Console de Gerenciando de Diretiva de Grupo (GPMC)

http://technet.microsoft.com/pt-br/library/cc668491(printer).aspx

Console de Gerenciando de Diretiva de Grupo (GPMC)

Por Josu Vidal
Est ferramenta ajuda administradores a trabalhar com diretiva de grupo de uma forma, simplificada e unificada. A final com a diretiva de grupo voc pode definir que a famlia Windows 2003 aplique continuamente as configuraes de diretiva de grupo que voc definiu. O console de Gerenciamento de Diretiva de Grupo (Group Policy Management) um conjunto de interfaces programveis para gerenciamento de diretiva de grupo, assim com um snap-in do MMC criado nas interfaces programveis. Juntos, os componentes do Group Policy Management consolidam o gerenciamento da diretiva de grupo em toda empresa. O Console de Gerenciamento de Diretiva de Grupo combina a funcionalidade de vrios componentes em uma nica interface do usurio. A interface do usurio estruturada para corresponder a maneira como voc usa e gerencia a diretiva de grupo. Ela incorpora a funcionalidade relativa diretiva de grupo das ferramentas a seguir em um nico snap-in do MMC: Active Directory User and Computers Active Directory Sites and Services Resultant set os Policy (RSoP) O Gerenciamento de Diretiva de Grupo tambm fornece os recursos estendidos a seguir, que estavam disponveis em ferramentas de diretiva de grupo anteriores. Com o Gerenciamento de Diretiva de Grupo, voc pode: Fazer backup de GPOs e restaur-las Copiar e importar GPOs Usar filtros WMI (Windows Management Instrumentation). Relatar dados de GPO e RSoP. Pesquisar GPOs. Antes de haver o Gerenciamento de Diretiva de Grupo, voc gerenciava a diretiva de grupo usando diversa ferramentas baseadas no Windows, como Active Directory User and Computers, Active Directory Sites and Services e Resultant set os Policy (RSoP). O Gerenciamento de Diretiva de Grupo consolida o gerenciamento de todas as tarefas principais da diretiva de grupo em uma nica ferramenta. Devido ao gerenciamento consolidado, a funcionalidade da diretiva de grupo no mais necessria nessas outras ferramentas. Aps instalar o Gerenciamento de Diretiva de Grupo, voc continua a usar as ferramentas do Active Directory para suas finalidades de gerenciamento de diretrio, como a criao de objetos de usurio, computador e grupo. No entanto, voc pode usar o Gerenciamento de Grupo para executar todas as tarefas relacionas a diretiva de grupo. A funcionalidade da diretiva de grupo deixa de estar disponvel por meio das ferramentas do Active Directory quando o Gerenciamento de Diretivas de Grupo (GPMC) instalado. O Gerenciamento de Diretivas de Grupo no substitui o Editor de Objeto de Diretiva de Grupo. Voc ainda deve editar GPOs usando o Editor de Objeto de Diretiva de Grupo. O Gerenciamento de Diretivas de grupo integra a funcionalidade de edio fornecendo acesso direto ao Editor de Objeto de Diretiva de Grupo.

Como criar uma GPO?

Use os procedimentos a seguir para criar uma nova GPO ou vincular uma GPO existente usando Active Directory Users and Computers (Usurios de Computadores do Active Directory), e para criar uma GPO em um site, domnio, ou unidade organizacional. Procedimento 1. Clique em Iniciar, aponte para ferramentas administrativas e clique em Group Policy Management (Gerenciamento de Diretiva de Grupo). 2. Em Group Policy Management, na rvore de console, expanda a floresta que contm o domnio em que voc deseja criar uma nova GPO, expanda Domains e expanda o domnio. 3. Clique com o boto direito do mouse em Group Policy Objects (Objetos de Diretivas de Grupo) e clique em New (Novo).

1 de 9

29/10/2011 14:41

Console de Gerenciando de Diretiva de Grupo (GPMC)

http://technet.microsoft.com/pt-br/library/cc668491(printer).aspx

4. Na caixa de dilogo New GPO (Novo GPO), digite um nome para o novo objeto de diretiva de grupo e clique em OK.

Todas as GPOs so armazenadas em um recipiente no Active Directory chamado Group Policy Objects. Quando uma GPO usada por um site, domnio ou unidade organizacional, a GPO vinculada ao recipiente Group Policy Objects. Assim, voc pode administrar centralmente e implantar os GPOs para muitos domnios ou unidades organizacionais. Inicio da pagina

Como criar um vnculo (link) de GPO?

