¿Tu grupo de seguridad “mágicamente” vuelve a la membresía de Administradores locales o no encuentras el filtro adecuado para una Preferencia de GPO? En esta guía experta descubrirás por qué sucede, cómo diagnosticarlo con precisión y qué ajustes permanentes aplicar para recuperar el control.

El grupo reaparece en Administradores tras cada gpupdate

Resumen del escenario

Un servidor fue retirado de un grupo de seguridad que se usa como Item‑Level Targeting (ILT) para una Preferencia de GPO que añade dicho grupo a la cuenta integrada Administradores mediante la acción Update. Tras quitar manualmente el grupo de la lista local y excluir el equipo del grupo de destino, cada gpupdate vuelve a colocarlo.

Por qué ocurre

• Acción Update ≠ eliminación: la acción Update solo agrega o actualiza; nunca quita aquello que ya exista.
• Replicación AD pendiente: un DC puede seguir “viendo” al equipo como miembro del grupo porque aún no ha replicado los últimos USN.
• Filtros solapados: otra Preferencia, incluso en el mismo GPO, podría estar agregando de nuevo la entrada.
• Falsos positivos de ILT: fallos en WMI, errores de seguridad o problemas de red pueden provocar que la evaluación del filtro sea incorrecta.

Procedimiento de corrección paso a paso

Paso	Qué verificar o hacer	Por qué ayuda
1	Ejecutar gpresult /h c:\gpresult.html o abrir RSOP.msc y revisar el bloque “Preferences → Local Users and Groups”.	Identifica con precisión qué GPO y qué Preferencia siguen aplicándose al equipo.
2	Confirmar la replicación con repadmin /replsummary y repadmin /showrepl. Si es necesario, fuerza repadmin /syncall /AdeP.	Un retraso o fallo de replicación puede hacer que el DC que aplica la GPO todavía “piense” que el servidor está en el grupo de destino.
3	Revisar la Preferencia: la acción Update solo agrega miembros. Si deseas retirar definitivamente el grupo: • Crea una segunda entrada con acción Delete. • O cambia la existente a Replace (borra y vuelve a crear la lista).	Evita que la membresía se restaure al siguiente ciclo de política.
4	Buscar otras GPO o la misma GPO con otro filtro que agregue el grupo. Usa Group Policy Modeling en la GPMC para simular la combinación de políticas.	Varias preferencias superpuestas suelen ser la causa cuando “vuelve a aparecer”.
5	Examinar el Visor de eventos en Microsoft‑Windows‑GroupPolicy/Operational.	Detecta fallos de ILT, WMI o de lectura de seguridad que hagan que la directiva se procese aun cuando no debería.

Dato útil: si la Preferencia debe aplicarse “una sola vez”, marca Apply once and do not reapply. De esa forma solo se ejecutará de nuevo si editas el GPO.

Buenas prácticas adicionales

• Inventario de GPO: usa una convención de nombres que refleje la rama (Equipo vs Usuario), el área (Preferencias/Políticas) y la finalidad. Facilita saber qué hace cada GPO con solo leerla.
• Pruebas en entornos de staging: vincula la GPO a una OU Sandbox y comprueba el comportamiento antes de promoverla al entorno de producción.
• Etiquetas de comentario: documenta dentro de la Preferencia la fecha, el objetivo y el responsable. Cuando otro admin la abra sabrá inmediatamente por qué existe.
• Supervisión continua: integra los registros Microsoft‑Windows‑GroupPolicy/Operational en tu solución de SIEM para detectar cambios inesperados de manera preventiva.

Posibles síntomas si no se corrige

Además de la frustración por ver la entrada reaparecer, mantener fibras fantasma de administración puede:

1. Incrementar la superficie de ataque: un grupo global de administradores expuesto a Internet es un blanco jugoso para PTH.
2. Romper el principio de least privilege: un servicio o aplicación podría elevarse por error.
3. Dificultar auditorías: los reportes de cumplimiento mostrarán cuentas con privilegios no autorizados.

---

No aparece “User Group” como filtro en un File Update de Configuración de usuario

Resumen del escenario

En la rama User Configuration → Preferences → Windows Settings → Files, al crear una acción File Update, la lista de ILT no muestra la opción “User Group”.

Motivo principal

El editor de ILT distingue entre la rama Equipo y Usuario:

• En User Configuration solo se muestra Security Group, que acepta SID de cualquier tipo (usuarios, equipos o grupos de seguridad).
• En Computer Configuration, además de Security Group, aparece User Group porque a nivel de equipo puede ser útil filtrar por grupos de usuario.

Soluciones efectivas

Elige el método que mejor se adapte a tu caso:

1. Usar “Security Group”: escribe el nombre del grupo (o su SID) y define si la condición debe ser “Is” (pertenece) o “Is Not” (no pertenece). Funciona igual que “User Group”.
2. Actualizar herramientas RSAT/GPMC: versiones antiguas —sobre todo en sistemas legacy— a veces no muestran todas las plantillas de ILT. Instala el paquete RSAT correspondiente a la versión de tu DC más reciente.
3. Cambiar la Preferencia a la rama Equipo: si el filtro depende realmente del equipo (por ejemplo, mover un archivo de licencia al ejecutar el servicio), recrea la Preferencia en Computer Configuration.
4. Validar con Preview: en la pestaña Common, activa Item‑level targeting → Targeting → Preview. Ahí verás el resultado de la evaluación con el usuario actual.

Errores comunes y cómo evitarlos

Error	Consecuencia	Corrección
Aplicar múltiples filtros exclusivos	La Preferencia nunca se ejecuta o lo hace parcial‑mente	Agrupa condiciones en bloques AND/OR y simplifica la lógica
Confundir nombre con DN	El ILT no resuelve el objeto y devuelve 0x80072030	Usa siempre el nombre samAccountName o su SID
No validar con Preview	Cambios en producción que no funcionan	Prueba siempre con una cuenta representativa antes de desplegar

---

Conceptos clave de Preferencias de GPO

Acciones disponibles

• Create: Crea el elemento si no existe; si ya existe no lo modifica.
• Update: Crea el elemento si no existe; si existe, modifica solo los valores indicados.
• Replace: Elimina el elemento y lo vuelve a crear con los valores indicados; ideal para “estado deseado”.
• Delete: Elimina el elemento existente; no lo recrea ni lo toca más.

Cuándo marcar “Apply once and do not reapply”

Esta opción es perfecta para configuraciones que solo deben aplicarse durante el aprovisionamiento, por ejemplo:

• Copia de scripts de inicio una única vez.
• Creación de un acceso directo específico.
• Parche inicial de un archivo de configuración.

Sin embargo, evita activarla en configuraciones de seguridad permanentes; si alguien elimina manualmente la entrada, la GPO no la restaurará.

Entendiendo el ciclo de refresco de políticas

De forma predeterminada, las políticas y preferencias se vuelven a aplicar cada 90 minutos ± 30 min (equipo + usuario) y siempre durante el background refresh. Los controladores de dominio aplican refrescos cada cinco minutos. Si el equipo detecta que la Group Policy Container (GPC) tiene la misma versionNumber, omite la descarga de la Group Policy Template (GPT) para ahorrar ancho de banda, pero las preferencias basadas en ILT se siguen evaluando.

Cómo se evalúa el Item‑Level Targeting

1. Se cargan los módulos ILT desde %SystemRoot%\System32\gppref.dll.
2. Cada condición genera un SID o una expresión WMI.
3. El motor aplica la lógica booleana anidada (AND/OR). Si cualquiera de los módulos devuelve un estado indefinido, la evaluación falla.
4. Solo si el resultado final es true, se pasa al motor de Preferencias que realiza la acción (Create/Update/Replace/Delete).

Diagnóstico forense

Cuando algo no cuadra, estos son tus aliados:

• Event ID 4098–4099 (Application): muestra el resultado de cada Preferencia, incluyendo ILT.
• Event ID 4016 (GroupPolicy/Operational): ofrece trazas paso a paso del ciclo de aplicación.
• gpupdate /force /logoff: obliga a refrescar la parte de usuario en un único comando.
• Proces Monitor con filtro Operation = RegSetValue: rastrea si realmente se escribió en SAM o solo hubo intento.

---

Estrategia de seguridad: limitar administradores locales con GPO

Modelo recomendado

Un enfoque moderno consiste en:

1. Eliminar cuenta Administrator genérica o renombrarla y deshabilitarla.
2. Crear un grupo global GG_Local‑Admins por cada entorno (Prod, Dev, QA).
3. Delegar membership mediante Privileged Access Management (PAM) o soluciones PIM para acceso just‑in‑time.
4. Aplicar la Preferencia de GPO en modo Replace apuntando al grupo GG_Local‑Admins.

Ventajas

• Auditabilidad: toda asignación de privilegios queda registrada en AD.
• Respuesta ante incidentes: basta con vaciar el grupo para revocar todos los privilegios.
• Compatibilidad: no requiere Local Administrator Password Solution (LAPS), aunque ambos se complementan.

Diferencias con Restricted Groups y LGPO

Antes de las Preferencias de GPO existían Restricted Groups, que aún funcionan pero carecen de ILT y sólo operan en modo todo‑o‑nada. LGPO (policy local) es útil en equipos desconectados de dominio, pero no escala. Las Preferencias aportan:

• Mayor granularidad (ILT, acciones diversas).
• Capacidad de aplicar cambios en background sin reinicios.
• Scripting‑free: no necesitas logon scripts ni PowerShell.

---

Checklist rápido antes de mover a producción

• ☑ ¿La acción es la correcta (Replace vs Update)?
• ☑ ¿Se marcaron Apply once / Do not reapply solo si es realmente necesario?
• ☑ ¿Los ILT devuelven true exclusivamente para los objetos deseados (usa Preview)?
• ☑ ¿Las entradas de Event Viewer muestran 0x0 (Éxito) y zero warnings?
• ☑ ¿La replicación AD está al día (repadmin /showrepl sin errores)?
• ☑ ¿Se documentó el propósito en los comentarios internos de la Preferencia?

---

Conclusión

Las Preferencias de GPO son una herramienta potentísima, pero —como cualquier bisturí— requieren pulso firme. Entender cómo operan las acciones Create/Update/Replace/Delete, sumado a un diagnóstico sistemático con gpresult, RSOP y el visor de eventos, te permitirá evitar que los grupos resurjan como zombies en la cuenta de Administradores y dominar los filtros de ILT sin sobresaltos. Aplica las buenas prácticas descritas, automatiza la comprobación de replicación y mantén actualizadas tus consolas RSAT: así tu infraestructura AD permanecerá bajo control y tu equipo de TI dormirá más tranquilo.