• En este post vamos a ver como auditar los accesos a los a los objetos en nuestros equipos unidos a un dominio de Active Directory.
• Lo primero que debemos hacer es crearnos una GPO para habilitar la auditoría de objetos en nuestro Active Directory, para ello nos abrimos la consola de Administración de directivas de grupo y sobre Objetos de directivas de grupo le indicamos que queremos crearnos una nueva GPO:

• Le damos un nombre a la GPO y la editamos:

• Accedemos a Configuración del equipo > Dircetivas > Configuración de Windows > Configuración de seguridad > Directivas locales > Directiva de auditoría y configuramos-habilitamos la directiva Auditar el acceso a objetos:

• Ahora, esta configuración es opcional, pero muy recomendable, vamos a habilitar la auditoría avanzada, para ello, accedemos a Configuración del equipo > Directivas > Configuración de Windows > Configuración de seguridad > Configuración de directiva avanzada de auditoría > Directiva de auditoría detallada > Acceso a objetos y configuramos-habilitamos las directivas Auditar almacenamiento extraíble y Auditar sistema de archivos:

• Una vez editada, aquí tenemos la configuración para habilitar la auditoría a objetos en nuestros equipos del AD:

• Aunque la GPO activa la auditoría, nosotros necesitamos configurar en cada equipo o mediante script qué carpetas/archivos serán auditados, vamos a ver un ejemplo:
• Para hacerlo de forma manual en una carpeta de cualquiera de nuestros equipos del dominio, debemos dar clic derecho sobre la carpeta > Propiedades > Pestaña Seguridad > Opciones avanzadas > Auditoría y agregamos:
• Usuario: Todos
• Tipo: Todo
• Se aplica a: Esta carpeta, subcarpetas y archivos
• Permisos avanzados: Crear archivos/escribir datos, Crear carpetas/anexar datos, Eliminar subcarpetas y archivos, Eliminar.

• Esto puede automatizarse mediante scripts de PowerShell, hemos creado este script, llamado auditoriausuarios.ps1, que lo podemos descargar desde este enlace, dónde vamos a auditar las carpetas del escritorio, documentos y descargas de todos los usuarios:

• Nos creamos este script en .bat, para cuando configuremos la GPO, invoquemos desde este script, al script de PowerShell:

• Ahora accedemos a cualquiera de nuestros controladores de dominio y copiamos estos dos scripts en esta ruta:

• En la consola de Administración de directivas de grupo, volvemos a editar la GPO que creamos y configuramos para la auditoria de objetos:

• Accedemos a Configuración del equipo > Directivas > Configuración de Windows > Scripts (Inicio o apagado) > Inicio > Scripts > Agregar > Examinar y añadimos el script .bat, Aceptar:

• Y así nos quedaría la GPO, completamente configurada:

• Ahora esta GPO, la vamos a vincular sobre la OU Equipos, para que empiece a auditar el acceso a los objetos:

• Como podemos ver, aquí la tenemos vinculada:

• Sobre uno de nuestros equipos del dominio ejecutamos un gpupdate /force para aplicar las nuevas directivas:

• Una vez aplicada la GPO, vamos que en las carpetas han cambiado sus permisos de auditoría:

• Con todo esto ya tenemos configurado las auditorías de los acceso a objetos en los equipos de nuestro Active Directory.
• Los registros de auditoría quedan todos guardados en el Visor de eventos de los equipos de los usuarios, en los Registros de Windows > Seguridad:

• Ahora vamos a crear y eliminar algunos ficheros de uno de nuestros equipos y veremos en el visor de eventos que usuario a creado y eliminado estos ficheros.
• Creamos estos dos ficheros:

• Eliminamos estos dos ficheros:

• Con el ID de evento 4663 vemos como se crean los ficheros:

• Y con el ID de evento 4659 vemos como se eliminan los ficheros:

Saludos y espero que os resulte de ayuda

En este post (hoy cortito), vamos a ver, cómo configurar las políticas de contraseñas granulares en nuestro Active Directory, estas políticas van a prevalecer sobre las políticas de contraseñas configuradas en las políticas de grupo (GPO) y las asignaremos a grupos de usuarios.

• Si accedemos a la consola de Administración de directivas de grupo de nuestro Active Directory, podemos ver que tenemos esta política configurada:

• Para configurar una política distinta de contraseña a un grupo de usuarios y que prevalezca sobre esta política, debemos de acceder a la consola, Centro de Adminsitración de Active Directory > Dominio > System > Password Settings Container > Nuevo > Configuración de contraseña:

• Configuramos la política de contraseña que nos interese, y le asignamos el grupo de usuarios al que le queremos aplicar esta política:

• Y aquí tenemos, nuestra política granular creada:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como deshabilitar la ejecución del símbolo de sistema a través de una GPO en nuestro Active Directory.

• Accedemos a cualquiera de nuestros controladores de dominio, nos abrimos la consola de Administración de directivas de grupo > Objetos de directivas de grupo > Nuevo:

• Le asignamos un nombre y aceptamos:

• Clic derecho sobre la GPO y editamos:

• Accedemos a Configuración de usuario > Directivas > Plantillas administrativas > Sistema > Impedir acceso al símbolo del sistema:

• Habilitamos la GPO, clic en Aceptar:

• Una vez creada la GPO, la vamos a vincular sobre la unidad organizativa que nos interese aplicarla:

• Como podemos ver, aquí la tenemos vinculada:

• Si accedemos al dominio con cualquiera de estos usuarios, no vamos a poder ejecutar el símbolo del sistema:

• Si intentamos abrir un símbolo del sistema nos va a saltar este mensaje de error:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como deshabilitar la ejecución de PowerShell a través de una GPO en nuestro Active Directory.

