Usuarios, grupos, OU y GPO · Active Directory en 40 minutos

Abra la consola de Usuarios y equipos de Active Directory en cualquier empresa y verá cientos de objetos acomodados con cuatro conceptos: usuarios, grupos, unidades organizativas y directivas de grupo.

Usuarios y cuentas de equipo

Cada persona tiene una cuenta de usuario con un nombre de inicio de sesión, por ejemplo mrojas, y atributos como departamento, cargo o fecha del último inicio de sesión. Cada computadora unida al dominio tiene también su cuenta de equipo, porque se autentica ante el DC igual que una persona.

Luego están las cuentas de servicio, que usan programas como una base de datos o el sistema de respaldos. Son las que más problemas dan: muchos permisos "para que funcione" y contraseñas que nadie cambia desde que se instaló el servidor.

Ficha de Get-ADUser

Nombre: Get (obtener) + ADUser (usuario de AD).
Qué hace: lee cuentas de usuario y sus atributos. Solo consulta, no cambia nada.
Dónde existe: en el módulo ActiveDirectory de RSAT (Remote Server Administration Tools), presente en el DC o en un equipo de administración.

Get-ADUser -Identity USUARIO [-Properties ATRIBUTO,...]
Get-ADUser -Filter FILTRO [-SearchBase RUTA_OU] [-Properties ATRIBUTO,...]

Parámetro	Qué hace	Ejemplo
`-Identity`	Busca una cuenta concreta	`Get-ADUser -Identity mrojas`
`-Filter`	Busca varias cuentas con una condición; `*` trae todas	`Get-ADUser -Filter "Enabled -eq 'False'"`
`-Properties`	Agrega atributos que no salen por defecto	`-Properties LastLogonDate, Description`
`-SearchBase`	Limita la búsqueda a una OU	`-SearchBase "OU=Usuarios,DC=corp,DC=ejemplo,DC=cr"`

PS C:\> Get-ADUser -Identity mrojas -Properties Department
Department        : Ventas
DistinguishedName : CN=Marta Rojas,OU=Usuarios,OU=San Jose,OU=Sedes,DC=corp,DC=ejemplo,DC=cr
Enabled           : True
Name              : Marta Rojas
SamAccountName    : mrojas
UserPrincipalName : [email protected]

Errores frecuentes:

Get-ADUser : Cannot find an object with identity: 'mrojass' under: 'DC=corp,DC=ejemplo,DC=cr'.

La cuenta no existe con ese nombre: revise la ortografía o busque con -Filter "Name -like 'Marta*'". Si en cambio ve The term 'Get-ADUser' is not recognized, falta el módulo RSAT de Active Directory.

Grupos

Dar permisos persona por persona no aguanta cien empleados. Por eso se crean grupos, como Contabilidad o Soporte-TI, y los permisos se dan al grupo. Si alguien cambia de puesto, se mueve de grupo y sus permisos cambian solos.

Hay grupos que conviene reconocer a primera vista, porque deberían tener muy pocos miembros:

Domain Admins: administran todo el dominio.
Enterprise Admins: administran todos los dominios de la organización.
Administrators del DC: control total del controlador.

Unidades organizativas

Una unidad organizativa, u OU, es una carpeta para ordenar objetos. La empresa ficticia Cafetalera Ejemplo podría tener esta estructura:

corp.ejemplo.cr
├── OU=Sedes
│   ├── OU=San Jose
│   │   ├── OU=Usuarios
│   │   └── OU=Equipos
│   └── OU=Cartago
├── OU=Servidores
└── OU=Cuentas de servicio

La confusión más común entre principiantes es tratar una OU como si fuera un grupo. Un grupo sirve para dar permisos; una OU sirve para ordenar y aplicar políticas.

Directivas de grupo

Una GPO, o directiva de grupo, es un paquete de configuraciones que se vincula a una OU: bloquear la pantalla tras 10 minutos, exigir contraseñas de 14 caracteres, desactivar macros de Office. Si se vincula a OU=Equipos, todas las computadoras de esa OU la reciben en el siguiente refresco de políticas.

Con una GPO se endurecen cientos de equipos en una tarde. Por la misma razón, quien pueda editar una GPO puede ejecutar cambios en todos los equipos donde esté vinculada, y los atacantes lo saben.