Pruebas con GPOs

La idea es probar la herencia  el bloqueo de herencia , Exigido y por lo tanto la resolución de conflictos en el caso que las GPOs se contradigan. También debemos probar el filtrado de seguridad teniendo en cuenta que Denegar una GPO prevalecerá sobre Permitir. 

1. Eliminar el acceso al Panel de Control
2. Eliminar los botones de Inicio/Apagado
3. Mostrar mensaje Login
4. Desactivar el firewall
5. Cambiar el fondo de Escritorio
6. Página de inicio de IE sea nuestro Blog
7. GPO “Contraseñas y Bloqueo Cuentas”, esta GPO está vinculada sobre el dominio y su función será definir una política de contraseñas para nuestros usuarios y una política para el bloqueo de las cuentas de los usuarios de nuestro dominio Configuración Equipo /Directivas/ Configuración de Windows /Configuración de seguridad / Directivas de cuenta /Directiva de contraseña
8. GPO “No Ejecución Aplicaciones Especificadas”, esta GPO está vinculada sobre una OU (ASO1) y su función será no permitir la ejecución de las aplicaciones que hemos definido en la lista Configuración Usuario /Directivas/Plantillas Administrativas/Sistema /Directiva/No ejecutar aplicaciones de Windows especificas
9. GPO “Bloqueo Inicio Sesion Local”, esta GPO está vinculada sobre una OU (ASO1) y su función será que los equipos que se encuentren dentro de esta OU sólo van a poder iniciar sesión en ellos los administradores del dominio, así evitaremos que el usuario que utilice ese equipo pueda iniciar sesión, ya sea por motivos de seguridad Configuración Equipo /Directivas/ Configuración de Windows /Configuración de seguridad/Directivas locales/Asignación de Derechos de usuario /Permitir el inicio de sesión local
10. GPO “Bloquear Pendrives” Configuración Equipo /Directivas/Plantillas administrativas/Sistema/Acceso de almacenamiento extraíble
11.  GPO “Mapear unidades de red” Configuración de usuario> Preferencias> Configuración de Windows> Drive Maps

Active Directory: Password Settings Objects (PSOs)

 

Prácticas con GPOs

Evitar el acceso al panel de Control

Cree una nueva directiva de grupo.

Escriba un nombre para la nueva directiva de grupo.

En nuestro ejemplo, el nuevo GPO se nombró: MY-GPO.

En la pantalla Administración de directivas de grupo, expanda la carpeta denominada Objetos de directiva de grupo.

Haga clic con el botón derecho en el nuevo objeto de directiva de grupo y seleccione la opción Editar.

En la pantalla del editor de directivas de grupo, expanda la carpeta Configuración de usuario y busque el siguiente elemento.

Copy to Clipboard

1

User Configuration > Policies > Administrative Templates > Control Panel

Acceda a la carpeta denominada Panel de control.

Habilite el elemento denominado Prohibir acceso a la configuración del Panel de control y del PC.

Para guardar la configuración de directiva de grupo, debe cerrar el editor de directivas de grupo.

Tutorial GPO - Deshabilitar el acceso al Panel de control

En la pantalla Administración de directivas de grupo, debe hacer clic con el botón derecho en la unidad organizativa deseada y seleccionar la opción para vincular un GPO existente.

En nuestro ejemplo, vamos a vincular la directiva de grupo denominada MY-GPO a la raíz del dominio.

En nuestro ejemplo, usamos un GPO para impedir el acceso al Panel de control.

Mensaje de login

Herramientas -administración de directivas de grupo -default Domain Policy -editar -Configuración de equipo -directivas-configuración de windows-configuración de seguridad-opciones de seguridad-inicio de sesión interactivo:título del mensaje para los usuarios que intentan iniciar una sesión y texto del mensaje....

Cree una nueva directiva de grupo.

Escriba un nombre para la nueva directiva de grupo.

En nuestro ejemplo, el nuevo GPO se nombró: MY-GPO.

