Aprende Informatica Conmigo

Por Deja un comentario

Windows Server 2008 – Comprobar los miembros del grupo añadidos mediante GPOs

Este tutorial es simplemente para comprobar que se han aplicado las GPOs que hemos creado en los dos tutoriales anteriors y como se refleja esto en el equipo cliente.

Hay que tener en cuenta que las dos primeras imagenes estan capturadas despues de aplicar la GPO en la que añadiamos el grupo «soporte» como miembro del grupo local «administradores«.

Bueno, en un windows xp cliente abrimos «Administracion de equipos» y nos posicionamos en «Usuarios locales y grupos«.

Nos posicionamos en «Grupos» y hacemos doble-click sobre el grupo «Administradores«.

En la siguiente captura de pantalla observamos que se ha añadido correctamente el grupo «NEOINTEC\soporte«.

Tambien he señalado el grupo «NEOINTEC\Domain Admins«. Esto os lo explico enseguida.

Bien, en este momento es cuando hemos creado y aplicado la segunda GPO en la que incluiamos al grupo «informatica» del dominio, es decir, al grupo «NEOINTEC\informatica» dentro del grupo «administradores» de los equipos locales.

Al comprobar de nuevo en el equipo cliente las propiedades del grupo «administradores» vemos lo siguiente:

Si, se han aplicado las dos GPOs correctamente.

Pero observamos que ha desaparecido el grupo «NEOINTEC\domain admins». Esto es porque cuando configuramos por GPO los miembros de un grupo local, esto no es acumulativo. Esto quiere decir que solo apareceran aquellos que hayamos añadido.

Con el apartado «This group is a member of» ocurre lo contrario ya que si es acumulativo.

Bueno, este tema no es facil de asimilar osea que si teneis alguna duda, dejad un comentario en la entrada.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por 2 comentarios

Windows Server 2008 – Añadir miembros mediante GPO

En esta ocasion vamos a utilizar las politicas de grupo para añadir miembros a un grupo.

No es lo mismo que en el tutorial anterior en el que modificabamos el apartado de «Este grupo es miembro de…«.

Bueno, manos a la obra.

Creamos una nueva GPO porque no es aconsejable mezclar en una misma GPO los dos conceptos que hemos visto y estamos viendo.

Como nombre para esta GPO he seleccionado «miembros administradores local«.

Editamos la GPO.

Ahora, como en el tutorial anterior, desplegamos el arbol por «Computer Configuration –> Policies –> Windows Settings –> Security Settings –> Restricted Groups«.

Boton derecho con «Restricted Groups» seleccionado y pulsamos sobre «Add Group…«.

Escribimos «Administradores«.

Debemos tener en cuenta que nos referimos al grupo «administradores» locales de los equipos.

Pulsamos en el boton «Add…» del apartado «Members of this group:«.

Esbrimos «informatica» porque este es el grupo que queremos añadir al grupo local de administradores.

Ya lo ha añadido a la lista.

Comprobamos…

Ahora enlazamos la GPO al dominio «neointec.local«.

Seleccionamos la GPO.

Y ya esta.

Espero que os sirva este tutorial.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por 1 comentario

Windows Server 2008 – Modificar las propiedades de grupos con Dsmod

Sintaxis:

dsmod group «GroupDN» [opciones]

Podemos utilizar la utilidad de comandos Dsmod para añadir o moficar cualquier atributo o propiedad del grupo como por ejemplo sAMAccountName, desc, samid, etc…

Pero nosotros vamos a ver las dos que, creo, son mas interesantes.

  • -addmbr «MemberDN»  –>  Añadir miembros al grupo.

  • -rmmbr «MemberDN»   –>  Eliminar miembros del grupo.

Si queremos indicar varios «MemberDN«, dememos separarlos de un espacio.

Si recordamos, hace algún que otro tutorial, creamos el grupo «gtemp1» en el que incluímos como miembros a las cuentas de usuario «infor01» e «infor02«.

modatrgrudsmod-01

Pues vamos a utilizar este grupo para practicar con «Dsmod group«.

Para empezar, vamos a añadir 3 nuevos usuarios al grupo «gtemp1«. Los usuarios serán «infor03«, «admin02» y «ventas01«.

Esto puede que no tenga ningún sentido en un entorno real, pero es solo a modo de ejemplo.

Vamos allá:

dsmod group «CN=gtemp1,OU=grupos,DC=aic,DC=local» -addmbr «CN=infor03,OU=informatica,OU=usuarios,DC=aic,DC=local» «CN=admin02,OU=administracion,OU=usuarios,DC=aic,DC=local» «CN=ventas01,OU=ventas,OU=usuarios,DC=aic,DC=local»

modatrgrudsmod-02

Comprobamos en la pestaña «Members» de las propiedades del grupo «gtemp1» a ver si aparecen los usuarios que acabamos de incluir como miembros:

modatrgrudsmod-03

En efecto, ahí están.

Ahora vamos a intentar eliminar uno de los miembros que acabamos de añadir. Pero claro, utilizando el comando Dsmod.

Para ello, deicidimos que el usuario elegido para no formar parte del grupo «gtemp1» es «ventas01«, entonces:

dsmod group «CN=gtemp1,OU=grupos,DC=aic,DC=local» -rmmbr «CN=ventas01,OU=ventas,OU=usuarios,DC=aic,DC=local»

modatrgrudsmod-04

Comprobamos que ya el usuario «ventas01» ya no es miembro del grupo «gtemp1«:

modatrgrudsmod-05

Perfecto.

Excediéndonos un poco del contenido extricto de este tutorial vamos a ver las posibilidades que tenemos conjugando Dsmod junto con Dsget. Simplemente para que os hagáis una idéa de lo útiles que son estos comandos.

Vamos a incluir todos los miembros del grupo «compras» como miembros del grupo «gtemp1«.

Para ello primero reazaremos una consulta mediante en comando Dsget de los miembros del grupo «compras» y luego se lo pasamos con una tubería (pipe |) al comando Dsmod, el cual los añadirá al grupo «gtemp1«.

dsget gruop «CN=compras,OU=grupos,DC=aic,DC=local» -members | dsmod group «CN=gtemp1,OU=grupos,DC=aic,DC=local» -addmbr

modatrgrudsmod-06

Vale, comprobamos:

modatrgrudsmod-07

Ya se ve que si, que los dos usuarios que hay en el grupo «compras«, se han añadido como miembros del grupo «gtemp1«.

Podéis realizar pruebas con estos comandos y con los que veremos en los siguiente tutoriales.

Por ahora, esto es todo.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por Deja un comentario

Windows Server 2008 – Obtener informacion de grupos con Dsget

Dsget es un comando que nos permitirá obtener información de los objetos del Directorio Activo.

En este tutorial veremos cómo utlizarlo para obtener información de los grupos.

Para empezar, veamos la sistaxis de este comando:

dsget group «GroupDN» -members -memberof …  -expand

La opción «-members» nos mostrará los miembros que tiene el grupo.

La opción «-memberof» mostrará a qué grupos pertenece este grupo.

«-expand» expandirá la búsqueda en sub OUs.

El siguiente comando:

dsget group «CN=informatica,OU=grupos,DC=aic,DC=local» -members

Nos mostrará una lista con los mimbros de este grupo:

infgrdsget-01

Distinguimos las 7 cuentas de usuario que son miembros del grupo «informatica».

También podemos ejecutar el comando anterior sin el parámetro «-members», con lo que nos devolverá información relativa al grupo en si:

dsget group «CN=informatica,OU=grupos,DC=aic,DC=local»

infgrdsget-02

Otra posibilidad es que nos muestre los grupos a los que pertenece este grupo. Para ello especificamos el parámetro «-memberof»:

dsget group «CN=informatica,OU=grupos,DC=aic,DC=local» -memberof

infgrdsget-03

En la imagen anterior podemos ver que el grupo «informatica» es miembro del grupo «ACL_informatica_modificar«.

Ahora, como queremos seguir investigando, queremos conocer quienes son los miembros del grupo «ACL_informatica_modificar«, y para ello ejecutamos el siguiente comando:

dsget group «CN=ACL_informatica_modificar,OU=grupos,DC=aic,DC=local» -members

infgrdsget-04

Eso es, identificamos dos miembros del grupo «ACL_informatica_modicar«, que son: «informatica» y «direccion«.

Bueno, lo dejamos aquí, aunque no antes de decir que esta utilidad tiene mucho uso y, por supesto, la volveremos a utilizar pronto.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por Deja un comentario

Windows Server 2008 – Importar y exportar grupos con CSVDE

El comando CSVDE nos permite importar datos de un fichero con valores separados por comas, también conocidos como ficheros CSV.

Al igual que nos permite importar grupos, también nos permite exportarlos.

Hay que tener claro que el comando o utilidad CSVDE puede ser usado para crear objetos, no para modificarlos. Por lo tanto no podemos usarlo para importar miembros a grupos existentes.

Sintaxis:

csvde -i  -f -d «fichero» -k -r objectclass=tipodeobjeto

El parámetro -i indica que vamos a importar un fichero. Si no indicamos explicitamente este parámetro, CSVDE utilizará el parámetro por defecto, que es exportar.

El parámetro -f indica que a continuación estará el nombre del fichero.

-d nos permite indicar el DN de la ubicación de o en la que queremos inportar o exportar los grupos.

Mediante el parámetro «-r objectclass» introducimos el tipo de objeto que queremos exportar, en este caso «group«.

Por último, mediante el parámetro -k indicamos que siga adelante aunque exista algún error.

A continuación vamos a exportar todos los grupos de la Unidad Organizativa «grupos» a el fichero «c:\grupos.csv«.

csvde -d «OU=grupos,DC=aic,DC=local» -f «c:\grupos.csv» -r objectclass=»group»

iegrcsvde-01

Si abrimos el fichero c:\grupos.csv nos encontraremos algo parecido a esto:

iegrcsvde-02

En el fichero podemos observar los grupos que hemos exportado. Así en un primer vistazo hay demasiados caracteres juntos y no nos dice mucho, pero no os preocupeis.

Ahora le toca el turno a la importación de grupos con CSVDE, es decir, que vamos a utilizar el parámetro -i.

En este caso tendremos que tener, por supuesto, un fichero csv con información válida para grupos.

Nosotros crearemos un fichero «igrupos.csv» con el siguiente contenido:

objectClass,sAMAccountName,DN,member

group,gtemp1,»CN=gtemp1,OU=grupos,DC=aic,DC=local»,»CN=infor01,OU=informatica,OU=usuarios,DC=aic,DC=local;CN=infor02,OU=informatica,OU=usuarios,DC=aic,DC=local»
Si ejecutamos el comando siguiente:

csvde -i -f «c:\igrupos.csv»

El resultado es el siguiente:

iegrcsvde-04

Ahora comprobamos en «Active Directory Users and Computers» si efectivamente se ha creado el grupo «gtemp1«:

iegrcsvde-03

Efectivamente se ha creado.

Ah, si nos acordamos, en el fichero introdujimos también dos cuentas de usuarios para que sean miembros de este grupo que acabamos de crear. Lo comprobamos en las propiedades del grupo, en la pestaña «Members«:

iegrcsvde-05

Muy bien, todo ha salido perfecto. Tal y como nosotros queríamos.

Esto es todo sobre CSVDE para trabajar con grupos. Volveremos a retomar esta utilidad cuando trabajemos con equipos.

Pero todavía no hemos acabado con los grupos, osea que en el próximo tutorial seguiremos trabajando con ellos.

Saludos.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por Deja un comentario

Windows Server 2008 – Crear grupos con Dsadd

Hoy en día es impensable pensar en el mantenimiento de un dominio de cierta embergadura realizando todos las tareas «a mano».

Personalmente pienso que hay que automatizar las tareas todo lo que se pueda, para evitar el trabajo repetitivo que no aporta nada a los administradores o técnicos de sistemas.

Para ello, en cuanto a grupos tenemos varias opciones y una de ellas es utilizar los comandos «Ds…».

Para crear objetos disponemos del comamdo «Dsadd» que en este caso utilizaremos para crear grupos.

El comando tiene la forma:

dsadd group GroupDN [atributos]

Donde «group» es en nombre del grupo que vamos a crear y «GroupDN» es el DN del grupo. El DN de un grupo es de la forma: «CN=gruponuevo,OU=grupos,DC=aic,DC=local«.

A continuación expongo algunos de los atributos que podemos utilizar cuando utilidamos «dsadd group»:

  • -secgrp [yes | no] Especifica si es grupo es de seguridad (yes) o de distribución (no).
  • -scope [ l | g | u ] Especifica el ámbito del grupo: l para dominio local, g para global o u para universal.
  • -samid Nombre Especifica el sAMAccountName del grupo. Si no lo especificamos, el nombre del grupo será el especificado en el DN del grupo.
  • -desc descripción Establece la descripción del grupo
  • -members MemberDN Añade miembros al nuevo grupo. Los miembros se especifican mediante sus DNs y separados por espacios.
  • -memberof GroupDN Hace que el nuevo grupo que estamos creando sea miembro de uno o mas grupos existentes. Los grupos también se especifican mediante su DN y separados por espacios.

Ahora que ya tenemos una idea de cómo utilizar el comando «dsadd» para crear nuevos grupos desde la consola de comandos, vamos a realizar algún ejemplo.

Bien, parece que las empresas van bien y aunque todavía no nos hemos metido con el resto de empresas del holding, se ha decidido crear un nuevo departamento en «AIC«. El nuevo departamento se denominará «desarrollo» y se encarará de desarrollar aplicaciones corporativas, páginas webs y demás.

Por el momento va a constar de un solo miembro al que llamaremos, como no: «desarrollo01«.

En primer lugar, crearemos la Unidad Organizativa donde se alojarán las cuentas de usuario del departamento de desarrollo. Admemás también crearemos la OU en el apartado de equipos para el mismo fin.

dsadd ou «OU=desarrollo,OU=usuarios,DC=aic,DC=local» -desc «Unidad Organizativa para almacenar cuentas de usuario del departamento de desarrollo»

El comando anterior crea una nueva Unidad Organizativa llamada «desarrollo» dentro de la OU «usuarios» existente.

A continuación hacemos lo mismo para las cuentas de equipo, es decir, creamos una Unidad Organizativa llamada «desarrollo» dentro de la OU «equipos».

dsadd ou «OU=desarrollo,OU=equipos,DC=aic,DC=local» -desc «Unidad Organizativa para almacenar cuentas de equipo departamento de desarrollo»

crgrdsadd-01

Echamos un vistado a «Usuarios y Equipos de Active Directory«:

crgrdsadd-02

Vemos que ha creado las dos OUs correctamente.

Ahora nos toca crear la cuenta de usuario «desarrollo01» y ubicarla directamente dentro de la Unidad Organizativa «desarrollo» que se encuenta dentro de la OU «usuarios«.

Vamos allá:

dsadd user «CN=desarrollo01,OU=desarrollo,OU=usuarios,DC=aic,DC=local» -pwd * -mustchpwd no -samid desarrollo01

crgrdsadd-03

Si lo hemos hecho bien, comprobaremos que nos pide que introduzcamos la contraseña para el nuevo usuario. Esto se debe a que hemos indicado el parámetro -pwd con un asterisco (*).

Como siempre, comprobamos en «Usuarios y Equipos de Active Directory«:

crgrdsadd-04

De momento, esto funciona bien.

Ahora llegamos a la parte en la que crearemos dos grupos:

Un grupo global en el que incluiremos las cuentas de usuario correspondientes a los miembros del departamento desarrollo.

Otro grupo Local de Dominio que llamaremos «ACL_desarrollo_modificar» en el que incluiremos como miembros a los Grupos Globales de «direccion» y «desarrollo«.

Para crear el Grupo Global «desarrollo» introduciremos el siguiente comando:

dsadd group «CN=desarrollo,OU=grupos,DC=aic,DC=local» -samid desarrollo -secgrp yes -scope g -desc «Grupo Global de desarrollo» -members «CN=desarrollo01,OU=desarrollo,OU=usuarios,DC=aic,DC=local»

crgrdsadd-05

No hay mucho que decir, simplemente vamos a comprobar que lo ha hecho como nosotros queríamos:

crgrdsadd-06

De momento, el Grupo Global «desarrollo» lo ha creado.

Ahora vamos a ver las propiedades:

crgrdsadd-07

Muy bien, ahora vamos a mirar en la pestaña «Members» porque debería de estar el usuario «desarrollo01«:

crgrdsadd-08En efecto. Ahí está.

Pasamos a la creación del siguiente grupo, el grupo Local de Dominio «ACL_desarrollo_modificar» en el que incluiremos como miembros a los Grupos Globales «desarrollo» y «direccion«.

dsadd group «CN=ACL_desarrollo_modificar,OU=grupos,DC=aic,DC=local» -samid ACL_desarrollo_modificar -secgrp yes -scope l -desc «Grupo de Dominio Local para informacion sobre desarrollo» -members «CN=desarrollo,OU=grupos,DC=aic,DC=local» «CN=direccion,OU=grupos,DC=aic,DC=local»

crgrdsadd-09

Podemos observar, a parte de que el ámbito (-scope) hemos indicado Local, hemos indicado dos grupos como miembros de este nuevo grupo. Los hemos indicado mediante su DN y separados por un espacio.

Comprobamos que se ha creado el grupo:

crgrdsadd-10

Bien, ahora revisamos las propiedades del grupo para comprobar que las que le hemos indicado están correctas:

crgrdsadd-11

Parece que en esta pestaña está todo bien.

Pero vamos a ver en la pestaña «Members«. Tienen que estar los Grupos Globales «desarrollo» y «direccion«.

crgrdsadd-12

Todo perfecto.

Sin duda no es complicado, simplemente hay que tener en cuenta las posiblidades y la disposición de la sintaxis del comando dsadd para combinarla correctamente a nuestras necesidades.

Y por supuesto, algo de práctica.

Para terminar el tutorial, estaría bien crear el directorio «c:\documentos\desarrollo» para utilizarlo en tutoriales siguientes con el grupo «ACL_desarrollo_modificar».

crgrdsadd-13

Damos por finalizado este tutorial.

Nos vemos en el siguiente donde veremos otras formas de automatizar la creación de Grupos.

Hasta entonces.

—–

Oscar Abad

http://www.xulak.com – Consultoría informática

Por 13 comentarios

Windows Server 2008 – Añadir usuarios y equipos a los grupos

Ahora que ya tenemos creados los grupos podemos añadir objetos como miembros de los grupos.

Es este tutorial añadiremos usuarios y equipos a grupos.

Como es costumbre, nos logeamos en el servidor con una cuenta con permisos de administrador.

Abrimos nuestra ya famosa consola MMC personalizada.

Extendemos «Active Directory Users and Computers«.

Dentro del dominio «contoso.com«, seleccionamos la OU «administradores» y dentro de esta seleccionamos nuestro usuario con permisos administrativos. Te acuerda que la creamos en otro tutorial, ¿no?

Boton derecho –> propiedades.

Seleccionamos la pestaña «Member of» y pulsamos en el boton «Add«.

En el cuadro de dialogo «Select Groups» que se muesta a continuacion, escribimos «domain admins» y pulsamos en el boton «OK«.

A continuacion volvemos a pulsar el boton «Ok» para cerrar las propiedades de esta cuenta de usuario.

Lo que hemos hecho es añadir al usuario «oscar_admin» (cada uno el vuestro) al grupo de administradores del dominio. ¿lo veis?

Ahora seleccionamos el grupo «help desk» en la misma Unidad Organizativa y abrimos las propiedades de este grupo.

En el caso de los grupos de usuarios, ya sabremos que son contenedores de cuentas de usuario, ¿no? Ah! por si acaso.

Ahora lo que vamos a hacer es agregar al usuario «sara» a este grupo. Para ello, pulsamos en el boton «Add…«.

Vale, ahora escribimos el nombre del usuario a añadir, en este caso «sara» y pulsamos sobre el boton «Check Names«.

Os acordareis que creamos dos usuarios que se llaman Sara. Uno es Sara Garcia y el otro Sara Gomez. Puesto que el comienzo del nombre de usuario de los dos coincide con lo que hemos escrito, nos muestra las posibilidades que tenemos:

Hemos seleccionado el usuario «sara gomez» y pulsado en «OK«.

En el siguiente cuadro de dialogo ya nos muestra el usuario que hemos seleccionado. Pulsamos «Ok«.

Y ya lo tenemos añadido al grupo «help desk«.

«Ok» y listo.

Ahora seleccionamos el grupo «APP_office 2007» y abrimos sus propiedades.

Nos posicionamos en la pestaña «Members«.

Pulsamos el boton «Add…» para añadir un objeto.

En este caso, vamos a añadir una cuenta de equipo (sobremesa101).

Escribimos «sobremesa101» y pulsamos «Check Names«.

Como somos unos fenomenos, no hemos cambiado los tipos de objetos en los que centrara su busqueda y nos intenta buscar en «users, groups, or other objects«. Por eso el mensaje siguiente:

Pulsamos en «Cancel» para volver al cuadro de dialogo anterior.

Ahora si, pulsamos en el boton «Object Types…» para seleccionar los tipos de objetos.

En el cuadro de dialogo «Object Types» aseguraos de seleccionar la casilla correspondiente a «Computers«.

Pulsamos en «OK«.

Volvemos a pulsar en «Check Names«.

Ahora si que lo ha encontrado. Lo notamos en que ahora esta subrayado.

Pulsamos en «OK»

Vale, ya esta añadido al grupo «APP_office_2007«.

Pulsamos en «Ok» para guardarlos cambios efectuados y ya esta.

Facil, sencillo y para toda la familia.

Espero que os haya gustado.

A pasarlo bien!!

Otros articulos de esta serie:

—–
Oscar Abad
http://www.xulak.com – Consultoría informática