Source: http://docplayer.es/900261-Administracion-windows-server-2003.html
Timestamp: 2017-08-18 09:32:11+00:00

Document:
Administración Windows Server PDF
Download "Administración Windows Server 2003"
Concepción Piñeiro Vázquez
1 + Administración Windows Server 2003 Técnico en Administración de Sistemas y Redes TCP/IP Modulo 2. Administración básica de sistemas Windows Server
2 + Parte 1. Windows Server 2003 Instalación, Administración y Configuración Administración Windows Server 2003
3 + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Índice Parte 1 Admin WS2003 Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo
4 + Introducción Windows Server 2003 es Windows XP + Servicios de Servidor Por qué estudiar Windows Server 2003? Fiabilidad Material didáctico y de apoyo Windows 2008 no presenta mejoras demostradas respecto de la R2
5 + Introducción Las nuevas características de Windows Server 2003 hacen que sea hasta el momento, el sistema operativo Más estable Robusto Escalable Mejor orientado a perfeccionar el rendimiento y prestaciones para distintos roles: Aplicación Servicios web Servicios de directorio Servicios file & print Servicios de infraestructura
6 + Introducción
7 + Ediciones de Windows Server 2003 Existen varias ediciones de Windows Server 2003 Standard Edition Enterprise Edition Datacenter Edition Web Edition Cada edición está orientada a un uso característico de la plataforma, como se ve a continuación
8 + Ediciones de Windows Server 2003 Standard Edition Sistema operativo servidor fiable ideal para satisfacer las necesidades diarias de empresas de todos los tamaños Proporcionando la solución óptima para compartir archivos e impresoras conectividad segura a Internet implementación centralizada de aplicaciones Entorno de trabajo que conecta eficazmente a empleados, socios y clientes Soporta hasta 4 procesadores Posee 4 Gb de Memoria RAM
9 + Ediciones de Windows Server 2003 Enterprise Edition Plataforma preferida para grandes y medianas compañías para implementar aplicaciones de forma segura, así como servicios Web Integra infraestructuras aportando fiabilidad, mejores rendimientos y un elevado valor empresarial Se presenta tanto en 32 como en 64 bit. Soporta hasta 8 procesadores. Hasta 64 Hasta 64 Gb de memoria RAM además permite clustering de hasta 8 de hasta 8 nodos
10 + Ediciones de Windows Server 2003 Datacenter Edition Es el servidor escogido para aplicaciones críticas de negocio así como como las consideradas de misión crítica, que exigen los más altos niveles de uptime, escalabilidad y fiabilidad Se presenta en las versiones de 32 y 64 bit. Permite escalar por encima de las 8 vías o procesadores alcanzando hasta 64 procesadores en paralelo
11 + Ediciones de Windows Server 2003 Web Edition Optimizado específicamente para albergar y servir páginas web Mantiene las funcionalidades esenciales que garantizan la fiabilidad, seguridad y facilidad de gestión Es la edición adecuada para implementar servidores web dedicados a bajo coste
12 + Requisitos de Instalación A continuación se muestran los requisitos del sistema de la familia Windows 2003 Server Requisito Web Edition Standard Edition Enterprise Edition Datacenter Edition Velocidad mínima CPU Velocidad recomendada Memoria RAM mínima Memoria recomendada Espacio de disco 133 Mhz 133 Mhz 133 Mhz (para X86) 733 Mhz (Itanium) 400 Mhz (para X86) 733 Mhz (Itanium) 550 Mhz 550 Mhz 733 Mhz 733 Mhz 128 MB 256 MB 1,5 GB 128 MB 128 MB 512 MB 256 MB 256 MB 1,5 GB 1,5 GB (parax86) 2 GB (Itanium) 1 GB 1,5 GB (para X86) 2 GB (Itanium)
13 + Nuevas características de Windows Server 2003 R2 Algunas de las nuevas características que presenta W2003 Server R2 respecto a ediciones anteriores son las siguientes: Automated System Recovery Permite recuperar el SO a su estado anterior Utiliza un diskette de información de la configuración y un set de backup Cuando se quiera iniciar el proceso de Recovery se debe tener además el cd-rom de instalación de W2003 Server Volume Shadow Copy Ayuda a recuperar archivos perdidos erróneamente. Para ello guarda versiones anteriores de archivos para su posterior recuperación eliminando la necesidad de recurrir al restore de Backup
14 + Nuevas características de Windows Server 2003 R2 Encrypted File System (EFS) Permite realizar un encriptación del sistema de archivos en forma segura y también que otros usuarios tengan acceso a esos archivos Driver Rollback Esta es una nueva utilidad para el manejo de versiones en Drivers de dispositivos y permite volver a la versión anterior del anterior Driver Reboot Reason Collector Event Tracker Esta nueva herramienta permite recolectar para su análisis los motivos por los cuales un Server se reinicia, se apaga, o fue apagado por falta de energía
15 + Nuevas características de Windows Server 2003 R2
16 + Nuevas características de Windows Server 2003 R2 Novedades en Active Directory ADMT versión 2.0 Active Directory Migration Tool permite migrar passwords desde Windows NT 4.0 a Windows 2000 y Windows Server 2003, o desde Windows 2000 a Dominios Windows Server 2003 Schema La flexibilidad de A. D. ahora permite la desactivación de atributos y definición de clases en A. D. Schema Asimismo se agrega nueva funcionalidad que permite borrado de Schema Group Policy Aparece GPMC (GP Manage Console) que permite administrar múltiples dominios, activar y desactivar políticas, etc. Políticas de Restricción de SW Por medio de estas policies se pueden proteger los entornos de SW no autorizados, especificando el software que si lo está Manejo de Sites Incluye un nuevo algoritmo de Inter-site Topology Generator eliminando la limitación previa de 500 sites a 5.000
