Microsoft tiene una solución llamada local Administrator password solución Labs en la cual nosotros
vamos a poder realizar la administración de las cuentas locales y sus password.
Cuando no tenemos una gestión bien enfocada en el tema de administración de los password localmente
de las cuentas de nuestros equipos unidos al dominio esto puede ser un problema de seguridad.
Tenemos diferentes cuentas locales con las cuales pueden atacar a lo que serían nuestros equipos pueden
hacerse con una cuenta de estas y atacar nuestros equipos locales en este caso nuestro equipo de clientes.
Esta solución es muy sencilla de instalar debemos realizar la instalación de la gente tanto de nuestro
servidor controlador de dominio con el cual va a incluir lo que sería esa consola ministrable y también
tenemos que instalar un agente en nuestros equipos clientes.
Esta gente lo podemos distribuir por lo que sería política de grupo ya que es un archivo punto de MCI
o podemos hacerlo por System Center.
Si tenemos esta solución y podemos instalarlo también manualmente y nuestros equipos locales de nuestro
dominio.
Para ello tenemos aquí tenemos la web R.L y podemos buscarlo en este caso y poder descargar un paquete
muy pequeño en el cual nosotros vamos a tener allí para versiones de 64 y de 86 bits.
Vamos a tener una hoja de ruta una operación Kit y una técnica específica para poder tener un no un
tema de documentación.
Aquí lo que podemos hacer con Labs y cuales son cada una de sus características.
Ya hemos descargado el paquete ya yo lo tengo por aquí en mi servidor controlador de dominio tengo un
servidor controlador de dominio y tengo un equipo cliente con Windows 10 el cual está unido al dominio.
Lo que voy a hacer primeramente antes de instalar es crear una unidad organizativa aquí en nuestro nuestro
dominio vamos a crear una unidad organizativa la cual va a tener nuestros equipos para poder realizar
la administración de nuestros equipos clientes.
Esto lo vamos a llamar por ejemplo doblé de Kaloian por ejemplo los password administrados de ustedes
pueden llamarles de cualquier otra forma y vamos a crear allí nuestra unidad organizativa.
El configurar que voy a utilizar en este caso se dice Conklin 0 1 lo que voy a hacer es que voy a moverlo
a esa unidad organizativa que he creado nueva y lo que podemos hacer es que a esos equipos vamos a poder
aplicarle una política para poder configurar el tema del password en todos nuestros equipos.
Entonces ya tengo mi equipo aquí en Colón con 0 1 en esta unidad organizativa como otra parte voy a
crear un grupo en la parte por ejemplo puede ser aquí en lo mismo ni adorno iniciativa voy a crear un
nuevo grupo el cual ese grupo vamos a obtener la parte de la gestión de quienes van a poder realizar
esa gestión de esos password en estas cuentas.
Entonces yo puedo crear un grupo que se llama Elders por ejemplo y este grupo es el que va a poder administrar
ese tema vamos a crear un grupo que se llama Herdez.
En este caso lo vamos a hacer de dominio global de seguridad y vamos a aceptar dentro de ese grupo yo
voy a incluir las cuentas que van a ser parte o que van a administrar lo que sería ese tema de paz en
los equipos podemos tener de pronto a algún usuario de Vélez o más que nos ayude con el tema de gestión
de password y todo el tema de la instalación en los equipos y él va a poder ver a través de ese permiso
que localmente tiene ese equipo para poder realizar alguna instalación o realizar algún alguna configuración
en concreto.
Aquí por el momento voy a incluir el usuario administrador para gestionar esto con el usuario administrador.
Aquí voy a incluir el usuario administrador le voy a dar aplicar y aceptar un reto porque con este grupo
es donde le vamos a dar permiso a la herramienta para poder instalarlo estos permisos se van a hacer
todos a través de Windows PowerShell.
