Implementación y configuración del controlador de dominio: mejores prácticas

Los administradores de TI han estado trabajando con Active Directory y sus alrededores desde la introducción de la tecnología en Windows 2000 Server. Windows 2000 Server se lanzó el 17 de febrero de 2000, pero muchos administradores comenzaron a trabajar con Active Directory a finales de 1999, cuando se lanzó a fabricación (RTM) el 15 de diciembre de 1999.

Existen algunas buenas prácticas que se deben seguir al implementar centros de datos. Muchas de estas prácticas están documentadas. Pero no muchas organizaciones están implementando estas prácticas.

Cómo implementar y configurar el controlador de dominio

Pasaremos por alto las buenas prácticas bien conocidas, como mantener la base de datos de Active Directory en un conjunto de ejes de disco, los archivos de registro en ejes de disco separados y el sistema operativo en su propio conjunto de ejes de disco.

Algunas de las buenas prácticas menos implementadas para los controladores de dominio son:

• Ejecute la instalación Server Core del sistema operativo.

Muchos administradores evitan los cambios, especialmente en sistemas como AD DS que son increíblemente estables. Entonces, cuando un nuevo administrador propone cambiar a la instalación de Server Core, a menudo recibe miradas gélidas. Pero la realidad es que la mayoría de los administradores administran AD DS de forma remota iniciando ADUC o PowerShell en su computadora cliente o administrativa. Todas las herramientas de administración principales, incluido el Centro administrativo de Active Directory (ADAC) y Windows PowerShell, funcionan de manera casi idéntica cuando se usan localmente en un DC o de forma remota desde una computadora cliente o una computadora administrativa. Por lo tanto, al pasar a la instalación de Server Core, la experiencia administrativa no se degrada. Además, obtiene mejoras de seguridad y algunas pequeñas mejoras de rendimiento.

• No ejecute otro software o servicios en un DC.

En los viejos tiempos, como hace 10 años, la mayoría de las organizaciones usaban servidores físicos porque la virtualización estaba en su infancia. Entonces, cuando llegaba el momento de aprovisionar un nuevo servidor de archivos, un servidor DHCP o un servidor de impresión, los administradores a menudo simplemente recurrían a un servidor existente. También se usaba a menudo un DC. Avancemos hasta 2015, cuando la virtualización es el estándar de facto y el aprovisionamiento automatizado ayuda a entregar una nueva VM en minutos y la antigua forma de hacer las cosas ya no es tan convincente. Ahora, cuando necesite un lugar para un servidor de archivos, un servidor DHCP, un servidor de impresión o algún otro servidor de aplicaciones, puede aprovisionar una nueva máquina virtual. O, mejor aún, puede aprovisionar una nueva máquina virtual como servidor de utilidades. Un servidor de servicios públicos es un servidor que aloja todas las aplicaciones y servicios que son demasiado pequeños para justificar un servidor dedicado. Esto permite que sus centros de datos sigan con un servicio dedicado que aporta más estabilidad.

• Ajuste el orden de inicio y establezca una contraseña de BIOS.

Si bien todos sus centros de datos de lectura y escritura deben estar en un centro de datos seguro, hay muchas personas de TI y no TI que tienen acceso al centro de datos. Por ejemplo, los electricistas contratados que trabajan en el sistema de refrigeración tienen acceso al centro de datos. Además, es probable que haya personal de redes, cableado y administración de TI con acceso al centro de datos. Cualquiera que tenga acceso físico a un DC puede obtener acceso a un DC físico en solo un par de minutos en una consola en el centro de datos. Hay imágenes de arranque gratuitas especializadas disponibles que puede utilizar para iniciar y restablecer contraseñas, instalar malware u obtener acceso a los datos del disco, suponiendo que el disco no esté cifrado. Para evitar esto, realice las siguientes configuraciones:

• Asegúrese de que todos los medios extraíbles no formen parte del orden de inicio del BIOS. En cambio, sólo el disco duro donde está instalado el sistema operativo debe formar parte del orden de inicio. Esto también se aplica a sus servidores host de virtualización, si tiene controladores de dominio virtuales.

• Establezca una contraseña de BIOS segura. Si no establece una contraseña de BIOS, alguien puede actualizar el orden de inicio, iniciar desde el medio de instalación de Windows Server o muchos kits de herramientas de software gratuito y realizar una reparación para acceder al símbolo del sistema. Una vez en el símbolo del sistema, pueden causar estragos y restablecer rápidamente las contraseñas de las cuentas de dominio.

• Mantenga los DC en un gabinete cerrado con llave. Si bien una contraseña de BIOS es una capa de seguridad, si el atacante es semi-capaz, probablemente sabrá cómo restablecer el BIOS para que se restablezca la configuración y se elimine la contraseña. A menudo, esto requiere acceder a la placa base. Puede reducir el riesgo de un ataque de este tipo manteniendo los centros de datos en un gabinete cerrado con llave. Algunos servidores también permiten bloqueos del chasis. En entornos de alta seguridad, debes optar por ambos.

• Estandarizar la configuración de todos los controladores de dominio.

Debe intentar hacer coincidir los ajustes de configuración para cada DC. Puede lograr algo de esto utilizando la automatización de compilación a través de herramientas de implementación como System Center Configuration Manager. Los elementos de interés para los DC son la configuración del tamaño del registro de eventos para garantizar que tenga tamaños grandes para capturar información relacionada con la seguridad y la auditoría, configuraciones de arranque como el tiempo de espera de espera para la selección del sistema operativo en servidores físicos, versiones y configuraciones de firmware y BIOS, y configuración de hardware. . Por supuesto, hay muchos otros elementos de configuración que se pueden estandarizar mediante la Política de grupo. El objetivo principal es configurar los DC de manera idéntica.

Encontrará más información sobre las bases de Active Directory en nuestro tutorial de AD para principiantes.