Políticas de Grupo

Objetivos da aula

Ao final desta aula, o aluno saberá usar o Editor de Política de Grupo Local (gpedit.msc) para deixar todas as máquinas de um laboratório com o mesmo padrão de aparência, segurança e horário de uso.

Competências trabalhadas:

1. Entender o que é uma política de grupo e onde ela age (computador ou usuário).
2. Localizar, habilitar e desabilitar políticas no editor.
3. Aplicar e conferir as políticas com gpupdate e gpresult.
4. Montar um padrão de laboratório e replicá-lo em várias máquinas.

1. O que é o gpedit.msc

O gpedit.msc é o Editor de Política de Grupo Local: uma ferramenta do Windows que define regras para o computador e para os usuários sem precisar editar o Registro à mão. Cada política é, na prática, uma chave do Registro protegida, que o usuário comum não consegue alterar.

O editor existe apenas no Windows Pro, Enterprise e Education. O Windows Home não tem gpedit oficialmente; nesses casos a saída é atualizar a edição ou configurar via Registro.

Política Local x GPO de domínio

A ordem de aplicação é Local → Site → Domínio → Unidade Organizacional; a última aplicada prevalece.

As duas grandes áreas do editor

• Configuração do Computador: vale para a máquina inteira, qualquer que seja o usuário (ex.: bloquear pendrive, mensagem na tela de logon, Windows Update).
• Configuração do Usuário: vale para quem fizer login (ex.: papel de parede, bloquear Painel de Controle, bloquear o CMD).

Dentro de cada uma há três pastas: Configurações de Software, Configurações do Windows (scripts e segurança) e Modelos Administrativos (a maior parte das opções usadas nesta aula).

2. Usando o editor na prática

Para abrir, pressione Win + R, digite gpedit.msc e confirme com Enter (é preciso ser administrador). Navegue pela árvore à esquerda e dê dois cliques na política desejada à direita.

Os três estados de uma política

Atenção ao nome: em “Impedir acesso ao Painel de Controle”, Habilitado significa bloquear. Leia sempre a descrição à direita antes de mudar.

Aplicar e conferir

gpupdate /force

Aplica as políticas na hora. Algumas (scripts, instalação, USB) só valem após reiniciar ou fazer logoff.

gpresult /r
gpresult /h C:\relatorio-politicas.html

Mostram quais políticas estão ativas; o segundo comando gera um relatório em HTML para abrir no navegador. O console rsop.msc mostra o mesmo resultado em modo gráfico.

Dica essencial para escolas: políticas só para alunos

Tudo o que é feito em “Configuração do Usuário” no gpedit.msc normal vale também para o administrador. Para restringir apenas os alunos, use a Política de Grupo Local Múltipla:

1. Win + R → mmc → Arquivo → Adicionar/Remover Snap-in.
2. Escolha Editor de Objeto de Política de Grupo → Adicionar → Procurar.
3. Na aba Usuários, selecione Não Administradores → Concluir.
4. Salve o console como Politica-Alunos.msc na Área de Trabalho do administrador.

Assim, os bloqueios de usuário atingem as contas de aluno e o técnico continua com acesso total.

3. Configurações recomendadas para o laboratório

As tabelas abaixo formam um padrão completo de laboratório. Abreviações: CC = Configuração do Computador, CU = Configuração do Usuário, MA = Modelos Administrativos. Os nomes podem variar levemente entre Windows 10 e 11.

Aparência padrão

Guarde as imagens numa pasta local, como C:\Escola, onde os alunos tenham apenas permissão de leitura.

Proteção de tela e sessão

Restrições do sistema (aplicar só em Não Administradores)

Dispositivos e segurança

Atualizações e navegador

4. Desligar as máquinas em horário fixo

O gpedit não tem uma política pronta de “desligar às 22h”. A solução é combinar um script de inicialização (aplicado pela política) com o Agendador de Tarefas: toda vez que a máquina liga, o script garante que a tarefa de desligamento exista.

1. Crie a pasta C:\Escola\Scripts e, dentro dela, o arquivo agenda-desligamento.bat com o conteúdo abaixo.
2. Abra o gpedit.msc e vá em CC › Configurações do Windows › Scripts (Inicialização/Desligamento).
3. Dê dois cliques em Inicialização → Adicionar → selecione o arquivo .bat.
4. Reinicie a máquina e confira a tarefa em taskschd.msc, na pasta Laboratorio.

