En este tutorial vamos a aplicar, al igual que en el anterior, una GPO a un grupo de usuarios, pero en este caso aplicaremos la GPO a todos los usuarios autentificados en el dominio excepto a los que pertenecen al grupo global «ventas«.

En primer lugar enlazamos la nueva GPO (excepto ventas) a la raiz del dominio «neointec.local«.

Recordad que por defecto, cuando enlazamos una GPO, se incluye el grupo «Authenticated users«.

En esta ocasión no vamos a tocar este grupo porque queremos que se les aplique la configuracion de la GPO.

Ahora lo que hacemos es movernos a la pestaña «Delegation«.

Añadimos el grupo «ventas» y para ello pulsamos sombre el boton «Add…».

El siguiente cuadro de dialogo ya lo conocemos.

Para resumir, escribimos «ventas» y pulsamos «Check Name«.

A continuacion nos muestra las dos coincidencias que ha encontrado.

A nosotros nos interesa el grupo «ventas«, asi que lo seleccionamos y pulsamos «OK«.

Volvemos a pulsar «OK».

Ahora ya disponemos del grupo «ventas». Lo seleccionamos en la parte superior y vemos los checks que tiene activados.

Nosotros queremos que a los miembros de este grupo no se le apliquen la configuracion de esta GPO.

Habilitamos unicamente el check que se corresponde con «Apply group policy«, pero en este caso bajo la columna «Deny«.

Pulsamos «Yes» al mensaje de advertencia siguiente:

Si volvemos a la pestaña «Scope» seguiremos viendo solo al grupo «Authentitated Users».

No os dejeis engañar o no os confundais. Para ver los diferentes permisos de usuario y grupos es mejor la pestaña «Delegation».

Hasta aqui llega esta tutorial.

Espero que os sirva.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

oscar

Programador WordPress freelance

Como ya sabremos, las GPOs solo se aplican a usuarios y/o equipos pero nos puede venir muy bien el poder filtrar la aplicacion de la GPO por grupos de usuarios o equipos, eso es lo que vamos a ver en este ejemplo

Para el ejemplo he creado la GPO «solo informatica«. Es una GPO ficticia que solo me sirve para el ejemplo y que lo veamos claro. Por supuesto, en este ejemplo queremos que solo se aplique a los usuarios de informatica. Esto lo podemos hacer de varias formas.

Una forma de hacerlo es enlazar la GPO a la OU donde estan ubicados los usuarios o equipos de informatica. Este seria el metodo normal.

Otra forma seria enlazar la GPO en un nivel superior del arbol de OUs, en este caso en la raiz del dominio «neointec.local» y realizar un filtro de manera que se aplique solo a los usuarios del grupo global «informatica» que ya tenemos creado y que contiene unicamente a los usuarios de ese departamento.

Una vez que tenemos esto claro, vamos vinculamos el GPO que he comentado (solo informatica) a la raiz del dominio «neointec.local«. Como podemos ver en la siguiente imagen:

En la proxima imagen vemos las propiedades o configuracion de la pestaña «ambito» de esta GPO. Podemos ver que en «Security Filtering» esta añadido el grupo «Authenticated Users«.

El grupo «Authenticated Users» lo incluira por defecto al crear una GPO. Incluso tendra permisos para leer y aplicar las GPOs.

Bueno, lo que haremos ahora es eliminar ese grupo para que no se aplique la GPO a todos los usuarios autentificados. Como de costumbre, lo seleccionamos, pulsamos boton derecho del raton y seleccionamos «delete«.

Como respuesta al cuadro de dialogo de advertencia, pulsamos el boton «Ok» indicando que si, que queremos elimarlo.

Confirmamos que en estos momentos no hay nada en la parte de «Security Filtering«:

Ahora añadimos el grupo «informatica«.

Este grupo contiene todas las cuentas de usuario de los usuarios de ese departamento.

Bien, confirmamos que se a añadido el grupo.

Ahora, para completar el proceso, nos dirigimos a la pestaña «Delegation«. Pulsamos el boton «advanced«

Teniendo seleccionado el grupo «Informatica«, comprobamos que tiene habilitados (Allow) los check correspondientes a «Read» y «Apply group policy«. Si no los tuviera activados, los activamos.

Esta es una de las formas de que disponemos para filtrar una GPO por grupos globales.

Recordad que la aplicamos solo al grupo «informatica» y hemos quitado a el grupo «Authenticated Users«.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

oscar

Programador WordPress freelance

Puede darse el caso en el que necesitemos, por los motivos que sea, que no se apliquen las politicas de grupo en alguna ubicacion, pongamos una OU.

Bloqueando la herencia de directivas de grupo conseguimos en a partir de esa ubicacion no se aplique ninguna de las GPOs que se aplican en niveles superiores.

En este ejemplo lo que pretendemos es bloquear la herencia a partir de la OU «usuarios» y para ello, seleccionamos dicha OU, pulsamos en el boton derecho del raton y seleccionamos «Block Inheritance».

Vemos que ahora aparece un signo de exclamacion junto a la Unidad Organizativa «usuarios» para indicarnos que la herencia esta bloqueda.

Si pulsamos boton derecho sobre la OU en cuestion, observamos que tiene la marca indicando que el bloqueo de herencia esta activado.

Recordar que ahora mismo, si no tubieramos ninguna GPO enlazada a esta GPO, como es el caso, no se le aplica ninguna de las politicas que tengamos definidas.

El bloqueo de herencia es una herramienta con la que debemos trabajar con cuidado.

Es muy util en el caso de realizar pruebas de nuevas GPOs. Podemos bloquear la herencia en una OU, vincular la GPO que queremos probar y asi ver los resultados de manera mas limpia, sin intromision de alguna otra GPO.

Bueno, nos vemos en el siguiente.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

oscar

Programador WordPress freelance

Simplemente para que sepamos que sepamos mirar la precedencia de las GPOs en una determinada ubicacion.

Desde el «Group Policy Management» nos posionamos en el dominio «Neointec.local«. En el panel de la derecha, dentro de la pestaña «Linked Group Policy Objects» podemos ver las GPOs que estan enlazadas a esta ubicacion e incluso si estan forzdas o habilitadas.

En la columna de la derecha se especifica un numero de precedencia para cada una de los enlaces:

El orden de los enlaces determina el orden de precedencia de la aplicacion de las GPOs.

A saber: Los enlaces con el numero menor tienen mayor precedencia.

En la pestaña «Group Policy Inheritance» observamos los enlaces con relacion a la herencia.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

oscar

Programador WordPress freelance

Aunque ya lo realizamos en el primer articulo sobre GPOs, vamos a dejar claro los pasos a realizar para Enlazar una GPO a un dominio, sitio o Unidad Organizativa.

Para este ejemplo abrimos el «Group Policy Management«.

Seleccionamos, por ejemplo, la Unidad Organizativa «administracion» dentro de «equipos«.

Pulsamos el boton derecho del raton y seleccionamos «Link an Existing GPO…«.

En el cuadro de dialogo que aparece a continuacion, seleccionamos la GPO que queremos enlazar a esta OU.

Una vez hecho esto, vemos que la gpo «Neointec base» aparece enlazada a la OU «administracion«.

Y en las propiedades de la GPO, dentro de la seccion «links» de la pestaña «scope«, aparecen ahora dos ubicaciones: «administracion» y «neointec.local«.

Hasta la proxima.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

oscar

Programador WordPress freelance

En este articulo vamos a crear un repositorio central para almacenar la informacion sobre las politicas de grupo (GPOs).

Bien, en primer lugar vamos a ver la configuracion establecida hasta ahora y para ello ejecutamos el «Gestor de Politicas de Grupo» y seleccionamos la GPO «Neointec Base». Boton derecho y seleccionamos «Edit…»

En «User Configuration» –> «Administrative Templates«, vemos que al final de esta linea nos indica que las GPOs estan almacenadas en «local machine«.

Ahora vamos a crear el Repositorio Central.

Exploramos el directorio \\neointec.local\sysvol\neointec.local\policies

Creamos un nuevo directorio con el nombre de «PolicyDefinitions«.

Exploramos el directorio «%systemroot%\PolicyDefinitions«:

Copiamos el contenido de este ultimo directorio:

Ahora pegamos lo que hemos copiado en el directorio que habiamos creado antes dentro de «sysvol»:

Comprobamos de nuevo el el Editor de Politicas de Grupo que ahora se almacenan las politicas un un repositorio central (central store).

Hasta la proxima.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

oscar

Programador WordPress freelance