Delegate Control Active Directory Part#2

Delegate Computers

En el post-anterior introducimos el tema de Delegate Control, ahora continuaremos con la parte #2 sobre asignar el privilegio para que puedan agregar,mover y desvincular una computadora del Dominio. 

User Account (Create,Move,Disable). Part#1

       Computers (Create,Move,Disable).Part#2

Group (Create,Move,Disable).Part#3

Organization Unit (Create,Move,Disable).Part#4
Group Policy Owner Creator (Create and Link GPO).Part#5

Iniciamos creando el Grupo para asinar el privilegio. ( AD_Delegate_Computers).

Debemos Digitar las iniciales del Grupo.

Los permisos que debemos cotejar son los siguientes:

- Read All Properties
- Write All Properties 
- Reset Password 
– Read and write Account Restrictions 
– Validated write to DNS host name 
– Validated write to service principal name  

Click en Finish.

Nota.: Existe una quota que por defecto permite que una cuenta de usuario de dominio agregar solo 10 computadora. Si deseamos aumentar esta quota debemos modificar esta opcion en:

Clic Derecho Active Directory Object -> properties -> Attribute Editor -> ms-DS-MachineAccountQuota.

Security (NTFS) VS Sharing (SMB/CIFS).

Para mucho puede llegar a ser confuso para otro nos, pero no está de más aclara la diferencia de permiso NTFS y SMB/CIFS en otra palabra (Security vs Share).

Algo a tener bien presente y es que al combinar ambos permisos se convierten en un conjunto de permisos y se aplican y el más restrictivo de los dos.

Security Permissions NTFS se compone de:

Full Control = Acceso total

Modify = Acceso solo a Modificar

Read & Execute = Acceso a leer y ejecutar

List Folder contents = solo a listar el contenido, ósea solo ver que tiene la carpeta.

Read = Solo lectura, puede ver el contenido y leer el contenido de un archivo existente pero no hacer más nada.

Write = Solo escritura, puede tomar

Special Permissions = es como modificar un permiso, para un caso en específico.

Sharing Permissions SMB/CIFS se compone de:

Full Control = Acceso total.

Change = Acceso a Modificar.

Read = Solo lectura, puede ver el contenido y leer el contenido de un archivo existente pero no hacer más nada.

EJEMPLO VIA ACCESADO VIA RED

En la Carpeta (A) tenemos lo siguiente

Security NTFS - Share SMB/CIFS

       Read                 Change

Cualquiera diría que, al acceder vía RED, tendríamos permiso de Change, pero no es así, porque Security tiene Read, y como la regla dice: se aplican y el más restrictivo de los dos. Entonces solo tendremos acceso de lectura.

Ej: #2

En la Carpeta (B) tenemos lo siguiente

Security NTFS - Share SMB/CIFS

  Full Control            Change

En este ejemplo tendremos el privilegio Change, aunque NTFS este “Full Control” por que como hemos dicho se aplican y el más restrictivo de los dos.