Una vez gestionado esto una vez gestionado el tema de la unidad organizativa va a haber movido a nuestro
equipo ha creado ese grupo de gente es lo que vamos a hacer es que vamos a instalar nuestros Labs del
lado del servidor primero vamos a instalar la app vamos a darle doble click vamos a darle clic en Siguiente
aceptar los términos del contrato y aquí lo que voy a hacer es que voy a instalar todas las herramientas
voy a instalar todas las herramientas tanto la cliente de la interfaz de cliente voy a instalar lo que
es el Porcia el módulo que es importante y voy a poder instalar también lo que es el GPO editor template
nos va a agregar un temple a nuestras unidades a nuestro GPO para poder desplegarla a nuestros equipos
le damos clic en Siguiente le damos clic en Instalar y ya tenemos instalado lo que sería nuestro Labs
en nuestro Windows Server 2016 2019 2000 12 pueden utilizar Windows Server 2003 esa herramienta.
Una vez instalado esto es lo que vamos a hacer es que vamos a irnos a abrir un Windows PowerShell vamos
a abrir aquí y en ese archivo es lo que vamos a hacer es que vamos a realizar la importación de ese
módulo que han instalado.
Entonces lo que vamos a hacer es un módulo para realizar la importación del módulo A D.M petróleo de
punto PC vamos a importar este módulo vemos que aquí ya no importó y vamos a hacer un jet coman de cuáles
son los comandos que tenemos a través de ese módulo eso lo hacemos a través de un asterisco de doble
VM admite Pedro Leyde y vamos a buscar todo lo que tenga que ver con eso.
Aquí tenemos los pasos los CMD LEDs que nosotros vamos a utilizar en este caso para poder configurar
lo que es Labs primer CML que vamos a utilizar es avoid a DM password.
A ese esquema a lo que vamos a hacer es que vamos a actualizar el esquema de nuestro App Directory para
poder que tenga esa herramienta y poder incorporar esa herramienta a nuestro App Directory.
Por qué.
Porque esa herramienta lo que hace es que los password de nuestras cuentas locales de nuestros equipos
lo que hace es integrarlos a nuestro Directory y entonces esos password se van a poder ver en cada uno
de los atributos de nuestros equipos en nuestro Bauti directamente conectados allí o creados.
Ese nuevo atributo en nuestro propiedades de estos equipos lo que hacemos es darle enter aquí hemos
actualizado lo que sería nuestro Android a DMP doble esquema vemos que aquí nos da la satisfactoriamente
la creación de lo que serían estos parámetros en este caso de nuestra nueva actualización del esquema
de directorio.
Una vez realizado esto lo que vamos a hacer ahora es que vamos a utilizar el CML set Ion de doble Gude
Computers aquí lo tenemos en este caso vamos a utilizar ese nuevo CMD LED que tenemos aquí se pedrolo
comprobaréis permisión el cual nos va a servir para especificar cuál es la unidad organizativa que nosotros
queremos aplicarle esta configuración o a qué equipos se encuentran en esa unidad organizativa.
Entonces yo le voy a decir que en este caso la organización va a ser la que hemos creado que se llama
en este caso vemos aquí que se llama doble click en clients.
Entonces yo le voy a decir que se llama doble de clients para esa unidad organizativa le damos enter
y aquí hemos delegado esos permisos para poder que utilice la herramienta esa unidad organizativa para
gestionar el tema de contraseñas.
Una vez especificado la unidad organizativa ahora lo que vamos a hacer es que vamos a darle permisos
de lectura a nuestros usuarios en este caso en el grupo de usuarios que hemos creado para poder administrar
eso y esto lo vamos a hacer a través de lo que sería el CML Red password Paramillo que es lo que tenemos
aquí lo copiamos lo pegamos y le vamos a decir que vamos a darle permisos a ese grupo que hemos creado
que en este caso se llama la unidad organizativa que se llama aquí la tenemos.
P WV de clients y vamos a decirle que vamos a permitir vamos a hacer un principals de ese grupo que
nosotros hemos creado que se llama con toso que tiene el dominio con todos todas vaques las demás.
Entonces ya tenemos ese grupo que tenemos allí creado que se llama gelidez.
Vemos aquí este grupo y ese grupo es el que le vamos a dar permiso para poder administrar el tema de
paz volvemos que estamos permitiendo la herramienta que utiliza ese grupo le damos enter y aquí hemos
delegado lo que sería esa configuración a nuestros grupos
ahora adicional también debemos darle permiso con este nuevo CML que se doble pedido Reset Password
permisión para poder resetear lo que serían los password.
Entonces vamos a utilizar este CMD LED y en este CML también vamos a utilizar lo que sería vamos a especificar
la unidad organizativa que vamos a aplicarle Pedro Glew de clients y vamos a decirle que en este caso
vamos a permitir vamos a hacer un uno principal al mismo grupo que tenemos entonces tenemos con toso
que es las el decks que vamos a vender y aquí vemos que se ha delegado la unidad organizativa en este
caso de lo que sería esta y permiso para poder resetear los passwords de nuestras de nuestros equipos
por último lo que vamos a hacer es utilizar el CML fin en este caso para ver para buscar cuáles son
los permisos que tiene en este caso el Identity.
Vamos a decirle que el Identity Pedro Lebu de clients que es la unidad organizativa que hemos utilizado
y debe darnos los permisos en este caso para lo que sería con todos los administradores del dominio
y lo que sería el grupo Geddes que también nos lo da.
Aquí en esta parte ese grupo de gelidez y poder tenerlo allí en este caso entonces allí todos los permisos
que tenemos para esto una vez terminamos de configurar la parte de PowerShell podemos minimizar aquí
y lo que vamos a hacer ahora es que vamos a irnos a la parte de nuestro editor de Políticas de Grupo
a nuestro administrador de Políticas de Grupo directivas de grupo del dominio y vamos a crear esos ripios
para nuestra unidad organizativa que hemos creado a la parte de lo que sería nuestro dominio con todo
eso vemos que aquí tenemos la unidad organizativa doble o clients a la cual le vamos a crear una GPO
que se va a llamar Lapaz de los administradores administración password.
En este caso solución decidimos aceptar esta directiva lo que vamos a hacer es que vamos a editarla
y vamos a buscar esa política en este caso vamos a ir juntas directivas Plantillas administrativas y
aquí tenemos una que se llama Labs.
En este caso eso fue lo que instalamos cuando seleccionamos la parte de que nos cargara o que nos implementara
el tema de las directivas o los templates de la BIOS en este caso lo que tenemos aquí es una serie de
directivas cuatro directivas con las cuales nosotros vamos a configurar lo que sería el tema de la implementación
de nuestros password vamos a utilizar la directiva de password settings que es donde vamos a habilitarla
y le vamos a decir cuál es la cantidad cuál es la configuración en este caso si queremos letras números
letras y números caracteres especiales para ese password que se va a generar en nuestras cuentas locales.
Aquí vamos a generar la cantidad de caracteres que queremos para ese password por ejemplo diez caracteres
podemos utilizarlo aquí podemos bajar un poco más para que de pronto no sea muy largo y en este caso
cuánto va a tener de vigencia ese password para esa cuenta.
Cuál es lo interesante de este servicio de esta solución.
Labs que automáticamente ese password se va a ir cambiando y no va a estar siempre el mismo password
para nuestras cuentas.
Cuántos de ustedes no implementó colocan una cuenta de administrador o una contraseña y esa contraseña
se queda así por todo el tiempo.
Eso es una mala práctica de seguridad Labs.
Eso es lo que viene a suplir y a tener una implementación mucho más confiable en el tema de contraseñas
con lo cual esa contraseña va a ser cambiada automáticamente cada cierto tiempo el número de días que
ustedes lo implementen aquí.
Entonces podemos escoger por defecto 30 días por ejemplo si ustedes quieren algo más mucho más robusto
pueden hacerlo cada 15 días cada 10 días.
En este caso yo creo que 30 días es algo bastante importante y vemos aquí está para versiones de Windows
Vista y Windows Server 2003 en adelante lo que hacemos entonces es aplicarlo y aceptar esta configuración
que tenemos allí otra de la directiva que tenemos que configurar está en el local admin password Management.
Aquí nosotros vamos a poner doble doble clic vamos a habilitar aquí no tenemos que escoger nada y le
damos a aceptar con esas dos directivas ya tenemos configurado ese tema de la BIOS también nosotros
podemos implementar o podemos configurar el nombre de la cuenta de administrador que queremos administrar.
Por ejemplo yo quiero habilitarla y yo tengo mi equipo en mi equipo cliente.
