¿Qué es el orden LSDOU de las GPO?

LSDOU resume el orden habitual en que Windows aplica las directivas de grupo: Local, Site, Domain y Organizational Unit. Primero se procesa la directiva local; después las vinculadas al sitio, al dominio y a las unidades organizativas. En OUs anidadas, se procesan antes las superiores y luego las más próximas al objeto de usuario o equipo.

El orden ayuda a entender por qué una configuración aparece, cambia o deja de aplicarse. Las directivas suelen ser acumulativas, y una aplicación posterior puede prevalecer sobre otra anterior cuando ambas definen el mismo ajuste. LSDOU es una regla de lectura útil, pero no describe por sí sola las excepciones, filtros y prioridades de cada entorno.

Recorrer la jerarquía de Active Directory

La parte Local procede del equipo Windows. Site representa el sitio de Active Directory asociado con la conexión del equipo; Domain corresponde a las políticas enlazadas al dominio; OU agrupa objetos y puede anidarse en otras OUs. El orden se desplaza desde el ámbito más amplio al más cercano al objeto que procesa la política.

Imagina un equipo dentro de Equipos/Sedes/Madrid/Portátiles. Puede recibir primero una configuración local, luego políticas del sitio y del dominio, después las de Sedes, Madrid y Portátiles. La política más cercana puede sobrescribir ajustes anteriores si administra el mismo valor y no hay una excepción que altere la herencia.

Las directivas pueden tener configuración de equipo y de usuario. Las primeras suelen procesarse durante el inicio del equipo; las segundas durante el inicio de sesión. La ubicación del objeto de equipo no sustituye a la del objeto de usuario. Normalmente cada uno recibe los GPO vinculados a su propia ruta de Active Directory.

-InfraCrew dice: LSDOU es el orden del recorrido; el resultado depende de qué se enlaza en cada parada.-

Precedencia, herencia y excepciones

Si varios GPO ajustan el mismo valor, el orden de procesamiento y el vínculo pueden determinar cuál prevalece. Dentro del mismo contenedor, el orden de vínculo también cuenta: Microsoft señala que el número de orden más bajo tiene mayor precedencia por defecto. No basta con saber que dos políticas están vinculadas; hay que revisar link order, alcance y la configuración concreta que entra en conflicto.

Block Inheritance puede impedir que políticas de contenedores superiores lleguen a una OU. Un vínculo marcado como Enforced puede conservar prioridad a través de determinados bloqueos de herencia. Estas opciones alteran el recorrido normal y deben documentarse como decisiones explícitas. No asumas que un GPO «de dominio» gana siempre ni que una OU puede ignorarlo en todas las circunstancias.

Los filtros de seguridad y WMI pueden limitar a qué usuarios o equipos se aplica un GPO. Además, no toda política visible en la consola ha sido procesada correctamente en el cliente. El alcance efectivo depende de vínculo, permisos, filtros y estado de replicación. Revisar solo la lista de GPO vinculados produce diagnósticos incompletos.

-InfraCrew dice: La herencia puede bloquearse; las sorpresas también, si el diagrama está actualizado.-

LSDOU no es el modo Loopback

Loopback es una opción distinta para escenarios donde la configuración del usuario debe depender del equipo que está usando. Puede combinar la lista de GPO del usuario con otra derivada de la ubicación del equipo —modo Merge— o reemplazarla por la lista del equipo —modo Replace—. Loopback cambia cómo se obtiene la lista de políticas de usuario, por lo que puede romper la intuición de seguir únicamente la OU del usuario.

Microsoft lo orienta a ordenadores de uso especial, como aulas, kioscos o equipos compartidos, donde interesa aplicar políticas según la estación de trabajo. No debe habilitarse para corregir una precedencia mal entendida. Primero identifica si el problema es de ubicación de objetos, filtros, orden de vínculos, replicación o de una política que modifica el mismo ajuste.

Si se usa Loopback, documenta el modo, la OU donde se configura y las políticas que entrarán en la lista. Comprueba la experiencia de usuario desde equipos dentro y fuera del ámbito previsto. La excepción debe ser visible para quien mantenga el dominio; de otro modo, el resultado puede parecer aleatorio aunque siga una regla consistente.

Diagnosticar sin adivinar

Empieza por confirmar dónde están los objetos de usuario y de equipo, cuál es su sitio y qué GPO se vincula en cada nivel. Después revisa link order, Block Inheritance, Enforced, filtro de seguridad, filtro WMI y permisos de lectura y aplicación. La pregunta útil es qué lista recibió el cliente, no cuál política esperábamos que recibiera.

En el equipo afectado, usa las herramientas de resultados de directiva para consultar GPO aplicados y denegados, y el motivo correspondiente. Comprueba registros de Group Policy y conectividad con controladores de dominio cuando haya diferencias entre sedes. El resultado del cliente permite separar el diseño del problema de aplicación.

Antes de cambiar un enlace, formula la regla en lenguaje claro: qué usuario o equipo recibe qué ajuste y desde qué ámbito. Prueba cambios en un grupo controlado y observa tanto el caso que debe funcionar como el que debe quedar excluido. El orden se vuelve manejable cuando cada vínculo tiene un propósito comprobable, no cuando la consola acumula excepciones sin dueño.

-InfraCrew dice: Si un usuario recibe políticas distintas según el aula, revisa Loopback antes de culpar al horario.-

Diccionario de la Crew

GPO — Objeto que agrupa configuraciones de directiva aplicables a usuarios o equipos.

OU — Unidad organizativa de Active Directory que contiene y organiza objetos del directorio.

Enforced — Opción de vínculo que protege la aplicación de un GPO frente a ciertas alteraciones de herencia.