Cómo solucionar problemas de políticas de grupo con RSoP

El proceso de asegurar una red aplicando políticas de grupo puede volverse confuso. Después de todo, los elementos de política pueden ser aplicados a usuarios, grupos, equipos, dominios, etc. Seguro, existen pautas para hacer el proceso más eficiente y menos confuso, pero al final aún existe la posibilidad de que haya algunos elementos de política de grupo que se superpongan.

Cómo funciona RSoP

Según el documento en línea de Microsoft, "Gestión de Windows XP en un entorno de servidor de Windows 2000", RSoP es un motor de consulta que recopila las políticas existentes y luego informa los resultados de la consulta. Recopila las políticas existentes en función del sitio, dominio, controlador de dominio y unidad organizativa (OU). RSoP recopila esta información de la base de datos del "Gestor de objetos del modelo de información común" (CIMOM) (comúnmente conocida como 'WMI' o Instrumental de Administración de Windows).

Además de verificar las políticas establecidas por la política de grupo, RSoP también verifica la instalación de software para cualquier aplicación asociada con un usuario o equipo en particular y reporta los resultados de estas consultas. RSoP detalla todas las configuraciones de política configuradas por un administrador. Esto incluye Plantillas administrativas, Redirección de carpetas, Mantenimiento de Internet Explorer, Seguridad y Scripts.

Cargar el RSoP Wizard

Comienza el proceso ingresando el comando MMC en la ventana Ejecutar. Esto abrirá una sesión vacía de Microsoft Management Console. A continuación, haz clic en Archivo | Agregar/Quitar complemento para abrir la hoja de propiedades para agregar/eliminar complementos. Debería estar seleccionada la pestaña Independiente. Haz clic en el botón Agregar para revelar una lista de complementos disponibles. En este punto, selecciona el complemento RSoP de la lista y haz clic en el botón Agregar. Esto abrirá el RSoP Wizard.

Utilizando RSoP

Al igual que con la mayoría de los asistentes de Microsoft, el RSoP Wizard comienza con una pantalla de bienvenida. Haz clic en el botón Siguiente para eliminar la pantalla de bienvenida y pasar a la pantalla de selección de modo, que te permite elegir entre el modo de registro y el modo de planificación. El modo de registro te permite revisar las configuraciones de política reales aplicadas a un equipo o usuario específico, y es el modo que probablemente utilizarás más a menudo con RSoP. El modo de planificación te permite simular una implementación de política utilizando datos de Active Directory. Esto te permite realizar análisis hipotéticos basados en la información que proporcionas sobre el usuario, el equipo, el sitio, el dominio, la unidad organizativa (OU) y la pertenencia a grupos de seguridad. El modo de planificación requiere que utilices el servidor .NET. Dado que estamos interesados en solucionar problemas de políticas ya aplicadas, utilizaremos el modo de registro para este artículo.

Después de seleccionar el botón de modo de registro y hacer clic en Siguiente, el RSoP Wizard pregunta qué equipo deseas mostrar las configuraciones de política para (ver Figura A). Puedes elegir tu equipo actual u otro equipo en la red.

Por qué los firewalls no son suficientes para asegurar tu empresa

Figura A

También hay una opción que te permite evitar mostrar ninguna política relacionada con el equipo en absoluto. Personalmente, encuentro que esta opción es muy útil al solucionar problemas. Por ejemplo, supongamos que estás tratando de resolver un problema de permisos para un usuario. Se está aplicando una política indeseable, pero no tienes idea de dónde está viniendo la política. Si utilizas la opción de ver solo las políticas relacionadas con el usuario y no las políticas relacionadas con el equipo, puedes encontrar rápidamente si la configuración de política indeseable se está aplicando debido a un elemento de política de grupo relacionado con el usuario o debido a un elemento de política de grupo relacionado con el equipo.

Simplemente seleccionando esta casilla de verificación, puedes eliminar efectivamente la mitad de las posibles causas de tu problema. Por supuesto, si no estás solucionando problemas sino intentando averiguar qué políticas se aplican a un usuario, no deberías usar esta opción.

