En este post vamos a ver como publicar aplicaciones a través de GPO, para que los usuarios de nuestro dominio se puedan instalar las aplicaciones que tengamos aprobadas.

• Lo primero que vamos a realizar es copiar en un recurso compartido de nuestro servidor de ficheros con permisos de lectura para todos los usuarios del dominio, las aplicaciones con formato msi que hemos aprobado para publicarlas y que los usuarios se van a poder instalar:

• Ahora desde la consola de Administración de directivas de grupo en cualquiera de nuestros Controladores de dominio, nos vamos a crear una nueva GPO:

• Le indicamos un nombre y aceptamos:

• Como podemos ver ya la tenemos creada:

• Ahora pasamos a editarla:

• Realizaremos las configuraciones a nivel de usuarios, para ello, accedemos a Configuración de usuario > Directivas > Configuración de software > Instalación de software damos un clic derecho de ratón sobre la ventana de Instalación de software y Nuevo > Paquete:

• Accedemos a la ruta del recurso compartido del servidor de ficheros dónde tenemos las aplicaciones, las seleccionamos y abrimos:

• Como lo que queremos es publicar las aplicaciones para que los usuarios se las instalen cuando quieran, seleccionamos Publicada y aceptamos, lo tenemos que hacer dos veces ya que hemos seleccionado dos aplicaciones:

• Como podemos ver ya tenemos nuestra GPO preparada para publicar las aplicaciones:

• Ahora la vinculamos sobre la Unidad Organizativa que nos interese, en este caso, la hemos vinculado sobre la OU RAGASYS:

• Aquí la tenemos ya vinculada:

• Ahora sobre cualquier equipo que tengamos unido a nuestro dominio y con una sesión iniciada con un usuario del dominio, con el comando gpupdate /force vamos a forzar a que se actualicen las directivas de grupo:

• Con el comando gpresult /r vemos si se están aplicando correctamente:

• Si hacemos un rsop podemos ver que la GPO está funcionando correctamente:

• Para terminar, vamos a mostrar desde dónde el usuario puede ver las aplicaciones que tenemos publicadas para poder instalarlas, para ello, accedemos al Panel de control > Programas y características > Instalar un programa desde la red:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cuál es el serial key de nuestro Windows accediendo al registro del sistema.

• Sobre inicio > ejecutar tecleamos regedit:

• Se nos abre el registro de Windows, y nos situamos sobre la ruta Equipo\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\SoftwareProtectionPlatform, y sobre la clave BackupProductKeyDefault tenemos el License key de nuestro sistema:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar filtros WMI (Windows Management Instrumentation) para distinguir entre las distintas versiones y arquitecturas de sistemas operativos Windows y poder aplicar estos filtros a nuestras GPOs.

• Para ello, desde la consola “Administración de directivas de grupo” de nuestro Active Directory, nos iremos configurando los distintos filtros WMI según versión y arquitectura de los sistemas operativos Windows:

• Empezaremos configurando los filtros WMI para Windows 7, tanto para arquitecturas de 32 bits como de 64 bits, introducimos la siguiente consulta en el filtro, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»1″:

• Windows 7 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»1″ AND NOT OSArchitecture = «64-bit»:

• Windows 7 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»1″ AND OSArchitecture = «64-bit»:

• Windows 8, tanto para arquitecturas de 32 bits como de 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»1″:

• Windows 8 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»1″ AND NOT OSArchitecture = «64-bit»:

• Windows 8 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»1″ AND OSArchitecture = «64-bit»:

• Windows 8.1, tanto para arquitecturas de 32 bits como de 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»1″:

• Windows 8.1 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»1″ AND NOT OSArchitecture = «64-bit»:

• Windows 8.1 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»1″ AND OSArchitecture = «64-bit»:

• Windows 10 1709, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1709 AND ProductType =»1″:

• Windows 10 1803, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1803 AND ProductType =»1″:

• Windows 10 1809, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1809 AND ProductType =»1″:

• Windows Server 2008 – DC, tanto para arquitecturas de 32 bits como de 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»2″:

• Windows Server 2008 – DC 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»2″ AND NOT OSArchitecture = «64-bit»:

• Windows Server 2008 – DC 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»2″ AND OSArchitecture = «64-bit»:

• Windows Server 2008 – NODC, tanto para arquitecturas de 32 bits como de 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»3″:

• Windows Server 2008 – NODC 32 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»3″ AND NOT OSArchitecture = «64-bit»:

• Windows Server 2008 – NODC 64 bits, select * from Win32_OperatingSystem WHERE Version like «6.0%» AND ProductType=»3″ AND OSArchitecture = «64-bit»:

• Windows Server 2008 R2 – DC, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»2″:

• Windows Server 2008 R2 – NODC, select * from Win32_OperatingSystem WHERE Version like «6.1%» AND ProductType=»3″:

• Windows Server 2012 – DC, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»2″:

• Windows Server 2012 – NODC, select * from Win32_OperatingSystem WHERE Version like «6.2%» AND ProductType=»3″:

• Windows Server 2012 R2 – DC, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»2″:

• Windows Server 2012 R2 – NODC, select * from Win32_OperatingSystem WHERE Version like «6.3%» AND ProductType=»3″:

• Windows Server 2016 1607 – DC, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1607 AND ProductType =»2″:

• Windows Server 2016 1607 – NODC, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1607 AND ProductType =»3″:

• Windows Server 2019 1809 – DC, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1809 AND ProductType =»2″:

• Windows Server 2019 1809 – NODC, select BuildNumber, ProductType from Win32_OperatingSystem where BuildNumber <= 1809 AND ProductType =»3″:

• Windows 10 todas las ediciones, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 1:

• Windows 10 32 bits, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 1 AND OSArchitecture = «32-bit»:

• Windows 10 64 bits, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 1 AND OSArchitecture = «64-bit»:

• Windows 11, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 1 AND BuildNumber >= «22000»:

• Windows Server 2019 todas las ediciones – Servidores, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 3 AND BuildNumber = «17763»:

• Windows Server 2019 todas las ediciones – Controladores de dominio, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 2 AND BuildNumber = «17763»:

• Windows Server 2022 todas las ediciones – Servidores, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 3 AND BuildNumber = «20348»:

• Windows Server 2022 todas las ediciones – Controladores de dominio, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 2 AND BuildNumber = «20348»:

• Windows Server 2025 todas las ediciones – Servidores, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 3 AND BuildNumber = «26100»:

• Windows Server 2025 todas las ediciones – Controladores de dominio, SELECT * FROM Win32_OperatingSystem WHERE Version LIKE «10.%» AND ProductType = 2 AND BuildNumber = «26100»:

• Como podemos ver ya tenemos nuestros filtros WMI configurados:

• Ahora, ¿Cómo aplicamos los filtros WMI?, lo vemos mejor con un ejemplo, supongamos que tenemos la siguiente GPO llamada “Instalación Antivirus”, y queremos desplegar el software antivirus en los equipos con Windows 10 versión 1809, tanto para arquitecturas de 32 bits como de 64 bits, para ello, simplemente le aplicamos el filtro WMI desde el ámbito de la GPO:

• ProductType 1 = Desktop OS
• ProductType 2 = SERVER OS – Domain Controllers
• ProductType 3 = SERVER OS – NO Domain Controllers

Fuente: Curso Instalación y Configuración Windows Sever 2016 impartido por Jair Gómez

En este post vamos a ver como configurar la página de inicio en Internet Explorer, Google Chrome y Mozilla Firefox a través de una GPO configurada en nuestro Active Directory.

