Aprende Informatica Conmigo

Por 1 comentario

Windows Server 2008 – Comprobacion de la actualizacion de software por GPO

En el tutorial anterior sobre 2008 configuramos la politica «Despliegue firefox» para que se actualizara con otra version de firefox.

En este tutorial simplemente confirmamos que todo ha salido bien.

Pare ello, cojemos el equipo «infor01» y lo encendemos.

Como de costumbre, es muy posible que la primera vez que arrancamos el equipo no pase nada porlo que hay que volver a reiniciar.

Despues de reiniciar y antes de que aparezca la pantalla para hacer login, nos aparecera un mensaje como  el siguiente. Este mensaje aparece durante un rato pero hay que estar atento para poder verlo.

Comprobamos que Firefox esta en el menu inicio –> Todos los programas.

Ejecutamos Firefox y en el menu ayuda disponemos de la opicon «acerca de«. La seleccionamos para que nos muestre la siguiente pantalla:

Nos fijamos en que ahora efectivamente esta instalada la verion 3.6.10 que se corresponde con el msi que configuramos en el tutorial anterior.

Facil, verdad.

Venga, en el proximo tutorial sobre Windows Server 2008 tocaremos asuntos de Auditoria.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por 2 comentarios

Windows Server 2008 – Actualizar una aplicacion desplegada por GPO

Si os acordais, hace poco decicabamos un tutorial a configurar una GPO para desplegar el Firefox en varios equipos de nuetra empresa. Bien, lo que vamos a hacer ahora es actualizar la versionde Firefox mediante un nuevo msi que es una version mas actualizada.

Antes de nada, muestro en la captura siguiente, la version que tenemos instalada actualmente en los equipo del grupo «informatica«. Como podeis ver es la 3.0.17.

Creamos otro directorio dentro de \\neointecdc1\SDP\ con el nombre de «Firefox-3.6.10-es-Es«.

Copiamos dentro el msi correspondiente.

Ahora en «Group Policy Management» seleccionamos «Group Policy Objects«, nos posicionamos en la GPO «Despliegue Firefox«, pulsamos boton derecho del raton y seleccionamos «Edit…«.

Expandir el arbol por «Computer configuration –> Policies –> Software Settings –> Software Installation«.

Posicionados en esta ultima, pulsamos boton derecho del raton y seleccionamos «Package» dentro de «New«.

Introducimos el path hasta el msi que nos interesa: «\\neointecdc1\sdp\Firefox-3.6.10-es-ES.msi«.

Seleccionamos el msi y pulsamos en el boton «Open«.

Aprarece el cuadro de dialogo «Deploy Software» donde seleccionamos «Assigned» y pulsamos «OK«.

Ya aparece en la lista.

El nombre se lo podemos cambiar pero bueno, tambien nos sirve este.

Abrir las propiedades del nuevo paquete que acabamos de crear.

En la pestaña General podemos modificar el nombre.

Si nos posicionamos en la pestaña «Deployment» procedemos a activar el check correspondiente a «Uninstall this application when it falls out of the scope of management«.

Pasamos a la pestaña «Upgrades«.

Pulsamos el boton «Add…«.

Aqui es donde configuramos el nuevo paquete.

Nosotros vamos a establecer las opciones que veis a continuacion.

Ya lo tenemos preparado…

Ya esta todo listo para probarlo.

Lo probaremos en el siguiente tutorial. De nuevo con el equipo infor01.

Hasta entonces.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por 3 comentarios

Windows Server 2008 – Comprobacion del despliegue de software por GPO

Nos toca comprobar que la gpo en la que hemos configurado el despliegue de Firefox se aplica correctamente.

Para ello hacemos logon en un equipo del departamento de informatica. Nos vale infor01.

Puede suceder que la primera vez que hacemos logon despues de la aplicacion de la GPO no se aplique el cambio porque necesite otro reinicio de la maquina.

Cuando inicia la maquina nos saldra durante un ratito este mensaje antes de la pantalla para hacer logon:

Bien, observamos que si aparece. Nos crea un icono en el escritorio ademas de en el menu.

Ha funcionado bien la GPO.

Ahora abrimos «Active directory users and computers» en nuestro controlador de dominio.

Movemos el equipo a otra OU. Yo la he movido a la OU «equipos«.

Este cambio es temporal para que veamos que pasa.

Tipico mensaje de advertencia:

Ya lo veis…

Reiniciamos el equipo «infor01«

Al igual que he comentado antes, tal vez tengamos que reiniciar dos veces.

En definitiva, nos debe salir un mensaje como el siguiente cuando arranca el equipo:

Ahora podemos ver que ha desaparecido el Firefox.

Esto es porque al sacar la cuenta de equipo de la OU «informatica» no se le aplica la GPO.

Tambien pasaria lo mismo si deshabilitamos la GPO o el enlace de la GPO y por supuesto si eliminamos la misma.

Espero que lo entais bien porque nos puede ayudar mucho en nuestro trabajo diario.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por 2 comentarios

Windows Server 2008 – Crear GPO de despliegue de software

En este tutorial vamos a crear una GPO para desplegar Firefox en los equipos del dominio.

Para empezar, en la pagina http://www.frontmotion.com/Firefox/ diponeis de msis ya creados para estos menesteres. Hay versiones en muchos idiomas.

Para el ejemplo que nos ocupa yo voy a instalar la version de Firefox 3.0.17-es-ES con su correspondiente msi.

Hay otra version posterior, pero yo voy a instalar esa porque en otro tutorial veremos como lo actualizamos, tambien por GPO.

Poniendonos en situacion, como decia, nos descargargamos el msi en cuestion, creamos un directorio dentro del «punto de distribucion de software» que en mi caso es SDP con el nombre del software a desplegar y pegamos en este ultimo directorio el msi de Firefox.

Al tema…

Abrimos «Group Policy Management«.

Creamos una nueva GPO pulsando el boton derecho del raton sobre «Group Policy Objects» y seleccionando «New«:

Especificamos un nombre para esta GPO. Yo la he designado como «Despliegue Firefox«.

Pulsamos «OK«.

Ahora seleccionamos la GPO que acabamos de crear. Pulsamos boton derecho y seleccionamos «Edit…«.

Vamos desplegando el arbol por «Computer Configuration –> Policies –> Software Settings –> Software installation» y nos posicionamos en este ultimo.

Aqui tengo que decir que he decidido hacer el ejemplo asignando la aplicacion por equipo y no por usuario. Es simplemente un ejemplo pero en un caso real teneis que pensar bien como lo vais a realizar teniendo en cuenta la forma de trabajar en vuestro entorno.

Bien, en la parte derecha o sobre «Software installation» pulsamos boton derecho del raton y seleccionamos «New –> Package…«.

En la siguiente captura, no hagais caso al msi de «Infra Recorder» que aparece ahí porque es de otras pruebas y no nos interesa para nada.

Bueno, en «Filename:» escribimos la ruta de red para llegar al msi que queremos desplegar.

En mi caso sera: \\neointecdc1\SDP\firefox-3.0.17-es-ES.msi.

Ahora seleccionamos el msi y pulsamos «Open«.

A continuacion nos mostrara la siguiente pantalla.

Yo he seleccionado «Advanced» pero tambien podriamos seleccionar «Assigned«.

Una apreciacion. Notareis que la opcion «Published» no la podemos escoger y eso es porque solo se pueden publicar aplicaciones a los usuario.

Por haber seleccionado «Advanced» nos muestra la suiguiente pantalla en la que dentro de la pestaña «General» podemos modificar el nombre del paquete.

En la pestaña «Deployment» seleccionamos la opcion «Uninstall this aplication when it falls out of the scope of management«.

Ahora, en la pestaña «Security» nos aseguramos de que el grupo «Authenticated Users» tiene permisos de lectura.

Si pulsamos advanced podemos ver mas detalladamente los permisos.

Bueno, en un ratito aparece el paquete en el lugar correspondiente.

Salimos de «Group Policy Management Editor«.

Ahora, en «Group Policy Management» nos posicionamos en la OU «Neointec –> Equipos –> Informatica«, pulsamos el boton derecho del raton y seleccionamos la opcion «Link an Existing GPO…»

Seleccionamos «Despliegue Firefox«.

Ya vemos que aparece bien.

Hemos creado una GPO para desplegar Firefox.

En el siguiente tutorial veremos si funciona realmente en un equipo del departamento de informatica, que es donde hemos asignado la GPO.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por Dejar un comentario

Windows Server 2008 – Crear un punto de distribucion de software (SDP)

Bueno, llegamos a una parte del curso de Windows Server 2008 que me gusta mucho.

El despligue de software a traves de GPO me parece de lo mas util.

En este primer tutorial vamos a crear un «SDP» o «Punto de Distribucion de Software«, que no es mas que una carpeta compartida en la que configuraresmos los permisos necesarios para que los usuarios puedan leer y ejecutar los msis.

Bueno, en nuestro servidor «NEOINTECDC1» creamos un directorio en C:\ con el nombre «SDP«.

Le podeis poner el nombre que querais.

Tras realizar esto, pulsamos el boton derecho del raton sobre la carpeta «SDP» y seleccionamos «Share with –> Specific people…«.

Nos muestra la siguiente pantalla con los permisos de que dipone ahora.

