Windows Server 2012 R2 : GPO bucle invertido

Hola! Hoy os traigo la famosa GPO de bucle invertido, bajo 2012 R2. En 2008 tambien existe, en 2016 no lo he buscado pero seguro que tambien está.

¿ Que hace ? Pues permite aplicar GPO's que apliquen a usuarios, aunque esos usuarios no esten ubicados en la OU donde lincamos la GPO.

Ejemplo : Queremos que en un grupo de equipos, cuando los usuarios inicien sesion se apliquen unas configuraciones de "usuario".

Aqui tenemos un caso practico :

Creamos una GPO, lincada a la OU " Pruebas". En esa OU solo hay equipos.

Aplicamos la GPO " Configurar el modo de procesamiento de bucle invertido de la directiva de grupo de usuario " y en modo " combinar"

Vereis que a nivel de usuario he aplicado, en este caso, que los usuarios no puedan agregarse impresoras.

Aqui un pantallazo que muestra que solo hay equipos en la OU pruebas.

Realizamos login en el equipo y .... tachan no nos deja instalar impresoras!

Movemos el equipo a otra OU ...

Despues del gpupdate /force y reinicio, vemos que automaticamente ya podemos agregar impresoras.

Espero que os sirva!

Windows Server 2012 R2 : Redirigir carpetas de usuarios al servidor

Hola,

Personalmente no me gusta mucho, pero una costumbre en las empresas es redirigir ciertas carpetas de los usuarios, como "mis documentos" o "escritorio" a un servidor. De esta manera , el usuario al hacer login en diferentes maquinas, tendra acceso a sus documentos "personales".

No me gusta mucho por el motivo que ellos muchas veces no saben que estan guardando datos en el servidor, total que te encuentras con fotos familiares, peliculas y etc ocupando espacio en el servidor de ficheros ( ocupando mucho sitio y con problemas para hacer backups )

La ventanja que tiene activar esto es el llamado "perfil movil", por ejemplo un medico que consulta en varios centros, un inspector con varias sedes etc.

Vamos a ello :

Creamos una carpeta compartida, le damos permiso o a todos los usuarios o a un grupo. En mi caso como es un ejemplo, pueden acceder todos los usuarios. Tranquilos, despues la GPO bloquea el acceso a solo el usuario dueño de la carpeta.

Ok, carpeta creada

La ruta sera \\lab\folder$

 

Vamos a la GPO y hacemos click derecho sobre "documentos"

 Marcamos la opcion "basico", crear una carpeta para cada usuario y le decimos la ruta.

Como veis, en la pestaña configuracion, nos dice que le va a dar al usuario derechos exclusivos. Traduciendo, que solo tiene acceso el.

 OK, lo que tenemos/teneis que hacer es retirar estos sistemas jaja

Vamos a hacer lo mismo con el escritorio.

Lo mismo

Total que la GPO queda tal que asi. La aplicamos a una OU donde esten los usuarios que nos interesan y la filtramos o por todos los usuarios o solo por el grupo que nos interese.

Vamos a ver ejemplos de como aplica:

En un Windows 7, usuario "Jonas2", ya vemos que el escritorio esta redirigido ( fijaros en el icono de sincronizacion de ficheros )

Si miras desde propiedades la ubicacion, ves que apunta al servidor.

Entramos a un Windows7 con el usuario "Lucas" y vemos que los documentos apuntan tambien al servidor.

 Si desde Lucas revisamos la red, solo vemos sus documentos.

Intentamos ver la carpeta "Jonas2" y como no tenemos permiso, la vemos vacia.

En Windows10 tambien aplica, vemos por ejemplo los .TXT que se ven tanto en W10 como en W7, con el usuario "Jonas3"

Aqui os muestro la redireccion en Windows10.

Mismo escritorio para el usuario "Jonas3" pero en Windows 7

Espero que os sirva!

Windows Server 2012 R2 : GPO Deshabilitar Cortana

Hola,

En el post anterior agregamos GPO's para Windows 10 a nuestro controlador de dominio. Ya que estamos vamos a probar a deshabilitar "Cortana" utilizando estas nuevas ADMX que hemos subido.

Como se puede ver, cortana esta habilitada en este Windows 10:

Buscamos la configuracion en la plantilla de las GPO's y es la de "Permitir el uso de cortana". La deshabilitamos.

La filtramos por equipo, en este caso he flitrado por mi equipo Windows10.

Aqui vemos el resultado.

Windows Server 2012 R2 : Instalar politicas de grupo para Windows 10

Hola, cuando se lanzo Windows 2012 aun no existia Windows 10. Podemos agregar las plantillas ADMX de la siguiente forma.

Descargamos el instalable desde :

https://www.microsoft.com/es-ES/download/details.aspx?id=48257

Instalamos el paquete en nuestro equipo local por ejemplo, no hay problema. Una vez instalado, vamos a la ruta :

C:\Program Files (x86)\Microsoft Group Policy\Windows 10 Version 1511

y nos copiamos la carpeta "PolicyDefinitions"

Esta carpeta la copiamos en nuestro controlador de dominio, en la siguiente ruta :

C:\Windows\SYSVOL\sysvol\lab.lab\Policies ( donde lab.lab es el nombre de mi dominio ):

 

Como se puede comprobar, ya aparecen GPO's para Windows 10. 

 Espero que os sirva!

Windows Server 2012 R2 : Despromocionar controlador de dominio

Esta semana llego el dia, tocó despromocionar un DC en version 2012 R2.

Os explico como se hace.

Lo primero de todo y por seguridad, lanzamos un netdom query fsmo para ver que DC tiene los roles. En nuestro caso los tiene el LAB. En este DC no vamos a tocar nada.

El DC que vamos a despromocionar es el DC2.

Desde sites and services vemos que tambien aparece ( esto es a modo de observacion ).

Volvemos a nuestro DC2 y quitamos el rol.

Siguiente

Ok, en el DC2

Desmarcamos el check de  servicios de dominio de AD

OK

Click en " disminuir el nivel de este controlador de dominio"

Siguiente, sin marcar la opcion forzar ya que realmente este DC funciona bien, lo despromovemos para probar el metodo.

Nos indica que le vamos a retirar tambien la funcion de GC y DNS

Nos pide una contraseña para el adm local.

Ok a despromover. Tal y como el mismo nos indica, el resultao final es que se quedara como un servidor miembro del dominio.

Reinicio tipico.

Despues de reiniciar si vamos a la consola del AD ya vemos que no aparece como DC.

Para hacerlo limpio limpio, debemos eliminar los archivos de instalacion, ya que sino nos da el mensaje de  promoverlo de nuevo a DC.

Volvemos a quitar roles y marcamos de nuevo servicios de active directory.

Y fuera, ya los tenemos eliminados.

 Le pegamos un reinicio y aqui os muestro un pantallazo donde hago login con un nuevo usuario en este servidor ( vamos que el dominio sigue funcionando correctamente )

Temas adicionales :

Desde sites and services es posible que no os elimine el servidor, click derecho y os lo eliminais vosotros mismos.

A veces me he encontrado con conexiones de replicacion que tampoco borra, borrarlas sin miedo.

Espero que os sirva!