Grupos, ámbitos y relaciones de confianza en dominios Windows

Resumen

Apuntes sobre la gestión de permisos en dominios Windows. Se explican los tipos de grupos (seguridad y distribución), sus ámbitos (global, local y universal), las relaciones de confianza entre dominios y los recursos compartidos especiales del sistema como ADMIN$, IPC$, NETLOGON o SYSVOL.

Puntos clave

Los grupos de seguridad sirven para simplificar la gestión de permisos sobre recursos; los de distribución se usan para instalar software o parches desde el controlador de dominio.
El ámbito global se gestiona en el dominio donde se crea, pero sus permisos son válidos en cualquier dominio.
El ámbito local se gestiona en cualquier dominio, pero sus permisos solo afectan a recursos del dominio en que se creó.
Las relaciones de confianza pueden ser implícitas o explícitas, y unidireccionales o bidireccionales.
La transitividad hace que si A confía en B y B en C, A confía automáticamente en C.
ADMIN$ se usa en la administración remota, IPC$ en la comunicación entre procesos y NETLOGON para el inicio de sesión.
SYSVOL contiene el catálogo global de las bases de datos de los controladores de dominio del AD.

Ponte a prueba

En la administración de dominios Windows, la gestión de permisos y el control de acceso a los recursos son fundamentales. Los grupos, los ámbitos de grupo y las relaciones de confianza juegan un papel crucial en este proceso.

Tipos de Grupos

Grupos de seguridad: Se utilizan para simplificar la gestión de permisos sobre los recursos del sistema.
Grupos de distribución: Se utilizan cuando en la infraestructura se quiere instalar software, antivirus, parches de seguridad, etc., desde el controlador de dominio.

Ámbito del Grupo

El ámbito del grupo determina la visibilidad del mismo dentro del dominio, así como las características que puede conceder a los objetos que contiene:

Global: Se gestiona solo en el dominio donde está dado de alta el grupo, pero sus permisos tienen validez en cualquier dominio.
Local: Se gestiona en cualquier dominio, pero sus permisos solo afectan a los recursos del dominio en el que se crea el grupo.
Universal: En servidores en modo nativo 2000 o 2003.

Relaciones de Confianza

Las relaciones de confianza permiten a los usuarios de un dominio acceder a los recursos de otro dominio. Se definen por:

Método de creación: Se crean de forma automática (implícita) o de forma manual (explícita).
Dirección: Algunas son unidireccionales y otras bidireccionales.
- Unidireccionales: Los usuarios del dominio A (de confianza) pueden utilizar los recursos del dominio B (que confía), pero no al revés.
- Bidireccionales: Las dos acciones son posibles.
Transitividad: Aquella que permite que si un dominio A confía en otro B y este en C, de forma automática A confía en C.

Relaciones entre Dominios

Relaciones entre dominios sin confianza.
Confianza unidireccional.
Relaciones de confianza bidireccionales.

Recursos Compartidos Especiales

Windows define algunos recursos compartidos con propósitos específicos:

ADMIN$: Lo utiliza el sistema durante la administración remota del equipo.
IPC$: Se usa para la comunicación entre procesos y programas, de forma que permite al equipo cliente enviar diferentes comandos al servidor.
NETLOGON: Para el inicio de sesión.
PRINT$: Lista de controles o drivers de impresoras que se pueden distribuir a los clientes del dominio cuando en ellos se instala una impresora que está compartida en el controlador de dominio.
FAX$: Similar al anterior, pero para fax.
unidad_logica_$: Para poder acceder en modo remoto al recurso en cuestión, que al llevar el signo del $ no es visible para ningún equipo de red.
SYSVOL: Contiene el catálogo global de las bases de datos de los controladores de dominio del AD.

Preguntas frecuentes

¿Qué diferencia hay entre un grupo global y un grupo local en Windows?

El grupo global se gestiona en el dominio donde está dado de alta, pero sus permisos tienen validez en cualquier dominio. El grupo local se gestiona en cualquier dominio, pero sus permisos solo afectan a los recursos del dominio en el que se creó.

¿Qué es una relación de confianza unidireccional?

Es aquella en la que los usuarios del dominio de confianza pueden utilizar los recursos del dominio que confía, pero no al revés.

¿Para qué sirve el recurso compartido SYSVOL?

Contiene el catálogo global de las bases de datos de los controladores de dominio del Active Directory.