Hola Guillermo:
Estoy de acuerdo que crear una GPO por cada directiva que se quiera aplicar, en general, no es recomendable (y más aún, si los valores se contradicen tal como comentas), a no ser que necesitemos filtrarlas por grupos. Sin embargo, no creo que
por una sola GPO adicional vaya a disminuir drásticamente el rendimiento (si fuesen varias, sí podría verse afectado). De hecho, en las empresas donde lo he configurado de esta manera, he probado ambas opciones y, sinceramente, no
he percibido pérdida de rendimiento alguna.
Yo suelo crear una nueva GPO para directivas de cuentas, pero también especifico en ella más directivas que quiero que se apliquen a todo el dominio. Prefiero ponerlas todas en la misma GPO, ya que me facilita la exportación / importación
de la misma.
Otro motivo es el referido en el artículo
http://technet.microsoft.com/en-us/library/cc875814.aspx, donde explican:
Note: Microsoft recommends that you create a new Group Policy object rather than editing the built-in one called
Default Domain Policy because doing so makes it much easier to recover from serious problems with security settings. If the new security settings create problems, you can temporarily disable the new Group Policy object until you isolate the
settings that caused the problems.
Y otra referencia más:
http://technet.microsoft.com/en-us/library/cc779159(WS.10).aspx
Do not modify the default domain policy or default domain controller policy unless necessary. Instead, create a new GPO at the domain level and set it to override the default settings in the default policies.
Los artículos hacen referencia a Windows Server 2003 y Windows Server 2003 R2, aunque entiendo que su contenido es aplicable a Windows Server 2008.
Saludos
Agustín Morales H. /
Blog Agustín Morales H. Formación
MCT Microsoft Certified Trainer
MCITP Enterprise Administrator Windows Server 2008
MCITP Server Administrator Windows Server 2008
MCSE Windows Server 2003 / 2000 / NT 4.0
MCSA Windows Server 2003 / 2000
Problema para cambiar contraseña de windows
