Grupos AD

Tipos de grupos en Active Directory

Los grupos de usuarios en active directory nos permite llevar una mejor organización de nuestros usuarios, permitiéndonos agruparlos por funciones o roles que desempeñen.

Existen distintos tipos de grupos :

Grupos Predeterminados

Estos grupos se generan al crear un dominio de active directory  y sus privilegios se le asignan automáticamente. Compartiendo recursos de red y delegar funciones administrativas en el dominio.

Grupos Locales

Los grupos locales de dominio no deben utilizarse para asignar permisos en objetos de AD, ya uq no se puede evaluar en otros dominios, y partes de la mayoria de los objetos de AD se replican en otros dominios en la forma del Catálogo global.

Grupos globales

Se utilizan los grupos globales para administrar objetos de directorio que requiera mantenimiento diario, como cuentas de usuario y de equipo. Estos pueden otorgar permisos a los recursos en cualquier dominio y se encuentran disponibles en todos los niveles funcionales del dominio.

Grupos Universales

Un grupo de ambito universal es un grupo de seguridad o distribucion que puede contener usuarios, equipos, grupos universales y grupos globales de cualquier dominio del bosque.
(Un grupo universal no puede contener grupos locales).

Usuarios de directorio activo

La cuenta de usuario será la única credencial que tendremos para acceder a un dominio y sus recursos.
De esta forma el dominio podrá llevar un control sobre los usuario que han accedido , la hora en la que han accedido y también sobre sus actividades.

Existen varios tipos de cuenta de usuario
Usuarios normales
Invitados
Administradores
Asistentes remoto

Cada cuenta contará con distintos permisos sobre nuestro dominio, alguno mas restrictivo que otro.

Una vez creado el usuario puede demorar cierta cantidad de tiempo hasta que ese usuario quede actualizado en el BDC del dominio.

A la hora de crear una nueva cuenta de usuario debemos primero planificar los permisos que pueden ser.

Una cuenta de usuario debe ser unica
Debemos definir la Clave de acceso
El horario en el que podrá acceder este usuario.
Desde que equipos se podrá conectar
Y debemos definir su Directorio personal de cada usuario.

Tenemos ciertos limites a la hora de elegir el nombre de usuario por ejemplo:
Tiene un limite de 20 caracteres
Están prohibido signos como  “/\[]:;|=,+*?<>
Podemos jugar con los nombres y apellidos para asignarle un nombre de usuario.
Por ejemplo: podemos jugar con su nombre y las primeras letras de su apellido, etc.
También es posible asignarle los nombres según los roles que desempeñan, pero no es muy recomendable debido a que podemos exponer información que quizás no es de incumbencia a otros usuarios.

También definiremos reglas con respecto a la contraseña por ejemplo:

• Si la contraseña expira
• Si deberá cambiarla una vez inicie sesión
• Si podrá repetir la clave una vez esta caduque 

Copias de seguridad

Existen 2 maneras de realizar copias de seguridad en Windows, mediante modo gráfico y mediante linea de comandos.

Las copias de seguridad se pueden realizar de forma manual o programarlas para que se realicen de forma periódica y automática.

En Windows server 2008 tendremos que añadir la característica de copias de seguridad de windows y Herramienta de linea de comandos ( En caso de que deseemos realizarlo mediante comandos).

Para acceder a la interfaz de copias de seguridad, podemos acceder mediante Inicio<Herramientas Administrativas<Copias de seguridad de windows server

Podemos escoger tres formar de realizar nuestras copias de seguridad

• Incremental: Copia los archivos que han sido variados desde nuestra ultima copia.
• Diferencial: Es similar al incremental, este copia los archivos que hayan sido cambiados desde la ultima copia.
• Completa: Realizará una copia completa del sistema.

Visor de eventos

El visor de eventos es una herramienta la cual  permite una visualización  detallada sobre eventos importantes realizados en nuestro equipo como por ejemplo programas que no se han iniciado de forma correcta asi como actualizaciones automáticas y también nos permite almacenar errores sobre el hardware del equipo .

Se utiliza el visor de eventos mayormente para solucionar errores en nuestro sistema. El visor de eventos registra de forma predeterminada los siguientes sucesos:

• Registro de aplicación: Almacena los sucesos de las aplicaciones o programas.
• Registro del sistema: Almacenas los sucesos registrados por los componentes de windows.
• Registro de seguridad: Almacena sucesos de seguridad tales como inicios de sesión validos y fallidos (en muchos casos esta deshabilitado por defecto).
• Registro de instalación: Permite grabar los sucesos que ocurran al añadir o eliminar funciones del sistema. 

Si es un controlador de dominio permite :

• Almacena información del registro de directorio 
• Registro del servicio de replicacion de archivos.

El visor de sucesos cuenta con los siguientes tipos de sucesos:

Error: Problemas importantes, como perdida de datos o funcionalidad.
Advertencia: Suceso que no es muy importante, pero que podría causar problemas en un futuro.
Información: Describe el funcionamiento correcto de un suceso.
Auditoría de aciertos: Un intento de acceso de seguridad auditado correcto.
Auditoría de errores: Un intento de acceso de seguridad auditado erróneo.

Monitor de Rendimiento

El monitor de rendimiento cumple un rol importante  en el mantenimiento y de la administración de Windows 2008, se encarga de analizar nuestro sistema mientras hay aplicaciones en ejecución capaz de mostrarnos información visual en tiempo real y mediante una recopilación de datos para un posterior analisis.

Hay tres áreas en las que debe concentrarse principalmente: 

• Actividad del disco
• Uso del procesador
• Uso de la memoria 
 

 

Monitor de Confiabilidad

El monitor de confiabilidad es un complemento del MMC ( Microsoft Management Console). Nos proporciona una vista personalizada de la estabilidad de nuestro sistema recopilando datos de rendimiento y sesiones de seguimiento de eventos divididas en 5 categorías:

• Instalación /desinstalación de software 
• Errores de aplicaciones
• Errores de hardware 
• Errores de windows
• Errores varios 

 Conjuntos de recopiladores de datos

Un conjunto de recopiladores de datos es el bloque de creación de la supervisión y los informes de rendimiento en el Monitor rendimiento de Windows. También se le da la facilidad al usuario de crear un conjunto de recopiladores de datos a partir de una plantilla, un conjunto existente de datos en una vista de Monitor de rendimiento, o mediante la sección de recopiladores de datos individuales y la configuración de cada una de las opciones individuales de las propiedades del conjunto de recopiladores de datos

El conjunto de recopiladores de datos puede contener los siguientes tipos:

• Contadores de rendimiento 
• Datos de seguimiento de eventos
• Información de configuración del sistema

Arranque y parada del Sistema

Inicio del Sistema

Windows nos da la oportunidad de escoger que aplicaciones deseamos que se inicien al encender el equipo, haciendo que su inicio sea mas liviano o un poco mas cargado.
Para acceder a elección de estos programas tenemos que Ejecutar el msconfig.msc

Hay algunos programas que se cuelan en nuestro sistema de arranque de Windows, haciendo mas lento el inicio de sesión y ocupando memoria.
Hay que conocer que elementos desactivamos, puede darse el caso de que por desconocer desactivemos los controladores de nuestro teclado, mouse o algún elemento usb que utilicemos, llevándonos a buscar alternativas para lograr que funcione dicho servicio.

Procesos: 

Se puede entender como proceso a un programa en ejecución. Podemos llevar un control de los procesos en ejecución mediante el Administrador de tareas.
Existen distintos estados en los procesos por ejemplo:
Nuevo: Que indica que el proceso ha sido creado mas no se ha admitido en el grupo de procesos ejecutables.
Listo: El proceso está esperando ser asignado al procesador para su ejecución.
En ejecución: El proceso tiene la CPU y ésta ejecuta sus instrucciones.
En espera: El proceso está esperando a que ocurra algún suceso, como por  ejemplo la terminación de una operación de E/S.
Terminado: El proceso ha sido sacado del grupo de procesos ejecutables por el sistema operativo. Después de que un proceso es marcado como terminado se liberarán los recursos utilizados por ese proceso, por ejemplo, la memoria.

Programador de tareas  

Es un programa esencial de Windows el cual nos permite ejecutar cualquier tipo de tarea sin necesidad de la interacción del usuario.
Podemos encontrar esta aplicación desde Inicio > Accesorios > Herramientas del sistema > Programador de tareas. 

El programador de tareas nos permite definir la hora, el día y la frecuencia  en la que queremos ejecutar dicha actividad. También nos permite la configuración de cualquier archivo ejecutable.

Por ultimo el programado de tareas nos permite especificar cierto tipo de condiciones a cumplir para que el programa pueda ser ejecutado (Esto se encuentra en opciones avanzadas).

Añadir Equipos al dominio

Haz miembro del dominio “majadasir.es” a una máquina que ejecute Windows 7 y a otra que ejecute Windows XP Professional. El nombre del equipo tras unirse al dominio debe ser “pc_7.majadasir.es” y "pc_xp.majadasir.es". Ten en cuenta que para poder realizar esta actividad, el equipo “pdc.majadasir.es” debe estar en funcionamiento y debe existir conexión entre ambos equipos.

Participantes del grupo Juanjo Oviedo, Carlos Carmona y Pablo Rambow

Datos del Servidor

Sistema Operativo: Windows Server 2008 R2

Dominio: Majadasir.es                                                 IP Fija del equipo: 10.0.2.15

Mascara de red  255.0.0.0                                           Puerta de enlace: 10.0.2.2

Creamos un un nuevo  usuario para integrar el equipo con S.O Windows XP

Usuario: winxp                                                                               Contraseña: Majada123

Conectar cliente windows XP professional a dominio majadasir.es

Primeramente deberemos modificar nuestra dirección ip y ponernos en la red del dominio (10.0.2.0 en nuestro caso), introducimos como puerta de enlace la ip del servidor. Confirmamos que vemos la máquina haciendo un ping al server.

Ahora accedemos a la pestaña “Nombre de equipo” y pulsamos sobre el botón “cambiar” una vez añadamos la descripción del equipo:

En la nueva ventana introducimos el nombre del equipo (pc_xp) y le indicamos el dominio (majadasir.es):

Una vez nos unamos al dominio deberemos reiniciar la máquina. Al iniciar sesión debemos picar sobre el botón “opciones” permitiéndonos así  la opción de conectarnos a nuestro dominio majadasir.es

Finalmente, después de validarnos observamos que hemos iniciado sesión como el usuario creado en el dominio:

Unir equipo Windows 7 al dominio ( se realizó con otro servidor) 

1. Configurar adaptador de red para estar en la misma red que el equipo servidor WS2K8. Las dos máquinas estarán con adaptador de red interna. En Servidor DNS preferido colocar la ip del servidor porque de lo contrario a la hora de intentar unir al dominio este equipo nos saldrá un mensaje de error indicando que no se encuentra un servidor DNS.

2. En Equipo/Propiedades Cambiar configuración unimos el cliente W7 al dominio.

Escribo en dominio “majadasir.es”

Al hacer clic en Aceptar nos aparece una pantalla donde tenemos que iniciar sesión con una cuenta que hayamos creado anteriormente en el Active Directory de WS2K8.

En una máquina con Windows Server 2008 R2, configura un controlador de dominio de respaldo para el dominio “majadasir.es”. Haz que sea también servidor DNS y que albergue el catálogo global. El equipo debe llamarse “bdc.majadasir.es”. Ten en cuenta que el equipo “pdc.majadasir.es” debe estar en funcionamiento y debe existir conexión entre los dos.

Controlador de dominio de respaldo

He clonado la máquina virtual WS2K8 y en la máquina clon he eliminado el dominio majadasir.es.

Configuré el adaptador de red para estar en el mismo rango de ip que el servidor

Se comprueba la visibilidad entre la maquina qué servirá de respaldo y el servirdor 

Se ejecuta dcpromo para eliminar el dominio existente

Reiniciamos y ejecutamos dcpromo nuevamente para crear el controlador de dominio de respaldo.

Seleccionamos el  Bosque existente y agregar un controlador de dominio a un dominio existente.

Escribimos el nombre del dominio al que nos queremos unir “majadasir.es”

Con una cuenta creada en el Active Directory del servidor otorgo credenciales de red.

Y listo como se puede comprobar el Controlador de respaldo ya tiene las cuentas de usuario y la información  del servidor

Servidores de Directorio

Servicio de Directorio

Un Servicio de Directorio son un conjunto de aplicaciones utilizadas para almacenar información acerca de los usuarios y sus equipos,  información sobre la red a la que pertenecen, de manera que el administrador es capaz de gestionar el acceso a recursos compartidos  y de establecer privilegios para estos usuarios.

Un directorio puede verse como una base de datos especializada, siendo en el mayor de los casos.. solo de lectura y transparente para el usuario. 

¿Que es un directorio? 

Un directorio es un conjunto de objetos con atributos organizados en una manera lógica y jerárquica (Estructura típica de un árbol). De la misma manera los directorios incorporan sistemas de filtrado muy completas que nos ayudarán con búsquedas determinadas en distintas zonas de nuestro árbol.

LDAP (Protocolo Ligero de Acceso a Directorios)

Es un protocolo de acceso a directorios, es decir .. un conjunto de protocolos mediante el cual accedemos a información almacenada centralmente a través de la red. 

Ventajas de usar LDAP 

Acceso desde cualquier plataforma 

Muchas aplicaciones de todo tipo ya cuentan con interfaces de conexión LDAP y se pueden integrar fácilmente.

Como está basado en un sistema de directorio, tiene gran velocidad en lectura de registros.

Usa  un sistema jerárquico de almacenamiento de información 

La mayoría de servidores LDAP son fáciles de instalar, mantener y optimizar 

Estructura de un arbol LDAP 

Como mencionamos  la información se almacena de forma jerárquica denominada árbol de información de Directorio (DIT).

Tenemos DN Nombre distintivo el cual será  el nombre de la entrada deseada.

Un nodo sencillo junto con la via a esta entrada se denomina Nombre completo relativo o RDN.

Estos objetos pueden a su vez contener otros objetos. Esa clase de objetos se le conocen como el nombre root (elemento razil del arbol de directorio) , tenemos tambien ou (unidad organizativa) y dc (componente de dominnio).

Herramientas administrativas Active Directory

Entre en las tareas administrativas del Windows Server e investigue qué herramientas nos ofrece el sistema.

Administrador de Terminal Service 

Se puede usar para supervisar y ver información acerca de los usuarios, las sesiones y procesos de los servidores de Terminal Server. Además, puede realizar tareas administrativas (por ejemplo, puede desconectar o cerrar sesiones de usuarios de Terminal Services).

Administrador de almacenamiento y recursos compartidos. 

Ofrece una ubicación central desde la que administrar recursos compartidos, como carpetas y volúmenes, así como recursos de almacenamiento. También es posible supervisar y modificar aspectos importantes de los recursos compartidos nuevos y existentes. 

Administración de directivas de grupo

Tambien conocida como (GPMC) es un grupo de scripts de Microsoft Management Console(MMC), que proporciona una única herramienta administrativa para administrar la directiva de grupo en toda la organización. GPMC es la herramienta estándar para administrar la directiva de grupo.

