Directiva de grupo

Las plantillas ADM y ADMX en relación con la directiva de grupo

Jeremy Moskowitz

Resumen:

• Tipos de plantillas de directiva de grupo
• Claves de directiva apropiadas e inapropiadas
• Visualización de las plantillas ADM
• Conversión de ADM a ADMX

Archivos ADM.Puede adorarlos o bien odiarlos.O quizá ambas cosas.La razón es que son, al mismo tiempo, necesarios y confusos.Y ahora existen, además, los archivos ADMX, un formato nuevo que, aparentemente, sólo agrega más confusión.Bien, ha llegado el momento de aclarar ciertos aspectos de este confuso entramado.

¿Por qué son necesarios los archivos ADM?

Una directiva de grupo cubre una gran variedad de áreas.Si se adentra en el Editor de objetos de directiva de grupo (GPOE), descubrirá muchas cosas de diversa índole que podrá llevar a cabo con la directiva de grupo.Encontrará, por ejemplo, la directiva de restricción de software, la directiva de instalación de software, la redirección de carpetas y, por supuesto, lo que más usamos:las plantillas administrativas.El nodo Plantillas administrativas aparece tanto para el usuario como para el equipo.Tal como cabría esperar, los usuarios sólo pueden adoptar la configuración de la directiva de usuario, y los equipos sólo pueden adoptar la configuración de la directiva de equipo.

Pero, ¿de dónde proceden todas estas configuraciones "mágicas" de las plantillas administrativas?Cuando surgen nuevas aplicaciones, existen ciertas configuraciones que es posible manipular potencialmente.Aquí es donde entran en juego los archivos ADM.Estos describen las áreas de la aplicación que están preparadas para aceptar la configuración definida por un administrador.Los archivos ADM encuentran, rápidamente, una limitación; desafortunadamente, sólo pueden administrar la configuración del Registro dentro de una aplicación.Pero una aplicación puede guardar su configuración en otras áreas como, por ejemplo, archivos .ini, archivos .js, archivos .xml y bases de datos.

Archivos ADM originales

Así pues, en primer lugar, ¿cómo llegaron todas estas configuraciones de directiva originales a Configuración de equipo | Plantillas administrativas y Configuración de usuario | Plantillas administrativas?Si hace clic con el botón secundario en las palabras "Plantillas administrativas" en el GPOE y selecciona "Agregar o quitar plantillas" en el usuario o bien en el equipo, verá las plantillas predeterminadas que constituyen la configuración estándar en la Figura 1.

Figura 1** Plantillas administrativas predeterminadas **(Hacer clic en la imagen para ampliarla)

El desglose de estos archivos es el siguiente:

• Conf.adm: configuración de NetMeeting®.
• Inetres.adm: configuración de Internet Explorer®, incluidas las conexiones, las barras de herramientas y la configuración de barras de herramientas.Estas configuraciones son equivalentes a las opciones disponibles al hacer clic en el menú Opciones de Internet en Internet Explorer.
• System.adm: cambios y configuración del sistema operativo.La mayor parte de las configuraciones de la Plantilla administrativa de equipo y usuario se encuentran en esta plantilla ADM.
• Wmplayer.adm: configuración de Windows Media® Player 9.
• Wuau.adm: controla el acceso de cliente a los servidores Windows® Update y/o Windows Server® Update Services.

Cómo agregar un nuevo archivo de plantilla ADM

Cómo superar las limitaciones con Microsoft y las herramientas de terceros

Los archivos ADM y ADMX son extremadamente útiles.Úselos para añadir cierto conocimiento a su archivo de definición y controlar su aplicación de destino.No obstante, los archivos ADM y ADMX tienen limitaciones.De manera específica, los archivos no pueden llevar a cabo las siguientes acciones:

• No pueden alcanzar subárboles del Registro que no sean HKEY_LOCAL_MACHINE o HKEY_Current_User.Si tiene cosas que hacer en otros subárboles del Registro, no podrá llevarlas a cabo con archivos ADM o ADMX.
• No pueden realizar adiciones a los valores REG_Binary.
• No pueden configurarse específicamente en "ejecutar sólo una vez".
• No pueden configurarse específicamente en "volver a aplicar siempre" durante una actualización de la directiva de grupo.
• La escritura de archivos ADM y ADMX en claves inapropiadas marca el Registro.Así, incluso si el usuario no formara parte del ámbito de administración (SOM) o si se eliminara el GPO, el valor persistiría.

Para superar estas limitaciones, Microsoft y algunos terceros disponen de soluciones para ayudarle.Microsoft adquirió recientemente DesktopStandard y acaba de lanzar al mercado una nueva versión de la extensión del Registro de DesktopStandard.Con esta herramienta, puede dictar qué valores específicos del Registro desea administrar en el equipo de destino mediante una interfaz de asistente dentro del GPOE.

Las tecnologías PolicyMaker de DesktopStandard (incluida la herramienta Extensión del Registro) reciben ahora el nombre de Preferencias de directivas de grupo y se incluyen con Windows Server 2008. Las Preferencias de directivas de grupo permiten al administrador configurar aplicaciones o componentes de Windows que no son normalmente configurables a través de la directiva de grupo, así como aplicarlos a ciertos usuarios o equipos según un conjunto enriquecido de reglas de definición.Las Preferencias de directivas de grupo se integran por completo con la Consola de administración de directivas de grupo y la Administración avanzada de directivas de grupo en Windows Server 2008.

Puede obtener más información acerca de las Preferencias de directivas de grupo en el artículo de Derek Melber, "Análisis de la administración avanzada de directivas de grupo", en este número de TechNet Magazine.

Esto es fácil.En primer lugar, obtenga la plantilla ADM que desea usar.Podría usar una que haya descargado de GPanswers.com (tenemos, al menos, una docena de plantillas interesantes), o quizá desee usar los archivos ADM para Office 2003 u Office 2007 ubicados en el sitio web de Microsoft.

Haga simplemente clic con el botón secundario en "Plantillas administrativas" y, a continuación, en "Agregar", tal como se muestra en la Figura 1, para agregar la plantilla.De manera predeterminada, Windows busca plantillas en el directorio \Windows\inf, pero puede almacenarlas donde desee.Quizás no esté al tanto de lo siguiente:una vez que la plantilla ADM se agrega desde el punto de almacenamiento original, esta plantilla ADM también se agrega al contenido del Objeto de directiva de grupo (GPO).

Por ejemplo, para este artículo, visité GPanswers.com y descargué nopassport.adm. En un principio, almacené este archivo de plantilla en mi directorio c:\temp.Esta plantilla ADM nos permite acabar con el mensaje "¿Desea agregar su pasaporte?" que aparece la primera vez que un usuario inicia la sesión en un equipo con Windows XP.

También descargué las plantillas ADM de Office 2003 y las almacené en c:\temp.Pero no se quedarán en este directorio.En la Figura 2, puede ver que he agregado nopassport.adm y Word11.adm. Puede ver que estas se han agregado a la lista de plantillas predeterminadas en la ventana "Agregar o quitar plantillas".

Figura 2** Archivos ADM adicionales en el GPO **(Hacer clic en la imagen para ampliarla)

Ahora, si mira en el fragmento basado en archivos del GPO (específicamente, en el directorio \\domaincontroller\SYSVOL\domainname\Policies\GUID\ADM), puede ver que los archivos nopassport.adm y Word11.adm forman parte del GPO, tal como se muestra en la Figura 2.

¿Por qué se han agregado estas plantillas al GPO?Porque si intenta editar este GPO en otra estación de administración, podrá consultar la configuración de los archivos ADM.

¿Por qué no puedo ver lo que acabo de cargar?

Unas veces es posible ver las adiciones de archivos ADM y otras no, y esto provoca gran confusión a muchos administradores.Es cierto además que se trata de una pregunta muy común en GPanswers.com, así que aclarémosla ahora mismo.

Al menos, debería ver los resultados tras agregar las dos plantillas (consulte la Figura 3).Aparecerán dos nodos nuevos:Computer Configuration | Nuisances (debido a nopassport.adm) y User Configuration | Microsoft Office Word 2003 (debido a Word11.adm).Si se adentra en la configuración de Microsoft® Word 2003, verá una enorme matriz de opciones configurables, tal como se indica en la Figura 3.

