configuración.
Las preferencias de directiva de grupo son compatibles con las versiones x86 y x64 de Windows XP, Windows Server 2003 y Windows Vista con la incorporación de las extensiones del lado del cliente (también conocidas como CSE). [9] [10] [11] [12] [13] [14]
Las extensiones del lado del cliente ahora están incluidas en Windows Server 2008 , Windows 7 y Windows Server 2008 R2 .
Originalmente, las directivas de grupo se modificaban utilizando la herramienta de edición de directivas de grupo que estaba integrada con el complemento Microsoft Management Console (MMC) de usuarios y equipos de Active Directory, pero luego se dividió en un complemento MMC independiente llamado Group Policy Management Console (GPMC). La GPMC es ahora un componente de usuario en Windows Server 2008 y Windows Server 2008 R2 y se proporciona como descarga como parte de las herramientas de administración remota del servidor para Windows Vista y Windows 7. [ 15] [16] [17] [18]
Microsoft también ha lanzado una herramienta para realizar cambios en la directiva de grupo denominada Advanced Group Policy Management [19] (también conocida como AGPM). Esta herramienta está disponible para cualquier organización que haya adquirido la licencia de Microsoft Desktop Optimization Pack (también conocida como MDOP). Esta herramienta avanzada permite a los administradores tener un proceso de registro de entrada y salida para la modificación de objetos de directiva de grupo, realizar un seguimiento de los cambios en los objetos de directiva de grupo e implementar flujos de trabajo de aprobación para los cambios en los objetos de directiva de grupo.
AGPM consta de dos partes: servidor y cliente. El servidor es un servicio de Windows que almacena sus objetos de directiva de grupo en un archivo ubicado en el mismo equipo o en un recurso compartido de red. El cliente es un complemento de la consola de administración de directivas de grupo y se conecta al servidor AGPM. La configuración del cliente se realiza a través de la directiva de grupo.
Las aplicaciones de destino aplican voluntariamente la configuración de la directiva de grupo. En muchos casos, esto consiste simplemente en deshabilitar la interfaz de usuario para una función en particular. [20]
Como alternativa, un usuario malintencionado puede modificar o interferir en la aplicación para que no pueda leer con éxito su configuración de política de grupo, imponiendo así valores predeterminados de seguridad potencialmente inferiores o incluso devolviendo valores arbitrarios. [21]
Windows 11 ha introducido una nueva función llamada Actualización de directiva de grupo. Esta función permite a un administrador forzar una actualización de la directiva de grupo en todos los equipos con cuentas en una unidad organizativa en particular. Esto crea una tarea programada en el equipo que ejecuta el gpupdatecomando en un plazo de 10 minutos, ajustado por un desfase aleatorio para evitar sobrecargar el controlador de dominio.
Se introdujo el estado de la infraestructura de política de grupo, que puede informar cuando algún objeto de política de grupo no se replica correctamente entre los controladores de dominio. [22]
El Informe de resultados de la directiva de grupo también tiene una nueva función que cronometra la ejecución de componentes individuales al realizar una actualización de la directiva de grupo. [23]
