Windows Server 2025 / Cómo crear un GPO y vincularlo a una OU

Para aplicar una directiva a CLIENT1, cree un objeto de directiva de grupo (GPO), vincúlelo a la unidad organizativa (OU) que contiene su objeto de equipo y compruebe el resultado en el cliente. Una configuración de equipo sigue la ubicación del equipo y las demás condiciones de aplicación, no la OU del usuario que inicia sesión. Crear el GPO sin vincularlo no establece por sí solo ese alcance.

Limitar la prueba al equipo previsto

CLIENT1 debe estar unido a ad.example.test y ubicado en Lab → Workstations, como en la práctica de usuarios, grupos y OU. El usuario normal labuser1 puede permanecer en LabUsers: esta prueba configura el equipo, no su cuenta de usuario. Limite Workstations a los equipos de prueba previstos; no practique en Default Domain Policy ni en la OU Domain Controllers.

En DC1 o en un PC con las herramientas de administración remota del servidor (RSAT), abra la Consola de administración de directivas de grupo (GPMC) con gpmc.msc. Necesita permisos adecuados para crear el GPO, editarlo y vincularlo a esa OU; son acciones distintas y no basta con ser administrador local del cliente. Mantenga la administración privilegiada separada del uso cotidiano. La introducción oficial a la directiva de grupo explica su funcionamiento. Con el módulo ActiveDirectory y una cuenta autorizada, compruebe primero la ubicación del objeto:

Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName

DistinguishedName debe situar CLIENT1 en OU=Workstations,OU=Lab,DC=ad,DC=example,DC=test. Si aparece CN=Computers u otra OU, confirme el objeto y muévalo deliberadamente al destino del laboratorio antes de continuar. Anote la ubicación anterior y revise el efecto de otras directivas; no mueva un controlador de dominio para que coincida con esta prueba.

Crear y vincular el GPO

1. En GPMC, expanda Bosque → Dominios → ad.example.test → Lab → Workstations. Confirme que selecciona Workstations y no el dominio completo.
2. Haga clic con el botón derecho en Workstations y elija Crear un GPO en este dominio y vincularlo aquí (Create a GPO in this domain, and Link it here).
3. En el diálogo Nuevo GPO, escriba exactamente Lab-Computer-Message y confirme. Si ya existe, inspeccione sus vínculos y configuración antes de decidir reutilizarlo; no cree copias indistinguibles.
4. Seleccione el GPO y revise Ámbito (Scope): el vínculo debe apuntar a Workstations y estar habilitado. Mantenga Forzado (Enforced) desactivado y no añada un filtro de Instrumental de administración de Windows (WMI) para esta prueba. Compruebe también que la sección de configuración de equipo del GPO no está deshabilitada.
5. Registre y conserve el filtrado de seguridad inicial. Normalmente Usuarios autenticados incluye usuarios y equipos; la cuenta de CLIENT1 necesita Leer y Aplicar directiva de grupo. El vínculo delimita el alcance de esta prueba: no sustituya el filtro por labuser1 ni cambie permisos al azar para hacer funcionar una directiva de equipo.

El nodo Objetos de directiva de grupo contiene el GPO del dominio; el elemento bajo Workstations es un vínculo a ese objeto. Un GPO puede tener varios vínculos, por lo que editarlo afecta a todos los destinos en los que se aplique, no solo al elemento seleccionado. Antes de modificar uno existente, revise todos sus vínculos y usos. La referencia New-GPLink explica la diferencia entre habilitar un vínculo y forzarlo.

Configurar un mensaje de inicio de sesión del equipo

Use únicamente un mensaje inocuo del laboratorio. Antes de cambiarlo, registre si ya existe un título o texto efectivo y qué GPO lo establece; si se trata de un equipo administrado con un aviso real, detenga esta prueba y use un cliente aislado. No sustituya una advertencia de la organización por un texto inventado ni cambie otras opciones de seguridad.

1. Haga clic con el botón derecho en Lab-Computer-Message y elija Editar. Vaya a Configuración del equipo → Directivas → Configuración de Windows → Configuración de seguridad → Directivas locales → Opciones de seguridad. No use Configuración de usuario.
2. Abra Inicio de sesión interactivo: título del mensaje para los usuarios que intentan iniciar una sesión. Active la definición de esta configuración de directiva y escriba como valor exacto Lab computer; confirme el diálogo.
3. Abra la opción correspondiente Inicio de sesión interactivo: texto del mensaje para los usuarios que intentan iniciar una sesión. Defínala con el valor exacto Windows Server course lab y confirme. Estos son textos de prueba, no los nombres de las opciones.
4. Cierre el editor y, en GPMC, revise ambos valores en Configuración (Settings). Confirme de nuevo el GPO y el vínculo seleccionados; si administra varios controladores, permita que su configuración y SYSVOL se repliquen antes de interpretar un resultado antiguo en el cliente.

El título y el texto son dos opciones relacionadas. La correspondencia oficial de las opciones de inicio de sesión permite identificarlas; aquí se usa su configuración de GPO, no un despliegue de administración de dispositivos móviles (MDM). Las fichas oficiales del título del mensaje y del texto del mensaje indican que estas opciones no requieren reiniciar el dispositivo. Para observarlas, debe llegar a un nuevo inicio de sesión, no limitarse a mirar el escritorio actual.

Verificar el resultado en CLIENT1

En CLIENT1, abra Windows PowerShell como administrador local y ejecute las líneas siguientes. gpupdate /target:computer /force vuelve a aplicar la configuración de equipo, no solo el GPO de este ejercicio. Espere su resultado antes de continuar: no dé por correcta la actualización si muestra errores. gpresult genera un informe HTML del ámbito de equipo en la carpeta temporal del usuario que ejecuta la consola; la marca de tiempo ayuda a distinguirlo de informes anteriores.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gpresult-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

La última línea imprime la ruta del archivo; no abre el navegador automáticamente. Abra esa ruta en el navegador de CLIENT1 y confirme que el informe es reciente y corresponde a ese equipo. Busque Lab-Computer-Message entre los GPO aplicados y revise el origen y los valores efectivos de las dos opciones de inicio de sesión. Después guarde el trabajo y cierre la sesión completamente; en el siguiente inicio deben aparecer el título Lab computer y el texto Windows Server course lab. Que el GPO figure en el informe y que el mensaje tenga los valores previstos son comprobaciones distintas.

Una actualización correcta no garantiza que todo ajuste cambie en la sesión actual: otras directivas pueden requerir inicio de sesión o reinicio. Para este mensaje no se exige reiniciar; cierre sesión tras guardar el trabajo y use la consola del laboratorio para comprobarlo. Si el informe muestra acceso denegado, ausencia de datos o el GPO rechazado por un filtro, resuelva esa causa en vez de dar por aplicada la configuración. En Windows ARM64, la documentación señala una limitación de /h con gpresult; este ejemplo mantiene el cliente x64 del laboratorio.

Revertir los cambios de forma controlada

Para retirar solo el mensaje de esta prueba, abra el mismo GPO y las dos opciones de inicio de sesión. Si el estado inicial confirmado era sin mensaje y no interviene otra directiva, mantenga definida cada opción pero deje su valor vacío; confirme los cambios, vuelva a actualizar la directiva de equipo en CLIENT1 y genere un informe nuevo. Compruebe tanto los valores efectivos como la ausencia del mensaje al volver a iniciar sesión. Si había valores anteriores legítimos, restaure esos valores y su mecanismo de administración en lugar de borrarlos. Marcar simplemente No definido o quitar el vínculo no garantiza recuperar el estado anterior de todos los ajustes: Microsoft documenta la persistencia de determinadas configuraciones de seguridad.

En GPMC, eliminar el vínculo seleccionado bajo Workstations es distinto de borrar el objeto en Objetos de directiva de grupo. Antes de quitar un vínculo o eliminar un GPO, revise sus demás usos y compruebe la reversión en los clientes. Conserve Lab-Computer-Message para las prácticas posteriores; no es necesario eliminarlo para terminar esta. Si no aparece el resultado, revise la OU real de CLIENT1, la sección Equipo frente a Usuario, el vínculo habilitado, herencia, filtros, permisos y acceso a los controladores. No amplíe la prueba a todo el dominio ni active Forzado para ocultar un problema de alcance.