Definición de Directivas o Políticas de Grupo

La configuración de Directiva de Grupo define los distintos componentes del entorno de escritorio del usuario que accede de forma autenticada al dominio de nuestro servidor Windows Server. El administrador del sistema determina cuáles directivas se aplicarán a cada usuario englobado en un sitio, dominio o unidad organizativa. Por ejemplo, se pueden especificar los programas disponibles para los usuarios, los programas que aparecen en su escritorio, las opciones del menú Inicio, las opciones del navegador, etc.

Para crear una configuración específica de escritorio para un grupo de usuarios en particular, se utilizan las Directivas de Grupo. La configuración de Directiva de Grupo está contenida en un objeto de Directiva de Grupo, de modo que se asocia dicha directiva a los Sitios, Dominios o Unidades Organizativas indicadas en Active Directory.

Aunque su nombre pueda sugerirlo, las Directivas de Grupo no pueden ser asociadas directamente a grupos de usuarios o equipos (solo a Sitios, Dominios o Unidades Organizativas). Sin embargo, el resultado de su aplicación afecta únicamente a los usuarios y a los equipos de Active Directory.

Orden de Aplicación de las Directivas

Las directivas se aplican en el siguiente orden:

1. Objeto de Directiva de Grupo local único.
2. Objetos de Directiva de Grupo del Sitio (en orden especificado administrativamente).
3. Objetos de Directiva de Grupo del Dominio (en orden especificado administrativamente).
4. Objetos de Directiva de Grupo de las Unidades Organizativas (de Unidad Organizativa principal a secundaria, y en orden especificado administrativamente en el nivel de cada Unidad Organizativa).

De forma predeterminada, las directivas aplicadas posteriormente sobrescriben las directivas aplicadas con anterioridad cuando las directivas son incoherentes. Si no hay incoherencias, las directivas anteriores y posteriores contribuyen a la directiva efectiva (se suman las configuraciones).

Funcionamiento de las Directivas de Grupo (Resumen)

La Directiva de Grupo se aplica de manera jerárquica desde el grupo menos restrictivo (Sitio) al grupo más restrictivo (Unidad Organizativa). La Directiva de Grupo también es acumulativa. Los contenedores de servicio de directorio secundarios heredan la Directiva de Grupo de los contenedores primarios. El procesamiento tiene lugar en el siguiente orden: Sitio, Dominio y Unidad Organizativa.

Esto significa que, si se ha asignado una Directiva de Grupo determinada a un contenedor primario de alto nivel, esa Directiva de Grupo se aplica a todos los contenedores por debajo de dicho contenedor primario, incluidos los objetos equipo y usuario de cada contenedor. Sin embargo, si se especifica explícitamente una Directiva de Grupo para un contenedor secundario, dicha directiva suplantará a la del contenedor primario, si son contradictorias, y se sumará a la anterior si no lo son.

Es importante resaltar que las Directivas de Grupo tienen prioridad sobre las opciones de configuración del perfil del usuario en caso de conflicto.

En los siguientes apartados, se define una estructura de Unidades Organizativas para un centro educativo, y se asocian las Políticas o Directivas de Grupo al dominio o a las Unidades Organizativas creadas.

Definiciones Clave

A continuación, se definen los términos clave para este documento:

• Sitio: Conjunto de equipos en una o varias subredes IP. Los sitios suelen representar la estructura física de la red.
• Dominio: Un dominio tiene un nombre único y permite el acceso a las cuentas de usuario y de grupo centralizadas mantenidas por el administrador del dominio. Cada dominio tiene sus propias directivas de seguridad y relaciones de seguridad con otros dominios, y representa un límite de seguridad en una red Windows. Active Directory está compuesto de uno o varios dominios, cada uno de los cuales puede abarcar más de una ubicación física. Los dominios representan la estructura lógica de la organización.
• Unidad Organizativa (UO): Objeto contenedor de Active Directory que se utiliza en los dominios. Las UO son contenedores lógicos en los que pueden colocarse usuarios, grupos, equipos y otras Unidades Organizativas. Solo pueden contener objetos de su dominio principal. Una UO es el ámbito más pequeño al que se puede aplicar una Directiva de Grupo.

Unidades Organizativas

Para poder asociar las Políticas o Directivas de Grupo deseadas a los usuarios o equipos de nuestro dominio, se crea una estructura de Unidades Organizativas que permita gestionar dichas directivas.

La estructura de UO que se crea a continuación es un ejemplo, y no un «estándar». Cada administrador deberá, en función de las necesidades de su centro, planificar las UO que debe crear, así como estructurarlas adecuadamente, para que las Directivas de Grupo se apliquen como desee.

En este planteamiento, como las directivas asociadas a los Equipos del dominio serán siempre las mismas, no es necesario crear ninguna UO específica para los equipos. Las directivas se asocian al dominio «micentro.edu» y se aplicarán automáticamente a todos los equipos del dominio.

Entre las directivas asociadas a los Usuarios del dominio, habrá algunas comunes para todos los usuarios (profesores y alumnos), las cuales se asociarán igualmente al dominio «micentro.edu». Sin embargo, como habrá algunas directivas que serán aplicadas a los profesores pero no a los alumnos, y viceversa, se crean dos contenedores: «Profesores» y «Alumnos» bajo el dominio «micentro.edu». En la UO «Profesores» se definirán las directivas propias de los profesores y en la UO «Alumnos» las directivas propias de los alumnos. Dichas directivas se aplicarán posteriormente a la propia del dominio, según el orden indicado anteriormente.

Para crear las Unidades Organizativas deseadas, se accede a las «Herramientas administrativas» del «Panel de Control» y se hace doble clic sobre «Usuarios y Equipos de Active Directory».