Figura 3** Opciones de directiva de grupo configurables **(Hacer clic en la imagen para ampliarla)

Pero, ¿por qué no puede ver la configuración en el nuevo nodo Nuisances?Para comprenderlo, necesita entender, en primer lugar, la idea de claves de directiva "apropiadas" e "inapropiadas" a las que puede afectar una plantilla ADM.

Claves de directiva apropiadas frente a inapropiadas

La documentación de Microsoft establece que son cuatro áreas del Registro las consideradas como ubicaciones aprobadas para crear directivas fuera de las modificaciones del Registro:

• HKLM\Software\Policies (configuración del equipo, la ubicación preferida)
• HKLM\Software\Microsoft\Windows\CurrentVersion\Policies (configuración del equipo, una ubicación alternativa)
• HKCU\Software\Policies (configuración de usuario, ubicación preferida)
• HKCU\Software\Microsoft\Windows\CurrentVersion\Policies (configuración de usuario, una ubicación alternativa)

Las configuraciones que forman parte del archivo ADM de Word 2003 se escriben en estas ubicaciones apropiadas, pero el archivo nopassport.adm no; nopassport. adm se escribe en HKLM\Software\Microsoft\MessengerService\PassportBalloon.

El GPOE coloca una pequeña puerta de seguridad antes de permitirle ver estas configuraciones, ya que las configuraciones que no se escriben en estas cuatro claves de directiva apropiadas marcarán el Registro.Así pues, incluso atacando al GPO, no habrá manera de restaurar la configuración.Por ejemplo, digamos que agregó el archivo nopassport.adm y eligió eliminar el globo emergente "¿Desea agregar un pasaporte?" para cada equipo de su dominio.Más tarde, el jefe le dice que le gustaba ver el globo emergente.En este caso, le queda un largo camino por recorrer, porque todos los equipos adoptarán ahora esta configuración, básicamente para siempre, hasta que la restaure expresamente.Y, sí, es posible crear un ADM nuevo y personalizado simplemente para este fin, pero, de nuevo, podría ser un largo camino.

En contraste, la configuración de directivas normal tiene un valor predeterminado.Y, si ataca al GPO, esta configuración volverá al valor predeterminado.Por ejemplo, si elige prohibir el acceso al Panel de control mediante las plantillas ADM integradas y después cambia de opinión, lo único que necesita hacer es atacar el GPO para volver a tener acceso al Panel de control.Esto es cierto prácticamente para cada configuración que se incluye con los ADM predeterminados (salvo raras excepciones).

De nuevo, con el ADM de pasaporte silenciado y personalizado, el sitio donde se ubica la configuración de directiva no habilita el motor de directiva de grupo para devolverla tras la eliminación.Así que Microsoft le protege (inicialmente) no mostrando, en absoluto, estas configuraciones marcadas de directiva, de manera que todo será mucho más sencillo.

Visualización de plantillas ADM

Así pues, la visualización de plantillas ADM no es en absoluto complicada.De forma predeterminada, el editor no le muestra la configuración, pero es fácil corregirlo.Haga clic en "Plantillas administrativas" (o bien en el área Usuario o Equipo) y, a continuación, seleccione Ver | Filtrado.Por último, desactive la casilla (sí, desactive) "Mostrar sólo valores de directivas que pueden administrarse totalmente" (que se puede ver en la Figura 4).Al hacer esto, verá la configuración de directiva "Solicitud de pasaporte" bajo la columna Configuración, también en la Figura 4.

Figura 4** Filtrado de GPO **(Hacer clic en la imagen para ampliarla)

Windows XP en comparación con Windows Vista en el Editor

¿Ha notado una sutil diferencia en la configuración de directiva que acababa de aparecer?Observe los iconos de la configuración de directiva que se incluye con los archivos ADM de la Figura 5.Ahora, observe el icono para una configuración de directiva desde una plantilla ADM en la cual las configuraciones no escriben en las claves del Registro de directivas apropiadas, tal como se muestra en la Figura 6.

Figura 5** Archivos ADM con iconos **(Hacer clic en la imagen para ampliarla)

Figura 6** Iconos de uso de claves inapropiadas **(Hacer clic en la imagen para ampliarla)

Esta diferencia entre el icono azul frente al rojo le ayuda a saber qué configuración se marcará y cuál no. Pero, de nuevo, todo se basa en la ubicación en la cual la configuración lleva a cabo realmente su deber.

Por cierto, en Windows Vista®, la situación cambia un poco al usar archivos ADM en la estación de administración de Windows Vista.Los archivos ADM se muestran en su propio nodo denominado "Plantillas administrativas clásicas (ADM)", tal como se muestra en la Figura 7.Lo que fue una configuración de puntos rojos se muestra ahora como iconos de desplazamiento con una flecha hacia abajo (pero mientras se edita la propia configuración, tiene un pequeño signo de prohibición de entrada).

Figura 7** Nodo de plantillas administrativas clásicas **(Hacer clic en la imagen para ampliarla)

La anterior configuración de puntos azules (que escribe en las claves de directivas apropiadas) se muestra como pequeños iconos de desplazamiento, tal como presenta la Figura 8.

Figura 8** Iconos de desplazamiento que muestran claves apropiadas **(Hacer clic en la imagen para ampliarla)

¿Qué es todo ese bullicio en torno a ADMX?

Tanto Windows Vista como Windows Server 2003 incluyen una nueva Consola de administración de directivas de grupo (GPMC).Con esta nueva GPMC, se integra una nueva capacidad que le permite dejar de lado el uso de los anteriores archivos ADM para pasar a los nuevos archivos ADMX, si es que lo desea.¿Y por qué desearíamos dejar de lado el anterior formato ADM?

Recuerde que el archivo ADM se ubica dentro de la Plantilla de directiva de grupo (GPT) del GPO (la parte que reside en SYSVOL).Cuando esto ocurre, se graban alrededor de 4 MB en cada controlador de dominio (DC) cada vez que crea un GPO.Recuerde también que el mismo archivo ADM se coloca en la GPT del GPO porque es necesario para reeditar el GPO en otra estación de administración.Sin este archivo ADM, no puede editar ninguna configuración personalizada contenida en el GPO.

Así pues, el formato ADMX nos ayuda a apartarnos de estos problemas.No es necesario, por tanto, almacenar nada dentro del GPO directamente. De este modo, no obtendrá lo que se conoce como "saturación de SYSVOL", es decir, un SYSVOL saturado que debe almacenar los GPO llenos de archivos ADM y que tiene asignada la tarea de replicarlos en cada DC.Para solucionar esto, el nuevo ADMX estándar puede aprovechar el "almacén central".La tarea del almacén central es tener una ubicación para colocar los nuevos archivos ADMX de manera que no haya que copiarlos en cada uno de los GPO.Así pues, adiós a la saturación de SYSVOL.El otro gran objetivo del almacén central es que si un archivo ADMX tiene una definición actualizada, entonces todas las estaciones de administración de Windows Vista usarán inmediatamente este archivo ADMX actualizado.

Si desea obtener más información acerca del formato de archivos ADMX, específicamente acerca de la creación y el uso del almacén central, le ofrezco para ello dos recursos muy interesantes.Darren Mar-Elia escribió un artículo informativo sobre los elementos internos de formato de los archivos ADMX y una breve explicación del almacén central en el número de febrero de 2007 de Technet Magazine (technetmagazine.com/issues/2007/02/Templates).Es también muy útil el capítulo descargable de mi último libro, Group Policy:Management, Troubleshooting, and Security, disponible en la sección "Book Resources" de GPanswers.com.

Tal como expliqué, las plantillas ADM son aún compatibles si usa una estación de administración de Windows Vista, pero los archivos ADM no son compatibles con el almacén central.Esto puede ser un poco confuso; así pues, expliquemos detenidamente un ejemplo.

Supongamos que acabo de crear un GPO desde una estación de administración de Windows Vista y que modifico algunas de las configuraciones originales (como la prohibición de acceso al Panel de control).Ahora, supongamos también que quería agregar una plantilla ADM personalizada.Después de hacer esto, observemos la GPT del GPO y veamos lo que ha sucedido para aclararnos un poco.

Para agregar la plantilla ADM, puede repetir algunos de los pasos que realicé anteriormente.Simplemente abra el GPOE, haga clic con el botón secundario en "Plantillas administrativas" que está presente tanto en el nodo Usuarios como en Equipos y seleccione "Agregar o quitar plantilla".Puede ver la plantilla agregada en la Figura 9.

Figura 9** Visualización de la plantilla agregada **(Hacer clic en la imagen para ampliarla)

Con el objeto de ver realmente la configuración presente dentro de esta plantilla ADM, necesitará hacer lo que hicimos antes en la Figura 4.Es decir, hacer clic en Ver | Filtrado.Finalmente, desactive la casilla "Mostrar sólo valores de directivas que pueden administrarse totalmente".A continuación, cierre el GPOE y vuelva a la GPMC.La Figura 10 muestra la ficha Detalles del GPO que acabo de crear desde mi estación de administración de Windows Vista.Fíjese en el nombre fácil de recordar del GPO.Al observar la ficha Detalles, puedo determinar el GUID para el GPO, lo que facilitará las cosas cuando decida investigar en SYSVOL para buscar este GPO concreto.

Figura 10** Plantillas administrativas predeterminadas **

Una vez que localizo la GPT del GPO (con el GUID del GPO), puedo obtener acceso al directorio ADM del GPO y ver que hay exactamente una plantilla ADM aquí, la que importé manualmente, tal como se muestra en la Figura 11.La razón es que los equipos de Windows Vista no confían en los ADM.Como no los usan de manera nativa, tampoco integran nada de manera nativa en el propio GPO.Sin embargo, si importa manualmente un ADM (tal como acabamos de hacer), continuará respetando el ADM de la misma manera que lo hacían las versiones anteriores de Windows.

Figura 11** Archivo ADM importado de manera manual **(Hacer clic en la imagen para ampliarla)

Esto es en contraste con, por ejemplo, el GPO de la Figura 12, que se creó en un equipo que ejecuta Windows XP o Windows Server 2003. Cuando los GPO se crean mediante estaciones de administración previas a Windows Vista, los archivos ADM originales se integran en el GPO, tal como describí anteriormente.Este GPO se creó en una estación de administración de Windows XP.Es sencillo saberlo, ya que está repleto de archivos ADM que Windows Vista no necesita ni usa.

Figura 12** GPO creado en Windows XP **(Hacer clic en la imagen para ampliarla)

Conversión de ADM en ADMX mediante la herramienta ADMX Migrator

Así pues, Windows XP usa archivos ADM y Windows Vista usa archivos ADMX, aunque Windows Vista continuará siendo compatible con archivos ADM si es lo que tenemos disponible.Sin embargo, no podemos agregar un archivo ADM al almacén central y esperar que nuestras estaciones de administración de Windows Vista puedan usar el archivo.

Para usar la configuración presente en el ADM del almacén central, necesitaría convertir el archivo ADM a ADMX, o volver a crear los archivos ADM como archivos ADMX a mano.Por suerte, hay una descarga que realiza estas dos funciones.La herramienta ADMX Migrator (que consta de la herramienta de conversión de ADM a ADMX y de la herramienta de creación de ADMX) puede descargarse desde go.microsoft.com/fwlink/?LinkId=103774.

Puede instalar el archivo MSI de la herramienta ADMX Migrator en Windows Server 2003, Windows XP o en Windows Vista.Una vez instalado, las aplicaciones pueden encontrarse en el directorio C:\Archivos de programa\FullArmor\ADMX Migrator.La aplicación de línea de comando que ejecutaré se llama faAdmxConv.exe. Pero, puesto que el directorio no está en la ruta de acceso, necesitaría estar en este directorio para ejecutar la aplicación.Por lo tanto, cuando uso la herramienta, opto por agregar este directorio a mi ruta de acceso de Windows.El artículo en www.computerhope.com/issues/ch000549.htm explica cómo configurar la ruta de acceso en Windows.

Normalmente, creo un directorio temporal como C:\ADMtemp y copio mis archivos ADM de origen en él.Hay muchos parámetros posibles para faAdmxConv.exe, pero la manera más sencilla de convertir un archivo ADM es especificar el nombre del archivo ADM y el directorio de salida.Si ya ha seguido adelante y ha colocado el archivo ADM de origen en ADMtemp y ha agregado faAdmxConv.exe a la ruta de acceso, puede ejecutar simplemente "faAdmxConv nopassport.adm ."(con el punto al final para indicar que el directorio actual es de salida).Si no especifica el punto (para este directorio) ni otra ruta de acceso explícita, la salida va al directorio temporal dentro de su perfil de cuenta.En la Figura 13, puede consultar tres comandos:

Figura 13** Herramienta ADMX Migrator **(Hacer clic en la imagen para ampliarla)

• Un comando "dir" para ver el archivo ADM
• El comando "faAdmxConv" con el nombre del ADM y el .(punto) para representar el directorio actual
• Un "dir" para ver los archivos de salida:nopassport.admx y nopassport.adml

Antes de llevar los archivos resultantes directamente al almacén central, quizás desee probar esto en un equipo que se ejecute sin conexión.Con el equipo sin conexión, copie el archivo ADMX en el directorio C:\Windows\PolicyDefinitions y el archivo ADML en el directorio de idioma específico.En Estados Unidos, este directorio es C:\Windows\PolicyDefinitions\en-us.Un ejemplo del procedimiento de copia puede verse en la Figura 14.

Figura 14** Copia de archivos ADMX en el almacén central **(Hacer clic en la imagen para ampliarla)

La herramienta de conversión de ADM a ADMX se actualizó recientemente a la versión 1.2.Esto corrige una serie de errores de conversión y agrega mensajes de advertencia útiles durante el tiempo de conversión.Si ha probado la herramienta de conversión de ADM a ADMX en el pasado, pero la abandonó debido a mensajes de error que no podía corregir, le recomendaría que la probase de nuevo con la versión 1.2, ahora disponible para descarga.

Finalmente, el archivo ADM convertido es ahora realmente dos archivos:un ADMX (de idioma neutral) y un ADML (de idioma específico).En este momento, puede colocar los archivos resultantes dentro del almacén central o probarlos en un equipo local.Sin embargo, una vez más, con el objeto de ver la configuración de directiva presente en esta plantilla ADMX, va a necesitar hacer lo que hicimos en la Figura 4.Es decir, necesitará hacer clic en Ver | Filtrado y, a continuación, desactive "Mostrar sólo valores de directivas que pueden administrarse totalmente".Esto es porque la configuración presente en este archivo ADMX no escribe en una de las claves de directivas apropiadas que expliqué anteriormente.

Limpieza del almacén

Claramente, la condición ideal es usar sólo archivos ADMX y el almacén central.Pero, para conseguirlo, debe convertir todos sus archivos actuales ADM a ADMX, convertir todas las estaciones de administración a Windows Vista (o Windows Server 2008) y comprometerse a dejar de editar GPO en equipos anteriores a Windows Vista.

Si ha completado estos tres pasos, habrá eliminado por completo los archivos ADM de su entorno.En este momento, los archivos ADM de GPO están simplemente ocupando espacio dentro del SYSVOL de su DC.Una vez que haya logrado el nirvana de ADMX, podría, si lo desease, eliminar simplemente los ADM presentes en la GPT de GPO dentro de SYSVOL.Exacto:al igual que el apéndice en el cuerpo humano, son simplemente un vestigio.Sirvieron para algo en su momento, pero ya nunca más.Puede hacer esto manualmente o con un script.Pero, antes de hacerlo, tenga en cuenta que sería un error grave si estos pasos no se completaran adecuadamente.Así que asegúrese de hacer esto sólo si está seguro de que puede dejar atrás los archivos ADM.

Para obtener información adicional acerca de los archivos ADM, ADMX y ADML, consulte la Guía paso a paso para la administración de archivos ADMX de la directiva de grupo en go.microsoft.com/fwlink/?LinkId=105019 y la Revisión de la tecnología ADMX en go.microsoft.com/fwlink/?LinkId=105032.Además, suscríbase al boletín de GPanswers.com en GPanswers.com/newsletter y a los avisos intermediarios a través de blog en GPanswers.com/blog.

Jeremy MoskowitzMCSE y MVP en directivas de grupo, dirige GPanswers.com, un foro comunitario sobre directivas de grupo.También dirige una serie de cursos intensivos de aprendizaje sobre directivas de grupo.El último libro de Jeremy es Group Policy:Management, Troubleshooting, and Security (Sybex, 2007).Póngase en contacto con Jeremy en la dirección www.GPanswers.com.

© 2008 Microsoft Corporation and CMP Media, LLC. Reservados todos los derechos; queda prohibida la reproducción parcial o total sin previa autorización.