Gestión de Active Directory: ¿Qué es AD? Parte 2: Administración de la plataforma Microsoft - Blogs - Quest Community

En mi primera publicación de esta serie, expliqué qué es Active Directory (AD) y para qué se utiliza. Vimos que, básicamente, Active Directory es una base de datos y un conjunto de servicios que ayudan a los usuarios a realizar su trabajo en un entorno de TI local de Microsoft. Hoy, exploremos algunas tareas comunes de administración de Active Directory.

Diseño y configuración de Active Directory

Como vimos en la publicación anterior, la unidad básica de administración de AD es el dominio : un grupo de usuarios, computadoras, impresoras y otros objetos de AD relacionados almacenados en una única base de datos de AD. Los dominios deben ser entidades bastante estables. Por ejemplo, es posible que tenga un dominio para la oficina de su empresa en Chicago y un dominio independiente para su oficina de San Francisco. Dado que un dominio es un límite de administración, sus administradores de Chicago no pueden eliminar usuarios de su dominio de San Francisco y sus administradores de SF no pueden trastear con los permisos de los usuarios en el dominio de Chicago.

Para simplificar la administración de Active Directory, los objetos de un dominio normalmente se agrupan en unidades organizativas (OU). Las unidades organizativas suelen reflejar la estructura de la organización; por ejemplo, es posible que tenga una unidad organizativa para cada departamento de su oficina de Chicago: Ventas, Marketing, TI, Legal, etc. Las unidades organizativas también pueden ser más temporales: puede crear unidades organizativas para diferentes proyectos y disolverlas cuando finalicen.

Mantener su Active Directory limpio y saludable

Por supuesto, un entorno de TI es un lugar dinámico; no puede simplemente configurar su Active Directory y olvidarlo, sin importar cuán perfectamente planifique su esquema, dominios, unidades organizativas, etc. Los usuarios, computadoras, impresoras y otros objetos AD van y vienen, por lo que tendrás que realizar tareas regulares de aprovisionamiento y desaprovisionamiento. También debe identificar periódicamente las cuentas de usuario y de computadora inactivas para poder limpiarlas antes de que se utilicen indebidamente. También es inteligente recordar a los usuarios que cambien sus contraseñas antes de que caduquen para no perder el acceso y bombardear al servicio de asistencia técnica con solicitudes de restablecimiento de contraseña.

En términos más generales, también necesita monitorear el estado de sus controladores de dominio y la replicación de datos entre ellos. De lo contrario, los usuarios podrían experimentar problemas para iniciar sesión o acceder a los recursos que necesitan para realizar su trabajo.

Microsoft proporciona varias herramientas de administración de Active Directory, incluidos usuarios y computadoras de Active Directory (ADUC), usuarios y grupos locales y los complementos de esquema de Active Directory para Microsoft Management Console (MMC). Sin embargo, la funcionalidad de las herramientas nativas es limitada; en el mejor de los casos, es incómodo seguir cambiando entre herramientas; y las tareas suelen ser manuales, requieren mucho tiempo y son propensas a errores.

Quest Active Administrator llena los vacíos que dejan las herramientas de administración nativas de Active Directory, permitiéndole administrar su Active Directory de forma más rápida y sencilla, todo desde un único panel. En particular, puede automatizar el aprovisionamiento y desaprovisionamiento de cuentas de usuario, auditar y alertar sobre cambios en AD, y monitorear y administrar sus DC. Además, Active Administrator le permite delegar de forma segura las tareas administrativas de AD, por lo que puede dividir el trabajo de administración de Active Directory sin otorgar a todos sus administradores privilegios para hacer lo que quieran en todo el dominio.

Administrar la política de grupo

Otro aspecto fundamental de la gestión de Active Directory es la gestión de la política de grupo. La política de grupo es un conjunto de políticas, denominadas objetos de política de grupo (GPO), que se pueden aplicar a un dominio completo o solo a determinadas unidades organizativas. Por ejemplo, puede utilizar la Política de grupo para exigir que todos los usuarios de su dominio de Chicago utilicen contraseñas complejas o prohibir el uso de medios extraíbles en todas las computadoras de la unidad organizativa de Finanzas del dominio de Chicago. Microsoft proporciona cientos de GPO que puede configurar; Estas son solo algunas de las cosas que puedes hacer:

Deshabilitar la creación de archivos PST
Agregue sitios de uso frecuente a los navegadores de los usuarios
Mapear unidades de red útiles
Establecer valores de registro personalizados en todas las computadoras
Implementar software estándar en todas las computadoras
Ejecutar ciertos scripts al iniciar o apagar la computadora o al iniciar o cerrar sesión el usuario

La Política de grupo es extremadamente poderosa, por lo que es fundamental configurarla correctamente y administrar cuidadosamente los cambios. Un solo cambio inadecuado en un GPO podría provocar un tiempo de inactividad o una violación de la seguridad. Desafortunadamente, las herramientas nativas no facilitan mantener bajo control la Política de grupo.

Quest ofrece dos herramientas que simplifican y agilizan la gestión de políticas de grupo. Active Administrator, que mencioné anteriormente, le permite editar y probar GPO en un entorno seguro fuera de línea y revertir fácilmente un GPO a un estado conocido anterior, para que pueda recuperarse rápidamente de cualquier modificación errónea o efecto inesperado.

También ofrecemos una herramienta diseñada específicamente para la gestión de políticas de grupo: GPOADmin. Esta solución galardonada automatiza las tareas críticas de administración de políticas de grupo para reducir costos y eliminar procesos manuales. Puede comparar versiones de un GPO una al lado de la otra para verificar la configuración, retroceder rápidamente a una versión buena de GPO, bloquear ciertos GPO o configuraciones de GPO para que no se puedan cambiar y mucho más. Incluso puede establecer un flujo de trabajo basado en aprobación para la gestión de GPO, completo con aprobación o rechazo basado en correo electrónico y programación de implementación. Además, GPOADmin puede ampliar opcionalmente la Consola de administración de políticas de grupo de Microsoft (GPMC) para que pueda utilizar una interfaz familiar para la administración de GPO.

Copia de seguridad y recuperación

Por último, pero no menos importante, la gestión adecuada de Active Directory requiere copias de seguridad y recuperación confiables. Para garantizar la productividad y la continuidad del negocio, debe poder realizar copias de seguridad periódicas de su AD y poder restaurar rápidamente configuraciones o atributos particulares, objetos AD completos, un dominio completo o incluso el bosque completo. Si bien la Papelera de reciclaje de AD permite una recuperación rápida de algunos objetos eliminados recientemente, no es (ni nunca tuvo la intención de serlo) una solución empresarial de respaldo y recuperación.

Recovery Manager para Active Directory lo es. Las copias de seguridad confiables y automatizadas garantizan que tenga una copia reciente de sus valiosos datos de Active Directory, y las capacidades de recuperación automatizadas y granulares garantizan que pueda restaurar rápidamente usuarios, grupos, atributos, permisos y más, sin desconectar Active Directory. Estará igualmente bien preparado para un error menor por parte de un administrador y para un desastre mayor o corrupción de AD. Con Recovery Manager, también puede crear un laboratorio virtual para probar su plan de recuperación ante desastres y proporcionar a las partes interesadas informes detallados sobre un esfuerzo de recuperación.

Más allá de la gestión de Active Directory

¡Eso es todo en cuanto a la gestión de Active Directory! Pero asegúrese de leer las siguientes tres publicaciones del blog en “¿Qué es Active Directory?” " serie: