WS2025 - GPO - INST. SOFTWARE

INTRODUCCIÓN

En esta práctica, se configurará una Política de Grupo (GPO) en Windows Server 2025 para realizar el despliegue automatizado de aplicaciones en equipos unidos a un dominio, específicamente aquellos que utilizan Windows 11. Esta técnica permite la instalación de software de forma centralizada y controlada, optimizando la gestión de aplicaciones en un entorno corporativo.

El objetivo principal es configurar una GPO que instale automáticamente aplicaciones como Google Chrome y Zoom en los equipos cliente. Para ello, se obtendrán los instaladores en formato MSI de cada aplicación, utilizando Winget para Google Chrome y descargando el instalador de Zoom desde su sitio oficial. Estos archivos MSI son compatibles con el despliegue mediante GPO, lo que facilita su instalación sin intervención del usuario.

Una vez descargados los paquetes, se almacenarán en una ubicación accesible dentro de la red, desde donde el servidor pueda distribuirlos. Posteriormente, se configurará la GPO para que aplique las instalaciones en los equipos cliente al momento de iniciar sesión o encender el equipo. Esto permitirá que todas las máquinas del dominio reciban automáticamente las aplicaciones especificadas, garantizando uniformidad en el entorno de trabajo y reduciendo el tiempo de instalación manual.

Esta práctica proporciona los conocimientos necesarios para gestionar el despliegue de software a través de GPOs en un entorno Windows Server, facilitando la administración de aplicaciones en una red corporativa y asegurando un entorno de trabajo actualizado y homogéneo en los equipos cliente.

GPO

Una GPO (del inglés Group Policy Object o Objeto de Directiva de Grupo) es una configuración utilizada en Active Directory para gestionar de forma centralizada políticas y configuraciones en equipos y usuarios dentro de una red de Windows. Las GPOs permiten a los administradores de sistemas aplicar configuraciones específicas de seguridad, configuración de aplicaciones, restricciones y mucho más en los dispositivos y cuentas de usuario de toda una organización o en unidades organizativas específicas.

Las GPOs son una de las herramientas más potentes y esenciales en entornos corporativos o educativos, ya que permiten automatizar y estandarizar configuraciones en grandes cantidades de equipos, ahorrando tiempo y reduciendo errores de configuración manual.

1. ¿Cómo funcionan las GPOs?

Una GPO es una colección de configuraciones y ajustes de políticas que se aplican a usuarios o equipos. Estas configuraciones se definen en un servidor de Active Directory y se distribuyen automáticamente a través de la red cuando los usuarios inician sesión o los equipos se inician.

Cada GPO contiene dos secciones principales:

•    Configuración de Equipo: Estas configuraciones se aplican a nivel de sistema y afectan a todos los usuarios que inicien sesión en el equipo.
•     Configuración de Usuario: Estas configuraciones se aplican a nivel de usuario y siguen al usuario en todos los equipos donde inicie sesión.

Las GPOs pueden aplicarse a nivel de dominio, sitio o unidad organizativa (OU) en Active Directory. Esto permite una jerarquía de políticas, donde las configuraciones pueden heredarse o sobrescribirse en función de cómo se establezcan las GPOs en distintos niveles de la estructura organizativa.

2. Componentes de una GPO    

Una GPO contiene configuraciones que se aplican en distintos aspectos del sistema operativo Windows. Algunos de los componentes y configuraciones más comunes incluyen:

•    Políticas de seguridad: Configuraciones que establecen directrices de seguridad en la red, como restricciones de acceso, políticas de contraseñas, y configuraciones de firewall.    
•     Configuración de escritorio: Permite definir temas, fondos de pantalla, accesos directos en el escritorio, etc.
•     Scripts: Los administradores pueden establecer scripts de inicio y cierre de sesión para realizar tareas específicas, como ejecutar programas o instalar actualizaciones.
•     Instalación de software: Las GPOs pueden usarse para implementar aplicaciones en equipos, asegurando que el software esté instalado en todos los dispositivos o en dispositivos específicos.
•     Redirección de carpetas: Redirige carpetas de usuario (como Documentos o Escritorio) a una ubicación de red, facilitando la administración de datos.
•     Asignación de impresoras y unidades de red: Permite conectar automáticamente impresoras y unidades de red según la ubicación del usuario o el equipo.

Estos componentes y configuraciones permiten a los administradores controlar prácticamente todos los aspectos del sistema operativo y el entorno del usuario.

3. Tipos de GPOs

Existen tres tipos principales de GPOs:

•    GPOs locales: Se configuran en el equipo individualmente y se aplican a cualquier usuario que inicie sesión en ese equipo. Estas GPOs no están centralizadas y son más comunes en equipos que no forman parte de un dominio.
•      GPOs de dominio: Son GPOs que se crean en Active Directory y se aplican a todos los usuarios y equipos dentro del dominio o en unidades organizativas específicas. Este tipo es el más usado en entornos empresariales o educativos, ya que permite una administración centralizada.
•     GPOs predeterminadas: Son GPOs que vienen preconfiguradas en Active Directory, como la Política de Dominio Predeterminada y la Política de Controladores de Dominio Predeterminada. Estas GPOs aplican configuraciones básicas de seguridad y control al dominio y a los controladores de dominio.

