# Protección del fondo de escritorio en Laboratorio

El bootstrap de servidor publica `SGU - Laboratorio wallpaper protection` en
`OU=Laboratorio` y sus OU hijas. Para actualizar un dominio existente sin volver
a ejecutar el bootstrap, ejecute en el DC con permisos para administrar GPO:

```powershell
.\scripts\Set-SguLaboratorioWallpaperPolicy.ps1 `
  -TargetOuDn 'OU=Laboratorio,DC=lci,DC=lasalle,DC=mx'
```

El script reutiliza la GPO, respalda una existente antes de modificarla y verifica
los valores escritos. Admite `-WhatIf`. El vínculo está habilitado y forzado, con
prioridad 1, para que también alcance las OU hijas con herencia bloqueada.

- Loopback **Merge** aplica las opciones de usuario según la OU de la computadora
  y conserva las otras políticas del usuario.
- `NoChangingWallPaper=1` bloquea el cambio desde Personalización.
- `Wallpaper` fija el archivo generado por SGU:
  `%LOCALAPPDATA%\SGU\Wallpapers\welcome-%COMPUTERNAME%.jpg`, con estilo Fill.

Los clientes deben tener el generador, el fondo base y las fuentes que ya entrega
el enrolamiento SGU. La política no reemplaza el generador ni modifica el fondo
de inicio de sesión. No aplica a Linux. Es una restricción de la interfaz de
Windows, no una barrera contra administradores ni contra la modificación directa
del JPG, que está dentro del perfil del usuario.

Tras actualizar las políticas del equipo, cierre e inicie sesión para procesar
loopback y comprobar la política de usuario con `gpresult /h resultado.html`.
Compruebe también visualmente el fondo y Personalización en una sesión de dominio.
La validación por WinRM no sustituye esa prueba de escritorio interactivo.

Referencia: [configuración de fondos mediante GPO de Microsoft](https://learn.microsoft.com/windows/configuration/background/).