17 + Nuevas características de Windows Server 2003 R2 Novedades en IIS (Internet Information Services) 6.0 Arquitectura de Procesos Fault-Tolerant Aísla web sites y aplicaciones en unidades llamadas Application pools Estas proveen una forma conveniente de administrar web sites y aplicaciones Incrementan la confiabilidad Health Monitoring IIS 6.0 chequea periódicamente el estatus de los Aplication Pools y los reinicia automáticamente en caso fallo del web site o aplicaciones dentro de ese AplicationPool, incrementando la disponibilidad Integración con Aplicaciones Ofrece integración con ASP.NET, Microsoft.NET Framework Framework y XML Web Services Pasando a ser la plataforma especialmente diseñada para aplicaciones.net Seguridad Con IIS 6.0 esta seguro desde su instalación, requiriendo que el administrador habilite las funciones especiales y necesarias para correr el Web Site
18 + Principales Funcionalidades Las principales funcionalidades de Windows 2003 Server R2 son: Domain Controler (Active Directory) Los controladores de dominio almacenan datos del directorio y manejan la comunicación entre los usuarios y los dominios, incluyendo procesos de conexión del usuario, autentificación y búsqueda del directorio Cuando se instala AD en Windows Server 2003 La computadora se convierte en Controlador de Dominio (DC) Los servidores de dominio que no son DC son Servidores Miembro Los servidores no asociados a un dominio se llaman Servidores de Grupo de Trabajo File Server Proporciona una localización central en su red donde puede almacenar y compartir archivos con los usuarios a través de la red
19 + Principales Funcionalidades Print Server Proporciona una localización central en su red, donde los usuarios pueden imprimir Además provee a los clientes los drivers actualizados de las impresora y maneja la cola de impresión y la seguridad DNS Server Es un servicio estándar de internet y de TCP/IP Permite a las computadoras cliente ubicarse en su red y resolver nombres de dominio DNS Una computadora configurada para proporcionar servicios del DNS en una red es un servidor DNS, lo que es necesario para AD
20 + Principales Funcionalidades Terminal Server Provee a computadoras lejanas acceso a los programas en Windows que funcionan en todas las versiones del Server 2003 Se instala una aplicación en un solo punto y en un solo servidor. Los usuarios múltiples, entonces podrán tener acceso a la aplicación sin la instalación de la misma en sus computadoras Servidor DHCP es un estándar IP para simplificar la administración de la configuración IP del Cliente El estándar DHCP permite utilizar los servidores de DHCP para manejar la asignación dinámica de las direcciones y la configuración de otros parámetros IP para clientes DHCP en su red
21 + Qué se puede ejecutar en el sistema MS-DOS Con VDM (Virtual DOS Machine), que emula un 486 (Intel 80486) + MS-DOS No ejecutan aplicaciones con acceso directo a HW Cada aplicación en VDMs distintas = independencia + multitarea Win-16 Con WoW (Windows on Windows) o Win16 VDM Emula MS-DOS + Win 3.1 No ejecutan aplicaciones con acceso directo a HW Tampoco aplicaciones con llamadas al SO no documentadas Misma Win16VDM para todas las aplicaciones = dependencia + monotarea Win 32, es la interfaz nativa Subsistema POSIX, hasta la versión 1.x + sistema de ficheros NTFS
22 + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Índice Windows Server 2003 Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo
23 + Red de Windows Server Puede funcionar como: Grupo de trabajo Dominio
24 + Grupo de trabajo Conjunto lógico de máquinas unidas en red donde una o más máquinas tienen un recurso compartido (ej. Directorio compartido o impresora compartida) Windows 2000 BD SAM security account manager Windows 2000 B BD Windows 95 y 98 no tienen bases de datos de seguridad local Si en A tenemos w2000 y en B también, tenemos dos BBDD de seguridad distintas Los pondremos en el mismo grupo de trabajo escribiendo en ambas BD
25 + Grupo de trabajo Si en A compartimos algo, no basta con que cualquier usuario de B quiera acceder, debido a que son distintas BBDD (en A quizá el usuario de B ni siquiera está dado de alta) Por tanto los usuarios deben estar replicados (en A y en B) A cada recurso se le pueden establecer permisos de acceso concretos para usuarios concretos, mediante ACL (Access Control List), que es una especie de lista de usuarios que lo pueden emplear Ventajas e inconvenientes: Hay que dar de alta a los usuarios en TODAS las máquinas Válido para redes pequeñas (según Microsoft, hasta 10 máquinas) Válido para grupos de personas que saben lo que están haciendo
26 + Dominio Conjunto lógico de máquinas unidas en red donde una o más de ellas tienen un recurso compartido y en el que existe una BD de seguridad central
27 + Dominio NT Ejemplo: Win NT Server BD BD de seguridad central Máquina llamada PDC (Primary Domain Controller): Servidor con BD de seguridad central, instalada en 1er lugar W2000 No tiene BD de seguridad local, usa la central BD de seguridad central, copia de la original Win NT Server BD Win NT Server No tiene copia de BD de seguridad local: Servidor miembro (máquina servidora sin copia de BD) Máquina BDC (Backup Domain Controller) cada cierto tiempo se mandan datos del PDC al BDC, para guardarlos los cambios, autenticaciones, consultas, los admite PDC usuarios acceden SOLO al PDC. Si se cae, debemos (como administradores) promocionar el BDC como PDC o copiar sus BBDD es recomendable tener al menos un BDC
28 + Dominio 2000 ó 2003 Ejemplo: Win Server 2003 BD BD de seguridad central Máquina DC (Domain Controller), instalada en 1er lugar W2000 No tiene BD de seguridad local BD de seguridad central Win Server 2003 BD Win Server 2003 Servidor miembro (máquina servidora sin copia de BD) Máquina DC (Domain Controller) del mismo peso y función cada cierto tiempo se replican datos de una a otra y viceversa los cambios, autenticaciones, consultas, los admiten ambas indistintamente Active Directory almacena objetos (usuarios, direcciones, grupos, impresoras, etc.)
