COMO: Administrar GPOs no Windows 2000

Este artigo descreve como administrar objetos de diretiva de grupo (GPOs) em um ambiente baseado no Windows 2000. Você deve ser um membro do grupo Administradores em um computador que está executando o Windows 2000 Advanced Server para executar as tarefas que estão descritas neste artigo. As configurações de diretiva são armazenadas nos GPOs. Talvez você ache útil pensar o snap-in de diretiva de grupo como um programa que cria os GPOs, da mesma forma que um processador cria arquivos .doc ou .txt. Há dois tipos de GPOs:

• GPOs não-locais: Esses GPOs são armazenados em um controlador de domínio e estão disponíveis somente em um ambiente do Active Directory. Eles se aplicam a usuários e computadores no site, domínio ou unidade organizacional à qual o GPO está associado.
• Os GPOs locais: Esses GPOs são armazenados em cada computador que está executando Windows 2000. Apenas um GPO local existe em um computador e tem um subconjunto das configurações disponíveis em um GPO não-local. Configurações de GPO locais podem ser substituídas por configurações não locais se os GPOs em conflito uns com os outros; caso contrário, ambos os GPOs são aplicados.

Como abrir a diretiva de grupo como um snap-in autônomo

1. Clique em Iniciar , clique em Executar , digite mmc e, em seguida, clique em OK .
2. No menu console , clique em Adicionar/remover Snap-in .
3. Na guia autônomo , clique em Adicionar .
4. Clique em Diretiva de grupo e, em seguida, clique em Adicionar .
5. Ou clique em Computador Local para editar o GPO local ou localizar o GPO que você deseja editar.
6. Clique em Concluir e, em seguida, clique em OK .

Como editar um GPO

1. Inicie o snap-in de diretiva de grupo.
2. Expanda o GPO que você deseja editar.
3. No painel de detalhes, clique duas vezes o item que você deseja alterar e, em seguida, altere as configurações adequadas.
   
   Observação : você deve ter permissões leitura e gravação em um GPO para abri-lo.

Se você alterar um GPO, as alterações são aplicadas imediatamente. Portanto, convém desativar o GPO enquanto você está sendo editada. Para obter informações sobre como desabilitar um GPO, consulte a seção "Como a desativar GPOs" neste artigo.

Como editar o GPO local

Cada computador que esteja executando o Windows 2000 tem exatamente um GPO local que está usando esses objetos. Você pode armazenar as configurações de diretiva de grupo em computadores individuais, independentemente de eles serem parte de um ambiente do Active Directory ou parte de um ambiente de rede.

Como os GPOs que são associados com sites, domínios e unidades organizacionais podem substituir as configurações do GPO local, o GPO local é o menos influente GPO em um ambiente do Active Directory. Em um ambiente fora da rede (ou em um ambiente de rede que não tenha um controlador de domínio com Windows 2000), as configurações do GPO local são mais importantes, pois outros GPOs não substituem as configurações do GPO local.

Para abrir a diretiva de grupo para editar o GPO local:

1. Clique em Iniciar , clique em Executar , digite gpedit.msc e, em seguida, clique em OK .
2. No painel esquerdo, expanda o GPO que você deseja editar.
3. Clique duas vezes o item no painel à direita e, em seguida, altere as configurações adequadas.

Como criar um novo GPO

1. Para criar um GPO está vinculado a um domínio ou uma unidade organizacional, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Active Directory usuários e computadores .
   
   Como alternativa, para criar um GPO vinculado a um site, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Serviços e sites do Active Directory .
2. No console, clique com o botão direito do site, o domínio ou a unidade organizacional à qual você deseja vincular o GPO que você criar. (O GPO é armazenado no domínio atual).
3. Clique em Propriedades e clique em guia Diretiva de grupo .
4. Clique em novo , digite um nome para o GPO e, em seguida, clique em Fechar .

Observação : por padrão, o GPO que você criar está vinculado para o site, domínio ou unidade organizacional que foi selecionada no snap - in quando o GPO foi criado. Portanto, as configurações do GPO se aplicam ao site, domínio ou unidade organizacional. Você talvez queira remover o link para o GPO do site, domínio ou unidade organizacional para que suas configurações não sejam aplicadas.

Como excluir um GPO

1. Clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Active Directory Users and Computers .
2. Clique no domínio ou qualquer unidade organizacional no domínio.
3. Clique em Propriedades e clique em guia Diretiva de grupo .
4. Para localizar todos os GPOs são armazenados no domínio, clique em Adicionar e, em seguida, clique na guia All .
5. Clique com o botão direito do mouse o GPO que você deseja excluir e, em seguida, clique em Excluir .
6. Quando você for solicitado para confirmar que você deseja excluir esse GPO, clique em Sim e, em seguida, clique em OK .

Observação : quando você excluir um GPO, os sites, domínios, ou unidades organizacionais aos quais o GPO está vinculado não são afetadas pelo GPO. Convém desativar o GPO em vez de excluí-lo.

Como vincular um GPO a um site, um domínio ou uma unidade organizacional

1. Para vincular um GPO a um domínio ou unidade organizacional, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Active Directory usuários e computadores .
   
   Como alternativa, para vincular um GPO a um site, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Serviços e sites do Active Directory .
2. Clique com o botão direito do site, domínio ou a unidade organizacional à qual o GPO deve ser vinculado.
3. Clique em Propriedades e clique em guia Diretiva de grupo .
4. Para adicionar o GPO à lista de links de objeto de diretiva de grupo , clique em Adicionar .
5. Clique na guia Tudo , clique no GPO que você deseja adicionar, clique em OK e, em seguida, clique em OK .

Observação : você vincular um GPO para especificar que suas configurações se aplicam a usuários e computadores no site, domínio ou unidade organizacional e a usuários e computadores em recipientes do Active Directory que herdam o site, o domínio ou unidade organizacional dados.

Como bloquear herança de diretiva

1. Para bloquear a herança de diretiva em um site, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Serviços e sites do Active Directory .
   
   Como alternativa, para bloquear a herança de diretiva em um domínio ou unidade organizacional, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Active Directory usuários e computadores .
2. Clique com o botão direito do mouse o site, domínio ou na unidade organizacional em que você deseja bloquear a herança de diretiva de grupo e, em seguida, clique em Propriedades .
3. Clique na guia Diretiva de grupo , verifique se que a caixa de seleção Block Policy inheritance é marcada e, em seguida, clique em OK .

Observação : A configuração Block Policy inheritance bloqueia GPOs superiores na hierarquia de sites, domínios e unidades organizacionais do Active Directory. Essa configuração não bloqueia GPOs se tiverem a configuração Não substituir selecionada.

A configuração Block Policy inheritance é definida somente em sites, domínios e unidades organizacionais e não em GPOs individuais.

Como desativar um GPO para um site, um domínio ou uma unidade organizacional

1. Para desabilitar um GPO para um domínio ou unidade organizacional, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Active Directory usuários e computadores .
   
   Como alternativa, para desabilitar um GPO para um site, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Serviços e sites do Active Directory .
2. Clique com o botão direito do site, domínio ou a unidade organizacional da qual você deseja remover o link para o GPO.
   
   Depois de remover o vínculo, o GPO é desabilitado para esse site, domínio ou unidade organizacional.
3. Clique em Propriedades e clique em guia Diretiva de grupo .
4. Selecione o GPO que você deseja desativar e, em seguida, clique em Excluir .
5. Certifique-se de que remover o vínculo da lista esteja selecionado e, em seguida, clique em OK .

importante : se você clicar em Remover o vínculo da lista para excluir o GPO permanentemente, todos os sites, domínios, e as unidades organizacionais aos quais o GPO está vinculado não tiver as configurações de diretiva de grupo a eles aplicadas.

Como impedir que um GPO seja substituído

1. Para um GPO vinculado a um domínio ou uma unidade organizacional, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Serviços e sites do Active Directory .
   
   Como alternativa, para um GPO vinculado a um site, clique em Iniciar , aponte para programas , aponte para Ferramentas administrativas e, em seguida, clique em Active Directory usuários e computadores .
2. Clique com o botão direito do site, domínio ou a unidade organizacional aos quais o GPO está vinculado.
3. Clique em Propriedades e clique em guia Diretiva de grupo .
4. Clique com o botão direito do mouse o vínculo de GPO que você deseja impedir que seja substituído, clique em Não substituir no menu de contexto e, em seguida, clique em OK .
   
   O estado não substituir será alterado para ativo e uma marca de seleção aparece na coluna Override .

Observação : se você definir Não substituir em um link de GPO, as configurações de diretiva de grupo não forem superpostas para todos os usuários ou computadores no site, domínio ou unidade organizacional e todos os usuários e computadores em recipientes do Active Directory que herdam a diretiva de grupo dele. As configurações de diretiva de grupo que têm a configuração Não substituir não podem ser bloqueadas.