Yo tengo una cuenta en este caso voy a ir a la parte de administración de equipos yo tengo una cuenta
que se llama jja y entonces yo tengo todas mis cuentas que tienen un mismo nombre.
En este caso por ejemplo tenemos la cuenta administrador y tenemos la cuenta J.G. pero en este caso
es la misma yo voy a habilitar voy a establecer una contraseña para esa cuenta de administrador.
Por ejemplo vamos a colocarle uno dos tres cuatro cinco seis.
Vamos a ver si me dejan colocarla y en este caso yo puedo gestionar el nombre de esa contraseña que
me dice que la contraseña de usuario es muy débil.
Voy a publicarle Paz Ware y así
colocarla así para ver si me lo acepta o cambió la contraseña entonces yo tengo varios contra varias
cuentas locales por ejemplo en este caso tengo la cuenta administrador tengo la cuenta J.G pero yo puedo
especificar cuál es el nombre de esa cuenta que yo quiero gestionar desde aquí le puedo decir que yo
quiero gestionar la cuenta JCA y epro en todos mis equipos porque en todos mis equipos esa cuenta se
llama J.G y en caso de no tenerla seleccionada lo que va a hacer es que va a gestionar todas las cuentas
en este caso que estén dentro del grupo administradores entonces va a gestionar la cuenta JGB y la cuenta
administrador en caso de que tengamos varias cuentas de administrador correcto entonces a eso de hacer
referencia la directiva de especificar la cuenta que nosotros vamos a administrar.
Una vez implementado eso ya podemos cerrar nuestro editor de directivas de grupo y lo que vamos a hacer
ahora es que nosotros podemos ir ya a nuestro equipo cliente e instalar lo que sería el cliente el agente
cliente de lo que sería Labs vamos a nuestro equipo cliente.
Vamos a cerrar por aquí vamos a ejecutar el cliente de Labs en este caso le damos clic en Siguiente
aceptamos los términos de licencia y aquí solamente lo que vamos a utilizar sería el de doble GPO extensión
que en este caso va a utilizar o va a instalar lo que sería nuestro agente cliente y lo que serían los
Management Tools no lo vamos a instalar en ninguno de ellos porque esto solamente aplica para la instalación
centralizada en nuestro controlador de dominio le damos a dar clic en Siguiente le damos a dar clic
en Instalar y le damos a dar clic en Finalizar.
Vamos a abrir un CMD por aquí para realizar lo que sería la actualización de la directiva del grupo
vamos a ejecutar un cmd y vamos a hacer un jipi update barra Fours para totalizar la directiva del grupo
que hemos creado para la unidad organizativa.
Doble de clientes ya que esos equipos deben estar dentro de esa unidad organizativa.
Vamos a esperar la actualización de nuestro grupo y ya tenemos la actualización completada en nuestro
equipo cliente.
Una vez actualizada nuestra con nuestra directiva de grupo vamos a irnos a nuestro servidor controlador
de dominio donde tenemos nuestra cuenta de equipos.
Vamos a ir a la parte de usuarios equipos de Happy Directory.
Vamos a actualizar aquí para que refresque la información de nuestra cuenta de equipo y en este caso
vamos a tener que si nosotros vamos a las propiedades de esta cuenta de equipo vamos al editor de atributos.
Vamos a tener que tenemos un atributo nuevo que se llama MS MS doble de M PD alude en este caso lo tenemos
por aquí.
Aquí lo tenemos MS Yvon MSC DMP doble Gude que nos tiene un valor de la contraseña que se encuentra
en nuestras cuentas de equipos locales.
Nuestra cuenta de usuario de equipos locales.
Aquí tenemos cuál es el Passbook que tenemos allí en esa cuenta y ese password se va a cambiar automáticamente
con lo que sería la directiva que nosotros la implementamos.
El número de días que implementamos cuántos caracteres tiene tiene una coma.
1 2 3 4 5 6 7 8 9 y 10 que fueron los 10 caracteres que le establecimos o que le indicamos que configurará
esa cuenta.
En este caso aquí tenemos cuál es el password.