Use os procedimentos a seguir para criar e vincular GPOs, vincular GPOs existentes, desvincular uma GPO, excluir em vinculo de GPO, excluir em GPO e desativar uma GPO. Procedimento para criar e vincular uma GPO 1. Em Group Policy Management, na rvore de console,expanda a floresta que contm o domnio em que voc deseja criar uma nova GPO, expanda Domains e execute um destes procedimentos. Para criar uma GPO e vincul-lo a um domnio, clique com o boto direito do mouse no domnio e clique em Create and Link a GPO Here (Crie e vincule um GPO). Para criar uma GPO e vincul-lo a uma unidade organizacional, expanda o domnio que contm a unidade organizacional, clique com o boto direito do mouse na unidade organizacional e clique em Create and Link a GPO here. 2. Na caixa de dialogo New GPO , digite um nome para o novo objeto de diretiva de grupo e clique em OK. Procedimento para vincular uma GPO existente. 1. Em Group Policy Management, na rvore de console, expanda a floresta que contm o domnio em que voc deseja vincular uma GPO existente, expanda Domains (Domnios) e expanda o domnio. 2. Clique com o boto direito do mouse no domnio, site ou unidade organizacional e clique em Link na Existing GPO (vincule um GPO existente).

2 de 9

29/10/2011 14:41

Console de Gerenciando de Diretiva de Grupo (GPMC)

http://technet.microsoft.com/pt-br/library/cc668491(printer).aspx

3. Na caixa de dialogo Select GPO (Selecione o GPO), clique no GPO que voc deseja vincular e clique em OK. Procedimento para desvincular uma GPO. 1. Em Group Policy Management, na arvore de console, expanda a floresta que contm o domnio do qual voc deseja desvincular uma GPO existente, expanda Domains e expanda o domnio. 2. Clique com o boto direito do mouse em uma GPO vinculado e desmarque a opo Link Enabled (Vinculo Ativo). Procedimento para excluir um vinculo de GPO. 1. Em Group Policy Management, na rvore de console, expanda a floresta que contm o domnio e que voc deseja excluir um vinculo de GO existente, expanda Domains e expanda o domnio. 2. Clique com o boto direito do mouse em uma GPO vinculado e clique em Excluir. Isso exclui apenas o vinculo do GPO, e no o GPO. 3. Na caixa de mensagem, clique em OK. Procedimento para excluir uma GPO. 1. Em Group Policy Management, na rvore de console,expanda a floresta que contm o domnio em que voc deseja excluir uma GPO, expanda Domains, expanda o domnio e expanda Group Policy Objects. 2. Clique com o boto direito do mouse na GPO que voc deseja excluir e clique em Excluir. Isso no exclui o vinculo para a GPO de outros domnios. 3. Na caixa de mensagem, clique em OK. Procedimento para desativar uma GPO. 1. Em Group Policy Management, na rvore de console,expanda a floresta que contm o domnio em que voc deseja desativar em GPO, expanda Domains, expanda o domnio e expanda Group Policy Objects. 2. Clique na GPO que voc deseja desativar. 3. No painel de detalhes, na guia Details, na caixa GPO Status (Status do GPO), clique em uma das seguintes opes: All settings disabled ( Todas as Configuraes Desativadas) Computer configuration Settings disabled ( Configuraes do Computador Desativadas) Use configuration settings disabled ( Configuraes do Usurio Desativadas).

3 de 9

29/10/2011 14:41

Console de Gerenciando de Diretiva de Grupo (GPMC)