En el menu desplegable, seleccionamos «Everyone» que viene a ser lo mismo que «Todos«.

Bien, ahora seleccioamos las propiedades del directorio.

Esto es mas completo que lo anterior.

En la pestaña «Sharing» pulsamos «Advanced Sharing…«.

Nos muestra lo siguiente…

Pulsamos sobre el boton «Permisions» para añadir o modificar permisos.

Vemos que «Everyone» tiene demasiados permisos y esto no nos interesa.

Queremos que solo tenga «lectura y ejecucion«. en esta pesaña dejamos activado solo «Read» y pulsamos «OK«.

Ahora, en la pestaña «Security» comprobamos los permisos efectivos el grupo «Everyone«.

Veo que esta correcto.

Pues ya tenemos preparado nuestro «Punto de Distribucion de Software«.

En el siguiente tutorial instalaremos «Firefox» a traves de GPO.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por 2 comentarios

Windows Server 2008 – Añadir miembros mediante GPO

En esta ocasion vamos a utilizar las politicas de grupo para añadir miembros a un grupo.

No es lo mismo que en el tutorial anterior en el que modificabamos el apartado de «Este grupo es miembro de…«.

Bueno, manos a la obra.

Creamos una nueva GPO porque no es aconsejable mezclar en una misma GPO los dos conceptos que hemos visto y estamos viendo.

Como nombre para esta GPO he seleccionado «miembros administradores local«.

Editamos la GPO.

Ahora, como en el tutorial anterior, desplegamos el arbol por «Computer Configuration –> Policies –> Windows Settings –> Security Settings –> Restricted Groups«.

Boton derecho con «Restricted Groups» seleccionado y pulsamos sobre «Add Group…«.

Escribimos «Administradores«.

Debemos tener en cuenta que nos referimos al grupo «administradores» locales de los equipos.

Pulsamos en el boton «Add…» del apartado «Members of this group:«.

Esbrimos «informatica» porque este es el grupo que queremos añadir al grupo local de administradores.

Ya lo ha añadido a la lista.

Comprobamos…

Ahora enlazamos la GPO al dominio «neointec.local«.

Seleccionamos la GPO.

Y ya esta.

Espero que os sirva este tutorial.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por Dejar un comentario

Windows Server 2008 – Filtrar una GPO para excluir grupos

En este tutorial vamos a aplicar, al igual que en el anterior, una GPO a un grupo de usuarios, pero en este caso aplicaremos la GPO a todos los usuarios autentificados en el dominio excepto a los que pertenecen al grupo global «ventas«.

En primer lugar enlazamos la nueva GPO (excepto ventas) a la raiz del dominio «neointec.local«.

Recordad que por defecto, cuando enlazamos una GPO, se incluye el grupo «Authenticated users«.

En esta ocasión no vamos a tocar este grupo porque queremos que se les aplique la configuracion de la GPO.

Ahora lo que hacemos es movernos a la pestaña «Delegation«.

Añadimos el grupo «ventas» y para ello pulsamos sombre el boton «Add…».

El siguiente cuadro de dialogo ya lo conocemos.

Para resumir, escribimos «ventas» y pulsamos «Check Name«.

A continuacion nos muestra las dos coincidencias que ha encontrado.

A nosotros nos interesa el grupo «ventas«, asi que lo seleccionamos y pulsamos «OK«.

Volvemos a pulsar «OK».

Ahora ya disponemos del grupo «ventas». Lo seleccionamos en la parte superior y vemos los checks que tiene activados.

Nosotros queremos que a los miembros de este grupo no se le apliquen la configuracion de esta GPO.

Habilitamos unicamente el check que se corresponde con «Apply group policy«, pero en este caso bajo la columna «Deny«.

Pulsamos «Yes» al mensaje de advertencia siguiente:

Si volvemos a la pestaña «Scope» seguiremos viendo solo al grupo «Authentitated Users».

No os dejeis engañar o no os confundais. Para ver los diferentes permisos de usuario y grupos es mejor la pestaña «Delegation».

Hasta aqui llega esta tutorial.

Espero que os sirva.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por 1 comentario

Windows Server 2008 – Filtrar una GPO para aplicarla a grupos

Como ya sabremos, las GPOs solo se aplican a usuarios y/o equipos pero nos puede venir muy bien el poder filtrar la aplicacion de la GPO por grupos de usuarios o equipos, eso es lo que vamos a ver en este ejemplo

Para el ejemplo he creado la GPO «solo informatica«. Es una GPO ficticia que solo me sirve para el ejemplo y que lo veamos claro. Por supuesto, en este ejemplo queremos que solo se aplique a los usuarios de informatica. Esto lo podemos hacer de varias formas.

