3.3Directivas de grupo (GPO): fundamentos
Lo esencial en 30 segundos
- Las GPO aplican reglas y configuraciones a todo un parque de forma centralizada, sin pasar por cada puesto.
- Una GPO se crea y luego se vincula a un contenedor AD (dominio, sede u OU); se aplica al arranque (equipo) o al inicio de sesión (usuario).
- gpupdate /force fuerza la reaplicación para probar; en caso de conflicto, la precedencia decide (sede → dominio → OU).
Mini-caso hilado — Sofiane impone una regla a todo un servicio
Sofiane, administrador de sistemas en una pyme de distribución en Argel, debe bloquear automáticamente la pantalla de los puestos tras unos minutos de inactividad, para todo el servicio de expedición. Se niega a pasar puesto por puesto: crea una GPO «Bloqueo-Auto», la vincula a la unidad organizativa del servicio y deja que la directiva se aplique al arranque y al inicio de sesión. Primero prueba en un puesto piloto con un gpupdate /force, comprueba el resultado y luego generaliza. Anota el reflejo: pocas GPO, bien nombradas, vinculadas al nivel correcto y siempre probadas antes de desplegar.
Caso autónomo de esta sección: vuelve en el curso, el esquema, el guion y el reto 48 h de la sección 3.3.
1. Configurar 200 puestos sin tocarlos
Las directivas de grupo (GPO) permiten aplicar configuraciones y reglas a un conjunto de usuarios o de equipos, de forma centralizada, sin pasar por cada puesto. Fondo de escritorio corporativo, reglas de contraseña, unidades de red, restricciones de software: todo ello se pilota por GPO. Sofiane ve en ellas la herramienta que transforma una política en configuración realmente aplicada.
2. Cómo se aplica una GPO
Una GPO se crea y luego se vincula a un contenedor AD (dominio, sede u OU). Después se aplica a los objetos de ese contenedor, en el arranque del equipo (parámetros de equipo) o en el inicio de sesión (parámetros de usuario). El comando gpupdate /force fuerza una reaplicación inmediata, muy útil para probar en un puesto piloto.
3. Alcance y precedencia
Como pueden aplicarse varias GPO, existe un orden de precedencia (sede → dominio → OU, ganando en general la más cercana). Una buena práctica: pocas GPO, bien nombradas y vinculadas al nivel correcto, en lugar de un bosque de directivas que se contradicen y se vuelven imposibles de depurar.
gpupdate /force. Vincular una GPO demasiado arriba amplía el impacto mucho más allá de la necesidad. Y multiplicar GPO que se contradicen vuelve la precedencia ilegible: mejor pocas directivas claras. Sofiane siempre prueba en un puesto piloto.🔎 Ejemplo concreto — 🔎 Ejemplo concreto — Imponer un bloqueo automático de sesión
Seguridad: bloquear la pantalla tras unos minutos de inactividad, en todo un servicio.
1. Crear una GPO "Bloqueo-Auto"
2. Vincularla a la OU "Expedicion"
3. Parametro: bloqueo tras inactividad
4. gpupdate /force en un puesto de prueba -> verificarLectura: una regla definida una vez se aplica a todos los puestos de la OU.
Lección: las GPO transforman una política de seguridad en configuración realmente aplicada.
Vocabulario de la sección
- GPO
- Directiva de grupo: conjunto de reglas y configuraciones aplicado de forma centralizada.
Ejemplo sencillo: Sofiane impone el bloqueo de pantalla por GPO.
Lo que no es: un ajuste hecho puesto por puesto a mano.
Reflejo: imponer una regla → GPO.
- Vinculación (link)
- Vínculo de una GPO a un dominio, una sede o una OU.
Ejemplo sencillo: Sofiane vincula la GPO a la OU del servicio de expedición.
Lo que no es: una GPO creada pero vinculada a nada.
Reflejo: dirigir una GPO → vincularla.
- Parámetros de equipo / usuario
- Ajustes aplicados al arranque del PC (equipo) o al inicio de sesión (usuario).
Ejemplo sencillo: El bloqueo de pantalla es un parámetro de equipo.
Lo que no es: una preferencia que el usuario cambia él mismo.
Reflejo: equipo o usuario → el panel correcto.
