Grupos de seguridad de Active Directory frente a grupos de distribución
El uso de grupos es una práctica recomendada para la administración de Active Directory. Este artículo describe los dos tipos de grupos de Active Directory (grupos de seguridad y grupos de distribución) y ofrece orientación para utilizarlos de forma eficaz.
Diferencias clave entre grupos de seguridad y listas de distribución
Los grupos de seguridad y los grupos de distribución (más comúnmente llamados listas de distribución) son grupos de Active Directory, pero están diseñados para propósitos muy diferentes:
- Los grupos de seguridad se utilizan para administrar el acceso de usuarios y computadoras a recursos de TI compartidos, como datos y aplicaciones. Los permisos se asignan al grupo de seguridad y todas las cuentas de usuario y de computadora que son miembros del grupo tienen esos permisos automáticamente.
- Los grupos de distribución (listas de distribución) se utilizan para enviar correos electrónicos a un conjunto de usuarios, sin que el remitente tenga que ingresar la dirección de correo electrónico de cada destinatario individualmente.
Tenga en cuenta que, si bien puede utilizar grupos de seguridad para la distribución de correo electrónico, no puede utilizar listas de distribución para asignar permisos.
Ahora, profundicemos en cada tipo de grupo de AD.
Grupos de seguridad
Los grupos de seguridad de Active Directory se utilizan para administrar el acceso de usuarios y computadoras a recursos compartidos, como carpetas, aplicaciones e impresoras. Esto hace que el aprovisionamiento sea más fácil y preciso. Por ejemplo, cuando una nueva persona se une a la organización, el equipo de TI puede otorgarle rápidamente acceso exactamente a los recursos que necesita para hacer su trabajo simplemente agregándolos a los grupos de seguridad apropiados, como los grupos de su departamento y sus proyectos específicos. . También se pueden configurar grupos de seguridad para negar a un conjunto de usuarios el acceso a un recurso en particular.
Dos funciones principales de un grupo de seguridad son:
- Asignar derechos de usuario: la asignación de derechos de usuario a un grupo de seguridad determina lo que los miembros de ese grupo en particular pueden hacer dentro del alcance de un dominio. Por ejemplo, un usuario agregado al grupo Operadores de respaldo puede realizar copias de seguridad y restaurar archivos y directorios ubicados en cada controlador de dominio del dominio. Al ser miembro de este grupo, hereda los derechos de usuario asignados al grupo.
- Asignar permisos para recursos: Esto es diferente de los derechos de usuario porque los derechos de usuario se aplican en todo un dominio frente a los permisos que se dirigen a una entidad específica. Los permisos determinan quién puede acceder al recurso y el nivel de acceso, como Control total o Sólo lectura.
En pocas palabras, los derechos de usuario se aplican a las cuentas de usuario, mientras que los permisos están asociados con los objetos.
Los administradores pueden crear grupos de seguridad y administrar sus permisos y membresía a través de múltiples métodos, incluida la consola Usuarios y computadoras de Active Directory (ADUC), Windows PowerShell y soluciones de software de administración de grupos de terceros.
¿Qué son los permisos del grupo de seguridad de Active Directory?
Los permisos en Active Directory son un conjunto de reglas y regulaciones que definen cuánta autoridad tiene un objeto para ver o modificar otros objetos y archivos en el directorio. Para garantizar que los usuarios solo tengan acceso a los recursos que necesitan, los administradores de TI asignan permisos a través de Listas de control de acceso (ACL).
¿Qué son las listas de control de acceso (ACL)?
Las Listas de Control de Acceso definen entidades que tienen acceso a un objeto y el tipo de acceso. Estas entidades pueden ser cuentas de usuario, cuentas de computadora o grupos. Por ejemplo, si un objeto de archivo tiene una ACL que contiene (Mary: leer; Sarah: leer, escribir), le permitiría a Mary leer el archivo y a Sarah leerlo y escribirlo.
Se puede configurar una lista de control de acceso en un objeto individual o en una unidad organizativa (OU), lo que significa que todos los objetos descendientes de la OU heredan la ACL.
Tipos de listas de control de acceso
Hay dos tipos de ACL, cada una de las cuales realiza una función distintiva:
Lista de control de acceso discrecional (DACL): Esta lista indica los derechos de acceso asignados a una entidad sobre un objeto. Cuando una entidad o un proceso intenta acceder a un objeto, el sistema determinará el acceso basándose en lo siguiente:
- Si un objeto no tiene una DACL, el sistema permite a todos tener acceso completo a él.
- Si un objeto tiene una DACL, el sistema permite el acceso permitido explícitamente por las entradas de control de acceso (ACE) en la DACL.
- Si una DACL tiene ACE que permiten el acceso a un conjunto limitado de usuarios o grupos, el sistema implícitamente niega el acceso a todos los que no están incluidos en las ACE.
- Si la DACL de un objeto no tiene ACE, el sistema no permite el acceso a nadie.
