RA3 de Sistemas Operativos en Red · SMR

Contenido verificado asociado a este RA

Conceptos clave

Errores que conviene evitar

• {"error":"Confundir un dominio de directorio con un dominio DNS.","causa":"Ambos utilizan la palabra 'dominio' y a menudo comparten el mismo nombre (ej. empresa.com), pero tienen funciones distintas. DNS resuelve nombres a direcciones IP; el dominio de directorio gestiona identidades y recursos.","correccion":"Entender que el dominio DNS es un servicio de resolución de nombres fundamental para que los clientes encuentren los controladores de dominio, pero el dominio de directorio es la estructura lógica que contiene los objetos y aplica las políticas."}
• {"error":"No comprender la jerarquía de objetos y la importancia del esquema.","causa":"Ver los objetos como elementos planos sin relación, o intentar crear atributos que no están definidos.","correccion":"Visualizar el directorio como un árbol jerárquico donde los objetos se organizan lógicamente y entender que el esquema es la 'regla' que define qué se puede almacenar y cómo, siendo fundamental para la consistencia y extensibilidad del directorio."}
• {"error":"No configurar correctamente el DNS durante la instalación del servicio de directorio.","causa":"El servicio de directorio depende críticamente de DNS para que los clientes encuentren los controladores de dominio. Si el DNS no está configurado para resolver los registros SRV del dominio, los clientes no podrán unirse al dominio ni autenticarse.","correccion":"Asegurarse de que el servidor DNS configurado en el controlador de dominio pueda resolver los registros SRV del propio dominio. En Windows, esto a menudo implica instalar el rol DNS junto con AD DS y configurarlo para que se integre con Active Directory."}
• {"error":"Utilizar un nombre de dominio interno que ya existe públicamente.","causa":"Esto puede causar conflictos de resolución de nombres y problemas de acceso a recursos externos si el dominio interno no está correctamente aislado o si se intenta acceder a recursos con el mismo nombre en internet.","correccion":"Usar un subdominio de un dominio público que se posea (ej. `ad.miempresa.com`) o un dominio con un TLD no enrutado como `.local` o `.lan` para entornos puramente internos, asegurando que no haya colisiones con nombres públicos."}
• {"error":"No entender la direccionalidad y transitividad de las confianzas.","causa":"Asumir que una confianza unidireccional permite acceso en ambas direcciones o que una confianza no transitiva se extiende a otros dominios.","correccion":"Visualizar la confianza como un 'permiso de autenticación'. Si el Dominio A confía en B, los usuarios de B pueden autenticarse en A. Si es transitiva, esta capacidad se extiende a otros dominios en la cadena. Siempre verificar la direccionalidad y transitividad al configurar para evitar problemas de acceso."}
• {"error":"Problemas de resolución de nombres al establecer confianzas.","causa":"Los controladores de dominio de ambos lados de la confianza deben poder resolver los nombres DNS del otro dominio para establecer y mantener la relación.","correccion":"Asegurarse de que los servidores DNS de cada dominio tengan registros de reenvío (forwarders) o zonas secundarias configuradas para resolver los nombres del otro dominio. Un `ping` o `nslookup` exitoso entre los controladores de dominio es un buen indicador."}
• {"error":"Aplicar GPOs directamente al dominio en lugar de a OUs específicas.","causa":"Las GPOs aplicadas al dominio afectan a todos los objetos del dominio, lo que puede llevar a configuraciones no deseadas o conflictos si no se gestionan con cuidado. Dificulta la granularidad y la delegación.","correccion":"Utilizar OUs para estructurar el directorio y vincular las GPOs a las OUs más específicas posibles. Esto permite una aplicación más precisa de las políticas y facilita la delegación de administración sin afectar a todo el dominio."}
• {"error":"No utilizar grupos de seguridad para asignar permisos, sino usuarios individuales.","causa":"Gestionar permisos para cada usuario individualmente es ineficiente, propenso a errores y difícil de auditar, especialmente en entornos grandes o con alta rotación de personal.","correccion":"Adoptar el principio 'AGDLP' (Accounts, Global groups, Domain Local groups, Permissions) o 'AGP' (Accounts, Global groups, Permissions) para organizar los permisos. Los usuarios (Accounts) son miembros de grupos globales (Global groups), que a su vez son miembros de grupos de dominio local (Domain Local groups), a los que se asignan los permisos (Permissions) sobre los recursos. Esto simplifica enormemente la gestión de accesos."}

Qué se evalúa en este RA