- gpupdate /force
- Comando que fuerza la reaplicación inmediata de las GPO.
Ejemplo sencillo: Sofiane lo ejecuta en el puesto piloto para comprobar.
Lo que no es: esperar al siguiente refresco natural.
Reflejo: probar ahora mismo → gpupdate /force.
- Precedencia
- Orden que determina qué GPO se impone en caso de conflicto.
Ejemplo sencillo: La GPO de la OU más cercana gana en general.
Lo que no es: una sola GPO que nunca entra en conflicto.
Reflejo: conflicto de GPO → la precedencia.
En la práctica — En la práctica — Planificar una GPO
- Elijan una regla sencilla que imponer (fondo de escritorio, contraseña, unidad de red), como Sofiane.
- Determinen el destino (qué usuarios o puestos) y la OU correspondiente.
- Decidan si el parámetro es «equipo» o «usuario».
- Anoten cómo lo probarían con gpupdate /force en un puesto piloto.
Guion paso a paso — desplegar una GPO correctamente como Sofiane (4 min)
1) Elijan la regla y nombren la GPO con claridad (p. ej. «Bloqueo-Auto»). 2) Vincúlenla al contenedor correcto (la OU del servicio, no la raíz). 3) Ajusten el parámetro, distinguiendo equipo y usuario. 4) Prueben en un puesto piloto con gpupdate /force. 5) Comprueben el resultado y luego generalicen.
Guarda esta ficha: menos GPO bien nombradas = menos conflictos de precedencia y una resolución de problemas más sencilla.
Modelo copiar-pegar — mi ficha GPO
GPO : "Bloqueo-Auto"
Destino : OU "Expedicion" (no la raiz)
Panel : parametro de equipo (o de usuario)
Parametro : bloqueo tras inactividad
Prueba : gpupdate /force en un puesto piloto
Regla : pocas GPO, bien nombradas ; probar antes de desplegarUn fondo de escritorio corporativo
Sofiane despliega el fondo de escritorio común mediante una GPO vinculada a la OU de los puestos.
Una política de contraseña
Sofiane impone la longitud y la renovación de las contraseñas en todo el dominio.
Una unidad de red
Sofiane asigna una unidad compartida para el servicio de contabilidad mediante una GPO dirigida.
Una prueba de puesto piloto
Sofiane aplica la GPO primero a un solo puesto, comprueba con gpupdate /force y luego generaliza.
✓ Buenas prácticas
- Pocas GPO, bien nombradas y vinculadas al nivel correcto.
- Probar siempre en un puesto piloto (gpupdate /force).
- Distinguir los parámetros de equipo y de usuario.
✗ Errores frecuentes
- Multiplicar GPO que se contradicen.
- Vincular una GPO demasiado arriba (impacto demasiado amplio).
- Desplegar sin prueba previa.
Puntos clave
- Las GPO aplican reglas y configuraciones a un parque, de forma centralizada.
- Una GPO se crea, se vincula a una OU y luego se aplica al arranque/inicio de sesión.
- gpupdate /force fuerza la reaplicación para probar.
- En caso de conflicto, decide la precedencia; mejor pocas GPO claras.
Reto 48 h — aplícalo mañana
Como Sofiane, diseña una GPO para una regla sencilla (bloqueo de pantalla, contraseña, unidad de red): nómbrala, indica el destino (qué OU), precisa si el parámetro es de equipo o de usuario y describe la prueba que harías con gpupdate /force en un puesto piloto.
- Puedo explicar para qué sirven las GPO.
- Describo el ciclo: creación, vinculación a una OU, aplicación, prueba.
- Sé que una prueba en puesto piloto y la precedencia cuentan.
Preguntas frecuentes
¿Una GPO se aplica al instante?
No siempre: las GPO se refrescan al arrancar, al iniciar sesión y periódicamente. Para una prueba inmediata se usa gpupdate /force y luego se comprueba el resultado en el puesto piloto.
¿Qué hacer si dos GPO se contradicen?
La precedencia decide (a menudo gana la GPO vinculada a la OU más cercana al objeto). En la práctica, se simplifica: menos GPO, nombres explícitos y una prueba evitan la mayoría de los conflictos.
¿Para qué sirven las directivas de grupo (GPO)?