• Empezaremos configurando la GPO para la página de inicio de Internet Explorer, para ello, desde el Administrador del servidor nos abrimos “Administración de directivas de grupo”:

• Nos creamos una nueva GPO:

• Le damos un nombre:

• Editamos la nueva GPO:

• Accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas > Componentes de Windows > Internet Explorer” y configuramos la opción “Deshabilitar el cambio de configuración de la página principal”:

• Introducimos la página de inicio sobre la configuración de la GPO:

• Con esto ya tendríamos configurado la página de inicio de Internet Explorer, ahora vamos a configurar la página de inicio de Google Chrome, para ello, lo primero que haremos será descargarnos la plantilla adm para Google Chrome, Policy_Template_GChrome, una vez descargada, la descomprimimos:

• Ahora sobre la GPO que creamos anteriormente “Conf_IE_Chrome_Firefox” accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas” y agregamos la plantilla adm para Google Chrome:

• Como podemos ver ya la tenemos agregada:

• Ahora vamos a configurar las páginas de inicio para Google Chrome, para ello, accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas > Plantillas administrativas clásicas (ADM) > Google > Google Chrome > Páginas de inicio” y configuramos las políticas “Acción al iniciar y URL que se deben abrir al inicio”:

• Para la primera política “Acción al iniciar” la habilitamos y configuramos que abra una lista de URLs:

• Para la segunda política “URL que se deben abrir al inicio” la habilitamos y configuramos la página de inicio o páginas de inicio que queremos en nuestro sistema:

• Como podemos ver ya tenemos estas dos opciones de política sobre Google Chrome habilitada:

• Ahora vamos a configurar la página de inicio para Google Chrome, para ello, accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas > Plantillas administrativas clásicas (ADM) > Google > Google Chrome > Página de inicio” y configuramos las políticas “Configurar la URL de la página principal y Utilizar página nueva pestaña como página principal”:

• Para la primera política “Configurar la URL de la página principal” la habilitamos y configuramos la URL:

• Para la segunda política “Utilizar página nueva pestaña como página principal” la deshabilitamos:

• Como podemos ver ya tenemos estas dos opciones de política sobre Google Chrome configuradas:

• Con esto ya tendríamos configurado la página de inicio de Google Chrome, ahora vamos a configurar la página de inicio de Mozilla Firefox, para ello, lo primero que haremos será descargarnos la plantilla adm para Mozilla Firefox, Policy_Template_Firefox, una vez descargada, la descomprimimos:

• Ahora sobre la GPO que creamos anteriormente “Conf_IE_Chrome_Firefox” accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas” y agregamos las plantillas adm para Mozilla Firefox:

• Como podemos ver ya las tenemos agregadas:

• Ahora vamos a configurar la página de inicio para Mozilla Firefox, para ello, accedemos a la ruta “Configuración del equipo > Directivas > Plantillas administrativas > Plantillas administrativas clásicas (ADM) > Mozilla Firefox > General” y configuramos la opción “Homepage”:

• La habilitamos y configuramos la página de inicio:

• Como podemos ver ya la tenemos habilitada:

• Ahora vamos a configurar la página de inicio para Mozilla Firefox, para ello, accedemos a la ruta “Configuración de usuario > Directivas > Plantillas administrativas > Plantillas administrativas clásicas (ADM) > Mozilla Firefox Default Settings” y configuramos la política “General Settings”:

• La habilitamos y configuramos la página de inicio:

• Como podemos ver ya la tenemos habilitada:

• Ahora vamos a introducir en la GPO el script de inicio de seseión “firefox_login.vbs” que se encuentra en el archivo que nos hemos descargado anteriormente:

• Para ello accedemos a la ruta “Configuración de usuario > Directivas > Configuración de Windows > Scripts” y editamos “Iniciar sesión”:

• Si clicamos sobre “Mostrar archivos…” se nos abrirá la ruta dónde se encuentran los scripts que tiene configurados esta GPO (Config_IE_Chrome_Firefox), pues aquí copiamos el script “firefox_login.vbs”:

• Ahora lo agregamos como script de inicio de sesión:

• Así nos quedaría configurada nuestra GPO “Config_IE_Chrome_Firefox” para poner la página de inicio que nos interese a los equipos de nuestra infraestructura con estos tres navegadores, Internet Explorer, Google Chrome y Mozilla Firefox:

• Una vez que ya tenemos la GPO “Conf_IE_Chrome_Firefox” preparada y configurada, la vinculamos sobre la raíz de nuestro dominio:

• Como podemos ver ya está vinculada sobre el dominio, y el orden de vínculo, la hemos ubicado en el tercer lugar:

• Ahora en cualquiera de los equipos de nuestro dominio, iniciamos sesión y verificamos la página de inicio de los tres navegadores:

• Podemos verificar que las GPOs se están aplicando correctamente abriéndonos un PowerShell y ejecutando el comando “gpresult /r”:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo realizar un sysprep a los sistemas Windows.

Sysprep es una herramienta para preparar despliegues de máquinas Windows y que tiene bastante uso en entornos virtualizados, dónde preparamos una plantilla del sistema a partir de la cuál desplegaremos nuestras máquinas virtuales Windows, también tiene bastante uso en su despliegue para máquinas de escritorio, dónde preparamos una imagen maestra a partir de la cuál se instalaran todos los equipos de los usuarios.

¿Porqué es una buena práctica realizar un sysprep a nuestras plantillas para máquinas virtuales y a las imágenes de los equipos de escritorio?

La principal razón para realizar este sysprep es, porque a cada nueva máquina desplegada a partir de una plantilla o imagen con sysprep se le va a asignar un nuevo SID (Secure Identifier), este SID es asignado al equipo durante el proceso de instalación del sistema operativo y debe ser un identificador único para cada equipo, este SID es muy importante sobre todo en entornos de Active Directory, ya que si clonamos todas las máquinas a partir de una plantilla o máquina sin el sysprep realizado, nuestro Active Directory no va a distinguir entre las distintas máquinas ya que el SID es el mismo para todos los equipos, podemos tener problemas por ejemplo, al añadir un equipo al dominio, ya que el sistema nos va a indicar que ese equipo ya se ha unido, podemos tener problemas si tenemos implementado un servidor WSUS en nuestra infraestructura, ya que en la consola de administración de WSUS sólo va a reconocer un equipo, es decir, de todos los que tengan el mismo SID, sólo va a mostrar el último equipo que haya solicitado descargar actualizaciones, estos son algunos de los casos que yo me he encontrado, pero seguramente que con el paso del tiempo podemos ver cosas raras en nuestros sistemas si no realizamos un sysprep como es debido.

Estos son los cambios que nos realiza un sysprep con el check de “Generalizar” marcado:

• Cambio del nombre del equipo
• Eliminación de los puntos de restauración
• Eliminación de los registros del visor de eventos
• Eliminación de la licencia y activación de Windows
• Eliminación de las configuraciones TCP/IP de la Interface de red

– Fuente: Libro Win10IT del gran Xavier Genestós, muy recomendada su lectura

Muchas gracias Xavier por tus magníficos libros, que tanto nos ayudan en nuestro día a día.

Ahora vamos a ver dos casos para aplicar sysprep:

• En el primer caso, vamos a suponer que hemos clonado una máquina virtual a partir de otra máquina, con lo cuál, estas dos máquinas van a tener el mismo SID, en este caso, sobre la máquina clonada nos abrimos un sysprep desde la ubicación “C:\Windows\System32\Sysprep” y ejecutamos un “sysprep.exe” con el check “Generalizar” marcado:

• Como podemos ver comienza a realizar el sysprep:

• Nuestra máquina se reinicia:

• Una vez reiniciada podemos ver que se ha aplicado el sysprep, ya que el sistema nos hará una serie de preguntas sobre las configuraciones:

• Iniciamos sesión con las credenciales que hemos configurado:

• Y ya tendremos un sistema completamente limpio con un SID nuevo y único para esta máquina.

