En este post veremos cómo unir nuestro servidor Proxmox VE 9.0 a un dominio de Active Directory.

• En la consola de Usuarios y equipos de Active Directory, hemos creado el objeto equipo para nuestro servidor Proxmox, esto lo hacemos para cuando lo agreguemos al dominio:

• Para unir nuestro nodo de proxmox a un dominio de Active Directory, nos abrimos una consola, y ejecutamos los comandos para actualizar los paquetes, apt update y apt dist-upgrade:

• Instalamos adcli, packagekit y samba-common-bin realmd, para ello, ejecutamos apt install adcli packagekit samba-common-bin y apt install realmd:

• Ahora con este comando probaremos la conexión con nuestros controladores de dominio, realm -v discover ragasys.net, podemos ver que la conexión es correcta y que requiere la instalación de una serie de paquetes, estos paquetes se instalarán siguiendo las instrucciones del siguiente comando, instalarlos antes provocarían errores en las configuraciones:

• Ahora con este comando uniremos nuestro servidor de Proxmox al dominio de AD, realm -v join ragasys.net -U kyrios, aquí debéis poner vuestro dominio y un usuario con permisos para unir la máquina al dominio, nos pedirá credenciales, vemos que se instala toda la paquetería necesaria, y como ya habíamos creado el objeto equipo termina de configurar la cuenta de equipo en la Unidad Organizativa dónde lo hemos ubicado:

• Aquí vemos, que se ha agregado correctamente a nuestro dominio:

• Para verificar que todo está correcto, introducimos este comando id kyrios@ragasys.net y vemos que nos muestra el UID y el GID desde nuestros controladores de dominio:

Saludos y espero que os resulte de ayuda

La entrada Unión a dominio Active Directory en Proxmox VE 9.0 se publicó primero en RAGASYS SISTEMAS.

En este post veremos cómo conectar nuestro servidor Proxmox VE 9.0 a un dominio de Active Directory, una vez conectado al dominio de Active Directory, podremos usar los usuarios y grupos del dominio para asignar roles y permisos.

• Si accedemos a proxmoxlab11 > Sistema > DNS, debemos de tener configurados los DNS de nuestros controladores de dominio:

• Sobre proxmoxlab11 > Sistema > Hosts, configuramos el archivo de hosts con el FQDN y el nombre de host de nuestro servidor Proxmox:

• En nuestro DNS, creamos el registro tipo A para el servidor de Proxmox:

• Una vez realizado todo esto, accedemos a Centro de datos > Permisos > Dominios > Agregar > Servidor de directorio activo:

• Sobre General, completamos las configuraciones de nuestro dominio, introduciendo el dominio y los servidores con el rol de domain controller:

• Sobre Sincronizar opciones, introducimos el distinguisedName y las credenciales de este usuario de servicio del Active Directory, que solo tiene permisos de lectura, le indicamos que sincronice Usuarios y Grupos, Agregar:

• Como podemos ver, ya lo tenemos agregado, damos a Sincronizar para poder ver los Usuario y Grupos del Active Directory:

• Aquí vemos que se ha sincronizado correctamente:

• Ya vemos los usuarios y grupos de nuestro Active Directory desde Proxmox:

• Ahora ya podemos asignar roles y permisos a nuestros usuarios y grupos del Active Directory, para ello, accedemos a Centro de datos > Permisos > Agregar > Permisos de grupo, mostraremos el ejemplo, para aplicar permisos a un grupo:

• Le indicamos la Ruta, Grupo, el Rol y que propague permisos, Agregar:

• Y aquí tenemos el permiso o rol agregado al grupo del Active Directory:

• Para verificar que funciona, accedemos al sistema con un usuario del grupo del Active Directory que hemos configurado en los roles:

• Y aquí vemos, que ya estamos conectados con el usuario del Active Directory:

Saludos y espero que os sea de ayuda

La entrada Conexión a dominio Active Directory en Proxmox VE 9.0 se publicó primero en RAGASYS SISTEMAS.

En este post veremos cómo administrar los usuarios, grupos, roles y permisos en Proxmox VE 9.0.

• Si accedemos a Centro de datos > Permisos > Usuarios, aquí podremos crear los nuevos usuarios, en este caso, solo está creado el usuario root que configuramos al instalar el sistema:

• Si accedemos a Centro de datos > Permisos > Grupos, aquí podremos crear los grupos que nos interesen para más tarde asignarle los roles:

• Sobre Centro de datos > Permisos > Roles, vemos que ya tenemos unos roles predefinidos del sistema, y que también podremos crear nuevos roles que se adapten a nuestras necesidades:

• Sobre Centro de datos > Permisos > Dominios, podremos agregar nuevos dominios como Active Directory de Microsoft o un LDAP, como podemos ver, al realizar la instalación ya nos configura dos dominios, del tipo pam (Linux PAM), que se refiere a los usuarios de autenticación del sistema operativo Linux subyacente y permite el acceso a la consola SSH, y otro del tipo pve (Servidor de Autenticación de Proxmox VE) es un almacén de contraseñas independiente para la interfaz web del nodo y no se sincroniza con el sistema Linux subyacente, podemos usar ambos dominios para crear usuarios y asignarles permisos o roles dentro del entorno Proxmox:

• Vamos a empezar creando un nuevo usuario, para ello, nos situamos sobre Centro de datos > Permisos > Usuarios > Agregar:

• Agregamos este nuevo usuario en el dominio Proxmox VE, por lo que sólo, va a poder acceder a la interfaz web de proxmox, no va a poder iniciar sesión por consola en el sistema operativo debian sobre el que corre proxmox:

• Ahora vamos a crear un grupo, para ello, accedemos a Centro de datos > Permisos > Grupos > Crear:

• Una vez creado el grupo, accedemos de nuevo a Centro de datos > Permisos > Usuarios y editamos el usuario que creamos anteriormente, añadiéndolo al grupo que hemos creado:

• Ahora vamos a asignarle los roles que nos interesen a este grupo que hemos creado, para ello, accedemos a Centro de datos > Permisos > Agregar > Permisos de grupo:

• Le indicamos la Ruta, Grupo, el Rol y que propague permisos, Agregar:

• Y aquí tenemos el permiso o rol agregado al grupo:

• Para verificar que funciona, accedemos al sistema con el usuario que hemos creado:

• Si intentamos hacer logon en la consola con el usuario que hemos creado, vemos que no se nos permite el acceso, ya que el dominio en el que opera este usuario es en el Proxmox VE, en lugar de Linux PAM:

Saludos y espero que os sea de ayuda

La entrada Administración de Usuarios, Grupos, Roles y Permisos en Proxmox VE 9.0 se publicó primero en RAGASYS SISTEMAS.

En este post vamos a ver cómo copiar los miembros de un grupo de Active Directory a otro grupo.

• Tenemos estos dos grupos en nuestro Active Directory, y queremos copiar los miembros del GrupoA al GrupoB:

• Para ello, nos vamos a abrir un PowerShell y ejecutamos este cmdlet para que nos muestre los miembros del GrupoA, Get-ADGroupMember -Identity «GrupoA» | Select-Object name | Sort-Object name:

• Para copiar los miembros del GrupoA al GrupoB ejecutamos este cmdlet Get-ADGroupMember -Identity «GrupoA» | ForEach-Object {Add-ADGroupMember -Identity «GrupoB» -Members $_.distinguishedName}:

• Para ver que los miembros del GrupoA se han copiado correctamente al GrupoB, ejecutamos este cmdlet para que nos muestre los miembros del GrupoB, Get-ADGroupMember -Identity «GrupoB» | Select-Object name | Sort-Object name:

• Como podemos ver, los dos grupos ya tienen los mismos miembros:

Saludos y espero que os sea de ayuda

La entrada Copiar los miembros de un grupo de Active Directory a otro grupo se publicó primero en RAGASYS SISTEMAS.

