Tipos de grupos y ámbitos de Active Directory

Propósito de los grupos de Active Directory

Los grupos de Active Directory son conjuntos de objetos de Active Directory (AD), como usuarios, computadoras e incluso otros grupos. El uso de grupos AD ayuda a simplificar la administración de TI y garantizar una delegación precisa de derechos y la difusión de información. Active Directory tiene varios grupos integrados y las organizaciones crean muchos grupos adicionales.

Por ejemplo, puede otorgar rápidamente a un nuevo empleado acceso a los recursos de TI que necesita para realizar su trabajo simplemente convirtiéndolo en miembro de los grupos de AD apropiados según su función. Si esa persona cambia de rol más adelante, simplemente puede eliminarla de sus grupos antiguos y agregarla a los nuevos apropiados.

En términos más generales, si se asegura de tener los grupos adecuados y de que cada grupo tenga los permisos y la membresía adecuados, podrá aplicar más fácilmente el principio de privilegio mínimo para fortalecer la seguridad y demostrar el cumplimiento normativo.

Tipos de grupos de Active Directory

Algunos grupos se crean en la base de datos local del Administrador de cuentas de seguridad (SAM) en una computadora. Estos grupos locales no están cubiertos por este documento.

En cambio, nos centraremos en grupos de dominios, que no se limitan a una sola máquina. Hay dos tipos de grupos de dominio en Active Directory:

Los grupos de distribución (a veces llamados listas de distribución) facilitan el envío de correos electrónicos (a través de un proveedor de mensajería como Microsoft Exchange) a un conjunto de usuarios que son miembros del grupo. grupo respectivo.
Los grupos de seguridad se utilizan para otorgar permisos a los usuarios sobre recursos compartidos. Al convertir a un usuario en miembro de un grupo de seguridad, le otorga todos los permisos asignados a ese grupo de seguridad. Por ejemplo, puede crear un grupo llamado Recursos Humanos y otorgarle permisos para leer y editar todos los archivos en carpetas específicas, así como permiso para ejecutar ciertas aplicaciones. Cualquier usuario que sea miembro de ese grupo podrá realizar esas acciones.

Tenga en cuenta que los grupos de seguridad también se pueden utilizar como grupos de distribución en Exchange; estos se conocen como grupos de distribución habilitados para seguridad o grupos de seguridad habilitados para correo. Sin embargo, los grupos de distribución están diseñados para usarse específicamente para correo electrónico y no se pueden usar para otorgar permisos.

Alcance del grupo

Cada grupo en Active Directory tiene un alcance, que determina los tipos de objetos que puede contener y de qué tipos de grupos puede ser miembro. Hay tres alcances:

Scope	Can contain	Can be a member of	Can be converted to
Universal	Users, global groups and universal groups from any domain in the forest, regardless of whether trusts have been established between domains	Domain local groups or other universal groups but NOT global groups	A global group, provided it doesn’t contain another universal group as a member A domain local group without any restrictions
Global	Users, computers,?global groups and domain local groups from the same domain (but NOT universal groups)	Global groups in the same domain Domain local groups or universal groups in any domain in the forest or any trusted domain	A universal group, provided it is not a member of another global group
Domain Local	Users, computers, global groups and universal groups from any domain, including domains outside the forest Domain local groups from the same domain only	Any domain local group in the same domain	A universal group, provided it has no domain local group as members

Grupos universales

Los grupos con alcance universal se utilizan para consolidar grupos entre dominios. Las mejores prácticas para consolidar grupos son las siguientes:

Agregar cuentas de usuario a grupos con alcance global
Luego anide esos grupos bajo un grupo con alcance universal.

Esto evita cualquier cambio en grupos con alcance universal incluso cuando las membresías cambian dentro de grupos globales. Además, ayuda a controlar la replicación, ya que cada cambio de membresía para un grupo universal desencadena la replicación en todo el bosque, mientras que los cambios en los grupos globales desencadenan la replicación solo a nivel de dominio.

Por ejemplo, podría tener un grupo universal llamado AllMarketing, que tiene dos grupos globales, Asia-Marketing y US-Marketing como miembros. Si se contrata o se marcha a un miembro del equipo de marketing, sólo es necesario modificar la membresía del grupo global apropiado y así evitar la replicación en todo el bosque.

