 TechNet Magazine May 2008

TechNet Magazine May 2008

Administración de Windows: Copia de seguridad y restauración de Active Directory en Windows Server 2008

Windows Server 2008 y la nueva utilidad Copias de seguridad de Windows Server integran numerosos cambios y ofrecen gran cantidad de mejoras para las copias de seguridad. Aquí tiene una guía exhaustiva de las copias de seguridad y restauración de Active Directory en el nuevo sistema operativo del servidor.

Gil Kirkpatrick Administración de Windows: Diseño eficaz de unidades organizativas

Un gran número de desarrolladores subestiman la importancia de tener una estructura de unidad organizativa bien diseñada. Averigüe por qué es importante tener una estrategia de unidad organizativa eficaz y determinar la mejor estructura de unidad organizativa para su organización.

Ken St. Cyr Administración de Windows: Ampliación del esquema de Active Directory

Muchas aplicaciones que dependen de Active Directory definen sus propios cambios en el esquema. No obstante, es imprescindible que estos cambios no afecten a otras aplicaciones. Obtenga información general acerca de la ampliación de Active Directory a través de los objetos classSchema y attributeSchema.

Vikas Malhotra System Center: Presentación de System Center Mobile Device Manager

El nuevo System Center Mobile Device Manager proporciona un completo conjunto de herramientas para la administración de dispositivos Windows Mobile mediante un complemento MMC o a través de Windows PowerShell. Averigüe cómo esta herramienta esencial le permitirá administrar dispositivos móviles, aumentar la seguridad y proporcionar capacidades VPN móviles.

Matt Fontaine System Center: Novedades de System Center Essentials SP1

El Service Pack 1 presenta mejoras considerables en System Center Essentials 2007. Explore algunos de los principales cambios que mejorarán la experiencia del usuario y simplificarán la administración.

Pete Zerger Nota del editor: Una calurosa bienvenida a "Dentro de SharePoint"

Joshua Hoffman Cartas: Comentarios de los lectores

Cuadro de herramientas: Nuevos productos para profesionales de TI

Greg Steen Preguntas y respuestas sobre Exchange: Implementación de Exchange 2007 SP1

En esta entrega, respondemos a sus preguntas acerca de Exchange Server 2007 SP1.

Nino Bilic Utility Spotlight: Planeación de la capacidad de SharePoint

Explore la herramienta Planeación de la capacidad de SharePoint y observe cómo es posible diseñar una topología para implementar SharePoint y, a continuación, revisar esa topología tras ejecutar simulaciones de carga y de uso.

Peter Skjøtt Larsen and Satish Mathew Dentro de SharePoint: Creación de una infraestructura para SharePoint

SharePoint es eficaz, pero su complejidad puede convertir la implementación en un desafío. Nuestra nueva columna acerca de SharePoint supone una gran ayuda. En esta primera entrega, ofrecemos información general acerca de la arquitectura de SharePoint y le mostramos cómo es posible configurar una infraestructura básica de SharePoint con WSS 3.0.

Pav Cherny Windows PowerShell: Automatización de la administración de directorios

La versión 1 de Windows PowerShell ofrece capacidades de administración de Active Directory nada sorprendentes. Averigüe cómo puede usar complementos para trabajar de forma más eficaz con objetos de Active Directory desde Windows PowerShell.

Don Jones ¡Hola, encargados del scripting!: Arqueamiento de cejas ante expresiones regulares

Los encargados del scripting visitan el Louvre, practican un poco de crítica artística y le muestran cómo usar las expresiones regulares en un script para realizar acciones de búsqueda y reemplazo.

The Microsoft Scripting Guys Vigilancia de seguridad: Principios de seguridad cuántica

Descubra cómo el Principio de indeterminación de Heisenberg y otros elementos de la física cuántica pueden arrojar un poco de luz sobre la evolución de las estrategias de seguridad. (Nota: al escribir este artículo no se maltrató a ningún gato).

Jesper M. Johansson Archivos del escritorio: Dejando detrás al administrador

Por qué todo el mundo se ejecuta como administrador? Wes Miller analiza los riesgos de ejecutarse como administrador y explora las ventajas de involucrar a los usuarios (incluido usted) en una transición hacia la ejecución como usuario.

Wes Miller Notas de campo: Varios mouse, un equipo

¿Qué hace usted cuando hay más alumnos que equipos en una aula? Microsoft Research India ha desarrollado una solución, llamada MultiPoint, que permite el uso simultáneo de varios mouse en un equipo.

Kentaro Toyama Confidencial de Windows: Los iconos de 16 bits están muy pasados de moda

Raymond Chen explica por qué Windows Vista no es compatible con los iconos de 16 bits y se pregunta si nadie se ha dado cuenta.

Raymond Chen


 Administraci&#243;n de Windows: Copia de seguridad y restauraci&#243;n de Active Directory en Windows Server 2008
Administración de Windows Gil Kirkpatrick

Copia de seguridad y restauración de Active Directory en Windows Server 2008
De un vistazo:
  • Copias de seguridad de NT y de Windows Server frente a frente
  • Herramientas y opciones de copia de seguridad
  • Herramientas y opciones de restauración
  • Claves para una estrategia acertada de copia de seguridad de Active Directory

Es por todos conocido que los Servicios de dominio de Active Directory (ADDS, Active Directory Domain Services) constituyen un componente crítico en su infraestructura de Windows. Si Active Directory deja de funcionar, la red es, esencialmente, inútil. Como consecuencia, sus planes de copia de seguridad y restauración de Active
Directory son fundamentales para la seguridad, la continuidad del negocio y el cumplimiento de las normas.
Windows Server® 2008 aporta numerosas características nuevas a Active Directory®, dos de las cuales tienen un impacto significativo en sus planes de copia de seguridad y recuperación: la nueva utilidad Copias de seguridad de Windows Server y la capacidad de capturar y trabajar con instantáneas del Servicio de instantáneas de volumen de Active Directory. En este artículo describiré los cambios que suponen estas mejoras y cómo puede sacar ventaja de estos cambios para optimizar sus actividades de copia de seguridad de Active Directory.

Copias de seguridad de NT y de Windows Server frente a frente
Configuración de la directiva de grupo
Copias de seguridad de Windows Server ofrece varias configuraciones de las directivas de grupo que le proporcionan un control limitado sobre el funcionamiento de las copias de seguridad en sus servidores. Con estas directivas de copia de seguridad, es posible mitigar algunos de los riesgos asociados a las personas que llevan a cabo copias de seguridad no autorizadas con el objeto de obtener acceso a datos no autorizados. Las opciones incluyen:
Permitir sólo copia de seguridad del sistema En el caso de configurar esta opción, Copias de seguridad de Windows Server sólo podrá realizar copias de seguridad de los volúmenes críticos del sistema. No puede realizar copias de seguridad del volumen. No permitir como destino de copia de seguridad un medio de almacenamiento conectado localmente. Si esta configuración está habilitada, no se permitirán las copias de seguridad en las unidades conectadas localmente. Sólo puede realizar copias de seguridad en un recurso compartido de red.
No permitir como destino de copia de seguridad una red Esta configuración no permite la realización de copias de seguridad en ningún recurso compartido de red.
No permitir como destino de copia de seguridad un medio óptico En el caso de configurar esta opción, Copias de seguridad de Windows Server no podrá realizar copias de seguridad en ningún dispositivo óptico, por ejemplo, una unidad de DVD grabable.
No permitir copias de seguridad de una sola ejecución Esta configuración no permite que Copias de seguridad de Windows Server ejecute copias de seguridad sin programar, ad hoc. Sólo se podrán ejecutar las copias de seguridad programadas a través del complemento MMC de Copias de seguridad de Windows Server.

La Copia de seguridad de NT que ha conocido y que adoraba desde Windows NT® 3.5 ya no existe. Se ha reemplazado con Copias de seguridad de Windows Server. Esta nueva herramienta no es simplemente una copia de seguridad de NT con adornos; es una tecnología de copias de seguridad totalmente nueva que le obligará a replantearse la forma de realizar copias de seguridad de sus sistemas.
Aunque Copias de seguridad de Windows® Server constituye la única solución de copia de seguridad original para Windows Server 2008, no constituye una sustitución de característica por característica para Copia de seguridad de NT. La mayor diferencia es que Copias de seguridad de Windows Server es una solución de copia de seguridad disco a disco; no es compatible con las copias de seguridad en cinta. Puede crear imágenes de copia de seguridad en volúmenes de disco directamente conectados, en recursos compartidos de red e, incluso, en unidades de disco duro USB externas y en DVDs grabables multivolumen. Pero no puede realizar copias de seguridad en cinta. Para ser claro, aún es posible colgar una unidad de cinta en un servidor Windows Server 2008 y copiar las imágenes de copia de seguridad generadas por Copias de seguridad de Windows Server en la unidad de cinta, pero tendrá que usar software de terceros para hacerlo.
Mientras que Copia de seguridad de NT es una herramienta de copia de seguridad y restauración basada en archivos, Copias de seguridad de Windows Server se basa en volúmenes y bloques. Copias de seguridad de Windows Server administra el origen de la copia de seguridad como un conjunto de volúmenes, considerando cada volumen como una colección de bloques de discos. Esto es considerablemente más eficaz que realizar copias de seguridad de los archivos a través del sistema de archivos. La administración de las copias de seguridad basadas en bloques también permite a Copias de seguridad de Windows Server hacer uso de las instantáneas del Servicio de instantáneas de volumen para realizar copias de seguridad incrementales a nivel de bloque, así como crear instantáneas en el volumen de destino para simplificar el uso de (y reducir el espacio usado por) varias copias de seguridad.
Incluso si realiza copias de seguridad completas, Copias de seguridad de Windows Server ofrece una gran eficiencia de espacio en los discos de destino. Por ejemplo, puede realizar varias copias de seguridad completas del mismo volumen. Puesto que Copias de seguridad de Windows Server usa instantáneas del Servicio de instantáneas de volumen en los discos de destino donde almacena las imágenes de copia de seguridad, las instantáneas sólo almacenarán los bloques que han cambiado. Esto reduce sustancialmente el espacio usado por varias copias de seguridad completas y elimina la necesidad de realizar varias operaciones de restauración para recuperar un copia de seguridad incremental. Aunque la instantánea sólo almacena los deltas de cada copia de seguridad, el Servicio de instantáneas de volumen hace aparecer completa cada una de las copias de seguridad.
No obstante, debe tener en cuenta que sólo obtiene los beneficios del Servicio de instantáneas de volumen en el destino si realiza una copia de seguridad en una unidad de disco duro local, Copias de seguridad de Windows Server no puede llevar a cabo las operaciones del Servicio de instantáneas de volumen en las copias de seguridad almacenadas en un DVD o en recursos compartidos de red.
Como beneficio extra, Copias de seguridad de Windows Server almacena sus imágenes de copia de seguridad en el formato de disco duro virtual (VHD) de Microsoft®. De hecho, puede capturar una imagen de copia de seguridad y montarla como un volumen en un equipo virtual que se ejecuta bajo Microsoft Virtual Server 2005. Puede, simplemente, montar los VHD en un equipo virtual y buscar un archivo en particular en lugar de tener que llevar a cabo restauraciones de prueba de las cintas para ver cuál de ellas hospeda el archivo. (Un nota de advertencia: no puede capturar una imagen de copia de seguridad y arrancar un equipo virtual a partir de la misma. Puesto que la configuración del hardware del que se ha realizado copia de seguridad no se corresponde con la configuración del equipo virtual, no puede usar Copias de seguridad de Windows Server como una herramienta de migración física a virtual).
Existe una desventaja en el enfoque de los volúmenes y bloques de Copias de seguridad de Windows Server. Puesto que esta nueva herramienta considera el origen de la copia de seguridad como un conjunto de volúmenes y bloques, no le permite realizar únicamente copias de seguridad de archivos seleccionados. Tiene que realizar copia de seguridad de todo el volumen. Y lo que es aún más problemático, de forma predeterminada, no es posible almacenar una imagen de la copia de seguridad en uno de los volúmenes de los que se realiza la copia de seguridad (existen algunas maneras de solucionar esto; consulte support.microsoft.com/kb/944530). Esto tiene profundas implicaciones en la copia de seguridad de estado del sistema, lo cual trataré más adelante en este artículo.

Instalación de Copias de seguridad de Windows Server
Copias de seguridad de Windows Server es una "característica" de Windows Server 2008 y no está instalada de forma predeterminada. Antes de poder realizar una copia de seguridad con Copias de seguridad de Windows Server, debe instalar la característica, mediante el Administrador de servidores o mediante la utilidad de línea de comandos SERVERMANAGERCMD:
C:\> servermanagercmd -install Backup-Features
Copias de seguridad de Windows Server consta de dos subcaracterísticas: Copias de seguridad de Windows Server y las Herramientas de línea de comandos. Tenga en cuenta que las Herramientas de línea de comandos se refieren a un conjunto de cmdlets de Windows PowerShellTM, no a la herramienta de línea de comandos WBADMIN.EXE. Por lo tanto, si elige instalar ambas subcaracterísticas, debe instalar la característica de Windows PowerShell.
Tras instalar Copias de seguridad de Windows Server, puede encontrar el complemento Microsoft Management Console (MMC) bajo el nodo Almacenamiento en el Administrador de servidores y en el menú Herramientas administrativas. Si instala Copias de seguridad de Windows Server en una instalación Server Core de Windows Server 2008, use el comando OCSETUP (es importante tener en cuenta que el comando OCSETUP distingue mayúsculas de minúsculas).
C:\> ocsetup WindowsServerBackup
Hay disponible una descripción completa del proceso de instalación en go.microsoft.com/fwlink/?LinkId=113146.
Tenga en cuenta que Copias de seguridad de Windows Server no puede restaurar las imágenes creadas con Copia de seguridad de NT. Para este escenario poco probable, Microsoft ha puesto a su disposición una versión descargable de Copia de seguridad de NT para Windows Server 2008 (consulte go.microsoft.com/fwlink/?LinkId=113147).

Componentes de Copias de seguridad de Windows Server
La manera en la que se ha diseñado la aplicación Copias de seguridad de Windows Server representa un cambio considerable. Esta nueva solución de copia de seguridad consta de cuatro componentes:
  • La interfaz de usuario de MMC (WBADMIN.MCS)
  • La interfaz de línea de comandos
(WBADMIN.EXE)
  • El servicio de copias de seguridad (WBENGINE.EXE)
  • El conjunto de cmdlets de Windows PowerShell
La división de la aplicación en un cliente y en un servicio tiene numerosas ventajas, la más importante es el aumento de la confiabilidad. Tanto si inicia una copia de seguridad desde el cliente MMC o desde la interfaz de línea de comandos, el servicio WBENGINE realizará el trabajo pesado. Los programas cliente dan a conocer el estado de la copia de seguridad. De este modo, provocar el fin del cliente no resultará en una copia de seguridad a medio hacer. El cliente se detendrá y el servicio continuará hasta la finalización. Por supuesto, si realmente desea detener la copia de seguridad, puede hacerlo, pero debe hacerlo de forma explícita.
La otra ventaja de esta arquitectura dividida es que puede usar el cliente para administrar las copias de seguridad en equipos remotos. Esto es especialmente práctico si tiene que realizar copias de seguridad de los equipos principales de Windows Server 2008.
Copias de seguridad de Windows Server es compatible con las restauraciones completas gracias al Entorno de recuperación de Windows, o WinRE, que forma parte de los medios de instalación de Windows Server 2008. WinRE simplifica el proceso de restauración de un servidor desde cero. Trataré más adelante en este artículo la realización de una restauración completa. Vale la pena mencionar que Copias de seguridad de Windows Server es compatible con varias configuraciones de directiva de grupo para administrar copias de seguridad, éstas se describen en la barra lateral "Configuración de la directiva de grupo".

Servicio de instantáneas de volumen
Copias de seguridad de Windows Server usa el Servicio de instantáneas de volumen de tres maneras diferentes. Al iniciar una copia de seguridad completa en Windows Server 2008, lo que hace la aplicación, en primer lugar, es llevar a cabo una instantánea de todos los volúmenes de origen. Al hacer esto se consigue una vista coherente del sistema de archivos con el que podrá trabajar el software de copia de seguridad. Esto es similar a lo que realiza Copia de seguridad de NT. Copias de seguridad de Windows Server copia, a continuación, los bloques del volumen de origen, bloque por bloque, en el destino de la copia de seguridad, creando una imagen de VHD para cada volumen del que se ha realizado una copia de seguridad durante el proceso.
A menos que lo especifique de otro modo, Copias de seguridad de Windows Server crea también una instantánea del volumen de origen para que el Servicio de instantáneas de volumen efectúe el seguimiento de todos los bloques que se hayan cambiado en el volumen. Esto permite a Copias de seguridad de Windows Server crear copias de seguridad incrementales a nivel de bloque que sólo requieren la lectura de los bloques cambiados del volumen de origen. En lugar de leer y escribir un archivo completo por haber cambiado un solo bit en el archivo, Copias de seguridad de Windows Server puede leer y escribir sólo el bloque que se ha cambiado.
Esto favorece la creación de copias de seguridad incrementales muy efectivas, en detrimento de una E/S de disco adicional para operaciones de escritura en el volumen de origen. En el caso de realizar la copia de seguridad de un volumen de gran actividad o de rendimiento crítico, debe deshabilitar la instantánea del Servicio de instantáneas de volumen en el volumen de origen seleccionando el vínculo Configurar opciones de rendimiento y, a continuación, deshabilitando las copias de seguridad incrementales en ese volumen (tal como se muestra en la Figura 1).
Figura 1 Deshabilitación de las copias de seguridad incrementales en volúmenes de gran actividad
Figura 1 Deshabilitación de las copias de seguridad incrementales en volúmenes de gran actividad
Una vez se ha completado la copia de seguridad, Copias de seguridad de Windows Server captura una instantánea del volumen de destino (siempre que lleve a cabo la copia de seguridad en un disco duro local conectado). Los archivos VHD de destino se sobrescriben durante la siguiente copia de seguridad. Pero puesto que el Servicio de instantáneas de volumen mantiene instantáneas del volumen de destino, existen, en efecto, varias versiones de cada archivo VHD correspondiente a cada una de las copias de seguridad completas. Fundamentalmente, lo que obtiene son varias copias de seguridad completas por el mismo esfuerzo de una única copia de seguridad completa y los bloques cambiados.

Realización de copias de seguridad en recursos compartidos de red
La realización de una copia de seguridad en un recurso compartido de red es, simplemente, tan sencilla como la realización de una copia de seguridad en un volumen local. La diferencia más significativa es que no puede crear una instantánea del Servicio de instantáneas de volumen del volumen remoto. Por lo tanto, cada copia de seguridad completa sobrescribirá la anterior, lo cual deja a su disposición, únicamente, la última imagen de la copia de seguridad completa de cada servidor en ese recurso compartido de red. Debido a esta limitación, no puede usar el programador de Copias de seguridad de Windows Server para programar copias de seguridad en un recurso compartido de red. Puede, sin embargo, usar el Programador de tareas de Windows para ejecutar el programa de línea de comandos WBADMIN para que lleve a cabo copias de seguridad completas en un recurso compartido de red. Si desea programar copias de seguridad completas en un recurso compartido de red de este modo, cambie la carpeta de destino para cada copia de seguridad y evite así sobrescribir las anteriores copias de seguridad.

Realización de copias de seguridad en DVDs grabables
Copias de seguridad de Windows Server es también compatible con la realización de copias de seguridad en medios ópticos, por ejemplo, DVDs grabables. Además, puede crear conjuntos de copias de seguridad que abarquen, asimismo, varios volúmenes. Copias de seguridad de Windows Server siempre comprime las copias de seguridad en DVDs, lo cual significa que sólo puede llevar a cabo la restauración completa del sistema o del volumen desde un DVD. Copias de seguridad de Windows Server no es compatible con las copias de seguridad y restauraciones de estado del sistema o a nivel de archivos cuando se usan DVDs. No es posible, tampoco, programar copias de seguridad en un DVD.

Copias de seguridad y restauraciones de estado del sistema
Las copias de seguridad de estado del sistema, que incluyen únicamente archivos seleccionados y algunas bases de datos de la aplicación (en lugar de volúmenes completos) son sencillas y, con frecuencia, esenciales. Sin embargo, las primeras compilaciones de Windows Server 2008 no eran compatibles con las copias de seguridad y restauraciones de estado del sistema. En su lugar, la herramienta de copia de seguridad realizaba, simplemente, copias de seguridad de los volúmenes críticos del sistema (lo cual implicaba cualquier volumen necesario para recuperar y reiniciar el sistema operativo y aplicaciones clave). Estos volúmenes críticos del sistema suponían el equivalente, orientado al volumen, de una copia de seguridad de estado del sistema.
Basándose en los comentarios de algunos clientes, Microsoft agregó capacidades de copia de seguridad y restauración de estado del sistema a Copias de seguridad de Windows Server. La aplicación crea varios archivos VHD, uno para cada volumen que hospeda los datos de estado del sistema, pero sólo copia los archivos y bases de datos necesarias en los VHD. Otro problema es que cuando realiza una copia de seguridad de estado del sistema, Copias de seguridad de Windows Server no crea una instantánea del volumen de destino, tal como se hace en el proceso de copia de seguridad normal. En su lugar, cada copia de seguridad de estado del sistema genera un conjunto completamente nuevo de archivos VHD, lo cual significa que no es posible obtener la eficacia de espacio que se consigue con las copias de seguridad de volumen basadas en instantáneas.
Sólo puede realizar una copia de seguridad de estado del sistema mediante el programa de línea de comandos WBADMIN.EXE, el complemento MMC no ofrece esta opción. Para realizar un copia de seguridad de estado del sistema, use este comando:
C:\> wbadmin start systemstatebackup
–backuptarget:e:
WBADMIN realizará, a continuación, copias de seguridad de los archivos críticos del sistema y de las bases de datos de la aplicación en el volumen de destino, en una carpeta reservada para copias de seguridad de estado del sistema. La copia de seguridad de estado del sistema en un controlador de dominio (DC) de Windows Server 2008 de 32 bits con un Árbol de información del directorio (DIT) predeterminado se ejecuta en poco más de 6 GB, lo cual supone 5 GB más que en Windows Server 2003 debido, en parte, al hecho de que Copias de seguridad de Windows Server captura los archivos principales del sistema operativo que no fueron capturados por la Copia de seguridad de NT.
El tiempo necesario para realizar copias de seguridad de estado del sistema es también mayor, tal como cabría esperar. Estas cifras iniciales, por supuesto, se basan en una versión preliminar del sistema operativo. Necesitará, con seguridad, probar esto en su propio entorno, pero es probable que necesite llevar a cabo la planeación de copias de seguridad de estado del sistema de mayor tamaño (y mayor duración de la realización de la copia de seguridad) cuando mueva sus controladores de dominio a Windows Server 2008.

Realización de copias de seguridad de un servidor con MMC
Al ejecutar la MMC de Copias de seguridad de Windows Server (consulte la Figura 2), tiene la opción de configurar un programa de copia de seguridad o de ejecutar inmediatamente una copia de seguridad ad hoc. En este caso, selecciono Copia de seguridad una vez para llevar a cabo una copia de seguridad inmediata.
Figura 2 MMC de Copias de seguridad de Windows Server
Figura 2 MMC de Copias de seguridad de Windows Server
Tal como puede ver en la Figura 3, puedo elegir si realizar copias de seguridad de todos los volúmenes en el servidor o sólo de los volúmenes específicos que elijo. Si selecciono Servidor completo, Copias de seguridad de Windows Server realizará copias de seguridad de todos los volúmenes montados, pero no tendré la opción de realizar copias de seguridad en una unidad de disco duro montada, en su lugar, tendré que realizar copias de seguridad en un DVD grabable o en un recurso compartido de red.
Figura 3 Uso del cuadro de diálogo de configuración de la copia de seguridad para especificar todos o los volúmenes seleccionados
Figura 3 Uso del cuadro de diálogo de configuración de la copia de seguridad para especificar todos o los volúmenes seleccionados
En este ejemplo, deseo realizar la copia de seguridad en una unidad de disco duro local, por lo que selecciono la opción Personalizar. A continuación, un cuadro de diálogo me permite seleccionar los volúmenes a los que realizar la copia de seguridad (consulte la Figura 4). De forma predeterminada, Copias de seguridad de Windows Server marca la casilla de recuperación del sistema Habilitar, lo cual provoca, a su vez, que Copias de seguridad de Windows Server seleccione el volumen de arranque, el volumen de sistema operativo y cualquier otro volumen con archivos críticos del sistema y bases de datos de la aplicación. En un DC, esto incluye los volúmenes que hospedan SYSVOL, el DIT de Active Directory y los registros de Active Directory. Esto es el equivalente de una copia de seguridad de estado del sistema pero realiza copias de seguridad de todos los volúmenes críticos, no sólo de los archivos críticos en dichos volúmenes. De hecho, incluso cuento con la capacidad de realizar una restauración de estado del sistema desde un conjunto de copias de seguridad de restauración del sistema.
Figura 4 Selección de volúmenes específicos a los que realizar una copia de seguridad
Figura 4 Selección de volúmenes específicos a los que realizar una copia de seguridad
Tras seleccionar el tipo de destino (unidad local o recurso compartido de red) y especificar el destino, Copias de seguridad de Windows Server me solicita seleccionar una copia de seguridad "de copia de VSS" o una copia de seguridad "completa de VSS". La terminología es un poco confusa, puesto que ambas opciones realizarán la copia de seguridad de los volúmenes seleccionados en su totalidad. La diferencia radica en la manera en la que Copias de seguridad de Windows Server administra los archivos de origen una vez se les ha realizado una copia de seguridad. Si selecciona la opción de copia, Copias de seguridad de Windows Server abandonará los archivos de la copia de seguridad. Si elige la opción de copia completa, Copias de seguridad de Windows Server restablecerá, a continuación, el archivo.

Realización de copias de seguridad a un servidor desde la línea de comandos
Si desea redactar scripts del proceso de copia de seguridad, o si realiza copias de seguridad de un servidor en una instalación Server Core, puede usar el programa de línea de comandos WBADMIN.EXE. WBADMIN ofrece un conjunto completo de opciones que realizan, esencialmente, las mismas funciones que el complemento MMC, incluida la administración de los programas de copia de seguridad.
Suponga que deseo reiniciar el servicio WBENGINE, que realizará, a cambio, el proceso de copia de seguridad. Todo lo que hago es escribir este comando:
C:\> wbadmin start backup –include:c:,d:
–backuptarget:e:
O para realizar copias de seguridad de todos los volúmenes críticos del sistema, puedo especificar este comando:
C:\> wbadmin start backup -allcritical
–backuptarget:e:
Después de iniciar la copia de seguridad, WBADMIN continúa ejecutándose y muestra el progreso de la copia de seguridad. Si finalizo WBADMIN, la copia de seguridad continuará en segundo plano. A continuación, puedo volver a conectar WBADMIN a una copia de seguridad en ejecución usando este comando:
C:\> wbadmin get status
Y si deseo finalizar una copia de seguridad en ejecución, simplemente introduzco esto:
C:\> wbadmin stop job

Programación de copias de seguridad con MMC
El programador de copias de seguridad que se incluye con Copias de seguridad de Windows Server en realidad está diseñado para hacer una cosa: simplificar la programación de las copias de seguridad de todo el sistema en un volumen de disco local. Puede usar el programador integrado para rotar automáticamente las copias de seguridad entre varios volúmenes de destino. Si dispone de unidades de disco duro fácilmente extraíbles (o si está usando discos duros conectados por USB), puede usar esta característica para configurar un esquema de rotación en el cual puede eliminar el disco de la copia de seguridad y almacenarlo de forma externa para, a continuación, devolver el anterior disco de la copia de seguridad al servidor para la siguiente copia de seguridad programada.
El programador de Copias de seguridad de Windows Server sólo le permite programar copias de seguridad que se realicen siempre diariamente. No es posible, de ningún modo, programar copias de seguridad para, por ejemplo, los lunes, los miércoles y los viernes. Por lo tanto, si no desea ejecutar sus copias de seguridad programadas diariamente, tendrá que trabajar directamente con el Programador de tareas de Windows.
Al configurar una copia de seguridad programada en un disco local, Copias de seguridad de Windows Server se hace responsable del disco, formateándolo, configurando una estructura de carpetas específica y haciendo invisible el disco de destino para el Explorador de Windows. El disco de destino debe ser un volumen básico, Copias de seguridad de Windows Server no puede realizar copias de seguridad en discos configurados como volúmenes dinámicos.
La programación de las copias de seguridad a través del complemento MMC es muy sencilla. En este ejemplo, selecciono, en primer lugar, el vínculo Programación de copia de seguridad, especifico el tipo de copia de seguridad y los volúmenes a los que realizar copias de seguridad y, a continuación, Copias de seguridad de Windows Server muestra el cuadro de diálogo "Especificar hora de la copia de seguridad" (consulte la Figura 5).
Figura 5 Definición de la hora a la que deben ocurrir las copias de seguridad diarias
Figura 5 Definición de la hora a la que deben ocurrir las copias de seguridad diarias
Tras seleccionar las horas a las que deseo que ocurran las copias de seguridad, puedo seleccionar el volumen (o los volúmenes) a los que deseo realizar la copia de seguridad. En este caso, selecciono el volumen de copia de seguridad E:, tal como se muestra en la Figura 6. Copias de seguridad de Windows Server intenta seleccionar un volumen de destino apropiado, pero en el caso de que el disco del que desea realizar la copia de seguridad no aparezca, puede usar el botón Mostrar todos los discos disponibles para ver todos dispositivos de disco conectados. Tras pasar por un par de cuadros de diálogo "Confirmar", Copias de seguridad de Windows Server da formato al volumen o volúmenes de destino y programa la tarea de copia de seguridad mediante el Programador de tareas de Windows.
Figura 6 Especificación del disco de destino para una copia de seguridad programada
Figura 6 Especificación del disco de destino para una copia de seguridad programada
Cada vez que se lleva a cabo una copia de seguridad programada, Copias de seguridad de Windows Server captura una instantánea del volumen de destino. Y cada siete días, crea una nueva imagen de base. La actividad se registra en el registro Microsoft, Backup u Operational. Aquí puede comprobar si las copias de seguridad se llevaron a cabo correctamente, también puede asociar una tarea, como el envío de un mensaje de correo electrónico, con los eventos correctos o con error para saber siempre el estado de sus copias de seguridad programadas.

Programación de las copias de seguridad desde la línea de comandos
Si programa las copias de seguridad en una instalación Server Core o simplemente desea redactar los scripts del proceso, puede administrar el programa de copias de seguridad mediante la línea de comandos WBADMIN. Para agregar una copia de seguridad programada, debe usar el comando WBADMIN ENABLE BACKUP, especificando el destino, origen y hora programada, de este modo:
C:\> wbadmin enable backup –addtarget:e:
-include:c:,d: -schedule:06:00,12:00,18:00
Este comando realizaría la copia de seguridad de las unidades C: y D: en la unidad E: tres veces al día, a las 6:00 a.m, 12:00 p.m. y 18:00 p.m. (tenga en cuenta que todas las horas se especifican mediante un reloj de 24 horas). Para realizar copias de seguridad a todos los volúmenes críticos del sistema (desde los cuales puede llevar a cabo una restauración completa o una restauración de estado del sistema), sustituya el marcador –include por –allcritical.
Puede usar también WBADMIN para deshabilitar todas las copias de seguridad programadas, de este modo:
C:\> wbadmin disable backup
Este comando eliminará todos los trabajos de copia de seguridad programados creados por el programador de Copias de seguridad de Windows Server y liberará todos los volúmenes de destino de la copia de seguridad para un uso normal. Tenga en cuenta que siempre puede usar el complemento MMC de WBADMIN para administrar de forma remota las actividades de copia de seguridad y restauración de servidores Server Core.

Restauración completa de un controlador de dominio
Una de las mejoras más significativas en el entorno de las copias de seguridad y restauración es como WinRE se ha integrado en el proceso de instalación. Al arrancar Windows Server 2008 desde los medios de instalación, puede elegir la opción Reparar el equipo, tal como se muestra en la Figura 7. Señalo esto en concreto ya que es muy fácil pasarlo por alto si no lo busca directamente.
Figura 7 La opción Reparar el equipo está disponible en la pantalla de instalación
Figura 7 La opción Reparar el equipo está disponible en la pantalla de instalación
Tras seleccionar la opción de reparación en la pantalla de instalación, Windows me permite seleccionar una opción de restauración, tal como se muestra en la Figura 8. En este caso, selecciono Restauración de Windows Complete PC, que invoca el Entorno de recuperación de Windows.
Figura 8 Especificación de las opciones de restauración del sistema
Figura 8 Especificación de las opciones de restauración del sistema
Una vez selecciona el sistema operativo que desea reparar (normalmente sólo hay una opción), WinRE le permite seleccionar la copia de seguridad desde la que desea realizar la restauración. De forma predeterminada, WinRE selecciona la copia de seguridad de sistema completa más reciente, aunque puede especificar otras copias de seguridad almacenadas en discos locales o buscar en la red copias de seguridad que se almacenan en recursos compartidos de archivos en otros servidores.
En mi ejemplo, selecciono la copia de seguridad de sistema completa más reciente. El diálogo siguiente (mostrado en la Figura 9) me permite dar formato y volver a realizar la partición de todos los discos antes de que sean restaurados. Esto constituye una opción apropiada si el problema del que se está recuperando tuvo su origen en alguna clase de error en el disco o por haber sustituido una o más unidades de disco en el servidor.
Figura 9 Puede dar formato y volver a realizar la partición de los discos fácilmente antes de que sean restaurados
Figura 9 Puede dar formato y volver a realizar la partición de los discos fácilmente antes de que sean restaurados
Tras un par de cuadros de diálogo de confirmación, WinRE inicia el proceso de restauración y el servidor se vuelve a arrancar. De esta manera es posible llevar a cabo, sin problemas, una restauración completa en un servidor.

Restauración de estado del sistema de un controlador de dominio
Si necesita recuperarse de algún tipo de problema relacionado con Active Directory, como la recuperación de una unidad organizativa eliminada desde una copia de seguridad, debería restaurar la base de datos de Servicios de dominio de Active Directory (ADDS) a un estado anterior, en lugar de restaurar todo el sistema. Aunque es posible detener ADDS como un servicio en Windows Server 2008, necesitará arrancar el servidor en el Modo de restauración de servicios de directorio (DSRM, Directory Services Restore Mode) para realizar una restauración de estado del sistema en un controlador de dominio.
El cambio de las opciones de arranque para que Windows Server 2008 arranque en DSRM no es tan fácil como solía ser. Todo el entorno de arranque de Windows se ha rediseñado para que sea compatible con la nueva Extensible Firmware Interface (EFI) y el archivo boot.ini de la vieja escuela ya no existe. En su lugar, Windows Server 2008 usa datos de configuración de arranque (BCD, Boot Configuration Data) para controlar el proceso de arranque.
La manera más sencilla de administrar los BCD es usar el programa de línea de comandos BCDEDIT. Una explicación que abarcara todos los comandos y opciones BCDEDIT requeriría, por su extensión, un solo artículo, por lo que aquí mostraré simplemente algunos ejemplos útiles.
Para reiniciar un DC en Windows Server 2008 como un DSRM, use el siguiente comando:
C:\> bcdedit /set safeboot dsrepair
Esto configurará la opción de arranque seguro para la entrada del cargador de arranque predeterminado. En una instalación de Windows Server 2008 actualizada, sólo hay una entrada del cargador de arranque, WINLOAD.EXE. Para eliminar la opción de arranque seguro y reiniciar en modo normal, use este comando:
C:\> bcdedit /deletevalue safeboot
Con el objeto de facilitarle la labor, puede configurar dos entradas del cargador de arranque en sus DC, una para un arranque normal y otra para un arranque desde el DSRM. De este modo, puede cambiar las opciones de arranque usando el cuadro de diálogo de configuración Inicio y recuperación disponible en Configuración del sistema. Para agregar una nueva entrada del cargador de arranque, use este comando:
C:\> bcdedit /copy {default}
/d "Directory Service Repair Mode"
Esta acción creará una nueva entrada del cargador de arranque copiando la entrada predeterminada del cargador de arranque. BCDEDIT mostrará algo así:
The entry was successfully copied to
{c50d4710-a1f0-11dc-9580-0003ff402ae9}.
El GUID identifica la entrada nueva. A continuación, use este comando para configurar la opción de arranque seguro para la nueva entrada del cargador de arranque en los BCD:
C:\> bcdedit /set {<GUID for new entry>}
safeboot dsrepair
Ahora puede cambiar desde el modo de arranque normal al modo de arranque de DSRM mediante la configuración Inicio y recuperación (consulte la Figura 10).
Figura 10 Deshabilitación de las copias de seguridad incrementales en volúmenes de gran actividad
Figura 10 Deshabilitación de las copias de seguridad incrementales en volúmenes de gran actividad
Antes de que use WBADMIN para iniciar una restauración de estado del sistema, debe identificar la copia de seguridad desde la que desea realizar la restauración. WBADMIN puede realizar una restauración de estado del sistema desde una copia de seguridad de todo el sistema, una copia de seguridad que contiene únicamente los volúmenes de sistema críticos o una copia de seguridad de estado del sistema. En cualquiera de estos casos, debe especificar la versión de la copia de seguridad que desea usar. La manera más fácil de identificar las versiones de copia de seguridad que están disponibles es usar el siguiente comando WBADMIN:
C:\> wbadmin get versions
WBADMIN mostrará, a continuación, las versiones de la copia de seguridad en un formulario similar a la información mostrada en la Figura 11. Tenga en cuenta que cada copia de seguridad tiene una hora de copia de seguridad, un destino de copia de seguridad, un identificador de versión (que, a propósito, es la hora y la fecha a la que se inició la copia de seguridad en hora UMT) y una lista de los tipos de operaciones de recuperación compatibles con la copia de seguridad.
Figure 11 Identifique las copias de seguridad disponibles para la recuperación (Close Figure 11)
wbadmin 1.0 - Backup command-line tool
(C) Copyright 2004 Microsoft Corp.
Backup time: 11/30/2007 3:47 PM
Backup target: Fixed Disk labeled E:
Version identifier: 11/30/2007-22:47
Can Recover: Application(s), System State
Backup time: 12/1/2007 10:46 PM
Backup target: Fixed Disk labeled Backup(E:)
Version identifier: 12/02/2007-05:46
Can Recover: Volume(s), File(s), Application(s), Bare Metal Recovery, System State
Backup time: 12/2/2007 5:58 PM
Backup target: Fixed Disk labeled Backup(E:)
Version identifier: 12/03/2007-00:58
Can Recover: Volume(s), File(s), Application(s), Bare Metal Recovery, System State
Backup time: 12/3/2007 11:25 AM
Backup target: Fixed Disk labeled E:
Version identifier: 12/03/2007-18:25
Can Recover: Application(s), System State
En este caso, selecciono la copia de seguridad más reciente e inicio la restauración de estado del sistema con este comando WBADMIN:
C:\> wbadmin start systemstaterecovery
–version:12/03/2007-18:25
Esto realizará una restauración no autoritativa. Si desea realizar una restauración autoritativa de SYSVOL, puede marcar simplemente la réplica restaurada de SYSVOL como autoritativa agregando la opción authsysvol al comando WBADMIN. Para obtener más información acerca de este proceso, consulte go.microsoft.com/fwlink/?LinkId=113152.

Captura de instantáneas de Active Directory
Uno de los cambios más significativos en términos de copia de seguridad para Active Directory no tiene nada que ver con Copias de seguridad de Windows Server. En Windows Server 2008, puede aprovechar el hecho de que Active Directory proporcione instantáneas del Servicio de instantáneas de volumen. Estas instantáneas son muy ligeras, copias de seguridad puntuales del servicio en ejecución de Active Directory. Y lo mejor, sólo tardan unos instantes en crearse. A continuación, puede montar estas instantáneas y obtener acceso a las mismas gracias a utilidades normales basadas en LDAP, como la herramienta LDP.
Debe capturar las instantáneas de ADDS o de Active Directory Lightweight Directory Services (ADLDS) mediante el comando NTDSUTIL, tal como se muestra aquí:
ntdsutil: snapshot
snapshot: activate instance ntds
Active instance set to "ntds".
snapshot: create
Creating snapshot...
Snapshot set {42c44414-c099-4f1e-8bd8-4453ef2534a4} generated successfully.
snapshot: quit
ntdsutil: quit
Esta secuencia de comandos NTDSUTIL crea una instantánea del Servicio de instantáneas de volumen de los volúmenes que contienen el DIT de Active Directory, los registros y SYSVOL. Aunque Active Directory aún se somete a actualizaciones, el Servicio de instantáneas de volumen usa una estrategia de copia por escritura para asegurarse de que las instantáneas que ha capturado se mantienen de manera adecuada. Tenga en cuenta que las instantáneas no son una copia completa del DIT. Son simplemente una colección de bloques de disco en el DIT que se han modificado desde que la instantánea fue capturada. Al combinar estos bloques con la copia actual del DIT, VSS puede presentar el DIT de Active Directory tal como apareció en el momento de la instantánea. La Figura 12 muestra cómo eliminar las instantáneas anteriores o innecesarias.
Figure 12 Elimine las instantáneas innecesarias (Close Figure 12)
C:\> ntdsutil
ntdsutil: snapshot
snapshot: list all
 1: 2007/12/03:23:18 {42c44414-c099-4f1e-8bd8-4453ef2534a4}
 2:   C: {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022}
 3:   D: {2bbd739f-905a-431b-9449-11fba01f9931}
snapshot: delete 1
Snapshot {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022} mounted as C:\$SNAP_200712032318_VOLUMEC$\
Snapshot {2bbd739f-905a-431b-9449-11fba01f9931} mounted as C:\$SNAP_200712032318_VOLUMED$\
snapshot: quit
ntdsutil: quit
C:\>

Montaje de las instantáneas de Active Directory
Con el objeto de usar una de estas instantáneas, debe indicar, en primer lugar, al Servicio de instantáneas de volumen que ponga la instantánea a disposición del sistema de archivos. Esto se consigue usando el comando ntdsutil para indicar las instantáneas disponibles y, a continuación, montar la instantánea en la que está interesado (consulte la Figura 13).
Figure 13 Uso de ntdsutil para montar una instantánea (Close Figure 13)
C:\> ntdsutil
ntdsutil: snapshot
snapshot: list all
 1: 2007/12/03:23:18 {42c44414-c099-4f1e-8bd8-4453ef2534a4}
 2:   C: {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022}
 3:   D: {2bbd739f-905a-431b-9449-11fba01f9931}
snapshot: mount 1
Snapshot {c0dd71ba-5bcd-4daf-9fbb-5cfbdd168022} mounted as C:\$SNAP_200712032318_VOLUMEC$\
Snapshot {2bbd739f-905a-431b-9449-11fba01f9931} mounted as C:\$SNAP_200712032318_VOLUMED$\
snapshot: quit
ntdsutil: quit
C:\>
El comando "list all" indica todas las instantáneas disponibles de Active Directory mantenidas actualmente por el Servicio de instantáneas de volumen. El comando "mount 1" monta las instantáneas seleccionadas del DIT de Active Directory, registra los volúmenes y los hace disponibles en el sistema de archivos. Éstos se encuentran en C:\$SNAP_200712032318_VOLUMEC$\ y C:\$SNAP_200712032318_VOLUMED$\.
Si busca en estas carpetas, verá todo el contenido de estos volúmenes tal como estaban cuando la instantánea fue capturada. Tenga en cuenta, no obstante, que las instantáneas montadas son de sólo lectura, lo cual significa que no es posible modificar ninguno de los archivos de la instantánea montada.

Recuperación de datos de las instantáneas de Active Directory
La tarea de montar las instantáneas de los volúmenes que contiene Active Directory podría parecer magia. ¿Cómo es posible llegar a los datos de Active Directory contenidos en estas instantáneas? El secreto es el comando DSAMAIN. Se trata del archivo ejecutable que ejecuta ADLDS. Es esencialmente un servidor LDAP independiente que comparte casi todo su código con ADDS. Puede usar DSAMAIN para hacer que las instantáneas montadas se parezcan a un servidor LDAP de sólo lectura que contiene los datos de Active Directory tal como estaban en el momento en el cual la instantánea fue capturada.
Tenga en cuenta esta comando:
C:\> dsamain –dbpath
c:\$snap_200712032318_volumed$\ntds\dit
\ntds.dit -ldapport 10000
Esto monta el archivo ntds.dit ubicado en la carpeta c:\$snap_200712032318_volumed$\ntds\dit y lo hace disponible para las operaciones LDAP en el puerto TCP 10000 (o en cualquier puerto abierto que especifique). DSAMAIN abrirá el puerto LDAPS (el puerto que se usa para LDAP sobre Capa de sockets seguros) en el puerto que ha especificado más uno (en este caso, 10001), el puerto GC (el puerto que se usa para las conexiones de catálogo global) en el puerto que ha especificado más dos (10002) y el puerto GCS (catálogo global sobre Capa de sockets seguros) en el puerto que ha especificado más tres (10003).
Puede usar cualquier programa LDAP (como LDP) para obtener acceso al DIT montado en el puerto especificado. Pero en Windows Server 2008, Usuarios y equipos de Active Directory (ADUC, Active Directory Users and Computers), Sitios y servicios y Dominios y confianzas, así como ADSIEDIT, se han modificado para permitirle conectarlos a un DIT montado mediante DSAMAIN. Si hace clic con el botón secundario en el nodo de nivel superior en el panel de navegación de cualquier ADUC y selecciona Cambiar el controlador de dominio, verá el cuadro de diálogo mostrado en la Figura 14. Si escribe simplemente el nombre o dirección IP del servidor que hospeda la instantánea montada, junto con el puerto (en mi ejemplo, localhost:10000), ADUC conectará la instantánea montada, permitiéndole examinar el contenido del directorio tal como era en el momento de la instantánea. Asombroso, ¿verdad?
Figura 14 Conexión de Usuarios y equipos de Active Directory en una instantánea montada
Figura 14 Conexión de Usuarios y equipos de Active Directory en una instantánea montada
El poder obtener acceso a los datos del directorio de esta manera facilita en gran medida la realización de muchas clases de tareas de recuperación con respecto al pasado. Por ejemplo, para poder recuperar un objeto eliminado de un copia de seguridad, anteriormente era necesario que llevase a cabo una restauración no autoritativa de la copia de seguridad en un DC existente y, a continuación, realizar una restauración autoritativa del objeto eliminado. Y si la copia de seguridad que había restaurado no contaba con los datos correctos, tenía que empezar de nuevo con una copia de seguridad diferente. Ahora, gracias a la reanimación de desechos y las instantáneas, es posible encontrar y recuperar fácilmente los datos eliminados y, además, no es necesario desconectar el controlador de dominio para hacerlo.
No obstante, hay algunas limitaciones. Por ejemplo cada instantánea activa aumenta la E/S de disco asociada a las operaciones de escritura en el directorio, por lo que probablemente no debería tener jamás más de una o dos instantáneas activas en un DC de producción. Asimismo, cuanto más tiempo mantenga activas las instantáneas, más grande se hará el almacén de deltas del Servicio de instantáneas de volumen, algo que podría afectar al rendimiento. Y, por supuesto, la simple recuperación de un objeto eliminado es sólo la primera parte del problema de recuperación. Probablemente, también tendrá que recuperar los atributos vinculados del objeto, como las pertenencias a grupos. Pero aún en este caso, la instantánea le puede ayudar a identificar todos los grupos de los que era miembro el objeto eliminado.

Una estrategia acertada de copia de seguridad y recuperación para Active Directory
Windows Server 2008 integra un sistema de copia de seguridad y recuperación completamente nuevo. Algunos de los cambios pueden parecer muy molestos en un principio. Pero una vez que las organizaciones de TI han aceptado estos cambios e incorporado la nueva tecnología de copia de seguridad en sus operaciones diarias, obtienen a cambio una implementación de copia de seguridad y recuperación mucho más efectiva.
Aún con todos los cambios en la manera de realizar copias de seguridad de los servidores en Windows Server 2008, la estrategia básica para realizar copias de seguridad y recuperar Active Directory no ha cambiado en gran medida. Así que a la hora de planear su estrategia, asegúrese de tener en cuenta estos procedimientos recomendados:
  • Programe copias de seguridad de todo el sistema periódicamente para poder recuperar un DC tras un error del hardware. La frecuencia con la que programe las copias de seguridad completas de un DC dependen de la frecuencia con la que se actualicen sus datos, de la tolerancia a tiempos de inactividad y pérdidas de datos y del esfuerzo que puede ser necesario para volver a crear el DC desde cero.
  • Programe copias de seguridad de estado del sistema frecuentes para realizar copias de seguridad de los cambios en Active Directory. La frecuencia con la que realice las copias de seguridad de estado del sistema depende de su tolerancia a datos perdidos de Active Directory. Pero debe hacer esto, por lo menos, una vez al día. Si tiene el hardware, mantenga, al menos, una o dos copias de seguridad de estado del sistema en un disco local y copie las versiones anteriores de estado del sistema en un DVD o en un recurso compartido de red.
  • Asegúrese de hacer copias de seguridad de estado del sistema en un mínimo de dos DC en cada dominio. Esto ofrecerá cierta garantía en el caso de que una de las copias de seguridad esté dañada o no esté disponible.
Asegúrese de realizar copias de seguridad de los DC con las réplicas de partición de la aplicación si las ha definido. Y considere la creación de una partición del Entorno de recuperación de Windows en sus DC de manera que pueda arrancar rápidamente en WinRE en caso de error de una de las unidades críticas del sistema. 

