Cómo configurar y administrar cuentas de servicios administrados por grupos

El uso de cuentas de usuario normales como cuentas de servicio es una práctica común que asigna la responsabilidad de administrar las contraseñas a los usuarios. Desafortunadamente, esto a menudo da como resultado que las contraseñas permanezcan iguales durante largos períodos de tiempo, lo que las hace vulnerables a ataques y uso indebido. Sin embargo, las cuentas de servicio administradas por grupo (gMSA) brindan una solución más segura para ejecutar tareas, servicios y aplicaciones automatizados. Introducidos en Windows Server 2016, los gMSA también se pueden usar en Windows Server 2012 y versiones más recientes. Con gMSA, Windows maneja todos los aspectos de la administración de contraseñas. Las contraseñas se generan aleatoriamente y se cambian automáticamente de forma regular. Además, ningún usuario necesita conocer las contraseñas, ya que los gMSA se instalan en el servidor y recuperan la información de su contraseña de Active Directory en tiempo de ejecución. Esto hace que las gMSA sean significativamente menos susceptibles al mal uso y al compromiso en comparación con el uso de cuentas de usuario como cuentas de servicio.

¿Por qué son importantes las cuentas de servicios administradas grupales (gMSA)?

El uso de cuentas de servicio es importante para brindar seguridad a los servicios en segundo plano en dispositivos Windows. Sin las medidas de seguridad adecuadas, estos servicios pueden ser atacados por piratas informáticos. Los gMSA ofrecen varios beneficios para la gestión de la seguridad, que incluyen;

La capacidad de ejecutar servicios y tareas en múltiples servidores.
Gestión automatizada de contraseñas
Manejo de contraseñas a través del sistema operativo.
Delegación de la gestión a otros administradores

Cómo encontrar y administrar gMSA

Es posible que su empresa ya haya establecido gMSA que pueden proporcionar un punto de partida para administrar sus cuentas de servicio. Encontrar y administrar sus MSA es un proceso relativamente sencillo, que implica ejecutar los siguientes comandos de PowerShell:

Obtener-ADServiceAccount
Instalar-ADServiceAccount
Nueva cuenta de servicio AD
Eliminar-ADServiceAccount
Establecer cuenta de servicio AD
Test-ADServiceAccount
Desinstalar-ADServiceAccount

Cómo configurar cuentas de servicios administrados por grupos (gMSA)

Para administrar gMSA mediante Powershell, se requiere una arquitectura de 64 bits. Es importante asegurarse de que el esquema del bosque esté actualizado a Windows Server 2012, que se implemente una clave raíz maestra para Active Directory y que al menos un controlador de dominio de Windows Server 2012 esté presente en el dominio donde se creará gMSA.

Para crear una cuenta de servicio administrada por grupo, se puede utilizar el cmdlet New-ADServiceAccount. Si AD PowerShell no está instalado, el módulo Active Directory para Windows PowerShell se puede agregar a través del Administrador del servidor. Los parámetros para crear una gMSA incluyen;

El nombre de la cuenta
El nombre de host DNS del servicio.
El tipo de cifrado admitido por los servidores host.
El intervalo de cambio de contraseña
Las cuentas permitidas para recuperar la contraseña administrada.
El nombre NetBIOS del servicio.
Los nombres principales de servicio (SPN) del servicio.

Para agregar miembros al grupo de seguridad administrado por gMSA, se pueden agregar cuentas de computadora mediante la GUI de Active Directory, la línea de comandos o los cmdlets de Windows PowerShell Active Directory. Una vez creada la gMSA, se puede verificar en la unidad organizativa de cuentas de servicio administradas.

Mejores prácticas para administrar cuentas de servicios administrados en grupo

Para garantizar que las Cuentas de servicios administradas de grupo protejan eficazmente su organización, es esencial asegurarse de que las administre de manera adecuada. A continuación se presentan algunas sugerencias útiles;

Organícelos correctamente: coloque todos los gMSA en la carpeta de la cuenta de servicio administrada o en la unidad organizativa (OU). Si tiene varios tipos de MSA, cree una subunidad organizativa para mantener todas las gMSA separadas para un acceso conveniente. Mantener una convención de nomenclatura uniforme también puede ayudar a organizar sus gMSA de forma eficaz.

Mantenga un inventario de sus cuentas de servicio: es importante realizar un seguimiento de las cuentas de servicio de su organización para mantener la seguridad y evitar problemas de autenticación. Utilice herramientas como cmdlets de PowerShell o una solución de ciberseguridad dedicada para administrar y monitorear estas cuentas de manera efectiva.

Mantenga prácticas de seguridad adecuadas: para reducir el riesgo para las cuentas de servicio, es importante evitar que los administradores utilicen sus cuentas personales como cuentas de servicio y minimizar los inicios de sesión interactivos para los servicios. Al utilizar gMSA, puede automatizar la administración de contraseñas y mantener las autenticaciones dentro del sistema operativo, eliminando la necesidad de interacción humana.

Seguridad de la cuenta de servicio administrada por grupo

Las cuentas de servicio administradas de grupo son un tipo de objeto específico en Active Directory y tienen atributos especiales relacionados con su contraseña y rotación. Para garantizar la seguridad, es importante limitar el acceso a estos atributos sólo a los objetos necesarios de Active Directory. Los atributos de los gMSA incluyen;

La contraseña en sí (msDS-ManagedPassword)
El ID de clave utilizado para la contraseña actual (msDS-ManagedPasswordID)
El ID de clave utilizado para la contraseña anterior (msDS-ManagedPasswordPreviousID)
Una lista de objetos con permiso para consultar la contraseña (msDS-GroupMSAMembership)
El intervalo de rotación de contraseña (msDS-ManagedPasswordInterval)

Saber quién puede acceder a la contraseña es fundamental, ya que se almacena en el atributo msDS-ManagedPassword. El acceso para consultar la contraseña está determinado por el atributo msDS-GroupMSAMembership, pero también se requieren permisos adicionales de Active Directory. Los usuarios u objetos con permisos para consultar la contraseña también deben tener permisos de "lectura" para el atributo msDS-ManagedPassword de gMSA.

Para proteger las contraseñas de gMSA, se deben seguir dos pasos. Primero, asegúrese de que solo los objetos necesarios tengan permiso para consultar la contraseña y que estén enumerados en el atributo msDS-GroupMSAMembership. En segundo lugar, restrinja el acceso para leer el atributo solo a los usuarios administrativos que necesitan acceso y a las cuentas de computadora donde están instalados los gMSA. Los permisos o configuraciones mal administrados pueden comprometer los gMSA, lo que permite a los atacantes escalar privilegios o moverse lateralmente dentro de la red.

Monitoreo gMSA

Habilitar la política "Auditar acceso al servicio de directorio" y configurar una SACL en gMSA le permite generar registros de eventos que rastrean las consultas realizadas a los atributos de contraseña. Al monitorear estos registros, puede identificar quién accede a las contraseñas de las cuentas gMSA. El ID de evento 4662 se genera cuando esta configuración está activada y registra detalles como la cuenta que realizó la consulta y el atributo específico al que se accedió. Al utilizar una solución de auditoría de cambios dedicada, puede rastrear y monitorear de manera efectiva el acceso a estos atributos.