9. AWS: Troubleshooting de GPO en EC2¶
Objetivo¶
Diagnosticar y resolver problemas de aplicación de GPO en instancias EC2 unidas a dominio, siguiendo el checklist del 4.6.
Prerrequisitos¶
- EC2 Windows Server/Client unido a dominio y un DC accesible.
- RDP al equipo afectado y permisos para ejecutar herramientas (GPMC/RSAT donde aplique).
- Puertos/seguridad AWS adecuados (DNS/LDAP/Kerberos/SMB).
Checklist rápido¶
1) gpupdate /force (según alcance: /target:computer|user).
2) gpresult /r y gpresult /h c:\temp\gpo.html para ver GPO aplicadas/denegadas y motivo.
3) rsop.msc para el conjunto resultante y CSE que fallan.
4) Visor de eventos → Microsoft → Windows → GroupPolicy/Operational (IDs y CSE).
5) GPMC en el DC: vínculo, orden, Enforced/Block Inheritance, Security Filtering, filtros WMI.
6) DNS/hora/conectividad con DC (NTP, nltest, ping, nslookup).
7) Replicación AD/SYSVOL (dcdiag, repadmin /replsummary).
Procedimiento guiado¶
- Ver alcance correcto
- ¿La config es de Equipo o de Usuario? ¿Se aplica donde corresponde? ¿Loopback activo? (Equipo → Sistema → Group Policy → Modo Loopback).
- Revisar herencia (LSDOU)
- GPMC → OU de destino → Linked GPOs: orden, si alguna está Enforced. Evitar vínculos a dominio salvo necesidad.
- Security Filtering y permisos
- La GPO requiere "Read" + "Apply group policy" para el objeto o su grupo. Ajustar en Delegation/Scope.
- Filtros WMI
- Validar consulta y que el equipo/usuario cumpla. Simplificar si causa exclusiones inesperadas.
- Eventos de CSE
- Drive Maps, Printers, AppLocker, Software Installation… leer eventos específicos y dependencias (UNC, permisos, AppIDSvc).
- DNS, hora y conectividad
w32tm /query /status, zona DNS correcta,nltest /dsgetdc:DOMINIO, puertos abiertos en SG/NACL.- Replicación y SYSVOL
- Esperar latencias o forzar; comprobar DFS-R en DCs.
Comandos útiles¶
gpupdate /force
gpresult /r
gpresult /h C:\temp\gpo.html
rsop.msc
w32tm /query /status
nltest /dsgetdc:contoso.local
repadmin /replsummary
dcdiag
Verificación¶
- Tras ajustes: repetir
gpupdatey revisargpresult/rsop.msc. - Confirmar eventos sin errores en GroupPolicy/Operational.
- Validar en varias EC2 (y distintas OUs) para descartar problemas de alcance.