Las Directivas de Grupo permiten definir diversas configuraciones del usuario que accede al sistema o del equipo desde el cual se accede, de modo que el administrador del servidor Windows Server 2008 determina cuales le serán aplicadas a cada usuario y/o equipo encuadrado en un sitio, dominio o unidad organizativa. Entre las directivas que pueden especificarse, por ejemplo, podemos citar a las que se refieren a los programas que deseemos se encuentren disponibles para nuestros usuarios cuando trabajan en un equipo del dominio, la configuración de su perfil, las opciones del navegador, etc.

Existe una gran cantidad de directivas de grupos, y su uso y ámbito de aplicación es muy variopinto; podemos decir que prácticamente existen directivas de grupo para configurar sencillamente cualquier configuración que deseemos aplicar a nuestro usuarios y/o equipos del dominio, y lo que es mejor, su utilización es tan sencilla como su habilitación en el servidor Windows Server 2008, para que pasen a aplicarse de pleno a los usuarios y/o equipos del dominio.

La configuración de Directiva de Grupo está contenida en un objeto de directiva de grupo, de modo que se asocia dicha directiva a los Sitios, Dominios o Unidades Organizativas indicadas en el Active Directory del servidor Windows Server 2008.

Curiosamente, y pese a su nombre, las Directivas de Grupo no pueden ser asociadas a un grupo de usuarios o grupos de equipos, pues tan sólo son aplicables a Sitios, Dominios o Unidades Organizativas, y el resultado de su aplicación afecta a los usuarios y a los equipos del dominio.

Cuando se habilita una directiva de grupo, el orden en que la misma es aplicada es el siguiente:

  1. En primer lugar se aplica el objeto de Directiva de Grupo local único.
  2. En segundo lugar se aplican los Objetos de Directiva de Grupo del Sitio, en el orden especificado administrativamente.
  3. En tercer lugar los Objetos de Directiva de Grupo del Dominio, en el orden especificado administrativamente.
  4. En cuarto lugar los Objetos de Directiva de Grupo de las Unidades Organizativas, de Unidad Organizativa principal a secundaria, y en el orden especificado administrativamente en el nivel de cada Unidad Organizativa.
  5. Finalmente, de forma predeterminada, las directivas aplicadas posteriormente sobrescriben las directivas aplicadas con anterioridad cuando las directivas son incoherentes, es decir, hay contradicciones entre varias directivas. Sin embargo, si no hay incoherencias de configuración, tanto las directivas anteriores como las posteriores contribuyen a la directiva efectiva, es decir, se suman las configuraciones de las distintas directivas asociadas al objeto en cuestión.

Podemos resumir el funcionamiento de las Directivas de Grupo como sigue:

La Directiva de Grupo se aplica de manera jerárquica desde el grupo menos restrictivo (Sitio) al grupo más restrictivo (Unidad Organizativa). La Directiva de Grupo también es acumulativa. Los contenedores de servicio de directorio secundarios heredan la Directiva de Grupo de los contenedores primarios y el procesamiento de la Directiva de Grupo tiene lugar en el siguiente orden: Sitio, Dominio y Unidad Organizativa. Esto significa que, si se ha asignado una Directiva de Grupo determinada a un contenedor primario de alto nivel, esa Directiva de Grupo se aplica a todos los contenedores por debajo de dicho contenedor primario, incluidos los objetos equipo y usuario de cada contenedor. Sin embargo, si especifica de manera explícita una Directiva de Grupo para un contenedor secundario, dicha directiva suplantará a la del contenedor primario, si es que son contradictorias, y se sumará a la anterior si no lo son.

Es importante resaltar que las Directivas de Grupo tienen prioridad sobre las opciones de configuración del perfil del usuario en caso de que se cree un conflicto entre ambas configuraciones.

En los siguientes apartados nos centraremos en definir una estructura de Unidades Organizativas para nuestro centro educativo, así como en asociar las Políticas o Directivas de Grupo al dominio o a las Unidades Organizativas anteriormente creadas.

Vamos a citar y definir los siguientes términos, con los que trabajaremos habitualmente a lo largo de este apartado.

  • Sitio.- Podemos definir un sitio como un conjunto de equipos en una o varias subredes IP; podemos presumir que habitualmente los sitios suelen representar la estructura física de la red.
  • Dominio.- Un dominio tiene un nombre único y permite el acceso a las cuentas de usuario y de grupo centralizadas mantenidas por el administrador del dominio. Cada dominio tiene sus propias directivas de seguridad y relaciones de seguridad con otros dominios, y representa límite de seguridad en una red Windows Server 2008. Active Directory está compuesto de uno o varios dominios, cada uno de los cuales puede abarcar más de una ubicación física. Los dominios representan la estructura lógica de la organización.
  • Unidad Organizativa.- Es un objeto contenedor de Active Directory que se utiliza en los dominios. Las Unidades Organizativas son contenedores lógicos en los que pueden colocarse usuarios, grupos, equipos y otras Unidades Organizativas. Sólo pueden contener objetos de su dominio principal. Una Unidad Organizativa es el ámbito más pequeño al que se puede aplicar una Directiva de Grupo.