Qué vas a conseguir
Configurar el navegador y Office de todos los equipos desde Active Directory con las plantillas oficiales en un único sitio, instalar una aplicación MSI sencilla sin herramienta de despliegue sabiendo hasta dónde llega, y entender el ticket que confunde a medio equipo de soporte: "la directiva no se aplica hasta el segundo reinicio" o "tarda una eternidad".
Antes de empezar
- GPMC con RSAT y permisos para crear y vincular GPO en las OU de equipos y usuarios (la guía de unidades de red e impresoras explica directivas frente a preferencias, filtrado y gpresult).
- Permiso de escritura en
\\contoso.local\SYSVOL\contoso.local\Policies(Domain Admins o un grupo delegado para las plantillas). - Descargadas: las plantillas de directiva de Microsoft Edge (página de Edge para empresas) y las plantillas administrativas de Microsoft 365 Apps (Centro de descargas de Microsoft, el paquete de ADMX/ADML y la herramienta de personalización de Office).
- Una OU piloto con equipos reales,
OU=Piloto,OU=Equipos,DC=contoso,DC=local.
1. El almacén central de plantillas
Sin almacén central, el editor de GPO usa las plantillas de C:\Windows\PolicyDefinitions del equipo desde el que editas: dos administradores con Windows distintos ven ajustes distintos. El almacén central es una carpeta PolicyDefinitions en SYSVOL que se replica a todos los controladores; cuando existe, el editor usa solo esa.
$central = '\\contoso.local\SYSVOL\contoso.local\Policies\PolicyDefinitions'if (Test-Path $central) { robocopy $central "D:\Copias\PolicyDefinitions-$(Get-Date -Format yyyyMMdd)" /E /NP }robocopy C:\Windows\PolicyDefinitions $central *.admx /NProbocopy C:\Windows\PolicyDefinitions\es-ES "$central\es-ES" *.adml /NProbocopy C:\Windows\PolicyDefinitions\en-US "$central\en-US" *.adml /NP- La fuente buena es un equipo con la versión de Windows más reciente que tengas, o el paquete descargable de plantillas de Windows 11 de esa versión.
- Cada
.admxnecesita su.admlen cada idioma que usen los administradores. Si falta, el editor da errores del tipo No se encontró el recurso '$(string.xxx)' al abrir la GPO. - Al abrir cualquier GPO, el editor muestra en Plantillas administrativas el texto Definiciones de directiva (archivos ADMX) recuperadas del almacén central. Si no lo dice, no está usando la carpeta que crees.
Copia de seguridad antes de cada actualización del almacén, y nunca se copian plantillas antiguas encima de nuevas: un ADMX de Windows 10 sobre uno de Windows 11 hace desaparecer ajustes del editor (las GPO los conservan, pero dejan de verse).
2. Añadir las plantillas de Edge y de Office
Del paquete de Edge, la carpeta windows\admx: msedge.admx y msedgeupdate.admx, con sus .adml de es-ES y en-US. Del de Microsoft 365 Apps, la carpeta admx: office16.admx y los de cada aplicación que vayas a gestionar (word16.admx, excel16.admx, outlk16.admx, ppt16.admx), con sus idiomas.
Todo al almacén central, en las mismas carpetas. Tras la replicación de SYSVOL, aparecen Microsoft Edge en Plantillas administrativas del equipo y del usuario, y Microsoft Office 2016 con cada aplicación (el nombre se quedó en 2016, también vale para Microsoft 365 Apps).
3. Configurar Microsoft Edge
Una GPO de equipo, CMP-Edge, vinculada primero a la OU piloto. En Configuración del equipo › Directivas › Plantillas administrativas › Microsoft Edge:
- La lista de bloqueo con
*y la de permitidas con los ID de 32 letras es la combinación habitual: nada entra si no está aprobado. El ID está al final de la URL de la extensión en la tienda de complementos de Edge. - Una extensión que ya estaba instalada y pasa a bloqueada se deshabilita, no se desinstala. Las forzadas no se pueden quitar ni desactivar.
- Las directivas de Microsoft Edge son obligatorias; las de Microsoft Edge: configuración predeterminada (los usuarios pueden invalidarla) son recomendadas, un valor inicial que el usuario puede cambiar.
En el equipo, tras gpupdate /force y cerrar Edge del todo, edge://policy lista cada directiva con su valor, su origen y si hay error. En el registro están en HKLM\SOFTWARE\Policies\Microsoft\Edge.
4. Configurar Microsoft 365 Apps
La mayoría de los ajustes de Office son de usuario. Una GPO USR-Office vinculada a la OU de usuarios y una parte de equipo para el canal de actualización:
- Configuración del equipo › Plantillas administrativas › Microsoft Office 2016 (equipo) › Actualizaciones › Canal de actualización = Canal empresarial mensual.
- Configuración de usuario › Plantillas administrativas › Microsoft Outlook 2016 › Configuración de la cuenta › Exchange › Modo de intercambio en caché › Configuración de sincronización del Modo de intercambio en caché = 12 meses, para que los buzones grandes no llenen el disco del portátil.
- Configuración de usuario › Plantillas administrativas › Microsoft Word 2016 › Opciones de Word › Seguridad › Centro de confianza › Configuración de notificaciones de macros de VBA = Deshabilitar todas excepto las macros firmadas digitalmente. Lo mismo en Excel y PowerPoint.
En el equipo se comprueba en HKCU\Software\Policies\Microsoft\Office\16.0 y, en la aplicación, porque la opción aparece en gris con el aviso de que la administra la organización.
Para usuarios que no están en el dominio o casi nunca ven la red interna, el servicio de directivas en la nube de Microsoft 365 (config.office.com) aplica los mismos ajustes por grupo de Entra ID sin GPO. Lo que no se debe hacer es configurar lo mismo por los dos sitios.
5. Instalar un MSI con Instalación de software
Para una aplicación pequeña en MSI y pocos equipos, la GPO lo instala al arrancar sin más herramientas:
- El MSI en un recurso compartido con Lectura para Equipos del dominio en recurso y NTFS:
\\srv-ficheros\Software$\7zip\7z-x64.msi. Siempre la ruta UNC, nuncaD:\...ni una unidad asignada: la instala la cuenta del equipo antes de que haya nadie conectado. - GPO de equipo
CMP-SW-7zip, Configuración del equipo › Directivas › Configuración de software › Instalación de software › Nuevo › Paquete, el MSI por su ruta UNC. - Método Asignado: se instala en el siguiente arranque. Avanzado si necesitas una transformación
.mst, que solo se puede añadir al crear el paquete, no después. - En las propiedades, pestaña Implementación: Desinstalar esta aplicación cuando esté fuera del ámbito de administración, para que salga cuando el equipo cambie de OU. La pestaña Actualizaciones enlaza la versión nueva con la antigua.
Comprobación en el equipo: gpresult /scope computer /r la lista en Instalación de software, el registro Aplicación tiene eventos del origen Application Management Group Policy con el resultado, y Get-Package -Name '7-Zip*' la muestra instalada.
Hasta dónde llega, frente a una herramienta de despliegue:
| Instalación de software (GPO) | MECM / Intune | |
|---|---|---|
| Formatos | Solo MSI (y MST) | MSI, EXE, scripts, MSIX, Win32 empaquetado |
| Cuándo instala | Solo en el arranque, en primer plano | Cuando toca, con ventanas de mantenimiento y plazos |
| Informes | Ninguno central: evento a evento | Estado por equipo y por despliegue |
| Reintentos y dependencias | No | Sí |
| Fuera de la oficina o por VPN | No en vínculo lento | Sí (Intune por internet, MECM con CMG) |
Sirve para un MSI aislado en una sede; en cuanto hay informes, versiones o portátiles fuera, va a MECM o a Intune.
6. El ticket: "la directiva solo se aplica después de dos reinicios" o "tarda muchísimo"
Lunes, 9:30. El piloto de CMP-SW-7zip y de CMP-Edge: Edge ya tiene la página de inicio, pero 7-Zip no se instala tras el primer reinicio; aparece tras el segundo. En otra planta, otros dicen que los cambios de GPO tardan horas.
- Lo que pasa es el diseño: Windows 11 arranca y deja iniciar sesión sin esperar a la red (optimización de inicio de sesión rápido) y aplica las directivas en segundo plano. La mayoría de las directivas, como Edge, funcionan así. Instalación de software, redirección de carpetas y las unidades de red de preferencias necesitan el primer plano síncrono: en el arranque asíncrono las detectan, marcan que el siguiente arranque tiene que ser síncrono y esperan. De ahí los dos reinicios.
- Confirmarlo en el equipo: en Sistema, el evento 1112 de GroupPolicy: la extensión Software Installation no pudo aplicar los cambios porque deben procesarse antes del inicio del sistema o de sesión, y el sistema esperará en el siguiente. En el registro operativo, el tiempo y el tipo de vínculo:
Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 300 | Where-Object Id -in 4000, 5314, 8000 | Select-Object -First 3 TimeCreated, Id, Message | Format-ListTimeCreated : 03/11/2026 8:02:41Id : 8000Message : Completed computer boot policy processing for CONTOSO\PC-0533$ in 47 seconds.TimeCreated : 03/11/2026 8:01:56Id : 5314Message : A fast link was detected. The Estimated bandwidth is 94000 kbps. The slow link threshold is 500 kbps.gpresult /scope computer /r | Select-String 'vínculo lento|aplicó desde' La directiva de grupo se aplicó desde: DC01.contoso.local Umbral de vínculo lento de directiva de grupo: 500 kbps- La solución para los equipos de sobremesa: en una GPO de equipo de la OU de puestos, Configuración del equipo › Plantillas administrativas › Sistema › Inicio de sesión › Esperar siempre a la red durante el inicio del equipo y el inicio de sesión = Habilitada. El precio son unos segundos más en el arranque; a cambio, todo se aplica en un reinicio. Si la red tarda en estar lista (802.1X, tarjetas lentas), Sistema › Directiva de grupo › Especificar el tiempo de espera de procesamiento de directivas de inicio a 60 segundos.
- Los portátiles con wifi o VPN: aunque esperen, la red llega después de iniciar sesión o se mide como vínculo lento (por debajo de 500 kbps; Configurar la detección de vínculos lentos de la directiva de grupo). En vínculo lento, Instalación de software no se procesa por defecto. No se baja el umbral para forzarlo: el software de los portátiles va por Intune o MECM.
- "Tarda horas" en la otra planta: no es un fallo. El refresco en segundo plano es cada 90 minutos con hasta 30 de margen aleatorio, y solo después de que el cambio se haya replicado al controlador de esa sede. Para probar,
gpupdate /force; para varios equipos a la vez, en GPMC, clic derecho en la OU › Actualización de directiva de grupo. Si el evento 8000 da tiempos de minutos, el registro operativo dice qué extensión tarda (evento 5016 con milisegundos por extensión): a menudo un filtro WMI pesado o una impresora que no responde.
En el ticket: equipos, evento 1112, tiempos de 8000, la directiva añadida y la comprobación: 7-Zip instalado en el primer reinicio en los cinco equipos del piloto.
Siguientes pasos
- La guía de unidades de red e impresoras con preferencias es la primera de este tema y usa el mismo gpresult y el mismo registro operativo.
- Las GPO de seguridad traen sus propias plantillas (las de las Security Baselines) al mismo almacén central.
- Para software con informes, versiones y portátiles fuera de la oficina, empaquetar y desplegar una aplicación con MECM.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
Configuring the browser and Office on every device from Active Directory with the official templates in a single place, installing a simple MSI application without a deployment tool while knowing how far that goes, and understanding the ticket that confuses half the support team: "the policy doesn't apply until the second restart" or "it takes forever".
Before you start
- GPMC with RSAT and permissions to create and link GPOs on the computer and user OUs (the network drives and printers guide explains policies versus preferences, filtering and gpresult).
- Write permission on
\\contoso.local\SYSVOL\contoso.local\Policies(Domain Admins or a group delegated for templates). - Downloaded: the Microsoft Edge policy templates (Edge for Business page) and the Microsoft 365 Apps administrative templates (Microsoft Download Center, the ADMX/ADML and Office Customization Tool package).
- A pilot OU with real devices,
OU=Piloto,OU=Equipos,DC=contoso,DC=local.
1. The template central store
Without a central store, the GPO editor uses the templates in C:\Windows\PolicyDefinitions on the computer you edit from: two administrators on different Windows versions see different settings. The central store is a PolicyDefinitions folder in SYSVOL that replicates to every domain controller; when it exists, the editor uses only that one.
$central = '\\contoso.local\SYSVOL\contoso.local\Policies\PolicyDefinitions'if (Test-Path $central) { robocopy $central "D:\Backups\PolicyDefinitions-$(Get-Date -Format yyyyMMdd)" /E /NP }robocopy C:\Windows\PolicyDefinitions $central *.admx /NProbocopy C:\Windows\PolicyDefinitions\en-US "$central\en-US" *.adml /NProbocopy C:\Windows\PolicyDefinitions\es-ES "$central\es-ES" *.adml /NP- The good source is a device on the newest Windows version you have, or the downloadable Windows 11 template package for that version.
- Every
.admxneeds its.admlin each language the administrators use. If one is missing, the editor shows errors like Resource '$(string.xxx)' referenced in attribute displayName could not be found when you open the GPO. - When you open any GPO, the editor shows under Administrative Templates the text Policy definitions (ADMX files) retrieved from the central store. If it does not say that, it is not using the folder you think.
Back up before every central store update, and never copy older templates over newer ones: a Windows 10 ADMX over a Windows 11 one makes settings disappear from the editor (the GPOs keep them, but you can no longer see them).
2. Adding the Edge and Office templates
From the Edge package, the windows\admx folder: msedge.admx and msedgeupdate.admx, with their .adml from en-US and es-ES. From the Microsoft 365 Apps package, the admx folder: office16.admx and those for each app you will manage (word16.admx, excel16.admx, outlk16.admx, ppt16.admx), with their languages.
All into the central store, in the same folders. After SYSVOL replication, Microsoft Edge appears under Administrative Templates for computer and user, and Microsoft Office 2016 with each app (the name stayed at 2016; it also covers Microsoft 365 Apps).
3. Configuring Microsoft Edge
A computer GPO, CMP-Edge, linked to the pilot OU first. Under Computer Configuration › Policies › Administrative Templates › Microsoft Edge:
- The block list with
*and the allow list with the 32-letter IDs is the usual combination: nothing gets in unless it is approved. The ID is at the end of the extension's URL in the Edge Add-ons store. - An extension that was already installed and becomes blocked is disabled, not uninstalled. Force-installed ones cannot be removed or turned off.
- Microsoft Edge policies are mandatory; those under Microsoft Edge – Default Settings (users can override) are recommended, a starting value the user can change.
On the device, after gpupdate /force and closing Edge completely, edge://policy lists each policy with its value, its source and any error. In the registry they live in HKLM\SOFTWARE\Policies\Microsoft\Edge.
4. Configuring Microsoft 365 Apps
Most Office settings are user settings. A USR-Office GPO linked to the user OU, plus a computer part for the update channel:
- Computer Configuration › Administrative Templates › Microsoft Office 2016 (Machine) › Updates › Update Channel = Monthly Enterprise Channel.
- User Configuration › Administrative Templates › Microsoft Outlook 2016 › Account Settings › Exchange › Cached Exchange Mode › Cached Exchange Mode Sync Settings = 12 months, so large mailboxes do not fill the laptop's disk.
- User Configuration › Administrative Templates › Microsoft Word 2016 › Word Options › Security › Trust Center › VBA Macro Notification Settings = Disable all except digitally signed macros. The same in Excel and PowerPoint.
On the device, check HKCU\Software\Policies\Microsoft\Office\16.0 and the app itself, where the option is greyed out with a note that your organisation manages it.
For users who are not in the domain or rarely see the internal network, the Microsoft 365 Cloud Policy service (config.office.com) applies the same settings by Entra ID group without GPOs. What you should not do is configure the same thing in both places.
5. Installing an MSI with Software Installation
For a small MSI app and a few devices, the GPO installs it at startup with no other tools:
- The MSI on a share with Read for Domain Computers on both share and NTFS:
\\srv-ficheros\Software$\7zip\7z-x64.msi. Always the UNC path, neverD:\...or a mapped drive: the computer account installs it before anyone signs in. - Computer GPO
CMP-SW-7zip, Computer Configuration › Policies › Software Settings › Software installation › New › Package, the MSI by its UNC path. - Assigned method: it installs at the next startup. Advanced if you need an
.msttransform, which can only be added when the package is created, not afterwards. - In the properties, Deployment tab: Uninstall this application when it falls out of the scope of management, so it is removed when the device changes OU. The Upgrades tab links the new version to the old one.
Check on the device: gpresult /scope computer /r lists it under Software Installation, the Application log has events from the Application Management Group Policy source with the result, and Get-Package -Name '7-Zip*' shows it installed.
How far it goes, compared with a deployment tool:
| Software Installation (GPO) | MECM / Intune | |
|---|---|---|
| Formats | MSI only (and MST) | MSI, EXE, scripts, MSIX, packaged Win32 |
| When it installs | At startup only, in the foreground | When due, with maintenance windows and deadlines |
| Reporting | No central reporting: event by event | Status per device and per deployment |
| Retries and dependencies | No | Yes |
| Out of the office or over VPN | Not on a slow link | Yes (Intune over the internet, MECM with CMG) |
It is fine for a one-off MSI at one site; as soon as you need reports, versions or laptops away from the office, it goes to MECM or Intune.
6. The ticket: "the policy only applies after two restarts" or "it takes ages"
Monday, 9:30. The pilot of CMP-SW-7zip and CMP-Edge: Edge already has the home page, but 7-Zip does not install after the first restart; it appears after the second. On another floor, people say GPO changes take hours.
- What happens is by design: Windows 11 starts and lets users sign in without waiting for the network (fast logon optimisation) and applies policies in the background. Most policies, like Edge, work that way. Software Installation, Folder Redirection and drive-map preferences need synchronous foreground processing: in the asynchronous startup they are detected, the next startup is flagged as synchronous, and they wait. Hence the two restarts.
- Confirm it on the device: in System, event 1112 from GroupPolicy: the Software Installation extension could not apply its changes because they must be processed before system startup or user logon, and the system will wait at the next one. In the operational log, the time taken and the link type:
Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 300 | Where-Object Id -in 4000, 5314, 8000 | Select-Object -First 3 TimeCreated, Id, Message | Format-ListTimeCreated : 11/3/2026 8:02:41 AMId : 8000Message : Completed computer boot policy processing for CONTOSO\PC-0533$ in 47 seconds.TimeCreated : 11/3/2026 8:01:56 AMId : 5314Message : A fast link was detected. The Estimated bandwidth is 94000 kbps. The slow link threshold is 500 kbps.gpresult /scope computer /r | Select-String 'slow link|applied from' Group Policy was applied from: DC01.contoso.local Group Policy slow link threshold: 500 kbps- The fix for desktops: in a computer GPO on the workstation OU, Computer Configuration › Administrative Templates › System › Logon › Always wait for the network at computer startup and logon = Enabled. The price is a few extra seconds at startup; in exchange, everything applies in one restart. If the network takes a while to be ready (802.1X, slow NICs), System › Group Policy › Specify startup policy processing wait time to 60 seconds.
- Laptops on Wi-Fi or VPN: even if they wait, the network arrives after sign-in or is measured as a slow link (below 500 kbps; Configure Group Policy slow link detection). On a slow link, Software Installation is not processed by default. You do not lower the threshold to force it: laptop software goes through Intune or MECM.
- "It takes hours" on the other floor: not a fault. Background refresh runs every 90 minutes with up to a 30-minute random offset, and only once the change has replicated to that site's domain controller. To test,
gpupdate /force; for several devices at once, in GPMC, right-click the OU › Group Policy Update. If event 8000 shows minutes, the operational log says which extension is slow (event 5016 with milliseconds per extension): often a heavy WMI filter or a printer that does not respond.
In the ticket: devices, event 1112, the 8000 timings, the policy added and the check: 7-Zip installed on the first restart on all five pilot devices.
Next steps
- The guide on network drives and printers with preferences is the first in this topic and uses the same gpresult and the same operational log.
- The security GPOs bring their own templates (the Security Baselines ones) into the same central store.
- For software with reports, versions and laptops away from the office, packaging and deploying an application with MECM.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →