Administración de Active Directory: Degradación y Permisos

Degradar un Controlador de Dominio

Consiste en quitar la función de controlador de dominio. Se utiliza el comando dcpromo. Si se ejecuta en un cliente, crea un controlador de dominio; si se ejecuta en un controlador, lo degrada a cliente.

Si es el único controlador, el dominio se elimina. Si es el único controlador raíz de un bosque, se deben destruir los demás dominios del bosque.

La degradación elimina la base de datos de Active Directory, devuelve las cuentas de seguridad a estado local y borra las referencias del servidor DNS.

Active Directory

Es el servicio de directorio de Microsoft para redes de equipos. Su estructura jerárquica gestiona objetos de red como usuarios, grupos y permisos.

AD se basa en dominios. Cada dominio tiene máquinas cliente y al menos un Controlador de Dominio.

Varios dominios forman estructuras (árboles) anidadas. Un bosque contiene múltiples árboles.

Un dominio se divide en Unidades Organizativas para facilitar la administración.

Requisitos para Promover un Controlador

• Usuario con privilegios de administrador.
• Dispositivos de red configurados y con conexión.
• Espacio suficiente para la base de datos de Active Directory.
• Usar un nombre corto.
• IP estática.

Maestro de Operaciones

Realiza operaciones especiales y organiza la replicación. AD identifica cinco funciones:

Funciones de bosque:

• Maestro de Esquema: controla actualizaciones del esquema.
• Maestro de Nombres de Dominio: controla la adición/eliminación de dominios.

Funciones de dominio:

• Maestro de Id. Relativo (RID): asigna secuencias de Id. relativos.
• Maestro Emulador de PDC: procesa cambios de contraseña y sincroniza la hora.
• Maestro de Infraestructuras: actualiza referencias de objetos entre dominios.

Catálogo Global

Permite encontrar objetos en un árbol de dominio proporcionando atributos. Contiene una copia de cada objeto con un número limitado de atributos para la autenticación.

Directivas de Seguridad

Definen el comportamiento de seguridad del sistema. Tipos:

• Seguridad Local: para modificar la configuración de seguridad local.
• Seguridad de Dominio: para modificar la configuración de seguridad del dominio.
• Seguridad del Controlador de Dominio: para modificar la configuración de seguridad de los controladores.

Permisos NTFS Estándar y Especiales

Los permisos NTFS los establece el propietario o quien tenga permiso. Afectan a archivos y subdirectorios por herencia, que se puede desactivar.

Los permisos especiales controlan acciones específicas. Los estándar son combinaciones predefinidas:

• Control Total: todas las acciones.
• Modificar: todos los permisos excepto eliminar, cambiar y tomar posesión.
• Lectura y Ejecución: ver archivos, datos, atributos y ejecutar programas.
• Mostrar el Contenido de la Carpeta: como lectura y ejecución, solo para carpetas.
• Lectura: ver nombres, datos, atributos y permisos.
• Escritura: crear archivos, añadir datos, modificar atributos y leer permisos.

Permisos de Recursos Compartidos

Se aplican al acceder por red. Afectan a todos los archivos del directorio compartido y se puede limitar el número de usuarios.

Métodos de control:

• Permisos de recurso compartido (sencillos).
• Permisos NTFS (control detallado).
• Combinación de ambos.

Recursos Compartidos Especiales

Creados por el sistema operativo para tareas administrativas. No deben eliminarse ni modificarse:

• NETLOGON: script de inicio de sesión.
• PRINT$: administración remota de impresoras.
• SYSVOL: servicio de inicio de sesión.
• ADMIN$: administración remota del equipo.
• IPC$: administración remota y recursos compartidos.
• FAX$: envío de faxes.
• LETRA_DE_UNIDAD$: directorio raíz de un dispositivo.

Permisos de Carpetas Compartidas

Se aplican a archivos y subdirectorios compartidos. Se puede limitar el número de usuarios. Requiere ser miembro del grupo de administradores.

Permisos:

• Sin Acceso: ningún permiso.
• Leer: ver nombres, datos y ejecutar programas.
• Cambiar: leer, crear, modificar y borrar archivos.
• Control Total: todos los permisos, incluyendo modificar permisos.

Derechos del Usuario

Atributos que permiten realizar acciones en el sistema.

Tipos:

• Derechos de Conexión: formas de conexión al sistema:
  1. Denegar el acceso desde la red al equipo.
  2. Permitir el inicio de sesión local.
• Privilegios: acciones predefinidas:
  1. Agregar estaciones de trabajo al dominio.
  2. Hacer copias de seguridad.
  3. Restaurar archivos y directorios.
  4. Cambiar la hora del sistema.
  5. Apagar el sistema.