PDF de programación - Módulo 3: Gestión de equipos. Directivas grupos - Aulas en red. Aplicaciones y servicios. Windows

Ministerio de Educación,Cultura y Deporte.

Aulas en Red.
Windows
Módulo 3: Gestión de equipos. Directivas grupos

Aulas en red. Aplicaciones y servicios. Windows

Directivas de Grupo

Las Directivas de Grupo permiten definir diversas configuraciones del usuario que accede al sistema o del equipo desde el cual se
accede, de modo que el administrador del servidor Windows Server 2008 determina cuales le serán aplicadas a cada usuario y/o equipo
encuadrado en un sitio, dominio o unidad organizativa. Entre las directivas que pueden especificarse, por ejemplo, podemos citar a las
que se refieren a los programas que deseemos se encuentren disponibles para nuestros usuarios cuando trabajan en un equipo del
dominio, la configuración de su perfil, las opciones del navegador, etc.

Existe una gran cantidad de directivas de grupos, y su uso y ámbito de aplicación es muy variopinto; podemos decir que prácticamente
existen directivas de grupo para configurar sencillamente cualquier configuración que deseemos aplicar a nuestro usuarios y/o equipos
del dominio, y lo que es mejor, su utilización es tan sencilla como su habilitación en el servidor Windows Server 2008, para que pasen a
aplicarse de pleno a los usuarios y/o equipos del dominio.

La configuración de Directiva de Grupo está contenida en un objeto de directiva de grupo, de modo que se asocia dicha directiva a los
Sitios, Dominios o Unidades Organizativas indicadas en el Active Directory del servidor Windows Server 2008.

Curiosamente, y pese a su nombre, las Directivas de Grupo no pueden ser asociadas a un grupo de usuarios o grupos de equipos, pues
tan sólo son aplicables a Sitios, Dominios o Unidades Organizativas, y el resultado de su aplicación afecta a los usuarios y a los equipos
del dominio.

Cuando se habilita una directiva de grupo, el orden en que la misma es aplicada es el siguiente:

1. En primer lugar se aplica el objeto de Directiva de Grupo local único.

2. En segundo lugar se aplican los Objetos de Directiva de Grupo del Sitio, en el orden especificado administrativamente.

3. En tercer lugar los Objetos de Directiva de Grupo del Dominio, en el orden especificado administrativamente.

4. En cuarto lugar los Objetos de Directiva de Grupo de las Unidades Organizativas, de Unidad Organizativa principal a secundaria,

y en el orden especificado administrativamente en el nivel de cada Unidad Organizativa.

5. Finalmente, de forma predeterminada, las directivas aplicadas posteriormente sobrescriben las directivas aplicadas con
anterioridad cuando las directivas son incoherentes, es decir, hay contradicciones entre varias directivas. Sin embargo, si no hay
incoherencias de configuración, tanto las directivas anteriores como las posteriores contribuyen a la directiva efectiva, es decir, se
suman las configuraciones de las distintas directivas asociadas al objeto en cuestión.

Podemos resumir el funcionamiento de las Directivas de Grupo como sigue:

La Directiva de Grupo se aplica de manera jerárquica desde el grupo menos restrictivo (Sitio) al grupo más restrictivo (Unidad
Organizativa). La Directiva de Grupo también es acumulativa. Los contenedores de servicio de directorio secundarios heredan la
Directiva de Grupo de los contenedores primarios y el procesamiento de la Directiva de Grupo tiene lugar en el siguiente orden: Sitio,
Dominio y Unidad Organizativa. Esto significa que, si se ha asignado una Directiva de Grupo determinada a un contenedor primario de
alto nivel, esa Directiva de Grupo se aplica a todos los contenedores por debajo de dicho contenedor primario, incluidos los objetos
equipo y usuario de cada contenedor. Sin embargo, si especifica de manera explícita una Directiva de Grupo para un contenedor
secundario, dicha directiva suplantará a la del contenedor primario, si es que son contradictorias, y se sumará a la anterior si no lo son.

Es importante resaltar que las Directivas de Grupo tienen prioridad sobre las opciones de configuración del perfil del usuario en caso de
que se cree un conflicto entre ambas configuraciones.

En los siguientes apartados nos centraremos en definir una estructura de Unidades Organizativas para nuestro centro educativo, así
como en asociar las Políticas o Directivas de Grupo al dominio o a las Unidades Organizativas anteriormente creadas.

Vamos a citar y definir los siguientes términos, con los que trabajaremos habitualmente a lo largo de este apartado.

Sitio.- Podemos definir un sitio como un conjunto de equipos en una o varias subredes IP; podemos presumir que habitualmente

1 los sitios suelen representar la estructura física de la red.

Dominio.- Un dominio tiene un nombre único y permite el acceso a las cuentas de usuario y de grupo centralizadas mantenidas
por el administrador del dominio. Cada dominio tiene sus propias directivas de seguridad y relaciones de seguridad con otros
dominios, y representa límite de seguridad en una red Windows Server 2008. Active Directory está compuesto de uno o varios
dominios, cada uno de los cuales puede abarcar más de una ubicación física. Los dominios representan la estructura lógica de la
organización.

Unidad Organizativa.- Es un objeto contenedor de Active Directory que se utiliza en los dominios. Las Unidades Organizativas
son contenedores lógicos en los que pueden colocarse usuarios, grupos, equipos y otras Unidades Organizativas. Sólo pueden
contener objetos de su dominio principal. Una Unidad Organizativa es el ámbito más pequeño al que se puede aplicar una
Directiva de Grupo.

Unidades Organizativas

Obviamente la estructura de Unidades Organizativas que crearemos a continuación no debe ser un estándar a aplicar en cualquier
centro; cada administrador deberá, en función de las necesidades propias de su centro, planificar las Unidades Organizativas que debe
crear, así como estructurarlas adecuadamente, para que las Directivas de Grupo correspondientes a cada Unidad Organizativa se
apliquen como se pretende, a fin de lograr el efecto final deseado sobre los usuarios y equipos del dominio.

En nuestro planteamiento, aplicaremos diferentes directivas de grupo a los equipos del dominio, pues por ejemplo, en el proceso de
instalación remota de software, que posteriormente llevaremos a cabo, instalaremos diferentes versiones de ciertas aplicaciones en
función de los sistemas operativos donde se instalarán (Windows 2000 Professional, Windows XP Professional, Windows Vista y
Windows 7), de modo que deberemos crear diferentes unidades organizativas para colocar en cada una ellas a los diferentes equipos
del dominio (en este planteamiento en función del sistema operativo que tengan instalado). Asumiendo que en el dominio tendremos
equipos con sistemas operativos Windows XP y Windows 7, crearemos 2 Unidades Organizativas de nombres Equipos WXP y
Equipos W7 bajo el dominio "MiCentro.edu", donde posteriormente ubicaremos respectivamente los equipos del dominio que tengan
instalado los sistemas operativos Windows XP Professional y Windows 7, moviéndolos de su ubicación original en la carpeta
Computers a dichas unidades organizativas.

Las directivas de aplicación común para todos los equipos del dominio las configuraremos en el dominio "MiCentro.edu", y las directivas
que deseamos que se apliquen exclusivamente a los equipos en función de su sistema operativo las situaremos respectivamente en
cada unidad organizativa Equipos WXP y Equipos W7, de modo que finalmente a cada equipo cliente del dominio se le aplicarán la
suma de las directivas generales (las del dominio) más las de su propia unidad organizativa.

Igualmente aplicaremos directivas de grupo a los usuarios del dominio, habiendo algunas comunes para todos los usuarios de nuestro
centro (profesores y alumnos), las cuales asociaremos igualmente al dominio "MiCentro.edu", y otras directivas que deseamos sean
aplicadas a los profesores pero no a los alumnos y viceversa, para lo cual crearemos dos unidades organizativas de nombres
respectivos Profesores y Alumnos bajo el dominio "MiCentro.edu"; una vez creadas ambas unidades organizativas, moveremos a los
profesores "Javier", "Joaquin" y "Miguel" de la carpeta Users a la unidad organizativa Profesores, y a los alumnos "ESO" y "Bachiller"
de la carpeta Users a la unidad organizativa Alumnos.

En el siguiente apartado, en las unidades organizativas creadas en este apartado, definiremos respectivamente las directivas de
grupo exclusivas de los equipos con sistema operativo Windows XP Professional y Windows 7, así como las directivas propias de los
profesores y las propias de los alumnos; además en el dominio "MiCentro.edu" definiremos las directivas comunes a todos los equipos y
usuarios del dominio. La aplicación de las directivas más generales y posteriormente de las particulares de cada unidad organizativa
producirá el resultado final esperado, debido a la suma que se produce debido a la herencia de directivas.

Así pues lo primero que vamos a hacer para crear las unidades organizativas indicadas anteriormente es crear las unidades
organizativas donde vamos a situar a los equipos del dominio, para lo cual accedemos a las Herramientas administrativas del
Panel de Control y hacemos doble clic sobre Usuarios y Equipos de Active Directory, y en la ventana que se muestra a
continuación, nos ubicaremos sobre el dominio "MiCentro.edu", pulsando sobre él con el botón dere