¿Qué es GPO Loopback Processing?

La misma persona inicia sesión en su portátil y en un equipo de un aula. Su identidad no cambia, pero el escritorio que necesita cada máquina puede ser distinto. GPO Loopback Processing permite aplicar configuración de usuario tomando como referencia el equipo en el que se inicia sesión. Es especialmente útil cuando el puesto tiene una función que debe prevalecer sobre las preferencias habituales de quien lo utiliza.

La idea parece un pequeño ajuste de Active Directory, hasta que una política de usuario aparece donde nadie esperaba. Loopback cambia cómo se obtiene la lista de directivas de usuario, así que conviene entender sus dos modos antes de activarlo. No hace falta mover las cuentas de las personas al contenedor de los ordenadores para conseguir ese comportamiento.

Cuando manda el puesto de trabajo

Una GPO reúne configuraciones que se aplican a equipos o usuarios según su ámbito y las reglas de procesamiento. En el funcionamiento habitual, la ubicación del usuario en Active Directory influye en sus directivas de usuario. Loopback añade el contexto del equipo a esa selección, algo apropiado para aulas, quioscos o servidores de sesiones con una finalidad concreta.

Imaginemos una sala de formación donde distintas personas usan los mismos puestos. En su portátil cada una tiene configuraciones propias; en el aula interesa un entorno común y predecible. La necesidad pertenece a los ordenadores del aula, no a todos los lugares donde esas personas vayan a trabajar. Esa distinción ayuda a decidir dónde enlazar y limitar la configuración.

-InfraCrew dice: El usuario trae su cuenta. El aula se reserva el derecho de elegir el decorado.-

Microsoft documenta loopback para un entorno de Active Directory con las cuentas del equipo y del usuario en ese directorio. No es un ajuste general para cualquier inicio de sesión local. Antes de diseñar una solución sobre él, comprueba que el escenario de identidad encaja y que las directivas alcanzan al equipo previsto.

Merge añade; Replace cambia la lista

En modo Merge, se obtiene primero la lista habitual de GPO del usuario y después la basada en la ubicación del equipo. Esta segunda lista se añade al final. Sus configuraciones de usuario tienen mayor precedencia ante conflictos, dentro de las reglas de procesamiento aplicables; no se trata de unir dos resultados y escoger al azar.

En modo Replace, no se recopila la lista habitual del usuario: se usa la basada en el equipo. Se sustituye la selección de directivas de usuario, no el perfil ni la cuenta de la persona. Tampoco significa borrar sus archivos o convertir todas las configuraciones existentes en valores predeterminados. Es un cambio de procesamiento de Group Policy.

Volvamos al aula con un ejemplo hipotético: la política habitual del usuario establece una opción de escritorio y la del aula define otra. Merge permite mantener configuraciones habituales que no entren en conflicto, mientras las del equipo pueden imponerse donde sí lo haya. Replace exige revisar qué configuraciones necesarias dejarían de llegar por la lista normal del usuario.

-InfraCrew dice: «Replace» ocupa siete letras. La revisión de lo que deja fuera suele ocupar bastante más.-

Se activa en equipo, pero afecta a usuario

La opción se encuentra en Configuración del equipo, Plantillas administrativas, Sistema, Directiva de grupo, con el nombre de configuración del modo de procesamiento de bucle invertido de usuario. Ese interruptor debe alcanzar al equipo. Después hay que revisar las configuraciones de usuario de las GPO que corresponden al ámbito del ordenador.

Un detalle que evita mucha confusión: loopback no se limita a las opciones de usuario de la GPO que lo activa. Modifica la forma de seleccionar la lista pertinente para ese equipo. Separar el interruptor y las configuraciones puede facilitar la administración, siempre que los enlaces, permisos y filtros estén documentados y produzcan el resultado esperado.

La OU, o unidad organizativa, ayuda a agrupar objetos y definir ámbitos de administración, pero su nombre no garantiza el resultado. Una OU llamada «Aula» puede contener equipos distintos de los que creíamos, y un enlace puede estar deshabilitado. Comprobar el ámbito real precede a discutir la precedencia: lo que no llega a procesarse no puede ganar ningún conflicto.

Probar con la misma persona en dos equipos

Una prueba útil utiliza una cuenta representativa y dos ordenadores: uno dentro del ámbito y otro fuera. Anota qué configuraciones deberían mantenerse, cuáles cambiar y con qué modo. El contraste debe mostrar que el comportamiento sigue al equipo elegido, sin extenderse al puesto habitual de la persona por un enlace demasiado amplio.

Revisa el resultado efectivo con herramientas de diagnóstico de Group Policy, como gpresult, y las incidencias de procesamiento. La presencia de una GPO en la consola no demuestra que sus valores hayan quedado aplicados. Conviene diferenciar la política esperada, la que ha llegado al cliente y la configuración que finalmente gana.

Si el diseño necesita excepciones, prueba también una cuenta que deba quedar fuera y documenta el motivo. Cambiar de Merge a Replace para eliminar un conflicto puede retirar otras configuraciones necesarias. El modo correcto es el que responde al propósito del puesto con efectos conocidos, no el que produce un escritorio aparentemente limpio en la primera prueba.

-InfraCrew dice: Si solo hemos probado con nuestra cuenta de administrador, el aula todavía no ha estrenado alumnado.-

Diccionario de la Crew

GPO — Objeto de directiva de grupo que contiene configuraciones administradas para equipos y usuarios.

Merge — Modo de loopback que añade la lista de GPO basada en el equipo a la lista habitual del usuario.

OU — Unidad organizativa de Active Directory usada para agrupar objetos y organizar su administración.