Objetos, grupos y unidades organizativas

Un dominio guarda objetos: usuarios, equipos, grupos, impresoras. Cada objeto vive en un contenedor, y el contenedor que el administrador controla es la unidad organizativa (OU). Una OU sirve para ordenar y, sobre todo, para dos cosas: aplicar directivas de grupo a lo que contiene y delegar su administración a alguien concreto. Un objeto está en una sola OU a la vez.

Un grupo es otra cosa: reúne cuentas (y otros grupos) para darles permisos de golpe. Una cuenta puede pertenecer a muchos grupos y el grupo no es un lugar donde «vive» el objeto. La confusión entre ambos es una fuente clásica de errores: se mete una cuenta en una OU esperando darle permisos, o se espera que un grupo reciba una directiva de equipo.

Abre la carpeta de la revisión y mira cómo está organizado el dominio.

ls dominio
cat dominio/arbol-de-unidades.txt

Dónde está un objeto decide qué directivas recibe. Un portátil que se creó a mano, o que se movió por error, puede terminar en una unidad pensada para otro tipo de equipo: no le llegan las reglas de las estaciones y sí las de aquel. En una revisión se busca el objeto fuera de lugar comparando lo que el equipo es con la unidad donde está.

Lee la lista de equipos. Fíjate en la columna de unidad y en la descripción.

cat dominio/equipos.csv

Dar permisos a cada persona una por una no escala ni se puede revisar. Una práctica muy extendida para organizar permisos es anidar los grupos por ámbito: las cuentas van a grupos globales por función (por ejemplo, quienes aprueban pagos), esos grupos van a grupos de dominio local que representan un permiso sobre un recurso, y el permiso se concede al grupo de dominio local. Se abrevia AGDLP. Así, retirar un acceso es sacar a alguien de un grupo, no recorrer carpetas.

En grupos.txt hay grupos globales, de dominio local y una lista de correo. Una lista de distribución no es un grupo de seguridad: sirve para enviar correo y no concede permisos.

cat dominio/grupos.txt

El grupo Domain Admins tiene control total del dominio. Cuantos más miembros directos tiene, más cuentas cuyo robo equivale a perder el dominio. Un inventario sano lo lleva a la mínima expresión y sin cuentas de uso diario. La exportación muestra los miembros directos: un grupo anidado cuenta como una entrada, aunque dentro tenga más gente.

cat dominio/miembros-domain-admins.txt

Cuenta las entradas de la lista (usuarios y grupos).

Una cuenta de administración tiene una sola función y no se usa para leer correo ni navegar. La persona que administra el dominio tiene dos cuentas: la suya normal y otra de administración. Cuando una cuenta de uso diario está dentro de Domain Admins, cada correo con un enlace malicioso que esa persona abra apunta al dominio completo.

Cruza la lista de miembros de Domain Admins con la lista de usuarios y busca la cuenta que pertenece a una unidad de usuarios comunes en lugar de la unidad de administración.

cat dominio/usuarios.csv