http://technet.microsoft.com/pt-br/library/cc668491(printer).aspx

Inicio da pagina

Entendendo herana no Active Directory

A ordem em que o Windows Server 2003 aplica as GPOs depende do recipiente do Active Directory ao quais as GPOs esto vinculadas. Os GPOs so aplicados primeiro ao site , depois aos domnios ,e em seguida,s unidades organizacionais nos domnios. As GPOs so cumulativas, o que significa que so herdados. A herana da diretiva de grupo a ordem em que o Windows Server 2003 aplica as GPOs. Em ltima anlise, a ordem em que as GPOs so aplicadas e a maneira como so herdados determinam as configuraes que afetam usurios e computadores, Se houver vrias GPOs definidos com o mesmo valor, por padro a GPO aplicada por ultimo a que prevalece. Tambm pode haver vrias GPOs vinculados aos mesmos recipientes. Por exemplo, pode haver trs GPOs vinculados a um nico domnio. Como a ordem em que as GPOs so aplicadas pode afetar as configuraes de diretiva de grupo resultantes, tambm h uma ordem, ou prioridade de configuraes de diretiva de grupo, de GPOs para cada recipiente. Combinaes complexas de GPO podem criar conflitos, que podem exigir que voc modifique o comportamento de herana padro. Quando configuraes de diretiva de grupo so definidas para a unidade organizacional pai e as unidades organizacionais filho, as configuraes de todas as unidades organizacionais so aplicadas. Se as configuraes forem incompatveis, a unidade organizacional filho mantm sua prpria configurao de diretiva de grupo. Por exemplo, uma configurao de diretiva de grupo para a unidade organizacional que foi aplicada por ultimo ao computador ou usurio substitui a configurao de diretiva de grupo conflitante para um recipiente que est mais elevado na hierarquia do Active Directory. Se a ordem de herana padro no atender s necessidades de sua organizao, voc poder modificar as regras de herana para GPOs especficos. O Windows Server 2003 fornece as duas opes a seguir para alterar a ordem de herana padro. Enforced - No Override (No Substituir) Est opo Enforced definida individualmente em cada vinculo de GPO. Use est opo para impedir que recipientes filho substituam um GPO com configurao de prioridade mais alta. Esta opo til para aplicar GPOs que representam regras comerciais em toda a organizao. Voc pode definir essa opo em um ou mais GPOs, conforme a necessidade. Quando mais de uma GPO definida com Enforced, a GPO e definido como Enforced que prevalece o que estiver mais elevado na hierarquia do Active Directory. Block Policy Inheritance (Bloquear Herana de Diretiva). Est opo Block Policy Inheritance definida em cada recipiente. Use est opo para forar um recipiente filho a bloquear a herana de todos os recipientes pai. Est opo til quando uma unidade organizacioanal exige configuraes de diretiva de grupo exclusivas. Caso haja conflitos, a opo Enforced sempre prevalece sobre a opo Block Policy Inheritance. Procedimento para ativar o Block Policy Inheritance Para ativar Block Policy Inheritance 1. No Group Policy Management , na rvore de console, expanda a floresta em que voc deseja bloquear a herana e execute um dos seguintes procedimentos: Para bloquear a herana dos vnculos de GPO para uma unidade organizacional, expanda Domains e clique com o boto direito do mouse no domnio. Para bloquear a herana dos vnculos de GPO para uma unidade organizacional e clique nela com o boto direito do mouse. 2. Clique em Block Inheritance. Procedimento para ativar o Enforced Para ativar Enforced 1. No Group Policy Management, na rvore de console, expanda a floresta com o vinculo para qual voc deseja configurar a aplicao e execute um dos seguintes procedimentos: Para configurar a aplicao de um vnculo de GPO a um domnio, expanda Domains e expanda o domnio que contem o vnculo de GPO. Para configurar a aplicao de um vnculo de GPO a uma unidade organizacional, expanda Domains, expanda a unidade organizacional, que pode incluir qualquer unidade organizacional pai ou filho que contenha o vnculo de GPO. Para configurar a aplicao para um vnculo de GPO a um site, expanda Sites e expanda o site que contm

4 de 9

29/10/2011 14:41

Console de Gerenciando de Diretiva de Grupo (GPMC)

http://technet.microsoft.com/pt-br/library/cc668491(printer).aspx

o vnculo de GPO. 2. Clique com o boto direito do mouse no vnculo de GPO e clique em Enforced para ativar ou desativar a aplicao.

