Windows Server 2025 / Práctica final de dominio, permisos, GPO y recuperación

Esta práctica final de Windows Server 2025 conecta DNS interno, identidades de dominio, permisos de carpetas compartidas, Directiva de grupo y copias de seguridad. Se completa con pruebas de usuarios normales, el resultado real de la directiva y una versión restaurada verificada, no solo con mensajes de éxito de las consolas.

Confirmar el entorno y los criterios de aprobación

Use el laboratorio aislado existente: DC1, 172.24.50.10, proporciona Servicios de dominio de Active Directory (AD DS) y DNS para ad.example.test; FS1, 172.24.50.20, es el servidor de archivos miembro, y CLIENT1 está unido al dominio. Si existe DC2, 172.24.50.11, compruebe también replicación. No vuelva a crear el dominio ni roles ya instalados.

Necesita labuser1 y las unidades organizativas (OU) LabUsers, LabGroups, Workstations y Servers bajo Lab, con CLIENT1 en Workstations. FS1 debe disponer del volumen NTFS D: para datos y E: como destino de respaldo previsto, con espacio suficiente. Si esas letras ya tienen otro uso, adapte preparación y rutas antes de ejecutar comandos; no formatee unidades para hacerlas coincidir. Dos discos virtuales en un mismo host sirven para practicar, pero no son una copia de producción en un dominio de fallo independiente.

Use nombres nuevos para la carpeta y recurso Capstone y para los grupos indicados. Deténgase si existen: no reemplace objetos anteriores. Registre los identificadores de lo que cree y el estado inicial, incluidos título y texto del aviso de inicio de sesión de CLIENT1 y la GPO que los determina. Probar permisos solo como administrador puede ocultar errores de usuarios normales.

Registrar una línea base de red y dominio

Ejecute estas consultas en CLIENT1 y revise el resultado de cada una. FS1 debe resolver a 172.24.50.20; el registro de servicio (SRV) y el descubrimiento del controlador deben corresponder al dominio, y whoami debe identificar al usuario de prueba. Mantenga DNS interno: añadir DNS público no soluciona el descubrimiento del dominio.

ipconfig /all
Resolve-DnsName fs1.ad.example.test
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.example.test
nltest /dsgetdc:ad.example.test
whoami

Registre estado de roles, hora de los servidores y espacio libre de D: y E: en FS1. Si existe DC2, revise repadmin /replsummary y su registro DNS. Si hay errores de red, dominio o replicación, resuélvalos antes de añadir cambios de permisos o directivas; de lo contrario no podrá atribuir el fallo a la capa correcta.

Crear la ruta de permisos mediante grupos

En DC1 use Windows PowerShell elevado y una cuenta con permisos para crear los grupos y modificar su pertenencia. Confirme que OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test existe y que labuser1 es la cuenta prevista; no escriba contraseñas en el código. AGDLP significa Accounts → Global groups → Domain Local groups → Permissions: cuentas, grupos globales, grupos locales de dominio y permisos. Ejecute por partes y deténgase ante cualquier error de consulta o creación: un Get-ADGroup que falla no demuestra que el nombre esté libre. Si hubo creación parcial, inspeccione los objetos y sus identificadores antes de volver a ejecutar.

Import-Module ActiveDirectory
$groupOu = 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Get-ADUser -Identity 'labuser1' -ErrorAction Stop | Out-Null
foreach ($name in 'GG_Capstone','DL_FS_Capstone_Modify') {
    if (Get-ADGroup -Filter { Name -eq $name }) { throw ('Group already exists: ' + $name) }
}
New-ADGroup -Name 'GG_Capstone' -GroupScope Global -GroupCategory Security -Path $groupOu
New-ADGroup -Name 'DL_FS_Capstone_Modify' -GroupScope DomainLocal -GroupCategory Security -Path $groupOu
Add-ADGroupMember -Identity 'GG_Capstone' -Members 'labuser1'
Add-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Members 'GG_Capstone'
Get-ADGroupMember -Identity 'DL_FS_Capstone_Modify' -Recursive

La consulta recursiva debe incluir labuser1 a través del grupo global. En CLIENT1 cierre la sesión y vuelva a entrar como ese usuario para renovar su token de acceso, y ejecute whoami /groups en su sesión normal. Una consulta realizada por el administrador no demuestra que cambió el token del usuario. La documentación de grupos de seguridad AD distingue el alcance global del local de dominio.

Probar acceso compartido permitido y denegado

Con el rol de archivos existente en FS1, abra Administrador del servidor → Servicios de archivos y de almacenamiento → Recursos compartidos → Tareas → Nuevo recurso compartido. Elija SMB Share – Quick, cree la carpeta nueva D:\Capstone y el nombre compartido Capstone. Server Message Block (SMB) es el protocolo de acceso compartido. Si la carpeta o recurso ya existe, deténgase y revise su propietario; no lo reutilice sin saber su finalidad.

