Administración de Directorios y Políticas en Windows (AD, GPO y PowerShell)

1. Conceptos Fundamentales

¿Qué es una amenaza?

Una amenaza es el conjunto de sucesos que podrían ocasionar daños a los activos de la organización.
Por ello, la administración de directorios y políticas de seguridad es clave para proteger usuarios, equipos y datos.

2. Nombres de Objeto en Active Directory

Cada entrada en AD tiene un identificador único: Nombre Distinguido (Distinguished Name, DN).
El Relative Distinguished Name (RDN) se construye con los atributos del objeto y se encadena con el DN del padre.

Ejemplo de DN:

CN=Nombre,OU=Ventas,DC=foo,DC=org

Componentes:

CN (Common Name): Imprime
OU (Organizational Unit): Ventas
DC (Domain Component): foo.org
Object Class: Tipo de objeto (usuario, impresora, grupo…)

3. Active Directory (AD)

Un Directorio Activo es un servicio de directorio para autenticar y administrar usuarios, grupos, equipos y políticas.

Funcionalidades principales

Autenticación centralizada con LDAP, DNS, DHCP y Kerberos.
Organización jerárquica en Bosque, Árboles, Dominios y Unidades Organizativas (OU).
Permite delegar permisos, aplicar políticas de grupo y administrar objetos.

Ejemplo de comandos:

dsadd user "cn=Roberto Ruiz,ou=ventas,dc=rebeldadmin,dc=com" -pwd "Contraseña"
dsget user -samid tidris -dn
dsrm "cn=usuario,ou=ventas,dc=empresa,dc=com"

4. Administración en Windows

Servicios Clave

RAS: Acceso remoto vía VPN (PPTP, L2TP, SSTP).
WinRM: Administración remota.
LAPS: Gestión segura de contraseñas locales.
VAMT: Activación de licencias por volumen.
APPLocker / EMET: Restricción de aplicaciones y mitigación de exploits.
SCVMM: Administración de máquinas virtuales en Hyper-V.
WSUS: Gestión de actualizaciones en red.
PacketFence: Control de acceso a red (NAC).

5. GPO (Group Policy Object)

Las Políticas de Grupo permiten establecer la configuración de sistema y usuarios de forma centralizada.

Tipos de GPO

Locales: Aplicadas solo al equipo local.
De Dominio: Vinculadas a sitios, dominios u OU.

Orden de aplicación

GPO local
GPO de sitio
GPO de dominio
GPO de OU (de mayor a menor jerarquía)

Nota: En caso de conflicto, prevalece la política más restrictiva.

Herramientas para GPO

gpupdate: Actualiza directivas.
rsop.msc: Resultado de la directiva aplicada.
gpresult: Informe detallado por usuario/equipo.
GPMC (Group Policy Management Console): Consola principal.
ADMX: Plantillas administrativas con configuraciones reutilizables.

6. PowerShell 5.0

PowerShell es el lenguaje de automatización y scripting por excelencia en Windows.

Cmdlets útiles:

Get-Command           # Lista todos los comandos disponibles
Get-Help              # Muestra ayuda de un comando
Get-Service           # Lista servicios en ejecución
New-ADUser            # Crea un usuario en AD
Add-Content           # Añade contenido a un archivo
Get-Acl               # Consulta listas de control de acceso

Ventaja: permite administrar usuarios, grupos, permisos, directivas y seguridad de forma automatizada.

7. Resumen Visual

AD (Active Directory): Directorio centralizado → autentica y administra usuarios, equipos y políticas.
GPO (Group Policy Object): Reglas y configuraciones aplicadas a usuarios/equipos.
PowerShell: Lenguaje de administración y automatización.
Seguridad: La política más restrictiva siempre prevalece.

🏢 Active Directory: Guía Completa y Visual

📖 ¿Qué es Active Directory?

Active Directory (AD) es un servicio de directorio desarrollado por Microsoft que funciona como una base de datos centralizada para gestionar y organizar recursos de red en entornos empresariales Windows.

🎯 Función Principal

Actúa como un «directorio telefónico» digital que almacena información sobre todos los recursos de la red: usuarios, computadoras, impresoras, aplicaciones y políticas de seguridad.

🏗️ Arquitectura y Componentes

📊 Estructura Jerárquica

🌳 Bosque (Forest)
    └── 🌲 Dominio (Domain)
        ├── 📁 Unidad Organizacional (OU)
        │   ├── 👤 Usuarios
        │   ├── 💻 Computadoras
        │   └── 👥 Grupos
        └── 📁 Contenedores
            ├── 🖨️ Impresoras
            └── 📋 Políticas

🔧 Componentes Clave

1. Dominio

Unidad administrativa básica
Comparte una base de datos común
Ejemplo: empresa.local

2. Controlador de Dominio (DC)

Servidor que almacena la base de datos de AD
Autentica usuarios y autoriza acceso
Replica información con otros DCs

3. Unidades Organizacionales (OU)

Contenedores que organizan objetos
Facilitan la aplicación de políticas
Estructura: Departamentos, ubicaciones, roles

4. Objetos

Usuarios: Cuentas de empleados
Computadoras: Equipos unidos al dominio
Grupos: Conjuntos de usuarios con permisos similares
Impresoras: Dispositivos de impresión compartidos

🔐 Servicios y Protocolos

🌐 Protocolos Principales

ProtocoloPuertoFunciónLDAP389Consultas de directorioLDAPS636LDAP seguro (SSL/TLS)DNS53Resolución de nombresKerberos V588Autenticación seguraDHCP67/68Asignación de IPs

🛡️ Servicios Integrados

DNS (Domain Name System)

Resuelve nombres de dominio a direcciones IP
Esencial para la localización de controladores de dominio
Registros SRV para servicios de AD

DHCP (Dynamic Host Configuration Protocol)

Asignación automática de direcciones IP
Configuración de parámetros de red
Integración con registros DNS dinámicos

👥 Gestión de Usuarios y Grupos

🏷️ Tipos de Cuentas

Cuentas de Usuario

Locales: Solo en el equipo local
Dominio: Gestionadas por AD
Servicio: Para aplicaciones y servicios

Grupos de Seguridad

📊 Ámbitos de Grupo:
├── 🏠 Local (Local)
├── 🌍 Global (Global)  
└── 🌐 Universal (Universal)

🔐 Tipos:
├── 🛡️ Seguridad (Security)
└── 📧 Distribución (Distribution)

🎯 Mejores Prácticas de Grupos

AGDLP/AGUDLP – Estrategia recomendada:
- Accounts → Global groups → Domain Local groups → Permissions
- Para bosques: Accounts → Global → Universal → Domain Local → Permissions

📋 Políticas de Grupo (GPO)

🎛️ ¿Qué son las GPO?

Las Group Policy Objects permiten configurar y gestionar centralizadamente:

⚙️ Configuraciones del sistema
🔒 Políticas de seguridad
💾 Instalación de software
🎨 Configuración del escritorio
🌐 Configuraciones de red

📊 Tipos de Políticas

Computer Configuration

Se aplican al iniciar el equipo
Independientes del usuario conectado
Configuraciones de sistema y seguridad

User Configuration

Se aplican al iniciar sesión del usuario
Personalizaciones y restricciones por usuario
Configuraciones de escritorio y aplicaciones

🔄 Orden de Aplicación (LSDOU)

Local – Políticas locales del equipo
Site – Políticas del sitio de AD
Domain – Políticas del dominio
OU – Políticas de la unidad organizacional

🛠️ Herramientas de Administración

🖥️ Herramientas Principales

Active Directory Users and Computers (ADUC)

Gestión de usuarios, grupos y OUs
Propiedades y atributos de objetos
Operaciones masivas

Group Policy Management Console (GPMC)

Creación y edición de GPOs
Reportes de políticas
Modelado y análisis de resultados

Active Directory Sites and Services

Configuración de sitios y subredes
Gestión de la replicación
Optimización del tráfico de red

💻 PowerShell para AD

powershell

# Ejemplos de comandos útiles
Get-ADUser -Filter * -Properties *
New-ADUser -Name "Juan Pérez" -SamAccountName "jperez"
Add-ADGroupMember -Identity "Ventas" -Members "jperez"
Get-GPO -All | Select DisplayName, GPOStatus

🔄 Replicación y Topología

🌐 Sitios de Active Directory

Componentes de Sitio

Subredes: Rangos de direcciones IP
Site Links: Conexiones entre sitios
Bridgehead Servers: Servidores de replicación

Tipos de Replicación

Intrasite: Dentro del mismo sitio (rápida)
Intersite: Entre sitios diferentes (programada)

⚡ Optimización de Replicación

🏢 Oficina Central (Madrid)
    ├── 🔗 Site Link (128 Kbps)
    └── 🏢 Oficina Sucursal (Barcelona)
        └── 💻 RODC (Read-Only Domain Controller)

🔒 Seguridad en Active Directory

🛡️ Mecanismos de Seguridad

Autenticación Kerberos

AS-REQ: Solicitud de ticket de autenticación
AS-REP: Respuesta con TGT (Ticket Granting Ticket)
TGS-REQ: Solicitud de ticket de servicio
TGS-REP: Respuesta con ticket de servicio

Niveles Funcionales

Dominio: Características disponibles para el dominio
Bosque: Características globales del bosque
Versiones: 2008 R2, 2012, 2012 R2, 2016, 2019, 2022

🔐 Mejores Prácticas de Seguridad

Principio de Menor Privilegio
- Asignar solo permisos necesarios
- Revisión periódica de accesos
Cuentas Administrativas
- Separar cuentas de uso diario y administrativas
- Usar cuentas de servicio gestionadas (gMSA)
Auditoría y Monitoreo
- Habilitar auditoría de eventos críticos
- Monitorear inicios de sesión fallidos

📈 Planificación y Diseño

🎯 Consideraciones de Diseño

Estructura de Dominio

🌳 Diseño Recomendado:
empresa.com (Dominio Raíz)
├── 📁 Corp (OU Corporativa)
│   ├── 👥 Usuarios
│   ├── 💻 Computadoras
│   └── 👤 Grupos
└── 📁 Recursos
    ├── 🖨️ Impresoras
    └── 📁 Aplicaciones

Nomenclatura Estándar

Usuarios: nombre.apellido
Computadoras: TIPO-UBICACIÓN-###
Grupos: GRP_FUNCIÓN_TIPO
OUs: Por departamento o función

📊 Dimensionamiento

Límites Técnicos

ComponenteLímiteObjetos por dominio2.1 mil millonesDominios por bosqueSin límite teóricoUsuarios por grupo5,000 (recomendado)Anidamiento de grupos200 niveles

🔧 Mantenimiento y Troubleshooting

🛠️ Tareas de Mantenimiento

Monitoreo Regular

Estado de controladores de dominio
Replicación entre sitios
Uso de recursos del sistema
Logs de eventos de seguridad

Respaldos

System State: Configuración completa del DC
Active Directory: Base de datos NTDS.dit
SYSVOL: Políticas de grupo y scripts

🔍 Herramientas de Diagnóstico

cmd

# Comandos útiles para troubleshooting
dcdiag /v                    # Diagnóstico completo del DC
repadmin /showrepl          # Estado de replicación
nltest /dsgetdc:dominio     # Localizar controlador de dominio
gpupdate /force             # Forzar actualización de políticas

📚 Recursos Adicionales

📖 Documentación Oficial

Microsoft Docs: Active Directory Domain Services
TechNet: Group Policy Planning and Deployment
PowerShell Gallery: ActiveDirectory Module

🎓 Certificaciones Relacionadas

MCSA: Windows Server 2016
MCSE: Core Infrastructure
Azure AD: Hybrid Identity

🛡️ Herramientas de Terceros

ADManager Plus: Gestión y auditoría
Quest Change Auditor: Monitoreo de cambios
Netwrix Auditor: Auditoría de seguridad

⚡ Resumen Ejecutivo

Active Directory es la columna vertebral de la infraestructura IT empresarial, proporcionando:

✅ Gestión Centralizada de usuarios y recursos ✅ Seguridad Robusta con autenticación Kerberos ✅ Escalabilidad para organizaciones de cualquier tamaño ✅ Integración con servicios Microsoft y terceros ✅ Automatización mediante PowerShell y GPOs

Una implementación bien diseñada de AD es esencial para la seguridad, eficiencia y gobernanza de cualquier organización moderna.