Administración de Equipos

Microsoft Management Consol (MMC) contiene herramientas administrativas que puede utilizar para administrar redes, equipos, servicios y otros componentes del sistema.

Administrador del servidor

Aporta una mayor eficacia a la administrción del servidor, puesto que con una unica herramienta permite a los administradores: 

• Ver y modificar las funciones y características instaladas en el servidor.
• Realizar tareas de administración asociadas al ciclo de vida operativo del servidor, como iniciar o detener servicios y administrar cuentas de usuario locales.
• Realizar tareas de administración asociadas al ciclo de vida operativo de las funciones instaladas en el servidor.
• Determinar el estado del servidor, identificar eventos críticos, analizar y solucionar problemas o errores de configuración. 

Asistente para configuración de seguridad:

Nos guía a través del proceso de creación, edición, aplicación, o reversión de una directiva de seguridad. Una directiva de seguridad que crea con SCW es un archivo .xml que, cuando se aplica, configura servicios, seguridad de red, valores de registro específicos y directiva de auditoria.

Configuración el sistema:

Es una herramienta avanzada que ayuda a identificar problemas que podrían impedir que Windows se iniciase correctamente. Puede iniciar Windows con los servicios comunes y programas de inicio desactivados y luego volver a activarlos de uno en uno. 

Copias de seguridad de Windows: 

Es una característica de Windows Server 2008 que proporciona un conjunto de asistentes y otras herramientas para realizar tareas básicas de copia de seguridad y recuperación en el servidor donde esta instalada.

Directiva de seguridad local: 

Es una combinación de opciones de seguridad que afectan a la seguridad de un equipo. Pueden utilizarse para modificar directivas de cuenta y locales en un equipo local

Con la directiva de seguridad local, puede controlar:

• Quien tiene acceso al equipo
• Que recursos están autorizados a utilizar los usuarios en el equipo
• Si las acciones de un usuario o grupo se graban en el registro de los sucesos. 

DNS

El sistema de nombres de dominio (DNS), es un protocolo de resolución de nombres para redes TCP/IP, como internet. Los servidores DNS hospedan la información que habilita los equipos cliente para resolver nombres DNS alfanuméricos fáciles de recordar en las direcciones IP que usan los equipos para comunicarse entre ellos 

Dominios y confianzas de Active Directory: 

Es el complemento que se usa para administrar confianzas de dominios, niveles funcionales del bosque o del dominio y sufijos de nombre principal de usuario (UPN) 

Editor ADSI 

es un editor de bajo nivel para los servicios de dominio de Active Directory y los Servicios de directorio ligero de Active Directory. Permite ver, modificar, crear y eliminar objetos en estos servicios de Microsoft.

Explorador de almacenamiento:

Puede ver y administrar los tejidos iSCSI y de canal de fibra que están disponibles en la red de área de almacenamiento (SAN).

Firewall de WIndows con seguridad avanzada:

Se ejecuta en cada equipo en el que se ejecuta esta versión de Windows  y proporciona protección local contra ataques de red que puedan pasar a través de la red perimental u originarse dentro de la organización. También proporciona seguridad de conexión entre equiops que permiten requerir la autenticación y la protección de los datos para las comunicaciones.

Herramienta de diagnostico de memoria: 

Por lo general windows detecta automáticamente posibles problemas con la memoria del equipo y muestra notificación en la que pregunta si desea ejecutar esta herramienta. 

Iniciador iSCSI ( interfaz estandard de equipos pequeños de internet)

Es un método de conexión de dispositivos de almacenamiento a través de una red mediante TCP/IP. 

Monitor de confiabilidad y rendimiento de Windows

Se utiliza para examinar el modo en el que los programas que ejecutan afectan al rendimiento del equipo, tanto en tiempo real como mediante la recopilación de datos de registro para su posterior análisis.

 Administrador de orígenes de datos ODBC

Un origen de datos de usuario ODBC almacena información de conexión al proveedor de datos indicado. Un origen de datos de usuario solo es visible y utilizable en el equipo actual por el usuario indicado. 

Programador de tareas

Ayuda a programar tareas automatizadas que realizan acciones a una hora concreta o cuando se producen un determinado evento. Mantiene una biblioteca de todas las tareas programadas, proporcionando una vista organizada de las tareas y un punto de acceso como para administrarlas.

Servicios:

se utiliza para administrar los servicios que se ejecuten en equipos locales o remotos; por ejemplo, para tener o iniciar un servicio. También se puede administrar servicios utilizando el comando sc config. 

Servicios de componentes:

se utiliza para configurar y administrar los componentes de Modelo de objetos componentes(COM, las aplicaciones COM+ y el Coordinador de transacciones distribuidas (DTC).

Sitios y servicios de Active Directory:

Es un complemento del sistema que se usa para administrar la replicación de los datos de directorio entre todos los sitios de un bosque de los Servicios de dominio de Active Directory (ADDS). Este complemento también proporciona una vista de los objetos especificos del servicio que se publican en AD DS.

Usuario y equipos de Active Directory 

es un complemento de windows que se puede usar para administrar y publicar información en el directorio.

Visor de eventos: 

Permite examinar y administrar registros de eventos. Es una herramienta indispensable para supervisar el mantenimiento de los sistemas y solucionar los problemas que surjan. 

Creando usuarios y grupos Active Directory

Cree dos usuarios llamados usuarioASIR1 y usuarioASIR2 y un grupo llamado
grupoASIR, e incluya a los usuarios en el grupo

Para crear usuarios tenemos que ir Inicio<Herramientas Administrativas<Usuarios y equipos de Active Directory

Abrimos la pestaña de nuestro dominio en el cual encontremos la carpeta Users que es donde se almacenarán todos los usuarios.  Le damos clic derecho a la carpeta Users<Nuevo<Usuario

Luego rellenamos el formulario para le nuevo usuario, indicando el nombre y el ID de sesión

Indicamos la contraseña para el nuevo usuario en este caso el usuario es Asir1 y la contraseña es Majada123.

Y listo. El usuario ya esta creado

Se usara el mismo procedimiento para el segundo usuario llamado Asir2 y con contraseña Majada123

Crearemos el Grupo GrupoAsir  dando clic derecho en el dominio majadasir.es y creando un nuevo grupo

Podemos agregar a los usuarios dando clic en el grupo y agregándolo manualmente

Lo mismo para el usuario Asir2

Creación del Dominio majadasir.es

En una máquina con Windows Server 2008 R2, instale los Servicios de Dominio de Active Directory y cree el dominio “majadasir.es”. Tenga en cuenta que será el dominio raíz del bosque y que el controlador debe llamarse “pdc.majadasir.es”.

Trabajaremos con la siguiente configuracion de red :

IP: 10.0.2.15
Mascara: 255.0.0.0
Puerta de enlace: 10.0.2.2


Lo primero para crear un dominio sera instalar la herramienta administrativa Active Directory
para ello Ejecutamos  dcpromo 

Inicio<Ejecutar<dcpromo

Nos abrirá el asistente de instalacion del Active Directory

Crearemos un nuevo Bosque

Escribimos el nombre de nuestro nuevo dominio en este caso majadasir.es

Ahora seleccionamos el nivel funcional del bosque:

Nos da 3 opciones,  Windows 2000, Windows 2003, Windows 2008

Introducimos una contarseña, en este caso Majada123

En el caso de querer guardar la configuración, presionamos el botón de exportar configuracion. 

El sistema nos pedirá que reiniciemos.
Una vez reiniciado el sistema podemos confirmar que el dominio MAJADASIR ha sido creado

Por último cambiamos el nombre al controlador de dominio a pdc.majadaasir.es. Para eso vamos a la configuración del equipo Inicio<Clic derecho Equipo < Propiedades