GPO: almacén central de ADMX, Microsoft Edge y Microsoft 365 Apps, instalar un MSI con Instalación de software y la directiva que solo se aplica tras dos reinicios

Qué vas a conseguir

Configurar el navegador y Office de todos los equipos desde Active Directory con las plantillas oficiales en un único sitio, instalar una aplicación MSI sencilla sin herramienta de despliegue sabiendo hasta dónde llega, y entender el ticket que confunde a medio equipo de soporte: "la directiva no se aplica hasta el segundo reinicio" o "tarda una eternidad".

Antes de empezar

• GPMC con RSAT y permisos para crear y vincular GPO en las OU de equipos y usuarios (la guía de unidades de red e impresoras explica directivas frente a preferencias, filtrado y gpresult).
• Permiso de escritura en \\contoso.local\SYSVOL\contoso.local\Policies (Domain Admins o un grupo delegado para las plantillas).
• Descargadas: las plantillas de directiva de Microsoft Edge (página de Edge para empresas) y las plantillas administrativas de Microsoft 365 Apps (Centro de descargas de Microsoft, el paquete de ADMX/ADML y la herramienta de personalización de Office).
• Una OU piloto con equipos reales, OU=Piloto,OU=Equipos,DC=contoso,DC=local.

1. El almacén central de plantillas

Sin almacén central, el editor de GPO usa las plantillas de C:\Windows\PolicyDefinitions del equipo desde el que editas: dos administradores con Windows distintos ven ajustes distintos. El almacén central es una carpeta PolicyDefinitions en SYSVOL que se replica a todos los controladores; cuando existe, el editor usa solo esa.

›$central = '\\contoso.local\SYSVOL\contoso.local\Policies\PolicyDefinitions'›if (Test-Path $central) { robocopy $central "D:\Copias\PolicyDefinitions-$(Get-Date -Format yyyyMMdd)" /E /NP }›robocopy C:\Windows\PolicyDefinitions $central *.admx /NP›robocopy C:\Windows\PolicyDefinitions\es-ES "$central\es-ES" *.adml /NP›robocopy C:\Windows\PolicyDefinitions\en-US "$central\en-US" *.adml /NP

• La fuente buena es un equipo con la versión de Windows más reciente que tengas, o el paquete descargable de plantillas de Windows 11 de esa versión.
• Cada .admx necesita su .adml en cada idioma que usen los administradores. Si falta, el editor da errores del tipo No se encontró el recurso '$(string.xxx)' al abrir la GPO.
• Al abrir cualquier GPO, el editor muestra en Plantillas administrativas el texto Definiciones de directiva (archivos ADMX) recuperadas del almacén central. Si no lo dice, no está usando la carpeta que crees.

Copia de seguridad antes de cada actualización del almacén, y nunca se copian plantillas antiguas encima de nuevas: un ADMX de Windows 10 sobre uno de Windows 11 hace desaparecer ajustes del editor (las GPO los conservan, pero dejan de verse).

2. Añadir las plantillas de Edge y de Office

Del paquete de Edge, la carpeta windows\admx: msedge.admx y msedgeupdate.admx, con sus .adml de es-ES y en-US. Del de Microsoft 365 Apps, la carpeta admx: office16.admx y los de cada aplicación que vayas a gestionar (word16.admx, excel16.admx, outlk16.admx, ppt16.admx), con sus idiomas.

Todo al almacén central, en las mismas carpetas. Tras la replicación de SYSVOL, aparecen Microsoft Edge en Plantillas administrativas del equipo y del usuario, y Microsoft Office 2016 con cada aplicación (el nombre se quedó en 2016, también vale para Microsoft 365 Apps).

3. Configurar Microsoft Edge

Una GPO de equipo, CMP-Edge, vinculada primero a la OU piloto. En Configuración del equipo › Directivas › Plantillas administrativas › Microsoft Edge:

• La lista de bloqueo con * y la de permitidas con los ID de 32 letras es la combinación habitual: nada entra si no está aprobado. El ID está al final de la URL de la extensión en la tienda de complementos de Edge.
• Una extensión que ya estaba instalada y pasa a bloqueada se deshabilita, no se desinstala. Las forzadas no se pueden quitar ni desactivar.
• Las directivas de Microsoft Edge son obligatorias; las de Microsoft Edge: configuración predeterminada (los usuarios pueden invalidarla) son recomendadas, un valor inicial que el usuario puede cambiar.

En el equipo, tras gpupdate /force y cerrar Edge del todo, edge://policy lista cada directiva con su valor, su origen y si hay error. En el registro están en HKLM\SOFTWARE\Policies\Microsoft\Edge.

4. Configurar Microsoft 365 Apps

La mayoría de los ajustes de Office son de usuario. Una GPO USR-Office vinculada a la OU de usuarios y una parte de equipo para el canal de actualización:

• Configuración del equipo › Plantillas administrativas › Microsoft Office 2016 (equipo) › Actualizaciones › Canal de actualización = Canal empresarial mensual.
• Configuración de usuario › Plantillas administrativas › Microsoft Outlook 2016 › Configuración de la cuenta › Exchange › Modo de intercambio en caché › Configuración de sincronización del Modo de intercambio en caché = 12 meses, para que los buzones grandes no llenen el disco del portátil.
• Configuración de usuario › Plantillas administrativas › Microsoft Word 2016 › Opciones de Word › Seguridad › Centro de confianza › Configuración de notificaciones de macros de VBA = Deshabilitar todas excepto las macros firmadas digitalmente. Lo mismo en Excel y PowerPoint.

En el equipo se comprueba en HKCU\Software\Policies\Microsoft\Office\16.0 y, en la aplicación, porque la opción aparece en gris con el aviso de que la administra la organización.

Para usuarios que no están en el dominio o casi nunca ven la red interna, el servicio de directivas en la nube de Microsoft 365 (config.office.com) aplica los mismos ajustes por grupo de Entra ID sin GPO. Lo que no se debe hacer es configurar lo mismo por los dos sitios.

5. Instalar un MSI con Instalación de software

Para una aplicación pequeña en MSI y pocos equipos, la GPO lo instala al arrancar sin más herramientas:

1. El MSI en un recurso compartido con Lectura para Equipos del dominio en recurso y NTFS: \\srv-ficheros\Software$\7zip\7z-x64.msi. Siempre la ruta UNC, nunca D:\... ni una unidad asignada: la instala la cuenta del equipo antes de que haya nadie conectado.
2. GPO de equipo CMP-SW-7zip, Configuración del equipo › Directivas › Configuración de software › Instalación de software › Nuevo › Paquete, el MSI por su ruta UNC.
3. Método Asignado: se instala en el siguiente arranque. Avanzado si necesitas una transformación .mst, que solo se puede añadir al crear el paquete, no después.
4. En las propiedades, pestaña Implementación: Desinstalar esta aplicación cuando esté fuera del ámbito de administración, para que salga cuando el equipo cambie de OU. La pestaña Actualizaciones enlaza la versión nueva con la antigua.

Comprobación en el equipo: gpresult /scope computer /r la lista en Instalación de software, el registro Aplicación tiene eventos del origen Application Management Group Policy con el resultado, y Get-Package -Name '7-Zip*' la muestra instalada.

Hasta dónde llega, frente a una herramienta de despliegue:

Sirve para un MSI aislado en una sede; en cuanto hay informes, versiones o portátiles fuera, va a MECM o a Intune.

6. El ticket: "la directiva solo se aplica después de dos reinicios" o "tarda muchísimo"

Lunes, 9:30. El piloto de CMP-SW-7zip y de CMP-Edge: Edge ya tiene la página de inicio, pero 7-Zip no se instala tras el primer reinicio; aparece tras el segundo. En otra planta, otros dicen que los cambios de GPO tardan horas.

1. Lo que pasa es el diseño: Windows 11 arranca y deja iniciar sesión sin esperar a la red (optimización de inicio de sesión rápido) y aplica las directivas en segundo plano. La mayoría de las directivas, como Edge, funcionan así. Instalación de software, redirección de carpetas y las unidades de red de preferencias necesitan el primer plano síncrono: en el arranque asíncrono las detectan, marcan que el siguiente arranque tiene que ser síncrono y esperan. De ahí los dos reinicios.
2. Confirmarlo en el equipo: en Sistema, el evento 1112 de GroupPolicy: la extensión Software Installation no pudo aplicar los cambios porque deben procesarse antes del inicio del sistema o de sesión, y el sistema esperará en el siguiente. En el registro operativo, el tiempo y el tipo de vínculo:

›Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 300 | Where-Object Id -in 4000, 5314, 8000 | Select-Object -First 3 TimeCreated, Id, Message | Format-ListTimeCreated : 03/11/2026 8:02:41Id          : 8000Message     : Completed computer boot policy processing for CONTOSO\PC-0533$ in 47 seconds.TimeCreated : 03/11/2026 8:01:56Id          : 5314Message     : A fast link was detected. The Estimated bandwidth is 94000 kbps. The slow link threshold is 500 kbps.›gpresult /scope computer /r | Select-String 'vínculo lento|aplicó desde'    La directiva de grupo se aplicó desde:      DC01.contoso.local    Umbral de vínculo lento de directiva de grupo:   500 kbps

1. La solución para los equipos de sobremesa: en una GPO de equipo de la OU de puestos, Configuración del equipo › Plantillas administrativas › Sistema › Inicio de sesión › Esperar siempre a la red durante el inicio del equipo y el inicio de sesión = Habilitada. El precio son unos segundos más en el arranque; a cambio, todo se aplica en un reinicio. Si la red tarda en estar lista (802.1X, tarjetas lentas), Sistema › Directiva de grupo › Especificar el tiempo de espera de procesamiento de directivas de inicio a 60 segundos.
2. Los portátiles con wifi o VPN: aunque esperen, la red llega después de iniciar sesión o se mide como vínculo lento (por debajo de 500 kbps; Configurar la detección de vínculos lentos de la directiva de grupo). En vínculo lento, Instalación de software no se procesa por defecto. No se baja el umbral para forzarlo: el software de los portátiles va por Intune o MECM.
3. "Tarda horas" en la otra planta: no es un fallo. El refresco en segundo plano es cada 90 minutos con hasta 30 de margen aleatorio, y solo después de que el cambio se haya replicado al controlador de esa sede. Para probar, gpupdate /force; para varios equipos a la vez, en GPMC, clic derecho en la OU › Actualización de directiva de grupo. Si el evento 8000 da tiempos de minutos, el registro operativo dice qué extensión tarda (evento 5016 con milisegundos por extensión): a menudo un filtro WMI pesado o una impresora que no responde.

En el ticket: equipos, evento 1112, tiempos de 8000, la directiva añadida y la comprobación: 7-Zip instalado en el primer reinicio en los cinco equipos del piloto.

Siguientes pasos

• La guía de unidades de red e impresoras con preferencias es la primera de este tema y usa el mismo gpresult y el mismo registro operativo.
• Las GPO de seguridad traen sus propias plantillas (las de las Security Baselines) al mismo almacén central.
• Para software con informes, versiones y portátiles fuera de la oficina, empaquetar y desplegar una aplicación con MECM.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.