Anexo F: protección de grupos de administradores de dominio en Active Directory
Anexo F: protección de grupos de administradores de dominio en Active Directory
Como sucede con el grupo de administradores de empresa, la pertenencia a grupos de administradores de dominio solo debe ser necesaria en escenarios de compilación o recuperación ante desastres. No debe haber cuentas de usuario diarias en el grupo de administradores de dominio, con la excepción de la cuenta predefinida de administrador del dominio, si se ha protegido tal como se describe en el Anexo D: Protección de cuentas predefinidas de administrador en Active Directory.
Los administradores de dominio son, de manera predeterminada, miembros de los grupos de administradores locales en todos los servidores miembro y estaciones de trabajo de sus respectivos dominios. Este anidamiento predeterminado no se debe modificar por motivos de compatibilidad y de recuperación ante desastres. Si el grupo de administradores de dominio se ha quitado de los grupos de administradores locales de los servidores miembro, dicho grupo deberá agregarse al grupo de administradores en cada servidor miembro y estación de trabajo del dominio. El grupo de administradores de dominio de cada dominio debe protegerse como se describe en las siguientes instrucciones paso a paso.
En el grupo de administradores de dominio de cada dominio del bosque:
Quite todos los miembros del grupo de administradores de dominio, con la posible excepción de la cuenta predefinida de administrador del dominio, si se ha protegido tal como se describe en el Anexo D: Protección de cuentas predefinidas de administrador en Active Directory.
En los GPO vinculados a unidades organizativas que contienen servidores miembros y estaciones de trabajo de cada dominio, el grupo de administradores de dominio debe agregarse a los siguientes derechos de usuario en Configuración del equipo/Directivas/Configuración de Windows/Configuración de seguridad/Directivas locales/Asignaciones de derechos de usuario:
Denegar el acceso desde la red a este equipo
Denegación del inicio de sesión como trabajo por lotes
Denegar el inicio de sesión como servicio
Denegar el inicio de sesión localmente
Denegar inicio de sesión a través de Servicios de Escritorio remoto
Se deben configurar funciones de auditoría para enviar alertas si se realizan modificaciones en las propiedades o la pertenencia del grupo de administradores de dominio.
Instrucciones paso a paso para quitar todos los miembros del grupo de administradores de dominio
En Administrador del servidor, haga clic en Herramientas y haga clic en Usuarios y equipos de Active Directory.
Haga lo siguiente para quitar todos los miembros del grupo de administradores de dominio:
Haga doble clic en el grupo de Admins. del dominio y luego haga clic en la pestaña Miembros.
Seleccione un miembro del grupo, haga clic en Quitar, en Sí y después en Aceptar.
Repita el paso 2 hasta que se hayan quitado todos los miembros del grupo de administradores de dominio.
Instrucciones paso a paso para proteger a los administradores de dominio en Active Directory
En Administrador del servidor, haga clic en Herramientas y, después, haga clic en Administración de directivas de grupo.
En el árbol de consola, expanda <Bosque>\Dominios\<Dominio> y, después, Objetos de directivas de grupo (donde <Bosque> es el nombre del bosque y <Dominio> es el nombre del dominio donde quiere establecer la directiva de grupo).
En el árbol de consola, haga clic con el botón derecho en Objetos de directivas de grupo y haga clic en Nuevo.
En el cuadro de diálogo Nuevo GPO, escriba <Nombre del GPO> y haga clic en Aceptar (donde <Nombre del GPO> es el nombre de este GPO).
En el panel de detalles, haga clic con el botón derecho en <Nombre del GPO> y, a continuación, haga clic en Editar.
Vaya a Configuración del equipo\Directivas\Configuración de Windows\Configuración de seguridad\Directivas locales y haga clic en Asignación de derechos de usuario.
Haga lo siguiente para configurar los derechos de usuario de forma que los miembros del grupo de administradores de dominio no puedan acceder a servidores miembros y estaciones de trabajo a través de la red:
Haga doble clic en Denegar el acceso a este equipo desde la red y seleccione Definir esta configuración de directiva.
Haga clic en Agregar usuario o grupo y en Examinar.
Escriba Administradores de dominio, haga clic en Comprobar nombres y luego en Aceptar.
Haga clic en Aceptar y, después, de nuevo en Aceptar.
Haga lo siguiente para configurar los derechos de usuario de forma que los miembros del grupo de administradores de dominio no puedan iniciar sesión como un trabajo por lotes:
Haga doble clic en Denegar el inicio de sesión como trabajo por lotes y seleccione Definir esta configuración de directiva.
Haga clic en Agregar usuario o grupo y en Examinar.
Escriba Administradores de dominio, haga clic en Comprobar nombres y luego en Aceptar.
Haga clic en Aceptar y, después, de nuevo en Aceptar.
Haga lo siguiente para configurar los derechos de usuario de forma que los miembros del grupo de administradores de dominio no puedan iniciar sesión como servicio:
Haga doble clic en Denegar el inicio de sesión como servicio y seleccione Definir esta configuración de directiva.
Haga clic en Agregar usuario o grupo y en Examinar.
Escriba Administradores de dominio, haga clic en Comprobar nombres y luego en Aceptar.
Haga clic en Aceptar y, después, de nuevo en Aceptar.
Haga lo siguiente para configurar los derechos de usuario de forma que los miembros del grupo de administradores de dominio no puedan iniciar sesión localmente en servidores miembros y estaciones de trabajo:
Haga doble clic en Denegar el inicio de sesión localmente y seleccione Definir esta configuración de directiva.
Haga clic en Agregar usuario o grupo y en Examinar.
Escriba Administradores de dominio, haga clic en Comprobar nombres y luego en Aceptar.
Haga clic en Aceptar y, después, de nuevo en Aceptar.
Haga lo siguiente para configurar los derechos de usuario de forma que los miembros del grupo de administradores de dominio no puedan acceder a servidores miembros y estaciones de trabajo a través de Servicios de Escritorio Remoto:
Haga doble clic en Denegar inicio de sesión a través de Servicios de Escritorio remoto y seleccione Definir esta configuración de directiva.
Haga clic en Agregar usuario o grupo y en Examinar.
Escriba Administradores de dominio, haga clic en Comprobar nombres y luego en Aceptar.
Haga clic en Aceptar y, después, de nuevo en Aceptar.
Para salir del Editor de administración de directivas de grupo, haga clic en Archivo y, después, en Salir.
En Administración de directivas de grupo, vincule el GPO a las unidades organizativas de la estación de trabajo y el servidor miembro con los procedimientos siguientes:
Vaya a <Bosque>\Dominios\<Dominio> (donde <Bosque> es el nombre del bosque y <Dominio> es el nombre del dominio en el que quiere establecer la directiva de grupo).
Haga clic con el botón derecho en la unidad organizativa a la que se va a aplicar el GPO y haga clic en Vincular un GPO existente.
Seleccione el GPO que acaba de crear y haga clic en Aceptar.
Cree vínculos al resto de unidades organizativas que contengan estaciones de trabajo.
Cree vínculos a todas las demás UO que contengan servidores miembros.
Importante
Si los servidores de salto se usan para administrar controladores de dominio y Active Directory, asegúrese de que los servidores de salto se encuentran en una unidad organizativa a la que estos GPO no están vinculados.
Pasos de comprobación
Compruebe la configuración del GPO "Denegar el acceso a este equipo desde la red"
Desde cualquier estación de trabajo o servidor miembro que no se vean afectados por los cambios de la GPO (por ejemplo, un "servidor de salto"), intente acceder a una estación de trabajo o servidor miembro a través de la red afectada por los cambios de la GPO. Para comprobar la configuración del GPO, pruebe a asignar la unidad del sistema usando el comando NET USE.
Inicie sesión localmente usando una cuenta miembro del grupo Admins. del dominio.
Use el ratón para mover el puntero a la esquina superior derecha o inferior derecha de la pantalla. Cuando aparezca la barra Accesos, haga clic en Buscar.
En el cuadro Buscar, escriba símbolo del sistema, haga clic con el botón derecho en Símbolo del sistema y, después, haga clic en Ejecutar como administrador para abrir un símbolo del sistema con privilegios elevados.
Cuando se le pida que apruebe la elevación, haga clic en Sí.
En la ventana de Símbolo de sistema, escriba net use\\<Nombre del servidor>\c$, donde <Nombre del servidor> es el nombre de la estación de trabajo o servidor miembro al que está intentando acceder a través de la red.
En la siguiente captura de pantalla se muestra el mensaje de error que debería aparecer.
Comprobación de la configuración de GPO "Denegar el inicio de sesión como trabajo por lotes"
Desde cualquier estación de trabajo o servidor miembro afectado por los cambios del GPO, inicie sesión localmente.
Creación de un archivo por lotes
Use el mouse para mover el puntero a la esquina superior derecha o inferior derecha de la pantalla. Cuando aparezca la barra Accesos, haga clic en Buscar.
En el cuadro Buscar, escriba bloc de notas y haga clic en Bloc de notas.
En el Bloc de notas, escriba dir c:.
Haga clic en Archivo y después en Guardar como.
En el campo Nombre de archivo, escriba <Nombredearchivo>.bat (donde <Nombredearchivo> es el nombre del nuevo archivo por lotes).
Programación de una tarea
Use el mouse para mover el puntero a la esquina superior derecha o inferior derecha de la pantalla. Cuando aparezca la barra Accesos, haga clic en Buscar.
En el cuadro Buscar, escriba programador de tareas y haga clic enProgramador de tareas.
Nota
En los equipos con Windows 8, en el cuadro Buscar, escriba tareas de programación y haga clic en Programar tareas.
En la barra de menús del Programador de tareas, haga clic en Acción y luego en Crear tarea.
En el cuadro de diálogo Crear tarea, escriba <Nombre de la tarea> (donde <Nombre de la tarea> es el nombre de la nueva tarea).
Haga clic en la pestaña Acciones y después, en Nueva.
En el campo Acción, seleccione Iniciar un programa.
En Programa/script, haga clic en Examinar, busque y seleccione el archivo por lotes creado en Crear un archivo por lotes y haga clic en Abrir.
Haga clic en OK.
Haga clic en la pestaña General.
Entre las opciones de Seguridad, haga clic en Cambiar usuario o grupo.
Escriba el nombre de una cuenta que sea miembro del grupo de administradores de dominio, haga clic en Comprobar nombres y luego en Aceptar.
Seleccione Ejecutar tanto si el usuario inició sesión como si no y No almacenar la contraseña. La tarea solo tendrá acceso a los recursos del equipo local.
Haga clic en OK.
Debe aparecer un cuadro de diálogo en el que se soliciten las credenciales de la cuenta de usuario para ejecutar la tarea.
Después de escribir las credenciales, haga clic en Aceptar.
Debería abrirse un cuadro de diálogo similar al siguiente.
Comprobación de la configuración de GPO "Denegar el inicio de sesión como servicio"
Desde cualquier estación de trabajo o servidor miembro afectado por los cambios del GPO, inicie sesión localmente.
Use el mouse para mover el puntero a la esquina superior derecha o inferior derecha de la pantalla. Cuando aparezca la barra Accesos, haga clic en Buscar.
En el cuadro Buscar, escriba servicios y haga clic en Servicios.
Busque la opción Administrador de trabajos de impresión y haga doble clic en ella.
Haga clic en la ficha Iniciar sesión.
En Iniciar sesión como, seleccione la opción Esta cuenta.
Haga clic en Examinar, escriba el nombre de una cuenta que sea miembro del grupo de administradores de dominio, haga clic en Comprobar nombres y luego en Aceptar.
En Contraseña y Confirmar contraseña, escriba la contraseña de la cuenta seleccionada y haga clic en Aceptar.
Haga clic en Aceptar tres veces más.
Haga clic con el botón derecho en Administrador de trabajos de impresión y haga clic en Reiniciar.
Cuando el servicio se reinicie, debería aparece un cuadro de diálogo similar al siguiente.
Reversión de los cambios al servicio de Administrador de trabajos de impresión
Desde cualquier estación de trabajo o servidor miembro afectado por los cambios del GPO, inicie sesión localmente.
Use el mouse para mover el puntero a la esquina superior derecha o inferior derecha de la pantalla. Cuando aparezca la barra Accesos, haga clic en Buscar.
En el cuadro Buscar, escriba servicios y haga clic en Servicios.
Busque la opción Administrador de trabajos de impresión y haga doble clic en ella.
Haga clic en la ficha Iniciar sesión.
En Iniciar sesión como, seleccione la cuenta del Sistema local y haga clic en Aceptar.
Comprobación de la configuración de GPO "Denegar el inicio de sesión localmente"
Desde cualquier estación de trabajo o servidor miembro afectado por los cambios del GPO, pruebe a iniciar sesión localmente con una cuenta que sea miembro del grupo de administradores de dominio. Debería abrirse un cuadro de diálogo similar al siguiente.
Comprobación de la configuración de GPO "Denegar inicio de sesión a través de Servicios de Escritorio remoto"
Use el mouse para mover el puntero a la esquina superior derecha o inferior derecha de la pantalla. Cuando aparezca la barra Accesos, haga clic en Buscar.
En el cuadro Buscar, escriba conexión a escritorio remoto y haga clic en Conexión a Escritorio remoto.
En el campo Equipo, escriba el nombre del equipo al que quiera conectarse y haga clic en Conectar. (también puede escribir la dirección IP en lugar del nombre de equipo).
Cuando se le pida, introduzca las credenciales de una cuenta que sea miembro del grupo de administradores de dominio.
Debería abrirse un cuadro de diálogo similar al siguiente.
