🖥️ las GPO: quién manda sobre cada equipo

PARA ENTENDER EL ESQUEMA

Sobre esta infografía

¿Por qué cambias una opción de Windows y vuelve a su estado anterior? ¿Por qué una configuración funciona en unos equipos y en otros no? ¿Qué sucede cuando una directiva local contradice a otra del dominio?

Muchas veces, la respuesta está en las GPO.

He preparado esta infografía animada para Infograph con una idea: explicar visualmente cómo se aplican las directivas de grupo y cómo averiguar qué configuración está prevaleciendo.

🔹 ¿Qué es una GPO?

Una GPO —Group Policy Object— es un conjunto de ajustes que permite configurar equipos y usuarios: restricciones, opciones de seguridad, escritorio, scripts y muchos otros aspectos de Windows.

Las directivas locales se guardan en el propio equipo. Las de dominio se administran de forma centralizada mediante Active Directory y se vinculan a sitios, dominios o unidades organizativas —OU—.

Un detalle importante: las GPO no se vinculan directamente a grupos de seguridad; estos pueden utilizarse para filtrar a quién se aplican.

🔹 ¿En qué orden se procesan?

El recorrido habitual se resume como LSDOU:

Local → Sitio → Dominio → OU padre → OU hija.

Los ajustes se acumulan. Si varias directivas aplicables configuran el mismo ajuste de forma diferente, normalmente prevalece la que se procesa después.

Dentro de un mismo contenedor, el orden de vínculo también cuenta: el número 1 tiene la mayor prioridad.

🔹 Equipo y usuario siguen recorridos distintos

La configuración del equipo depende de dónde está ubicado el objeto del equipo en Active Directory.

La configuración del usuario depende de dónde está ubicado el usuario.

Por eso, dos personas que utilizan el mismo ordenador pueden recibir configuraciones diferentes. Además, existe el procesamiento de bucle invertido —loopback—, que permite que la ubicación del equipo influya en las directivas de usuario.

🔹 La herencia tiene excepciones

Las OU reciben normalmente las directivas de sus contenedores superiores, pero hay dos mecanismos que conviene distinguir:

• Bloquear herencia frena las GPO heredadas que no estén forzadas.
• Forzar —Enforced— es una propiedad del vínculo: protege sus ajustes frente a cambios desde niveles inferiores y atraviesa el bloqueo de herencia.

Eso sí: forzar un vínculo no evita los filtros de seguridad ni WMI.

🔹 Un ejemplo sencillo

El dominio establece un fondo azul y la OU de Ventas establece uno verde.

Sin otras excepciones, prevalece el verde.

Si el vínculo de la directiva del dominio está forzado, prevalece el azul.

🔹 ¿Cómo diagnosticarlo?

Antes de modificar directivas a ciegas, conviene comprobar la OU, los vínculos, los permisos, los filtros y la conectividad con el dominio.

Tres comandos útiles:

→ gpupdate /force
Reaplica las directivas. Algunos cambios requieren reiniciar o volver a iniciar sesión.

→ gpresult /r
Muestra un resumen de las directivas aplicadas.

→ gpresult /h informe.html
Genera un informe para revisar el resultado y las posibles exclusiones.

💡 La idea clave: no gana una GPO completa; se resuelve cada ajuste.

Comprenderlo ayuda a administrar Windows con más criterio y a resolver ese clásico «la directiva no se aplica».

📌 Puedes ver esta y otras infografías en:
https://palentino.es/infograph/

¿Con qué te has encontrado más veces: conflictos de herencia, filtros de seguridad o equipos ubicados en una OU incorrecta?

#Windows #ActiveDirectory #GPO #AdministracionDeSistemas #Ciberseguridad #Infograph