29 + Dominio 2000 ó 2003 Todas las operaciones se pueden hacer en cualquier BD de seguridad central, llamadas Active Directory sin distinción Hay unos 5 papeles concretos que se deben hacer en uno concreto, para evitar problemas de consistencia: Se borra usuario U en S1 Antes de la replicación de esa eliminación entre S1 y S2, U se autentica en S2 y accede Se solventa como veremos más adelante
30 + Dominio 2000 ó 2003 Se crea una topología de replicación de forma que antes de 30 minutos se complete En esta topología unas BBDD se replican en otras, y así sucesivamente Un dominio implica una BD, n dominios => n BBDD Seg. Central
31 + Dominios y Grupos de Trabajo Cada usuario y cada máquina puede estar sólo en un grupo de trabajo y en un dominio sí puede estar en 1 grupo y en 1 dominio a la vez, pero solo en uno de cada Windows XP Home Edition solo para para grupos de trabajo, no dominios Windows Professional, Vista y 7: Standard Edition: hasta 4GB y 4 procesadores Para redes pequeñas con servicios básicos. Tiene DNS dynamic update control Enterprise Edition: hasta 36 GB y 8 procesadores Redes con más memoria y potencia, uso de clustering Datacenter Edition: hasta 64 GB y 36 procesadores Casi no se usa en todo el mundo Web Edition: para 2 GB y 2 procesadores Para servidores Web sin Active Directory
32 + Active Directory Almacena objetos Necesita unidades organizativas de objetos, ya que no hay límite en el número de los mismos y el AD sería inmanejable Esas unidades organizativas son la mínima unidad en la que podemos delegar, y las gestionan administradores concretos
33 + Dominios múltiples Se pueden tener dominios múltiples dentro de un mismo árbol En W2003 Server salvo razón de peso nos basta con un solo dominio (99% de las veces) Con administraciones descentralizadas, en varios países, con distinto idioma, se usarían más dominios Con, por ejemplo, dos oficinas, una en Madrid y otra en Barcelona, nos basta 1 dominio y varios SITIOS (uno en cada ciudad) En un mismo sitio, la replicación es más rápida, y entre sitios más lenta Existe un catálogo global (como páginas amarillas) de todos los dominios de una red Es como la unión de todos los ADs pero solo con la información relevante
34 + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Índice Windows Server 2003 Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo
35 + Licencias Windows Server 2003 A diferencia de la mayoría de entornos Linux, Windows es de pago, y por tanto es necesario comprar el software Windows 2003 cuenta con dos tipos de licencias: Por puesto: cada ordenador tiene su propia licencia, con lo que existe independencia respecto del número de servidores Por servidor: la licencia es para un único servidor DC, y el resto de servidores validan su copia software a través suyo También existen licencias VLP (volume license product), que son licencias para un conjunto de máquinas de forma que no requieren ser activadas mediante las herramientas del sistema
36 + Configuración de un entorno de Servidores Idealmente se comienza creando un dominio. Para ello, se instala un único servidor DC, que crea el Active Directory del dominio Al dar de alta sucesivas máquinas, se añaden al AD y al servidor, con lo que aparecen como servidores miembro En un entorno con 17 máquinas, una, la 1ª, sería DC y las restantes 16 serían servidores miembro Esto implicaría 17 BBDD de Seguridad= 1 central + 16 locales Al autenticarse en una máquina, habrá pues 2 opciones: Hacerlo en el dominio, autenticándonos en el AD En la propia máquina, en la BD de seguridad local Microsoft recomienda emplear el mismo <usuario, password> en la BD local y en el servidor, para que cuando accedamos al AD la autenticación con ese mismo usuario y contraseña sean válidos Si los equipos pasan a ser DCs, sus BBDD locales se pierden y pasan a tener la misma copia de BD de seguridad central
37 + Vistazo a las herramientas administrativas El W2003 Server se emplean usuarios y privilegios de forma parecida a como se usan en Unix Idealmente debemos trabajar con mínimos privilegios, NO como administradores. Visión Visión Física Herramientas administrativas: Lógica AD users & computers maneja datos de usuario, grupos y equipos AD sites & services define sitios, equipos en los sitios, DC s, etc. AD domains & trust define dominios, y es necesario tener máximos permisos en todos ellos Computer Management administrador del equipo (Mi Pc > admin) DNS consola de DNS con las zonas de la máquina, directas e inversas Escritorios remotos MMC
38 + Vistazo a las herramientas administrativas MMC (Microsoft Management Console) Se encuentra en primer lugar vacío Se van añadiendo snappings con Archivo > agregar o quitar elementos Ventajas: Podemos crear herramientas específicas para administradores parciales que toquen solo por ej. DNS Podemos delegar el control de las herramientas a determinados admins de unidades organizativas Run MMC Así logramos el ideal de mantener MÍNIMOS privilegios
39 + Instalaciones de Windows Server Típicas Arranque desde CD Disquete MS-DOS o Windows 98 (o anterior) + Drivers CD + smartdrv.exe (acelera la copia de archivos) en a:\> formateando tenemos la opción de crearlo En Windows XP y anteriores hay un directorio, BOOTDISKS c:\> setup bootdisks.exe crea 4 discos de arranque para comenzar la instalación En red Tenemos un servidor de distribución La carpeta i386 de instalación está completa en el servidor El cliente se conecta al host e instala Para actualizaciones es directo Si no, disco de arranque + drivers de red. Importante conocer herramientas de red de configuración TCP/IP Ficheros ejecutables WINNT.exe para instalar de 0 WINNT32.exe para actualizaciones
40 + Instalación Desatendida de Windows Server Se puede automatizar la instalación, mediante el administrador de instalación setupmgr.exe (en Windows 2003 Server dentro de SUPPORT/TOOLS/deploy.cab) Se crea un proceso de instalación, con varias opciones y varios grados de desatendido Durante el proceso se crean 3 ficheros unattend.txt unattend.bat unattend.udf (unique database file) los ficheros se crean para muchas máquinas y éste contiene la información única de la máquina
41 + Instalación Desatendida de Windows Server Cuál es el proceso en la máquina a instalar? a) Si se trata de una máquina S.O. en el lector de CD unattend.txt se renombra a winnt.sif y se introduce en disquete b) Si se trata de varias máquinas que se deben diferenciar entre sí MS-DOS (en cualquier Windows) + Drivers del CD + smartdrv.exe + todos los ficheros unattend (unattend.*) Y ejecutamos (con el CD del SO metido): unattend <nombre_máquina>
42 + Ejemplo de instalación En esta facultad, por ejemplo, se instala primero una máquina de prueba llamada modelo Se utiliza sysprep.exe Toma la máquina y extrae una imagen de ella Elimina los identificadores que se saben únicos (p.ej. Id del SO) Tras el proceso el disco queda listo para clonar n veces Crea sysprep.inf donde se indica lo que contiene No clona ni copia nada, solo prepara el disco Por último, se emplean terceras herramientas para el clonado Symantec Ghost PowerQuest Drive Image También se puede colgar la imagen en servidor, y que los clientes instalen a través de un minisetup que es el que da los nuevos ID s de seguridad en el cliente final
43 + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Índice Windows Server 2003 Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo
44 + DNS en sistemas Windows Sistema de Nombre de Dominio es un sistema de nomenclatura jerárquica para computadoras, servicios o cualquier recurso conectado al internet o a una red privada asocia información variada con nombres de dominios asignado a cada uno de los participantes su función más importante, es traducir (resolver) nombres inteligibles para los humanos en identificadores binarios asociados con los equipos conectados a la red, para poder localizar y direccionar estos equipos mundialmente
45 + DNS en sistemas Windows Los usuarios no se suelen comunican directamente con el servidor DNS La resolución de nombres se hace de forma transparente por las aplicaciones del cliente (por ejemplo, navegadores o clientes de correo 1. Al realizar una petición que requiere una búsqueda de DNS, la petición se envía al servidor DNS local del sistema operativo 2. El sistema operativo, antes de establecer ninguna comunicación, comprueba si la respuesta se encuentra en la memoria caché 3. En el caso de que no se encuentre, la petición se enviará a uno o más servidores DNS (normalmente el proporcionado por el ISP) La dirección de estos servidores puede ser configurada: de forma manual automática mediante DHCP en otros casos, los administradores de red tienen configurados sus propios servidores DNS
46 + Dynamic Host Configuration Protocol Protocolo de red que permite a los nodos de una red IP obtener sus parámetros de configuración automáticamente Datos que un cliente puede obtener por DHCP Típicamente, su dirección IP Dirección del servidor DNS y nombre DNS Puerta de enlace Dirección de Broadcast Máscara de subred MTU para la interfaz Servidores NIS, NTP, SMTP, TFTP, etc El servidor posee una lista de IPs dinámicas y las va asignando a los clientes conforme van estando libres, sabiendo: quién ha estado en posesión de esa IP cuánto tiempo la ha tenido a quién se la ha asignado después.
47 + DNS en sistemas Windows Ejemplo real de resolución para usuarios de Internet:
48 + DNS en sistemas Windows El dominio se puede ver como un conjunto lógico de objetos Active Directory se relaciona con DNS Se necesita un servidor DNS para que Active Directory pueda funcionar En grandes redes: Se instala primero el servidor DNS y se configura el dominio y un administrador del mismo En pequeñas empresas: Se instala Active Directory en un equipo sin dominio especificado, y durante el proceso nos pide la instalación en paralelo del DNS Los servidores DNS y los dominios Windows usan la misma convención de nombres: FQDN (Full Qualified Domain Name), que es la nomenclatura con path y puntos Las máquinas van a tener el mismo nombre en dominio DNS y en dominio Windows
49 + DNS en sistemas Windows Un dominio Windows es una forma de nombrar máquinas Dominio de Active Directory que es el límite lógico donde actúa Ejemplo Tipo Nombre FQDN Nombre NetBIOS Jerarquía DNS Root domain Dominio nombre_dominio.es NOMBRE_DOMINIO Máquina curso1. nombre_dominio.es CURSO1. NOMBRE_DOMINIO Por compatibilidad con Win NT Top level domain Second level domain Nombre FQDN
50 + Internet es como un inmenso árbol de redes y dominios, pero existe una raíz, el dominio root con máquinas capaces de resolver nombres en el top level domain En dicho dominio existen 13 grandes servidores que suponen ser las raíces de TODO internet 10 en EEUU 1 en Suecia 1 en Londres 1 en Japón Los 13 servidores raíz son una parte del triunvirato denominado por la gente de la ICANN Root Nameserver System Los otros dos componentes son el protocolo DNS y el archivo root zone file, mantenido por Network Solutions en uno de los servidores, y que es accesible desde cualquiera de los 13 restantes En total, en las 13 máquinas hay 7 plataformas de hardware diferentes, con 8 sistemas operativos distintos, procedentes de 5 vendedores. Eso sí, todas son variantes de UNIX, ninguna emplea software de Microsoft
51 + DNS en sistemas Windows Zona es una BD cuyo contenido son asociaciones del tipo nombre_máquina = dirección IP Esa BD es para un dominio DNS o para un dominio DNS y uno o más subdominios Ejemplos de zonas válidas..es.upm.fi.ls.ls.fi.upm.fi.ls pegaso
52 + Zonas de dominios DNS Windows La BD o zona se denomina muchas veces zone file o fichero de zona Al instalar el servidor DNS no contiene ningún fichero de zona, y debemos decir qué zonas va a mantener ese servidor DNS Hay que tener en cuenta que un servidor DNS puede tener más de una zona, y una zona puede estar en varios servidores DNS De qué sirve tener más de un servidor con la misma zona? Balanceo de carga Tolerancia a fallos Se recomienda al menos 2 servidores DNS por zona
53 + Zonas de dominios DNS Windows Cada entrada del fichero de zona se denomina registro (son las asociaciones nombre_máquina = dirección IP que hemos mencionado) Según incluyamos zonas a nuestro servidor DNS, éste cumplirá con uno u otro rol dependiendo de su configuración Roles del servidor Standard Primary tiene una copia maestra de la zona Standard Secondary almacena una copia de la zona Nota: una máquina puede cumplir ambos roles a la vez si de una zona tiene copia maestra y de otra una copia de la copia maestra Active Directory Integrated Primary tiene copia maestra de la zona pero almacenada en AD (y no en fichero de texto) De esta forma podemos manejar un AD y el solo replica los datos = + potencia
54 + Zonas de dominios DNS Windows Maestro y esclavo está relacionado con las transferencias de zona (maestro envía información, esclavo la recibe) 1ª opción) 2ª opción) 3ª opción) standard primary maestro standard secondary maestro AD integrated primary maestro zone transfer zone transfer zone transfer standard secondary esclavo standard secondary esclavo standard secondary esclavo Los cambios se realizan en el primario y el secundario se actualiza después, y sólo sirve para resolver peticiones pero en él no se gestionan los cambios Se replican datos entre roles secundarios, del mismo nivel jerárquico y a veces son maestros y después esclavos Como en la opción 1ª pero usando AD en vez de ficheros de zona estándar
55 + Zonas de dominios DNS Windows 4ª opción) AD integrated primary AD integrated primary maestro/esclavo zone transfer maestro/esclavo Los cambios se pueden hacer en cualquier AD y se replican solos. Por ello las transferencias van en ambos sentidos, cumplen ambos roles y la replicación corre a cargo del SO AD integrated primary DNS1 AD integrated primary DNS2 Más Potente!!! Nota: Un AD integrated primary y un standard primary NO pueden convivir
56 + Zonas de dominios DNS Windows Más posibles roles del servidor Caching only no almacenan ningún fichero de zona, sólo resuelven nombres y dicha resolución la guardan en caché durante un tiempo, denominado TTL (time to live) Forwarder (reenviador) suelen estar configurados como caching only, y resuelven peticiones para clientes u otros servidores DNS del dominio El propio servidor no sabe que él es el forwarder
57 + Ejemplo de resolución DNS Supongamos que desde la máquina pegaso queremos conectarnos con equipo1.sales.msft.com..com.es a) Si la petición está cacheada se la devuelve a pegaso.msft.sales.fi.upm.ls Servidor DNS b) Si no b1) Si el servidor ls tiene configurados forwarders equipo1 pegaso petición equipo1.sales.msft.com. b2) Si el servidor ls tiene configurados roothints
58 + Ejemplo de resolución DNS b1) El servidor de ls pasa la petición al servidor que tenga configurado como forwarder, p.ej. el servidor de fi. Éste a su vez puede estar configurado con forwarders (lo pasa y no hace nada) o como roothints con lo que hará lo dicho en b2. Servidor DNS Supongamos que éste ya es roothint.com.msft.es.upm Servidor DNS.sales.fi.ls Servidor DNS Servidor DNS equipo1 pegaso petición equipo1.sales.msft.com.
59 + Ejemplo de resolución DNS b2) El servidor de ls solicita a uno de los 13 root servers información sobre.com y se le devuelve la dirección del servidor del dominio.com. A éste último le pregunta por.msft, y así sucesivamente. Al final la consulta contiene el nombre completo del equipo1 y su IP y se la ofrece a pegaso. Servidor root DNS.com.msft 3 2.es.upm 1 Al final el servidor ls cachea la solución.sales 4 6.fi.ls Servidor DNS 5 petición equipo1.sales.msft.com. equipo1 pegaso
60 + Ejemplo de resolución DNS Hay que recordar que puede no haber un servidor de nombres en un dominio, y estar esa información en un servidor de un dominio superior que gestiona una zona con 2 dominios Servidor que sabe de ambos Dominio sin servidor.sales.msft Zona con 2 dominios
61 + Ejemplo de resolución DNS Por tanto debemos configurar los servidores DNS con forwarders o como root hint Cuál escoger? Con forward nos olvidamos de todos los problemas Pasamos la patata caliente Se reduce la carga en la red En determinados puntos organizativos es necesario asumir la responsabilidad Conviene que nuestro dominio DNS se solape con el dominio Fuera del dominio (hacia arriba) nos da igual, no sabemos nada de dominios Windows, solo de DNS
62 + Zonas de dominios DNS Windows Una vez vistos los posibles roles del servidor DNS atendiendo a las zonas y como funciona la resolución de nombres, vamos a ver que hay distintos tipos de zonas Primarias Secundarias De código auxiliar A su vez cada una de ellas puede ser Forward se pasa de nombre a dirección IP Reverse se pasa de dirección IP a nombre En la práctica las herramientas DNS varían: En zonas de búsqueda directa - msdcs.dominio.es (por ej.) dominio.es En búsqueda inversa x Subnet
63 + Servidor DNS de Microsoft Tiene aspectos diferentes al resto Posee actualizaciones dinámicas Tiene registros de servicio Las respuestas se alternan si hay varios servidores de dominio para balancear la carga (A ó B) Active Directory Active Directory A B Dominio 2003 Servidor DNS cliente XP lo preguntamos protocolo El cliente pregunta al servidor DNS por el DC (A ó B). El servidor DNS tiene un registro de servicio para contestar -msdcs.nombre_dominio dc -tcp
64 + Servidor DNS de Microsoft En las zonas se van incluyendo máquinas cuando en la instalación de éstas se ponga como sufijo DNS la nueva zona Si el sufijo asignado no existe, la máquina no se da de alta en ninguna Instalación del servidor DNS en Windows Instalar componente Windows adicional > DNS (aparece en herramientas) 2. Con el botón derecho se podrán crear zonas En zona directa En zona inversa 3. Con ese botón también se puede conectar con el servidor DNS (mediante login y password) 4. Añadido el servidor, se pueden configurar transferencias desde IPs concretas (realizando control de accesos), configuraciones, etc.
65 + Servidor DNS de Microsoft Tipos de registros A PTR SOA: es un registro fundamental de la zona con información de la misma Indica quién es el servidor primario para hacer cambios/consultas en él En propiedades de la zona existe una pestaña donde aparece el número de serie Las zonas se pueden transferir de dos formas: Todo a la vez Particionado desde el número de serie dado Aparece la persona responsable del mismo y su correo CNAME: es un alias (renombrado) de otro registro NS (coinciden con los vistos en la práctica de TCP/IP)
66 + Servidor DNS de Microsoft Cómo podemos poblar las zonas con registros? Dinámicamente: a través del sufijo del dominio sabemos la zona a la que pertenece Estáticamente: dando de alta host, mediante el botón derecho en la zona y usando host nuevo Los updates se realizan sobre el servidor primario (lo conocemos por el registro SOA) El cliente DHCP es el que hace las actualizaciones dinámicas y es válido para direcciones IP estáticas y dinámicas Windows 95 y 98 no pueden actualizarse dinámicamente Lo hacen a través del servidor DHCP y es él quien en su nombre realiza la actualización como lo haría un cliente W2000/2003/XP
67 + Servidor DNS de Microsoft Ahora bien, solo usando Active Directory Integrated podemos realizar actualizaciones de direcciones seguras (solo ellas permiten actualizaciones con seguridad y rechazan el resto) El cliente deberá encontrar el servidor autorizado primario mediante el registro SOA Luego tratará de hacer de forma no segura la actualización Se le rechaza Por último se le fuerza a que la haga de forma segura Una vez se ha configurado la actualización solo con seguridad existe una pestaña llamada seguridad donde se pueden gestionar permisos y accesos de la zona Cuando el cliente quiere actualizar su servidor DNS, normalmente deberá borrar su caché con resoluciones desfasadas, con ipconfig /flushdns
68 + Servidor DNS de Microsoft Otras configuraciones, características o elementos controlables de los registros TTL: tiempo en caché de permanencia, aparece en el registro SOA, dentro de las propiedades de la zona Se indica el TTL mínimo TTL en dd:mm:ss etc También aparece en las propiedades de un registro concreto Mediante el shell, con ipconfig /displaydns muestra la caché del sistema con los TTLs Aging: asistente para el proceso con el que determinar si un registro está obsoleto, lo que requerirá borrar un registro de la zona (no de la caché) Totalmente necesario en actualizaciones dinámicas (los sufijos se pueden cambiar!!!)
