Las GPO se aplican en el orden local, sitio, dominio y unidad organizativa (LSDOU), y prevalece la última en aplicarse, es decir, la del contenedor más cercano al objeto. La excepción es Enforced, que impone una GPO por encima de las inferiores y también de un bloqueo de herencia.
Qué es una GPO y dónde se aplica
Una directiva de grupo (GPO, Group Policy Object) es un conjunto de configuraciones de equipo y de usuario que se almacena en el dominio y se enlaza a un contenedor de Active Directory. Una misma GPO puede enlazarse a varios contenedores, y un contenedor puede tener varias GPO. El efecto final sobre un objeto es la suma ordenada de todas las que le afectan, y lo que hay que dominar no es qué hace una GPO, sino cuál gana cuando dos dicen cosas distintas.
Los contenedores donde se puede enlazar una GPO son el sitio, el dominio y las unidades organizativas (OU). Los grupos de seguridad no son contenedores: no se enlazan GPO a un grupo, solo se usan para filtrar a quién se aplica. Si necesitas repasar el resto de piezas del directorio, tienes el resumen de conceptos clave de Active Directory.
El orden de procesamiento se resume con la sigla LSDOU: primero la directiva local, después las del sitio, las del dominio y, por último, las de las unidades organizativas. Entre OU, se procesan primero las del padre y después las de los hijos. Como la última en aplicarse es la que prevalece cuando hay conflicto, gana la del contenedor más cercano al objeto.
Orden
Nivel
Se aplica
Prevalece sobre
1
Local
Primero
Nada: es la más débil
2
Sitio (Site)
Después de la local
Local
3
Dominio
Después del sitio
Local y sitio
4
OU padre y luego OU hijas
Al final
Todas las anteriores
Un ejemplo sencillo: la GPO del dominio prohíbe el acceso al Panel de control y la GPO de la OU "Informática" lo permite. Un usuario de esa OU puede usarlo, porque la OU está más cerca del objeto y se aplica después. Y al contrario: si la OU lo prohíbe y el dominio lo permite, queda prohibido.
Un detalle importante: LSDOU solo resuelve los conflictos. Los ajustes que no se contradicen se acumulan; una GPO de dominio que configura el salvapantallas y otra de OU que configura el fondo de escritorio se aplican las dos.
Cuando hay varias GPO en el mismo contenedor
Si un contenedor tiene enlazadas varias GPO, se procesan por orden de enlace (link order). La documentación de Microsoft establece que tiene precedencia la de menor número de orden de enlace: la que figura con el 1 en la consola es la que gana. Es una trampa clásica porque parece lógico que el "1" se procese primero y pierda, y es justo lo contrario.
Enforced y Block Inheritance
Hay dos mecanismos que alteran el comportamiento normal, y conviene no mezclarlos:
Block Inheritance (bloquear herencia): se configura en una OU o en un dominio y hace que ese contenedor no herede las GPO de los niveles superiores.
Enforced (exigido): se configura en el enlace de una GPO y hace que sus ajustes no puedan ser sobrescritos por los contenedores inferiores. Además, atraviesa los bloqueos de herencia.
Trampa de examen. Si un contenedor bloquea la herencia y una GPO superior está marcada como Enforced, el bloqueo no impide que esa GPO se aplique: Enforced tiene prioridad sobre Block Inheritance. Una opción que diga lo contrario es falsa.
Cuándo se aplican y cada cuánto se refrescan
Tipo de configuración
Momento de aplicación
Refresco en segundo plano
Configuración del equipo
Al arrancar el equipo
Cada 90 minutos, con un desfase aleatorio de hasta 30 minutos
Configuración del usuario
Al iniciar sesión
Cada 90 minutos, con un desfase aleatorio de hasta 30 minutos
Esos 90 minutos más hasta 30 de desfase aleatorio son los valores que recoge la documentación de Microsoft para el refresco en segundo plano. El desfase evita que todos los equipos pidan las directivas a la vez. Para forzar la aplicación sin esperar se usa gpupdate /force en el equipo cliente, y para comprobar qué GPO se han aplicado y cuáles se han descartado, gpresult /r.
Filtrado: a quién se aplica realmente una GPO
Enlazar una GPO a una OU no garantiza que se aplique a todos los objetos de ella. Se pueden acotar sus destinatarios con:
Filtrado de seguridad: la GPO solo se aplica a los usuarios o equipos que tengan permiso de lectura y de aplicar directiva. Por defecto el destinatario son los usuarios autenticados.
Filtros WMI: la GPO se aplica solo si el equipo cumple una condición, por ejemplo una versión concreta de sistema operativo.
En un hospital esto tiene un uso evidente: una GPO de bloqueo de unidades USB se enlaza a la OU de puestos administrativos, y una excepción para un servicio concreto se resuelve con una OU distinta o con un filtro, sin tocar la directiva general.
Contexto de Active Directory
El tema de Windows Server del temario no se queda en las GPO. Conviene repasar también los cinco roles FSMO (maestro de esquema, maestro de nomenclatura de dominio, emulador de PDC, maestro de RID y maestro de infraestructura) y cuáles son de bosque y cuáles de dominio. Para el contexto de los servicios de red que rodean al directorio, repasa DNS, DHCP y correo.
Ejemplo resuelto
Un equipo del servicio de Admisión está en la OU "Admisión", dentro de "Hospital", dentro del dominio. Hay una GPO A en el dominio, una GPO B en "Hospital" y una GPO C en "Admisión". A y C configuran el fondo de pantalla; B no toca ese ajuste.
Se aplica A (dominio), después B (OU padre) y después C (OU hija).
El fondo de pantalla lo fija C, que es la más cercana.
Si A estuviera marcada como Enforced, el fondo lo fijaría A aunque C diga otra cosa.
Si "Admisión" bloqueara la herencia pero A fuera Enforced, A se aplicaría igualmente.
Practica el temario TI con preguntas tipo examen
Tests con corrección y penalización real, por tema.
Local, sitio, dominio y unidades organizativas (LSDOU). Entre OU se aplica primero la padre y después la hija, y prevalece la última, la más cercana al objeto.
¿Qué gana, Enforced o Block Inheritance?
Enforced. Una GPO marcada como exigida se aplica aunque el contenedor bloquee la herencia.
¿Cada cuánto se refrescan las GPO?
En segundo plano, cada 90 minutos con un desfase aleatorio de hasta 30 minutos. Se pueden forzar con gpupdate /force.
Si hay varias GPO en la misma OU, ¿cuál prevalece?
La que tiene el menor número de orden de enlace; la que aparece con el 1 es la que gana.
¿Se pueden enlazar GPO a un grupo de seguridad?
No. Se enlazan a sitios, dominios y OU. Los grupos solo se usan en el filtrado de seguridad.
Fuentes
Programa de la categoría de técnico/a especialista de sistemas y tecnologías de la información: Resolución de 16 de julio de 2025 (convocatoria, DOG núm. 141, de 24 de julio de 2025) y Resolución de 18 de junio de 2021 (programa, DOG núm. 126, de 5 de julio de 2021).
Microsoft Learn, "Group Policy processing" (documentación de Windows Server sobre procesamiento y precedencia de directivas de grupo).
Temario OpoSERGAS de Técnico de Sistemas TI, Tema 13 (Windows Server, Active Directory y GPO). Las explicaciones salen de ahí; no son texto oficial.
💻
Practica ahora con preguntas reales de TI SERGAS
2.400+ preguntas tipo test · Tests por tema · Simulacros cronometrados · 100% gratis
🍪 Usamos cookies propias y de terceros para analizar el tráfico (Google Analytics), y recoger opiniones (Trustpilot). Puedes aceptar todas, rechazar o consultar el detalle en nuestra
Política de cookies.