En este post veremos cómo administrar los usuarios, grupos, roles y permisos en Proxmox VE 9.0.

• Si accedemos a Centro de datos > Permisos > Usuarios, aquí podremos crear los nuevos usuarios, en este caso, solo está creado el usuario root que configuramos al instalar el sistema:

• Si accedemos a Centro de datos > Permisos > Grupos, aquí podremos crear los grupos que nos interesen para más tarde asignarle los roles:

• Sobre Centro de datos > Permisos > Roles, vemos que ya tenemos unos roles predefinidos del sistema, y que también podremos crear nuevos roles que se adapten a nuestras necesidades:

• Sobre Centro de datos > Permisos > Dominios, podremos agregar nuevos dominios como Active Directory de Microsoft o un LDAP, como podemos ver, al realizar la instalación ya nos configura dos dominios, del tipo pam (Linux PAM), que se refiere a los usuarios de autenticación del sistema operativo Linux subyacente y permite el acceso a la consola SSH, y otro del tipo pve (Servidor de Autenticación de Proxmox VE) es un almacén de contraseñas independiente para la interfaz web del nodo y no se sincroniza con el sistema Linux subyacente, podemos usar ambos dominios para crear usuarios y asignarles permisos o roles dentro del entorno Proxmox:

• Vamos a empezar creando un nuevo usuario, para ello, nos situamos sobre Centro de datos > Permisos > Usuarios > Agregar:

• Agregamos este nuevo usuario en el dominio Proxmox VE, por lo que sólo, va a poder acceder a la interfaz web de proxmox, no va a poder iniciar sesión por consola en el sistema operativo debian sobre el que corre proxmox:

• Ahora vamos a crear un grupo, para ello, accedemos a Centro de datos > Permisos > Grupos > Crear:

• Una vez creado el grupo, accedemos de nuevo a Centro de datos > Permisos > Usuarios y editamos el usuario que creamos anteriormente, añadiéndolo al grupo que hemos creado:

• Ahora vamos a asignarle los roles que nos interesen a este grupo que hemos creado, para ello, accedemos a Centro de datos > Permisos > Agregar > Permisos de grupo:

• Le indicamos la Ruta, Grupo, el Rol y que propague permisos, Agregar:

• Y aquí tenemos el permiso o rol agregado al grupo:

• Para verificar que funciona, accedemos al sistema con el usuario que hemos creado:

• Si intentamos hacer logon en la consola con el usuario que hemos creado, vemos que no se nos permite el acceso, ya que el dominio en el que opera este usuario es en el Proxmox VE, en lugar de Linux PAM:

Saludos y espero que os sea de ayuda

• En este post vamos a ver como auditar los accesos a los recursos compartidos de un servidor de archivos.
• Como podemos ver tenemos tres recursos compartidos (Publico, Grupos y Usuarios), que será dónde habilitemos las auditorías para controlar los accesos, la introducción y eliminación de ficheros y todo lo que ocurra en estos recursos compartidos:

• Lo primero que debemos hacer es crearnos una GPO para habilitar la auditoría de objetos en nuestro Active Directory, para ello nos abrimos la consola de Administración de directivas de grupo y sobre Objetos de directivas de grupo le indicamos que queremos crearnos una nueva GPO:

• Le damos un nombre a la GPO y la editamos:

• Una vez editada, aquí tenemos la configuración para habilitar la auditoría a objetos en nuestro File Server:

• Ahora esta GPO la vamos a vincular sobre la OU Servidores, que es dónde se encuentra nuestro File Server:

• Una vez aplicada la GPO, nos abrimos las configuraciones avanzadas de seguridad de nuestro primer recurso compartido, llamado “Publico” y nos vamos a la pestaña de “Auditoría”, dónde vamos a agregar a los usuarios o grupos a los que le queremos aplicar la auditoría:

• En primer lugar habilitamos la auditoría a los Usuarios del dominio, en Tipo le indicamos Todo (Acierto y Error), lo aplicaremos a “Esta carpeta, subcarpetas y archivos”, y como permisos vamos a auditar la creación y eliminación de archivos y carpetas:

• Para los otros dos recursos compartidos (Grupos y Usuarios) realizamos las mismas configuraciones:

• Con todo esto ya tenemos configurado las auditorías de los recursos compartidos de nuestro File Server.
• Los registros de auditoría quedan todos guardados en el Visor de eventos del Servidor de archivos, en los Registros de Windows > Seguridad:

• La capacidad del registro de Seguridad la vamos a aumentar a 1 GB, así guardaremos más eventos y durante más tiempo, también como le hemos habilitado la auditoría a todos los Usuarios del dominio, se van a generar gran cantidad de estos eventos:

• Ahora vamos a eliminar algunos ficheros de nuestro servidor de archivos y veremos en el visor de eventos que usuario a eliminado estos ficheros:

• Como vemos el usuario jramos ha eliminado estos ficheros:

Saludos y espero que os sea de ayuda

• En este post vamos a ver como se instala y configura un servidor de ficheros en MS Windows Server 2016, y lo primero que vamos a realizar será preparar nuestro servidor:
• Topología utilizada:

• Le asignaremos un nombre descriptivo y una dirección IP estática:

• Lo uniremos a nuestro dominio Active Directory:

• Le instalaremos un disco duro independiente para los recursos compartidos, así separaremos los archivos de sistema de los datos, este disco duro tendrá la tabla de particiones como GPT y como sistema de ficheros utilizaremos NTFS:

• Como introducción vamos a explicar y diferenciar que son los permisos para los recursos compartidos y los permisos NTFS.

En un servidor de archivos, el acceso a una carpeta puede estar determinado por dos conjuntos de entradas de permisos: los permisos de recurso compartido definidos en una carpeta y los permisos NTFS definidos en la carpeta (que también se puede definir en los archivos). Los permisos de recurso compartido suelen utilizarse para administrar equipos con sistemas de archivos FAT32 u otros equipos que no utilizan el sistema de archivos NTFS.

Los permisos de recurso compartido y los permisos NTFS son independientes en el sentido de que ninguno modifica al otro. Los permisos de acceso final en una carpeta compartida se determinan teniendo en cuenta las entradas de permiso de recurso compartido y de permiso NTFS y se aplicarán siempre los permisos más restrictivos.

• Los permisos de las carpetas o recursos compartidos que el sistema nos deja configurar son:
• Control total: el usuario o grupo tomara propiedad del recurso y puede realizar cualquier tarea.
• Cambiar: crear, eliminar y modificar archivos y carpetas.
• Lectura: permite leer y ejecutar.
• Los permisos estándar o predeterminados NTFS que se pueden asignar a una carpeta son:
• Control total: para leer, cambiar, crear y ejecutar bien sean programas o carpetas.
• Lectura y ejecución: para ver el contenido y ejecutar programas de una carpeta.
• Modificar: para poder cambiar los ficheros y las carpetas, pero sin crear y eliminar ficheros ni carpetas nuevas.
• Lectura: para poder ver y abrir el contenido.
• Escritura: para poder crear y cambiar los ficheros y carpetas existentes.
• Mostrar el contenido de la carpeta.
• Además de los permisos NTFS estándar, podemos personalizar mejor las tareas que los usuarios o grupos de usuarios pueden realizar sobre un recurso compartido aplicando los permisos especiales NTFS.
• Para empezar, vamos a ver cómo vamos a distribuir los recursos compartidos en nuestro servidor de ficheros, tendremos una unidad de disco duro independiente para este fin, así separaremos los archivos de sistema de los datos, crearemos tres recursos compartidos:
• Publico: con acceso de lectura, escritura, ejecución y modificación para todos los usuarios del sistema.
• Grupos: en este recurso vamos a crear las carpetas departamentales con acceso de lectura, escritura, ejecución y modificación para su departamento correspondiente y acceso denegado para los demás usuarios del sistema.
• Usuarios: en este recurso vamos a crear las carpetas personales de los usuarios con acceso de lectura, escritura, ejecución y modificación para cada usuario según corresponda, acceso denegado para todos los demás usuarios.
• Empezaremos creando el primer recurso compartido llamado Publico, para ello desde el Administrador del Servidor > Servicios de archivos y de almacenamiento > Recursos compartidos, abrimos las Tareas > Nuevo recurso compartido:

• Se nos abre el siguiente asistente y en esta primera opción seleccionamos el perfil que nos interese, en nuestro caso, Recurso compartido SMB – Rápido:

• Le indicamos la ubicación, en este caso en el disco E:

• Le damos un nombre y una descripción, y le indicamos las rutas (local y remota):

• En otra configuración, sólo marcamos el check indicado:

• Aquí tenemos la parte más interesante y más importante, a la hora de montar un servidor de archivos Windows, “los permisos”, como bien explicamos en la introducción, podemos ver que “Todos” tienen permisos de control total sobre el recurso compartido, y el filtro lo vamos a realizar a través de los permisos NTFS, para ello personalizamos los permisos:

• Deshabilitamos la herencia, para que este recurso compartido no herede los permisos de la carpeta raíz:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Para el grupo Administradores le daremos control total:

• Para el resto de usuarios le daremos estos permisos especiales:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Así quedarían configurados los permisos de Recurso compartido y NTFS para la carpeta Publico:

• Nos muestra un resumen de las configuraciones realizadas, clic sobre “Crear”:

• Una vez completado el proceso, cerramos el asistente:

• Aquí podemos ver el recurso compartido:

• Ahora vamos a crear el segundo recurso compartido llamado Grupos, para ello desde el Administrador del Servidor > Servicios de archivos y de almacenamiento > Recursos compartidos, abrimos las Tareas > Nuevo recurso compartido:

• Se nos abre el siguiente asistente y en esta primera opción seleccionamos el perfil que nos interese, en nuestro caso, Recurso compartido SMB – Rápido:

• Le indicamos la ubicación, en este caso en el disco E:

• Le damos un nombre y una descripción, y le indicamos las rutas (local y remota):

• En otra configuración, sólo marcamos el check indicado:

• Aquí tenemos la parte más interesante y más importante, a la hora de montar un servidor de archivos Windows, “los permisos”, como bien explicamos en la introducción, podemos ver que “Todos” tienen permisos de control total sobre el recurso compartido, y el filtro lo vamos a realizar a través de los permisos NTFS, para ello personalizamos los permisos:

• Deshabilitamos la herencia, para que este recurso compartido no herede los permisos de la carpeta raíz:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Para el grupo Administradores le daremos control total:

• Para el resto de usuarios le daremos estos permisos especiales:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Así quedarían configurados los permisos de Recurso compartido y NTFS para la carpeta Grupos:

• Nos muestra un resumen de las configuraciones realizadas, clic sobre “Crear”:

• Una vez completado el proceso, cerramos el asistente:

• Aquí podemos ver el recurso compartido:

• Ahora vamos a crear el tercer recurso compartido llamado Usuarios, para ello desde el Administrador del Servidor > Servicios de archivos y de almacenamiento > Recursos compartidos, abrimos las Tareas > Nuevo recurso compartido:

• Se nos abre el siguiente asistente y en esta primera opción seleccionamos el perfil que nos interese, en nuestro caso, Recurso compartido SMB – Rápido:

• Le indicamos la ubicación, en este caso en el disco E:

• Le damos un nombre y una descripción, y le indicamos las rutas (local y remota):

• En otra configuración, sólo marcamos el check indicado:

• Aquí tenemos la parte más interesante y más importante, a la hora de montar un servidor de archivos Windows, “los permisos”, como bien explicamos en la introducción, podemos ver que “Todos” tienen permisos de control total sobre el recurso compartido, y el filtro lo vamos a realizar a través de los permisos NTFS, para ello personalizamos los permisos:

• Deshabilitamos la herencia, para que este recurso compartido no herede los permisos de la carpeta raíz:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Para el grupo Administradores le daremos control total:

• Para el resto de usuarios le daremos estos permisos especiales:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Así quedarían configurados los permisos de Recurso compartido y NTFS para la carpeta Usuarios:

• Nos muestra un resumen de las configuraciones realizadas, clic sobre “Crear”:

• Una vez completado el proceso, cerramos el asistente:

• Aquí podemos ver el recurso compartido:

• Una vez que nos hemos creado los recursos compartidos con sus permisos, nos vamos a ir al recurso compartido Grupos y vamos a crear dentro de éste, carpetas para los distintos departamentos de nuestra empresa y le asignaremos los permisos que le correspondan a cada departamento, la estructura nos quedaría de la siguiente manera:

• Ahora sólo voy a mostrar cómo se configuran los permisos para un departamento, ya que para los demás se hará de la misma manera, por ejemplo, para el departamento de Administración, antes vamos a hacer un inciso para explicar que la técnica que vamos a usar para asignar los permisos departamentales será AGDLP, que significa esto, pues que en primer lugar vamos a crear las cuentas de los usuarios (A, Accounts), en segundo lugar crearemos los grupos de Seguridad Global (G, Global), en tercer lugar crearemos los grupos de Dominio Local (DL, Domain Local) y por último asignaremos los permisos(P, Permissions), los dos primeros puntos quedaron explicados en el post “Organización de Active Directory sobre MS Windows Server 2016”.

• Ahora vamos a crear los grupos de Dominio Local y en ellos vamos a anidar los grupos de Seguridad Global, para ello nos abrimos la consola de Usuarios y equipos de Active Directory en nuestro controlador de dominio, y nos creamos una Unidad Organizativa llamada GruposDLMAD, donde vamos a crear todos estos grupos de DL, los cuáles usaremos para asignar los permisos a las carpetas departamentales:

• Mostraremos la configuración para el departamento de Administración, ya que para los demás será la misma.
• Nos creamos el primer grupo para permisos de Control total, llamado DL_AdministracionMad_FC.
• En la pestaña “General” introducimos los datos correspondientes al grupo:

• En la pestaña “Miembros” introducimos los usuarios o grupos que queremos que pertenezcan a este grupo, en este caso no tenemos ningún miembro:

• En la pestaña “Miembro de” introducimos si este grupo pertenece a otro grupo, en este caso no pertenece a ninguno:

• En la pestaña “Administrado por” podemos indicar el usuario que queremos que administre este grupo, quitándole carga administrativa al Administrador del sistema, esto ya depende de los roles de nuestra organización, en este caso los únicos usuarios que pueden administrar el grupo son los Administradores:

• Nos creamos el segundo grupo para permisos de lectura, llamado DL_AdministracionMad_Read.
• En la pestaña “General” introducimos los datos correspondientes al grupo:

• En la pestaña “Miembros” introducimos los usuarios o grupos que queremos que pertenezcan a este grupo, en este caso no pertenece a ninguno:

• En la pestaña “Miembro de” introducimos si este grupo pertenece a otro grupo, en este caso no pertenece a ninguno:

• En la pestaña “Administrado por” podemos indicar el usuario que queremos que administre este grupo, quitándole carga administrativa al Administrador del sistema, esto ya depende de los roles de nuestra organización, en este caso los únicos usuarios que pueden administrar el grupo son los Administradores:

• Nos creamos el tercer grupo para permisos de escritura, llamado DL_AdministracionMad_Write.
• En la pestaña “General” introducimos los datos correspondientes al grupo:

• En la pestaña “Miembros” introducimos los usuarios o grupos que queremos que pertenezcan a este grupo, en este caso pertenecen al grupo de DL, el grupo de Seguridad Global “GAdmMad” que contiene a su vez todos los usuarios del departamento de Administración y el grupo de Seguridad Global “GDireccion” que contiene todos los usuarios del departamento de dirección:

• En la pestaña “Miembro de” introducimos si este grupo pertenece a otro grupo, en este caso no pertenece a ninguno:

• En la pestaña “Administrado por” podemos indicar el usuario que queremos que administre este grupo, quitándole carga administrativa al Administrador del sistema, esto ya depende de los roles de nuestra organización, en este caso los únicos usuarios que pueden administrar el grupo son los Administradores:

• Para crear los demás grupos de Dominio Local y asignar los permisos adecuados a cada departamento seguiremos la misma política que con el grupo Administración.
• Una vez creados los grupos de Dominio Local aplicaremos los permisos a las carpetas departamentales, procederemos a aplicarlos sobre la carpeta “Administracion” ya que para los demás directorios departamentales será exactamente igual:

• En las propiedades de la carpeta Administración accedemos a la pestaña Seguridad > Opciones Avanzadas:

• Le indicamos que no herede los permisos de la carpeta principal “Grupos”:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Quitamos a los usuarios, y empezaremos asignando los permisos a los grupos de domino local que nos hemos creado anteriormente:

• Para los permisos de control total asignamos los siguientes al grupo DL_AdministracionMad_FC:

• Para los permisos de lectura asignamos los siguientes al grupo DL_AdministracionMad_Read:

• Para los permisos de escritura asignamos los siguientes al grupo DL_AdministracionMad_Write:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Para las demás carpetas departamentales debemos de realizar las mismas operaciones:

• Una vez que hemos terminado de asignar los permisos a las carpetas departamentales, pasaremos a asignar los permisos a las carpetas de los usuarios, para ello sobre el recurso compartido Usuarios, vamos a crear carpetas para los distintos usuarios de nuestra empresa y le asignaremos los permisos que le correspondan a cada uno de ellos, éstas carpetas anidadas dentro del directorio Usuarios serán las carpetas personales de cada usuario, a las que sólo ellos tendrán acceso, la estructura nos quedaría de la siguiente manera:

• Ahora sólo voy a mostrar cómo se configuran los permisos para un usuario, ya que para los demás se hará de la misma manera, por ejemplo, para el usuario “Jesús Ramos”.
• En las propiedades de la carpeta “Jesusr” accedemos a la pestaña Seguridad > Opciones Avanzadas:

• Le indicamos que no herede los permisos de la carpeta principal “Usuarios”:

• Convertimos los permisos heredados en permisos explícitos, para poder eliminar o dejar a los usuarios o grupos que nos interesen:

• Quitamos a los usuarios, y empezaremos asignando los permisos a las cuentas de usuarios correspondientes:

• Le asignamos permisos de escritura al usuario Jesús Ramos:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Para las demás carpetas de usuarios debemos de realizar las mismas operaciones.
• Ahora para mapear estos tres recursos compartidos (Publico, Grupos y Usuarios) como unidades de red, para los usuarios del Active Directory cada vez que inicien sesión en un equipo del dominio, crearemos el siguiente script (logonmad.bat) y lo ubicaremos en la carpeta compartida SYSVOL de cualquiera de nuestros Domain Controllers, exactamente en la ubicación C:\Windows\SYSVOL\sysvol\ragasys.net\scripts:

• Para que este script funcione tendremos que editar las propiedades de los usuarios del dominio, yo tengo como costumbre antes de crear todos los usuarios del dominio, crearme una plantilla de usuario por cada departamento y utilizar esta plantilla para ir creando los usuarios, mostraré la configuración de la plantilla creada para el departamento de Administracion, ya que para los demás será exactamente igual:

• Como podemos ver cada vez que un usuario inicia sesión en un equipo del dominio tiene los recursos compartidos como unidades de red:

• Con esto ya tendríamos configurado nuestro servidor de archivos, automáticamente se asignan los roles:

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar y administrar los permisos sobre MS Windows Server 2012 R2 aplicados a nuestra infraestructura, configurando así el servidor de archivos.

Como introducción vamos a explicar y diferenciar que son los permisos para los recursos compartidos y los permisos NTFS.

En un servidor de archivos, el acceso a una carpeta puede estar determinado por dos conjuntos de entradas de permisos: los permisos de recurso compartido definidos en una carpeta y los permisos NTFS definidos en la carpeta (que también se puede definir en los archivos). Los permisos de recurso compartido suelen utilizarse para administrar equipos con sistemas de archivos FAT32 u otros equipos que no utilizan el sistema de archivos NTFS.

Los permisos de recurso compartido y los permisos NTFS son independientes en el sentido de que ninguno modifica al otro. Los permisos de acceso final en una carpeta compartida se determinan teniendo en cuenta las entradas de permiso de recurso compartido y de permiso NTFS y se aplicarán siempre los permisos más restrictivos.

Los permisos de las carpetas o recursos compartidos que el sistema nos deja configurar son:

• Control total: el usuario o grupo tomara propiedad del recurso y puede realizar cualquier tarea.
• Cambiar: crear, eliminar y modificar archivos y carpetas.
• Lectura: permite leer y ejecutar.

Los permisos estándar o predeterminados NTFS que se pueden asignar a una carpeta son:

• Control total: para leer, cambiar, crear y ejecutar bien sean programas o carpetas.
• Lectura y ejecución: para ver el contenido y ejecutar programas de una carpeta.
• Modificar: para poder cambiar los ficheros y las carpetas, pero sin crear y eliminar ficheros ni carpetas nuevas.
• Lectura: para poder ver y abrir el contenido.
• Escritura: para poder crear y cambiar los ficheros y carpetas existentes.
• Mostrar el contenido de la carpeta.

• Además de los permisos NTFS estándar, podemos personalizar mejor las tareas que los usuarios o grupos de usuarios pueden realizar sobre un recurso compartido aplicando los permisos especiales NTFS.

Para empezar vamos a ver cómo vamos a distribuir los recursos compartidos en nuestro servidor de ficheros, tendremos una unidad de disco duro independiente para este fin, así separaremos los archivos de sistema de los datos, crearemos tres recursos compartidos:

• Publico: con acceso de lectura, escritura, ejecución y modificación para todos los usuario del sistema.
• Grupos: en este recurso vamos a crear las carpetas departamentales con acceso de lectura, escritura, ejecución y modificación para su departamento correspondiente y acceso denegado para los demás usuarios del sistema.
• Usuarios: en este recurso vamos a crear las carpetas personales de los usuarios con acceso de lectura, escritura, ejecución y modificación para cada usuario según corresponda, acceso denegado para todos los demás usuarios.

• Empezaremos creando la carpeta Publico y le vamos a asignar los siguientes permisos de recurso compartido:

• Una vez que hemos compartido la carpeta y le hemos asignado los permisos de recurso compartido, vamos a aplicar los permisos NTFS, para ello nos vamos a la pestaña Seguridad > Opciones Avanzadas:

• Para el grupo Administradores, antes le hemos indicado que no herede los permisos del contenedor padre, es decir, que no herede los permisos de la unidad D:

• Para el resto de usuarios:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Ahora vamos a crear la carpeta Grupos y le vamos a asignar los siguientes permisos de recurso compartido:

• Una vez que hemos compartido la carpeta y le hemos asignado los permisos de recurso compartido, vamos a aplicar los permisos NTFS, para ello nos vamos a la pestaña Seguridad > Opciones Avanzadas:

• Para el grupo Administradores, antes le hemos indicado que no herede los permisos del contenedor padre, es decir, que no herede los permisos de la unidad D:

• Para el resto de usuarios:

• Una vez que nos hemos creado el recurso compartido Grupos con sus permisos, vamos a crear dentro de éste, carpetas para los distintos departamentos de nuestra empresa y le asignaremos los permisos que le correspondan a cada departamento, la estructura nos quedaría de la siguiente manera:

• Ahora sólo voy a mostrar cómo se configuran los permisos para un departamento, ya que para los demás se hará de la misma manera, por ejemplo, para el departamento de Administración, antes vamos a hacer un inciso para explicar que la técnica que vamos a usar para asignar los permisos departamentales será AGDLP, que significa esto, pues que en primer lugar vamos a crear las cuentas de los usuarios (A, Accounts), en segundo lugar crearemos los grupos de Seguridad Global (G, Global), en tercer lugar crearemos los grupos de Dominio Local (DL, Domain Local) y por último asignaremos los permisos(P, Permissions), los dos primeros puntos quedaron explicados en el post “Organización de Active Directory sobre MS Windows server 2012 R2”.

• Ahora vamos a crear los grupos de Dominio Local y en ellos vamos a anidar los grupos de Seguridad Global, para ello nos abrimos la consola de Usuarios y equipos de Active Directory en nuestro controlador de dominio, y nos creamos una Unidad Organizativa llamada GruposDL, donde vamos a crear todos estos grupos de DL, los cuáles usaremos para asignar los permisos a las carpetas departamentales:

• Mostraremos la configuración para el departamento de Administración, ya que para los demás será la misma.
• Nos creamos el primer grupo para permisos de Control total, llamado DL_AdministracionCala_FC.

• En la pestaña “General” introducimos los datos correspondientes al grupo:

• En la pestaña “Miembros” introducimos los usuarios o grupos que queremos que pertenezcan a este grupo, en este caso no tenemos ningún miembro:

• En la pestaña “Miembro de” introducimos si este grupo pertenece a otro grupo, en este caso no pertenece a ninguno:

• En la pestaña “Administrado por” podemos indicar el usuario que queremos que administre este grupo, quitándole carga administrativa al Administrador del sistema, esto ya depende de los roles de nuestra organización, en este caso los únicos usuarios que pueden administrar el grupo son los Administradores:

• Nos creamos el segundo grupo para permisos de lectura, llamado DL_AdministracionCala_Read.

• En la pestaña “General” introducimos los datos correspondientes al grupo:

• En la pestaña “Miembros” introducimos los usuarios o grupos que queremos que pertenezcan a este grupo, en este caso no pertenece a ninguno:

• En la pestaña “Miembro de” introducimos si este grupo pertenece a otro grupo, en este caso no pertenece a ninguno:

• En la pestaña “Administrado por” podemos indicar el usuario que queremos que administre este grupo, quitándole carga administrativa al Administrador del sistema, esto ya depende de los roles de nuestra organización, en este caso los únicos usuarios que pueden administrar el grupo son los Administradores:

• Nos creamos el tercer grupo para permisos de escritura, llamado DL_AdministracionCala_Write.

• En la pestaña “General” introducimos los datos correspondientes al grupo:

• En la pestaña “Miembros” introducimos los usuarios o grupos que queremos que pertenezcan a este grupo, en este caso pertenecen al grupo de DL, el grupo de Seguridad Global “GAdministracionCala” que contiene a su vez todos los usuarios del departamento de Administración y el grupo de Seguridad Global “GDireccion” que contiene todos los usuarios del departamento de dirección:

• En la pestaña “Miembro de” introducimos si este grupo pertenece a otro grupo, en este caso no pertenece a ninguno:

• En la pestaña “Administrado por” podemos indicar el usuario que queremos que administre este grupo, quitándole carga administrativa al Administrador del sistema, esto ya depende de los roles de nuestra organización, en este caso los únicos usuarios que pueden administrar el grupo son los Administradores:

• Para crear los demás grupos de Dominio Local y asignar los permisos adecuados a cada departamento seguiremos la misma política que con el grupo Administración.

• Una vez creados los grupos de Dominio Local aplicaremos los permisos a las carpetas departamentales, procederemos a aplicarlos sobre la carpeta “Administracion” ya que para los demás directorios departamentales será exactamente igual:

• En las propiedades de la carpeta Administración accedemos a la pestaña Seguridad > Opciones Avanzadas:

• Le indicamos que no herede los permisos de la carpeta principal “Grupos”:

• Para los permisos de control total asignamos:

• Para los permisos de lectura asignamos:

• Para los permisos de escritura asignamos:

• Para el grupo administradores asignamos Control Total:

• Una vez asignados todos los permisos marcamos el check seleccionado en la captura de pantalla, para que los directorios anidados dentro de éste hereden la configuración de los permisos:

• Los permisos del departamento de Contabilidad quedaría:

• Los permisos del departamento de Dirección quedaría:

• Los permisos del departamento de Ingeniería quedaría:

• Los permisos del departamento de Publicidad quedarían:

• Los permisos del departamento TIC quedarían:

• Los permisos del departamento de Ventas quedarían:

• Ahora vamos a crear la carpeta Usuarios y le vamos a asignar los siguientes permisos de recurso compartido:

• Una vez que hemos compartido la carpeta y le hemos asignado los permisos de recurso compartido, vamos a aplicar los permisos NTFS, para ello nos vamos a la pestaña Seguridad > Opciones Avanzadas:

• Para el grupo Administradores, antes le hemos indicado que no herede los permisos del contenedor padre, es decir, que no herede los permisos de la unidad D:

• Para el resto de usuarios:

• Una vez que nos hemos creado el recurso compartido Usuarios con sus permisos, vamos a crear dentro de éste, carpetas para los distintos usuarios de nuestra empresa y le asignaremos los permisos que le correspondan a cada uno de ellos, éstas carpetas anidadas dentro del directorio Usuarios serán las carpetas personales de cada usuario, a las que sólo ellos tendrán acceso, la estructura nos quedaría de la siguiente manera:

• Ahora sólo voy a mostrar cómo se configuran los permisos para un usuario, ya que para los demás se hará de la misma manera, por ejemplo para el usuario “Jesús”.

• En las propiedades de la carpeta Jesus accedemos a la pestaña Seguridad > Opciones Avanzadas:

• Le indicamos que no herede los permisos de la carpeta principal “Usuarios”:

• Para el usuario Jesús, le asignamos los siguientes permisos:

• Para el grupo Administradores Control Total:

• Para asignar los permisos a los demás usuarios del sistema será exactamente igual.

• Ahora para mapear estos tres recursos compartidos (Publico, Grupos y Usuarios) como unidades de red, para los usuarios del Active Directory cada vez que inicien sesión en un equipo del dominio, crearemos el siguiente script (un .bat) y lo ubicaremos en la carpeta compartida SYSVOL, exactamente en la ubicación C:\Windows\SYSVOL\sysvol\ragasys.net\scripts:

• Para que este script funcione tendremos que editar las propiedades de los usuarios del dominio, yo tengo como costumbre antes de crear todos los usuarios del dominio, crearme una plantilla de usuario por cada departamento y utilizar esta plantilla para ir creando los usuarios, mostraré la configuración de la plantilla creada para el departamento de Administración, ya que para los demás será exactamente igual:

• Como podemos ver cada vez que un usuario inicia sesión en un equipo del dominio tiene los recursos compartidos como unidades de red:

• Con esto ya tendríamos configurado nuestro servidor de archivos, automáticamente se asignan los roles:

Saludos y espero que os resulte de ayuda