1. En NTFS conserve Control total de SYSTEM y administradores. Conceda Modificar a AD\DL_FS_Capstone_Modify sobre esta carpeta y sus archivos. Revise herencia amplia y Acceso efectivo para la cuenta, sin modificar la ACL de toda D:; evaluar una ruta local no prueba por sí solo los permisos SMB.
2. En permisos del recurso conceda Cambiar al mismo grupo local de dominio y conserve la administración necesaria. Retire accesos amplios Everyone que no formen parte del diseño de esta carpeta nueva, tras revisar las entradas reales.
3. Entre en CLIENT1 como labuser1, abra \\fs1.ad.example.test\Capstone, cree sample.txt con capstone version A y guarde. Confirme que puede reabrirlo y escribir; evite guardarlo como sample.txt.txt.
4. Cierre la sesión e inicie otra como la cuenta ordinaria ajena a los grupos Capstone. Compruebe su identidad y que el acceso al mismo UNC se deniega; no use una conexión previa autenticada como administrador para esta prueba.

Para escribir por la red deben permitirlo tanto los permisos del recurso como los NTFS. Si el usuario ajeno accede, compruebe whoami, pertenencias anidadas, herencia y otras entradas de permiso. Ocultar una carpeta no impide el acceso directo. Si necesita otra cuenta, cree una cuenta ordinaria nueva y exclusiva de prueba en LabUsers, sin pertenencia a los grupos Capstone, y registre su nombre; no use un administrador como prueba negativa ni habilite invitado para evitar problemas de autenticación.

En FS1, cierre el editor después de guardar A y registre contenido, hash SHA256 y lista de control de acceso (ACL) de la carpeta antes de respaldar. Conserve también los permisos del archivo mediante Propiedades → Seguridad → Opciones avanzadas. El hash identifica los bytes: no invente un valor ni lo calcule por primera vez después de cambiar a B. Get-FileHash permite comparar posteriormente el contenido restaurado.

Get-Content -LiteralPath 'D:\Capstone\sample.txt'
Get-FileHash -LiteralPath 'D:\Capstone\sample.txt' -Algorithm SHA256
Get-Acl -LiteralPath 'D:\Capstone' | Format-List

Aplicar una GPO separada y comprobar su resultado

En Administración de directivas de grupo de DC1, abra la OU Workstations bajo Lab y cree una GPO nueva Lab-Capstone vinculada allí. Un objeto de directiva de grupo (Group Policy Object, GPO) y su vínculo a la OU son elementos distintos; crear una GPO por sí solo no la vincula. Conserve separada Lab-Computer-Message. Si Lab-Capstone existe, deténgase; registre el nuevo objeto y su vínculo sin alterar directivas ajenas.

1. Edite Configuración del equipo → Directivas → Configuración de Windows → Configuración de seguridad → Directivas locales → Opciones de seguridad.
2. Configure Inicio de sesión interactivo: título del mensaje para los usuarios que intentan iniciar una sesión como Capstone lab y el texto del mensaje correspondiente como Course verification. Son textos de laboratorio, no un aviso legal de producción.
3. Revise el orden de vínculos y otras GPO que configuren esos dos valores. No cambie la directiva predeterminada del dominio ni active forzado global para ganar un conflicto.
4. En CLIENT1 ejecute gpupdate /force en una consola elevada, espere el resultado y revise solicitudes de cierre de sesión o reinicio antes de aceptarlas con el trabajo guardado.
5. Ejecute gpresult /r /scope computer y revise GPO aplicadas y rechazadas. Cierre sesión y confirme título y texto reales al iniciar; para atribuir un conflicto use además Resultados de directiva de grupo en GPMC.

Si el aviso no coincide, revise ubicación del equipo, filtrado de seguridad, precedencia de vínculos y conflictos; que gpresult enumere la GPO no demuestra por sí solo el valor ganador. La guía de procesamiento de Directiva de grupo explica alcance y precedencia. Para comparar, deshabilite únicamente el vínculo Lab-Capstone y vuelva a procesar. Compruebe el aviso frente a la línea base registrada: otra GPO puede aportar el valor anterior y algunas configuraciones de seguridad pueden persistir. No interprete desvincular o No definido como un borrado garantizado.

Respaldar A y restaurar en otra ubicación

En FS1 confirme que Copias de seguridad de Windows Server está instalada y que E: es el destino de prueba autorizado, distinto de D:. Conserve el hash de A y revise origen, destino y espacio antes de confirmar el comando de respaldo. Ejecútelo con permisos de respaldo y consola elevada, espere su resultado y solo después consulte versiones. -vssCopy realiza una copia mediante el Servicio de instantáneas de volumen (VSS); no convierte esta práctica en una copia del sistema completo ni garantiza coherencia de cualquier aplicación.

wbadmin start backup -backupTarget:E: -include:D:\Capstone -vssCopy
wbadmin get versions -backupTarget:E:

Registre éxito, fecha y versión reales, y confirme que el catálogo contiene el archivo previsto; un mensaje de fin o una carpeta de respaldo no bastan. Solo entonces cambie el nuevo D:\Capstone\sample.txt a capstone version B, guarde y cierre el editor. Preserve una copia separada de B con nombre nuevo, sin reemplazar A ni tocar archivos de negocio. La prueba representa un cambio no deseado sin borrar datos operativos.

1. Abra Copias de seguridad de Windows Server → Recuperar y seleccione la copia real de FS1 en E: y la fecha anotada. Si no aparece la versión correcta, deténgase; no elija simplemente la más reciente.
2. Elija Archivos y carpetas y compruebe que D:\Capstone\sample.txt está disponible en esa versión. Si no está, revise la selección respaldada antes de continuar.
3. Elija recuperar en Otra ubicación dentro de una subcarpeta nueva, única y vacía de D:\CapstoneRestore. Registre la ruta; no seleccione la ubicación original ni una carpeta usada por otra restauración.
4. Revise tratamiento de colisiones y restauración de permisos de seguridad, además del resumen de origen y destino, y después inicie la recuperación. Espere el resultado final; deténgase si hay errores.
5. Localice la ruta real del sample.txt restaurado, lea su contenido A y ejecute Get-FileHash -LiteralPath con esa ruta y -Algorithm SHA256. Debe coincidir con el hash de A registrado antes del respaldo, no con el hash actual de B.
6. Compruebe que D:\Capstone\sample.txt sigue conteniendo B y que su copia separada permanece. Un archivo restaurado encontrado en otra carpeta no demuestra que el original quedó intacto: verifique ambos.

Las opciones de recuperación también exigen elegir versión, elemento y destino correctos. Compare la ACL restaurada con el registro previo, además del contenido; recuperar bytes y recuperar acceso son comprobaciones distintas. No reemplace el archivo actual hasta validar el resultado. En esta práctica B debe seguir en su ubicación original y A debe existir en el destino alternativo.

Para comprobar acceso real al archivo restaurado sin conceder inicio de sesión en FS1, use un recurso temporal limitado. Verifique que CapstoneRestoreCheck no existe; desde el mismo asistente de recursos compartidos de FS1 seleccione únicamente la carpeta de ejecución restaurada y cree ese nombre con Lectura para AD\DL_FS_Capstone_Modify y administración necesaria. Revise ACL de carpeta y archivo, mantenga SYSTEM y administradores y no añada permisos NTFS amplios para forzar el resultado. Desde CLIENT1, labuser1 debe poder leer el A restaurado por \\fs1.ad.example.test\CapstoneRestoreCheck y la cuenta negativa debe ser rechazada. Use la ubicación relativa real del archivo y sesiones separadas, sin guardar cambios en A. Si la ACL restaurada o la herencia del destino impiden el acceso, documente la diferencia y su corrección limitada antes de darla por válida.

Este recurso temporal con Lectura comprueba lectura y rechazo, no acredita escritura de la copia restaurada; la prueba de Modificar corresponde al recurso original. La guía de evaluación de acceso efectivo distingue el acceso remoto mediante UNC del cálculo local. Conserve resultados y ACL antes de retirar solo CapstoneRestoreCheck desde Recursos compartidos. Quitar ese recurso no exige borrar sus archivos: mantenga A, B y el respaldo hasta completar la revisión y la decisión de retención.

Guardar evidencias y limpiar solo lo creado

• Conserve una ficha con direcciones, DNS, roles, OU, cuentas y grupos, permisos de carpeta y recurso, objeto y vínculo GPO, versión de respaldo y rutas reales de restauración.
• Anote por separado identidades de pruebas permitida y denegada, resultados y directiva efectiva, contenido y hash de A restaurada, conservación de B y comprobación de acceso al archivo recuperado.
• Documente fallos, causa, corrección, nueva verificación y tiempo real de recuperación, indicando desde qué evento se midió. No registre tiempos supuestos como resultados.
• Identifique dependencias compartidas de host, almacenamiento y alimentación que siguen existiendo en el laboratorio. Completar el ejercicio no prueba recuperación ante la pérdida del host completo.

Para limpiar, deshabilite o quite primero solo el vínculo Lab-Capstone, actualice CLIENT1 y verifique el aviso contra los dos valores iniciales registrados. Si persiste un valor de laboratorio, identifique la directiva efectiva y restablezca esa línea base mediante una configuración limitada y aprobada, comprobándola de nuevo antes de retirar el objeto de prueba; no restablezca todas las opciones de seguridad. La documentación de persistencia de configuraciones de seguridad explica por qué retirar una definición no siempre borra el valor. Decida retención de datos, restauraciones y respaldos; retire solo recursos y grupos creados para esta práctica y, si corresponde, la cuenta negativa nueva. Preserve las OU existentes y los recursos ajenos.

La aprobación exige acceso ordinario permitido y denegado según lo previsto, la directiva correcta y recuperación de A con hash coincidente mientras B permanece intacta. Ante un fallo compare DNS y dominio, identidad y token, permisos SMB y NTFS, directiva efectiva y catálogo de respaldo. No oculte el problema abriendo permisos generales, desactivando firma SMB o relajando el firewall.