Gestión de Contenedores, Perfiles y Relaciones de Confianza en Active Directory

Contenedores en Active Directory

Contenedor 'Computers': Cuando un usuario se une a un dominio, por defecto, su equipo se incluye en esta carpeta. Es el contenedor predeterminado para equipos.

Movimiento y renombramiento de equipos

Se pueden mover equipos entre contenedores arrastrando y soltando dentro de la interfaz gráfica de Active Directory.

Comandos para la gestión de contenedores predeterminados

• Redircmp: Comando que permite cambiar el contenedor predeterminado donde se ubican los nuevos equipos que se unen al dominio.
• Redirusr: Similar a Redircmp, pero para cambiar el contenedor predeterminado de los nuevos usuarios.

Perfiles de Usuario en Active Directory

Perfil de usuario: Entorno personalizado para cada usuario. Contiene la configuración del escritorio, documentos, y configuraciones de aplicaciones.

Tipos de perfiles de usuario

• Perfiles obligatorios: Permiten a los usuarios realizar cambios en su entorno, pero estos cambios no se guardan al cerrar sesión. Son útiles para entornos donde se requiere una configuración estándar y consistente.
• Perfiles locales: Se almacenan en el disco duro del equipo local. Son específicos para cada usuario en cada equipo.
• Perfiles móviles (Roaming Profiles): Creados por un administrador y almacenados en un servidor. Permiten a los usuarios acceder a su perfil desde cualquier equipo del dominio.

Relaciones de Confianza en Active Directory

Relaciones de confianza: Establecen una relación entre dos dominios, permitiendo que los usuarios de un dominio sean reconocidos y puedan acceder a recursos en otro dominio.

Clasificación de las relaciones de confianza

Según el método de creación

• Implícita (Automática): Se crean automáticamente, por ejemplo, entre un dominio padre y un dominio hijo.
• Explícita (Manual): Se crean manualmente por un administrador.

Según la dirección

• Unidireccional: Los usuarios de un dominio (A) pueden acceder a los recursos del otro dominio (B), pero no al revés.
• Bidireccional: Los usuarios de ambos dominios (A y B) pueden acceder a los recursos del otro dominio.

Según la transitividad

• Transitiva: Si el dominio A confía en el dominio B, y el dominio B confía en el dominio C, entonces el dominio A confía implícitamente en el dominio C.
• No transitiva: La confianza solo existe entre los dos dominios que la establecen.

Direcciones específicas de las relaciones de confianza

• Bidireccional: De A a B y de B a A.
• Unidireccional de entrada (dominio 2): Los usuarios del dominio 2 pueden acceder a los recursos del dominio 1, pero no al revés.
• Unidireccional de salida (dominio 1): Los usuarios del dominio 1 pueden acceder a recursos del dominio 2, pero no al revés. Es lo contrario a "Unidireccional de entrada (dominio 2)".

Tipos de relaciones de confianza (ejemplos)

• Confianza raíz de árbol: Entre los dominios raíz de un mismo bosque (transitiva y bidireccional).
• Confianza principal-secundario (Parent-Child): Entre un dominio y sus subdominios (bidireccional y transitiva).
• Confianza de acceso directo (Shortcut Trust): Se establece manualmente entre dos dominios que están 'lejos' en la jerarquía del bosque para mejorar la velocidad de autenticación (puede ser unidireccional o bidireccional, y transitiva o no transitiva).
• Confianza externa (External Trust): Se establece manualmente. Permite a usuarios de un dominio acceder a recursos en un dominio de otro bosque (no transitiva).
• Confianza de bosque (Forest Trust): Se establece manualmente entre dos dominios raíz de diferentes bosques. Permite a los usuarios de un bosque acceder a los recursos de otro bosque (puede ser transitiva o no transitiva).
• Confianza de territorio (Realm Trust): Se establece manualmente entre un dominio de Active Directory y un territorio Kerberos que no es de Windows (puede ser transitiva o no transitiva).

Maestro de Operaciones Único Flexible (FSMO)

Maestro de Operaciones Único Flexible (FSMO, Flexible Single Master Operation): Roles especializados que realizan tareas que no se pueden llevar a cabo en un entorno multi-maestro (donde varios controladores de dominio tienen la misma autoridad). Estos roles se pueden asignar a controladores de dominio específicos.

Roles FSMO

• Maestro de esquemas (Schema Master): Controla las actualizaciones y modificaciones del esquema de Active Directory (existe uno por bosque).
• Maestro de nombres de dominio (Domain Naming Master): Controla la adición o eliminación de nombres de dominio en el bosque (existe uno por bosque).
• Maestro de identificadores relativos (RID Master): Asigna bloques de identificadores relativos (RIDs) a los controladores de dominio dentro de un dominio. El RID forma parte del SID (Security Identifier) de un objeto. (Existe uno por dominio). Comando para ver el usuario actual: whoami /user
• Maestro de infraestructura (Infrastructure Master): Actualiza las referencias de objetos de otros dominios. Compara sus datos con el catálogo global y replica los cambios si es necesario (existe uno por dominio).
• Emulador de PDC (PDC Emulator): Actúa como controlador de dominio principal para compatibilidad con sistemas anteriores a Windows 2000, gestiona la sincronización de tiempo y los cambios de contraseña. (Existe uno por dominio).

Papelera de Reciclaje de Active Directory

Papelera de reciclaje: Es una operación irreversible. La papelera de reciclaje de Active Directory, una vez habilitada, permite restaurar objetos eliminados accidentalmente, como usuarios, equipos o unidades organizativas. **No es una operación irreversible**; los objetos se pueden recuperar.