GPOs de usuario no se aplican desde las últimas actualizaciones de servidores

Hola.

En concreto, seguro que estáis teniendo problemas en cuanto la aplicación de GPOs desde Junio, mes en el que se aplicó la actualización: MS16-072.

Problema

El problema, aunque es mas bien un cambio decidido en MSFT, afecta a GPOs en las que se ha eliminado el grupo "Usuarios autenticados" buscando que la GPO solo aplique a un grupo de usuarios concreto. Algo comunmente utilizado en las empresas para la distribución de configuraciones específicas, unidades de red, impresoras, etc.

Si no tenéis la configuración que aparece en la siguiente captura  y habéis añadido un grupo de usuarios en sustitución a Authenticated Users, podemos asegurar que vuestras GPOS no se están aplicando.

¿Cómo identificar y encontrar GPOs que no se están aplicando?

Análisis posible 1

Podéis utilizar el típico gpresult /h new-report.html y ver qué GPOs devuelven un “Reason Denied: Inaccessible, Empty or Disabled”

Análisis posible 2

También podéis usar el script: https://gallery.technet.microsoft.com/Powershell-script-to-cc281476

para tener una lista de GPOs ilegibles por los usuarios.

Solución 1

Como solución y aunque tengáis a un grupo concreto con permiso de "Read" y permiso de "Apply group Policy" pasa por añadir también al grupo "Authenticated Users" solo con permiso de "Read". Esto permitirá que la aplicación de la GPO seguirá siendo selectiva y única para el grupo concreto y no se aplicará a todos los usuarios del dominio.

Solución 2 (La mas aconsejada).

Para solucionar esta incidencia, debes añadir el grupo "Domain Computers" con permiso de "Read".  Por distintas razones, esta solución es la mas aconsejada.

Fuente:
https://support.microsoft.com/en-us/kb/3163622

Event id 20 - Borrado de actualizaciones durante el reinicio.

Hola.

Un par de servidores míos me han estado dando problemas al ser reiniciados. Estos tomaban mucho tiempo ya que encontraban gran número de updates que no se terminaban de instalar bien y por ello, estas eran desinstaladas en cada reinicio.

El error en el servidor es claro y llegamos a el al echarlo en falta durante bastante tiempo tras el reinicio.

En el Event log, tenemos errores de este tipo:

EVENT # 11791

EVENT LOG System

EVENT TYPE Error

SOURCE Windows Update Agent

CATEGORY Installation

EVENT ID 20

COMPUTERNAME SERVER01

TIME 11/2/2009 12:43:49 AM

MESSAGE Installation Failure: Windows failed to install the following update with error 0x3173427….

De tenerlos, tomaremos nota del o de los KB problemáticos.

Tras ello, abriremos un CMS como Administrador

Lanzaremos el comando: dism /online /get-packages, quien nos mostrará los KB instalados en nuestro equipo.

Borraremos los KB problemáticos con el comando: dism /online /remove-package /packagename:  y el número del paquete.

Por ejemplo:

Saludos.

Limitar la introducción de equipos en un dominio

Hola.

Este es uno de los primeros cambios a realizar cuando creamos un nuevo dominio y aprovechando que he tenido que hacerlo, aquí os lo dejo documentado.

En mi caso, siempre he sugerido mantener la inclusión de equipos en dominio de forma nominal al tiempo que creamos un usuario con este privilegio para incluir en la maqueta corporativa creada en MDT, SCCM, etc.

Vamos a utilizar este nuevo usuario para ver un ejemplo del encadenamiento que vamos a crear.

También vamos a mantener este privilegio a los usuarios administradores del dominio.

1. Creamos el usuario en cuestión

2. Creamos el grupo que tendrá este privilegio:

3. Nos vamos a la directiva general

En COMPUTER CONFIGURATION-POLICIES-WINDOWS SETTINGS-SECURITY SETTING-LOCAL POLICIES-USERS RIGHT ASSIGNMENT – Incluimos el grupo que hemos generado y mantenemos a los administradores del dominio.

Ahora vendría la segunda parte y es que los usuarios tienen limitado a 10 el número de equipos que pueden meter con sus credencias, tendríamos entonces que extender esta limitación.

Vamos a la consola ADSI-Edit

• Botón derecho sobre el dominio y click en Propiedades.
• Nos iríamos al atributo del dominio ms-ds-machinneaccountquota
• Cambiamos el número 10 por el valor máximo que permite.

Aceptamos los cambios.

Saludos.

Preguntas y respuestas sobre actualizaciones de Windows

 

Hola.

Tras impartir un par de formaciones sobre Wsus a administradores de sistemas, os enumero a continuación las preguntas y respuestas que han surgido en relación a las actualizaciones y que me parece interesante compartir.

¿Qué tipos de actualizaciones hay?.

Tipos:

Actualizaciones críticas: Resuelven errores críticos no relacionados con seguridad. También actualiza base de datos de suplantación de identidad (phising) o correo no deseado, así como aplica a sistema operativo y aplicaciones.

Controlador: Actualización de drivers.

Actualización de seguridad: Ofrece solución ante una vulnerabilidad espedifica de producto relacionada con la seguridad. Las vulnerabilidades se catalogan en función de su gravedad, critica, importante, moderada o baja. http://support.microsoft.com/kb/824689/es

Service Pack: Conjunto acumulativo y probado de todas las revisiones y actualizaciones de seguridad y actualizaciones criticas. Pueden contener también resolución  a problemas detectados internamente y cambios de diseño o características tanto para sistema operativo, complementos o programas.

Casificaciones:

Importantes: significativas para la seguridad, privacidad y incorporación de caracteristicas. Deben ser instaladas tan pronto como sea posible.

Recomendadas: No criticas, ayudan a obtener una mejor experiencia.

Opcionales: Puede incluir actualización de drivers, nuevo software y ayudan a mejorar experiencia de usuario.

¿Donde puedo consultar las actualizaciones que necesita mi equipo?

En un equipo de muestra del parque puedes ir a inicio, buscar y escribir Windows Update.

¿Cómo puedo hacer que en mis equipos se instalen actualizaciones de forma forzada?

Sin duda a través de gpos en computer configuration – plantillas administrativas – windows update.

En un entorno empresarial es imprescindible combinarlo con una buena infraestructura de WSUS.

¿Cada cuando he de revisar actualizaciones?.

Microsoft publica actualizaciones el segundo martes de cada mes, anteriormente a eso, se pueden recibir y consultar las actualizaciones que serán liberadas en el boletín de seguridad de MIcrosoft.

https://technet.microsoft.com/es-es/library/security/dn631938.aspx

¿Qué pasa si me olvido o no aplico una actualización?.

Tu equipo quedará expuesto en mayor o menor medida.

¿Puedo desinstalar actualizaciones?.

La mayor parte si, solo no se pueden desinstalar las que afectan a archivos críticos de sistema operativo. Estas pueden ser desinstaladas volviendo a un estado anterior, gracias al punto de restauración que su instalación crea o bien en inicio-panel de control-desinstalar programas-ver actualizaciones instaladas.

¿Por qué en equipos tengo problemas al instalar actualizaciones?.

No debería haber problemas generales, pero pueden ocurrir problemas específicos en ciertos equipos.

Se aconseja repasar los problemas y soluciones comunes: http://windows.microsoft.com/en-us/windows/troubleshoot-problems-installing-updates#1TC=windows-8 . Como principales motivos y cosas a tener en cuenta se encuentra revisar la hora de windows y asegurarse de que tanto Windows como Office tengan licencia y estén activados correctamente.

La web anteriormente enlazada también descarga el programa “Troubleshooting and help prevent computer problems (WindowsUpdateDiagnostic.diagcab. )