Privilegios mínimos para proveedores de Active Directory

Devolutions Server permite la elevación de grupo justo a tiempo (JIT) y la rotación de contraseñas utilizando una cuenta de Active Directory como proveedor PAM. Lea las instrucciones a continuación para saber cómo delegar el control a dicho proveedor PAM en la consola Usuarios y equipos de Active Directory (ADUC).

Para gestionar cuentas de administrador de dominio como cuentas privilegiadas en el módulo PAM, debe conceder a la cuenta del proveedor PAM de AD acceso al objeto AdminSDHolder. Para conocer los pasos detallados, consulte Creating Management Accounts for Protected Accounts and Groups in Active Directory.

Elevación de grupo JIT

1. Abra la consola Usuarios y equipos de Active Directory (ADUC).
2. Haga clic derecho en la unidad organizativa (OU) que contiene los grupos de las cuentas privilegiadas (o en un nivel de OU superior para abarcar todas las OU en las que la cuenta del proveedor PAM debe poder cambiar las pertenencias a grupos) y seleccione Delegar control...

Asegúrese de repetir estos pasos para la OU en la que se crean los grupos temporales.

1. En el Asistente para delegación de control, haga clic en Siguiente para llegar al cuadro de diálogo Usuarios o grupos. Haga clic en Agregar o seleccione la cuenta que se utilizará como cuenta de proveedor PAM en Devolutions Server.

1. Introduzca el nombre del objeto que desea seleccionar y luego haga clic en Comprobar nombres. Haga clic en Aceptar para confirmar.

1. Haga clic en Siguiente.

1. En Tareas para delegar, seleccione Crear una tarea personalizada para delegar y luego haga clic en Siguiente.

1. En Tipo de objeto de Active Directory, seleccioneSolo los siguientes objetos de la carpeta y luego marque el elemento Objetos de grupo. A continuación, marque las casillas Crear los objetos seleccionados en esta carpeta y Eliminar los objetos seleccionados en esta carpeta, y haga clic en Siguiente.

1. En Permisos, marque únicamente la casilla Específicas de propiedad. Busque y active el permiso Escribir Members y luego haga clic en Siguiente.

1. Compruebe que se ha delegado el permiso correcto y luego haga clic en Finalizar para completar el proceso.

Rotación de contraseñas

1. Abra la consola Usuarios y equipos de Active Directory (ADUC).
2. Haga clic derecho en la unidad organizativa (OU) que contiene las cuentas privilegiadas (o en un nivel de OU superior para abarcar todas las OU en las que la cuenta del proveedor PAM debe poder rotar las contraseñas de las cuentas) y seleccione Delegar control...

   
3. En el Asistente para delegación de control, haga clic en Siguiente para llegar al cuadro de diálogo Usuarios o grupos. Haga clic en Agregar o seleccione la cuenta que se utilizará como cuenta de proveedor PAM en Devolutions Server.

   
4. Introduzca el nombre del objeto que desea seleccionar y luego haga clic en Comprobar nombres. Haga clic en Aceptar para confirmar.

   
5. Haga clic en Siguiente.

   
6. En Tareas para delegar, seleccione Crear una tarea personalizada para delegar y luego haga clic en Siguiente.

   
7. En Tipo de objeto de Active Directory, seleccioneSolo los siguientes objetos de la carpeta y luego marque el elemento Objetos de usuario. A continuación, marque las casillas Crear los objetos seleccionados en esta carpeta y Eliminar los objetos seleccionados en esta carpeta, y haga clic en Siguiente.

   
8. En Permisos, marque las casillas General y Específicas de propiedad. Busque y active los siguientes permisos y luego haga clic en Siguiente.

• Cambiar contraseña
• Restablecer contraseña
• Leer lockout Time
• Escribir lockout Time
• Leer pwdLastSet
• Escribir PwdLastSet
• Leer userAccountControl
• Escribir userAccountControl

1. Compruebe que se han delegado los permisos correctos y luego haga clic en Finalizar para completar el proceso.

La función de rotación de contraseñas utiliza las reglas de contraseñas integradas predeterminadas de Devolutions Server. Para aplicar reglas de contraseñas específicas del dominio, cree una política de contraseñas personalizada en Administración – Políticas de contraseñas y luego establézcala como plantilla de contraseña predeterminada en Administración – Configuración del sistema – Gestión de contraseñas – Políticas de contraseñas.