Un Active Directory desordenado es fácil de crear y complicado de limpiar. Esta guía crea la estructura en el orden correcto (primero las unidades organizativas, luego los usuarios y luego los grupos), de modo que las políticas y la delegación sigan siendo simples durante años.
La mayoría de las redes pequeñas crecen así: un contenedor predeterminado, cincuenta cuentas de usuario juntas y permisos otorgados persona por persona hasta que nadie sabe quién puede abrir qué. La solución no es una herramienta nueva: es una estructura, decidida antes de crear una sola cuenta. A continuación se muestra el mismo orden utilizado en el video: planifique el árbol de unidades organizativas, cree las unidades organizativas, cree usuarios dentro de ellas, luego cree grupos de seguridad y distribuya derechos a través de los grupos. Hágalo en este orden y cada trabajo posterior (política de grupo, delegación, auditorías) será diez veces más fácil.
Un árbol OU que refleja la oficina real. Los nombres anteriores son ejemplos: copie el patrón, no los nombres.
Una unidad organizativa no es sólo una carpeta. Es la unidad que utilizará posteriormente para aplicar la política de grupo y para delegar pequeños trabajos como restablecer contraseñas. Así que diseñe unidades organizativas en torno a cómo se gestiona realmente la oficina:
Regla honesta: si una unidad organizativa no cambia una política o una decisión de delegación, es decoración. Mantenga el árbol poco profundo: tres niveles son suficientes para la mayoría de las oficinas.
Abra dsa.msc en el controlador de dominio, haga clic derecho en el dominio, elija Nuevo → Unidad organizativa y cree el árbol a partir de su plan. PowerShell hace el mismo trabajo y es más fácil de repetir:
New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"New-ADOrganizationalUnit -Name "Accounts" -Path "OU=Delhi Office,DC=office,DC=local"Reemplace office.local con su propio nombre de dominio en todas partes de esta guía. La estructura importa, los nombres de los ejemplos no.
Haga clic derecho en la unidad organizativa del departamento → Nuevo → Usuario. Aquí dos decisiones deciden qué tan limpio permanece su directorio:
firstname.lastname, se decide una vez y nunca se incumple, incluso para nombres similares.La misma cuenta de PowerShell: New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true
Los grupos son la forma en que los permisos siguen siendo manejables. Cree un grupo de seguridad por recurso (por ejemplo, GRP-Accounts-Share para el recurso compartido de archivos de cuentas), luego agregue usuarios al grupo y otorgue permiso para compartir solo al grupo.
New-ADGroup -Name "GRP-Accounts-Share" -GroupScope Global -GroupCategory Security -Path "OU=Groups,OU=Delhi Office,DC=office,DC=local"Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"Advertencia honesta: el día que le das permiso a una carpeta directamente a una persona, habrás comenzado el lío que esta guía pretende evitar.
Termine con dos hábitos que separan un directorio mantenido de uno afortunado:
Get-ADUser -Filter * -SearchBase "OU=Delhi Office,DC=office,DC=local": la lista debe mostrar a los usuarios solo en sus unidades organizativas planificadas.Esa es toda la base: un árbol de unidades organizativas poco profundo que refleja la oficina, los usuarios creados bajo una regla de nomenclatura y todos los permisos que fluyen a través de un grupo.
El proceso completo de creación de unidades organizativas, usuarios y grupos: en vivo en un controlador de dominio real, paso a paso.
▶️ Watch Full VideoLos contenedores como Usuarios y Computadoras están integrados y no pueden aceptar políticas de grupo ni delegaciones. Las unidades organizativas son los objetos que usted mismo crea y son a ellos a los que se vinculan las políticas y a los que se delegan los derechos. Es por eso que los objetos nuevos siempre se trasladan de los contenedores predeterminados a sus propias unidades organizativas.
Por cualquiera que cambie de política o responsabilidad de soporte. La mayoría de las pequeñas empresas necesitan primero la ubicación (cada sucursal tiene su propia persona de apoyo) y luego el departamento dentro de cada sucursal. Si un administrador gestiona todo y la política difiere según el equipo, priorizar el departamento es igualmente válido: elija una lógica y mantenga la coherencia.
Poco profundo. Dos o tres niveles cubren casi todas las oficinas: sitio, luego departamento, luego la división Usuarios y Computadoras. Los árboles profundos hacen que la herencia de políticas sea difícil de predecir y ralentizan a todos los futuros administradores que deben comprender su diseño.