En la pantalla Administración de directivas de grupo, expanda la carpeta denominada Objetos de directiva de grupo.

Haga clic con el botón derecho en el nuevo objeto de directiva de grupo y seleccione la opción Editar.

En la pantalla del editor de directivas de grupo, expanda la carpeta Configuración del equipo y busque el siguiente elemento.

Copy to Clipboard

1

Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options

Acceda a la carpeta denominada Opciones de seguridad.

Habilite el siguiente elemento y configure el texto del mensaje deseado.

• Inicio de sesión interactivo: texto del mensaje para los usuarios que intentan iniciar sesión.

Habilite el siguiente elemento y configure el título del mensaje deseado.

• Inicio de sesión interactivo: título del mensaje para los usuarios que intentan iniciar sesión.

Para guardar la configuración de directiva de grupo, debe cerrar el editor de directivas de grupo.

Tutorial GPO - Mostrar un mensaje de texto para los usuarios después de iniciar sesión

En la pantalla Administración de directivas de grupo, debe hacer clic con el botón derecho en la unidad organizativa deseada y seleccionar la opción para vincular un GPO existente.

En nuestro ejemplo, vamos a vincular la directiva de grupo denominada MY-GPO a la raíz del dominio.

Después de aplicar el GPO es necesario esperar 10 o 20 minutos.

Durante este tiempo, el GPO se replicará en otros controladores de dominio.

En un equipo remoto, inicie sesión y compruebe que se muestra el mensaje de alerta.

En nuestro ejemplo, agregamos un banner de inicio de sesión mediante GPO.

Configurar la hora de manera centralizada

Configuración del equipo /directivas/plantillas administrativas/sistema /Servicio de hora de Windows/Proveedores de hora


Cargar fondo de escritorio
Configuración del Usuario /directivas /Plantillas /Active Desktop/Active desktop

Habilitar Active desktop 

• Tapiz de escritorio

\\server2\imagen\kk.jpg

Tutorial GPO - Configurar el fondo de pantalla

Cree una carpeta compartida y coloque una copia del fondo de pantalla.

Este será el punto de distribución del archivo de fondo de pantalla a la red.

En nuestro ejemplo, se creó una carpeta compartida denominada WALLPAPER.

Todos los usuarios del dominio y todos los equipos de dominio recibieron permiso de lectura sobre esta carpeta.

En nuestro ejemplo, esta es la ruta de acceso para acceder al recurso compartido de red.

Copy to Clipboard

1

\\tech-dc01\WALLPAPER

En el controlador de dominio, abra la herramienta de administración de directivas de grupo.

Cree una nueva directiva de grupo.

Escriba un nombre para la nueva directiva de grupo.

En nuestro ejemplo, el nuevo GPO se nombró: MY-GPO.

En la pantalla Administración de directivas de grupo, expanda la carpeta denominada Objetos de directiva de grupo.

Haga clic con el botón derecho en el nuevo objeto de directiva de grupo y seleccione la opción Editar.

En la pantalla del editor de directivas de grupo, expanda la carpeta Configuración de usuario y busque el siguiente elemento.

Copy to Clipboard

1

User Configuration > Preferences > Windows Settings > Files

Haga clic con el botón derecho en la opción Archivos y cree un nuevo archivo.

Seleccione la acción Actualizar.

En el campo de origen, escriba la ruta de red del fondo de pantalla.

En el campo de destino, escriba la ruta local para guardar una copia del fondo de pantalla.

En nuestro ejemplo, el GPO creará una copia local del archivo de fondo de pantalla.

A continuación, configure el GPO para habilitar automáticamente la copia local del archivo de imagen como fondo de pantalla.

En la pantalla del editor de directivas de grupo, expanda la carpeta Configuración de usuario y busque el siguiente elemento.

Copy to Clipboard

1

User Configuration > Policies > Administrative Templates > Desktop > Desktop

Acceda a la carpeta denominada Escritorio.

Habilite el elemento denominado Fondo de escritorio.

