Windows Server 2025 / Cómo afectan el orden y la herencia de las directivas de grupo

La directiva de grupo suele procesarse en el orden local → sitio → dominio → unidades organizativas (OU), desde la superior hasta la más cercana al objeto. Si dos objetos de directiva de grupo (GPO) establecen valores distintos para el mismo ajuste, la prioridad también depende del orden de vínculos, la imposición, la herencia, los filtros y el tipo de configuración. Confirme el origen efectivo en el informe de resultados, en vez de suponer que siempre gana la última OU.

Entender la prioridad y sus excepciones

Las directivas son acumulativas: un GPO posterior no elimina los ajustes no relacionados de los anteriores. La prioridad importa cuando se configura el mismo ajuste con valores incompatibles. La documentación oficial del procesamiento de directivas de grupo describe el orden habitual y sus excepciones.

El orden de vínculo compara GPO enlazados al mismo sitio, dominio u OU. No compare el número 1 de Lab con el número 1 de Workstations como si pertenecieran a una única lista. La referencia Set-GPLink y su parámetro Order confirma que el número menor se procesa después y tiene mayor prioridad dentro del mismo contenedor. Esta práctica cambia la disponibilidad de un vínculo, no su orden ni la imposición.

Los filtros de seguridad y de Instrumental de administración de Windows (WMI) pueden excluir un GPO que parecía candidato por su vínculo. También importan la sección Equipo frente a Usuario y la ubicación de su objeto correspondiente. Un GPO filtrado no gana simplemente por tener un orden bajo; primero debe poder aplicarse. No cambie filtros, herencia e imposición a la vez para intentar explicar un resultado.

Preparar y registrar el estado inicial

Necesita CLIENT1 unido a ad.example.test y situado en Lab → Workstations, con acceso a los controladores y DNS interno correcto. En GPMC (Consola de administración de directivas de grupo, gpmc.msc), use una cuenta con derechos de creación, edición y vínculo para la OU de laboratorio. Antes de añadir nada, revise Lab-Computer-Message y su vínculo habilitado en Workstations. Si en la práctica de creación y vinculación de un GPO dejó vacíos los mensajes al probar su retirada, vuelva a definir las dos opciones de inicio de sesión: título Lab computer y texto Windows Server course lab. Actualice CLIENT1 y compruebe ese estado inicial antes de comparar.

Registre en ambas OU el orden y estado de los vínculos, Forzado (Enforced), bloqueo de herencia y filtros, además de los dos valores del mensaje y su origen efectivo. No cambie esos factores durante la comparación. El nuevo vínculo en Lab puede alcanzar a todos los equipos de sus OU descendientes, incluido FS1 en Lab → Servers si no hay otras condiciones que lo excluyan; no está limitado a CLIENT1 por el simple hecho de observarlo allí. Utilice únicamente el árbol de laboratorio aislado y no continúe si contiene equipos cuya configuración no deba cambiar. El cuerpo del mensaje será idéntico en ambos GPO: solo variará el título.

Comparar el ajuste en las OU superior e inferior

1. En GPMC, expanda Bosque → Dominios → ad.example.test, haga clic con el botón derecho en la OU superior Lab y cree un GPO en ese dominio con un vínculo allí. Llámelo exactamente Lab-Parent-Message. Confirme que no lo vincula al dominio ni a Workstations; si ya existe, revise sus usos antes de continuar.
2. Edite Lab-Parent-Message en Configuración del equipo → Directivas → Configuración de Windows → Configuración de seguridad → Directivas locales → Opciones de seguridad. Defina Inicio de sesión interactivo: título del mensaje para los usuarios que intentan iniciar una sesión con el valor exacto Parent lab.
3. Defina la opción de texto del mensaje con Windows Server course lab, exactamente igual que en el GPO inferior. Confirme ambos valores en la pestaña Configuración de GPMC.
4. Mantenga en Lab-Computer-Message el título Lab computer y el mismo texto. Ambos vínculos deben estar habilitados, sin Forzado ni filtros nuevos y con la configuración de equipo activa. No cambie el bloqueo de herencia ni permisos para producir el resultado esperado; si hay diferencias, aclare primero el estado del laboratorio.
5. En CLIENT1, abra Windows PowerShell como administrador local y ejecute el bloque siguiente. Espere a que termine la actualización y compruebe errores; después examine el informe nuevo y un nuevo inicio de sesión.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gp-order-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

La última línea muestra la ruta del informe HTML en la carpeta temporal del usuario que ejecuta la consola; ábrala en el navegador de CLIENT1. Compruebe fecha, equipo, GPO aplicados y origen efectivo del título. Guarde el trabajo y cierre la sesión completamente para observar el mensaje en el siguiente acceso. En cada fase repita el bloque para generar un informe con otro timestamp; no reutilice una pestaña con resultados antiguos. La actualización forzada afecta a las directivas de equipo en general y no sustituye la comprobación de su resultado.

Con ambos vínculos activos, sin imposición, sin bloqueo que excluya al GPO superior y con los mismos filtros aplicables, CLIENT1 debe mostrar Lab computer y atribuir el título a Lab-Computer-Message, vinculado a Workstations. La OU más cercana normalmente prevalece para este ajuste. Si aparece Parent lab u otro valor, examine la fuente efectiva y las condiciones reales antes de modificar nada: puede existir otra directiva impuesta, un vínculo deshabilitado, un filtro o una ubicación distinta. Que ambos GPO figuren aplicados no significa que ambos puedan proporcionar simultáneamente el título efectivo.

Desactivar solo el vínculo inferior y restaurarlo

1. En GPMC, haga clic con el botón derecho únicamente en el vínculo de Lab-Computer-Message bajo Workstations y desmarque Vínculo habilitado (Link Enabled). No elimine el vínculo, no deshabilite toda la configuración de equipo del GPO y no cambie otros vínculos que ese objeto pueda tener.
2. En CLIENT1, repita la actualización y genere un informe nuevo. Tras guardar el trabajo, cierre sesión y examine el siguiente inicio; mantenga las demás condiciones sin cambios.
3. Compruebe que el informe atribuye ahora el título a Lab-Parent-Message y que el mensaje muestra Parent lab. El texto debe seguir siendo Windows Server course lab. Si no ocurre, no atribuya la diferencia automáticamente a la herencia: revise la fuente real y el resultado de actualización.
4. Vuelva a marcar Vínculo habilitado para Lab-Computer-Message en Workstations. Actualice CLIENT1, genere otro informe y confirme tanto el origen Lab-Computer-Message como el título Lab computer; el cuerpo del mensaje debe permanecer igual.

Esta prueba compara dos GPO que definen explícitamente valores distintos del mismo ajuste. Al desactivar el vínculo inferior, el GPO superior sigue proporcionando un valor; por tanto, el cambio a Parent lab no demuestra que quitar un vínculo restaure cualquier ajuste a su valor anterior. Mantenga los filtros y el cuerpo del mensaje iguales. Si el resultado esperado no aparece, vuelva a habilitar el vínculo inferior y compruebe el estado inicial antes de investigar otras variables.

Retirar únicamente la configuración de prueba

Primero confirme que el vínculo de Lab-Computer-Message está nuevamente habilitado y que CLIENT1 recuperó el título Lab computer con ese GPO como origen. Revise todos los usos de Lab-Parent-Message; elimine únicamente el vínculo de prueba bajo Lab y, solo si el objeto es exclusivo de esta práctica y no tiene otros usos, el GPO correspondiente. No borre el GPO inferior ni quite otros vínculos para limpiar la prueba. Actualice CLIENT1, genere otro informe y compruebe que sigue recibiendo el título y el texto originales. Conserve un registro de lo retirado y de las opciones que permanecen sin cambios.

Para comparar una configuración de usuario, examine la OU del objeto de usuario. Un GPO con solo opciones de usuario, vinculado a la OU de CLIENT1, no sigue normalmente al equipo de la misma forma. El procesamiento de bucle invertido (loopback) puede cambiar cómo se obtiene la lista de GPO de usuario mediante sus modos Combinar o Reemplazar, pero requiere su propio diseño y no se activa en esta práctica. La documentación de ámbito de la directiva de grupo ayuda a distinguir vínculo, filtrado y aplicación efectiva.