Definición de Directivas o Políticas de Grupos

La configuración de directiva de grupo define distintos componentes del entorno del usuario y del equipo cuando se accede de forma autenticada al dominio controlado por el servidor "Windows 2003 Server", de modo que el administrador del sistema determina las directivas que serán aplicadas al usuario y al equipo englobado en un sitio, dominio o unidad organizativa; entre las directivas que pueden especificarse, por ejemplo, podemos citar las que indican aquellos programas que deseemos se encuentren disponibles para nuestros usuarios, los programas que aparecerán en su Escritorio, las opciones del menú Inicio, las opciones de configuración del navegador de los equipos, etc.

La configuración de una directiva de grupo está contenida en un objeto concreto de directiva de grupo que se asocia a los sitios, dominios o unidades organizativas existentes en el Directorio Activo del servidor "Windows 2003 Server".

NOTA: Curiosamente, y pese a su nombre, las directivas de grupo no pueden ser asociadas a un grupo de usuarios o equipos, sino que deben ser aplicadas exclusivamente sólo a Sitios, Dominios o Unidades Organizativas, afectando el resultado de su aplicación a los usuarios y a los equipos de Active Directory.

A un determinado usuario o equipo, se le pueden aplicar diferentes directivas de grupo, de modo que el orden en que éstas son aplicadas es el siguiente:

1. En primer lugar se aplica el objeto de directiva de grupo local único.
2. En segundo lugar se aplican los objetos de directiva de grupo del sitio, en orden especificado administrativamente.
3. En tercer lugar se aplican los objetos de directiva de grupo del dominio, en orden especificado administrativamente.
4. En cuarto lugar se aplican los objetos de directiva de grupo de las unidades organizativas, de la unidad organizativa principal a las secundarias, y en orden especificado administrativamente en el nivel de cada unidad organizativa.
5. Finalmente, indicar que de forma predeterminada, las directivas aplicadas posteriormente sobrescriben a las directivas aplicadas con anterioridad cuando las directivas son incoherentes, pero sin embargo, si no hay incoherencias de configuración entre ellas, tanto las directivas anteriores como las posteriores contribuyen a la directiva efectiva, es decir, se suman las configuraciones de las distintas directivas asociadas al objeto en cuestión.

Así pues las directivas de grupo se aplican de manera jerárquica desde el grupo menos restrictivo ("sitio") al grupo más restrictivo ("unidad organizativa"), de modo acumulativo; los contenedores secundarios heredan las directivas de grupo de los contenedores primarios, y el procesamiento de la directiva de grupo final tiene lugar en el siguiente orden: sitio, dominio y unidades organizativas, lo que significa que si se ha asignado una directiva de grupo determinada a un contenedor primario de alto nivel, esa directiva de grupo será aplicada a todos los contenedores que se encuentren por debajo de dicho contenedor primario, incluidos los objetos usuario y equipo de cada contenedor inferior; si alguna directiva de grupo de un contenedor secundario es contradictoria con respecto a la del contenedor primario, la directiva del contenedor secundario será aplicada suplantando a la del contenedor primario, pero sin embargo sin no son contradictorias, ambas serán aplicadas.

NOTA: Es importante reseñar que las directivas de grupo tienen prioridad sobre las opciones de configuración del perfil del usuario en caso de que se cree un conflicto entre ambas configuraciones.

Para concluir esta breve reseña de las directivas de grupo, vamos a proceder a definir algunos términos con los que trabajaremos habitualmente a lo largo de este apartado.

• Sitio .- Podemos definir un sitio como un conjunto de equipos en una o varias subredes IP; los sitios suelen representar la estructura física de la red.
• Dominio .- Un dominio tiene un nombre único y permite el acceso a las cuentas de usuario y de grupo centralizadas mantenidas por el "Administrador" del dominio; cada dominio tiene sus propias directivas de seguridad y relaciones de seguridad con otros dominios, y representa el límite de seguridad en una red "Windows 2003 Server", estando Active Directory compuesto por uno o varios dominios, cada uno de los cuales puede abarcar más de una ubicación física; los dominios suelen representar la estructura lógica de la organización.
• Unidad Organizativa .- Es un objeto contenedor de Active Directory que se utiliza en los dominios; las unidades organizativas son contenedores en los que pueden ubicarse usuarios, grupos, equipos y otras Unidades Organizativas, pudiendo contener únicamente objetos de su dominio principal; una unidad organizativa es el ámbito más pequeño al que se puede aplicar una directiva de grupo.