Entonces ya nosotros vamos a tener gestionada toda esa parte de password de nuestras cuentas locales
con lo que sería nuestro director y no vamos a tener por ejemplo un password que se nos olvide de pronto
de la cuenta locales vamos a tener diferentes password para diferentes cuentas y en este caso entonces
este password es el que le ha asignado a todas las cuentas que sean administradoras locales de nuestros
equipos.
Adicionalmente tenemos una herramienta aquí en la parte ya podemos cerrar por aquí.
Aquí en la parte de nuestro servidor también se instala una herramienta que se llama Labs UI o interfaz
de usuario Labs.
Esta herramienta nosotros la podemos abrir y aquí podemos conocer cuál es el pago por si no queremos
irnos a nuestro directorio a ver las propiedades los atributos de esa cuenta de equipo.
Aquí lo que debemos hacer entonces es escribir el nombre del computador en este caso se llama Conklin
0 1 le decimos Search y vamos a ver que tenemos el mismo password que nos colocaba allí y vamos a tener
la información del password cuando expire vemos que lo configure el día 23 de este día.
Entonces en ese caso vemos que me va a vencer ese password el día 23 del mes siguiente vemos que estamos
en 23:04 23:05 a esta hora.
Adicionalmente con esta herramienta Labs.
Uy uy nosotros vamos a poder configurar la fecha de expiración.
Aquí nosotros podemos escoger que no queremos que sea el 25 del 23 de abril sino que en este caso sea
otra fecha.
Por ejemplo quiero que expire el puede ser el 26 de abril y yo le digo C.T y en este caso vemos que
el pago sellarse es reseteado correctamente.
La contraseña sigue siendo la misma pero en este caso la fecha de expiración va a ser el 26.
De allí ha cambiado la fecha por si queremos que sea una fecha diferente de la que le hemos establecido
a nuestro y a nuestra directiva del grupo que hemos implementado.
Entonces con esto nosotros vamos a tener esa gestión de contraseñas con de nuestras cuentas locales
de nuestros equipos ahora para confirmar de que evidentemente esta es la contraseña que se ha implementado
en nuestras cuentas locales.
Lo que vamos a hacer es que vamos a unirnos a nuestro equipo cliente y vamos a cerrar sesión en este
caso yo estoy iniciado con la cuenta administrador pero de dominio lo que voy a hacer es que voy a cerrar
sesión y vamos a confirmar de que sí está implementado ese password para nuestra cuenta administrador
pero local vamos a iniciar sesión con esta otra cuenta.
En este caso otro usuario vamos a utilizar la cuenta administrador y vamos a ver que están Bonney iniciar
sesión localmente en nuestro equipo no vamos a iniciar sesión en nuestro dominio.
Voy a probar con la contraseña que en este caso web Password La contraseña que establecí para lo que
sería la cuenta y recordemos que yo implementó una contraseña a esa cuenta.
Voy a probar para ver si puedo iniciar sesión y en este caso me dice que el nombre de usuario y la contraseña
son correctos.
Ok entonces vamos a probar con la contraseña que tenemos aquí que es la contraseña que implementa implementó
lo que sería la solución de Labs en este caso es Koma 33 numeral en mayúscula 7 cierra corchete S mayúscula
p minúscula Koma y la tenemos.
Vemos que no aquí lo tenemos y si nosotros le damos iniciar sesión vamos a ver que en este caso si inicia
sesión con nuestra cuenta de usuario de la administradora local.
En este caso ya tenemos que hemos implementado el servicio.
La solución de apps para la administración de contraseñas locales de nuestros equipos y no tener todas
esas contraseñas por ahí regadas unas contraseñas para unos equipos para otros sino que lo vamos a tener
totalmente centralizado y seguro porque viene integrado con nuestro API Directory.
Una solución muy importante a la hora de poder gestionar esas contraseñas que si no se gestionan de
una manera bien segura pues tenemos un problema de seguridad con nuestros equipos ya que cualquiera
puede hacerse con esta cuenta localmente y pueden hacer cualquier trabajo o cualquier operación con
nuestros equipos locales localmente y también comprometer toda nuestra red.
Entonces esta es la implementación del servicio del APT un servicio que configuramos de una forma muy
sencilla y que vamos a tener una seguridad aumentada en todo nuestro entorno de infraestructura de trabajo.