Proteger Active Directory: ¿Quién puede agregar computadoras al dominio? ¿Solo el administrador del dominio?
"Solo los administradores de dominio pueden agregar computadoras al dominio". No puedo contar cuántas veces he escuchado estas palabras. Pero al instalar un nuevo dominio, se configura un contador y este contador permite que cada usuario del dominio agregue hasta 10 computadoras al dominio. Esta es la configuración predeterminada. La configuración se puede cambiar y debe tenerse en cuenta en el concepto de seguridad informática.
La cuota de cuenta de máquina ms-DS
La configuración se puede encontrar en dsa.msc (¡habilite funciones avanzadas!). Abra dsa.msc (Usuarios y computadoras de Active Directory). Si aún no está habilitado, habilite Funciones avanzadas. Luego abra las propiedades de su dominio (haga clic derecho), haga clic en Editor de atributos y navegue hasta Attribut ms-DS-MachineAccountQuota. ¿Estás sorprendido? Cada usuario (Usuario de Dominio) puede agregar hasta 10 Computadoras.
O ejecute un One-Liner simple en PowerShell. No te preocupes por el nombre de dominio. Lo llamamos desde Get-ADDomain.
Get-ADObject ((Get-ADDomain).distinguishedname) -Properties ms-DS-MachineAccountQuota
¿Quién agregó client01 al dominio?
¿Quién ha añadido client01 al dominio? Petra es un usuario del dominio y agregó client01 al dominio. Podemos verlo ejecutando una simple línea. Ok, tengo que admitir que es una línea de tres. Examinamos el atributo ms-DS-CreatorSID de la cuenta de la computadora.
Get-ADComputer client01 -Properties mS-DS-CreatorSID | Select-Object -Expandproperty mS-DS-CreatorSID | Select-Object -ExpandProperty Value | Foreach-Object {Get-ADUser -Filter {SID -eq $_}}
Cambiar el valor predeterminado
Un valor de 0 significa que los usuarios del dominio no pueden agregar cuentas de computadora.
Abra las propiedades del dominio y haga doble clic en ms-DS-MachineAccountQuota. Modifique el valor. El número representa la cantidad de computadoras que desea que los usuarios puedan agregar al dominio. Recomiendo cambiarlo a 0.
O utilice PowerShell. Nuevamente: no se preocupe por el nombre de dominio. Se completará automáticamente.
Set-ADDomain (Get-ADDomain).distinguishedname -Replace @{"ms-ds-MachineAccountQuota"="0"}
El impacto
Se informa al usuario que se ha alcanzado el número máximo. Se produjo el siguiente error al intentar unir la computadora al dominio:
