Pré-Requisitos: Conhecimento básico sobre Group Policy.
Metodologia: Apresentação das ferramentas disponíveis.
Técnica: Exemplo práticos, passo-a-passo.

Neste tópico apresentarei duas importantes ferramentas para o gerenciamento das GPOs:

• O console Group Policy Management Console – GPMC
• Comandos para o gerenciamento das GPOs.

O console Group Policy Management.

Este console não foi fornecido diretamente com o w3k. Ele foi disponibilizado para Download no site da Microsoft, após o lançamento do Windows Server 2003. O endereço para Download e para a documentação deste console é o seguinte:

http://www.microsoft.com/windowsserver2003/gpmc/gpmcintro.mspx

O Group Police Management Console, mais conhecido como GPMC é uma nova ferramenta. O GPMC é uma espécie de Painel de Controle para o gerenciamento de Group Policy em toda a rede da empresa. Não existe ferramenta similar no Windows 2000 Server.

No endereço indicado anteriormente, você fará download do arquivo gpmc.msi. Após o download basta dar um clique duplo neste arquivo e seguir os passos do assistente de instalação. Pronto, o GPMC está instalado e disponível para uso. Concluída a instalação, será criado um atalho para o GPMC, no seguinte caminho:

Start -> Administrative Tools -> Group Policy Management (Iniciar -> Ferramentas administrativas -> Group Policy Management).

Abra o console GPMC, usando o caminho indicado anteriormente. A primeira vez que o console é aberto é exibida a árvore a qual pertence o servidor no qual o GPMC foi aberto, conforme indicado na Figura 18.71:

Figura 18.71 O console GPMC.

Clique no sinal de + ao lado do nome da floresta. Serão exibidas diversas opções, que são justamente as opções onde podem ser aplicadas GPOs: Domains, Sites). Dentro de Domains serão exibidas as unidades organizacionais, conforme mostrarei logo a seguir.

Clique no sinal de + ao lado da opção Domains. Serão exibidos os domínios disponíveis. Clique no sinal de + ao lado do nome de um domínio. Serão exibidas as polices aplicadas a nível de domínio e o nome de todas as unidades organizacionais para as quais existem GPOs vinculadas, conforme exemplo da Figura 18.72:

Figura 18.72 As GPOs aplicadas ao domínio.

Você pode clicar na guia Group Policy Inheritance, no painel da direita, para exibir como está configurado o mecanismo de herança entre as GPOs e qual a ordem de precedência. Nesta guia também são exibidas informações sobre os filtros WMI aplicados a cada GPO.

Na guia Delegation são exibidas informações sobre quais grupos e usuários tem permissões para gerenciar GPOs no nível selecionado no painel da esquerda. Por exemplo, se estiver selecionado um domínio, esta guia exibe quais grupos/usuários tem permissão para gerenciar as GPOs no domínio.

Clique em uma das OUs exibidas abaixo do domínio selecionado. Serão exibidas as informações sobre as GPOs aplicadas a OU selecionada, com as mesmas guias disponíveis de quando você selecionou o domínio. Clique com o botão direito do mouse em uma das GPOs do painel da direita e, no menu de opções que é exibido, clique em Edit. Pronto, a GPO será aberta no console Group Policy Editor e poderá ser alterada.

A partir da opção Group Policy Modeling, você pode executar um assistente que ajudará a projetar o modelo de GPOs a ser implementado. Este assistente é realmente de grande ajuda. A partir da opção Group Policy Results, você pode executar os assistentes do recurso RSoP, descrito anteriormente.

Enfim, usando o console GPMC você pode gerenciar completamente as GPOs aplicadas a todos os domínios, da floresta de domínios da empresa. Conforme citado anteriormente,  o GPMC é um verdadeiro Painel de Controle das GPOs, a partir do qual o administrador pode configurar, centralizadamente, todas as GPOs aplicadas na rede da empresa.

Comandos para o gerenciamento das GPOs.

Existem alguns comandos relacionados ao gerenciamento de GPOs. Você aprenderá a utilizar os seguintes comandos:

• gpresult
• gpupdate

O comando gpresult.

Este comando é utilizado para exibir o conjunto resultante de polices aplicadas a um usuário ou computador. É semelhante ao uso do RSoP no modo de log.  Se você executar apenas o comando gpresult, sem nenhum parâmetro, serão exibidas uma série de informações sobre as GPOs, conforme exemplo a seguir:

***********************************************************************

Microsoft (R) Windows (R) Operating System Group Policy Result tool v2.0
Copyright (C) Microsoft Corp. 1981-2001

Created On 2/7/2003 at 23:56:50

RSOP data for ABC\Administrator on SRV-WIN2003 : Logging Mode
--------------------------------------------------------------

OS Type:                     Microsoft(R) Windows(R) Server 2003, Enterprise Edition
OS Configuration:            Primary Domain Controller
OS Version:                  5.2.3790
Terminal Server Mode:        Application Server
Site Name:                   Default-First-Site-Name
Roaming Profile:            
Local Profile:               C:\Documents and Settings\Administrator.SRV-WIN2003
Connected over a slow link?: No

COMPUTER SETTINGS
------------------
    CN=SRV-WIN2003,OU=Domain Controllers,DC=abc,DC=com
    Last time Group Policy was applied: 2/7/2003 at 23:53:01
    Group Policy was applied from:      srv-win2003.abc.com
    Group Policy slow link threshold:   500 kbps
    Domain Name:                        ABC
    Domain Type:                        Windows 2000

    Applied Group Policy Objects
    -----------------------------
        Default Domain Controllers Policy
        Default Domain Policy
        Local Group Policy

    The following GPOs were not applied because they were filtered out
    -------------------------------------------------------------------
        Redireciona Pastas Especiais
            Filtering:  Not Applied (Empty)

        Instala Ferramentas Administrativas
            Filtering:  Not Applied (Empty)

    The computer is a part of the following security groups
    -------------------------------------------------------
        BUILTIN\Administrators
        Everyone
        BUILTIN\Pre-Windows 2000 Compatible Access
        BUILTIN\Users
        Windows Authorization Access Group
        NT AUTHORITY\NETWORK
        NT AUTHORITY\Authenticated Users
        This Organization
        SRV-WIN2003$
        Domain Controllers
        NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS

USER SETTINGS
--------------
    CN=Administrator,CN=Users,DC=abc,DC=com
    Last time Group Policy was applied: 2/7/2003 at 23:24:27
    Group Policy was applied from:      srv-win2003.abc.com
    Group Policy slow link threshold:   500 kbps
    Domain Name:                        ABC
    Domain Type:                        Windows 2000
   
    Applied Group Policy Objects
    -----------------------------
        Default Domain Policy
        Instala Ferramentas Administrativas
        Redireciona Pastas Especiais

    The following GPOs were not applied because they were filtered out
    -------------------------------------------------------------------
        Local Group Policy
            Filtering:  Not Applied (Empty)

    The user is a part of the following security groups
    ---------------------------------------------------
        Domain Users
        Everyone
        BUILTIN\Administrators
        BUILTIN\Users
        BUILTIN\Pre-Windows 2000 Compatible Access
        NT AUTHORITY\INTERACTIVE
        NT AUTHORITY\Authenticated Users
        This Organization
        LOCAL
        Domain Admins
        Group Policy Creator Owners
        Schema Admins
        Enterprise Admins
        Diretoria
       
*****************************************************************************

Você pode usar este comando para obter apenas informações sobre o conjunto de polices resultante para um usuário específico. O exemplo a seguir, obtém informações sobre o conjunto de polices aplicado ao usuário Administrator:

gpresult /user Administrator

Você pode limitar o escopo do comando gpresult. O exemplo a seguir exibe informações somente para as configurações aplicadas na opção Computer Configuration, ou seja, as configurações  resultantes para o computador no qual o usuário Administrator está logado:

gpresult /user Administrator /scope computer

O comando gpupdate.

Este comando é utilizado para fazer com que as polices sejam atualizadas imediatamente, sem esperar o intervalo padrão de atualização definido pela GPO.

Você pode executar o comando gpupdate sem parâmetros. Neste caso serão atualizadas as polices do computador onde o comando foi executado, tanto as polices de usuário quanto as polices de computador, conforme exemplo de execução a seguir:

**********************************************************************
C:\>gpupdate
Refreshing Policy...

User Policy Refresh has completed.
Computer Policy Refresh has completed.

To check for errors in policy processing, review the event log.

************************************************************************

Você pode utilizar a opção /boot, para fazer com que o computador seja reinicializado, após a atualização das polices, conforme exemplo a seguir:

gpupdate /boot

Você também pode fazer com que sejam atualizadas apenas as polices de computador ou apenas as polices de usuário, conforme exemplos a seguir:

gpupdate /target:computer
gpupdate /target:user

A opção /logoff faz com que seja feito o logoff do usuário atual, após a atualização das polices, conforme exemplo a seguir:

gpupdate /logoff