Introduzca la ruta de acceso a la copia local del archivo de fondo de pantalla.

Para guardar la configuración de directiva de grupo, debe cerrar el editor de directivas de grupo.

Tutorial GPO - Fondo de escritorio

En la pantalla Administración de directivas de grupo, debe hacer clic con el botón derecho en la unidad organizativa deseada y seleccionar la opción para vincular un GPO existente.

En nuestro ejemplo, vamos a vincular la directiva de grupo denominada MY-GPO a la raíz del dominio.

En nuestro ejemplo, usamos un GPO para configurar automáticamente el fondo de pantalla de Windows.

Inicio de sesión local 
Configuración del equipo/Directivas/configuración de Windows/configuración de seguridad/directivas locales/asignación de derechos de usuario/Permitir el inicio de sesión local
Agregamos el usuario prueba

Directiva de contraseñas para el dominio
Configuración del equipo /Directivas/Configuración de Windows/Configuración de seguridad
Directivas de cuenta/Directiva de contraseñas

Impedir el acceso al símbolo de sistema

Configuración de usuario /Plantillas administrativas/Sistema/Impedir el acceso al símbolo de sistema

https://www.google.com/amp/s/windowserver.wordpress.com/2017/07/11/directivas-de-grupo-gpo-herencia-forzado-y-resolucin-de-conflictos/amp/

gpupdate /force

Group Policy Object

GPOs

Una GPO (Group Policy Object – Objetos de Política de Grupo), es básicamente un conjunto de políticas para crear en el dominio, tanto en el servidor local como en los equipos cliente, una serie de condiciones y restricciones enfocadas en mejorar la seguridad de los equipos ya que en muchas organizaciones los usuarios pueden realizar acciones que van en contra de las buenas prácticas y estas dan como resultado una afectación global en Windows Server.

Uso GPO

Como administradores podemos usar las GPO para controlar todo esto, si deseamos implementar una GPO tengamos en cuenta:

Los equipos a gestionar deben estar unidos al dominio y los usuarios deben contar con las credenciales de dominio para el inicio de sesión.

La red local debe estar configurada a través de AD DS, esto implica que el servidor debe contar el rol AD DS (Active Directory) ya configurado.

Se requiere contar con permisos para editar la Política de grupo en el dominio.

Tipos GPO

Existen dos tipos de GPO que son:

 Default Domain Policy: como su nombre lo indica, es la política por defecto del dominio e integra configuraciones de políticas para todos los equipos y usuarios en el dominio.

Default Domain Controller Policy: es otra política por defecto, pero orientada al controlador de dominio.

Prioridades de la GPO.

Cómo crear y administrar una GPO en Windows Server 2019

Vamos al Panel de Administrador del servidor -Herramientas-Administración de directivas de grupo

Esto abre la siguiente ventana donde vemos el bosque actual del dominio:

Damos clic derecho en el dominio y seleccionamos la opción "Crear una GPO en este dominio y vincularlo aquí":

Asignamos el nombre a la GPO:

Damos clic derecho sobre la GPO creada y seleccionamos "Editar":

Vamos a la ruta "Configuración de usuario - Directivas - Plantillas administrativas - Menú Inicio y barra de tareas":

Buscar GPO.

GPO - Aplicar a un usuario o grupo específico

En la pantalla Administración de directivas de grupo, seleccione el GPO y accede a la pestaña Delegación.

Agregaremos el grupo gpo creado anteriormente en el Active Directory del cual es  miembro el usuario kk . Comprobaremos que a otro usuario que no está en dicho grupo ,no le afecta la poítica de grupo . 

En el laboratorio del final el usuario kk vuelve a tener los botones de Apagar, Reiniciar puesto que se implementa la política con prioridad 1 que es la Política del Dominio por Defecto ,que hemos configurado .

GPO - Prioridad de una política 












Gpresult /R /SCOPE COMPUTER /V
Gpresult /R  /SCOPE USER /V
Gpresult / R
rsop.msc en la máquina w10