Inicio da pagina

Entendendo Filtro de GPO

Voc pode filtrar a implantao de uma GPO configurando permisses no vnculo de GPO para determinar o acesso da permisso de leitura ou negao na GPO. Para que as configuraes de diretiva de grupo sejam aplicadas a uma conta de usurio ou computador, a conta deve ser pelo menos permisso de leitura para uma GPO. As permisses padro para uma nova GPO tm as seguintes entradas de controle de acesso (ACEs, access control entries):

5 de 9

29/10/2011 14:41

Console de Gerenciando de Diretiva de Grupo (GPMC)

http://technet.microsoft.com/pt-br/library/cc668491(printer).aspx

Usurios Autenticados - permitir leitura e permitir aplicao da diretiva de grupo. Admins. do Domnio, Administrao de Empresa e SYSTEM - Permitir leitura, permitir gravao, permitir criao de todos os objetos filho, permitir excluso de todos os objetos filhos. Voc pode usar os seguintes mtodos de filtragem: Explicitly Deny (Negar Explicitamente) Este mtodo usado ao se negar diretiva de grupo. Por exemplo, voc pode negar permisses explicitamente ao grupo de segurana de administradores, o que impede os administradores na unidade organizacional de receber as configuraes de GPO. Remove Authenticated Users (Remover Usurios Autenticados) Voc pode omitir os administradores da unidade organizacional do grupo de segurana, o que significa que eles no tem permisses explicita para o GPO. WMI Filtering (Filtragem de WMI, Windows Management Instrumentation). Procedimento para configurar filtro de GPO. Para filtrar o escopo de um GPO usando grupos de segurana: 1. No Group Policy Management, na rvore de console, expanda a floresta e o domnio com a GPO, expanda Group Polivy Objects e clique no GPO. 2. No painel de detalhes, na guia Scope (Escope), Clique em Add (Adcionar) 3. Na caixa de dialogo Selecione Usurios,Computador ou Grupo, na caixa Digite o Nome do Objeto a Ser Selecionado, digite o nome do objeto de segurana e clique em OK. 4. Na guia Delegation (Delegao), clique em Advanced (Avanado). 5. Na caixa de dilogo Security Settings, defina as seguintes configuraes de segurana avanada. Para o objeto de segurana, defina a permisso Aplicar Diretiva de Grupo como Negar. Inicio da pagina

Entendendo Relatrio de Diretiva de Grupo

Um administrador de sistema pode fazer centenas de alteraes em uma GPO. Para verificar que alteraes foram feitas em uma GPO sem ter que abrir a GPO e expandir todas as pastas, voc pode gerar um relatrio em HTML (Hypertext Markup Language), listando os itens da GPO que foram configurados. A guia Settings do painel de detalhes de um Gpo, ou vnculo de GPO, no Gerenciamento de Diretivas de Grupo, Exibe um relatrio em HTML que apresenta todas as configuraes definidas no GPO. Qualquer usurio com accesso de leitura a GPO poder gerar esse relatrio ou salva-los como HTML ou XML (Extensible Markup Language). Procedimento para utilizar Relatrios de Diretiva de Grupo. Para usar o Relatrio de Diretiva de grupo: No Group Policy Management, na rvore do console,clique no GPO que desejar analisar com um relatrio. Voc dever expandir a floresta, o domnio e o nome de domnio para localizar o GPO para o qual deseja gerar um relatrio. No painel de detalhes, clique na guia Settings (Configuraes). Inicio da pagina

Entendendo Modelagem de Diretiva de Grupo

O Windows Server 2003 permite que voc simule a implantao de uma GPO aplicado a usurios e computadores, antes de realmente aplicar a GPO. A simulao cria um relatrio que considera a unidade organizacional do usurio, a unidade organizacional do computador e qualquer participao em grupos ou filtragem de WMI. Tambm leva em conta quaisquer problemas ou conflitos de herana de diretiva de grupo. Se voc quiser usar a modelagem de diretiva de grupo, dever haver um controlador de domnio do Windows Server 2003 na floresta. Isso ocorre porque a simulao efetuada por um servio que somente est presente nos controladores de domnio do Windows Server 2003. Para efetuar uma consulta de Modelagem de Diretiva de Grupo, o usurio utiliza o Assistente de Modelagem de Diretiva de Grupo. Depois que o usurio concluir o Assistente de Modelagem de Diretiva de Grupo, ser exibido um