En este post vamos a ver cómo crear un grupo de seguridad en Azure Active Directory y le vamos a asignar usuarios dinámicamente cuando cumplan una determinada condición, en este caso, deben de cumplir que el usuario tenga como País o región España.

• Como podemos ver, este usuario, tiene como País o región España:

• Ahora nos creamos un nuevo grupo:

• Le indicamos como Tipo de grupo Seguridad, le damos un nombre al grupo, como Tipo de pertenencia le indicamos Usuario dinámico y Agregamos una consulta dinámica:

• En la consulta dinámica le indicamos que todos los usuarios que tengan en sus propiedades como país España van a pertenecer a este grupo, aquí podemos jugar con los tipos de consultas que nos interesen, incluso unir varias consultas con los operadores AND (Y) y OR (O):

• Creamos el grupo:

• Una vez creado el grupo, si accedemos a los miembros, podemos ver, que el usuario que creamos anteriormente con las propiedades del país en España se ha agregado de forma dinámica al grupo:

Saludos y espero que os resulte de ayuda

La entrada Azure AD – Grupos – Usuarios Dinámicos se publicó primero en RAGASYS SISTEMAS.

• En este post vamos a ver como se instala y configura un servidor de ficheros en MS Windows Server 2016, y lo primero que vamos a realizar será preparar nuestro servidor:
• Topología utilizada:

• Le asignaremos un nombre descriptivo y una dirección IP estática:

• Lo uniremos a nuestro dominio Active Directory:

• Le instalaremos un disco duro independiente para los recursos compartidos, así separaremos los archivos de sistema de los datos, este disco duro tendrá la tabla de particiones como GPT y como sistema de ficheros utilizaremos NTFS:

• Como introducción vamos a explicar y diferenciar que son los permisos para los recursos compartidos y los permisos NTFS.

En un servidor de archivos, el acceso a una carpeta puede estar determinado por dos conjuntos de entradas de permisos: los permisos de recurso compartido definidos en una carpeta y los permisos NTFS definidos en la carpeta (que también se puede definir en los archivos). Los permisos de recurso compartido suelen utilizarse para administrar equipos con sistemas de archivos FAT32 u otros equipos que no utilizan el sistema de archivos NTFS.

Los permisos de recurso compartido y los permisos NTFS son independientes en el sentido de que ninguno modifica al otro. Los permisos de acceso final en una carpeta compartida se determinan teniendo en cuenta las entradas de permiso de recurso compartido y de permiso NTFS y se aplicarán siempre los permisos más restrictivos.

• Los permisos de las carpetas o recursos compartidos que el sistema nos deja configurar son:
• Control total: el usuario o grupo tomara propiedad del recurso y puede realizar cualquier tarea.
• Cambiar: crear, eliminar y modificar archivos y carpetas.
• Lectura: permite leer y ejecutar.
• Los permisos estándar o predeterminados NTFS que se pueden asignar a una carpeta son:
• Control total: para leer, cambiar, crear y ejecutar bien sean programas o carpetas.
• Lectura y ejecución: para ver el contenido y ejecutar programas de una carpeta.
• Modificar: para poder cambiar los ficheros y las carpetas, pero sin crear y eliminar ficheros ni carpetas nuevas.
• Lectura: para poder ver y abrir el contenido.
• Escritura: para poder crear y cambiar los ficheros y carpetas existentes.
• Mostrar el contenido de la carpeta.
• Además de los permisos NTFS estándar, podemos personalizar mejor las tareas que los usuarios o grupos de usuarios pueden realizar sobre un recurso compartido aplicando los permisos especiales NTFS.
• Para empezar, vamos a ver cómo vamos a distribuir los recursos compartidos en nuestro servidor de ficheros, tendremos una unidad de disco duro independiente para este fin, así separaremos los archivos de sistema de los datos, crearemos tres recursos compartidos:
• Publico: con acceso de lectura, escritura, ejecución y modificación para todos los usuarios del sistema.
• Grupos: en este recurso vamos a crear las carpetas departamentales con acceso de lectura, escritura, ejecución y modificación para su departamento correspondiente y acceso denegado para los demás usuarios del sistema.
• Usuarios: en este recurso vamos a crear las carpetas personales de los usuarios con acceso de lectura, escritura, ejecución y modificación para cada usuario según corresponda, acceso denegado para todos los demás usuarios.
• Empezaremos creando el primer recurso compartido llamado Publico, para ello desde el Administrador del Servidor > Servicios de archivos y de almacenamiento > Recursos compartidos, abrimos las Tareas > Nuevo recurso compartido:

• Se nos abre el siguiente asistente y en esta primera opción seleccionamos el perfil que nos interese, en nuestro caso, Recurso compartido SMB – Rápido:

• Le indicamos la ubicación, en este caso en el disco E:

• Le damos un nombre y una descripción, y le indicamos las rutas (local y remota):

• En otra configuración, sólo marcamos el check indicado:

• Aquí tenemos la parte más interesante y más importante, a la hora de montar un servidor de archivos Windows, “los permisos”, como bien explicamos en la introducción, podemos ver que “Todos” tienen permisos de control total sobre el recurso compartido, y el filtro lo vamos a realizar a través de los permisos NTFS, para ello personalizamos los permisos:

• Deshabilitamos la herencia, para que este recurso compartido no herede los permisos de la carpeta raíz:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Para el grupo Administradores le daremos control total:

• Para el resto de usuarios le daremos estos permisos especiales:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Así quedarían configurados los permisos de Recurso compartido y NTFS para la carpeta Publico:

• Nos muestra un resumen de las configuraciones realizadas, clic sobre “Crear”:

• Una vez completado el proceso, cerramos el asistente:

• Aquí podemos ver el recurso compartido:

• Ahora vamos a crear el segundo recurso compartido llamado Grupos, para ello desde el Administrador del Servidor > Servicios de archivos y de almacenamiento > Recursos compartidos, abrimos las Tareas > Nuevo recurso compartido:

• Se nos abre el siguiente asistente y en esta primera opción seleccionamos el perfil que nos interese, en nuestro caso, Recurso compartido SMB – Rápido:

• Le indicamos la ubicación, en este caso en el disco E:

• Le damos un nombre y una descripción, y le indicamos las rutas (local y remota):

• En otra configuración, sólo marcamos el check indicado:

• Aquí tenemos la parte más interesante y más importante, a la hora de montar un servidor de archivos Windows, “los permisos”, como bien explicamos en la introducción, podemos ver que “Todos” tienen permisos de control total sobre el recurso compartido, y el filtro lo vamos a realizar a través de los permisos NTFS, para ello personalizamos los permisos:

• Deshabilitamos la herencia, para que este recurso compartido no herede los permisos de la carpeta raíz:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Para el grupo Administradores le daremos control total:

• Para el resto de usuarios le daremos estos permisos especiales:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Así quedarían configurados los permisos de Recurso compartido y NTFS para la carpeta Grupos:

• Nos muestra un resumen de las configuraciones realizadas, clic sobre “Crear”:

• Una vez completado el proceso, cerramos el asistente:

• Aquí podemos ver el recurso compartido:

• Ahora vamos a crear el tercer recurso compartido llamado Usuarios, para ello desde el Administrador del Servidor > Servicios de archivos y de almacenamiento > Recursos compartidos, abrimos las Tareas > Nuevo recurso compartido:

• Se nos abre el siguiente asistente y en esta primera opción seleccionamos el perfil que nos interese, en nuestro caso, Recurso compartido SMB – Rápido:

• Le indicamos la ubicación, en este caso en el disco E:

• Le damos un nombre y una descripción, y le indicamos las rutas (local y remota):

• En otra configuración, sólo marcamos el check indicado:

• Aquí tenemos la parte más interesante y más importante, a la hora de montar un servidor de archivos Windows, “los permisos”, como bien explicamos en la introducción, podemos ver que “Todos” tienen permisos de control total sobre el recurso compartido, y el filtro lo vamos a realizar a través de los permisos NTFS, para ello personalizamos los permisos:

• Deshabilitamos la herencia, para que este recurso compartido no herede los permisos de la carpeta raíz:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Para el grupo Administradores le daremos control total:

• Para el resto de usuarios le daremos estos permisos especiales:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Así quedarían configurados los permisos de Recurso compartido y NTFS para la carpeta Usuarios:

• Nos muestra un resumen de las configuraciones realizadas, clic sobre “Crear”:

• Una vez completado el proceso, cerramos el asistente:

• Aquí podemos ver el recurso compartido:

• Una vez que nos hemos creado los recursos compartidos con sus permisos, nos vamos a ir al recurso compartido Grupos y vamos a crear dentro de éste, carpetas para los distintos departamentos de nuestra empresa y le asignaremos los permisos que le correspondan a cada departamento, la estructura nos quedaría de la siguiente manera:

• Ahora sólo voy a mostrar cómo se configuran los permisos para un departamento, ya que para los demás se hará de la misma manera, por ejemplo, para el departamento de Administración, antes vamos a hacer un inciso para explicar que la técnica que vamos a usar para asignar los permisos departamentales será AGDLP, que significa esto, pues que en primer lugar vamos a crear las cuentas de los usuarios (A, Accounts), en segundo lugar crearemos los grupos de Seguridad Global (G, Global), en tercer lugar crearemos los grupos de Dominio Local (DL, Domain Local) y por último asignaremos los permisos(P, Permissions), los dos primeros puntos quedaron explicados en el post “Organización de Active Directory sobre MS Windows Server 2016”.

• Ahora vamos a crear los grupos de Dominio Local y en ellos vamos a anidar los grupos de Seguridad Global, para ello nos abrimos la consola de Usuarios y equipos de Active Directory en nuestro controlador de dominio, y nos creamos una Unidad Organizativa llamada GruposDLMAD, donde vamos a crear todos estos grupos de DL, los cuáles usaremos para asignar los permisos a las carpetas departamentales:

• Mostraremos la configuración para el departamento de Administración, ya que para los demás será la misma.
• Nos creamos el primer grupo para permisos de Control total, llamado DL_AdministracionMad_FC.
• En la pestaña “General” introducimos los datos correspondientes al grupo:

• En la pestaña “Miembros” introducimos los usuarios o grupos que queremos que pertenezcan a este grupo, en este caso no tenemos ningún miembro:

• En la pestaña “Miembro de” introducimos si este grupo pertenece a otro grupo, en este caso no pertenece a ninguno:

• En la pestaña “Administrado por” podemos indicar el usuario que queremos que administre este grupo, quitándole carga administrativa al Administrador del sistema, esto ya depende de los roles de nuestra organización, en este caso los únicos usuarios que pueden administrar el grupo son los Administradores:

• Nos creamos el segundo grupo para permisos de lectura, llamado DL_AdministracionMad_Read.
• En la pestaña “General” introducimos los datos correspondientes al grupo:

• En la pestaña “Miembros” introducimos los usuarios o grupos que queremos que pertenezcan a este grupo, en este caso no pertenece a ninguno:

• En la pestaña “Miembro de” introducimos si este grupo pertenece a otro grupo, en este caso no pertenece a ninguno:

• En la pestaña “Administrado por” podemos indicar el usuario que queremos que administre este grupo, quitándole carga administrativa al Administrador del sistema, esto ya depende de los roles de nuestra organización, en este caso los únicos usuarios que pueden administrar el grupo son los Administradores:

• Nos creamos el tercer grupo para permisos de escritura, llamado DL_AdministracionMad_Write.
• En la pestaña “General” introducimos los datos correspondientes al grupo:

• En la pestaña “Miembros” introducimos los usuarios o grupos que queremos que pertenezcan a este grupo, en este caso pertenecen al grupo de DL, el grupo de Seguridad Global “GAdmMad” que contiene a su vez todos los usuarios del departamento de Administración y el grupo de Seguridad Global “GDireccion” que contiene todos los usuarios del departamento de dirección:

• En la pestaña “Miembro de” introducimos si este grupo pertenece a otro grupo, en este caso no pertenece a ninguno:

• En la pestaña “Administrado por” podemos indicar el usuario que queremos que administre este grupo, quitándole carga administrativa al Administrador del sistema, esto ya depende de los roles de nuestra organización, en este caso los únicos usuarios que pueden administrar el grupo son los Administradores:

• Para crear los demás grupos de Dominio Local y asignar los permisos adecuados a cada departamento seguiremos la misma política que con el grupo Administración.
• Una vez creados los grupos de Dominio Local aplicaremos los permisos a las carpetas departamentales, procederemos a aplicarlos sobre la carpeta “Administracion” ya que para los demás directorios departamentales será exactamente igual:

• En las propiedades de la carpeta Administración accedemos a la pestaña Seguridad > Opciones Avanzadas:

• Le indicamos que no herede los permisos de la carpeta principal “Grupos”:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Quitamos a los usuarios, y empezaremos asignando los permisos a los grupos de domino local que nos hemos creado anteriormente:

• Para los permisos de control total asignamos los siguientes al grupo DL_AdministracionMad_FC:

• Para los permisos de lectura asignamos los siguientes al grupo DL_AdministracionMad_Read:

• Para los permisos de escritura asignamos los siguientes al grupo DL_AdministracionMad_Write:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Para las demás carpetas departamentales debemos de realizar las mismas operaciones:

• Una vez que hemos terminado de asignar los permisos a las carpetas departamentales, pasaremos a asignar los permisos a las carpetas de los usuarios, para ello sobre el recurso compartido Usuarios, vamos a crear carpetas para los distintos usuarios de nuestra empresa y le asignaremos los permisos que le correspondan a cada uno de ellos, éstas carpetas anidadas dentro del directorio Usuarios serán las carpetas personales de cada usuario, a las que sólo ellos tendrán acceso, la estructura nos quedaría de la siguiente manera:

• Ahora sólo voy a mostrar cómo se configuran los permisos para un usuario, ya que para los demás se hará de la misma manera, por ejemplo, para el usuario “Jesús Ramos”.
• En las propiedades de la carpeta “Jesusr” accedemos a la pestaña Seguridad > Opciones Avanzadas:

• Le indicamos que no herede los permisos de la carpeta principal “Usuarios”:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Quitamos a los usuarios, y empezaremos asignando los permisos a las cuentas de usuarios correspondientes:

• Le asignamos permisos de escritura al usuario Jesús Ramos:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Para las demás carpetas de usuarios debemos de realizar las mismas operaciones.
• Ahora para mapear estos tres recursos compartidos (Publico, Grupos y Usuarios) como unidades de red, para los usuarios del Active Directory cada vez que inicien sesión en un equipo del dominio, crearemos el siguiente script (logonmad.bat) y lo ubicaremos en la carpeta compartida SYSVOL de cualquiera de nuestros Domain Controllers, exactamente en la ubicación C:\Windows\SYSVOL\sysvol\ragasys.net\scripts:

• Para que este script funcione tendremos que editar las propiedades de los usuarios del dominio, yo tengo como costumbre antes de crear todos los usuarios del dominio, crearme una plantilla de usuario por cada departamento y utilizar esta plantilla para ir creando los usuarios, mostraré la configuración de la plantilla creada para el departamento de Administracion, ya que para los demás será exactamente igual:

• Como podemos ver cada vez que un usuario inicia sesión en un equipo del dominio tiene los recursos compartidos como unidades de red:

• Con esto ya tendríamos configurado nuestro servidor de archivos, automáticamente se asignan los roles:

Saludos y espero que os sea de ayuda

La entrada Instalación y configuración de un Servidor de Ficheros en MS Windows Server 2016 se publicó primero en RAGASYS SISTEMAS.