Después de seleccionar el equipo con el que deseas trabajar, haz clic en Siguiente. El asistente te preguntará luego qué usuario deseas examinar las configuraciones de política (ver Figura B). Utiliza las casillas de verificación para seleccionar al usuario actual u otro usuario.

Figura B

Si deseas ver las configuraciones de política para un usuario que no sea el que inició sesión, hay algunas cosas que debes saber. Al seleccionar la opción Otro usuario, se mostrará una lista de usuarios en una ventana debajo del botón de opción. Esta opción se utiliza principalmente para verificar las políticas que se aplican a las cuentas locales de usuario. La única vez que verás una cuenta de usuario de dominio en esta lista es cuando hayas iniciado sesión con una cuenta de usuario de dominio. Incluso entonces, solo verás tu propia cuenta.

Por ejemplo, si inicias sesión como administrador de dominio, la lista contendrá la cuenta de administrador de dominio y todas las cuentas de usuario locales. Por lo tanto, si necesitas verificar las configuraciones de política para una cuenta de usuario de dominio, debes iniciar sesión como ese usuario antes de iniciar el RSoP Wizard.

Debajo de la lista de usuarios hay un botón de opción que puedes usar para hacer que el asistente ignore las políticas de usuario. Nuevamente, este botón de opción es útil si estás solucionando problemas y deseas examinar qué elementos de política se aplican directamente a la cuenta de equipo, sin que las políticas de usuario te confundan.

Todo lo que necesitas saber sobre los identificadores de seguridad (SIDs) en Windows

Después de seleccionar al usuario, si corresponde, que deseas examinar, verás una pantalla que muestra un resumen detallado del modo, el usuario y el equipo que seleccionaste. Aunque a menudo es fácil ignorar las pantallas de resumen que se encuentran en algunos asistentes, recomiendo echar un buen vistazo a esta. Si estás ejecutando el RSoP Wizard, probablemente estés tratando de solucionar algún problema de política. El proceso de solución de problemas puede volverse muy frustrante si crees que estás viendo las configuraciones de política para un usuario o un equipo diferente de los que en realidad estás viendo. Así que dedica un segundo a verificar la información en la pantalla de resumen antes de continuar.

Figura C

En este punto, haz clic en Siguiente para comenzar el proceso de examinación. Dependiendo de cuántos elementos de política hayas asignado al usuario y al equipo, este proceso podría tomar uno o dos minutos.

Visualización de los resultados del RSoP Wizard

Cuando el proceso de examinación se completa, haz clic en el botón Finalizar. Por extraño que parezca, volverás a la ventana de diálogo Agregar complemento independiente que viste al principio de este proceso. Haz clic en Cerrar y en Aceptar para cerrar cualquier ventana de diálogo abierta e ir a la pantalla principal de la consola. A continuación, verás el conjunto de políticas resultantes seleccionado que aparecerá en el árbol de la consola (ver Figura D).

Figura D

El conjunto resultante de políticas se muestra en forma de árbol. El nivel raíz de la política se enumera como Usuario en equipo - RSoP. Por ejemplo, en mi máquina de prueba, el nivel raíz apareció como Administrador en HOBBS - RSoP. Esta designación se utiliza en caso de que desees utilizar el comando Agregar/Quitar complemento en el menú Archivo para agregar otro conjunto de políticas resultantes. Al agregar dos o más políticas, puedes comparar los conjuntos de políticas resultantes entre sí.

Una vez que expandes la política, verás varios contenedores debajo de ella. Al expandir cada contenedor, puedes profundizar en las configuraciones de política individuales que se aplican al usuario, al equipo o a ambos (ver Figura E).

Figura E

El árbol de RSoP está organizado exactamente de la misma manera que la consola de políticas de grupo normal, excepto que muestra el nombre del objeto de la política de grupo que asigna el valor de la política. Esto te permite ver qué política se está aplicando realmente al usuario. Por ejemplo, en la Figura E, puedes ver que la configuración de "Quitar el Administrador de tareas" se determina mediante una política de grupo local. Si esta configuración estuviera causando un problema al usuario, ahora sabrías qué política cambiar para solucionarlo.

Los pasos esenciales para una gestión de seguridad efectiva

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Cómo solucionar problemas de políticas de grupo con RSoP , tenemos lo ultimo en tecnología 2023.