6 de 9

29/10/2011 14:41

Console de Gerenciando de Diretiva de Grupo (GPMC)

http://technet.microsoft.com/pt-br/library/cc668491(printer).aspx

novo n na rvore do console do Group Policy Management, em Group Policy Modeling ( Modelagem de diretiva de Grupo), para exibir os resultados. A guia Contents (ndice) do painel de detalhes de Modelagem da diretiva de grupo exibe um resumo de todas as consultas de Modelagem de diretiva de grupo efetuadas pelo usurio. Para cada consulta, o Group Policy Management exibe os seguintes dados: Name - O nome fornecido pelo usurio para os resultados da modelagem. User - Objeto de usurio( ou a unidade organizacional em que se encontra o objeto de usurio) no qual a consulta de modelagem se baseou. Computer - objeto de computador( ou unidade organizacional em que se encontra o objeto de computador) no qual a consulta de modelagem se baseou. Last Refresh Date - O horrio da ltima atualizao da consulta de modelagem. Para cada consulta, o painel de detalhes do n contm as trs guias a seguir: Summary - Contm um relatrio em HTML com informaes resumidas, incluindo a lista dos GPOs, participao em grupo de segurana e filtros WMI. Settings - Contm um relatrio HTML comas configuraes de diretivas que foram aplicadas nessa simulao. Query - Lista os parmetros que foram usados para gerar a consulta. Procedimento para utilizar modelagem de diretiva de grupo: Para usar a Modelagem de diretiva de grupo: 1. Em Group Policy Management, na rvore do console, clique duas vezes na floresta em que voc deseja criar um consulta de Modelagem de diretiva de grupo, clique com o boto direito do mouse sobre Group Policy Modeling e, em seguida, clique em Group Policy Modeling Wizard (Assistente para Modelagem de diretiva de grupo). 2. No assistente de Modelagem de diretiva de grupo, clique em Avanar e digite as seguintes informaes: Se quiser modelar qual ser o efeito de um novo GPO em um usurio ou computador, digite o nome do recipiente do usurio ou computador. Se quiser modelar qual ser o efeito de uma nova GPO numa determinada conta de usurio ou computador que ser migrada para outra unidade organizacional, digite o nome do usurio ou computador. O assistente ento solicitar o destino desse usurio ou computador. 3. Ao terminar, clique em Concluir. Inicio da pagina

Entendendo Resultados de Diretiva de Grupo

Os dados apresentados nos Resultados de diretiva de grupo so iguais aos da Modelagem de diretiva de grupo. Contudo, ao contrrio dos dados da Modelagem de diretiva de grupo, esses dados no constituem uma simulao. So os dados RSoP (Resultant Set of Policy ou Conjunto de Diretivas Resultante) verdadeiros obtidos do computador de destino. Por padro, esse acesso concedido a todos os usurios do Microsoft Windows XP, mas no no Windows Server 2003. Ao contrario da Modelagem de diretiva de grupo, os dados dos Resultados da diretiva de grupo so obtidos do cliente e no so simulados no controlador de domins. Tecnicamente, um controlador de domnio do Windows Server 2003 no precisa estar na floresta se voc quiser ter acesso aos Resultados de diretiva de grupo. Contudo, o cliente dever estar executando o Windows XP ou o Windows Server 2003. No possvel obter dados dos Resultados de Diretiva de Grupo de um cliente que estiver executando o Windows 2000. Por padro, somente usurios com privilgios de administrador no computador de destino podero acessar remotamente os dados dos Resultados de diretiva de grupo, Para reunis esses dados, o usurio que estiver fazendo a consulta dever ter acesso para exibir remotamente o log de eventos. Cada consulta dos Resultados de diretiva de grupo representada por um n sob recipiente de Resultados de Diretiva de Grupo, na arvora de console do Group Policy Management, em Group Policy Results. O painel de detalhes de cada n contm as trs guias a seguir: Summary: Contm um relatrio em HTML com informaes resumidas, incluindo alista dos GPOs, participao em grupo de segurana e filtros WMI. Settings: Contm um relatrio HTML com as configuraes de diretivas que foram aplicadas. Policy Events: (Eventos de Diretiva) Exibe todos os eventos relacionados com diretivas do computador de destino.