@echo off
rem Desliga de segunda a sexta as 22h, com aviso de 10 minutos
schtasks /create /tn "Laboratorio\DesligamentoNoturno" /tr "shutdown.exe /s /f /t 600" /sc weekly /d MON,TUE,WED,THU,FRI /st 22:00 /ru SYSTEM /rl HIGHEST /f

rem Sabado o laboratorio fecha as 13h
schtasks /create /tn "Laboratorio\DesligamentoSabado" /tr "shutdown.exe /s /f /t 600" /sc weekly /d SAT /st 13:00 /ru SYSTEM /rl HIGHEST /f

O que cada parte faz: /t 600 dá 10 minutos de aviso para o aluno salvar o trabalho; /f fecha programas abertos; /ru SYSTEM faz a tarefa rodar mesmo sem ninguém logado; /f no final sobrescreve a tarefa se ela já existir. Para cancelar um desligamento em andamento, o professor usa shutdown /a.

Para completar o padrão, em CC › MA › Sistema › Gerenciamento de Energia é possível definir que a tela desligue após 15 minutos e que o computador hiberne após 1 hora sem uso, economizando energia entre as aulas.

5. Boas práticas e replicação

A regra de ouro é configurar e testar uma máquina modelo antes de copiar o padrão para o laboratório inteiro.

Cuidados para não se trancar fora

• Mantenha sempre uma conta administradora com senha conhecida só pela equipe técnica.
• Aplique bloqueios de usuário no console de Não Administradores, nunca no gpedit.msc geral.
• Mude uma política por vez e teste com uma conta de aluno antes de seguir.
• Anote cada política alterada numa planilha: caminho, valor e data.
• Para desfazer, volte a política para Não Configurado e rode gpupdate /force.

Copiar o padrão para outras máquinas

O jeito mais seguro é a ferramenta gratuita LGPO.exe, parte do Microsoft Security Compliance Toolkit.

rem Na maquina modelo: exporta todas as politicas locais
LGPO.exe /b D:\PadraoLab

rem Em cada maquina do laboratorio: importa o backup
LGPO.exe /g D:\PadraoLab\{GUID-gerado-no-backup}
gpupdate /force

Alternativa manual: copiar a pasta oculta C:\Windows\System32\GroupPolicy (e GroupPolicyUsers, se usar Não Administradores) para a mesma pasta nas outras máquinas. Essa cópia leva os Modelos Administrativos e scripts, mas não as Configurações de Segurança; para estas, use secedit /export /cfg seguranca.inf e secedit /configure /db secedit.sdb /cfg seguranca.inf.

Com mais de 20 máquinas, vale considerar um servidor com Active Directory: uma única GPO de domínio substitui a configuração máquina a máquina.

6. Atividade prática

Em duplas, cada grupo transforma uma máquina (ou máquina virtual) no “modelo do laboratório” em cerca de 40 minutos.

• Criar uma conta local padrão chamada aluno.
• Criar o console de políticas para Não Administradores.
• Definir o papel de parede da escola e impedir a troca.
• Configurar proteção de tela com senha após 10 minutos.
• Bloquear Painel de Controle e Editor do Registro para o aluno.
• Bloquear a execução de programas a partir de pendrives.
• Colocar uma mensagem de aviso na tela de logon.
• Agendar o desligamento diário às 22h pelo script de inicialização.
• Rodar gpresult /h com a conta aluno e entregar o relatório HTML ao professor.

Exercícios de fixação

1. Qual a diferença entre Configuração do Computador e Configuração do Usuário? Dê um exemplo de cada.
2. Uma política chamada “Impedir acesso ao prompt de comando” foi marcada como Desabilitado. O aluno consegue abrir o CMD? Por quê?
3. Por que não é recomendável bloquear o Painel de Controle pelo gpedit.msc comum?
4. Qual comando aplica as políticas imediatamente e qual mostra as políticas ativas?
5. O laboratório tem 30 máquinas sem servidor. Descreva como você replicaria o padrão.
6. Escreva o comando schtasks que desliga as máquinas todos os dias às 18h30.

Gabarito resumido

1. Computador vale para a máquina (ex.: bloquear USB); Usuário vale para quem loga (ex.: papel de parede).
2. Sim: Desabilitado desliga o bloqueio explicitamente.
3. Porque o bloqueio também atinge o administrador; o correto é usar o console de Não Administradores.
4. gpupdate /force aplica; gpresult /r mostra.
5. Configurar uma máquina modelo, exportar com LGPO.exe /b e importar em cada máquina com LGPO.exe /g.
6. schtasks /create /tn "Laboratorio\Desligar1830" /tr "shutdown.exe /s /f /t 600" /sc daily /st 18:30 /ru SYSTEM /f