Habilitar el modo Internet Explorer en Edge mediante GPO

 Bienvenidos a 2022. Todo Internet está plagado de webs compatibles con Webkit. ¿Todo? ¡No! Unas webs diseñadas con compatibilidad para IE6 resiste, todavía y siempre, al invasor. Y la vida no es fácil para los desarrolladores que trabajan con Chrome, Firefox, Brave, e incluso Edge.

Y esto es un serio problema para esas webs, puesto que Internet Explorer ha dejado, por fin, de recibir soporte el 15 de Junio de 2022. Por suerte, Microsoft deja un "Modo Internet Explorer" en su navegador Edge para soportar estas antiguas webs. Este modo sustituye a la aplicación Internet Explorer 11 de forma oficial, y tiene soporte por lo menos hasta 2029, siguiendo el ciclo de vida de los sistemas operativos de Microsoft. Y aun así, en 2028, irá comunicando el fin del soporte de este modo, con un año de antelación.

Microsoft nos deja esta Guia de Introduccion para el cambio, aunque realmente debería llamarse guía de configuración, puesto que nos informa de todos los pasos a realizar en nuestros sistemas para que no impacte al usuario.

Pero para resumiros la lectura del manual, aunque aconsejo encarecidamente que le echéis un ojo, las buenas practicas de Microsoft recomiendan una re-dirección de las paginas web de IE a Edge en modo compatibilidad IE, via GPO. Para ello, los pasos a seguir son los siguientes:

• Descargar la ultima versión de los .admx de Microsoft Edge. Los podéis encontrar AQUI.
• Abrimos la GPO donde queramos realizar el cambio, o creáis una nueva, a vuestras necesidades (de nuevo, las buenas practicas indican que cuantas menos GPOs al inicio, mejor) y vamos a User o Computer configuration > Administrative templates > Microsoft Edge.

• Tendremos un parámetro con el nombre Configure Internet Explorer Integration, que marcaremos en Enabled. 

Eso nos desbloquea un cuadro de opciones:

1. Internet Explorer 11: Es la opción de modo de compatibilidad, y la que deberemos escoger si queremos seguir abriendo paginas web desarrolladas para Internet Explorer
2. Internet Explorer Mode: Aunque esta opción esté en la GPO de Edge, lo que hace es enviaros a Internet Explorer, ¡que precisamente ha dejado de funcionar, para esto es este post!
3. None: Si quieres impedir que los usuarios puedan configurar el modo IE a traves de Edge, podemos fijarlo en None.

Si dejas la política en Disabled, implica que el modo IE está deshabilitado.

Con esto, dejamos configurado Edge. Ahora vamos con IE, a deshabilitarlo del todo ya que pasa a ser un problema de seguridad. Para ello, seguimos los siguientes pasos:

• Lo primero de todo, nos aseguramos de tener igualmente el ultimo ADMX disponible para Internet Explorer. Puede descargarse de AQUI. Este paquete es bastante completo, así que recomiendo instalarlo con cuidado, porque lleva un pack bastante extenso de archivos admx, de manera que mejor extraerlo en un sitio seguro, ya que para IE, solo necesitaremos reemplazar los archivos inetres.admx y los inetres.adml de los idiomas que tengamos, en las rutas de las GPOs.
• Bien, una vez tenemos las ultimas plantillas de políticas, editamos nuestra GPO, como anteriormente, pero esta vez nos dirigimos a Computer configuration > Administrative templates > Windows Components > Internet Explorer.
• Aqui podemos ver que tenemos la opción "disable Internet Explorer as Standalone browser". Hacemos doble click sobre ella, y marcamos "enable"

Como pasaba con Edge, tenemos 3 opciones distintas, pero esta vez para notificar al usuario del comportamiento de Internet Explorer:

1. Never, para no notificar a los usuarios que está deshabilitado. Es lo ideal en nuestro caso, porque deberan ser redirigidos a Edge.
2. Always, si quieres notificarlos siempre de la redireccion.
3. One per user, que lo que hace es notificarles solo la primera vez que se produce esta redirección.

Recomiendo marcar "never"

Técnicamente, estos son los pasos para realizar esta redireccion de forma automática. Pero queda notificar convenientemente a los usuarios, pues son muchos años de uso de IE, y en muchos casos por necesidad, debido a aplicaciones web que sólo funcionan con este navegador.

¡Espero que os sirva de ayuda! Si te ha gustado el articulo, puedes invitarme a un café  ;)

Configuracion del proceso de bucle invertido (loopback processing mode) de las GPOs

 Un punto delicado de entender en las GPOs es, ademas de las herencias de políticas y la jerarquía de aplicación, es la opción de proceso de bucle invertido, o loopback processing mode, que ademas se encuentra "escondida", sobre todo si la comparamos con los permisos y jerarquías de aplicación, más accesibles.

Este parámetro de las GPOs lo encuentras en Computer Configuration/Administrative Templates/System/Group Policy/Configure user Group Policy loopback processing mode.

Para entender la importancia del loopback processing mode hay que entender cómo funciona una GPO para una computadora y un usuario, y para ello partimos de lo basico: una GPO se compone de dos partes, usuario y computadora. La parte "computer" de la GPO se aplica a la computadora, a pesar del usuario conectado, y la parte usuario de la GPO, al usuario, a pesar de la computadora a la que se conecte.

Tomemos como ejemplo un dominio con un par de OUs, a las que llamamos Blue y Brown. En Blue tenemos un equipo con la GPO1, y en Brown metemos un usuario con la GPO2. 

Tal y como está, el equipo aplica la parte de computer de la GPO1 de la OU Blue, y el usuario recibe la parte de User de la GPO2 de la OU Brown. Asi que si el usuario de la OU Brown hiciera login en el equipo de la OU Blue, normalmente se aplicarian las GPOs de la siguiente manera:

Como vemos en el dibujo, el usuario aplica su configuración de GPO de usuario de la OU en la que se encuentra, y en la maquina se aplica la configuración de la GPO de computer de la GPO de su OU. Esto es una situación en la que no se aplica el loopback processing mode.

Pongamos que habilitamos el loopback processing mode. Tenemos dos formas de aplicarlo, en "merge" o "replace" Supongamos que aplicamos la opcion "replace" para la GPO1, la que aplica la computadora. Obtendríamos este resultado:

Como se ve en el dibujo, la GPO1 de la OU Blue prevalece para user, en lugar de ser reemplazada por la GPO2, que traería el usuario. 

Ahora pongamos que activamos el loopback mode en modo Merge. Esto, lo que hace es combinar las GPOs de usuario, aplicando ambas simultáneamente:

Eso si, en caso de conflicto, la GPO predominante seria la GPO1 sobre la 2.

La utilidad del loopback processing mode se aplica, mas que a entornos de OUs de usuarios, a OUs de servidores o similares, donde si un usuario tiene permisos para hacer login, seguramente no interese que pueda acceder desde ahí a determinados recursos como carpetas de red que pueda tener habilitadas por OU, mas que nada por motivos de seguridad. Igualmente puede ser útil para OUs donde se encuentren equipos con función de terminales de servicio.

Si te ha gustado el articulo, puedes invitarme a un café ;)

Copiar archivos con GPO

En este post vimos cómo ejecutar un archivo al inicio del equipo via GPO, y explicaba cómo generar también una nueva GPO para el proceso, así que no me volveré a repetir con ese punto. Suponiendo que queremos copiar archivos al equipo, y para ello hemos creado una GPO aparte, vamos con el proceso de edición de la misma para copiar esos archivos.

Una vez tenemos la GPO abierta, debemos ir a Computer configuration / Preferences / Windows Settings / Files, y ahí pulsamos botón derecho, y seleccionamos “New”.

En la pestaña general tenemos dos campos, “Source file(s)”, que es el archivo a copiar, y “Destination File”, que es la ubicación final del archivo, allí donde quieres desplegarlos en las maquinas a las que aplica la GPO

El source file, al igual que en el articulo antes mencionado, recomiendo meterlo en la misma GPO que lo despliega, \\FQDN\sysvol\FQDN\Policies\Unique ID\Machine\Scripts\Startup. 

El Unique ID de la GPO lo puedes ver en la pestaña “details” de la GPO.

Como ejemplo, la ruta será así:

\\Aplicaciones.com\SysVol\Aplicaciones.com\Policies\{397057D8-505B-4CFB-92D6-B89AF9A0E6A6}\Machine\Scripts\Startup

Importante: en la pestaña Source Files indicamos el nombre del archivo a copiar, pero en la pestaña "Destination File" podemos modificar el nombre del archivo. Por ejemplo, queremos copiar un archivo con el nombre miarchivo.jpg, pero en los equipos se copiará con el nombre "configure_win.txt"

Otro punto importante: en la pestaña "common" podemos marcar la opción de "item level targeting" para hacer que este archivo sólo se copie a los equipos que cumplan los requisitos indicados. Es decir, podemos hacer que la GPO aplique a todos los equipos de una OU, pero luego podemos limitar su ejecución con, por ejemplo, pertenencia a grupos de seguridad.

También podríamos crear una carpeta a la que copiar el archivo. Por ejemplo, en la segunda captura del post indico la ruta %systemdrive%\scripts2, pero para que se copie ahí, debe existir dicha carpeta y tener permisos en ella. Esto lo podemos hacer en la misma GPO, en Computer configuration / Preferences / Windows Settings / Folders

Igualmente que con el script podemos condicionar la aplicación de la creación de la carpeta según necesidades.

Junto con la creación de la carpeta, podemos asignar permisos específicos a la misma. Esto lo podemos hacer desde Computer configuration / Policies / Windows Settings / Security settings / File System:

Como vemos en la imagen superior permite modificar la seguridad como en cualquier carpeta de Windows, e igualmente habilitar herencia de permisos si fuera necesario.

Es posible que donde quieras copiar el archivo ya exista la carpeta, pero en cambio puedan faltar permisos de acceso a la misma, en ese caso no seria necesario el paso de creación de carpeta, pero sí resultaría útil este ultimo de modificación de permisos via GPO.

Si te ha gustado el articulo, puedes invitarme a un café ;)

Ejecutar un script al inicio desde GPO

Vamos a ver los pasos a seguir para la creación de una GPO que nos permita la ejecución de un script de PowerShell al inicio del equipo, super útil, puesto que te permitirá ejecutar dicho script en todos los equipos pertenecientes a la OU donde enlaces la GPO, y realizar cambios en un único punto, que se desplegará prácticamente en cada inicio de sesión. Para ello, vamos dividir el proceso en 2 partes.

Creación de la GPO

Debemos abrir la consola de Group Polily Management desde un Servidor unido a dominio y con acceso a la dicha consola.

Una vez dentro de la consola, vamos a la sección “group policy objects” y pulsamos en “new”

En el objeto que aparece de creación de GPOs ponemos el nombre que deseemos, preferiblemente sin espacios:

En source Starter GPO, lo dejamos en (none) puesto que no es recomendable enlazar una gpo sobre la que vamos a trabajar a una OU Una vez pulsamos OK, se genera una nueva GPO vacía con el nombre que hemos designado. Si expandimos la carpeta Group Policy Objects, podremos localizar la GPO recién creada. Pulsamos sobre ella con el botón derecho, y damos a “editar” para empezar a trabajar.

Edición de la GPO

Una vez tenemos la GPO abierta, debemos ir a Computer Configuration / Policies / Windows Settings / Scripts (startup / shutdown) y hacemos doble click en Startup, en el cuadro de la derecha del menú en árbol, lo que hará que se muestre el cuadro que se puede ver en la imagen a continuación (Startup properties):

Este cuadro se compone de dos pestañas. En la primera se ejecutan scripts de CMD, y en la segunda pestaña, Scripts de PowerShell (este cuadro sólo aparece a partir de Windows Server 2012). Nos vamos a esta pestaña, y pulsamos Add, para agregar un script.

 
Por buenas practicas, el script a agregar debería alojarse en la carpeta de scripts de la misma GPO que queremos editar. La ruta será la siguiente: \\FQDN\sysvol\FQDN\Policies\Unique ID\Machine\Scripts\Startup El Unique ID de la GPO lo puedes ver en la pestaña “details” de la GPO.

Como ejemplo, la ruta será así:

\\Aplicaciones.com\SysVol\Aplicaciones.com\Policies\{397057D8-505B-4CFB-92D6-B89AF9A0E6A6}\Machine\Scripts\Startup

Una vez indicada la ruta, en la pestaña del script de PowerShell, marcamos en el menú desplegable “Run Windows PowerShell Scripts First.

Si se necesita que el script ejecute en el perfil de usuario, varía la ruta donde debe almacenarse el script en la GPO, apuntando a User. Seria así:

\\FQDN\sysvol\FQDN\Policies\Unique ID\User\Scripts\Startup

Si el script parece que no ejecuta, pero aplica a los 5 minutos del inicio de maquina, puede ser una opción de GPO, que se modifica en "computer configuration / administrative templates / system / Group Policy, y ahí nos vamos a "Configure logon script delay". Por defecto, los scripts se toman 5 minutos de tiempo antes de su ejecución, de manera que debemos poner la opción en "enable" con tiempo 0.

Click para agrandar

Tengo que sacar tiempo para hacer una entrada con conceptos básicos del usos de las GPOs, que seguro puede ser de utilidad.

Y bueno, ¡Espero que os sirva de ayuda! Si te ha gustado el articulo, puedes invitarme a un café ;)

Cómo dar permisos al registro vía GPO

 Seguro que todos nos hemos encontrado con esas aplicaciones que requieren permisos de administrador sobre el equipo para funcionar, como pueden ser, por poner un ejemplo, Contaplus, o similares. Si tenemos puesto el foco en la seguridad, lo de andar dando permisos de administrador en las maquinas a los usuarios es una locura, de manera que lo correcto es determinar dónde requieren dichas aplicaciones esos permisos, y concederlos sólo allí donde se necesiten. Por desgracia, esto nos obliga en algunas situaciones a facilitarlos en claves concretas de registro.

Puestos a modificar claves de registro a usuarios específicos por necesidades de aplicación, lo suyo es tener a dichos usuarios dentro de un mismo grupo de seguridad, y dar estos permisos al grupo. Esto simplifica sobre todo la gestión cuando se produce rotación de personal. Pero al grano: vamos a ver cómo dar permisos a un grupo de seguridad especifico vía GPO.

Para ello, abrimos la consola de administración de directivas de grupo, y editamos la GPO que proceda. En este caso, vamos a modificar una clave de HKLM, de manera que tocaremos en la parte de máquina de la gpo:

Como se ve en la imagen, debemos ir a la parte de configuración del equipo / directivas / configuración de Windows / configuración de seguridad / Registro. Aquí pulsamos botón derecho / agregar clave, y generamos la clave que queramos para modificar permisos. Por ejemplo... supongamos que quiero dar permisos a HKLM\Software\Microsoft\EnterpriseCertificates. Pues generamos el registro de la siguiente manera:

Segun damos a aceptar, llegamos a la pantalla de permisos. Es el momento de agregar el grupo de seguridad que queramos que tenga permisos sobre esta clave de registro, y su nivel de permisos:

Aplicamos y aceptamos, y nos preguntará cómo deben propagarse los permisos, si es que deben propagarse:

Con esto, tenemos la clave generada, y con la propagación necesaria, si corresponde. 

¡Espero que os sea de utilidad! Si te ha gustado el articulo, puedes invitarme a un café  ;)