Nombre: Francis Ariel Jiménez Zapata. Matricula: Tema: Active Directory y GPO en Windows Server Materia: Sistema Operativo II

Transcripción

1 Nmbre: Francis Ariel Jiménez Zapata Matricula: Tema: Active Directry y GPO en Windws Server 2008 Materia: Sistema Operativ II Grup: 2 Facilitadr: Jsé Dñe

2 Índice: Active Directry.3 Acerca de Active Directry.5 Instalación y administración de AD.7 Acerca de GPO..9 Creación, cnfiguración y administración de GPOs 10 Usand GPO para cntrlar el ambiente de usuari 13 Usand GPO para cntrlar ls prgramas...15 Respaldand y restaurand AD.16 Bibligrafía... 18

3 Intrducción Ls riesgs a ls que se ven expuestas las empresas hacen necesari la creación de directrices que rienten hacia un us respnsable de ls recurss. Las plíticas de seguridad sn dcuments que cnstituyen la base del entrn de seguridad de una empresa tra parte imprtante sn Las directivas de grup sn cnjunts de reglas para administrar usuaris y máquinas.

4 Active Directry Intrducción a ls Servicis de dmini de Active Directry Si usa el rl de servidr de ls Servicis de dmini de Active Directry (AD DS), puede crear una infraestructura escalable, segura y administrable para la administración de usuaris y recurss, y puede frecer cmpatibilidad cn aplicacines habilitadas para el us de directris cm, pr ejempl, Micrsft Exchange Server. En las siguientes seccines, puede btener más infrmación acerca de AD DS, las características de AD DS y las cnsideracines acerca del sftware y el hardware. Directri Activ (AD) El Directri Activ es la pieza fundamental del cntrl de la seguridad de IT e identidad en las rganizacines. Windws Server 2008 frece slucines específicas baj ls distints rles asciads al AD: Servidr de Dmini, LDS, Gestión de Derechs Servicis de Federación de Identidades. Servicis de Dmini (AD DS) Active Directry Dmain Services (AD DS) mantiene la infrmación de ls usuaris, máquinas y dispsitivs de la red y permite gestinar de frma segura esta infrmación y facilitar la clabración e el us cmpartid de ls recurss entre usuaris. AD DS se necesita también para ciertas aplicacines cm Micrsft Exchange Server y para tecnlgías de gestión centralizada, cm las Plíticas de Grup.

5 Servicis de Certificads (AD CS) Active Directry Certificate Services (AD CS) es un servici parametrizable para la creación y administración de certificads de clave pública, necesaris para el emple de tecnlgías de infraestructura de clave pública (PKI). Servicis de LDAP para Aplicacines (AD LDS) El rl de servidr de Active Directry Lightweight Directry Services (AD LDS) es un servici de directri LDAP (Lightweight Directry Access Prtcl). Permite realizar peracines de almacenamient y recuperación de infrmación de directri para aplicacines basadas en directris sin las restriccines impuestas pr el rl de Servicis de Dmini (AD DS). Servicis de Gestión de Derechs (AD RMS) AD RMS es una tecnlgía de prtección de la infrmación que funcina cn aplicacines cmpatibles para impedir el us n autrizad de infrmación digital. Ls prpietaris de ls cntenids pueden determinar exactamente el md de us de la infrmación: quíen puede abrirla, mdificarla, imprimirla, reenviarla, etc. e inclus crear plantillas de aplicación de derechs cm pr ejempl "Cnfidencial - Sól lectura" que persisten a través de td el cicl de vida de ls dcuments. Estas plíticas se aplican inclus cuand ls dcuments abandnan la red crprativa. Servicis de Federación de Identidades (AD FS) Active Directry Federatin Services (AD FS) habilita las tecnlgías de lgn únic (SSO) para Web que permiten autentificar a un usuari a través de múltiples aplicacines Web empleand la misma cuenta de usuari para tdas ellas. AD FS l hace psible mediante la federación (es decir, cmpartir la infrmación entre diferentes rganizacines independientes entre sí) de las identidades de usuari y derechs de acces, en frma de peticines digitales entre rganizacines que establecen entre ellas una relación de intercambi de dats.

6 Acerca de Active Directry AD DS prprcina una base de dats distribuida que almacena y administra infrmación acerca de ls recurss de red y dats específics de las aplicacines cn directri habilitad. Ls administradres pueden usar AD DS para rganizar ls elements de una red (pr ejempl, ls usuaris, ls equips y trs dispsitivs) en una estructura de cntención jerárquica. La estructura de cntención jerárquica incluye el bsque de Active Directry, ls dminis del bsque y las unidades rganizativas de cada dmini. El servidr que ejecuta AD DS se llama cntrladr de dmini. La rganización de ls elements de la red en una estructura de cntención jerárquica frece las siguientes ventajas: El bsque actúa cm un límite de seguridad para la rganización y define el ámbit de autridad de ls administradres. De frma predeterminada, el bsque cntiene un sl dmini llamad dmini raíz del bsque. Se pueden crear dminis adicinales en el bsque para facilitar la partición de ls dats de AD DS, l que permite a las rganizacines replicar dats sl si es necesari. Est permite que AD DS se ajuste de frma glbal en una red cn un anch de banda limitad. Además, un dmini de Active Directry es cmpatible cn tras funcines clave relacinadas cn la administración, incluidas la identidad de usuari, la autenticación y las relacines de cnfianza en la red. Las unidades rganizativas simplifican la delegación de autridad para facilitar la administración de un gran númer de bjets. Mediante la delegación, ls prpietaris pueden transferir una autridad ttal limitada sbre ls bjets a trs usuaris grups. La delegación es imprtante prque ayuda a distribuir la administración de un gran númer de bjets para una serie de usuaris en quienes se cnfía para realizar tareas de administración.

7 Características de AD DS La seguridad se integra cn AD DS mediante la autenticación de inici de sesión y el cntrl de acces a ls recurss del directri. Cn un sl inici de sesión de red, ls administradres pueden administrar ls dats de directri y la rganización a través de la red. Ls usuaris de red autrizads también pueden usar un inici de sesión de red únic para tener acces a cualquier punt de la red. La administración basada en directiva facilita la administración de inclus las redes más cmplejas. Las características de AD DS adicinales sn: Un cnjunt de reglas, el esquema, que define las clases de bjets y atributs incluids en el directri, las restriccines y límites de las instancias de ests bjets y el frmat de sus nmbres. Un catálg glbal que cntiene infrmación acerca de tds ls bjets del directri. Ls usuaris y ls administradres pueden usar el catálg glbal para buscar infrmación del directri cn independencia del dmini en que el directri tiene ls dats. Un mecanism de cnsulta e índice para pder publicar ls bjets y sus prpiedades, y buscar pr usuaris aplicacines de red. Un servici de replicación que distribuye ls dats de directri en una red. Tds ls cntrladres de dmini de escritura de un dmini participan en la replicación y cntienen una cpia cmpleta de tda la infrmación de directri del dmini. Cualquier cambi en ls dats del directri se replica en tds ls cntrladres de dmini del dmini. Rles de maestr de peracines (llamadas también peracines FSMO (Flexible Single Master Operatins)). Ls cntrladres de dmini que cntienen ls rles de maestr de peracines se designan para realizar tareas específicas para garantizar la cherencia y eliminar las entradas en cnflict del directri.

8 Instalación y administración de AD Instalar Active Directry Windws Server 2008 El prcedimient que se describe a cntinuación ns permite crear un nuev bsque sbre Windws Server Pass para Instalar Active Directry: 1. Debems cnfigurar el prtcl TCP/IP, en este cas he deshabilitad el TCP/IP versión 6 y adicinalmente he cnfigurad al mism servidr cm cliente DNS. 2. Ejecutams el cmand dcprm y esperams que se cnfiguren ls binaris para la prmción de un Cntrladr de dmini. 3. Cargará la ventana de Bienvenida para prmción de un Cntrladr de dmini. El check para la instalación en md avanzad brinda cnfiguracines avanzadas para la prmción de cntrladres de dmini. En esta casión n marcarems el check. 4. Cargará un mensaje de advertencia, infrmándns de las nuevas características de ls cntrladres de dmini sbre Windws Server 2008 cm la seguridad. 5. Seleccinams, Create a new dmain in a new frest. Esta pción ns permitirá crear un nuev dmini. 6. Escribims el nmbre FQDN para nuestr dmini. En este cas será exchangepr.lcal. Lueg de aceptar el nmbre de dmini se revisará el nmbre DNS y NetBIOS para cmprbar que n exista cnflicts de nmbres.

9 7. A cntinuación seleccinams el nivel funcinal del bsque. En este cas aprvecharems las ventajas del nivel funcinal Windws Server A cntinuación seleccinams verificams que el cntrladr de dmini Windws Server 2008 ejecute el servici de DNS, para la reslución de nmbres. Pr defect el primer cntrladr de dmini es Glbal Catalg. Cm es el primer cntrladr de dmini prmvid n puede ser Read-Only Dmain Cntrller. 9. Aceptams el mensaje de advertencia. Este mensaje explica que es necesari delegar la zna primaria si es que se requiere que ls nmbres DNS se resuelvan desde fuera del dmini exchangepr.lcal, en nuestr cas n es necesari delegar prque este DNS sól reslverá nmbres lcales y de Internet per desde la red interna. 10. A cntinuación ingresams una cntraseña para la restauración del Active Directry en md de Directry Services Restre Mde. 11. Aparecerá un sumari cn el resumen de l seleccinad para instalación del AD DS. 12. Empezará la prmción del Cntrladr Windws Server Este prces se llevará a cab durante uns minuts. 13. Cuand el prces finaliza debems reiniciar el nuev Cntrladr de dmini. 14. Ahra pdrems ingresar a nuestr Cntrladr de dmini cn nuestr dmain admin. 15. Pdems acceder a la cnsla de administración del servici de Directri Activ. Desde Server Manager dirigiéndns a Administrative Tls. Es un prces muy similar a la prmción de un cntrladr de dmini sbre Windws Server De tdas maneras esper sus dudas cnsultas.

10 Acerca de GPO Objets de directiva de grup Ls GPO cntienen cnfiguracines de directiva. Puede pensar en un GPO cm en un dcument de directiva que aplica sus pcines de cnfiguración a ls equips y a ls usuaris sbre ls que ejerce cntrl. Si un GPO es un dcument de directiva, GPMC es cm el Explradr de Windws. GPMC se utiliza para crear, mver y eliminar ls GPO de la misma frma que el Explradr de Windws se utiliza para crear, mver y eliminar archivs. En GPMC, verá tds ls GPO del dmini en la carpeta de bjets de directiva de grup. En la figura 1, el númer 1 muestra tres GPO para el dmini crp.cnts.cm. Ests GPO sn: Accunting Security (Seguridad de cuentas). Se trata de un GPO persnalizad cread específicamente para Cnts, Ltd. Default Dmain Cntrller Plicy (Directiva predeterminada de cntrladres de dmini). La instalación del rl de servidr AD DS crea esta directiva de frma predeterminada. Cntiene pcines de cnfiguración de directiva que se aplican específicamente a cntrladres de dmini. Default Dmain Plicy (Directiva predeterminada de dminis). La instalación del rl de servidr AD DS crea esta directiva de frma predeterminada. Cntiene las pcines de cnfiguración de directiva que se aplican a tds ls equips y usuaris del dmini. Vínculs de directiva de grup En el nivel superir de AD DS se encuentran ls sitis y ls dminis. Las implementacines simples tendrán un sl siti y un sl dmini. Dentr de un dmini, puede crear unidades rganizativas (OU). Las OU sn cm carpetas

11 en el Explradr de Windws. En lugar de cntener archivs y subcarpetas, cntienen equips, usuaris y trs bjets. Pr ejempl, en la figura 1 verá una OU llamada Departments (Departaments). Debaj de esta unidad rganizativa de Departments, verá cuatr subcarpetas: Accunting (Finanzas), Engineering (Ingeniería), Management (Administración) y Marketing. Se trata de OU secundarias. Aparte de la OU Dmain Cntrllers (Cntrladres de dmini) que ve en esta figura 1, nada más en esta figura es una OU. Qué tiene est que ver cn ls vínculs de la directiva de grup? Ls GPO en la carpeta de bjets de directiva de grup n tienen ningún impact, a n ser que ls vincule a un siti, un dmini una OU. Cuand vincula un GPO a un cntenedr, la directiva de grup aplica la cnfiguración del GPO a ls equips y usuaris en ese cntenedr. En la figura 1, el númer 1 señala ds GPO vinculads a unidades rganizativas: El primer GPO se llama Default Dmain Plicy (Directiva predeterminada de dminis) y está vinculad al dmini crp.cnts.cm. Este GPO se aplica a cada equip y usuari en el dmini. El segund GPO se llama Accunting Security (Seguridad de cuentas) y está vinculad a la OU llamada Accunting (Finanzas). Este GPO se aplica a cada equip y usuari en la OU de Accunting. En GPMC, puede crear ls GPO en la carpeta de bjets de directiva de grup y, a cntinuación, vincularls (ds pass). También puede crear y vincular un GPO en un pas. En la mayría de ls cass, simplemente creará y vinculará un GPO en un sl pas, que se describe más adelante en este dcument, en la sección "Creación de un GPO". Creación, cnfiguración y administración de GPOs Crear y editar un GPO de inici La Cnsla de administración de directivas de grup (GPMC) almacena ls GPO de inici en una carpeta denminada StarterGPOs, que se encuentra en la carpeta cmpartida sysvl de ls cntrladres de dmini.

12 Nta GPMC busca esta carpeta al hacer clic en GPO de inici en la interfaz del usuari. Si la carpeta n existe, GPMC muestra un btón Crear carpeta de GPO de inici. Haga clic en Crear carpeta de GPO de inici para crear la ubicación de almacenamient de ls GPO de inici. Creación y edición de un GPO de inici Creación de un GPO de inici 1. Abra la Cnsla de administración de directivas de grup. 2. Haga clic cn el btón secundari en GPO de inici y, a cntinuación, haga clic en Nuev. 3. En el cuadr de diálg Nuev GPO de inici, escriba el nmbre del GPO de inici en el cuadr Nmbre. Si l desea, puede escribir cmentaris en el cuadr Cmentaris. 4. Haga clic en Aceptar. Edición de un GPO de inici 1. Abra la Cnsla de administración de directivas de grup. Expanda el nd GPO de inici. 2. Haga clic cn el btón secundari en el GPO de inici que desee mdificar y, a cntinuación, haga clic en Editar. 3. En el árbl de cnsla, haga clic en la carpeta situada baj Plantillas administrativas que cntenga la cnfiguración de directiva que desee establecer. 4. En la clumna Cnfiguración, haga clic en el nmbre de una cnfiguración de directiva para leer su descripción.

13 5. Para cambiar la cnfiguración de directiva, haga dble clic en el nmbre de la cnfiguración. 6. En el cuadr de diálg de la cnfiguración de directiva, haga clic en una de las pcines siguientes: N cnfigurada: El Registr n se mdifica. Habilitada: El Registr refleja que la cnfiguración de la directiva se ha seleccinad. Deshabilitad: El Registr refleja que la cnfiguración de la directiva n se ha seleccinad. 7. Seleccine tras pcines y, a cntinuación, haga clic en Aceptar. Edición de la cnfiguración de la directiva de plantillas administrativas 1. Abra la Cnsla de administración de directivas de grup. Haga clic cn el btón secundari en el bjet de directiva de grup que desee mdificar y, a cntinuación, haga clic en Editar. 2. En el árbl de cnsla, haga clic en la carpeta situada baj Plantillas administrativas que cntenga la cnfiguración de directiva que desee establecer. 3. En la clumna Cnfiguración, haga clic en el nmbre de una cnfiguración de directiva para leer su descripción. 4. Para cambiar la cnfiguración de directiva, haga dble clic en su nmbre. 5. En el cuadr de diálg de la cnfiguración de directiva, haga clic en una de las pcines siguientes: N cnfigurada: el Registr n se mdifica. Habilitada: el Registr refleja que la cnfiguración de la directiva se ha seleccinad. Deshabilitada: el Registr refleja que la cnfiguración de la directiva n se ha seleccinad. 6. Seleccine tras pcines y, a cntinuación, haga clic en Aceptar.

14 Usand GPO para cntrlar el ambiente de usuari Vincular un bjet de directiva de grup Para vincular un GPO 1. En el árbl de cnsla de la Cnsla de administración de directivas de grup (GPMC), busque el siti, dmini unidad rganizativa (OU) al que desea vincular un bjet de directiva de grup (GPO). 2. Realice una de las accines siguientes: Para vincular un GPO existente, haga clic cn el btón secundari en el dmini la unidad rganizativa dentr del dmini y, a cntinuación, haga clic en Vincular un GPO existente. En el cuadr de diálg Seleccinar GPO, haga clic en el GPO que desea vincular y, a cntinuación, enaceptar. Para vincular un nuev GPO, haga clic cn el btón secundari en un dmini una unidad rganizativa y, después, haga clic en Crear un GPO en este dmini y vincularl aquí. En el cuadr Nmbre, escriba un nmbre para el nuev GPO y, a cntinuación, haga clic en Aceptar. Filtrar cn grups de seguridad Para filtrar cn grups de seguridad 1. En el árbl de cnsla de Cnsla de administración de directivas de grup (GPMC), expanda Objets de directiva de grup y haga clic en el bjet de directiva de grup (GPO) al que desee aplicar el filtrad de seguridad. 2. En el panel de resultads, en la ficha Ámbit, haga clic en Agregar. 3. En Escriba el nmbre de bjet que desea seleccinar, escriba el nmbre del usuari, grup equip que desee agregar al filtr de seguridad. Haga clic en Aceptar.

15 Exigir un víncul de bjet de directiva de grup Para exigir un víncul de bjet de directiva de grup 1. En el árbl de cnsla de Cnsla de administración de directivas de grup (GPMC), haga dble clic en el bsque que cntiene el dmini, siti unidad rganizativa que cntiene el víncul que desea exigir y, después, realice una de las accines siguientes: Para aplicar un víncul de GPO en el nivel de dmini, haga dble clic en Dminis y, a cntinuación, haga dble clic en el dmini que cntiene el víncul de GPO. Para aplicar un víncul de GPO en el nivel de unidad rganizativa, haga dble clic en Dminis y, a cntinuación, haga dble clic en la unidad rganizativa que cntiene el víncul de GPO. Para aplicar un víncul de GPO en el nivel de siti, haga dble clic en Sitis y, a cntinuación, haga dble clic en el siti que cntiene el víncul de GPO. 2. Haga clic cn el btón secundari en el víncul de GPO y, a cntinuación, haga clic en Exigid para habilitar deshabilitar la bligatriedad del víncul. Una marca de verificación junt a Exigid indica que se exige el víncul. Deshabilitar la cnfiguración de usuari del equip en un bjet de directiva de grup Para deshabilitar la cnfiguración de usuari equip en un bjet de directiva de grup 1. En el árbl de Cnsla de administración de directivas de grup (GPMC), haga dble clic en el bsque que cntiene el dmini unidad rganizativa que cntiene el bjet de directiva de grup (GPO). 2. Haga dble clic en el dmini la unidad rganizativa.

16 3. Haga clic cn el btón secundari en el GPO que cntiene la cnfiguración de usuari equip que desea deshabilitar, seleccine Estad de GPO y, a cntinuación, realice el siguiente prcedimient: Haga clic en Cnfiguración de usuari deshabilitada para deshabilitar la cnfiguración de usuari para el GPO. Haga clic en Cnfiguración de equip deshabilitada para deshabilitar la cnfiguración de equip para el GPO. 4. Una marca de verificación al lad de Cnfiguración de usuari deshabilitada Cnfiguración de equip deshabilitada indica que la cnfiguración del usuari del equip está deshabilitada. Usand GPO para cntrlar ls prgramas Establecer permiss para la instalación de sftware de directivas de grup Para establecer permiss para la instalación de sftware de directivas de grup 1. Abra el bjet de directiva de grup (GPO) que desee mdificar. 2. En el árbl de la cnsla, haga clic cn el btón secundari del muse en el icn en el nmbre del bjet de directiva de grup y, a cntinuación, haga clic en Prpiedades. 3. Haga clic en la ficha Seguridad y, en el cuadr Nmbres de grups usuaris, haga clic en el grup de seguridad para el que desee establecer permiss. 4. Realice una de las siguientes accines: Para cambiar el cnjunt de grups de seguridad que tienen permiss en este bjet de directiva de grup, haga clic en Agregar Quitar para agregar quitar grups de seguridad.

17 Si el grup de seguridad representa a ls administradres (que administran el sftware para ls usuaris y equips de la rganización), en el cuadr Permiss crrespndiente al grup de seguridad seleccinad, active la casilla Permitir para Cntrl ttal y, a cntinuación, haga clic en Aceptar. Si el grup de seguridad representa a ls usuaris (que utilizan sftware asignad publicad pr un administradr), en el cuadr Permiss crrespndiente al grup de seguridad seleccinad, active la casilla Permitir de Aplicar directiva de grups y Leer y, a cntinuación, haga clic en Aceptar. Respaldand y restaurand AD Realizar una cpia de seguridad de un bjet de directiva de grup Para realizar una cpia de seguridad de un bjet de directiva de grup 1. En el árbl de cnsla de Cnsla de administración de directivas de grup (GPMC), abra Objets de directiva de grup del bsque y el dmini que cntienen el bjet de directiva de grup (GPO) del que desea realizar una cpia de seguridad. 2. Para realizar una cpia de seguridad de un sl GPO, haga clic cn el btón secundari en el GPO y, a cntinuación, haga clic en Hacer cpia de seguridad. Para realizar una cpia de seguridad de tds ls GPO del dmini, haga clic cn el btón secundari en Objets de directiva de grup y haga clic en Hacer cpia de seguridad de tds. 3. En el cuadr de diálg Cpia de seguridad de bjet de directiva de grup, en el cuadr Ubicación, especifique la ruta de acces de la ubicación en la que desee almacenar las cpias de seguridad de GPO, bien haga clic en Examinar, busque la carpeta en la que desee almacenar las cpias de seguridad de GPO y, a cntinuación, haga clic en Aceptar.

18 4. En el cuadr Descripción, escriba una descripción para ls GPO cuya cpia de seguridad desee realizar y, a cntinuación, haga clic en Cpia de seguridad. Si realiza una cpia de seguridad de varis GPO, la descripción se aplicará a tds ls GPO de ls que haga cpia de seguridad. 5. Una vez finalizada la peración, haga clic en Aceptar. Restaurar una versión anterir eliminada de un bjet de directiva de grup existente Para restaurar una versión anterir eliminada de un bjet de directiva de grup existente 1. En el árbl de cnsla de Cnsla de administración de directivas de grup (GPMC), busque Objets de directiva de grup en el bsque y dmini que cntienen el bjet de directiva de grup (GPO) que desea restaurar. 2. Haga clic cn el btón secundari en Objets de directivas de grup y, a cntinuación, haga clic en Administrar cpias de seguridad. 3. En el cuadr de diálg Administrar cpias de seguridad, en el cuadr Ubicación de cpia de seguridad, escriba la ruta de acces a la carpeta de cpias de seguridad. También puede utilizar Examinar para lcalizar la carpeta de cpias de seguridad. 4. En el cuadr Objets de directiva de grup cn cpia de seguridad, seleccine el GPO que desea restaurar de la lista de cpias de seguridad de GPO mstrada y, a cntinuación, haga clic en Restaurar. 5. Cuand se le pida que cnfirme la peración de restauración, haga clic en Aceptar. 6. Una vez finalizada la peración, haga clic en Aceptar y, después, haga clic en Cerrar.

19 Cnclusión Para cncluir pdems decir que usar Windws server 2008 es muy imprtante ya que trabaja cn Servicis de directri que sn una base de dats distribuida que permite almacenar infrmación relativa a ls recurss de una red cn el fin de facilitar su lcalización y administración. Micrsft Active Directry es la implementación más reciente de Servicis de directri para Windws 2008

20 Bibligrafía: Administración de GPOs y AD: Guia para a pas crear GPOs: