Las directivas de grupo (GPO) en Windows Server 2008 y 2008 R2

Transcripción

1 212 Las directivas de grupo (GPO) en Windows Server 2008 y 2008 R2 Las políticas de seguridad varían de una organización a otra según sus actividades y las necesidades que se definan. Una vez se ha establecido el nivel de seguridad requerido, es posible configurar las directivas de grupo correspondientes. No es el objetivo de este libro enumerar y detallar todas y cada una de las opciones de seguridad y su impacto, sino que más bien nos concentraremos sobre los elementos principales relacionados con la seguridad de Windows a través de las directivas de grupo. En este capítulo se presentarán los parámetros de seguridad considerados como más importantes. Se explicarán sus efectos y se explorarán los diferentes niveles de directivas de seguridad. 2. Creación del dominio y directivas por defecto En un dominio ya existente, los administradores autorizados son los únicos responsables de la creación de nuevas directivas de grupo, de sus vinculaciones con los sitios, los dominios o las unidades organizativas, y de los parámetros que modifican. Cuando se crea un nuevo dominio, hay ciertas operaciones que se ejecutan automáticamente, entre ellas la creación de directivas de grupo por defecto. Inicialmente, al promocionar un servidor a controlador de dominio, se crea la unidad organizativa Domain Controllers en Active Directory. En esta unidad organizativa se almacenarán los objetos controladores de dominio por defecto. A continuación, se crea y vincula a nivel de dominio la directiva de grupo Default Domain Policy. Esta GPO es la directiva de dominio por defecto. Los parámetros definidos se aplican a todos los objetos contenidos en Active Directory. Para terminar, se crea la directiva de grupo Default Domain Controllers Policy y se vincula a la unidad organizativa Domain Controllers. Esta GPO define los parámetros de directivas que se aplican a los controladores de dominio de la empresa. Editions ENI - All rights reserved

2 Directivas de grupo y seguridad Capítulo Microsoft recomienda modificar únicamente los parámetros de seguridad de estas directivas de grupo. Para cualquier modificación que no guarde relación con la seguridad, es preferible crear GPOs aparte. Si fuese necesario, éstas se pueden vincular al nivel de dominio posteriormente. Precaución: si se altera la integridad de las directivas de grupo Default Domain Policy y Domain Controllers Policy, resulta muy difícil deshacer los cambios! 2.1 La directiva Default Domain Policy La directiva Default Domain Policy está vinculada al dominio Active Directory por defecto. El objetivo principal de esta directiva es definir las políticas utilizadas por las cuentas de usuario del dominio. Estos son los tres parámetros de directiva que presentan mayor interés: Directiva de contraseñas Directiva de bloqueo de cuenta Directiva Kerberos Estos tres parámetros definen la forma en que van a funcionar las cuentas de usuario en la red. Es posible modificar directamente la directiva de grupo Default Domain Policy o crear una nueva GPO para configurar los parámetros de las cuentas de usuario de la organización. Una vez se ha creado la GPO, basta con vincularla al dominio para que funcione de manera idéntica a la directiva por defecto Default Domain Policy. El empleo de esta posibilidad garantiza la integridad de la directiva Default Domain Policy y no cuesta más tiempo de configurar. En este caso, es imprescindible tener en cuenta el orden de precedencia de las GPO.

3 214 Las directivas de grupo (GPO) en Windows Server 2008 y 2008 R Los parámetros de directiva de dominio Hay cinco parámetros de directiva que, una vez modificados, sólo surten efecto si la GPO está vinculada a nivel de dominio. Ésta es la lista de esos parámetros y sus funciones: Forzar la desconexión de las sesiones de usuario : es posible definir las franjas horarias de funcionamiento de las cuentas Active Directory de los usuarios. Si sobrepasan el límite, se desconecta a los usuarios de sus sesiones. Cuentas : cambiar el nombre de la cuenta de administrador: se puede renombrar el nombre de la cuenta del administrador local del puesto. Cuentas : cambiar el nombre de cuenta de invitado: se puede emplear para renombrar la cuenta de invitado en los puestos de trabajo. Cuentas estado de la cuenta de administrador: esta opción funciona a partir de las versiones Windows Server 2003 y superiores. Permite desactivar la cuenta del administrador local en los puestos de trabajo. Cuentas : estado de la cuenta de invitado: esta opción funciona a partir de las versiones Windows Server 2003 y superiores. Permite desactivar la cuenta del invitado en los puestos de trabajo. Estos parámetros de directiva tan sólo funcionan si se aplican al dominio entero Modificar la Default Domain Policy o crear una nueva Es posible modificar directamente la Default Domain Policy para configurar el comportamiento de las cuentas de usuario del dominio o crear una estrategia completamente nueva y vincularla a nivel de dominio. Si elige crear una nueva GPO para configurar las cuentas de usuario, surge el problema de la precedencia de las GPO. En el capítulo Administrar las directivas con GPMC 2.0 (Administrar las GPO con la consola de administración de directivas de grupo - GPMC 2.0), hemos indicado que la última GPO en aplicarse es la que "gana". Hará falta por tanto cambiar la precedencia de la directiva de las cuentas de usuario para que se aplique la última, después de Default Domain Policy. Editions ENI - All rights reserved

4 Directivas de grupo y seguridad Capítulo Si no, los parámetros de configuración de las cuentas de usuario no surtirán efecto sobre los puestos de trabajo ya que serán anulados y reemplazados por los de la Default Domain Policy. Se recomienda modificar la Default Domain Policy directamente para los parámetros de directiva de las cuentas de usuario. Se debe tener presente el asignarle el nivel de precedencia más alto y evitar la aparición de conflictos, ya que tendrá prioridad sobre las otras GPO del dominio. 2.2 Directiva Default Domain Controllers Policy En un dominio Active Directory, todos los servidores promovidos al rango de controladores de dominio quedan automáticamente incorporados a la Unidad Organizativa Domain Controllers. La directiva Default Domain Controllers Policy, creada por defecto durante la puesta en marcha del dominio, define los parámetros de directiva que se aplican a todos los controladores de dominio contenidos en la Unidad Organizativa Domain Controllers. Del mismo modo, es posible crear una nueva GPO para configurar los controladores de dominio y asignarle el nivel más alto de precedencia para que se aplique después de la directiva por defecto. Pero lo recomendado es emplear la Default Domain Controllers Policy disponible para este propósito. 2.3 Reparar las directivas por defecto (Default Domain Policy y Default Domain Controllers Policy) Puede ocurrir que las directivas por defecto se corrompan y ya no funcionen correctamente. Se recomienda utilizar las copias de seguridad de las directivas por defecto que, idealmente, se habrán realizado previamente a cualquier modificación.

5 216 Las directivas de grupo (GPO) en Windows Server 2008 y 2008 R2 Si no se ha hecho ninguna copia de seguridad, Windows Server 2008 y 2008 R2 proporcionan utilidades por línea de comando que permiten restaurar las directivas de grupo a su estado inicial. Estos comandos funcionan a partir de la versión 2003 de Windows Server y ofrecen las siguientes funcionalidades: restauración de la directiva Default Domain Policy o de Default Domain Controllers Policy o de las dos al mismo tiempo. Para realizar una restauración de directivas de dominio por defecto hay que estar conectado al servidor controlador de dominio principal con los derechos de administración requeridos. Una vez autentificado, abra una ventana de comando DOS y escriba el comando DCGPOFIX especificando uno de los siguientes parámetros: DCGPOFIX /Target:Domain para restaurar la Default Domain Policy. DCGPOFIX /Target:DC para restaurar la Default Domain Controllers Policy. DCGPOFIX /Target:BOTH para restaurar las dos. En cualquier caso, DCGPOFIX no funcionará si el esquema Active Directory ha sufrido cambios desde la instalación del controlador de dominio. En ese caso, emplee el siguiente comando: GPOFIX /ignoreschema para ignorar las modificaciones del esquema. Truco: para restaurar las GPO por defecto de un controlador de dominio Windows Server 2000, puede descargarse la utilidad RecreateDefPol del sitio de Microsoft. Editions ENI - All rights reserved

6 Directivas de grupo y seguridad Capítulo Configurar la Default Domain Policy Como se ha mencionado antes en este capítulo, la Default Domain Policy contiene tres parámetros principales de interés para su configuración. Recordemos que estos parámetros conciernen a la seguridad, en particular a la administración de las cuentas de usuario del dominio. Los objetos de directiva están localizados en el nodo Configuración del equipo - Directivas - Configuración de Windows - Configuración de seguridad - Directivas de cuenta. En esta sección, definiremos y pondremos en marcha una política de administración de cuentas de usuario del dominio. Atención, esta directiva se aplicará a todos los usuarios que tengan una cuenta en el dominio. dutilice la consola de administración de directivas de grupo, para abrir la directiva Default Domain Policy en el Editor de administración de directivas de grupo.