GPO: unidades de red e impresoras con preferencias, filtrado por grupo, gpresult y una unidad que no aparece

Qué vas a conseguir

Que cada departamento vea sus unidades de red y sus impresoras al iniciar sesión sin scripts de inicio de sesión: una GPO de preferencias, el destino por grupo, la comprobación en el equipo con gpresult y un método para el ticket que más se repite, "a los de Finanzas no les aparece la unidad F:".

Antes de empezar

• La consola Administración de directivas de grupo (GPMC), con RSAT en tu equipo de administración, y permisos delegados para crear y vincular GPO en las OU de usuarios.
• La estructura de ejemplo: usuarios en OU=Usuarios,OU=Madrid,DC=contoso,DC=local, grupos globales GG-Finanzas y GG-Comercial, el servidor de ficheros srv-ficheros y el de impresión srv-impresion.
• Los permisos de las carpetas compartidas ya dados al grupo: la GPO conecta la unidad, no da acceso.
• Una OU o un grupo de prueba con un par de usuarios de verdad.

1. Directivas y preferencias

En una GPO hay dos mundos:

• Directivas (Policies): Windows las impone, el usuario no puede cambiarlas y casi todas se retiran al quitar la GPO.
• Preferencias (Preferences): Windows las configura y el usuario podría cambiarlas después. Unidades de red, impresoras, accesos directos, claves de registro y carpetas viven aquí.

Una GPO por función y con nombre claro, vinculada a la OU de los usuarios:

›New-GPO -Name "USR-Unidades-Red" -Comment "Unidades por departamento con destino por grupo" | New-GPLink -Target "OU=Usuarios,OU=Madrid,DC=contoso,DC=local"›New-GPO -Name "USR-Impresoras" | New-GPLink -Target "OU=Usuarios,OU=Madrid,DC=contoso,DC=local"

2. Unidades de red con preferencias

En la GPO USR-Unidades-Red, Configuración de usuario › Preferencias › Configuración de Windows › Asignaciones de unidad › Nuevo › Unidad asignada:

• Actualizar crea la unidad si no existe y corrige lo que haya cambiado. Es la acción buena por defecto.
• Reemplazar la borra y la vuelve a crear en cada aplicación, Crear solo la crea si no existe y Eliminar la quita (útil para retirar una letra vieja).
• Dos preferencias de dos GPO con la misma letra: gana la GPO de mayor prioridad.

3. Destino de nivel de elemento

Una sola GPO con todas las unidades y, en cada una, a quién se aplica. Pestaña Común de la unidad:

• Quitar este elemento cuando ya no se aplique: si el usuario sale de GG-Finanzas, la unidad desaparece en el siguiente inicio de sesión. Sin esta casilla, se queda.
• El destino admite más condiciones (sitio de AD, intervalo de IP, nombre del equipo, unidad organizativa) combinadas con Y/O. Un grupo es lo más fácil de mantener.
• La consulta se hace en el equipo del usuario: muchas condiciones complejas en muchos elementos alargan el inicio de sesión.

4. Filtrado de seguridad y filtros WMI

La otra forma es una GPO por departamento con filtrado de seguridad: en la pestaña Ámbito de la GPO, quitar Usuarios autentificados y añadir GG-Finanzas.

Desde la actualización de seguridad MS16-072, el equipo lee las GPO de usuario con su propia cuenta. Si quitas Usuarios autentificados del filtrado, en la pestaña Delegación tienen que quedar Usuarios autentificados o Equipos del dominio con permiso de Lectura (sin Aplicar directiva de grupo). Si no, la GPO no se aplica a nadie y gpresult no lo deja claro.

Un filtro WMI limita la GPO según una consulta que se evalúa en el equipo, por ejemplo solo puestos de trabajo y no servidores:

Un filtro WMI se aplica a toda la GPO, se evalúa en cada actualización y una consulta mal escrita deja la GPO sin aplicar. Úsalos poco y con nombres que digan lo que filtran.

5. Impresoras

En la GPO USR-Impresoras, Configuración de usuario › Preferencias › Configuración del Panel de control › Impresoras › Nuevo › Impresora compartida:

Con destino de nivel de elemento por grupo o por intervalo de IP de la planta, igual que las unidades.

• Desde las actualizaciones de 2021 (PrintNightmare), instalar el controlador de una impresora compartida pide permisos de administrador por defecto. La preferencia falla en silencio si el controlador no está en el equipo. Lo práctico: controladores preinstalados en la imagen o por la herramienta de despliegue, o controladores de paquete con la directiva Point and Print de paquete: servidores aprobados apuntando a srv-impresion.
• La instalación y la cola del servidor están en la guía de impresoras de red.

6. Bucle invertido, en dos líneas

En servidores de escritorio remoto, Citrix o equipos de kiosco, quieres que la configuración de usuario dependa del equipo y no de la OU del usuario. Configuración del equipo › Directivas › Plantillas administrativas › Sistema › Directiva de grupo › Configurar el modo de procesamiento de bucle invertido de la directiva de grupo de usuario: Combinar añade las GPO de usuario de la OU del equipo a las del usuario; Reemplazar usa solo las de la OU del equipo. Va en una GPO vinculada a la OU de esos servidores, nunca a la de los portátiles.

7. Comprobar en el equipo: gpupdate, gpresult y RSoP

›gpupdate /forceActualizando directiva...La actualización de la directiva de equipo se completó correctamente.La actualización de la directiva de usuario se completó correctamente.›gpresult /r /scope user›gpresult /h C:\Temp\gp-PC-0533.html /f

• gpresult /r lista las GPO aplicadas y las filtradas, con el motivo. El informe HTML de /h muestra cada preferencia y qué GPO la ganó.
• Las unidades de red se procesan solo en primer plano, al iniciar sesión. Con la optimización de inicio rápido, un cambio puede necesitar dos inicios de sesión. La directiva Esperar siempre a la red durante el inicio del equipo y el inicio de sesión (Configuración del equipo › Plantillas administrativas › Sistema › Inicio de sesión) lo evita.
• RSoP: rsop.msc todavía existe, pero no muestra las preferencias. Usa gpresult o el Asistente de resultados de directivas de grupo de GPMC, que lo saca desde tu equipo sin entrar en el del usuario. Desde PowerShell, Get-GPResultantSetOfPolicy -User CONTOSO\amorales -Computer PC-0533 -ReportType Html -Path C:\Temp\rsop.html.
• Los errores de las preferencias quedan en el registro Aplicación con origen Group Policy Drive Maps o Group Policy Printers (evento 4098), y el procesamiento completo en Microsoft › Windows › GroupPolicy › Operational.

8. El ticket: "a los de Finanzas no les aparece la unidad F:"

Martes, 9:10. Tres personas de Finanzas sin unidad F:. Comercial ve su unidad sin problemas. En orden:

1. ¿Se aplica la GPO? En el equipo de una de ellas:

›gpresult /r /scope userCONFIGURACIÓN DE USUARIO    Objetos de directiva de grupo aplicados        USR-Impresoras        Default Domain Policy    Los siguientes GPO no se aplicaron porque fueron filtrados        USR-Unidades-Red            Filtrado:  Denegado (Filtro WMI)

El motivo dice dónde mirar: Denegado (Seguridad) es el filtrado de seguridad o la delegación; Denegado (Filtro WMI), el filtro; Deshabilitado (Vínculo), el vínculo; No aplicado (vacío), la parte de usuario de la GPO no tiene nada.

1. Filtro WMI: alguien vinculó a la GPO un filtro Solo portátiles y Finanzas ha recibido sobremesas. Pruébalo en el equipo: Get-CimInstance -Query 'SELECT * FROM Win32_SystemEnclosure WHERE ChassisTypes = 9 OR ChassisTypes = 10' sin resultado es "el filtro dice que no". Se quita el filtro o se corrige.
2. Filtrado y grupo: si fuera Denegado (Seguridad), comprueba que el usuario está en el grupo en su sesión: whoami /groups | findstr GG-Finanzas. Si lo añadieron esta mañana, necesita cerrar sesión y volver a entrar. Si está, revisa la Delegación (punto 4).
3. Orden de vínculos y prioridad: si la GPO se aplica pero F: apunta a otro sitio, otra GPO de más prioridad usa la misma letra. Get-GPInheritance -Target "OU=Usuarios,OU=Madrid,DC=contoso,DC=local" lista las GPO en orden de prioridad, incluidas las exigidas que vienen de arriba. El informe de gpresult /h dice qué GPO ganó la letra F:.
4. Replicación de SYSVOL: si el cambio se hizo esta mañana y solo falla en una sede, el controlador de dominio de esa sede puede no tener la versión nueva. echo %LOGONSERVER% dice qué controlador usa el usuario. En GPMC, el dominio › pestaña Estado › Detectar ahora compara AD y SYSVOL en todos los controladores; (Get-GPO -Name "USR-Unidades-Red" -Server DC02).User muestra DSVersion y SysvolVersion, que deben coincidir. Si no, repadmin /replsummary y el registro Replicación DFS de ese controlador.

En este caso, el filtro WMI. Se quita, gpupdate /force, cierre e inicio de sesión, y F: aparece. En el ticket: equipo, salida de gpresult, causa, cambio en la GPO y quién lo aprobó.

Siguientes pasos

• GPO de seguridad en el Nivel 3 usa las mismas herramientas (piloto, gpresult, marcha atrás) para las directivas que protegen el dominio.
• La guía de Active Directory: delegación y auditoría explica cómo dar a soporte permiso para editar estas GPO sin hacerle administrador del dominio.
• Antes de cambiar una GPO en uso, Backup-GPO -Name "USR-Unidades-Red" -Path \\srv-gestion\GPO-Backups.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.