Pontos principais
- A Política de Grupo Local pode ser aplicada somente a administradores pelo método do snap-in do MMC no Windows Pro, Enterprise ou Education.
- Um Editor de Política de Grupo personalizado mira o grupo Administradores local e oferece controle preciso por usuário.
- Executar gpupdate /force ou reiniciar aplica as novas configurações do GPO, e gpresult /r confirma se valeram.
- Contas de administrador ficam mais seguras quando políticas exclusivas para admins restringem scripts, aplicativos e mudanças no sistema.
Este guia mostra como aplicar a Política de Grupo Local a administradores no Windows 11 e no Windows 10. Com essa configuração, as equipes de TI aplicam definições de segurança e restringem ações específicas das contas de administrador, o que evita o uso indevido de privilégios elevados, reduz riscos de segurança e garante conformidade com as políticas da organização.
Se quiser aplicar a Política de Grupo Local a outro grupo de usuários ou a um usuário específico, veja:
- Como aplicar políticas de grupo locais a usuários específicos
- Como aplicar a Política de Grupo Local a não administradores
Caso contrário, siga para o tutorial passo a passo abaixo.
Se o objetivo for aplicar a Política de Grupo Local a não administradores, confira nosso guia em vídeo: Como aplicar a Política de Grupo Local a não administradores no Windows 11 e 10.
O que é a Política de Grupo Local no Windows
A Política de Grupo é um recurso do Windows disponível nas variantes Pro, Enterprise e Server do sistema operacional. Ela permite administrar e configurar dispositivos Windows, incluindo configurações de sistema e de usuário, além de aplicativos de terceiros. É o caminho para gerenciar políticas de segurança, permissões de usuário, configuração de rede e perfis de usuário no Windows.
As Políticas de Grupo são formadas por Objetos de Política de Grupo (GPOs). Cada GPO reúne uma série de opções de configuração que alteram o funcionamento do recurso do Windows ou do aplicativo associado. Os GPOs são aplicados como Configuração do Computador, que vale para um dispositivo Windows específico e para qualquer usuário conectado a ele, ou como Configuração do Usuário, que vale para uma única conta de usuário enquanto ela estiver conectada, independentemente do dispositivo.
Entre as configurações mais comuns feitas com Políticas de Grupo e GPOs do Windows, estão:
- configurar automaticamente compartilhamentos de rede e impressoras compartilhadas;
- definir scripts de logon e logoff;
- configurar automaticamente o navegador, como proxies e permissão ou não de scripts;
- configurar regras de antimalware e firewall;
- bloquear o acesso a determinados aplicativos ou recursos do Windows.
Tipos de Política de Grupo do Windows
- Política de Grupo Local: as políticas de grupo locais valem apenas para o dispositivo em que foram configuradas. Vale destacar: Objetos de Política de Grupo Local são substituídos pelos Objetos de Política de Grupo de domínio vindos da Política de Grupo no Active Directory.
- Política de Grupo no Active Directory: dá para criar Objetos de Política de Grupo em um domínio Active Directory do Windows. Essas políticas têm escopo definido pela Unidade Organizacional do usuário ou do dispositivo dentro do Active Directory. O Active Directory costuma ser implantado para gerenciar dispositivos e usuários Windows em ambientes corporativos.
💡Lembre-se de que GPOs locais podem ser substituídos por GPOs de domínio.
Pré-requisitos para aplicar a Política de Grupo a grupos de usuários
As edições Home do Windows não permitem gerenciar a Política de Grupo Local. Para usar a Política de Grupo Local ou a Política de Grupo no Active Directory, é preciso ter uma das seguintes versões do Windows:
- uma conta de usuário administrador;
- Windows 7/8 Pro, Enterprise ou Ultimate (versões em EOL);
- Windows 10 (EOL) e 11 Pro, Enterprise ou Education.
Lembre-se de que usar versões em fim de vida (EOL) ou sem suporte do Windows traz riscos.
Passos para aplicar a Política de Grupo Local ao administrador
Para gerenciar a Política de Grupo dos administradores, crie uma janela personalizada do Microsoft Management Console (MMC) que edite políticas de grupo apenas para usuários do grupo Administradores:
1. Clique com o botão direito em Iniciar e selecione Executar.
2. Clique em OK e depois em Sim no prompt do Controle de Conta de Usuário para abrir o MMC.
3. No menu de navegação, selecione Arquivo e depois Adicionar/Remover Snap-in.
4. Escolha Editor de Objeto de Política de Grupo e clique no botão Adicionar →.
5. Clique no botão Procurar na janela Selecionar um Objeto de Política de Grupo.
6. Selecione a guia Usuários.
Observação: se a guia não aparecer, o sistema pode estar ingressado em um domínio ou restrito por política.
7. Selecione o grupo Administradores e clique em OK.
8. Clique em Concluir na janela Selecionar Política de Grupo e depois em OK na janela Adicionar ou Remover Snap-ins.
9. A janela do MMC agora mostra o Editor de Política de Grupo Local para usuários administrativos no painel de navegação.
10. Selecione Arquivo e depois Salvar como, e salve essa visualização personalizada do MMC na área de trabalho com o nome Editor de Política de Grupo para usuários administrativos.
Teste a política primeiro em uma conta de administrador não crítica para evitar bloqueios acidentais ou restrições no sistema.
A partir de agora, dá para pular todos os passos acima: sempre que precisar gerenciar políticas de usuário, abra o arquivo MMC salvo na área de trabalho e vá direto ao Editor de Política de Grupo para administradores.
Exemplo de política: ocultar o ícone do Internet Explorer na área de trabalho dos admins
Qualquer alteração feita na política de grupo dentro dessa janela do MMC vale apenas para usuários administrativos do sistema local. Por exemplo, dá para configurar uma política de grupo que oculta o ícone do Internet Explorer na área de trabalho dos Administradores:
- Abra o MMC usando o arquivo criado acima.
- Navegue até Computador Local/Política de Administradores/Configuração do Usuário/Modelos Administrativos/Área de Trabalho.
- Clique duas vezes na configuração Ocultar ícone do Internet Explorer na área de trabalho.
- Selecione Ativado na janela da configuração e clique em OK.
- Para aplicar as alterações, reinicie o dispositivo ou execute gpupdate /force no PowerShell ou no Prompt de Comando.
Para desfazer as alterações, repita o processo, mas na configuração Ocultar ícone do Internet Explorer na área de trabalho selecione Desativado ou Não configurado em vez de Ativado.
Para evitar problemas de implantação, teste bem os GPOs depois de configurá-los e confirme se produzem o efeito esperado.
Para ver esses passos na prática, confira o guia em vídeo: Como aplicar a Política de Grupo Local a administradores no Windows 11 e 10.
O que é a Política de Grupo Local no Windows
A Política de Grupo está disponível nas variantes Pro, Enterprise e Server do Windows. O recurso serve, principalmente, para que as equipes de TI gerenciem políticas de segurança, permissões de usuário, configuração de rede e perfis de usuário de um dispositivo Windows.
As Políticas de Grupo são formadas por Objetos de Política de Grupo (GPOs), cada um com suas opções de configuração, que alteram o funcionamento do recurso do Windows ou do aplicativo associado. As políticas podem ser aplicadas localmente ou pelo Active Directory:
- Política de Grupo Local: as políticas de grupo locais valem apenas para o dispositivo em que foram configuradas. Vale notar que Objetos de Política de Grupo Local são substituídos pelos Objetos de Política de Grupo de domínio no Active Directory.
- Política de Grupo no Active Directory: dá para criar Objetos de Política de Grupo em um domínio Active Directory do Windows. O escopo dessas políticas é a Unidade Organizacional do usuário ou do dispositivo dentro do Active Directory. O Active Directory costuma ser implantado para gerenciar dispositivos e usuários Windows em ambientes corporativos.
Esses GPOs são aplicados como Configuração do Computador, que vale para um dispositivo Windows específico e para qualquer usuário conectado a ele, ou como Configuração do Usuário, que vale para uma única conta de usuário enquanto ela estiver conectada, independentemente do dispositivo.
Entre as configurações mais comuns feitas com Políticas de Grupo e GPOs do Windows, estão:
- configurar automaticamente compartilhamentos de rede e impressoras compartilhadas;
- definir scripts de logon e logoff;
- configurar automaticamente o navegador, como proxies e permissão ou não de scripts;
- configurar regras de antimalware e firewall.
Bloquear o acesso a determinados aplicativos ou recursos do Windows.
Essas configurações comuns ajudam as equipes de TI a manter segurança, consistência e controle em toda a infraestrutura Windows.
Como resolver problemas comuns da Política de Grupo Local
Se as configurações definidas na Política de Grupo Local não surtirem efeito, tente o seguinte:
- verifique se as políticas estão atribuídas ao grupo de usuários Administradores;
- confirme se os usuários que devem receber as configurações realmente são Administradores na máquina local.
Se as configurações estiverem sendo aplicadas a usuários não administrativos em vez de (ou além de) usuários administrativos, verifique se:
- a política de grupo não foi atribuída à máquina (o que abrange todos os usuários dela) em vez de a um grupo de usuários;
- a política de grupo mira o grupo de usuários pretendido.
Para listar todas as políticas de grupo em vigor, execute gpresult /r na linha de comando. Havendo políticas de grupo conflitantes, a mais restritiva sempre prevalece.
Redefinir políticas de grupo (avançado)
Se errar ao configurar as políticas de grupo (e não descobrir qual política específica desfazer para corrigir a situação), dá para reverter todas as políticas de grupo executando os comandos abaixo como administrador:
gpupdate /force
secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
É preciso reiniciar o dispositivo para concluir o processo. O comando acima redefine as políticas de configuração do computador e de configuração do usuário.
Se não conseguir abrir o Editor de Política de Grupo Local, veja o vídeo “Como abrir o Editor de Política de Grupo Local no Windows 10 e no Windows 11” para métodos alternativos.
Por que aplicar a Política de Grupo Local só a administradores?
Normalmente, a Política de Grupo é implantada em um domínio do Active Directory para dar controle centralizado de vários dispositivos Windows. Mas implantações menores ganham ao criar e gerenciar políticas de grupo localmente para:
- impedir que contas de administrador sejam usadas para fins não administrativos, bloqueando aplicativos;
- impedir que usuários não administrativos executem scripts;
- impedir que usuários padrão acessem clientes de e-mail ou outros possíveis vetores de malware enquanto estiverem conectados como administradores.
Além disso, essa configuração também evita que usuários finais alterem definições do sistema e quebrem compatibilidades ou dependências, ou desativem recursos críticos como firewalls e antivírus.
Como gerenciar a Política de Grupo do Windows em escala
Administrar uma frota de dispositivos Windows por uma rede e uma ferramenta confiáveis acelera a implantação em escala. A Política de Grupo do Windows no Active Directory, por exemplo, permite gerenciar milhares de endpoints e aplicar políticas conforme a localização, o tipo do dispositivo ou a função do usuário.
Dito isso, uma solução de gerenciamento de endpoints dedicada para empresas vai além, com controle centralizado, automação e mais segurança. Essa abordagem proativa também se torna cada vez mais essencial no cenário atual da cibersegurança, em que falhas na rede ou na configuração dos dispositivos levam a incidentes mais caros e disruptivos.
Temas relacionados:
