¿Qué es Item-Level Targeting en GPP?

Item-Level Targeting, o ILT, permite decidir si se aplica un elemento concreto de las Preferencias de Directiva de Grupo de Windows (GPP). Dentro de una misma GPO puedes configurar varias impresoras, unidades de red o accesos directos y asignar condiciones distintas a cada elemento. Es útil cuando necesitas que la configuración acompañe al contexto del usuario o del equipo sin multiplicar las GPO por cada pequeño caso.

Imagina que una oficina necesita una impresora para Finanzas y otra para el resto de departamentos. La GPO puede llegar a un conjunto amplio de usuarios, mientras que la preferencia que conecta la impresora de Finanzas solo se procesa para quienes cumplen su condición. Ese filtro decide la configuración que recibe el puesto; los permisos de impresión siguen teniendo que estar correctamente definidos en el recurso.

-InfraCrew dice: Que Windows no te ponga la impresora en la lista no convierte la impresora en una cámara acorazada.-

El filtro pertenece al elemento

La GPO debe estar dentro del alcance aplicable antes de que tenga sentido evaluar el elemento. ILT no hace que una directiva sin vínculo o sin permiso de aplicación llegue mágicamente al usuario. Separar esas dos capas ayuda mucho al diagnosticar: primero comprueba que la GPO corresponde al destinatario y después revisa por qué una de sus preferencias se aplica o se omite.

El filtrado de seguridad de la GPO afecta al objeto de directiva; ILT permite afinar una preferencia dentro de él. Una GPO podría contener dos conexiones de impresora con condiciones diferentes y un acceso directo común sin condición adicional. No hace falta que todos esos elementos tengan los mismos destinatarios, aunque compartan el contenedor administrativo.

Para configurarlo en GPMC, edita la GPO, localiza el elemento dentro de Preferencias y abre sus propiedades. En la pestaña Common activa Item-level targeting y abre Targeting para construir las condiciones. La ruta concreta hasta el elemento cambia según estés trabajando con configuración de usuario o de equipo y con la extensión correspondiente, como impresoras o unidades de red.

AND y OR cambian quién recibe la configuración

Cada condición devuelve verdadero o falso y el resultado combinado decide si se procesa la preferencia. Puedes evaluar, entre otros criterios, pertenencia a un grupo, nombre de equipo, sitio de Active Directory o existencia de un archivo. Elegir el criterio requiere saber qué representa realmente: un sitio de AD es una definición de la infraestructura, no el texto que alguien pegó en la puerta de la oficina.

Volvamos a un ejemplo hipotético. Queremos conectar una impresora a quien pertenezca al grupo Finanzas AND trabaje desde el sitio Sede-Norte. Con AND deben cumplirse ambas condiciones; una persona de Finanzas en otro sitio queda fuera. Si cambias a OR, bastará con pertenecer a Finanzas o estar en Sede-Norte, lo que puede incluir a mucha más gente de la prevista.

Cuando la regla crece, utiliza colecciones de condiciones para expresar agrupaciones, como harías con paréntesis. Escribe primero la frase de negocio y después tradúcela al editor: «Finanzas y uno de estos dos sitios» no equivale a «Finanzas en este sitio, o cualquier persona del otro». Revisar casos concretos suele descubrir errores que una lista larga de condiciones disimula bastante bien.

-InfraCrew dice: Cambiar AND por OR cuesta un clic. Explicar por qué media empresa imprime en contabilidad suele llevar algo más.-

Dejar de cumplir la condición no siempre limpia lo anterior

Por defecto, las preferencias no retiran automáticamente una configuración anterior cuando deja de aplicarse la GPO. Que un elemento ya no cumpla su filtro no permite asumir que una unidad o impresora desaparecerá. Revisa la opción Remove this item when it is no longer applied y su comportamiento en la extensión elegida antes de diseñar una configuración que deba acompañar cambios de ubicación o función.

También importa Apply once and do not reapply. Esta opción está pensada para aplicar el elemento una sola vez, y después no actualizarlo en los refrescos posteriores. Puede ser apropiada para una configuración inicial, pero merece una revisión especial si esperas que una preferencia responda continuamente a cambios de contexto; no actives opciones comunes sin comprobar cómo afectan al resultado esperado.

Evita usar ILT como sustituto de los permisos del recurso. Aunque no se conecte una unidad automáticamente, alguien podría intentar abrir la ruta de red por otro medio. Si el contenido es exclusivo de un grupo, sus autorizaciones deben protegerlo independientemente del método con el que se distribuya el acceso directo o la conexión.

Probar a quien entra y a quien debe quedarse fuera

Prepara una matriz pequeña de pruebas antes de ampliar el despliegue. En el ejemplo, incluye Finanzas en Sede-Norte, Finanzas fuera de ese sitio y otra persona dentro de Sede-Norte. Registra el resultado esperado para cada combinación, comprueba la configuración recibida y conserva las condiciones utilizadas; probar solo al usuario que debe recibir la impresora deja la mitad del problema sin revisar.

Prueba también la transición entre estados, no únicamente el primer inicio de sesión. Comprueba qué ocurre después de que cambie la condición, qué configuración anterior permanece y si otro elemento vuelve a crearla. Con nombres claros, reglas breves y evidencias de los casos excluidos, ILT permite mantener una configuración precisa sin convertir la GPO en un acertijo que nadie quiera tocar.

-InfraCrew dice: El mejor filtro también se prueba con quien no debería pasar. Ese usuario suele encontrar el OR que se nos escapó.-

Diccionario de la Crew

• GPP: Group Policy Preferences, extensiones para distribuir configuraciones a usuarios y equipos Windows.
• GPO: objeto de Directiva de Grupo que contiene configuraciones y se aplica según su alcance y sus filtros.
• ILT: condiciones de aplicación de un elemento individual de preferencias.
• GPMC: consola de administración de Directivas de Grupo.
• AND / OR: operadores lógicos que exigen todas las condiciones o permiten cumplir alguna, respectivamente.
• Sitio de AD: agrupación lógica de la infraestructura de Active Directory asociada a su topología de red.