Consejo: evite utilizar grupos de seguridad para enviar correos electrónicos
En una configuración normal, a los grupos de distribución creados en Exchange y Microsoft 365 se les asignan direcciones de correo electrónico de forma predeterminada, pero no a los grupos de seguridad. En consecuencia, normalmente no se pueden utilizar grupos de seguridad para la distribución de correo electrónico. Sin embargo, es posible habilitar el correo de un grupo de seguridad para usarlo tanto para otorgar acceso a recursos como para enviar correos electrónicos.
Sin embargo, no es una buena práctica utilizar grupos de seguridad para el correo electrónico porque hacerlo podría comprometer la seguridad. Un grupo de seguridad habilitado para correo aumenta primero el riesgo de robo de identidad para sí mismo, lo que podría extenderse a otros grupos de seguridad que sean miembros del grupo comprometido. O, por ejemplo, si un grupo de seguridad habilitado para correo recibe un enlace malicioso en un mensaje, podría invadir la privacidad de su organización al alterar ciertas configuraciones.
Si tiene el requisito de enviar un correo electrónico a todos los miembros de un grupo de seguridad, es mejor crear un grupo de distribución con la misma membresía que el grupo de seguridad.
Grupos de distribución
Los grupos de distribución de Active Directory se utilizan para enviar correos electrónicos a un grupo de usuarios en lugar de a destinatarios individuales uno por uno. Por ejemplo, una empresa podría configurar una lista de distribución para todos los empleados, otra lista de distribución para todos los gerentes y una lista de distribución separada para cada departamento. Cuando desee enviar un correo electrónico a cualquiera de estos grupos, simplemente puede seleccionar el grupo de distribución, en lugar de tener que agregar todos los destinatarios individualmente. Esto ahorra tiempo y mejora la precisión.
Como se señaló anteriormente, no puede asignar permisos a listas de distribución.
Grupos de distribución frente a buzones compartidos
Una lista de distribución es bastante diferente de un buzón compartido. Un buzón compartido se utiliza cuando varias personas requieren acceso al mismo buzón. Por ejemplo, el equipo de asistencia técnica y el equipo de soporte de TI pueden utilizar un buzón compartido para poder colaborar en las tareas. Además, cualquier miembro de los equipos puede enviar y recibir correos electrónicos en nombre de los equipos. Normalmente, un buzón de correo compartido tiene una dirección genérica como "ITsupport@company.com", de modo que permanece igual incluso si la composición del equipo responsable cambia con el tiempo. Cuando un usuario envía un correo electrónico desde un buzón compartido, se envía desde la dirección del buzón compartido en lugar de desde la propia dirección de correo electrónico del usuario. Se envía una copia de ese correo electrónico al buzón compartido para que la vean todos los demás miembros.
Un escenario que resalta la diferencia entre una lista de distribución y un buzón compartido es la eliminación de correo electrónico. Si un usuario elimina un correo electrónico de un buzón compartido, ese correo electrónico se elimina para todos los que tengan acceso a ese buzón. Pero cuando un miembro de una lista de distribución elimina un correo electrónico enviado al grupo, ese correo electrónico no se elimina del buzón de ningún otro destinatario.
¿Los grupos de distribución pueden ser administrados por grupos de seguridad y viceversa?
Un grupo de seguridad puede convertirse en propietario de un grupo de distribución. Hacerlo permitiría a todos los miembros del grupo de seguridad administrar ese grupo de distribución, por ejemplo, sus destinatarios de informes de no entrega y restricciones de envío/recepción de mensajes. Por ejemplo, un grupo de seguridad creado para un equipo de proyecto podría ser el propietario de su lista de distribución asociada y el equipo de comunicaciones corporativas podría ser el propietario de varias listas de distribución para la empresa.
Por otro lado, un grupo de distribución no puede convertirse en propietario de un grupo de seguridad.
¿Es seguro eliminar grupos de distribución y grupos de seguridad?
Eliminar un grupo de distribución no representa una amenaza para la seguridad de su organización, aunque eliminar uno accidentalmente puede interrumpir las comunicaciones hasta que el grupo pueda restaurarse desde la copia de seguridad o se cree uno nuevo y se llene con los mismos miembros.
Sin embargo, eliminar un grupo de seguridad puede tener implicaciones graves, como por ejemplo:
- Seguridad: eliminar un grupo de seguridad que restringe el acceso de los miembros a ciertos recursos otorgaría a esos usuarios acceso a esos recursos.
- Productividad: eliminar un grupo de seguridad que otorga a sus miembros acceso a ciertos recursos dejaría a los usuarios sin acceso a los datos y aplicaciones que necesitan para realizar su trabajo.
En consecuencia, tenga cuidado al eliminar grupos de seguridad.
Conclusión
Mantener sus grupos de seguridad y listas de distribución precisos y actualizados es fundamental para la seguridad y la continuidad del negocio. Para simplificar el trabajo, considere invertir en una solución como Netwrix GroupID. Netwrix GroupID facilita garantizar que:
- Cada grupo de su directorio tiene un propósito.
- Cada grupo tiene un dueño.
- A los usuarios no se les concede membresía innecesaria en grupos.
- Ningún grupo tiene permisos excesivos.
- Los grupos no sobreviven a su propósito previsto.
- No existen grupos duplicados.