• En el segundo caso, vamos a suponer que queremos utilizar una plantilla maestra para desplegar nuestras máquinas virtuales Windows, para ello, sobre la máquina virtual que posteriormente vamos a convertir en plantilla vamos a ejecutar el siguiente comando cmd, primero nos ubicamos sobre el path “C:\Windows\System32\Sysprep” y ejecutamos “sysprep /generalize /oobe /mode:vm /shutdown”, vamos a explicar un poco el comando:
• sysprep, para lanzar el ejecutable de la preparación del sistema.
• /generalize, para realizar un reset del SID.
• /oobe, para iniciar la configuración rápida del sistema.
• /mode:vm, este parámetro sólo lo vamos a utilizar si se trata de máquinas virtuales ya que el proceso de sysprep no va a eliminar la información de hardware, siendo el proceso más rápido, este parámetro lo podemos utilizar tanto en hipervisores Hyper-V como en VMware.
• /shutdown, para apagar la máquina virtual y poder así entonces convertirla a plantilla.

• Como podemos ver comienza a realizar el sysprep:

• Nuestra máquina virtual se va a apagar:

• Una vez apagada ya la podemos convertir a plantilla en nuestro entorno de virtualización.
• Ahora todas las máquinas que despleguemos a partir de esta plantilla van a tener un sysprep realizado como es debido y como se debe hacer en toda infraestructura que quiera ser profesional.

Saludos y espero que os sea de ayuda

Anteriormente vimos como instalar y configurar el backup con Veeam Agent 2.2 for Microsoft Windows en un equipo con Windows Server, en este procedimiento veremos cómo restaurar el equipo completo en caso de desastre.

• Vamos a suponer que el sistema operativo de nuestra máquina física ha quedado completamente corrupto y no podemos iniciar nuestro servidor, entonces, lo primero que tenemos que hacer es configurar en la BIOS del equipo que arranque desde CDROM, e introducir en la unidad de CD la Imagen ISO Veeam_Recovery_Media perteneciente a esta máquina, esta imagen ISO la creamos en los procesos de configuración de los agentes de Veeam:

• Una vez que tenemos la ISO preparada, iniciamos el servidor que queremos recuperar desde la unidad dónde tengamos el Veeam Recovery Media y nos aparece este menú de opciones, nosotros vamos a elegir “Bare Metal Recovery”:

• Se nos abrirá el siguiente asistente, y en esta primera opción de “Backup Location” elegiremos una ubicación de red:

• Nos pregunta si queremos configurar una conexión a red, le indicamos que SI:

• Instalamos el driver de la controladora Ethernet:

• Como podemos ver el driver se ha instalado correctamente, clic sobre “Aceptar”:

• Damos clic a “OK”:

• En la opción de “Properties” podemos elegir entre una configuración de red estática o dinámica, como nosotros tenemos configurado un servidor DHCP en nuestra red, elegimos una configuración dinámica:

• En “Network Storage” seleccionamos “Shared folder”, ya que el backup lo tenemos en un recurso compartido:

• En “Shared Folder” especificamos la ruta de la carpeta compartida compartida en Windows (SMB) y el usuario con su password:

• En “Backup” nos aparecen los trabajos de backups que tenemos en esta ubicación de red, nosotros vamos a elegir el que necesitemos:

• Elegimos el punto de restauración que más nos interese, en este caso, sólo tenemos uno:

• En el “Restore Mode”, elegimos la opción de “Entire computer”, es decir, el restaurar el servidor completo:

• Nos muestra un resumen de lo que hará el restore, si estamos conforme, pulsamos “Restore” para comenzar:

• Como podemos ver, el proceso ha comenzado y está corriendo sin problemas:

• Como podemos ver el proceso ha finalizado correctamente, pulsamos “Finish” para terminar:

• Nos indica que el restore ha sido completado, clic sobre “Yes” para reiniciar, antes de reiniciar debemos sacar la ISO de la unidad de CD:

• Como podemos ver el Servidor Windows, está completamente restaurado y operativo:

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar backups con Vembu BDR Suite 3.9.1 Update 1 en servidores físcos Windows de nuestra infraestructura, a través de la aplicación Vembu ImageBackup Client.

Recordemos la topología configurada:

• Lo primero que vamos a realizar será configurar el servicio VembuBDR instalado en el servidor que tiene la consola central de Vembu BDR Suite con una cuenta de usuario de nuestro Active Directory con permisos de administrador, ya que para desplegar los clientes de Vembu ImageBackup es un requisito indispensable:

• Como podemos ver ya lo tenemos en ejecución con esta cuenta de usuario:

• Ahora accedemos a la consola web con las credenciales que configuramos para la suite Vembu BDR:

• Añadimos el servidor físico Windows que queremos proteger con nuestra suite de Vembu BDR:

• Introducimos los datos del servidor físico Windows y guardamos los cambios:

• Comienza a instalar el agente de Vembu ImageBackup:

• Como podemos ver el servidor físico Windows se ha agregado correctamente:

• Esto es lo que instala en nuestro servidor físico Windows Server:

• También hemos añadido el propio servidor de Vembu BDR Suite como localhost, ya que este servidor es un servidor físico con Windows Server 2016 Standard:

• Ahora vamos a programar un trabajo de backup para uno de estos servidores físicos, concretamente para el propio servidor de Vembu BDR Suite (localhost), para ello damos clic sobre “Backup”:

• Se nos abre el siguiente asistente y lo primero que vamos a instalar será el driver de Vembu ImageBackup:

• El sistema nos indica que el driver de Vembu ImageBackup requiere un reinicio de la máquina:

• Una vez que la máquina ha reiniciado proseguimos con la configuración del trabajo de backup, y en primer lugar escogemos los discos que queremos respaldar, en este caso será el disco de sistema:

• Clic sobre OK, para habilitar un punto de montaje sobre la partición que no tiene asignada ninguna letra o punto de montaje:

• Seleccionamos el disco de sistema con sus dos partciones:

• Esta opción la dejamos por defecto:

• Sobre esta opción programamos la tarea de backup, aquí ya lo programamos según nuestros horarios, infraestructuras, etc…, como buena práctica se realizan los backups cuando los usuarios clientes no están trabajando sobre el sistema, y en un caso que siempre estén trabajando (por ejemplo a turnos), realizar los backups cuando menos carga de trabajo haya, también podemos ver que nos permite realizar un backup completo adicional en los meses que creamos conveniente y almacenar el número máximo que queramos de estos backups, esto viene muy bien para tener un buen histórico:

• En esta opción, primero configuramos que el último viernes de cada mes fusione todas las copias incrementales realizadas y segundo elegimos el repositorio dónde se van a guardar los backups, también nos da la opción de encriptar los backups con un password:

• Para terminar, le asignamos un nombre al trabajo de backup, y como vemos nos muestra un resumen de todas las opciones configuradas anteriormente, si queremos podemos marcar el check para que realice el trabajo inmediatamente después de guardarlo:

• Confirmamos el trabajo:

• En la lista de trabajos de backup, podemos ver el que acabamos de crear:

• Ejecutamos el trabajo de backup:

• Aquí podemos ver el progreso:

• Como vemos, el backup se ha realizado correctamente:

Post sponsorizado por Vembu Technologies

Saludos y espero que os sea de ayuda

En este post vamos a ver un error que nos encontramos al actualizar nuestros equipos clientes Windows e intentamos acceder a los servidores por escritorio remoto, se trata de la actualización “CredSSP para CVE-2018-0886” (KB4093120) – Seguridad de credenciales, en esta URL podemos ver que es lo que hace esta actualización en nuestros sistemas, y el problema que nos encontramos es que si la actualización NO está instalada en los servidores y SI en los equipos clientes, estos no pueden acceder por escritorio remoto a los servers, aquí simularé el error, y os mostraré una forma para poder solucionarlo, Microsoft nos aconseja que instalemos este KB en los servidores y en los equipos clientes, pero hay infraestructuras en dónde no es posible actualizar los servidores, ya sea porque no tienen o no deben tener conexión a Internet, la infraestructura sea muy grande y tengamos que darle una solución rápida mientras vamos actualizando los servers, etc…. Cada infraestructura es un mundo

• Tenemos un servidor llamado “adcs” que NO tiene parcheada la actualización y un equipo con Windows 10 llamado “ca-itlabw10” perteneciente al mismo dominio que el servidor que SI tiene la actualización instalada:

• Intentamos acceder por escritorio remoto al servidor introduciendo las credenciales, y este es el error que nos muestra:

• Para solucionar el error tenemos dos opciones:
• 1) Si lo que queremos es acceder al servidor únicamente desde un equipo, por ejemplo, desde este equipo con Windows 10, entonces actualizamos las directivas locales con gpedit.msc y configuramos esta directiva:

• 2) Si lo que queremos es acceder desde cualquiera de los equipos pertenecientes al dominio, entonces debemos habilitar una política de grupo (GPO) en el dominio y vincularla sobre la Unidad Organizativa de equipos:
• No creamos la GPO:

• Le asignamos un nombre:

• La editamos:

• Sobre Configuración de equipo > Directivas > Plantillas administrativas >Sistema > Delegación de credenciales, damos doble clic sobre “Encryption Oracle Remediation”:

• Y la configuramos de la siguiente manera, “Habilitada y Vulnerable”:

• Como podemos ver ya está configurada y vinculada sobre la Unidad organizativa correspondiente:

• Ahora forzamos las GPO sobre el equipo cliente con Windows 10:

• Y probamos a conectar por escritorio remoto al servidor:

• Como podemos ver, una vez hemos aplicado la GPO, ya podemos conectar por RDP sin problemas:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como migrar directorios, ficheros y permisos NTFS de los recursos compartidos entre servidores de archivos Windows con el método robocopy, seguramente en más de una ocasión nos hemos encontrado con este problema cuando hemos instalado un nuevo servidor de ficheros y queremos migrar los recursos compartidos con todos sus permisos NTFS entre el antiguo file server y el nuevo.

• Como podemos ver en el servidor de ficheros Oficala tenemos estos tres recursos compartidos:

• Estos tres recursos compartidos están ubicados en la Unidad D:

• Los permisos de recurso compartido para “Usuarios” son los siguientes:

• Los permisos NTFS para “Usuarios” son los siguientes:

• Los permisos de recurso compartido para “Grupos” son los siguientes:

• Los permisos NTFS para “Grupos” son los siguientes:

• Los permisos de recurso compartido para “Publico” son los siguientes:

• Los permisos NTFS para “Publico” son los siguientes:

• Ahora iniciamos sesión en el servidor de ficheros nuevo (FSRGS) con una cuenta de Administrador del dominio y ejecutamos el siguiente comando para copiar los recursos compartidos con todos sus directorios, ficheros y permisos NTFS, “robocopy origen destino /S /E /Z /R:2 /W:10 /COPYALL /SECFIX”
• Significado de los modificadores:
• /S Directorio actual y subdirectorios
• /E Directorio actual y subdirectorios aunque estén vacíos
• /Z En caso de copia por red, reconecta si se pierde la conexión
• /R:2 Número de reintentos en copias con errores
• /W:10 Tiempo de espera entre reintentos
• Si configuramos /R:0 /W:0 no se efectuarán reintentos
• /COPYALL Copia permisos y propietario del origen al destino y copia ficheros ocultos y de sistema
• /SECFIX Elimina todos los unresolvable SID (Secure indentifier huérfanos que no pertenecen a ninguna cuenta de usuario)

• Como podemos ver la operación se ha realizado correctamente:

• Ahora nos vamos a la unidad D del nuevo servidor de ficheros y cómo podemos comprobar a copiado todos los recursos compartidos con sus directorios, ficheros y permisos NTFS, lo que NO hace este comando “robocopy” es copiar la compartición NI los permisos de recurso compartido, veremos como ejemplo sobre “Grupos” de que todo está correcto:

• Dentro de “Grupos” tenemos varios directorios con sus permisos NTFS y que a su vez contienen ficheros, vamos a comprobar sobre el directorio “Administracion” que los permisos NTFS se han copiado correctamente:

• Los ficheros ubicados dentro del directorio “Administracion” podemos comprobar que los permisos NTFS se han copiado correctamente:

• Una vez que hemos verificado que todo está correcto procedemos a descompartir los recursos compartidos sobre el file server antiguo “oficala”, mostraremos el ejemplo sobre “Grupos”, para los demás será el mismo proceso:

• Ahora procedemos a compartir y asignar los permisos de recursos compartidos sobre el nuevo file server “fsrgs”, mostraremos el ejemplo sobre “Grupos”, para los demás será el mismo proceso:

• Ya tenemos nuestros tres recursos compartidos, operativos en nuestro nuevo file server tal y como estaban originalmente:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como migrar directorios, ficheros y permisos NTFS de los recursos compartidos entre servidores de archivos Windows con el método icacls, seguramente en más de una ocasión nos hemos encontrado con este problema cuando hemos instalado un nuevo servidor de ficheros y queremos migrar los recursos compartidos con todos sus permisos NTFS entre el antiguo file server y el nuevo.

• Como podemos ver en el servidor de ficheros Oficala tenemos estos tres recursos compartidos:

• Estos tres recursos compartidos están ubicados en la Unidad D:

• Los permisos de recurso compartido para “Usuarios” son los siguientes:

• Los permisos NTFS para “Usuarios” son los siguientes:

• Los permisos de recurso compartido para “Grupos” son los siguientes:

• Los permisos NTFS para “Grupos” son los siguientes:

• Los permisos de recurso compartido para “Publico” son los siguientes:

• Los permisos NTFS para “Publico” son los siguientes:

• Ahora con el comando icacls vamos a exportar los permisos NTFS de una carpeta y sus subcarpetas.
• Empezaremos exportando los permisos NTFS del recurso compartido “Usuarios”, para ello utilizaremos el siguiente comando:

• El fichero txt generado sería el siguiente y estaría ubicado en la raíz de la carpeta Usuarios:

• Seguiremos exportando los permisos NTFS del recurso compartido “Grupos”, para ello utilizaremos el siguiente comando:

• El fichero txt generado sería el siguiente y estaría ubicado en la raíz de la carpeta Grupos:

• Por último exportamos los permisos NTFS del recurso compartido “Publico”, para ello utilizaremos el siguiente comando:

• El fichero txt generado sería el siguiente y estaría ubicado en la raíz de la carpeta Publico:

• Ahora iniciamos sesión en el servidor de ficheros nuevo (FSRGS) con una cuenta de Administrador del dominio y mapeamos como unidad de red con el comando “net use” la unidad local donde se encuentran los recursos compartidos del servidor antiguo (OFICALA), al iniciar sesión con una cuenta de Administrador del dominio no nos pide que introduzcamos credenciales:

• Como podemos ver ya tenemos la unidad de red mapeada y por lo tanto acceso a los directorios de recursos compartidos en el servidor antiguo (oficala):

• Copiamos los tres directorios de recursos compartidos del antiguo servidor (oficala) al nuevo servidor (FSRGS), en la unidad local de datos dedicada para ello:

• Una vez que tenemos copiadas las carpetas de recursos compartidos al nuevo servidor, procedemos a importar todos los permisos, empezaremos importando los permisos NTFS de la carpeta Usuarios, para ello introducimos el siguiente comando:

• Seguimos importando los permisos NTFS de la carpeta Grupos, para ello introducimos el siguiente comando:

• Por último importamos los permisos NTFS de la carpeta Publico, para ello introducimos el siguiente comando:

• Con esto ya tendríamos exportados todos los permisos NTFS de los recursos compartidos al nuevo servidor.
• Una vez que hemos verificado que todo está correcto procedemos a descompartir los recursos compartidos sobre el file server antiguo “oficala”, mostraremos el ejemplo sobre “Grupos”, para los demás será el mismo proceso:

• Ahora procedemos a compartir y asignar los permisos de recursos compartidos sobre el nuevo file server “fsrgs”, mostraremos el ejemplo sobre “Grupos”, para los demás será el mismo proceso:

• Ya tenemos nuestros tres recursos compartidos, operativos en nuestro nuevo file server tal y como estaban originalmente:

Saludos y espero que os sea de ayuda

En este post vamos a ver como migrar directorios, ficheros y permisos NTFS de los recursos compartidos entre servidores de archivos Windows con el método xcopy, seguramente en más de una ocasión nos hemos encontrado con este problema cuando hemos instalado un nuevo servidor de ficheros y queremos migrar los recursos compartidos con todos sus permisos NTFS entre el antiguo file server y el nuevo.

• Como podemos ver en el servidor de ficheros Oficala tenemos estos tres recursos compartidos:

• Estos tres recursos compartidos están ubicados en la Unidad D:

• Los permisos de recurso compartido para “Usuarios” son los siguientes:

• Los permisos NTFS para “Usuarios” son los siguientes:

• Los permisos de recurso compartido para “Grupos” son los siguientes:

• Los permisos NTFS para “Grupos” son los siguientes:

• Los permisos de recurso compartido para “Publico” son los siguientes:

• Los permisos NTFS para “Publico” son los siguientes:

• Ahora iniciamos sesión en el servidor de ficheros nuevo (FSRGS) con una cuenta de Administrador del dominio y ejecutamos el siguiente comando para copiar los recursos compartidos con todos sus directorios, ficheros y permisos NTFS, “ xcopy origen destino /S /E /V /O /H /C /Y”
• Significado de los modificadores:
• /S Directorio actual y subdirectorios
• /E Directorio actual y subdirectorios aunque estén vacíos
• /V Verifica cada fichero copiado, por lo tanto el proceso será más lento
• /O Copia permisos y propietario del origen al destino
• /H Copia ficheros ocultos y de sistema
• /C Continúa copiando aunque se produzcan errores
• /Z En caso de copia por red, reconecta si se pierde la conexión
• /Y Responde “Sí” a todas las preguntas

• Como podemos ver la operación se ha realizado correctamente:

• Ahora nos vamos a la unidad D del nuevo servidor de ficheros y cómo podemos comprobar a copiado todos los recursos compartidos con sus directorios, ficheros y permisos NTFS, lo que NO hace este comando “xcopy” es copiar la compartición NI los permisos de recurso compartido, veremos como ejemplo sobre “Grupos” de que todo está correcto:

• Dentro de “Grupos” tenemos varios directorios con sus permisos NTFS y que a su vez contienen ficheros, vamos a comprobar sobre el directorio “Administracion” que los permisos NTFS se han copiado correctamente:

• Los ficheros ubicados dentro del directorio “Administracion” podemos comprobar que los permisos NTFS se han copiado correctamente:

• Una vez que hemos verificado que todo está correcto procedemos a descompartir los recursos compartidos sobre el file server antiguo “oficala”, mostraremos el ejemplo sobre “Grupos”, para los demás será el mismo proceso:

• Ahora procedemos a compartir y asignar los permisos de recursos compartidos sobre el nuevo file server “fsrgs”, mostraremos el ejemplo sobre “Grupos”, para los demás será el mismo proceso:

• Ya tenemos nuestros tres recursos compartidos, operativos en nuestro nuevo file server tal y como estaban originalmente:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como migrar un controlador de dominio con Windows Server 2008 R2 a Windows Server 2012 R2, en un post anterior ya vimos otro método para migrar controladores de dominios a versiones más actuales, en este segundo método mostraremos otra forma de realizar la migración.

• Supongamos que tenemos un controlador de dominio en nuestra infraestructura con el sistema operativo MS Windows Server 2008 R2 Enterprise:

• Los roles o funciones que tiene este servidor son los siguientes:

• Nos instalamos un nuevo server con el sistema operativo MS Windows Server 2012 R2 Standard, lo actualizamos y configuramos como un controlador de dominio adicional:

• Empezamos la configuración de nuestro controlador de dominio adicional asignándole un nombre y una dirección IP estática, como DNS primario le asignamos la dirección IP del controlador de dominio principal y como DNS secundario su propia dirección IP:

• En la configuración avanzada de TCP/IP añadiremos el sufijo DNS de nuestro dominio:

• Ahora agregamos este equipo como un miembro más del dominio:

• Le proporcionamos las credenciales del Administrador del dominio y reiniciamos el equipo:

• Ahora nos vamos a la consola de Usuarios y equipos de Active Directory en el controlador de dominio principal y cómo podemos ver, este equipo ya pertenece al dominio ragasys.net:

• Iniciamos sesión en DCRG02 como Administrador del dominio (Una buena práctica es cambiar el nombre del Administrador del dominio, nosotros lo dejaremos como Administrador, ya que para temas de laboratorios no implementaremos este tipo de seguridad):

• En el Administrador del servidor agregamos roles y características:

• Hacemos clic en siguiente:

• Elegimos la opción instalación basada en características o roles:

• Seleccionamos nuestro servidor dcrg02:

• Ahora agregamos la opción Servicios de dominio de Active Directory:

• Agregamos las características:

• Clic en siguiente:

• Todas las características que requiere nuestro controlador de dominio de Active Directory se seleccionan por defecto por lo que hacemos clic en siguiente:

• Información sobre Active Directory :

• Iniciamos el despliegue de la función Active Directory:

• Una vez finalizada la instalación cerramos y reiniciamos nuestro controlador de dominio:

• Tras el reinicio vamos a la configuración y promovemos este servidor a controlador de dominio:

• Agregamos un controlador de dominio a un dominio ya existente, seleccionamos nuestro nombre de dominio y le proporcionamos las credenciales del Administrador del dominio:

• Seleccionamos la función de DNS, ya que es un requisito imprescindible para Active Directory, también seleccionamos que sea Catálogo Global y luego introducimos una contraseña segura que será necesaria en caso de restauración de Active Directory (introducimos la misma contraseña que pusimos en el controlador de dominio principal):

• Esta opción la dejamos por defecto, ya que el DNS lo tenemos configurado sobre el controlador de dominio principal, por lo que el controlador de dominio adicional se va a configurar automáticamente con la misma configuración que el principal :

• En las opciones de replicación le decimos que replique desde el controlador de dominio principal:

• Las rutas de acceso las dejamos por defecto:

• Comienza a preparar el bosque y dominio:

• Revisamos los cambios e instalamos:

• Tras el reinicio, nos vamos a la consola de Usuarios y equipos de Active Directory en DCRG02, y podemos ver que este equipo ya está como un Domain Controller más de nuestra infraestructura:

• También podemos comprobarlo con el comando “netdom query dc”:

• Una vez que tenemos agregado un controlador de dominio adicional con sistema operativo MS Windows Server 2012 R2 y por lo tanto superior a MS Windows Server 2008 R2, vamos a proceder a transferir los roles FSMO del controlador de dominio principal al adicional, así el nuevo controlador de dominio con el Server 2012 R2 quedará como principal.
• Todos los dominios de Active Directory disponen de cinco roles FSMO (Flexible Single Master Operations), los roles FSMO son funciones específicas que realizan los controladores de dominio a nivel de bosque o de dominio:

• Sobre cualquiera de nuestros controladores de dominio vamos a ejecutar el siguiente comando «netdom query fsmo» para ver quien tiene asignados estos roles FSMO, y como podemos ver todos los roles los tiene asignados nuestro primer controlador de dominio:

• Ahora lo que vamos a realizar será transferir los cinco roles FSMO al controlador de dominio adicional (Windows Server 2012 R2), convirtiéndolo así en el domain controller principal, para ello utilizaremos las siguientes herramientas.
• Para transferir los roles de PDC Emulator, RID Master e Infraestructure Master vamos a utilizar la herramienta Usuarios y equipos de Active Directory, que nos la abrimos en nuestro controlador de dominio adicional con MS Windows Server 2012 R2:

• Primero vamos a transferir el RID Master:

• Segundo vamos transferir el PDC Emulator:

• En tercer lugar vamos a transferir el Infraestructure Master:

• En cuarto lugar vamos a transferir el Domain Naming Master, para ello vamos a utilizar la herramienta Dominios y Confianzas Active Directory, , que nos la abrimos en nuestro controlador de dominio adicional con MS Windows Server 2012 R2:

• En quinto lugar vamos a transferir el Schema Master, para ello vamos a utilizar la herramienta de consola Esquema de Active Directory, para poder utilizar esta herramienta tenemos que registrar la dll schmmgmt.dll y personalizarnos una consola mmc, para ello, en nuestro controlador de dominio principal con MS Windows Server 2008 R2 hacemos lo siguiente:

• Al intentar cambiarlo nos da el siguiente error, ya que como destino se encuentra el mismo controlador de dominio:

• Procedemos a cambiar el controlador de dominio de Active Directory:

• Como podemos ver ya tenemos como destino el controlador de dominio adicional:

• Como podemos ver ya tenemos como Schema Master al controlador de dominio adicional (Windows server 2012 R2):

• Una vez que hemos realizado la transferencia de los cinco roles FSMO entre los controladores de dominio, sobre cualquiera de ellos vamos a ejecutar el siguiente comando «netdom query fsmo» para verificar que la transferencia se ha realizado correctamente, y como podemos ver, todos los roles los tiene asignados el que estaba como controlador de dominio adicional, lo hemos convertido por tanto en el controlador de dominio principal:

• Ahora ya podemos despromocionar como controlador de dominio el servidor con MS Windows Server 2008 R2, para ello vamos a seguir los pasos indicados en un post de este mismo blog, Eliminar controladores de dominios sobre MS Windows Server 2008 R2.
• Si los cinco roles FSMO no los transferimos de forma manual, el proceso de despromoción los transferirá de forma automática a cualquier Controlador de dominio disponible, a mí personalmente prefiero hacerlo de forma manual.
• Como podemos ver ya tenemos despromocionado como controlador de dominio el server con MS Windows Server 2008 R2, ahora se quedaría como un equipo más miembro del dominio ragasys.net:

• El único Controlador de dominio de nuestra infraestructura sería el servidor con MS Windows Server 2012 R2:

• Para terminar ya sólo nos quedaría elevar los Niveles Funcionales a nivel de dominio y de bosque.
• Empezaremos elevando el Nivel Funcional del bosque, para ello, nos abrimos la herramienta Dominios y Confianzas de Active Directory:

• Como podemos observar el Nivel Funcional del bosque se encuentra en Windows Server 2008 R2, ya que el controlador de dominio anterior trabajaba sobre este sistema operativo, procedemos a elevarlo a Windows Server 2012 R2:

• Ahora vamos a elevar el Nivel Funcional del dominio, para ello, nos abrimos la herramienta Usuarios y equipos de Active Directory:

• Automáticamente al elevar el Nivel Funcional del bosque se eleva también el del dominio:

• Con la herramienta Centro de Administración de Active Directory tenemos opción a Elevar los Niveles Funcionales a nivel de bosque y de dominio:

• Con esto ya tendríamos migrado nuestro controlador de dominio de MS Windows Server 2008 R2 a MS Windows Server 2012 R2.
• En este post, la parte de los roles FSMO me he ayudado del libro ADIT – Active Directory para administradores de IT de Xavier Genestós, el cuál recomiendo su lectura, libro excelente, práctico, resumido y muy bien explicado como todos los libros de Xavier, desde aquí darle las gracias una vez más.

Saludos y espero que os sea de ayuda

• En este post veremos cómo agregar un controlador de dominio adicional a nuestra infraestructura de red con MS Windows Server 2008 R2.
• Como podemos ver ya tenemos nuestro controlador de dominio principal operativo:

• Empezamos la configuración de nuestro controlador de dominio adicional asignándole un nombre y una dirección IP estática, como DNS primario le asignamos la dirección IP del controlador de dominio principal y como DNS secundario su propia dirección IP:

• En la configuración avanzada de TCP/IP añadiremos el sufijo DNS de nuestro dominio:

• Ahora agregamos este equipo como un miembro más del dominio:

• Le proporcionamos las credenciales del Administrador del dominio y reiniciamos el equipo:

• Ahora nos vamos a la consola de Usuarios y equipos de Active Directory en el controlador de dominio principal y cómo podemos ver, este equipo ya pertenece al dominio informatica.avanza.local:

• Iniciamos sesión en DC02 como Administrador del dominio (Una buena práctica es cambiar el nombre del Administrador del dominio, nosotros lo dejaremos como Administrador, ya que para temas de laboratorios no implementaremos este tipo de seguridad):

• En el Administrador del servidor agregamos roles:

• Se nos abre el siguiente asistente, dónde iremos configurando los siguientes parámetros, clic en siguiente:

• Ahora agregamos la opción Servicios de dominio de Active Directory:

• Agregamos las características requeridas:

• Información sobre Active Directory :

• Confirmamos la instalación e Iniciamos el despliegue de la función Active Directory:

• Como podemos ver el proceso ha finalizado correctamente:

• Una vez que ha finalizado la instalación ejecutamos el comando dcpromo para promover el equipo a controlador de dominio, para ello sobre inicio > Ejecutar escribimos:

• Se nos abre este asistente, donde vamos a utilizar el modo avanzado:

• Nos muestra la compatibilidad del sistema operativo, clic sobre siguiente:

• Elegimos ésta opción para agregar un controlador de dominio adicional a nuestra infraestructura:

• Escribimos el nombre del dominio al que queremos agregar este Domain Controller, y especificamos las credenciales del Administrador del dominio:

• Seleccionamos el dominio:

• Seleccionamos el sitio:

• Seleccionamos la función de DNS, ya que es un requisito imprescindible para Active Directory, también seleccionamos que sea Catálogo Global:

• Nos sale este mensaje de advertencia porque Windows no puede encontrar una delegación para el servidor DNS, clic en “Si”, ya que el DNS lo tenemos configurado sobre el controlador de dominio principal, por lo que el controlador de dominio adicional se va a configurar automáticamente con la misma configuración que el principal:

• En las opciones de replicación le decimos que replique desde el controlador de dominio principal o existente:

• Dejamos que el asistente elija el controlador de dominio adecuado para replicar, en este caso, al tener solo uno, replicará a través de éste:

• Las rutas de acceso las dejamos por defecto:

• Introducimos una contraseña segura que será necesaria en caso de restauración de Active Directory:

• Nos muestra un resumen de la configuración que hemos realizado, clic sobre siguiente:

• Comienza a promocionar el equipo a controlador de dominio con la configuración indicada en el asistente, le indicamos que reinicie al completar:

• Tras el reinicio, nos vamos a la consola de Usuarios y equipos de Active Directory en DC02, y podemos ver que este equipo ya está como un Domain Controller más de nuestra infraestructura:

• En la consola de DNS podemos ver que ha replicado correctamente:

Saludos y espero que os resulte de ayuda

En este post vamos a ver la Administración de directivas de grupo (GPO) sobre Microsoft Windows Server 2008 R2, iremos realizando unos cuantos ejemplos y espero que así quede todo un poco más claro.

• Crearemos en nuestro Controlador de dominio el siguiente esquema:

• Vamos a crear primero las Unidades Organizativas, para ello nos abrimos la consola “Usuarios y equipos de Active Directory” y creamos las UO:

• Para la segunda Unidad Organizativa seguimos el mismo proceso, como podemos ver ya tenemos las dos UO creadas, anidadas dentro del dominio:

• Ahora sobre cada UO vamos a crear los grupos, primero los haremos sobre la UO avanza_01:

• Como podemos ver ya tenemos el grupo creado:

• Para la segunda UO seguiremos el mismo proceso:

• Ahora vamos a crear los usuarios y cada uno se ubicará en su grupo correspondiente:

• Para la creación de los demás usuarios vamos a seguir el mismo proceso, y como podemos ver ya tenemos todos los usuarios creados:

• Ahora introducimos los usuarios en su grupo correspondiente:

• Ahora vamos a compartir en el Domain Controller una carpeta llamada “Docs” con permisos totales para administradores y usuarios del dominio:

• En los permisos del recurso compartido le asigno control total a “todos”, para después aplicar los permisos más restrictivos sobre NTFS:

• Ahora vamos a aplicar los permisos NTFS que comentamos anteriormente:

• Como podemos ver ya están los permisos asignados:

• Ahora vamos a compartir en el DC una carpeta llamada “Cosas” con permisos totales para los administradores y sólo lectura para el resto de usuarios del dominio.

• Para este punto seguiremos el mismo proceso que anteriormente, por lo tanto solo mostraré que la carpeta está compartida y los permisos están asignados:

• Ahora colocaremos en la carpeta «cosas» una imagen cualquiera  que usaremos para fondo de pantalla:

• Descargamos el paquete MSI de Firefox y lo guardamos en la carpeta compartida «cosas»:

• Creamos una directiva para la unidad organizativa avanza_01 llamada “directivaAV01”.

• Para crear la directiva nos abrimos la consola “Administración de directivas de grupo” ubicada en las “Herramientas Administrativas” y damos clic sobre “Nuevo”:

• Como podemos ver ya tenemos la GPO creada:

• Ahora la tenemos que vincular sobre la Unidad Organizativa “avanza_01”:

• Como podemos ver ya está la GPO vinculada:

• Ahora la modificamos en Configuración de usuario → Directivas → Plantillas administrativas para:
• Quitar del Escritorio el icono “Papelera de Reciclaje” :

• Establecer el tiempo de espera del protector de pantalla en 300 segundos:

• Fijar como tapiz del Escritorio la imagen que hemos colocado en la carpeta compartida:

• Quitar el icono Red del menú de Inicio:

• Prohibir el acceso al Panel de control:

• Desactivar los gadgets de escritorio:

• No permitir la ejecución de Windows Messenger:

• Desactivar la funcionalidad de “Eliminar el historial de exploración” en Internet Explorer:

• Impedir el acceso al símbolo del sistema:

• Comprobamos la configuración entrando en una máquina del dominio con Windows 7 y con los usuarios joseramonA1 y joseramonB1.
• Al hacer logon en la máquina Windows 7 del dominio con el usuario joseramonA1, todas las directivas de grupo que hemos configurado se harán efectivas, ya que este usuario está ubicado en la Unidad Organizativa “avanza_01” que es dónde hemos vinculado la GPO configurada llamada “directivaAV01”, cuando hacemos logon en la máquina Windows 7 del dominio con el usuario joseramonB1, estas directivas no serán aplicadas ya que no está vinculada sobre la Unidad Organizativa “avanza_02”, que es donde se encuentra este usuario.
• Como podemos ver con el usuario joseramonA1, se han aplicado correctamente las directivas, como por ejemplo, el icono de papelera de reciclaje ha desaparecido, el papel tapiz ha cambiado con la imagen jpg que hemos configurado, el símbolo del sistema está deshabilitado:

• Como podemos ver con el usuario joseramonB1, nada de esto se ha aplicado:

• Ahora crearemos otra directiva para la unidad organizativa avanza_02 llamada “directivaAV02”.
• Modificaremos esta directiva dentro de Configuración de usuario → Directivas → Configuración de software para que instale (despliegue de software) el paquete MSI de Firefox que se encuentra en la carpeta compartida «cosas».

• Para ello nos abrimos la Administración de directivas de grupo:

• Creamos una nueva GPO:

• Le indicamos el nombre:

• Ahora vamos a editar la GPO creada:

• Desplegamos las configuraciones hasta Configuración de usuario > Directivas > Configuración de software > Instalación de software :

• Clic sobre botón derecho de ratón y seleccionamos “Nuevo > Paquete”:

• Escribimos la ruta para acceder al fichero msi que queremos desplegar, damos clic sobre Abrir:

• Seleccionamos el método de implantación, en este caso asignada:

• Esperamos unos segundos y como podemos ver ya tenemos el paquete implementado:

• Ahora vamos a vincular la nueva GPO creada sobre una de nuestras Unidades Organizativas, en este caso, sobre “avanza02”:

• Como podemos ver ya la tenemos vinculada:

• Cuando los usuarios de esta Unidad Organizativa inicien sesión en cualquier máquina del dominio, este software (Mozilla Firefox) será desplegado.
• Ahora modificaremos esta directiva en Configuración del equipo → Directivas → Configuración de Windows → Configuración de seguridad para que no pueda cambiar la hora del sistema:

• Modificamos esta directiva en Configuración del equipo → Directivas → Configuración de Windows → Configuración de seguridad → Directivas locales para que esté habilitada la auditoría de los inicios de sesión (de los correctos y los incorrectos):

• La Configuramos para que se bloquee la cuenta cuando el usuario haga 3 intentos fallidos de introducción de contraseña. Hazlo en Configuración del equipo → Directivas → Configuración de seguridad → Directivas de cuenta :

• Iniciamos sesión con los dos usuarios de avanza_02 y comprobamos en auditoría qué inicios se han registrado.
• Iniciamos sesión con el usuario joseramonb1 de la UO avanza_02:

• Iniciamos sesión con el usuario joseramonb2 de la UO avanza_02:

• Nos abrimos las Herramientas administrativas > Visor de eventos:

• Como podemos ver se ha iniciado sesión correctamente con el usuario 1 de la UO avanza_02:

• Como podemos ver se ha iniciado sesión correctamente con el usuario 2 de la UO avanza_02:

Saludos y espero que este post os sea de utilidad

En esta entrada veremos como instalar y configurar un controlador de dominio sobre MS Windows Server 2008 R2, en posts anteriores vimos esta misma operación sobre MS Windows Server 2012 R2 que es prácticamente igual, pero bueno, aquí lo dejo por si alguien lo necesita.

• Empezamos la configuración de nuestro controlador de dominio asignándole un nombre y una dirección IP estática y como DNS le asignamos su propia dirección IP, ya que se encargará de toda la gestión DNS de nuestro entorno:

• En la configuración avanzada de TCP/IP añadiremos el sufijo DNS de nuestro dominio:

• En el Administrador del servidor nos vamos a agregar roles:

• Se nos abre el siguiente asistente, donde hacemos clic en siguiente:

• Ahora agregamos la opción Servicios de dominio de Active Directory:

• Nos muestra información sobre el rol que vamos a instalar:

• Nos muestra un resumen de lo que se va a instalar, damos clic sobre “Instalar”:

• Como podemos ver comienza con la instalación:

• Una vez finalizada la instalación cerramos nuestro controlador de dominio:

• Una vez que ha finalizado la instalación ejecutamos el comando dcpromo para promover el equipo a controlador de dominio, para ello sobre inicio > Ejecutar escribimos:

• Se nos abre este asistente, donde vamos a utilizar el modo avanzado:

• Nos muestra la compatibilidad del sistema operativo, clic sobre siguiente:

• Elegimos la opción de crear un dominio nuevo en un bosque nuevo, ya que este es nuestro primer controlador de dominio en la infraestructura:

• Escribimos el dominio raíz del bosque:

• Escribimos el nombre NETBIOS del dominio:

• Seleccionamos el nivel funcional de nuestro bosque, en este caso Windows server 2008 R2, ya que no tenemos otros controladores de dominio sobre Windows Server 2003, 2008 0 2012:

• Seleccionamos la función de servidor DNS en la que apoyaremos toda nuestra infraestructura, a parte de que es un requisito imprescindible para Active Directory:

• Nos sale este mensaje de advertencia porque Windows no puede encontrar una delegación para el servidor DNS, ya que éste es el primer bosque de nuestro entorno, hacemos clic en “si”:

• Las rutas de acceso las dejamos por defecto:

• Introducimos una contraseña segura que será necesaria en caso de restauración de Active Directory:

• Nos muestra un resumen de la configuración que hemos realizado, clic sobre siguiente:

• Comienza a promocionar el equipo a controlador de dominio con la configuración indicada en el asistente, le indicamos que reinicie al completar:

• Una vez que el equipo ha reiniciado, introducimos las credenciales de Administrador que será la cuenta del administrador del dominio, es aconsejable cambiar el nombre a esta cuenta de administrador:

• Ahora vamos a configurar el servidor DNS, ya que nuestro Active Directory se apoyará en este servicio para poder funcionar correctamente, para ello nos abrimos la consola del DNS y agregamos una zona nueva para la resolución inversa:

• Vamos configurando el asistente con los siguientes parámetros:

• Como podemos ver ya tenemos las dos zonas de DNS (directa e inversa) configuradas correctamente:

• Por último agregaremos los reenviadores (pondremos los DNS públicos de google 8.8.8.8 y 8.8.4.4) para que el servidor DNS resuelva también dominios externos, para ello hacemos lo siguiente:

• Con esto tendríamos nuestro controlador de dominio implementado en nuestra infraestructura, ya podríamos empezar a crear usuarios y a organizar el Active Directory.

Saludos y espero que os sea de ayuda

En este post vamos a ver como migrar un controlador de dominio con Windows Server 2008 R2 Enterprise a Windows Server 2012 R2 Datacenter, para realizar las migraciones o actualizaciones a versiones más modernas de sistemas operativos de Microsoft siempre las tendremos que hacer sobre versiones iguales o superiores, por ejemplo, si queremos actualizar una versión Enterprise de 2003 R2 tendrá que ser sobre otra Enterprise o Datacenter de 2008 R2, no podríamos actualizarla sobre la versión Standard ya que ésta es inferior.

Como buena práctica, siempre haremos una copia de seguridad actualizada de los datos del servidor a migrar, yo en mi caso también suelo hacer una imagen completa del sistema con Acronis backup and recovery server, por si falla el proceso de migración poder dejarlo todo como estaba originalmente.

• Empezamos nuestro proceso de migración, y como podemos ver, tenemos la versión Windows Server 2008 R2 Enterprise:

• Los roles o funciones que tiene este servidor son los siguientes:

• Introducimos en la unidad óptica el DVD de instalación de Windows Server 2012 R2 y ejecutamos el setup:

• Damos clic sobre “Instalar ahora”:

• Elegimos la opción de instalar actualizaciones:

• Comienza la descarga de actualizaciones:

• Escribimos la clave de producto y clic sobre siguiente:

• Elegimos la versión que vamos a instalar:

• Aceptamos los términos de licencia y clic sobre siguiente:

• Aquí llega la opción importante a la hora de migrar de Server 2008 R2 a Server 2012 R2, debemos elegir la opción de “Actualización”:

• El sistema empieza a comprobar la compatibilidad:

• El informe de compatibilidad nos muestra que tenemos que solucionar un problema con el Active Directory de este servidor, y hasta que no esté solucionado no podemos seguir con la migración:

• Nos vamos al enlace que nos ha proporcionado Microsoft en el informe de compatibilidad y seguimos las instrucciones para preparar nuestro controlador de dominio:

• El enlace que nos muestra Microsoft es para preparar la migración de un controlador de dominio con Windows Server 2003 a Windows Server 2008 (las cosas de Microsoft…), nosotros queremos hacer la migración de 2008 a 2012, por lo que vamos a seguir estos pasos:
• Insertamos el DVD de Windows Server 2012 R2 en la unidad de CD o DVD y copiamos el contenido de la carpeta \support\adprep a la unidad C de nuestro servidor, que es el maestro de esquema:

• Ahora nos abrimos una ventana cmd y ejecutamos el siguiente comando, para preparar el controlador de dominio:

• Nos sale el siguiente mensaje de advertencia, escribimos C y pulsamos Intro, para seguir con la operación:

• Comienza a preparar nuestro controlador de dominio:

• Como podemos ver toda la operación se ha realizado correctamente:

• Volvemos de nuevo a repetir todos los pasos para comenzar con la migración de Windows Server 2008 R2 Enterprise a Windows server 2012 R2 Datacenter, hasta llegar de nuevo a la comprobación de compatibilidad:

• En el informe de compatibilidad volvemos a tener problemas, clic sobre cerrar y seguimos los pasos que nos indica para solucionar los problemas:

• El primer punto será reiniciar el servidor y el segundo, ejecutar el comando que nos indica para seguir preparando nuestro Active Directory para la migración:

• Como podemos ver la operación se ha realizado correctamente:

• Volvemos de nuevo a repetir todos los pasos para comenzar con la migración de Windows Server 2008 R2 Enterprise a Windows server 2012 R2 Datacenter, hasta llegar de nuevo a la comprobación de compatibilidad, que nos indica que todo está correcto, clic sobre “siguiente”:

• Comienza la actualización:

• Una vez que ha terminado, empieza a preparar el nuevo sistema operativo:

• Como podemos ver ya tenemos nuestro controlador de dominio migrado de Windows Server 2008 R2 Enterprise a Windows Server 2012 R2 Datacenter y con todos sus roles operativos:

• Active Directory:

• DNS:

• DHCP:

• Algo muy importante que debemos tener en cuenta cuando estemos haciendo un proceso de migración de un controlador de dominio, es el “Nivel funcional del dominio”, si tuviésemos otro controlador de dominio adicional en nuestra infraestructura corriendo sobre Windows Server 2008 R2, entonces el nivel funcional del controlador de dominio principal tendríamos que dejarlo tal y como nos lo ha dejado en la actualización:

• Si migrásemos también el controlador de dominio adicional de Windows Server 2008 R2 a Windows Server 2012 R2, una vez que se ha terminado la migración, elevamos el nivel funcional del dominio en los dos controladores de dominio, primero el principal y más tarde el adicional:

• Una vez que lo hemos elevado al nivel funcional más alto, no podemos volver a bajar el nivel funcional del dominio, por eso debemos tener cuidado y asegurarnos que todos los controladores de dominio de nuestra infraestructura estén corriendo sobre el mismo nivel funcional:

Saludo y espero que os sea de ayuda