Aplicar una política de grupo local a no administradores o un solo usuario con MLGPO

Puede usar la Política de grupo local para configurar Windows o la configuración del usuario en computadoras en redes de grupos de trabajo pequeños (sin un dominio AD). Anteriormente, la principal desventaja de un GPO local era la incapacidad de aplicar la configuración de políticas al usuario o grupo local específico. Por ejemplo, si ha desactivado los dispositivos USB en el GPO local, esta política se aplica tanto a los usuarios como a las cuentas del administrador local.

Varios objetos de política de grupo local (MLGPO) le permiten aplicar la configuración de GPO local a diferentes usuarios o grupos locales. En este artículo, mostraremos cómo aplicar un GPO local a un solo usuario local o usuarios que no son miembros de los administradores locales que usan MLGPO.

Puede asignar un MLGPO a:

• Cualquier usuario local (por nombre);
• Miembros del grupo de administradores locales;
• Todos los usuarios que son no miembros de los administradores locales grupo.

Para crear una nueva política de grupo local para un usuario o un grupo:

1. Presione Win + R -> mmc;
2. Haga clic en Archivo -> Agregar o quitar complemento
   
3. Seleccione Editor de objetos de directiva de grupo en la lista de complementos disponibles y haga clic en Agregar;
   
4. Hacer clic Navegar y ve al Usuarios pestaña. Puede seleccionar un grupo local o un usuario al que aplicar una política. Si un GPO local ya está asignado al usuario o grupo, verá sí en el Existe el objeto de directiva de grupo columna. Para aplicar una política a todos los usuarios locales excepto a los administradores, seleccione No administradores;
   
5. Asegúrese de que esté seleccionado Equipo local No administradores y haga clic en Terminar;
   
6. Aparece la consola del editor de GPO con la configuración del usuario. Aquí puede configurar la configuración de la política local para que se aplique a los usuarios que no son administradores;
   
7. Configure las opciones de directiva de grupo que desee para los usuarios locales.

Si desea eliminar una política local para el grupo, seleccione el grupo en el Usuarios pestaña y haga clic en Eliminar objeto de política de grupo.

La principal desventaja de los GPO locales es que son difíciles de mover a otras computadoras (a diferencia de los GPO de dominio que se almacenan en controladores de dominio AD y se editan de forma centralizada). Para transferir la configuración de MLGPO, puede usar una herramienta oficial de Microsoft: lgpo.exe (es parte de Security Compliance Manager y Microsoft Security Baseline).

Para exportar todas las políticas locales configuradas a archivos, se utiliza este comando:

lgpo /b c:GPObackup

Para importar la configuración de la directiva de grupo local a otra computadora, especifique su GUID (puede encontrar la carpeta de la directiva en los archivos que obtuvo por el conocido SID del grupo de no administradores – S-1-5-32-545). Para aplicar la configuración en la computadora de destino, se usa el siguiente comando:

lgpo /parse /u C:GPObackup{GUID}DomainSysvolGPOUserregistry.pol

Luego, actualice la configuración de GPO:

gpupdate /force

Además, puede utilizar el LocalGPO.wsf script para exportar / importar un MLGPO.

Exportar:

cscript LocalGPO.wsf /Path:C:GPObackup /Export /MLGPO:Non-Administrators

Importar:

cscript LocalGPO.wsf /Path:C:GPObackup{GUID}