Grupos globales

Los grupos globales son mejores para los siguientes propósitos:

Objetos AD que necesitan permisos similares: los grupos globales a menudo se crean para otorgar los mismos permisos a usuarios (miembros) que tienen responsabilidades laborales similares, como todos los contables.
Administración de objetos que requieren mantenimiento diario : los grupos globales también se utilizan para administrar cuentas de usuarios y computadoras que requieren mantenimiento diario, ya que el cambio de dichas cuentas en grupos globales no se replica en el catálogo global.

Grupos locales de dominio

Los grupos locales de dominio son mejores para administrar permisos para recursos específicos del dominio, como una impresora específica. Por ejemplo, podría crear un grupo de AD llamado US-MarketingPrinter con alcance de dominio local y otorgarle permiso para acceder a la impresora en el área del equipo de marketing. Luego puede agregarle varios grupos globales. Esto permitiría a los miembros de esos grupos globales acceder a la impresora.

Grupos de seguridad de Active Directory integrados

Varios grupos de seguridad de Active Directory se crean automáticamente en los servidores de Windows. Éstos son algunos de los más importantes que debe conocer:

Administradores

Este grupo tiene control sobre todos los controladores de dominio (DC) y puede modificar la membresía de otros potentes grupos integrados, incluidos administradores de dominio, administradores empresariales y administradores de esquemas.

Operadores de respaldo

Los miembros de este grupo son los principales responsables de realizar copias de seguridad y restaurar archivos en las computadoras, incluidos los controladores de dominio. Los operadores de respaldo no pueden modificar la configuración del servidor ni cambiar la configuración del directorio, pero tienen la capacidad de reemplazar archivos, como archivos del sistema operativo en los DC.

Usuarios de escritorio remoto

Este grupo proporciona derechos para iniciar una sesión remota en un servidor host de sesión de RD.

Administradores de dominio

Este grupo es miembro del grupo de Administradores del dominio y, por lo tanto, hereda todas las capacidades de ese grupo. De forma predeterminada, también se asigna al grupo de administradores locales de cada computadora miembro del dominio, lo que brinda a los administradores del dominio control total sobre todas las computadoras del dominio.

Administradores empresariales

Este grupo también es miembro del grupo de Administradores. Tiene acceso completo a todos los controladores de dominio, posee una partición de configuración de directorio y tiene control sobre el contexto de nombres de dominio.

Administradores de esquema

Este grupo controla el esquema de Active Directory.

Debido a que estos grupos de seguridad AD integrados son tan poderosos, es vital limitar rigurosamente su membresía y monitorearlos de cerca para detectar cambios no autorizados.

Mejores prácticas para la gestión de grupos de Active Directory

Como hemos visto, los grupos de Active Directory brindan acceso a información y recursos de TI críticos. Por lo tanto, gestionarlos eficazmente es vital para la seguridad. Aquí hay siete mejores prácticas clave para adoptar:

Sepa qué grupos tiene.
Utilice estándares.
Establecer la propiedad del grupo.
Controlar cambios a grupos.
Exigir certificación periódica por parte de los propietarios del grupo.
Automatiza las tareas de gestión de grupos.
Elimine los grupos que ya no sean necesarios.

#1: Sepa qué grupos tiene.

El primer paso para administrar sus grupos de Active Directory es obtener un inventario preciso. Asegúrese de marcar cualquier grupo que:

no tener miembros
no tener dueño
No tener cambios recientes
Parecen ser duplicados (ya sea por nombre o membresía)
Están anidados dentro de otros grupos.

Recopilar esta información y mantenerla actualizada mediante métodos manuales o incluso PowerShell es tedioso y propenso a errores. Considere invertir en una solución como Netwrix GroupID, que automatiza el trabajo.

#2: Utilice estándares.

Probablemente descubra algunos grupos con nombres crípticos y puede que le lleve algo de trabajo descubrir por qué se crearon y si todavía son necesarios. Para evitar este problema en el futuro, establezca estándares para nombrar grupos. Además, cree estándares en torno a lo siguiente:

Ámbito del grupo

Asegúrese de que todos los que puedan crear o modificar grupos comprendan cómo el alcance afecta la replicación, los miembros y la membresía dentro de otros grupos.

Tipo de grupo

Los grupos de seguridad y distribución están diseñados para cumplir propósitos muy diferentes, pero pueden superponerse en funcionalidad (como en el caso de un grupo de seguridad habilitado para correo). Sea claro acerca de si asigna el tipo de grupo y cómo lo hace.

Descripción del grupo y notas

Asegúrese de que cada grupo tenga una buena descripción y notas sobre su propósito.

Colocación de objetos

Así como utiliza estructuras de carpetas en un sistema de archivos para ayudarlo a identificar rápidamente lo que contiene una carpeta, aproveche las unidades organizativas en el directorio tanto para fines de documentación como de delegación.

Uso de anidamiento

Utilice el anidamiento de grupos de forma adecuada y coherente.

#3: Establecer la propiedad del grupo.

El propietario de un grupo debe ser la persona mejor posicionada para determinar qué permisos debe tener el grupo, quién debe ser miembro del grupo y si el grupo aún es necesario. En la mayoría de los casos, no se trata del equipo de TI, sino de un usuario empresarial, como un gerente, jefe de departamento o líder de proyecto. Idealmente, los grupos deberían tener varios propietarios.

#4: Controlar los cambios en los grupos.

En muchas organizaciones, los usuarios pueden agregarse a un grupo de Active Directory simplemente enviando un ticket al servicio de asistencia técnica. A menudo ocurre que estas solicitudes simplemente “suceden”, dejándote con poca o ninguna responsabilidad. Para establecer la responsabilidad, debe, como mínimo, realizar un seguimiento de todos los cambios realizados en los grupos, incluidos los cambios en los atributos, permisos, membresía y anidamiento del grupo, así como la eliminación del grupo. Netwrix GroupID puede realizar un seguimiento de todos los cambios e incluso facilita que los usuarios agreguen un comentario sobre la justificación del cambio.

Aún mejor, establezca un flujo de trabajo para garantizar que los grupos confidenciales se modifiquen solo después de la aprobación del propietario del grupo u otra persona autorizada.

Con Netwrix GroupID, puede categorizar fácilmente sus grupos para controlar si se pueden realizar cambios y cómo. Las opciones incluyen:

Privado: membresía cerrada
Semiprivado: los usuarios pueden enviar solicitudes para unirse y salir a los propietarios del grupo.
Público: abierto a todos los usuarios

N.º 5: Exigir una certificación periódica por parte de los propietarios del grupo.

Incluso si ha implementado el control de cambios para sus grupos, debe solicitar periódicamente una certificación del grupo, en la que los propietarios del grupo revisen los atributos, la membresía y los permisos del grupo para realizar las correcciones necesarias.

El propietario también debe dar fe de la necesidad de que el grupo siga existiendo. Por ejemplo, es posible que haya creado un grupo para proporcionar acceso a una aplicación CRM. Si pasa a un sistema CRM basado en la nube, ya no necesitará ese grupo, pero sin un proceso de revisión regular, es probable que permanezca en su directorio durante años.

#6: Automatiza las tareas de gestión de grupos.

Cuando los equipos de TI y de asistencia técnica tienen que administrar manualmente los grupos y la membresía de los grupos, los errores humanos son inevitables, lo que pone a su organización en mayor riesgo de sufrir violaciones de seguridad e interrupciones comerciales. Para reducir este riesgo, automatice los procesos relacionados con el grupo tanto como sea posible, desde la creación del grupo hasta los cambios de membresía, la certificación y la eventual eliminación.

#7: Eliminar grupos que ya no sean necesarios.

Exigir a los propietarios de grupos que acrediten periódicamente que sus grupos todavía son necesarios o que pueden eliminarse. Si bien puede implementar esta mejor práctica utilizando métodos manuales, un mejor enfoque es asignar a cada grupo una fecha de vencimiento para que se elimine automáticamente si se valida mediante su proceso de certificación. Netwrix GroupID facilita este proceso.

Conclusión

Las listas de seguridad y distribución son herramientas poderosas para otorgar acceso de manera rápida y precisa a los recursos de TI y distribuir información por correo electrónico. Si sigue las mejores prácticas detalladas en este artículo e invierte en una solución de software como Netwrix GroupID, podrá administrar sus grupos de manera eficiente y efectiva.