Directivas de grupo y su orden de aplicación

Una GPO es un conjunto de ajustes que se vincula a un sitio, al dominio o a una unidad organizativa. Los equipos y las cuentas reciben las GPO de los contenedores donde están, en un orden fijo que se recuerda con las siglas LSDOU: primero la directiva local, luego las del sitio, las del dominio y, al final, las de las unidades organizativas, de la más alta a la más cercana al objeto. Cuando dos GPO configuran lo mismo de manera distinta, gana la que se aplica al último: por defecto, la más cercana al objeto.

Dentro de un mismo contenedor hay un segundo criterio: el orden de vínculo. El vínculo con el número 1 es el de más prioridad y se aplica al último.

Abre la carpeta de GPO y lee los vínculos.

ls gpo
cat gpo/vinculos.txt

En la unidad de Finanzas hay dos GPO vinculadas y las dos configuran el acceso de escritura a almacenamiento extraíble. Una lo deniega y la otra lo permite. El informe de configuración dice qué hace cada una; la tabla de vínculos dice cuál tiene la prioridad.

Un hallazgo típico de una revisión es una excepción «temporal» que quedó con la prioridad más alta y nadie retiró.

cat gpo/ajustes-por-gpo.txt

Una GPO puede estar bien vinculada y aun así no aplicarse. Las causas habituales son tres: el filtrado de seguridad (la GPO solo se aplica a los grupos que tienen los permisos de leer y aplicar la directiva), un filtro WMI que da falso, o que el vínculo esté deshabilitado. La herramienta que enseña el resultado en un equipo concreto es la que debe consultarse primero, antes de tocar nada.

Lee el resultado de directiva del portátil PT-FIN-07 y busca la GPO que debía llegar y no llegó.

cat gpo/resultado-PT-FIN-07.txt

Ahora junta las piezas. Una GPO forzada se impone a las de los niveles inferiores: lo que fija arriba no lo deshacen las unidades de abajo, aunque estén más cerca del objeto. En PT-FIN-07 el bloqueo de pantalla por inactividad lo configuran varias GPO. Busca cada valor en el informe de configuración, descarta las que no se aplicaron y decide cuál sale.

cat gpo/ajustes-por-gpo.txt
cat gpo/resultado-PT-FIN-07.txt

La unidad de servidores tiene la herencia bloqueada: las GPO de niveles superiores dejan de llegarle. Se hace para que un conjunto de equipos críticos reciba solo su configuración propia. Pero el bloqueo de herencia tiene un límite, y es el motivo por el que en un dominio se fuerza lo que no debe poder esquivarse: una GPO forzada atraviesa el bloqueo.

Mira la fila de OU=Servidores en la tabla de vínculos y la fila del dominio.