7 de 9

29/10/2011 14:41

Console de Gerenciando de Diretiva de Grupo (GPMC)

http://technet.microsoft.com/pt-br/library/cc668491(printer).aspx

Procedimento para utilizar resultados de diretiva de grupo: 1. Em Group Policy Management, na rvore de console, clique duas vezes na floresta em que voc deseja criar uma consulta de Resultados de diretiva de grupo, clique com o boto direito do mouse sobre Group Policy Results e em seguida, clique em Group Policy Results Wizard. 2. No assistente de Resultados de diretiva de grupo, clique em Avanar e digite as informaes apropriadas. 3. pos completar o assistente, clique em Concluir. Inicio da pagina

Entendendo Ferramentas de Linha de Comando

GPUPDATE - uma ferramenta de linha de comando que atualiza as configuraes locais de diretiva de grupo e as configuraes de diretiva de grupo armazenadas no Active Directory, incluindo as configuraes de segurana. Por Padro, as configuraes de segurana so atualizadas a cada 90 minutos, em uma estao de trabalho ou em um servidor, e a cada cinco minutos em um controlador de domnio. Voc pode executar o gpupdate para testar ou forar uma configurao de Diretiva de Grupo. Os exemplos apresentados a seguir mostram a utilizao do comando gpupdate: C:\gpupdate C:\gpupdate /target:computer C:\gpupdate /force /wait:100 C:\gpupdate /boot O gpupdate possui os seguintes parmetros: /Target:{computer|User} - Especifica que sero atualizadas configuraes de diretivas somente de usurio ou de computador. /Force - Replica todas as configuraes de diretivas /Wait:{Valor} - Define o nmero de segundos de espera at que o processamento de diretiva seja concludo. O Valor padro de 600 segundos. /Logoff - Causa um logoff aps a atualizao das configuraes de diretiva de grupo. /Boot - Faz com que o computador seja reinicializado aps a atualizao da diretiva de grupo. /Sync - Faz com que as prximas configuraes de diretivas em primeiro plano sejam aplicadas de maneira sincronizada. GPRESULT - uma ferramenta de linha de comando que exibe o conjunto resultante de diretivas (RSoP, Resultant Set of Policy) aplicadas ao computador do usurio especificado no logon. Voc pode usar o gpesult para ver que configuraes de diretiva esto em efeito e para resolver problemas. Os exemplos apresentados a seguir mostram a utilizao do comando gpresult: C:\gpresult /user targetusername /scope computer C:\gpresult /s srvmain /u maindom\hiropln /p p@ssW23 /user targetusername /scope USER C:\gpresult /s srvmain /u maindom\hiropln /p p@ssW23 /user targetusername /z>policy.txt C:\gpresult /s srvmain /u maindom\hiropln /p p@ssW23 O gpresult possui os seguintes parmetros: /s computador - especifica o nome ou o endereo IP de um computador remoto. /u Domnio\Usurio - Executa o comando com as permisses de conta do usurio que forem especificadas por Usurio ou Domnio\Usurio. /p Senha - Especifica a senha da conta de usurio especificada no parmetro /u. /user NomeDoUsurioDestino - Especifica o nome de usurio cujos dados do RsoP devero ser exibidos. /scope {user|computer} - Exibe as configuraes de diretivas de usurio ou computador. /v - Especifica que a sada exibir informaes detalhadas sobre diretivas. /z - Especifica que a sada exibir todas as informaes disponveis sobre a diretiva de grupo.

8 de 9

29/10/2011 14:41

Console de Gerenciando de Diretiva de Grupo (GPMC)

http://technet.microsoft.com/pt-br/library/cc668491(printer).aspx

/? - Exibe ajuda na janela do prompt de comando. Links Relacionados: http://www.microsoft.com/windowsserver2003/gpmc/gpmcintro.mspx1 http://www.microsoft.com/windowsserver2003/gpmc/default.mspx2 Download: http://www.microsoft.com/downloads/details.aspx?FamilyId=0A6D4C24-8CBD-4B35-9272-DD3CBFC81887& displaylang=en3 Abraos!!! Vidal Inicio da pagina

Tabela de Ligaes
1 2 3

http://www.microsoft.com/windowsserver2003/gpmc/gpmcintro.mspx http://www.microsoft.com/windowsserver2003/gpmc/default.mspx

http://www.microsoft.com/downloads/details.aspx?FamilyId=0A6D4C24-8CBD-4B35-9272-DD3CBFC81887& displaylang=en

Contedo da Comunidade
2011 Microsoft. Todos os direitos reservados.

9 de 9

29/10/2011 14:41