• Accedemos a cualquiera de nuestros controladores de dominio, nos abrimos la consola de Administración de directivas de grupo > Objetos de directivas de grupo > Nuevo:

• Le asignamos un nombre y aceptamos:

• Clic derecho sobre la GPO y editamos:

• Accedemos a Configuración de usuario > Directivas > Plantillas administrativas > Sistema > No ejecutar aplicaciones de Windows especificadas:

• Habilitamos la GPO, sobre Lista de aplicaciones no permitidas damos a Mostrar y escribimos la lista que pueden ejecutar PowerShell, clic en Aceptar:

• Una vez creada la GPO, la vamos a vincular sobre la unidad organizativa que nos interese aplicarla:

• Como podemos ver, aquí la tenemos vinculada:

• Si accedemos al dominio con cualquiera de estos usuarios, no vamos a poder ejecutar PowerShell:

• Si intentamos abrir un Powershell nos va a saltar este mensaje de error:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar la página de inicio en Microsoft Edge, Google Chrome y Mozilla Firefox a través de una GPO configurada en nuestro Active Directory.

• Empezaremos configurando la GPO para la página de inicio de Microsoft Edge, para ello, lo primero que vamos a realizar será descargarnos las plantillas admx y adml para la configuración de Microsoft Edge, desde este link las podemos descargar:

• Estas plantillas las copiamos en el GPO central store de nuestro Active Directory, si no tenemos configurado GPO central store, debemos de copiarlas en la ruta C:\Windows\PolicyDefinitions de cada controlador de dominio, en mi caso si lo tenemos configurado:

• Ahora sobre la consola Administración de directivas de grupo, nos creamos una nueva GPO:

• Le damos un nombre:

• Editamos la nueva GPO:

• Accedemos a la ruta Configuración del equipo > Directivas > Plantillas administrativas > Microsoft Edge > Inicio, página principal y página de la nueva pestaña:

• Sobre Configurar la dirección URL de la página principal la habilitamos e introducimos la URL:

• Sobre Acción que se realizará al inicio la habilitamos y le indicamos Abrir una lista de direcciones URL:

• Sobre Sitios que se abrirán cuando se inicia el explorador la habilitamos y le indicamos la URL:

• Sobre Mostrar el botón de inicio en la barra de herramientas la habilitamos:

• Así nos quedaría la GPO para Microsoft Edge:

• Ahora seguiremos configurando la GPO para la página de inicio de Google Chrome, para ello, lo primero que vamos a realizar será descargarnos las plantillas admx y adml para la configuración de Google Chrome, desde este link las podemos descargar:

• Estas plantillas las copiamos en el GPO central store de nuestro Active Directory, si no tenemos configurado GPO central store, debemos de copiarlas en la ruta C:\Windows\PolicyDefinitions de cada controlador de dominio, en mi caso, si lo tenemos configurado:

• Seguimos editando la GPO y accedemos a la ruta Configuración del equipo > Directivas > Plantillas administrativas > Google > Google Chrome > Inicio, Página principal y página Nueva pestaña:

• Sobre Configurar la URL de la página principal la habilitamos e introducimos la URL:

• Sobre Acción al iniciar la habilitamos y le indicamos Abrir una lista de URLs:

• Sobre URL que se deben abrir al inicio la habilitamos y le indicamos la URL:

• Sobre Mostrar botón de página principal en la barra de herramientas la habilitamos:

• Así nos quedaría la GPO para Google Chrome:

• Ahora seguiremos configurando la GPO para la página de inicio de Mozilla Firefox, para ello, lo primero que vamos a realizar será descargarnos las plantillas admx y adml para la configuración de Mozilla Firefox, desde este link las podemos descargar:

• Estas plantillas las copiamos en el GPO central store de nuestro Active Directory, si no tenemos configurado GPO central store, debemos de copiarlas en la ruta C:\Windows\PolicyDefinitions de cada controlador de dominio, en mi caso, si lo tenemos configurado:

• Seguimos editando la GPO y accedemos a la ruta Configuración del equipo > Directivas > Plantillas administrativas > Mozilla > Firefox > Página de inicio:

• Sobre URL de la página de inicio la habilitamos e introducimos la URL, no permitimos que se cambie la página de inicio:

• Sobre Mostrar botón de página principal en la barra de herramientas la habilitamos:

• Así nos quedaría la GPO para Mozilla Firefox:

• Así nos quedaría configurada nuestra GPO “Conf_Edge_Chrome_Firefox” para poner la página de inicio que nos interese a los equipos de nuestra infraestructura con estos tres navegadores, Microsoft Edge, Google Chrome y Mozilla Firefox:

• Una vez que ya tenemos la GPO “Conf_Edge_Chrome_Firefox” preparada y configurada, la vinculamos sobre las Unidades organizativas que nos interese:

• Como podemos ver ya está vinculada sobre la OU Equipos:

• Ahora en cualquiera de los equipos de nuestro dominio, iniciamos sesión y verificamos la página de inicio de los tres navegadores:

• Podemos verificar que las GPOs se están aplicando correctamente abriéndonos un PowerShell y ejecutando el comando gpresult /r:

Saludos y espero que os resulte de ayuda

En este post vamos a ver una buena práctica en nuestro Active Directory referente a la Group Policy Object (GPO).

• Cuando desplegamos los roles de Servicios de dominio de Active Directory en un Windows Server, por defecto las GPO “Default Domain Policy” y “Default Domain Controllers Policy”, ya están creadas y vinculadas a las siguientes ubicaciones:

• Como buena práctica, es aconsejable, no editar estas dos GPOs, ya que vienen con unas configuraciones por defecto, para que nuestro Active Directory funcione correctamente, todas las configuraciones las llevaremos a cabo, creándonos nuevas GPOs y vinculándolas sobre la OUs correspondientes.
• También otra buena práctica, y a ésta es a la que vamos a hacer referencia en este artículo, es que vamos a intentar evitar vincular sobre la raíz de nuestro dominio las nuevas GPOs que nos iremos creando a lo largo del tiempo, ¿y por qué hacemos esto?, pues la explicación es básica, si nos equivocamos diseñando una GPO con configuraciones de sistemas críticas y la vinculamos sobre la raíz del dominio, en muchas ocasiones la vuelta atrás no va a ser posible y la podemos liar bien gorda sobre la infraestructura, aquí muestro un ejemplo de lo que NO debemos de hacer:

• ¿Qué hacemos entonces?, en mi caso, lo que siempre hago, es crearme una Unidad Organizativa (OU) con el nombre de la empresa, podemos decir, que esta es la OU principal y dentro de ella voy anidando otras OUs:

• Ahora, todas las nuevas GPOs que nos vayamos creando a lo largo del tiempo, las iremos vinculando sobre las Unidades Organizativas que nos interesen, y no sobre la raíz del dominio:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como publicar aplicaciones a través de GPO, para que los usuarios de nuestro dominio se puedan instalar las aplicaciones que tengamos aprobadas.