69 + Servidor DNS de Microsoft Scavening: asistente para el proceso de borrado propiamente dicho de los registros obsoletos de la zona, tras los periodos no-refresh y refresh Aging & Scavening son procesos que se consideran propiedades de la zona con 2 parámetros No refresh interval: tiempo en el que el servidor DNS no admite refrescar el registro porque lo mantenemos desde hace poco tiempo (por defecto son 7 días) Refresh interval: tras el periodo anterior hay un periodo de refresco válido que pasa a considerarse obsoleto (por defecto esos 7 días) y se realiza el borrado Tenemos la opción de establecer la caducidad/borrado de una zona entera (a parte de registro a registro) mediante las propiedades de la máquina servidora o incluso de todas las zonas completas
70 + Herramientas críticas en Windows Server 2003 NSLOOKUP: muestra información del servidor y permite solucionar problemas, indicando las direcciones, nombres (para más información revisar práctica TCP/IP) dnscmd: permite listar zonas, gestionarlas, etc. Para más información teclear dnscmd /? dnslint: realiza un chequeo de nuestro servidor. Para más información teclear dnslint/? En el propio servidor DNS, botón dcho > propiedades Label de supervisión Una única consulta Consulta recursiva: prueba roothints Label sucesos: permite registrar sucesos en el visor de sucesos (por tipos, fecha, etc.) Depurar registro: guarda paquetes indicados en la ruta de archivo que escribamos para su depuración y estudio
71 + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Índice Windows Server 2003 Active Directory Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo
72 + Active Directory Es una BD a nivel de dominio Se basa en la misma convención de nombres que DNS Con él podemos tener millones de objetos en el dominio (con Windows NT cabían unos objetos como máximo) Se centraliza todo, aunque se puede delegar la administración de partes de él Un dominio es la unidad de replicación del AD hay una única BD de seguridad central que se replica Permite organizar, gestionar y buscar objetos dentro de unidades organizativas
73 + Active Directory Sincronización Windows NT vs Replicación Windows Server 2003 y similar PDC Manda últimos cambios a la Base de datos de seguridad central Los cambios en un controlador de dominio se replican al resto dentro del dominio
74 + Active Directory inmanejable Mantiene ordenado el AD Con la granularidad que queramos! Unidad organizativa Evita la estructura plana de objetos Es un objeto contenedor Hay una jerarquía Nunca se delega control sobre objetos AD lo ve como un objeto más Permite delegar control sobre unidades organizativas (los objetos que contiene) Sirven para poder emplear directivas de grupo que se emplean a nivel de unidad organizativa Permiten modelizar y separar la empresa
75 + Active Directory Ejemplo de unidades organizativas Dominio empresarial Administración Ventas Taller
76 + Active Directory Se pueden crear de muchas formas siguiendo múltiples procesos guiados El más simple es en herramientas de usuarios y equipos de AD > botón derecho y nuevo Mediante este proceso se pueden crear Unidades organizativas Cuentas Equipos Objetos Posteriormente aparecen las propiedades de los objetos y las configuraremos según el caso Tipos de nombres de los objetos según su unidad organizativa LDAP relative distinguished name: nombre único dentro de la unidad organizativa (solamente) LDAP distinguished name Únicos en el árbol Canonical names
77 + Active Directory AD admite que las máquinas se distribuyan en uno o varios dominios según varias topologías Árbol En este caso hay 3 BD de seguridad central Sirven para temas de nombrado Sirven para administración descentralizada, con dominios distintos para por ejemplo varios idiomas Los usuarios de dominios inferiores pueden acceder a recursos del de arriba y viceversa Se establecen relaciones de confianza Bilaterales: en ambas direcciones Transitivas: confianza de todos los dominios con todos Además se pueden añadir permisos concretos para limitar acceso desde otros dominios a usuarios concretos
78 + Active Directory Bosque Surge por necesidades particulares de nombrado No se suele dar, sólo en casos excepcionales, por ej. se unifican los árboles de 2 empresas que se fusionan También hay relaciones de confianza bidireccionales y transitivas La herramienta a usar para gestionar las relaciones de confianza en AD se denomina Dominios y confianzas de AD (en herramientas)
79 + Active Directory Entre dominios (sea la topología que sea, árbol o bosque) hay cosas comunes Catálogo global páginas amarillas de red empresarial Contiene todos los objetos del árbol o bosque y sus atributos principales Permite búsquedas Nos da la pertenencia a grupos universales Se crea en el servidor de catálogo global = 1ª máquina del 1er dominio (y luego se replica) Esquema: contiene la definición de todos los objetos que puedo dar de alta en AD Información de configuración: sobre dominios, nombres, etc. y se comparte entre dominios Active Directory Única parte del AD que se replica a todos los DC de todos los dominios
80 + Active Directory El esquema define por tanto las clases de objetos que podemos dar de alta Se tiene una lista inmensa de atributos y cada objeto usa un subconjunto de esos atributos El esquema es actualizable Se pueden crear nuevos objetos Se pueden modificar (añadir) atributos a una clase de objetos Existe una API específica para cambiar el esquema
81 + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Índice Windows Server 2003 Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo
82 + Sitios Hasta ahora veíamos el punto de vista lógico ofrecido por Microsoft El punto de vista físico tiene que ver con situaciones, distribuciones y ubicaciones físicamente reales Sitio subconjunto de máquinas que se comunican entre sí de forma Rápida Fiable Barata replicaciones óptimas Ejemplo: Cuántos DC usamos? y DNS? Dominio Windows 2003 Madrid Barcelona
83 + Sitios Cuántos controladores de dominio podemos usar? Uno poco útil, imaginaos uno en Barcelona y autenticarnos en Madrid, con el tráfico lento Dos mejor, así replicamos información en cada sitio Lo mejor de todo? 4 es la solución óptima, dos por sitio y prevenimos caídas, balanceamos carga, etc. Y cuántos servidores DNS? Otros 4, si la máquina es DC es mejor que sea también DNS y que así éste se almacene en AD de forma óptima Y catálogos? Nos valdría con 2, uno por sitio Norma general: no debemos considerar que se puede acceder siempre a un recurso de otro sitio, puesto que la conexión es cara. Conviene por tanto replicar los recursos en ambos sitios
84 + Sitios Posible solución sin obligar que AD almacene DNS DC Dominio Windows 2003 DC DC Madrid Barcelona DNS DNS DNS DC-DNS
85 + Sitios Por todo lo visto anteriormente, se considera que todo lo que queramos hacer se puede implementar con un único dominio Windows 2003 sin tener que recurrir a árboles de dominio (y menos aún a bosques) Qué hay de las unidades organizativas y los sitios? Una unidad organizativa puede estar en varios sitios (con recursos mezclados de ellos) o en uno solo, depende del administrador Como administradores decidimos cuándo y cómo se hacen las replicaciones entre sitios Atención! Si el cliente de un sitio pregunta por un DC al servidor DNS, éste puede informarle de uno de su sitio o de otro sitio (con los problemas de comunicación que acarrea) La pregunta al servidor DNS debe ser dame un DC de MI sitio, o un catálogo de MI sitio
86 + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Índice Windows Server 2003 Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo
87 + Gestión de Dominios W2003 Ya se han explicado los fundamentos para crear un servidor DNS inicial, convertirlo en DC y inicializar AD Pero, cómo un servidor miembro (ó un BDC en dominios NT) puede pasar a ser DC (o PDC en dominios NT)? Esta promoción se realiza ejecutando dcpromo Existe un tutorial sobre los requisitos, pasos y flujos de instalación Al instalar un controlador adicional de dominio se necesita la replicación de la BD de seguridad central, que se puede llevar a cabo de dos formas a) Mediante flujo directo de la información entre máquinas Tiene problemas entre distintos sitios por su interconexión lenta b) Mediante backup, con utilidades de terceros fabricantes: dcpromo /adv
88 + Gestión de Dominios W2003 Una vez realizada la promoción de una máquina se debe comprobar que ya es DC del dominio, verificando: Han aparecido las herramientas administrativas propias de DC En las zonas de búsqueda directa (-msdcs.nombre_dominio > dc > -tcp) aparece la máquina Dentro del directorio de windows (C:\Windows>) aparecen los siguientes elementos: NTDS SysVol SysVol dentro de SysVol Ahora los usuarios de la máquina solo se pueden loguear en el dominio, no en la propia máquina Esto se debe a que la BD es ahora única, copia de la del servidor inicial, la del dominio La BD de seguridad local no se pierde, simplemente no se puede utilizar
89 + Domain Functional Levels La funcionalidad de los dominios introducida en el AD de Windows Server 2003 proporciona un método para habilitar funciones de AD para todo un dominio de red Existen distintos niveles de funcionalidad de dominios (Domain Functional Levels) según los entornos operativos de los DC del dominio En concreto existen cuatro niveles funcionales de dominio 1. Windows 2000 mixto (por defecto) WinNT, W2000, W Windows 2000 nativo Sólo W2000 y W Windows Server 2003 versión preliminar Migración de WinNT a W2003 (Sin W2000) 4. Windows Server 2003 Todos los DC tienen WS 2003 Funcionalidad reducida Funcionalidad completa
90 + Domain Functional Levels Dependiendo del nivel funcional aparecerán unas funcionalidades u otras Función de bosque Windows 2000 Mejoras de replicación del catálogo global Invalidación de objetos de esquema Habilitado si los dos asociados de replicación ejecutan Windows Server De lo contrario, deshabilitado. Deshabilitado Windows Server 2003 Habilitado Habilitado Confianzas de bosque Deshabilitado Habilitado Replicación vinculada a valores Deshabilitado Habilitado Cambiar el nombre de los dominios Algoritmos de replicación de Active Directory mejorados Deshabilitado Deshabilitado Habilitado Habilitado Clases auxiliares dinámicas. Deshabilitado Habilitado Cambio InetOrgPerson objectclass Deshabilitado Habilitado
91 + Domain Functional Levels Es posible cambiar de nivel, elevando la funcionalidad Dentro de las herramientas de usuarios y equipos de AD, sobre el dominio > botón derecho y elevar el dominio Nota: posteriormente no podremos bajar el nivel funcional Si tenemos DCs con W2000 y W2003 y elevamos nivel a W2003 family, los DC con W2000 dejan de funcionar
92 + Gestión de Dominios W2003 Cuando Microsoft creó los dominios 2003 vio que la idea de permitir tocar cualquier cosa en cualquier DC y permitir la replicación automática fallaba a veces Recordad el problema mencionado, un usuario es borrado en un DC, pero puede llegar a autenticarse en otro DC y realizar usos fraudulentos antes de que la replicación de BBDD concluya cómo lo solucionamos? Se soluciona mediante las operaciones de maestro único FSMO (Flexible Single Master Operator) Se trata de 5 operaciones que se deben hacer en un servidor específico 1. Maestro del esquema es el DC en el que se puede tocar el esquema, y sólo en él 2. Maestro de nombres de dominio es el único DC que sabe que nombres de dominio se han creado Únicos en todo el bosque
93 + Gestión de Dominios W Emulador de PDC Es el 1º en recibir cambios de password de usuarios El cliente pregunta al servidor DNS por un DC y se intenta autenticar Si falla, preguntamos al DNS por el emulador PDC y en él se intenta la autenticación y nos da la última respuesta Cuando un usuario es borrado en un DC se prescinde de la replicación instantánea y se realiza a mano 4. Maestro de identificadores Cuando se crea un nuevo objeto le damos un id de seguridad En W2003 debe ser único para todo el bosque Entre dominios son distintos gracias al id de seguridad del propio dominio, que es único SID = id seg. dominio + id relativo
94 + Gestión de Dominios W2003 El maestro de id. que opera a nivel de dominio y asigna rangos de ids relativos para cada DC Al crear objetos en ese DC éste le asigna la 1ª id. relativa libre Si el rango se agota se le da otro rango al DC Ejemplo: DC1 SID 25 1 DC2 maestro de ids Id 25 rango Id del dominio Id 37
95 + Gestión de Dominios W Maestro de infraestructura Existe uno sólo por dominio Actualiza la información de pertenencia a grupos cuando cambian los miembros del mismo Todos estos roles correspondientes a las FSMO los asume la primera máquina controladora que se instala en el dominio Estos roles se pueden posteriormente delegar a otra máquina o que otra máquina asuma el control
96 + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Índice Windows Server 2003 Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo
97 + Grupos Los grupos son colecciones de usuarios o de otros grupos Los privilegios de usuario en Windows 2003 se gestionan mediante Permisos (permisses) quién puede utilizar o acceder a un recurso Derechos (rights) cosas que podemos hacer con las directivas de grupo (p.ej. alguien tiene derecho a acceder a un recurso) Para no tener que ir usuario por usuario asignando permisos y derechos, se asocian en grupos a los que se les conceden a la vez Los grupos permiten por tanto: Simplificar la administración con la asignación de permisos de un recurso compartido a un grupo y no a usuarios individuales Delegar la administración con una única asignación de derechos de usuario a un grupo Crear listas de distribución de correo electrónico
98 + Grupos Los grupos pueden por tanto surgir Por razones de seguridad Por cuestiones de distribución Vamos a estudiar 3 tipos de grupos según su ámbito 1. Grupos Globales (G.G.) 2. Grupos Universales (U.G.) 3. Grupos Locales de Dominio (D.L.G.) Nos centraremos en ellos Se emplean con aplicaciones de
99 + Grupos Grupo Puede incluir como miembros DLG GG UG * * Cuentas de cualquier dominio GG de cualquier dominio GU de cualquier dominio DLG pero sólo del mismo dominio Las cuentas del mismo dominio GG del mismo dominio Las cuentas de cualquier dominio del bosque * GG de cualquier dominio del bosque UG de cualquier dominio del bosque No funcionan en modo mixto * * Se pueden asignar permisos a Recursos del mismo dominio Recursos de todo el bosque Recursos de todo el bosque Se puede convertir a UG (siempre que no exista otro DLG como miembro) UG (siempre que no sea miembro de otro GG) DLG GG (siempre que no exista otro UG como miembro)
100 + Grupos Uso común de los grupos de Windows 2003 Usuarios Grupos Recursos GG 1 DLG 1 DLG 1 GG 2 Esto se denomina política UGLY - U s e r G G L Y o o c u a r l resources al recurso le asignamos permisos para DLG También llamada AGDLP
101 + Grupos Ejemplo práctico Carpeta que queremos compartir con los 7 usuarios propiedades seguridad Luis Ana María de varios dominios La solución no es correcta Si no fueran 7 sino 700, el trabajo sería inmenso En el dominio se debería estar al tanto de lo que ocurre con usuarios de otros dominios!
102 + Grupos Solución GG 1 propiedades seguridad DLG 1 DLG 1 GG 1 GG 1 Ventajas Pocos datos que gestionar simplificación de pestañas Es muy flexible: si se añaden o borran usuarios en algún GG se encarga cada dominio, nosotros en el recurso no hacemos nada Es una solución válida para el nivel de modo mixto y nativo
103 + Grupos Existe otra política parecida a la expuesta y con similar filosofía, que consiste en meter los GGs en un UG en vez de en un DLG UG 1 = GG 1 + GG 2 + En la seguridad de recursos, gestionaremos permisos de UG 1 Este grupo, creado en un dominio, se puede usar para asignar permisos a recursos de otros dominios Con DLG sólo se podía asignar permisos dentro del dominio donde se creó el grupo
104 + Catálogo Global El catálogo global, que hasta ahora habíamos visto que servía para búsquedas, también sirve para almacenar y conocer al iniciar sesión la pertenencia a grupos universales (UG) En el login implica una búsqueda (otra más!) por lo que cuantos menos UG tengamos mejor, para poder optimizar los inicios de sesión Se accede a DC, DNS, Catálogo, Emulador de PDC, Si se cae el Catálogo Global, se puede acceder? Los administradores sí, siempre Los usuarios sí si tienen una copia en su caché de la pertenencia a UGs
105 + Grupos La creación de grupos se realiza de forma sencilla desde la herramienta de gestión de usuarios de AD Dicha herramienta permite también realizar cambios de ámbito válidos en los grupos de manera sencilla De GG a UG si el global no contiene otro GG De DLG a UG si el local no contiene otro DLG De UG a GG si el universal no contiene otro UG De UG a DLG siempre Y para pasar de GG a DLG? 1. Pasar de GG a UG, resolviendo posibles problemas 2. De UG ya sin problemas a DLG
106 + Grupos Dependiendo de quién ha creado los grupos, éstos pueden ser de 2 tipos Grupos hechos por nosotros ad-hoc Grupos creados por el sistema por defecto Grupo Operadores de cuentas Administradores Operadores de copia de seguridad Descripción Pueden crear, modificar y eliminar cuentas de usuarios, grupos y equipos, iniciar la sesión de forma local en los DC y apagarlos Controlan por completo todos los DC Pueden realizar copias de seguridad y restaurar todos los archivos en los DC, iniciar la sesión en los DC y apagarlos. Derechos de usuario predeterminados Permitir el inicio de sesión local Apagar el sistema Prácticamente ilimitados Hacer copia de seguridad de archivos y directorios Permitir el inicio de sesión local Restaurar archivos Apagar el sistema
107 + Grupos Grupo Invitados Creadores de confianza de bosque de entrada Operadores de configuración de red Usuarios del Monitor de sistema Usuarios del registro de rendimiento Descripción De forma predeterminada, el grupo Invitados del dominio es un miembro de este grupo Pueden crear confianzas de bosque de entrada unidireccionales en el dominio raíz del bosque Pueden modificar la configuración TCP/IP, así como renovar y liberar las direcciones TCP/IP en los DC Pueden supervisar los contadores de rendimiento en los controladores del dominio Los miembros de este grupo pueden administrar los contadores de rendimiento, los registros y las alertas de los controladores del dominio Derechos de usuario predeterminados No hay derechos de usuario predeterminados. No hay derechos de usuario predeterminados. No hay derechos de usuario predeterminados. No hay derechos de usuario predeterminados. No hay derechos de usuario predeterminados.
108 + Grupos Grupo Descripción Derechos de usuario predeterminados Acceso compatible con versiones anteriores a Windows 2000 Tienen acceso de lectura en todos los usuarios y grupos del dominio. Este grupo se proporciona para garantizar la compatibilidad con versiones anteriores en los equipos con Windows NT 4.0 y anteriores Tener acceso a este equipo desde la red Saltarse la comprobación de recorrido Operadores de impresión Pueden administrar, crear, compartir y eliminar impresoras que están conectadas a los DC Permitir el inicio de sesión local Apagar el sistema Usuarios de escritorio remoto Replicador Pueden iniciar la sesión en los DC de forma remota Este grupo admite funciones de replicación de directorio y el Servicio de replicación de archivos lo utiliza en los DC. No hay derechos de usuario predeterminados. No hay derechos de usuario predeterminados.
109 + Grupos Grupo Operadores de servidores Usuarios Descripción En los DC pueden iniciar sesiones interactivas, crear y eliminar recursos compartidos, iniciar y detener varios servicios, hacer copias de seguridad y restaurar archivos, formatear el disco duro y apagar el equipo. Los miembros de este grupo pueden realizar las tareas más habituales, como ejecutar aplicaciones, utilizar impresoras locales y de red, así como bloquear el servidor Derechos de usuario predeterminados Hacer copia de seguridad de archivos y directorios Forzar el apagado desde un sistema remoto Permitir el inicio de sesión local Restaurar archivos y directorios Apagar el sistema
110 + Introducción Redes de Windows Server Configuración, licencias, tipos de instalación Dominios DNS Active Directory Índice Windows Server 2003 Sitios Gestión de Dominios W2003 Grupos Permisos de control de acceso Directivas de grupo
111 + Permisos de Control de Acceso Los permisos de control de acceso de AD indican qué usuarios y grupos pueden acceder a objetos del AD dentro de una unidad organizativa Se implementan y manejan en el AD y se quedan dentro del AD Hay que ser muy cauteloso con lo que significan los permisos Ejemplos Tener permiso para crear un objeto impresora en el AD tener permiso para imprimir (se habilitará en el recurso que nada tiene que ver con el AD) Poder crear un objeto carpeta compartida tener permiso para acceder al directorio compartido realmente En este caso se debe tener permiso de acceso y además en ntfs debemos tener un permiso adicional (es un caso particular con doble filtro) De hecho el directorio supuestamente compartido al que se apunta puede no existir realmente (es nuestra responsabilidad) Al crear un recurso compartido lo debemos dar de alta nosotros en AD. Con equipos, impresoras... al instalarse se dan de alta
112 + Permisos de Control de Acceso Los permisos de control de acceso nos permiten jerarquizar. Por qué es buena la jerarquización? Permiten delegar control Organizar recursos Gestionar directorio La delegación de control consiste en que le permito al usuario X realizar ciertas acciones dentro de una unidad organizativa en AD Control total Permisos estándar write read Crear objeto hijo Borrar objeto hijo Cambiar atributos de objetos que ya existen Ver objetos, sus atributos y su propietario (creador) y ver permisos del AD Se pueden crear nuevos objetos Se borrar objetos existentes
113 + Permisos de Control de Acceso Para gestionar los permisos se puede Permitir Denegar Prevalece sobre el permiso siempre Ejemplos Active Directory Pepe Luis GG 1 OU 1 Lectura GG 1 Pepe denegar leer Pepe no lee OU 2 No lectura GG 1 Pepe permitir leer Pepe no lee Los permisos estándar se pueden convertir en permisos especiales ad-hoc (muy pocas veces es necesario)
114 + Permisos de Control de Acceso Existe herencia de permisos Los permisos de las OUs los heredan las unidades organizativas hijas de la anterior Por defecto, las casillas clickeadas en gris son heredadas Se puede bloquear la herencia en casos especiales Se puede añadir a lo heredado lo que queramos, recordando que heredado o no, la denegación prevalece Si movemos un objeto de una OU a otra los permisos establecidos a mano permanecen Se pierde la herencia de la OU padre anterior Se gana la herencia de la OU nueva

References: resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución