Errores de configuración comunes y su corrección

Delegar un permiso puntual —por ejemplo, que el equipo de soporte pueda resetear contraseñas de una unidad organizativa concreta mientras dura un proyecto— es una práctica legítima. El error no está en delegar: está en no retirar la delegación cuando el proyecto termina. Con los años, un dominio acumula decenas de delegaciones «temporales» que se volvieron permanentes porque nadie las revisó, y cada una es una vía de privilegio que ya no corresponde a ninguna necesidad vigente.

Cuando un grupo es miembro de otro grupo, y ese a su vez de un tercero, los privilegios se heredan en cadena sin que ninguna persona los haya concedido directamente. Es cómodo al crearlo —añadir un grupo entero a otro ahorra trabajo frente a añadir cuentas una por una— y es exactamente lo que hace que, años después, nadie sepa explicar por qué una cuenta de soporte técnico tiene, indirectamente, privilegios de administrador de un sistema crítico.

Un objeto de alto valor —una cuenta de administrador del dominio, un grupo crítico— puede quedar expuesto si hereda permisos de su unidad organizativa en lugar de tener su propia lista de control de acceso explícita y protegida. Si alguien amplía los permisos de la OU para otro propósito, sin saberlo también amplía los permisos sobre ese objeto crítico que vive dentro. La protección contra herencia no es una medida exótica: es la diferencia entre un objeto que depende de las decisiones de su contenedor y uno que controla sus propios permisos.

Una corrección que tumba el servicio que depende de la configuración no es una corrección aceptable para el cliente, por correcta que sea en el papel. Cambiar la contraseña de una cuenta de servicio sin coordinar con el equipo que la usa puede detener un sistema de producción; retirar una delegación sin avisar puede bloquear a quien la necesita legítimamente hoy. El informe de remediación incluye el orden y la coordinación necesaria, no solo el «qué» corregir.

Un informe de hallazgos de red interna no lista los errores sueltos: los prioriza según cuál cierra el camino de privilegio más corto hacia el activo crítico del alcance. Abre el laboratorio y lee la priorización final del informe de Cuenca Minerales.