4. Herencia y Prioridad de las GPOs

En Active Directory, las GPOs pueden establecerse en distintos niveles (sitio, dominio y unidad organizativa). La herencia de políticas permite que una GPO aplicada en un nivel superior afecte a los niveles inferiores. Sin embargo, se pueden establecer excepciones para sobrescribir o bloquear políticas en niveles específicos:

•     Orden de aplicación: Las GPOs se aplican en el siguiente orden: Sitio > Dominio > Unidad Organizativa. Las políticas en la OU más específica tienen prioridad sobre las políticas en el dominio o el sitio.
•     Bloqueo de herencia: Permite a una OU específica bloquear todas las políticas que se aplican desde niveles superiores, de forma que solo se aplicarán las GPOs definidas directamente en esa OU.
•     Exigido (Enforced): Cuando una GPO se establece como "Exigida", su configuración prevalece sobre otras políticas en conflicto y no puede ser bloqueada por niveles inferiores.

5. Cómo Crear y Configurar una GPO

Para crear una GPO en Active Directory, sigue estos pasos básicos:

1.     Abre la Consola de Administración de Directivas de Grupo (GPMC): En el servidor de Active Directory, ve a Inicio y abre la GPMC (Group Policy Management Console).
2.     Navega hasta la ubicación donde aplicar la GPO: Puedes crear la GPO a nivel de dominio, sitio o en una unidad organizativa específica.
3.      Crear la GPO:
•     Haz clic derecho en el dominio, sitio o unidad organizativa deseada.
•     Selecciona Crear un GPO en este dominio y vincularlo aquí.
•     Asigna un nombre descriptivo a la GPO.
4.      Editar la GPO:
•     Haz clic derecho en la nueva GPO y selecciona Editar.
•     En el Editor de Políticas de Grupo, configura las opciones en Configuración de equipo o Configuración de usuario según sea necesario.
5.     Vincular la GPO: Si la GPO debe aplicarse en otras ubicaciones, puedes vincularla en otras unidades organizativas o dominios desde la GPMC.

6. Ejemplos de Uso de GPOs

Algunos ejemplos de configuraciones útiles que se pueden implementar con GPOs incluyen:

•     Política de contraseñas: Definir requisitos de complejidad y expiración de contraseñas para todos los usuarios del dominio.
•    Instalación de software: Implementar una aplicación automáticamente en todos los equipos de una unidad organizativa.
•     Deshabilitar acceso a ciertos paneles de configuración: Restringir el acceso al Panel de Control o Configuración de Windows para usuarios específicos.
•   Configurar el fondo de pantalla corporativo: Establecer un fondo de pantalla corporativo en todos los equipos de la organización.
•   Redireccionar carpetas de usuario: Configurar que las carpetas de usuario (Documentos, Escritorio) se almacenen en el servidor en lugar de en el equipo local, facilitando el respaldo y la administración.

7. Ventajas de Usar GPOs

•    Centralización: Permite a los administradores aplicar configuraciones a múltiples equipos desde un único servidor.
•     Automatización: Las configuraciones y cambios se aplican automáticamente en toda la red, ahorrando tiempo y esfuerzo.
•     Control de Seguridad: Las GPOs facilitan el cumplimiento de normas de seguridad mediante políticas consistentes.
•     Flexibilidad: Las GPOs permiten aplicar configuraciones a niveles específicos (dominio, OU, usuario o equipo) según las necesidades de la organización.

8. Consideraciones y Buenas Prácticas

•     Evita crear demasiadas GPOs en un mismo nivel, ya que esto puede ralentizar el inicio de sesión de los usuarios y el inicio de los equipos.
•     Documenta las GPOs creadas y las configuraciones aplicadas, especialmente aquellas críticas para la seguridad.
•     Prueba las GPOs en un entorno de prueba o en un grupo reducido de usuarios antes de implementarlas ampliamente, para evitar problemas de configuración o rendimiento.
•     Usa nombres descriptivos y organiza las GPOs según su función o departamento.

Las GPOs son una herramienta poderosa para la administración centralizada en redes de Windows, permitiendo a los administradores configurar y gestionar el entorno de trabajo de los usuarios y equipos de manera automatizada, flexible y segura.

GPO – INSTALAR SOFTWARE

Una GPO de usuario para instalar software es una política de grupo en Active Directory diseñada para que un programa se instale automáticamente en el perfil del usuario cuando éste inicie sesión en su equipo. Este tipo de GPO permite a los administradores distribuir aplicaciones sin intervención manual, asegurando que los usuarios tengan las aplicaciones necesarias para trabajar. Sin embargo, es importante notar que la instalación de software vía GPO está más comúnmente configurada en la Configuración de equipo para instalar el software en el sistema, independientemente del usuario. Aun así, hay escenarios en los que se puede utilizar una GPO basada en usuario para instalar software en el perfil del usuario.

1. Instalación de Software vía GPO en Configuración de Usuario

En Active Directory, una GPO en Configuración de Usuario permite aplicar configuraciones específicamente a los perfiles de los usuarios, en lugar de a los equipos. En este contexto, la instalación de software en Configuración de Usuario significa que el software se instala en el perfil del usuario cuando inicia sesión, y la instalación es personalizada para ese usuario, no para todos los usuarios del equipo.

Algunas características clave de las GPOs de usuario para instalación de software son:

•     Aplicación por usuario: El software solo se instala cuando el usuario inicia sesión en un equipo del dominio, y generalmente solo está disponible para ese perfil de usuario.
•     Desinstalación automática: Si el usuario deja de pertenecer a la unidad organizativa (OU) donde se aplica la GPO o si se elimina la política, el software puede desinstalarse automáticamente cuando el usuario cierre sesión.
•     Especificidad por perfil: Esto permite que diferentes usuarios en el mismo equipo tengan diferentes programas instalados según las GPOs asignadas a sus cuentas de usuario.

Nota: No todos los programas se instalan correctamente con una GPO de usuario, ya que muchos requieren permisos administrativos que solo se logran cuando la instalación es a nivel de equipo.

2. Requisitos

Para configurar una GPO de instalación de software en la Configuración de Usuario, debes cumplir con los siguientes requisitos:

1.     Paquete de instalación en formato .msi: Las políticas de grupo solo pueden implementar software que esté en formato de Microsoft Installer (.msi). Los instaladores en formato .exe no son compatibles directamente, aunque podrían ser convertidos o empaquetados en .msi usando herramientas de terceros.
2.      Ubicación accesible en la red: El paquete de instalación .msi debe estar almacenado en una ubicación compartida en la red (una carpeta compartida) a la que los usuarios tengan permiso de lectura. Una ruta de red como \\servidor\nombre_carpeta\archivo.msi es necesaria para que todos los equipos puedan acceder al instalador.
3.     Permisos de usuario: Para la instalación en Configuración de Usuario, el usuario debe tener permisos de instalación de software en su perfil.

3. Ventajas y Limitaciones

Ventajas:

•    Flexibilidad: Permite instalar software específico para ciertos usuarios o grupos de usuarios sin afectar al sistema completo.
•     Personalización: Los usuarios pueden tener aplicaciones diferentes según las políticas aplicadas a sus cuentas.
•     Desinstalación automática: Si el usuario ya no pertenece a la OU donde se aplica la GPO, el software puede eliminarse automáticamente.

Limitaciones:

•     Compatibilidad de permisos: Algunos instaladores requieren permisos administrativos, lo que puede dificultar la instalación solo en el perfil del usuario.
•     Limitación de archivos .exe: Solo se pueden implementar archivos .msi directamente mediante GPO. Los instaladores .exe deben ser empaquetados en .msi para poder usarse.
•    Dependencia de la conexión de red: El instalador debe estar en una ubicación accesible en la red, y cualquier problema de conexión afectará la instalación.

4. Escenarios Comunes de Uso

•    Aplicaciones ligeras: Distribuir aplicaciones pequeñas y específicas para usuarios (como visores de documentos o utilidades de red) en perfiles de usuario específicos.
•    Programas personalizados para departamentos: Configurar GPOs en OUs para instalar software específico según el departamento (por ejemplo, herramientas de diseño gráfico solo para los usuarios de una OU de "Diseño").
•    Aplicaciones opcionales: Usar el modo "Publicada" para permitir que los usuarios instalen aplicaciones opcionales desde el Panel de Control.

5. Consejos y Buenas Prácticas

•    Prueba las GPOs en un entorno de prueba antes de aplicarlas en toda la organización, para asegurarte de que el software se instala correctamente.
•     Documenta todas las GPOs creadas y las aplicaciones que instalan, especialmente si usas múltiples políticas para distintos departamentos o grupos de usuarios.
•    Evita aplicaciones críticas en modo usuario si requieren permisos elevados, ya que algunos programas pueden no funcionar correctamente sin acceso de administrador.

Las GPOs de usuario para instalación de software permiten automatizar la distribución de aplicaciones en los perfiles de usuario al iniciar sesión, sin requerir intervención manual. Son útiles para personalizar el software de acuerdo con el usuario, aunque presentan algunas limitaciones en términos de permisos y compatibilidad de formatos de archivo.

La estructura de red empleada en la práctica es la siguiente.