• Lo primero que vamos a realizar es copiar en un recurso compartido de nuestro servidor de ficheros con permisos de lectura para todos los usuarios del dominio, las aplicaciones con formato msi que hemos aprobado para publicarlas y que los usuarios se van a poder instalar:

• Ahora desde la consola de Administración de directivas de grupo en cualquiera de nuestros Controladores de dominio, nos vamos a crear una nueva GPO:

• Le indicamos un nombre y aceptamos:

• Como podemos ver ya la tenemos creada:

• Ahora pasamos a editarla:

• Realizaremos las configuraciones a nivel de usuarios, para ello, accedemos a Configuración de usuario > Directivas > Configuración de software > Instalación de software damos un clic derecho de ratón sobre la ventana de Instalación de software y Nuevo > Paquete:

• Accedemos a la ruta del recurso compartido del servidor de ficheros dónde tenemos las aplicaciones, las seleccionamos y abrimos:

• Como lo que queremos es publicar las aplicaciones para que los usuarios se las instalen cuando quieran, seleccionamos Publicada y aceptamos, lo tenemos que hacer dos veces ya que hemos seleccionado dos aplicaciones:

• Como podemos ver ya tenemos nuestra GPO preparada para publicar las aplicaciones:

• Ahora la vinculamos sobre la Unidad Organizativa que nos interese, en este caso, la hemos vinculado sobre la OU RAGASYS:

• Aquí la tenemos ya vinculada:

• Ahora sobre cualquier equipo que tengamos unido a nuestro dominio y con una sesión iniciada con un usuario del dominio, con el comando gpupdate /force vamos a forzar a que se actualicen las directivas de grupo:

• Con el comando gpresult /r vemos si se están aplicando correctamente:

• Si hacemos un rsop podemos ver que la GPO está funcionando correctamente:

• Para terminar, vamos a mostrar desde dónde el usuario puede ver las aplicaciones que tenemos publicadas para poder instalarlas, para ello, accedemos al Panel de control > Programas y características > Instalar un programa desde la red:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como instalar y desplegar OCS Windows Agent de manera local y por GPO, este agente comunicará con nuestro servidor de OCS Inventory pasándole toda la información del equipo o servidor.

• Primero vamos a ver la instalación local, para ello nos tenemos que descargar, el OCS Windows Agent v2.7.0.1 ya que nuestro servidor de OCS Inventory lo tenemos en la versión 2.7, si instalamos una versión más actual del agente, éste no comunicará con el servidor de OCS.
• Una vez descargado, procedemos con la instalación:

• Aceptamos el EULA:

• Seleccionamos los componentes a instalar:

• Le indicamos la URL de nuestro servidor de OCS Inventory, http://ocsinventory.ragasys.net/ocsinventory y marcamos el check del certficado:

• No configuramos proxy:

• Especificamos las opciones para el agente:

• Procedemos a instalar:

• Comienza el proceso de instalación:

• Iniciamos el agente y finalizamos:

• Ejecutamos el agente para que comunique con nuestro servidor de OCS Inventory:

• Si accedemos a nuestro servidor de OCS Inventory ya podemos ver el equipo agregado:

• Si queremos revisar los logs del agente, debemos de acceder a la ruta C:\ProgramData\OCS Inventory NG\Agent y en el fichero OCSInventory podemos ver todo lo que está sucediendo:

• Ahora vamos a ver el despliegue por GPO desde nuestro Active Directory, para ello, necesitamos descargarnos este .zip que os dejo aquí, este fichero comprimido contiene dos scripts en bat (uno para servidores y otro para equipos) y el ejecutable del OCS Windows Agent v2.7.0.1:

• OCS_autodeploy_Servers.bat:

• OCS_autodeploy_Equipos.bat:

• Ahora sobre esta ruta, en cualquiera de nuestros controladores de dominio C:\Windows\SYSVOL\domain\scripts\ocsinventory nos copiamos los scripts y el ejecutable de la aplicación:

• Nos abrimos la consola de Administración de directivas de grupo en cualquiera de nuestros controladores de dominio y nos creamos estas dos GPOs, una para Servidores y otra para Equipos, estas GPO las debemos de vincular sobre las Unidades Organizativas correspondientes, es decir, dónde están los servidores y los equipos:

• Sobre la GPO Install_OCS_Win_Agents_Servers, copiamos estos ficheros en la ruta que se indica:

• Sobre la GPO Install_OCS_Win_Agents_Equipos, copiamos estos ficheros en la ruta que se indica:

• Si accedemos a cualquiera de nuestros equipos o servidores Windows, una vez que se han aplicado las GPOs, podemos ver que el OCS Windows Agent v2.7.0.1 está instalado:

• Ahora debemos de modificar el fichero de configuración ini e introducir la URL de nuestro servidor de OCS Inventory, este fichero está ubicado en C:\ProgramData\OCS Inventory NG\Agent, antes debemos de parar el servicio OCS Inventory Service:

• Nos abrimos un Worpad como administrador y abrimos este fichero, modificamos la URL con la de nuestro servidor de OCS Inventory:

• Guardamos los cambios en el fichero e iniciamos el servicio OCS Inventory Service:

• Si accedemos a nuestro servidor de OCS Inventory ya podemos ver el servidor agregado:

• Otra opción para NO modificar el fichero de configuración ocsinventory.ini y tener todo el proceso automatizado, sería crearnos un registro del tipo CNAME en nuestro servidor DNS, apuntando el nombre ocsinventory-ng al nombre de nuestro servidor de ocsinventory:

Saludos y espero que os venga bien este post

En este post vamos a ver como mapear unidades de red a través de GPO en nuestro Active Directory.

• Para ello, desde uno de nuestros controladores de dominio, nos abrimos la Administración de directivas de grupo:

• Nos crearemos una nueva GPO, llamada Mapear Unidades de Red y la editamos:

• Sobre la Configuración de usuario, nos vamos a Preferencias > Configuración de Windows > Asignaciones de unidades:

• Nos vamos a crear la primera Unidad de Red para el recurso compartido Publico:

• La creamos, le asignamos una ubicación, una etiqueta y una letra de unidad:

• Ahora nos creamos la Unidad de Red para el recurso compartido Grupos:

• Y por último, nos creamos la Unidad de Red para el recurso compartido Usuarios:

• Como podemos ver ya tenemos las tres unidades de red creadas:

• Con todo esto ya tendríamos nuestra GPO para mapear unidades de red configurada, ahora la vincularemos sobre la Unidad Organizativa que nos interese, y le asignamos un orden de prioridad, en este caso el 2:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo crear y configurar una GPO para habilitar un disclaimer en los equipos de nuestro Active Directory.

• Desde el Administrador del servidor nos abrimos la “Administración de directivas de grupo”:

• Nos crearemos una GPO llamada “Disclaimer” y la vincularemos sobre las OUs RAGASYS y Domain Controllers, ésta GPO nos va a permitir configurar un disclaimer que nos aparecerá cuando los equipos de nuestro dominio hagan logon en el sistema:

• Ahora cuando uno de nuestros equipos inicie sesión en el domino aparecerá este mensaje:

• Con un “gpresult /r” podemos ver que la GPO se está aplicando correctamente:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como restablecer a las configuraciones por defecto las GPOs Default Domain Policy y Default Domain Controllers Policy, como buena práctica, estas dos GPOs que traen configuraciones por defecto una vez que hemos desplegado nuestro Active Directory, siempre es bueno dejarlas tal cuál vienen, y poco a poco ir creando nuestras propias políticas y dándole el orden de ejecución que nos interese y que le vengan mejor a nuestra infraestructura.

• Para restablecer estas GPOs, nos abriremos un PowerShell con permisos de Administrador:

• Si ejecutamos este comando dcgpofix /ignoreschema /target:Domain vamos a restablecer por defecto la GPO Default Domain Policy:

• Como podemos ver se ha restablecido correctamente:

• Si ejecutamos este comando dcgpofix /ignoreschema /target:DC vamos a restablecer por defecto la GPO Default Domain Controllers Policy:

• Como podemos ver se ha restablecido correctamente:

• Si ejecutamos este comando dcgpofix /ignoreschema /target:BOTH vamos a restablecer por defecto las GPOs Default Domain Policy y Default Domain Controllers Policy:

• Como podemos ver las dos GPOs se han restablecido correctamente:

Saludos y espero que os sea de ayuda

En este post vamos a ver como actualizar remotamente las directivas de grupo mediante scripts de PowerShell, como ya sabemos, cuando creamos una nueva GPO en nuestro dominio esta tarda 90 minutos en replicarse a los equipos de nuestra infraestructura o podemos forzar la GPO con el comando gpupdate /force para que se aplique en el equipo dónde hemos ejecutado el comando, ahora veremos un nuevo método con scripts de PowerShell dónde vamos a poder actualizar remotamente nuestras GPO y en todos nuestros equipos de forma inmediata y automatizada mediante scripts de PowerShell.

• Con este primer script vamos a actualizar las GPOs en todos los equipos de una Unidad Organizativa, en este link podéis descargar el script, vamos a suponer que queremos actualizar las GPOs de todos los equipos que se encuentran en la Unidad Organizativa “Equipos” de “Sevilla”, para lo cual debemos saber el “distinguisedName”:

• Nos abrimos el script con un PoweShell ISE en uno de nuestros controladores de domino y lo ejecutamos:

• Cuando termine la ejecución del script ya tendremos todos los equipos de la Unidad Organizativa actualizados a nivel de GPO.

• Ahora vamos a actualizar las GPOs de un equipo en específico, por ejemplo, de este equipo con Windows 10:

• Debemos saber el distinguisedName de la Unidad Organizativa dónde se encuentra el equipo:

• Nos abrimos el script con un PoweShell ISE en uno de nuestros controladores de domino y lo ejecutamos, en este link podemos descargar el script:

• Cuando termine la ejecución del script ya tendremos el equipo actualizado a nivel de GPO.

Fuente: Curso Instalación y configuración de Windows Server 2016 impartido por Jair Gómez

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar filtros WMI (Windows Management Instrumentation) para distinguir entre las distintas versiones y arquitecturas de sistemas operativos Windows y poder aplicar estos filtros a nuestras GPOs.

• Para ello, desde la consola “Administración de directivas de grupo” de nuestro Active Directory, nos iremos configurando los distintos filtros WMI según versión y arquitectura de los sistemas operativos Windows:

• Empezaremos configurando los filtros WMI para Windows 7, tanto para arquitecturas de 32 bits como de 64 bits, introducimos la siguiente consulta en el filtro, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»1″:

• Windows 7 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»1″ AND NOT OSArchitecture = «64-bit»:

• Windows 7 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»1″ AND OSArchitecture = «64-bit»:

• Windows 8, tanto para arquitecturas de 32 bits como de 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»1″:

• Windows 8 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»1″ AND NOT OSArchitecture = «64-bit»:

• Windows 8 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»1″ AND OSArchitecture = «64-bit»:

• Windows 8.1, tanto para arquitecturas de 32 bits como de 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»1″:

• Windows 8.1 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»1″ AND NOT OSArchitecture = «64-bit»:

• Windows 8.1 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»1″ AND OSArchitecture = «64-bit»:

• Windows 10 1709, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1709 AND ProductType =»1″:

• Windows 10 1803, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1803 AND ProductType =»1″:

• Windows 10 1809, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1809 AND ProductType =»1″:

• Windows Server 2008 – DC, tanto para arquitecturas de 32 bits como de 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»2″:

• Windows Server 2008 – DC 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»2″ AND NOT OSArchitecture = «64-bit»:

• Windows Server 2008 – DC 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»2″ AND OSArchitecture = «64-bit»:

• Windows Server 2008 – NODC, tanto para arquitecturas de 32 bits como de 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»3″:

• Windows Server 2008 – NODC 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»3″ AND NOT OSArchitecture = «64-bit»:

• Windows Server 2008 – NODC 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»3″ AND OSArchitecture = «64-bit»:

• Windows Server 2008 R2 – DC, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»2″:

• Windows Server 2008 R2 – NODC, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»3″:

• Windows Server 2012 – DC, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»2″:

• Windows Server 2012 – NODC, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»3″:

• Windows Server 2012 R2 – DC, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»2″:

• Windows Server 2012 R2 – NODC, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»3″:

• Windows Server 2016 1607 – DC, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1607 AND ProductType =»2″:

• Windows Server 2016 1607 – NODC, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1607 AND ProductType =»3″:

• Windows Server 2019 1809 – DC, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1809 AND ProductType =»2″:

• Windows Server 2019 1809 – NODC, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1809 AND ProductType =»3″:

• Windows 10 todas las ediciones, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 1:

• Windows 10 32 bits, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 1 AND OSArchitecture = «32-bit»:

• Windows 10 64 bits, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 1 AND OSArchitecture = «64-bit»:

• Windows 11, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 1 AND BuildNumber >= «22000»:

• Windows Server 2019 todas las ediciones – Servidores, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 3 AND BuildNumber = «17763»:

• Windows Server 2019 todas las ediciones – Controladores de dominio, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 2 AND BuildNumber = «17763»:

• Windows Server 2022 todas las ediciones – Servidores, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 3 AND BuildNumber = «20348»:

• Windows Server 2022 todas las ediciones – Controladores de dominio, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 2 AND BuildNumber = «20348»:

• Windows Server 2025 todas las ediciones – Servidores, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 3 AND BuildNumber = «26100»:

• Windows Server 2025 todas las ediciones – Controladores de dominio, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 2 AND BuildNumber = «26100»:

• Como podemos ver ya tenemos nuestros filtros WMI configurados:

• Ahora, ¿Cómo aplicamos los filtros WMI?, lo vemos mejor con un ejemplo, supongamos que tenemos la siguiente GPO llamada “Instalación Antivirus”, y queremos desplegar el software antivirus en los equipos con Windows 10 versión 1809, tanto para arquitecturas de 32 bits como de 64 bits, para ello, simplemente le aplicamos el filtro WMI desde el ámbito de la GPO:

• ProductType 1 = Desktop OS
• ProductType 2 = SERVER OS – Domain Controllers
• ProductType 3 = SERVER OS – NO Domain Controllers

Fuente: Curso Instalación y Configuración Windows Sever 2016 impartido por Jair Gómez

En este post vamos a ver como se aplican los filtrados de seguridad en GPOs de nuestro Active Directory, con este filtrado conseguiremos aplicar las GPOs a los grupos o usuarios que nos interesen.

• Para ello, desde el Administrador del servidor nos abrimos la “Administración de directivas de grupo”:

• Nos crearemos una GPO llamada “Calculadora” y la vincularemos sobre la OU “RAGASYS”, ésta GPO nos va a permitir iniciar la calculadora una vez que el usuario ha iniciado sesión:

• Ahora sobre la GPO “Calculadora” nos iremos a las opciones de “Ámbito > Filtrado de seguridad” y quitaremos el grupo “Usuarios autentificados” que nos lo agrega la GPO por defecto, los usuarios autentificados son los usuarios que han iniciado sesión en el dominio:

• Ahora para realizar el filtrado de seguridad correcto, tenemos que agregar el grupo o usuario y equipo o equipos a los que queremos aplicar la GPO, con las nuevas actualizaciones de Windows Server 2016 y Windows Server 2012 R2, es necesario agregar los equipos, con versiones anteriores, simplemente agregábamos el grupo o los usuarios, pero una vulnerabilidad corregida con las nuevas versiones, nos obliga a agregar los equipos, esta vulnerabilidad hacía que el usuario o los usuarios incluidos en el filtrado de seguridad de la GPO pudieran modificar esta política de grupo:

• Ahora vamos a probar con este usuario y equipo incluido en el filtrado de seguridad para ver si se aplica la GPO correctamente:

• Con un “gpresult /r” podemos ver que la GPO se está aplicando correctamente:

• Si no queremos un filtrado tan exhaustivo en nuestras GPOs, con usuario o grupo y equipo, podemos filtrar por usuario o grupo y añadir el grupo Equipos del dominio, así logramos tener un filtrado prácticamente solo por el grupo de seguridad, ya que el grupo Equipos del dominio engloba a todos los equipos de nuestro dominio de Active Directory:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como crear y configurar GPOs para habilitar el Escritorio Remoto en los equipos de nuestro Active Directory.

• Lo primero que haremos será crearnos un grupo de seguridad global para el acceso por escritorio remoto, llamado “GRDSRAGASYS” e incluiremos los siguientes usuarios en este grupo:

• Ahora desde el Administrador del servidor nos abrimos la “Administración de directivas de grupo”:

• Nos crearemos una GPO llamada “Accesos RDS Equipos” y la vincularemos sobre la OU RAGASYS, ésta GPO nos va a permitir que los usuarios se conecten de forma remota a los equipos mediante los servicios de escritorio remoto:

• Ahora vamos a probar con uno de los usuarios incluidos en el grupo de seguridad “Grdsragasys” que tenemos acceso por escritorio remoto a uno de nuestros equipos del dominio:

• Con un “gpresult /r” podemos ver que la GPO se está aplicando correctamente:

• Ahora para el acceso por escritorio remoto a los servidores de nuestra infraestructura, nos hemos creado otra GPO con las siguientes configuraciones, por lo que sólo los Administradores del dominio tendrán acceso por escritorio remoto a los servidores, esta GPO la hemos vinculado a las OUs “Servidores” y “Domain Controllers”:

• Como podemos ver la GPO se está aplicando correctamente:

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar la página de inicio de Mozilla Firefox a través de GPO Central Store, para ello tenemos que tener configurado la administración de las directivas de grupo por almacén central, en este link podemos ver como se configura GPO Central Store.

• Para ello, lo primero que haremos será descargarnos la plantilla admx/adml para Mozilla Firefox, Policy_Template_Firefox_v1_4, una vez descargada, la descomprimimos:

• Ahora sobre el almacén central ubicado en C:\Windows\SYSVOL\sysvol\dominioAD\Policies\PolicyDefinitions copiamos la plantilla admx/adml:

• Ahora desde la consola “Administración de directivas de grupo” nos creamos una nueva GPO llamada “Config_Firefox”:

• Editamos la nueva GPO:

• Accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas (almacén central) > Mozilla > Firefox > Página de inicio” y configuramos las opciones “Página de inicio y URL de la página de inicio”:

• Con esto ya tendríamos configurado la página de inicio de Mozilla Firefox:

• Una vez que ya tenemos la GPO “Config_Firefox” preparada y configurada, la vinculamos sobre la raíz de nuestro dominio:

• Como podemos ver ya está vinculada sobre el dominio, y el orden de vínculo, la hemos ubicado en el tercer lugar:

• Ahora en cualquiera de los equipos de nuestro dominio, iniciamos sesión y verificamos la página de inicio de Mozilla Firefox:

• Podemos verificar que las GPOs se están aplicando correctamente abriéndonos un PowerShell y ejecutando el comando “gpresult /r”:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar GPO Central Store, esto nos va a permitir leer las plantillas administrativas desde el SYSVOL.

• Por defecto, nuestros controladores de dominio guardan las plantillas administrativas para las configuraciones de las políticas de grupo de forma local en la ubicación C:\Windows\PolicyDefinitions, por lo tanto, si actualizamos las plantillas administrativas en uno de nuestros controladores de domino, lo estaremos haciendo de forma local, y tendremos que hacerlo en todos los demás controladores de dominio, y además tendremos que aplicarle los permisos NTFS necesarios:

• Si nos abrimos la consola “Administración de directivas de grupo” y editamos cualquiera de nuestras GPOs, podemos ver si las plantillas administrativas se están leyendo de forma local o desde el almacén central, si nos aparece, “recuperadas del equipo local”, se estarán leyendo de forma local:

• Ahora vamos a ver como configurar GPO Central Store, dónde las plantillas administrativas se van a leer desde el SYSVOL, y van a ser replicadas a todos los controladores de dominio, tampoco vamos a aplicar ningún tipo de permiso NTFS, para habilitar GPO Central Store, simplemente tendremos que copiar la carpeta PolicyDefinitions ubicada en C:\Windows, a la carpeta de SYSVOL dónde residen las políticas de grupo del dominio Active Directory, C:\Windows\SYSVOL\sysvol\dominioAD\Policies:

• Ahora si nos abrimos la consola “Administración de directivas de grupo” y editamos cualquiera de nuestras GPOs, podemos ver si las plantillas administrativas se están leyendo de forma local o desde el almacén central, si nos aparece, “recuperadas del almacén central”, se estarán leyendo del GPO Central Store:

• Las ventajas de tener configurado GPO Central Store es que a la hora de actualizar las plantillas administrativas, o de introducir plantillas nuevas, bastará con realizarlo en uno de nuestros controladores de dominio, ya que al estar en el SYSVOL se replicará a los demás controladores, y con respecto a los permisos NTFS no debemos tocar ni aplicar nada.

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar la página de inicio en Internet Explorer, Google Chrome y Mozilla Firefox a través de una GPO configurada en nuestro Active Directory.

• Empezaremos configurando la GPO para la página de inicio de Internet Explorer, para ello, desde el Administrador del servidor nos abrimos “Administración de directivas de grupo”:

• Nos creamos una nueva GPO:

• Le damos un nombre:

• Editamos la nueva GPO:

• Accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas > Componentes de Windows > Internet Explorer” y configuramos la opción “Deshabilitar el cambio de configuración de la página principal”:

• Introducimos la página de inicio sobre la configuración de la GPO:

• Con esto ya tendríamos configurado la página de inicio de Internet Explorer, ahora vamos a configurar la página de inicio de Google Chrome, para ello, lo primero que haremos será descargarnos la plantilla adm para Google Chrome, Policy_Template_GChrome, una vez descargada, la descomprimimos:

• Ahora sobre la GPO que creamos anteriormente “Conf_IE_Chrome_Firefox” accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas” y agregamos la plantilla adm para Google Chrome:

• Como podemos ver ya la tenemos agregada:

• Ahora vamos a configurar las páginas de inicio para Google Chrome, para ello, accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas > Plantillas administrativas clásicas (ADM) > Google > Google Chrome > Páginas de inicio” y configuramos las políticas “Acción al iniciar y URL que se deben abrir al inicio”:

• Para la primera política “Acción al iniciar” la habilitamos y configuramos que abra una lista de URLs:

• Para la segunda política “URL que se deben abrir al inicio” la habilitamos y configuramos la página de inicio o páginas de inicio que queremos en nuestro sistema:

• Como podemos ver ya tenemos estas dos opciones de política sobre Google Chrome habilitada:

• Ahora vamos a configurar la página de inicio para Google Chrome, para ello, accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas > Plantillas administrativas clásicas (ADM) > Google > Google Chrome > Página de inicio” y configuramos las políticas “Configurar la URL de la página principal y Utilizar página nueva pestaña como página principal”:

• Para la primera política “Configurar la URL de la página principal” la habilitamos y configuramos la URL:

• Para la segunda política “Utilizar página nueva pestaña como página principal” la deshabilitamos:

• Como podemos ver ya tenemos estas dos opciones de política sobre Google Chrome configuradas:

• Con esto ya tendríamos configurado la página de inicio de Google Chrome, ahora vamos a configurar la página de inicio de Mozilla Firefox, para ello, lo primero que haremos será descargarnos la plantilla adm para Mozilla Firefox, Policy_Template_Firefox, una vez descargada, la descomprimimos:

• Ahora sobre la GPO que creamos anteriormente “Conf_IE_Chrome_Firefox” accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas” y agregamos las plantillas adm para Mozilla Firefox:

• Como podemos ver ya las tenemos agregadas:

• Ahora vamos a configurar la página de inicio para Mozilla Firefox, para ello, accedemos a la ruta “Configuración del equipo > Directivas > Plantillas administrativas > Plantillas administrativas clásicas (ADM) > Mozilla Firefox > General” y configuramos la opción “Homepage”:

• La habilitamos y configuramos la página de inicio:

• Como podemos ver ya la tenemos habilitada:

• Ahora vamos a configurar la página de inicio para Mozilla Firefox, para ello, accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas > Plantillas administrativas clásicas (ADM) > Mozilla Firefox Default Settings” y configuramos la política “General Settings”:

• La habilitamos y configuramos la página de inicio:

• Como podemos ver ya la tenemos habilitada:

• Ahora vamos a introducir en la GPO el script de inicio de seseión “firefox_login.vbs” que se encuentra en el archivo que nos hemos descargado anteriormente:

• Para ello accedemos a la ruta “Configuración de usuario > Directivas > Configuración de Windows > Scripts” y editamos “Iniciar sesión”:

• Si clicamos sobre “Mostrar archivos…” se nos abrirá la ruta dónde se encuentran los scripts que tiene configurados esta GPO (Config_IE_Chrome_Firefox), pues aquí copiamos el script “firefox_login.vbs”:

• Ahora lo agregamos como script de inicio de sesión:

• Así nos quedaría configurada nuestra GPO “Config_IE_Chrome_Firefox” para poner la página de inicio que nos interese a los equipos de nuestra infraestructura con estos tres navegadores, Internet Explorer, Google Chrome y Mozilla Firefox:

• Una vez que ya tenemos la GPO “Conf_IE_Chrome_Firefox” preparada y configurada, la vinculamos sobre la raíz de nuestro dominio:

• Como podemos ver ya está vinculada sobre el dominio, y el orden de vínculo, la hemos ubicado en el tercer lugar:

• Ahora en cualquiera de los equipos de nuestro dominio, iniciamos sesión y verificamos la página de inicio de los tres navegadores:

• Podemos verificar que las GPOs se están aplicando correctamente abriéndonos un PowerShell y ejecutando el comando “gpresult /r”:

Saludos y espero que os sea de ayuda

En este post vamos a ver como delegar tareas administrativas del Active Directory a otros Administradores de Sistemas, según nuestra organización del Active Directory, que lo hemos organizado por sedes (Madrid, Barcelona, Valencia, Sevilla y Bilbao), vamos a suponer que en cada sede tenemos un Administrador de sistemas que será el encargado de administrar todo lo que se anide dentro de su Unidad Organizativa correspondiente, con esto conseguimos que cada Administrador sólo pueda configurar la parte que le corresponda.

• Esta es nuestra estructura organizativa del Active Directory:

• Todos los grupos y usuarios que vamos a crear lo haremos dentro de una Unidad Organizativa llamada “AdminsIT” anidada dentro de la OU “IT”:

• Lo primero que vamos a realizar será crearnos un grupo de seguridad global llamado “AdministradoresIT”, dentro de la OU que hemos creado:

• Ahora nos vamos a crear 5 grupos de seguridad global, uno por cada sede, esto lo haremos por si en un futuro necesitamos que más de un Administrador de Sistemas se encarguen de una sede, y simplemente con añadir el nuevo usuario administrador al grupo correspondiente podrá administrar la Unidad Organizativa que le corresponda:

• Ahora vamos a añadir los 5 grupos de administradores creados por sedes como “Miembros” del grupo “AdministradoresIT”:

• Una vez que hemos creado y organizado los grupos, vamos a proceder a crear las cuentas de usuario para cada Administrador de Sistemas de cada sede, esta cuenta de “Administrador de sede” no tendrá nada de especial, simplemente es una cuenta más de usuario del Active Directory, las tareas administrativas se la vamos a delegar por GPO:

• Una vez creada las cuentas de usuario, las vamos a añadir como “Miembros” de su grupo correspondiente:

• Ahora en cada OU que hemos organizado por sede vamos a delegar el control a los grupos de administradores que nos hemos creado, voy a mostrar como se realiza en la OU de Madrid, para las demás seguiremos el mismo proceso:

• Se nos abre el siguiente asistente:

• Agregamos el grupo de administradores que corresponda a la OU, en este caso “AdministradoresMad”:

• Creamos una tarea personalizada para delegar:

• Le indicamos que vamos a delegar el control en esta OU y todo lo que se anide dentro:

• Ahora le asignamos los permisos que nos interesen, en este caso, le hemos asignado “Control Total” sobre la OU:

• Finalizamos el asistente:

• Como podemos ver los permisos para delegar el control sobre la OU, se han aplicado correctamente:

• Para las demás sedes vamos a realizar el mismo proceso:

• Con esto ya tendríamos organizado nuestro Active Directory para delegar tareas administrativas, ahora nos vamos a crear algunas GPOs que las vincularemos por sedes y así tendremos completadas todas las tareas necesarias para la delegación de los trabajos por sede, estas GPOs son para que los Administradores de cada sede sean “Administradores Locales” de las máquinas que están en su sede y que les tocará administrar.
• Para la sede de Barcelona nos quedaría:

• Para la sede de Bilbao nos quedaría:

• Para la sede de Madrid nos quedaría:

• Para la sede de Sevilla nos quedaría:

• Para la sede de Valencia nos quedaría:

• Por último, nos crearemos una GPO para que los administradores de cada sede puedan agregar equipos al dominio, esta GPO la vincularemos sobre la raíz del dominio y la colocaremos un nivel por encima de las “Default Domain Policy”:

• Con todo esto ya tendríamos nuestra Administración de Sistemas delegadas por sedes.

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar las directivas de grupo para nuestro dominio ragasys.net sobre servidores Microsoft Windows Server 2016.

Las Directivas de Grupo, GPO, permiten implementar configuraciones específicas para uno o varios usuarios y/o equipos. Nos centraremos en cómo se debe hacer la gestión correcta de GPO en Active Directory de Microsoft Windows.

Para la configuración de GPO que sólo afecten a un usuario o equipo local se puede utilizar el editor de directivas locales gpedit.msc. En nuestro caso accederemos en el entorno de Servicios de Dominio de Active Directory, con la consola de administración gpmc.msc.

Las GPO permiten administrar objetos de usuarios y equipos, aplicando la más restrictiva en caso de existir más de una política. Se puede usar una GPO para casi cualquier cosa, como indicar qué usuario o grupo tiene acceso a una unidad de disco, o limitar el tamaño máximo que puede tener un archivo.

Las GPO se pueden diferenciar dependiendo del objeto al que configuran y se pueden entender en distintos niveles:

• Equipo Local: tan solo se aplican en el equipo que las tiene asignadas independientemente del dominio al que pertenezca.
• Sitio: se aplican a los equipos y/o usuarios de un sitio, independientemente del dominio.
• Dominio: se aplican a todos los equipos y/o usuarios de un dominio.
• Unidad Organizativa (OU): se aplican únicamente a los equipos y/o usuarios que pertenecen a la OU.

Dentro de la configuración de directiva se puede acceder a lo siguiente:

• Configuración de equipo
• Configuración de usuario

Fuente: https://cetatech.ceta-ciemat.es/

• Para empezar a configurar las GPO nos vamos al Administrador del Servidor > Administración de directivas de grupo:

• Por defecto las GPO “Default Domain Policy” y “Default Domain Controllers Policy”, ya están creadas y vinculadas a las siguientes ubicaciones:

• Como buena práctica, es aconsejable, no editar estas dos GPOs, ya que vienen con unas configuraciones por defecto, para que nuestro Active Directory funcione correctamente, todas las configuraciones las llevaremos a cabo, creándonos nuevas GPOs y vinculándolas sobre la OUs correspondientes.

• Aquí vemos la configuración por defecto de la GPO “Default Domain Policy”:

• Aquí vemos la configuración por defecto de la GPO “Default Domain Controllers Policy”:

• Una vez que hemos visto las dos GPOs por defecto, procederemos a crear nuevas GPOs para nuestro dominio y las vincularemos sobre las Unidades organizativas que nos interese o sobre el dominio completo, para crear nuevas GPOs, hacemos lo siguiente:

• Le asignamos un nombre y clic sobre Aceptar:

• Como podemos ver ya tenemos la nueva GPO creada:

• Ahora la vinculamos sobre la unidad organizativa “Direccion”, así solo afectará a esta OU:

• Como podemos ver ya la tenemos vinculada:

• Nos hemos creado las siguientes GPOs y las hemos vinculado a las Unidades Organizativas que nos han ido interesando o las hemos vinculado al dominio para que afecten a todas las unidades organizativas:

• Ahora mostraremos las configuraciones de cada GPO:
• GPO “Bloqueo Automático Terminal”, esta GPO está vinculada sobre el dominio y su función será bloquear las sesiones de los usuarios cuando haya transcurrido un tiempo de inactividad en esas sesiones, cuando o usuarios quieran volver a desbloquear su sesión, deberán introducir sus credenciales:

• GPO “Contraseñas y Bloqueo Cuentas”, esta GPO está vinculada sobre el dominio y su función será definir una política de contraseñas para nuestros usuarios y una política para el bloqueo de las cuentas de los usuarios de nuestro dominio:

• Como la GPO “Default Domain Policy” ya tiene creada una política de contraseñas y bloqueo de cuentas, para que se aplique correctamente esta GPO, debemos moverla por encima de la GPO “Default Domain Policy”:

• GPO “Deshabilitar Firewall”, esta GPO está vinculada sobre el dominio y su función será deshabilitar el firewall de Windows para el perfil de dominio en todos nuestros equipos:

• GPO “No Ejecución Aplicaciones Especificadas”, esta GPO está vinculada sobre una OU (RAGASYS) y su función será no permitir la ejecución de las aplicaciones que hemos definido en la lista:

• GPO “Bloqueo Inicio Sesion Local”, esta GPO está vinculada sobre una OU (Equipos Bloqueados) y su función será que los equipos que se encuentren dentro de esta OU sólo van a poder iniciar sesión en ellos los administradores del dominio, así evitaremos que el usuario que utilice ese equipo pueda iniciar sesión, ya sea por motivos de seguridad, despido del trabajador, sospechemos que ese usuario no está utilizando su equipo siguiendo las políticas de la empresa, etc…:

• GPO “Bloquear Pendrives”, esta GPO no la hemos vinculado a nada, por lo tanto, no realizará la función que le hemos definido, una vez que la vinculemos sobre cualquiera de nuestras unidades organizativas, no permitirá la utilización de pendrives, CD, DVD, disquetes en los equipos de nuestra infraestructura:

• Con esto terminamos este post sobre la administración de directivas de grupo, más adelante, en otros post, voy a mostrar otras configuraciones de GPO, por ejemplo, cuando monte WSUS sobre WS 2016, o un servidor de impresión para montar las impresoras por GPO, también definiremos GPOs para delegar la administración del Active Directory a otros usuarios administradores según su ubicación geográfica y que estos usuarios administren la OU que le corresponda (Barcelona, Bilbao, Madrid, Sevilla y Valencia), etc….

Saludos y espero que os resulte de ayuda