Objetos de Política de Grupo são a espinha dorsal do gerenciamento centralizado do Windows em ambientes Active Directory. Entender seus componentes é essencial para implantação eficaz, solução de problemas e segurança.
Componentes Principais
1. Modelo de Política de Grupo (GPT)
- Armazenamento físico: Pasta do sistema de arquivos no SYSVOL:
\\domínio.com\SYSVOL\domínio.com\Policies\{GUID}\
- Conteúdo: Registry.pol (configurações), scripts, templates .admx/.adml, pacotes MSI, XML de preferências
- Replicação: DFS-R (replicação SYSVOL) em todos os DCs
- Permissões: Usuários Autenticados: Leitura; Admins do Domínio: Controle Total
2. Container de Política de Grupo (GPC)
- Objeto AD:
CN={GUID},CN=Policies,CN=System,DC=domínio,DC=com
- Atributos: versionNumber (GPT + GPC), gPCFileSysPath, gPCFunctionalityVersion, flags
- Replicação: Replicação AD padrão (intra-domínio)
- Propósito: Metadados, versionamento, vinculação, filtragem — não armazenamento de configurações
3. Preferências de Política de Grupo (GPP)
- Extensão de GPOs (Extensões do Lado do Cliente — CSEs)
- Configuram configurações não gerenciadas: mapeamento de unidades, impressoras, arquivos, pastas, registro, INI, serviços, tarefas, usuários/grupos locais, planos de energia, menu Iniciar
- Segmentação no nível do item (ILT): CPU, SO, faixa IP, grupo de segurança, WMI, tempo, correspondência de registro
- Ações: Criar, Substituir, Atualizar, Excluir
4. Segurança e Delegação
- Permissões de GPO: Leitura, Escrita, Exclusão, Modificar Segurança (no GPC + GPT)
- Aplicar Política de Grupo: ACE na OU/domínio/site alvo — controla quem recebe o GPO
- Modelo de delegação: Admins de OU vinculam GPOs; Criadores Proprietários de Política de Grupo criam; Admins do Domínio gerenciam todos
- Filtragem WMI: Segmentação dinâmica via consultas WQL (ex.: laptop vs. desktop)
5. Ordem de Processamento (Precedência)
- GPO Local (computador)
- GPOs vinculados a Site (ordenados)
- GPOs vinculados a Domínio (ordenados)
- GPOs vinculados a OU (pai → filho, ordenados)
- Último escritor vence (com exceções: Forçado, Bloquear Herança)
Política de usuário segue mesma hierarquia no logon. Processamento em loopback (Mesclar/Substituir) altera fonte da política de usuário.
6. Links e Escopo
- GPOs vinculados a: Sites, Domínios, OUs (não usuários/grupos diretamente)
- Um GPO → múltiplos links (mesmas configurações, escopos diferentes)
- Ordem do link (1 = mais alta) configurável por container
- Forçado (Sem Substituição): Impede substituição por OU filha
- Bloquear Herança: Para GPOs pai (exceto Forçado)
Essenciais Operacionais
- GPMC: Console principal de gerenciamento (gpmc.msc)
- gpresult /h relatorio.html: RSOP do lado do cliente (Resultant Set of Policy)
- gpupdate /force: Atualização manual (background: 90±30 min)
- GPOs Iniciais: Templates para criação de baseline
- Backup/Restauração: GPMC → Clique direito no domínio → Backup All
Domine estes seis componentes e você controla o estado de configuração de todo dispositivo ingressado no domínio.