Una forma de hacerlo es enlazar la GPO a la OU donde estan ubicados los usuarios o equipos de informatica. Este seria el metodo normal.

Otra forma seria enlazar la GPO en un nivel superior del arbol de OUs, en este caso en la raiz del dominio «neointec.local» y realizar un filtro de manera que se aplique solo a los usuarios del grupo global «informatica» que ya tenemos creado y que contiene unicamente a los usuarios de ese departamento.

Una vez que tenemos esto claro, vamos vinculamos el GPO que he comentado (solo informatica) a la raiz del dominio «neointec.local«. Como podemos ver en la siguiente imagen:

En la proxima imagen vemos las propiedades o configuracion de la pestaña «ambito» de esta GPO. Podemos ver que en «Security Filtering» esta añadido el grupo «Authenticated Users«.

El grupo «Authenticated Users» lo incluira por defecto al crear una GPO. Incluso tendra permisos para leer y aplicar las GPOs.

Bueno, lo que haremos ahora es eliminar ese grupo para que no se aplique la GPO a todos los usuarios autentificados. Como de costumbre, lo seleccionamos, pulsamos boton derecho del raton y seleccionamos «delete«.

Como respuesta al cuadro de dialogo de advertencia, pulsamos el boton «Ok» indicando que si, que queremos elimarlo.

Confirmamos que en estos momentos no hay nada en la parte de «Security Filtering«:

Ahora añadimos el grupo «informatica«.

Este grupo contiene todas las cuentas de usuario de los usuarios de ese departamento.

Bien, confirmamos que se a añadido el grupo.

Ahora, para completar el proceso, nos dirigimos a la pestaña «Delegation«. Pulsamos el boton «advanced«

Teniendo seleccionado el grupo «Informatica«, comprobamos que tiene habilitados (Allow) los check correspondientes a «Read» y «Apply group policy«. Si no los tuviera activados, los activamos.

Esta es una de las formas de que disponemos para filtrar una GPO por grupos globales.

Recordad que la aplicamos solo al grupo «informatica» y hemos quitado a el grupo «Authenticated Users«.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por Dejar un comentario

Windows Server 2008 – Forzar enlaces de GPOs

Al igual que el bloqueo de herencia de GPOs, forzar enlaces tambien deberemos utilizarlo con mucho cuidado y sabiendo en todo momento el desenlace en cuanto a precedencia de aplicacion de las politicas.

En este ejempo vamos a forzar el enlace de GPO «Neointec base» que esta enlazado directamente de la raiz del dominio «Neointec.local». Ya se que no tiene mucho sentido hacer esto, pero se trata solamente de un ejemplo.

Seleccionamos el enlace de GPO, pulsamos boton derecho del raton y seleccionamos «Enforced».

La apariencia del icono ha cambiado. Ahora tiene un candado cerrado indicando que esta forzada.

Si seleccionamos, por ejemplo, la OU «informatica» en la parte derecha de la ventana, dentro de la pestaña «Goup Policy Inheritance», observamos que ha cambiado de como estaba antes de forzar el enlace. Ahora tiene precedencia la GPO «Neointec base».

Os recuerdo que hay que usar esta caracteristica con mucho cuidado porque puede producir resultado no deseados si no se utiliza correctamente.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por Dejar un comentario

Windows Server 2008 – Bloquear la herencia de GPOs

Puede darse el caso en el que necesitemos, por los motivos que sea, que no se apliquen las politicas de grupo en alguna ubicacion, pongamos una OU.

Bloqueando la herencia de directivas de grupo conseguimos en a partir de esa ubicacion no se aplique ninguna de las GPOs que se aplican en niveles superiores.

En este ejemplo lo que pretendemos es bloquear la herencia a partir de la OU «usuarios» y para ello, seleccionamos dicha OU, pulsamos en el boton derecho del raton y seleccionamos «Block Inheritance».

Vemos que ahora aparece un signo de exclamacion junto a la Unidad Organizativa «usuarios» para indicarnos que la herencia esta bloqueda.

Si pulsamos boton derecho sobre la OU en cuestion, observamos que tiene la marca indicando que el bloqueo de herencia esta activado.

Recordar que ahora mismo, si no tubieramos ninguna GPO enlazada a esta GPO, como es el caso, no se le aplica ninguna de las politicas que tengamos definidas.

El bloqueo de herencia es una herramienta con la que debemos trabajar con cuidado.

Es muy util en el caso de realizar pruebas de nuevas GPOs. Podemos bloquear la herencia en una OU, vincular la GPO que queremos probar y asi ver los resultados de manera mas limpia, sin intromision de alguna otra GPO.

Bueno, nos vemos en el siguiente.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática