Cuando se crea una política de grupo (GPO) para usuarios o sistemas, éstos suelen estar en una determinada unidad organizativa (OU) dentro de Active directory. Por ejemplo: categorizar las ventas frente a los RRHH.

Por defecto, una GPO que asigne puede desplegarse cuando no lo desee si existen varias OUs y GPOS. Por ejemplo, puede tener GPOs vinculados al usuario, a un grupo al que pertenece el usuario y otro al sistema al que está accediendo.

Supongamos que tiene una directiva de grupo que asigna impresoras y unidades compartidas vinculadas a un usuario. Usted creó ese GPO para ayudar al usuario cuando inicia sesión en las estaciones de trabajo. Ese usuario, sin embargo, también inicia sesión en los servidores. No quiere que ese GPO se aplique cuando el usuario inicie sesión en el servidor. Para solucionar este problema, debe utilizar el filtrado WMI.

Para ello, diseñe la cadena de filtro WMI para identificar los sistemas que desea excluir. Sus filtros WMI sólo se aplican a los sistemas restantes que no identificó. Por ejemplo, si define sólo el Tipo de Producto W32 «1» entonces APLICARÁ el GPO a los sistemas con Tipo de Producto W32 «Tipo «2» y «3».

¿Qué es un Tipo de Producto? Así es como se define el modo de SO:

ProductType=»1″ es Sistema Operativo Cliente

ProductType=»2″ es Controladores de Dominio

ProductType=»3″ es Servidores que no son controladores de dominio

Números de versión de Win32_OperatingSystem de WMI:

5.1 – Windows XP (no debería tener que usar esta)

5.2 – Windows Server 2003

5.2.3 – Windows Server 2003 R2

6.0 – Windows Vista & Windows Server 2008

6.1 – Windows 7 & Windows Server 2008 R2

6.2 – Windows 8 & Windows Server 2012

6.3 – Windows 8.1 Windows Server 2012 R2

Para más detalles sobre esto, aquí hay un buen artículo.

Aquí se explica cómo crear el filtro WMI. Abra Administración de directivas de grupo y expanda Bosque, Dominios y el dominio. Haga clic con el botón derecho en Filtros WMI y seleccione «Nuevo»:

Nombre el filtro WMI, llene la Descripción, luego seleccione «Agregar» para agregar su consulta específica como se muestra en el ejemplo siguiente:

Y Guardar:

Si hay un error en su consulta, puede aparecer una advertencia.

Ahora, cuando edite los GPO, el nuevo filtro WMI que ha creado se mostrará en el desplegable de la parte inferior de la pestaña Alcance.

Así que ahora que entiende el concepto, aquí es cómo probar sus filtros WMI.

En este ejemplo, el filtro excluye controladores de dominio y severs.

Aquí hay un ejemplo de prueba utilizando PowerShell:

$query = «select * from Win32_OperatingSystem WHERE (ProductType<>’2′ AND ProductType<>’3′)»

Get-WMIObject -Query $query

Si el filtro WMI devuelve un resultado, entonces aplica la política. Si no devuelve nada, entonces no aplica la política. En el ejemplo aplicado en mi estación de trabajo, la salida sería así:

¡Ahí lo tienes! Adelante, pruébalo.