Conceder a un grupo de soporte la capacidad de crear y enlazar Directivas de Grupo (GPO) únicamente dentro de una Unidad Organizativa (OU) es una delegación habitual en entornos empresariales que desean segmentar responsabilidades sin exponer todo el dominio. Este artículo explica — con detalle de permisos, mejores prácticas y pasos gráficos — cómo lograrlo de forma segura y sostenible.
Entender la diferencia entre “crear” y “vincular”
La pieza clave para una delegación correcta es comprender que la creación y el vínculo de una GPO son procesos separados y regulados por permisos distintos:
- Creación de GPO: se realiza sobre el contenedor Group Policy Objects a nivel de dominio; los objetos se almacenan en el directorio
CN=Policies,CN=System,DC=.... - Vinculación de GPO: se establece sobre una OU, un sitio o el propio dominio. El permiso es, por tanto, específico de la ubicación donde se enlaza.
Por qué importa esta separación
Si no se distingue entre ambos procesos, se corre el riesgo de otorgar a un grupo más poder del necesario. Un operador que pueda crear GPO tiene, por definición, la capacidad de definir configuraciones que podrían aplicarse a cualquier OU si alguien con permisos de vínculo las enlaza. Por eso limitamos el linking a la OU aprobada.
Preparativos: grupos y seguridad
Antes de comenzar, cree (o identifique) un grupo de seguridad global, por ejemplo OU‑Marketing‑GPO‑Admins, e incluya a los usuarios que deben gestionar las políticas del área. Mantener un grupo dedicado:
- Simplifica auditorías: basta con revisar la pertenencia del grupo para conocer a los delegados.
- Facilita la revocación: retirar a un usuario del grupo elimina de inmediato su delegación.
- Alinea con el principio de least privilege.
Delegar la creación de GPO (nivel dominio)
- Abra la Consola de Administración de Directivas de Grupo (GPMC).
- Expanda su dominio hasta encontrar Group Policy Objects.
- Seleccione la pestaña Delegation y haga clic en Advanced.
- Pulse Add y elija el grupo
OU‑Marketing‑GPO‑Admins. - Conceda como mínimo:
- Create GPOs (aparece como Create groupPolicyContainer objects en versiones basadas en AD DS 2012/2019).
- Edit Settings si se desea que el mismo equipo edite la GPO tras crearla.
Nota: El asistente clásico de “Delegar control” en Active Directory Users and Computers (ADUC) no muestra la entrada Create GPOs; use siempre la pestaña Delegation de GPMC para este paso.
Delegar el vínculo de GPO (nivel OU)
- En ADUC — o en GPMC — haga clic derecho en la OU
OU=Marketing,DC=empresa,DC=local. - Seleccione Delegate Control….
- Añada el mismo grupo
OU‑Marketing‑GPO‑Admins. - En la lista de tareas predeterminadas active únicamente Manage Group Policy links.
- Finalice el asistente; los miembros ahora pueden:
- Vincular nuevas GPO a la OU Marketing.
- Quitar vínculos existentes.
- Reordenar vínculos y aplicar Enforced si fuera necesario.
Verificación de permisos delegados
Para auditar lo aplicado:
- En GPMC, sitúese sobre la OU → pestaña Delegation. Verá la entrada de
OU‑Marketing‑GPO‑Adminscon la tarea Link GPOs. - En Group Policy Objects, la pestaña Delegation mostrará el grupo con Create GPOs.
Tabla resumen de permisos y ubicación
| Acción | Ubicación del permiso | Permiso concreto | Herramienta recomendada |
|---|---|---|---|
| Crear nuevos GPO | Group Policy Objects (dominio) | Create GPOs / Create groupPolicyContainer | GPMC → Delegation |
| Editar GPO creadas | Group Policy Objects (dominio) o nivel de cada GPO | Edit settings / Modify security | GPMC |
| Vincular a OU | OU destino | Manage Group Policy links | ADUC o GPMC |
| Enforced / Block Inheritance | OU destino | Manage Group Policy links | GPMC |
Lo que no se puede hacer (limitaciones de diseño)
- No existe un derecho “crear GPO solo dentro de la OU X”. Técnicamente la creación se realiza en el contenedor global y el LDAP distinguishedName de la GPO nunca apunta a una OU.
- Quien posea Create GPOs podrá crear plantillas que podrían vincularse en cualquier lugar si otra persona tiene autoridad para ello. Por eso la gobernanza de vinculación es crítica.
Buenas prácticas adicionales
Convención de nombres
Implemente un formato estándar, por ejemplo: OU‑Marketing – GPO – Escritorio. Así se identifica de un vistazo la “propiedad funcional” y el propósito.
Auditoría y limpieza periódica
- Revise cada trimestre las pestañas Delegation tanto en Group Policy Objects como en cada OU clave.
- Documente en un registro de cambios (cualquier wiki interna o sistema ITSM) la fecha, el motivo y el responsable de cada delegación nueva.
Entorno de pruebas
Siempre valide la operativa en un bosque de laboratorio o RAM (Recovery Admission Mode) antes de delegar en producción. Verifique que:
- Los usuarios generan GPO sin errores de replicación.
- Solo la OU prevista refleja el vínculo.
- Los informes RSOP muestran la aplicación correcta.
Preguntas frecuentes (FAQ)
¿Necesito agregar el grupo a “Group Policy Creator Owners”? No. Ese grupo heredado de Windows 2000 simplemente otorgaba permisos de creación, pero su ámbito es idéntico a la delegación que otorgamos hoy; la diferencia es que no admite granularidad ni seguimiento de usuarios. Use delegación directa. ¿Puedo impedir que el grupo elimine una GPO? Sí. Al configurar Create GPOs deje sin marcar Delete. De este modo podrán crear y editar, pero la eliminación deberá realizarla un administrador elevador. ¿Cómo restrinjo la edición futura de una GPO? Tras crear la GPO, edite su pestaña Delegation y retire permisos de Edit settings para grupos no deseados, dejando solo a los propietarios.
Errores comunes y cómo evitarlos
- Otorgar “Full Control” a la OU: delegar “Full Control” incluye la posibilidad de crear, mover y borrar objetos dentro de la OU, algo innecesario y peligroso.
- Delegar desde ADUC en lugar de GPMC: ADUC no muestra los permisos finos de GPO; usarlo puede dejar fuera la capacidad real de creación.
- Confiar en la herencia de permisos: recuerde que los permisos LDAP no se heredan hacia GPO porque estas viven en el contenedor Policies, separado de la estructura de OU.
Checklist rápida para delegar GPO a una OU específica
- ✅ Grupo de seguridad creado y poblado.
- ✅ Delegación Create GPOs aplicada en Group Policy Objects.
- ✅ Delegación Manage Group Policy links aplicada en la OU destino.
- ✅ Naming convention revisada.
- ✅ Documentación actualizada.
Conclusión
Con estos dos niveles de delegación independientes — crear en el contenedor global y vincular en la OU específica — se logra un equilibrio óptimo entre autonomía y control. El equipo delegado diseña y prueba sus directivas sin interferir en otras áreas del dominio, mientras el equipo central mantiene un punto único de auditoría sobre la creación de objetos. Siguiendo las buenas prácticas y revisiones periódicas, la configuración permanecerá segura, ordenada y alineada con el principio de privilegio mínimo.