Kickstart AD con el Centro administrativo de Active Directory
Administrar usuarios y permisos puede ser terrible, especialmente si recién estás comenzando como administrador. Pero la buena noticia es que el Centro administrativo de Active Directory (ADAC) está a la vuelta de la esquina.
Ya sea creando un usuario, restableciendo una contraseña o cambiando permisos de usuario, ADAC está a la altura de la tarea. Y en este tutorial, aprenderá cómo implementar y utilizar ADAC a un nivel profesional.
¿Ya te sientes emocionado? ¡Siga leyendo y comience su viaje como administrador con ADAC!
Una herramienta GRATUITA de solo lectura que escanea su AD y genera múltiples informes interactivos para que pueda medir la efectividad de sus políticas de contraseñas contra un ataque de fuerza bruta. ¡Descargue Specops Password Auditor ahora!
Requisitos previos
Si planea seguir los ejemplos de este tutorial, asegúrese de tener un servidor Windows. Este tutorial utiliza Windows Server 2019, pero también funcionarán versiones posteriores.
Instalación de Active Directory en Windows Server 2019+
Active Directory (AD) es un servicio de directorio que permite a administradores como usted administrar permisos y controlar el acceso a los recursos de la red. Pero como AD no viene instalado con su servidor Windows de forma predeterminada, primero deberá instalar AD a través del Administrador del servidor.
1. Abra el Administrador del servidor desde el menú Inicio.
2. En el Administrador del servidor, haga clic en Administrar (arriba a la derecha) y seleccione la opción Agregar funciones y características. Aparece un asistente de instalación donde puede instalar AD.
3. Marque la opción Omitir esta página de forma predeterminada y haga clic en Siguiente, ya que esta página es puramente introductoria.
4. En la sección Tipo de instalación, elija Instalación basada en funciones o basada en funciones, ya que está trabajando en un único servidor, que no forma parte de una VDI, y haga clic en Siguiente.
5. Ahora, seleccione la opción Seleccionar un servidor del grupo, seleccione el servidor relevante como destino para la instalación y haga clic en Siguiente.
Seleccionar el servidor que desea que sea su DC es crucial en este proceso. Si está trabajando en el primer host de su entorno, solo habrá un servidor en el grupo. Pero si estás en un entorno activo con servicios existentes, verás los otros servidores del entorno.
6. Marque la opción Servicios de dominio de Active Directory, que puede abrir una ventana adicional si faltan funciones dependientes.
7. Confirme las dependencias y haga clic en Agregar funciones.
8. Confirme que la opción Servicios de dominio de Active Directory esté seleccionada y haga clic en Siguiente.
9. Deje todo como predeterminado en la sección Funciones y haga clic en Siguiente.
10. No dude en revisar la introducción de AD DS y hacer clic en Siguiente.
11. Confirme sus selecciones de instalación y haga clic en Instalar. Al hacerlo, se inicia la instalación de AD en su servidor.
12. Finalmente, haga clic en Cerrar una vez que se complete la instalación. Ha instalado ADAC con éxito y, de ahora en adelante, podrá experimentar una administración flexible de AD.
Configurar la instalación de AD
Incluso después de la instalación, AD aún requiere configuración para que el servidor sea promovido a controlador de dominio. Hacerlo permite que su servidor tenga autoridad para un dominio AD, lo cual es esencial para que los hosts reconozcan qué servidor es el controlador de dominio.
1. En su Administrador de servidores, seleccione la exclamación amarilla junto a la bandera (arriba a la derecha) y haga clic en el enlace Promocionar este servidor a un controlador de dominio.
Se abre el Asistente de configuración de servicios de dominio de Active Directory, donde configurará su nuevo controlador de dominio.
2. En Configuración de implementación, seleccione la opción Agregar un nuevo bosque. Un bosque es una construcción utilizada por AD para definir y agrupar dominios.
Especifique el nombre del dominio raíz y haga clic en Siguiente. La elección de este tutorial para el nombre de dominio raíz es testdomain12.tk.
En este tutorial, creará un nuevo bosque, pero es posible unirse a un dominio existente para expandir su patrimonio.
3. Deje los valores predeterminados en las Opciones del controlador de dominio y defina solo la contraseña que desee.
Si su servidor no puede encontrar un padre autorizado para el DNS, encontrará el siguiente mensaje de advertencia.
Este mensaje simplemente le recuerda que debe configurar sus registros DNS existentes para resolver correctamente el nombre de su dominio. Esta acción solo aplica cuando deseas integrar tu dominio a la infraestructura existente.
De lo contrario, y está construyendo una nueva infraestructura con este servidor como su nuevo host principal de DNS, ignore este mensaje.
4. Deje la opción Crear delegación DNS sin marcar y haga clic en Siguiente.
5. Ahora, deje el nombre de dominio NetBIOS predeterminado y haga clic en Siguiente.
De forma predeterminada, el asistente configura el nombre de dominio NetBIOS como una versión abreviada del nombre de dominio que proporcionó en el nombre de dominio raíz en el paso dos.
Aunque puede cambiar el nombre de dominio NetBIOS, es una buena práctica dejarlo como predeterminado porque está relacionado con su dominio.
6. Al igual que en los pasos anteriores, deje las rutas predeterminadas para definir los directorios locales de instalación.
7. Revise las opciones para su instalación y haga clic en Siguiente cuando esté satisfecho con todo.
8. Haga clic en Instalar una vez que el asistente haya validado su configuración y se haya asegurado de que todo esté listo para la implementación.
Si ve el mensaje Todas las comprobaciones de requisitos previos se aprobaron correctamente, como se muestra a continuación, puede continuar con la instalación. De lo contrario, haga clic en Mostrar más e investigue más.
Una vez completada la instalación, su servidor se reiniciará.
9. Por último, abra el Administrador del servidor después del reinicio y navegue hasta la pestaña Servidor local (panel izquierdo). Verá que el grupo de trabajo ha cambiado a su nombre de dominio raíz (testdomain12.tk), lo que confirma que su servidor ahora está en el dominio.
Crear una unidad organizativa
Una unidad organizativa (u OU) es un contenedor diseñado para organizar su entorno, manteniendo todo ordenado y seguro. Las unidades organizativas son especialmente útiles al configurar permisos específicos para los miembros de la unidad organizativa.
Para crear una unidad organizativa en el directorio forestal principal de su dominio:
1. Abra el Centro administrativo de Active Directory (ADAC) desde el menú Inicio.
2. Una vez que se abra ADAC, seleccione su dominio administrado en el panel izquierdo, como se muestra a continuación.
3. En el panel Tareas (en el extremo derecho), seleccione Nuevo —> Unidad organizativa en el dominio seleccionado. Al hacerlo, se abre un cuadro de diálogo donde puede configurar una nueva unidad organizativa (paso cuatro).
Si el panel Tareas no se muestra de forma predeterminada, haga clic en Administrar (arriba a la derecha) —> Panel de tareas.
4. Ahora, especifique un Nombre y una descripción breve para la nueva unidad organizativa y haga clic en Aceptar para crear la unidad organizativa. Este tutorial utiliza TestOU para el nombre de la OU.
5. Finalmente, seleccione su dominio y confirme la existencia de la nueva unidad organizativa, como se muestra a continuación.
Agregar usuarios a una unidad organizativa
Los empleados necesitan acceso a los recursos de la organización cuando se incorporan a la empresa. Normalmente, su primera tarea es agregar una cuenta de usuario en AD y luego proporcionar los permisos necesarios.
Para agregar usuarios a su unidad organizativa:
1. Haga doble clic en el directorio o unidad organizativa que desee. Accediendo a la unidad organizativa recién creada
2. A continuación, haga clic derecho en la lista de la tabla en blanco —> Nuevo —> Usuario para iniciar la creación de un nuevo usuario.
3. Finalmente, complete los campos obligatorios (marcados con asteriscos rojos) junto con la contraseña del usuario y haga clic en Aceptar para crear el nuevo usuario.
El nombre completo y el inicio de sesión del usuario SamAccountName son los únicos campos obligatorios. Pero, como puede ver por la cantidad de campos opcionales, hay muchos campos personalizables disponibles. Por ejemplo, el nombre completo, las iniciales del segundo nombre y el apellido se traducirán a la cuenta del usuario y a cualquier aplicación que utilice SSO (integración de inicio de sesión de usuario AD).
De regreso a la ventana principal de ADAC, verá el usuario recién creado en su unidad organizativa.
Restablecer contraseñas de usuario
Quizás alguno de los usuarios haya olvidado su contraseña (lo que sucede todo el tiempo). Si es así, deberá encontrar al usuario en cuestión y restablecer su contraseña. Por suerte, ADAC está a la altura.
Para restablecer la contraseña de un usuario:
1. Abra ADAC, resalte el dominio donde existe el usuario y haga clic en Buscar en la opción de este nodo en el panel Tareas, como se muestra a continuación.
Aparece una opción de Búsqueda global en el panel izquierdo (paso tres).
2. A continuación, haga clic en la opción Búsqueda global (panel izquierdo), ingrese el nombre de usuario (o cualquiera de los atributos de identificación del usuario, como nombre o apellido) y presione Entrar para buscar al usuario.
3. Seleccione el usuario y haga clic en Restablecer contraseña en el panel Tareas. Se abre un cuadro de diálogo donde puede restablecer la contraseña del usuario (paso cuatro).
Si está eliminando un usuario o cualquier objeto AD, elija la opción Eliminar. Cuando los empleados abandonan la empresa, eliminar las cuentas de usuario en AD es esencial para cerrar el acceso, de modo que no puedan volver a iniciar sesión y causar estragos.
4. Por último, restablezca la contraseña del usuario con lo siguiente:
- Coloque una contraseña aleatoria y confirme la contraseña. Haga que la contraseña coincida con los requisitos de su organización.
- Marque la opción El usuario debe cambiar la contraseña en el próximo inicio de para solicitar que el usuario cambie la contraseña antes de iniciar sesión en la cuenta.
- Haga clic en Aceptar para finalizar el restablecimiento de la contraseña del usuario.
Restaurar un usuario o cualquier objeto AD
Cuando eliminas accidentalmente un objeto, como un usuario o un grupo, necesitarás recuperar ese objeto. ¿Pero cómo? Puedes recuperar cualquier objeto siempre que la Papelera de reciclaje esté habilitada.
Entonces, antes de realizar cambios drásticos en su dominio, asegúrese de habilitar primero la Papelera de reciclaje:
1. Seleccione el dominio relevante (panel izquierdo) y haga clic en la opción Habilitar papelera de reciclaje en el panel Tareas, como se muestra a continuación, para habilitar la Papelera de reciclaje.
2. A continuación, haga clic en Aceptar cuando aparezca el siguiente mensaje para confirmar la habilitación de la Papelera de reciclaje.
3. Haga clic en Aceptar nuevamente para confirmar los cambios.
4. Presione la tecla F5 para actualizar ADAC y la opción Habilitar papelera de reciclaje ahora estará atenuada, lo que indica que la Papelera de reciclaje está habilitada.
Ahora puedes eliminar objetos de forma segura y recuperarlos cuando sea necesario.
5. Ahora, elimine un usuario con lo siguiente:
- Navega hasta tu dominio.
- Seleccione la unidad organizativa donde reside el usuario.
- Haga clic derecho en el usuario y seleccione la opción Eliminar para eliminar el usuario.
6. Haga clic en el icono de flecha derecha al lado de su dominio (panel izquierdo) y seleccione el contenedor Objetos eliminados para ver la lista de todos los objetos eliminados.
7. Haga clic derecho en el usuario de la lista de objetos eliminados y seleccione la opción Restaurar para restaurar el usuario a su unidad organizativa original. Pero si prefiere restaurar el usuario en un contenedor/OU diferente, elija la opción Restaurar en.
Si elige restaurar el usuario en una ubicación diferente, aparece la siguiente ventana emergente donde puede seleccionar la ubicación de restauración.
Una vez restaurado, el usuario desaparece del contenedor de Objetos eliminados.
8. Finalmente, haga clic en la unidad organizativa donde creó el usuario y verá que el usuario está nuevamente en la unidad organizativa.
Ver el historial de PowerShell en ADAC
Supongamos que uno de sus colegas ha realizado cambios no autorizados en su controlador de dominio. Naturalmente, necesitarás ver el historial y ver qué cambios se realizaron lo antes posible, y ADAC puede ayudarte.
Navegue hasta su dominio y haga clic en la sección HISTORIAL DE WINDOWS POWERSHELL en la parte inferior para expandir la sección, ya que está minimizada de forma predeterminada.
Una vez expandido, puede ver el historial de PowerShell, ya que PowerShell ejecuta comandos para todos los cambios que realiza en ADAC. Revisar el historial le permite identificar qué cambios no autorizados se realizaron en su dominio y eventualmente revertirlos.
A continuación, puede ver que un objeto (un usuario) se eliminó con el cmdlet Remove-ADObject. Ahora puede restaurar ese usuario eliminado en su unidad organizativa.
Extienda la funcionalidad de la Política de grupo y simplifique la administración de políticas de contraseñas detalladas. Apunte a cualquier nivel de GPO, grupo, usuario o computadora con configuración de diccionario y frase de contraseña con la Política de contraseñas de Specops. ¡Pruébalo gratis!
Conclusión
Este tutorial tuvo como objetivo mejorar su capacidad para administrar una instancia de AD desde cero. ¿Le fue bien? Ya repasó la instalación y configuración de la instancia, la administración de usuarios, objetos y unidades organizativas, lo que le permite administrar un entorno humilde.
Ahora puede administrar con confianza los objetos de su dominio sin preocuparse si se eliminan, ya que siempre puede restaurarlos desde la Papelera de reciclaje con unos pocos clics.
Si alguna vez llega a un punto en el que su gran organización se convierte en un desastre, considere limpiar su AD.