Como aposentar (ou ao menos reduzir) o uso de script de logon

Para quem administra uma rede de PCs em Active Directory, usar GPOs (Diretivas de Grupo) e script de logon não são novidades. Geralmente as GPOs são usadas para impor definições (principalmente com foco em segurança e conformidade), mas quando é preciso definir/executar algo que foge desse escopo o script de logon acaba sendo uma saída.

Atualmente você executa alguma dessas tarefas a partir de script de logon? – mapear unidade compartilhada em rede, definir variável de ambiente, atualizar registro, atualizar arquivos, executar rotinas…

Se a resposta foi SIM você é um ótimo candidato a conhecer (e usar) um tipo gratuito de extensão de GPO, aposentando (ou reduzindo) o uso de script de logon.

Conheça nesse artigo o que é e como usar o recurso chamado “Group Policy Preferences” (GPP).

Já adianto que os requisitos mínimos são Active Directory 2003 e PCs com Windows XP (isso mesmo, não precisa mudar o domínio para 2008 ou superior).

O que são as “Group Policy Preferences” – GPP ?

Com a aquisição da empresa DesktopStandard pela Microsoft em 2006 dois produtos foram incorporados ao seu portfolio:

• GPOVault –> virou o Advanced Group Policy Management – AGPM, parte do MDOP (http://bit.ly/w7mdop).
• PolicyMaker –> extensões de GPO rebatizadas como Group Policy Preferences (GPP).

Se as GPOs têm como característica o fato de evitar que o usuário final reverta alguma de suas configurações, no caso das Group Policy Preferences (GPP) ele pode ter esse direito.

Mas o grande diferencial mesmo é o que você consegue fazer com um recurso e com o outro. Daí o motivo do título desse artigo.

O ponto em comum desses dois recursos é que eles são processados/replicados da mesma forma. Para você forçar a atualização tanto de GPO quanto de GPP basta executar o comando GPUPDATE /FORCE.

O que pode ser configurado através de Group Policy Prefences (GPP)?

A lista é extensa, mas vale a pena conferir e confirmar quais delas você atualmente faz através de script de logon(ou gostaria de fazer de alguma outra forma):

Mapear pasta compartilhada em rede Mapear impressora compartilhada em rede Compartilhar pastas locais em rede Compartilhar de impressora local Copiar/atualizar/apagar arquivos Criar/apagar pastas locais Atualizar entradas de registro Criar/atualizar/apagar atalhos Criar/atualizar/apagar entradas ODBC Habilitar/desabilitar dispositivos Habilitar/desabilitar/configurar serviços Associar tipos de arquivos com determinado aplicativo

Definir as Opções de Pasta do Windows Explorer Atualizar conteúdo de arquivos .INI Criar/atualizar/apagar conta local de usuário Criar/atualizar/apagar grupos locais Criar/atualizar/apagar conexão VPN ou Dial-Up Criar/atualizar/apagar de planos de energia Definir variável de ambiente Configurações regionais Criar/atualizar/apagar entradas no Agendador de Tarefas do Windows Configurações do Menu Iniciar Propriedades do Internet Explorer

Como implementar Group Policy Preferences?

O segredo para você conseguir gerenciar as GPPs é acessar a console de administração a partir de uma versão recente de Windows. Se você ainda usa o Windows Server 2003 para gerenciar GPOs você vai continuar enxergando apenas as GPOs. Caso você ainda não use Windows Server 2008 (ou superior) a minha sugestão é instalar o pacote RSAT no Windows 7 (http://bit.ly/w7rsat).

Dessa maneira ao carregar o Group Policy Management Console para editar (ou criar) alguma GPO você verá o container “Preferences” além de “Policies” (figura abaixo). A partir disso basta configurar as GPPs, como se fossem GPOs.

Do lado dos PCs se você estiver usando Windows 7 nenhuma alteração precisa ser realizada. Se estiver usando Windows Vista ou Windows XP será necessário instalar uma extensão, conforme artigo http://support.microsoft.com/kb/943729

Exemplo de Group Policy Preferences:

Vamos analisar o processo de mapeamento de pasta compartilhada em rede. Além de definir o caminho da rede e letra da unidade nós temos outras opções para tornar essa tarefa mais flexível (clique na imagem para vê-las em tamanho original):

• Ocultar/exibir a unidade mapeada
• Conectar com outras credenciais de usuário
• Aplicar apenas uma vez (se o usuário “desmapear” essa unidade ela não será mais mapeada por essa GPP)
• Definir filtro para aplicar essa GPP apenas para os PCs/usuários que atenderem determinados requisitos (Item-level targeting)

Confira abaixo as telas de algumas outras configurações que podem ser realizadas via GPP: