Hola a todos.
En este post vamos a ver la Administración de directivas de grupo (GPO) sobre Microsoft Windows Server 2008 R2, iremos realizando unos cuantos ejemplos y espero que así quede todo un poco más claro.
- Crearemos en nuestro Controlador de dominio el siguiente esquema:
- Vamos a crear primero las Unidades Organizativas, para ello nos abrimos la consola “Usuarios y equipos de Active Directory” y creamos las UO:
- Para la segunda Unidad Organizativa seguimos el mismo proceso, como podemos ver ya tenemos las dos UO creadas, anidadas dentro del dominio:
- Ahora sobre cada UO vamos a crear los grupos, primero los haremos sobre la UO avanza_01:
- Como podemos ver ya tenemos el grupo creado:
- Para la segunda UO seguiremos el mismo proceso:
- Ahora vamos a crear los usuarios y cada uno se ubicará en su grupo correspondiente:
- Para la creación de los demás usuarios vamos a seguir el mismo proceso, y como podemos ver ya tenemos todos los usuarios creados:
- Ahora introducimos los usuarios en su grupo correspondiente:
- Ahora vamos a compartir en el Domain Controller una carpeta llamada “Docs” con permisos totales para administradores y usuarios del dominio:
- En los permisos del recurso compartido le asigno control total a “todos”, para después aplicar los permisos más restrictivos sobre NTFS:
- Ahora vamos a aplicar los permisos NTFS que comentamos anteriormente:
- Como podemos ver ya están los permisos asignados:
- Ahora vamos a compartir en el DC una carpeta llamada “Cosas” con permisos totales para los administradores y sólo lectura para el resto de usuarios del dominio.
- Para este punto seguiremos el mismo proceso que anteriormente, por lo tanto solo mostraré que la carpeta está compartida y los permisos están asignados:
- Ahora colocaremos en la carpeta «cosas» una imagen cualquiera que usaremos para fondo de pantalla:
- Descargamos el paquete MSI de Firefox y lo guardamos en la carpeta compartida «cosas»:
- Creamos una directiva para la unidad organizativa avanza_01 llamada “directivaAV01”.
- Para crear la directiva nos abrimos la consola “Administración de directivas de grupo” ubicada en las “Herramientas Administrativas” y damos clic sobre “Nuevo”:
- Como podemos ver ya tenemos la GPO creada:
- Ahora la tenemos que vincular sobre la Unidad Organizativa “avanza_01”:
- Como podemos ver ya está la GPO vinculada:
- Ahora la modificamos en Configuración de usuario → Directivas → Plantillas administrativas para:
- Quitar del Escritorio el icono “Papelera de Reciclaje” :
- Establecer el tiempo de espera del protector de pantalla en 300 segundos:
- Fijar como tapiz del Escritorio la imagen que hemos colocado en la carpeta compartida:
- Quitar el icono Red del menú de Inicio:
- Prohibir el acceso al Panel de control:
- Desactivar los gadgets de escritorio:
- No permitir la ejecución de Windows Messenger:
- Desactivar la funcionalidad de “Eliminar el historial de exploración” en Internet Explorer:
- Impedir el acceso al símbolo del sistema:
- Comprobamos la configuración entrando en una máquina del dominio con Windows 7 y con los usuarios joseramonA1 y joseramonB1.
- Al hacer logon en la máquina Windows 7 del dominio con el usuario joseramonA1, todas las directivas de grupo que hemos configurado se harán efectivas, ya que este usuario está ubicado en la Unidad Organizativa “avanza_01” que es dónde hemos vinculado la GPO configurada llamada “directivaAV01”, cuando hacemos logon en la máquina Windows 7 del dominio con el usuario joseramonB1, estas directivas no serán aplicadas ya que no está vinculada sobre la Unidad Organizativa “avanza_02”, que es donde se encuentra este usuario.
- Como podemos ver con el usuario joseramonA1, se han aplicado correctamente las directivas, como por ejemplo, el icono de papelera de reciclaje ha desaparecido, el papel tapiz ha cambiado con la imagen jpg que hemos configurado, el símbolo del sistema está deshabilitado:
- Como podemos ver con el usuario joseramonB1, nada de esto se ha aplicado:
- Ahora crearemos otra directiva para la unidad organizativa avanza_02 llamada “directivaAV02”.
- Modificaremos esta directiva dentro de Configuración de usuario → Directivas → Configuración de software para que instale (despliegue de software) el paquete MSI de Firefox que se encuentra en la carpeta compartida «cosas».
- Para ello nos abrimos la Administración de directivas de grupo:
- Creamos una nueva GPO:
- Le indicamos el nombre:
- Ahora vamos a editar la GPO creada:
- Desplegamos las configuraciones hasta Configuración de usuario > Directivas > Configuración de software > Instalación de software :
- Clic sobre botón derecho de ratón y seleccionamos “Nuevo > Paquete”:
- Escribimos la ruta para acceder al fichero msi que queremos desplegar, damos clic sobre Abrir:
- Seleccionamos el método de implantación, en este caso asignada:
- Esperamos unos segundos y como podemos ver ya tenemos el paquete implementado:
- Ahora vamos a vincular la nueva GPO creada sobre una de nuestras Unidades Organizativas, en este caso, sobre “avanza02”:
- Como podemos ver ya la tenemos vinculada:
- Cuando los usuarios de esta Unidad Organizativa inicien sesión en cualquier máquina del dominio, este software (Mozilla Firefox) será desplegado.
- Ahora modificaremos esta directiva en Configuración del equipo → Directivas → Configuración de Windows → Configuración de seguridad para que no pueda cambiar la hora del sistema:
- Modificamos esta directiva en Configuración del equipo → Directivas → Configuración de Windows → Configuración de seguridad → Directivas locales para que esté habilitada la auditoría de los inicios de sesión (de los correctos y los incorrectos):
- La Configuramos para que se bloquee la cuenta cuando el usuario haga 3 intentos fallidos de introducción de contraseña. Hazlo en Configuración del equipo → Directivas → Configuración de seguridad → Directivas de cuenta :
- Iniciamos sesión con los dos usuarios de avanza_02 y comprobamos en auditoría qué inicios se han registrado.
- Iniciamos sesión con el usuario joseramonb1 de la UO avanza_02:
- Iniciamos sesión con el usuario joseramonb2 de la UO avanza_02:
- Nos abrimos las Herramientas administrativas > Visor de eventos:
- Como podemos ver se ha iniciado sesión correctamente con el usuario 1 de la UO avanza_02:
- Como podemos ver se ha iniciado sesión correctamente con el usuario 2 de la UO avanza_02:
Saludos y espero que este post os sea de utilidad 😉