Gil Kirkpatrick es director técnico de NetPro y ha desarrollado software para Active Directory desde 1996. Junto con Guido Grillenmeier de HP, es autor de los conocidos talleres Active Directory Disaster Recovery, de recuperación ante desastres de Active Directory. Gil es también fundador de la conferencia de expertos en directorios Directory Experts Conference (consulte www.dec2008.com).
© 2007 Microsoft Corporation and CMP Media, LLC. Reservados todos los derechos. Queda prohibida la reproducción parcial o total sin previa autorización.


 Administraci&#243;n de Windows: Dise&#241;o eficaz de unidades organizativas
Administración de Windows Ken St. Cyr

Diseño eficaz de unidades organizativas
De un vistazo:
  • Principios clave para el diseño eficaz de unidades organizativas
  • Modelos de diseño comunes de unidades organizativas
  • Documentación del diseño de su unidad organizativa

No subestime la importancia, y la complejidad, del diseño de una buena estructura de unidad organizativa (OU). Mi experiencia me dice que los departamentos de TI, con frecuencia, adoptan una u otra dirección: bien
ponen demasiado énfasis en la estructura de la unidad organizativa, o bien se olvidan de la misma. Cualquiera que sea la dirección adoptada, ambas pueden provocar problemas con el modelo de Active Directory®.
Poner demasiado énfasis en la estructura de la unidad organizativa resta importancia a otras áreas de diseño de Active Directory, como la planeación de la topología del sitio o la consideración del tamaño del controlador de dominio. Por otro lado, al reducir la prioridad de planeación de la unidad organizativa, la directiva de grupo y la delegación se ven afectadas.
Una de las excusas que he oído en alguna ocasión es que la estructura de la unidad organizativa es flexible y puede cambiarse posteriormente si no es la adecuada. Es verdad que la estructura de la unidad organizativa es flexible. No obstante, los administradores descubren, con frecuencia, que ese cambio posterior de estructura de la unidad organizativa es más complicado de lo que habían pensado en un principio. Es también verdad que se pueden agregar nuevas unidades organizativas, pero las anteriores no son fáciles de eliminar.
Una estructura de unidad organizativa mal planeada tiende a cobrar vida propia. Si se crea un objeto nuevo en el directorio y el administrador no sabe en qué lugar de la unidad organizativa colocar el objeto, creará una nueva unidad organizativa, o bien colocará el objeto en un lugar al que no pertenezca. Ambos escenarios presentan sus propios peligros inherentes. La creación de una nueva unidad organizativa es sencilla, pero realizar un seguimiento de la misma es bastante complicado a la larga. La creación desorganizada de una unidad organizativa contribuye a una estructura de unidad organizativa caótica y es fácil permitir la acumulación de valores no documentados en el directorio. Por otro lado, si agrega un objeto a una unidad organizativa existente a la que no pertenezca realmente, el objeto nuevo puede recibir directivas que no debería recibir o los permisos del objeto podrían delegarse en usuarios imprevistos.
Al diseñar estructuras de unidad organizativa, debe tener en mente una ecuación básica: sencillez + adaptabilidad = sostenibilidad. Si el diseño es demasiado sencillo, puede que no sea adaptable y, por lo tanto, tendrá que cambiarse con demasiada frecuencia. Si el diseño es demasiado adaptable, todo quedará dividido en secciones, lo cual aportará demasiada complejidad.
Hay tres principios clave referidos a la directiva de grupo, la delegación y la administración de objetos que pueden ayudarle a adoptar una correcta decisión de diseño. Estos principios pueden resumirse en tres preguntas que debe realizarse a sí mismo y que le ayudarán a garantizar que la estructura de la unidad organizativa que está creando superará el paso del tiempo y los cambios de la organización:
  1. ¿Es necesaria la creación de esta unidad organizativa de manera que se pueda aplicar a la misma un objeto de directiva de grupo (GPO, Group Policy Object) exclusivo?
  2. ¿Es necesario que un grupo particular de administradores tenga permisos para los objetos de esta unidad organizativa?
  3. ¿Facilitará esta nueva unidad organizativa la administración de los objetos existentes dentro de la misma?
Si la respuesta a cualquiera de estas preguntas es "sí", con toda probabilidad debería crear la unidad organizativa. Si la respuesta a estas tres preguntas es "no", debe volver a plantearse el diseño y determinar si un diseño distinto podría generar una opción más apropiada. Pero antes de entrar en detalles y mostrarle cómo aplicar estos principios, debo explicar en primer lugar por qué estos principios son importantes.

Principio 1: directiva de grupo
El primer principio de diseño de unidades organizativas consiste en tener en cuenta los objetos de directiva de grupo que se aplicarán a una unidad organizativa. Un GPO le permite configurar opciones para los usuarios y equipos de una manera aplicable. Puede definir varios GPO en Active Directory y aplicarlos a un dominio completo, a varias unidades organizativas o, incluso, a los sitios del dominio. Los GPO se dividen en dos categorías: uno para los usuarios y otro para los equipos.
Tanto las directivas de equipo como las de usuario pueden definirse en el mismo GPO. La sección Configuración de usuario del GPO define, en su mayor parte, la experiencia que tendrá el usuario una vez haya iniciado sesión. Estos tipos de configuración existen también en la sección Configuración del equipo, pero esta sección contiene, asimismo, más configuraciones relacionadas con la seguridad del equipo, por ejemplo, quién puede iniciar sesión en él de forma local o cómo se cifran los datos.
Estos son algunos de los aspectos básicos que hay que tener en cuenta a la hora de definir unidades organizativas para que sean compatibles con los GPO. En primer lugar, sólo porque las directivas de usuario y de equipo puedan definirse en el mismo GPO, no significa que sea buena idea colocar los objetos de usuario y equipo en la misma unidad organizativa. Combinar ambos objetos en el mismo GPO dificulta la solución de problemas en la aplicación de GPO. Esto se hace muy evidente si tiene habilitada una directiva de bucle invertido.
En segundo lugar, muchas personas olvidan que puede aplicar los GPO a nivel de sitio y, por lo tanto, diseñar sus estructuras de unidad organizativa para modelar la estructura del sitio según los objetivos de la aplicación de GPO. Éste es un modelo común de diseño de unidad organizativa, conocido como modelo geográfico. En un instante hablaré sobre el mismo. Sería negligente por mi parte no reconocer que el modelo geográfico tiene su lugar en el diseño de unidades organizativas, pero como verá más adelante, no creo que esa aplicación de GPO deba ser la razón principal para implementar este modelo.
Además, al pensar en la estructura de unidad organizativa en términos de GPO, el objetivo debe ser eliminar la complejidad. Asegúrese de que la unidad organizativa se agrega al flujo de herencia de GPO. Si su unidad organizativa contiene servidores que requieran la misma directiva que otros servidores, considere la colocación de estos objetos de equipo bajo una unidad organizativa Servidores más amplia, así como la creación de varias unidades organizativas para diferentes tipos de servidor bajo la unidad organizativa Servidores (consulte la Figura 1). Esto puede simplificar la aplicación de directivas, puesto que cada objeto de equipo en las unidades organizativas inferiores obtendrá la directiva de la unidad organizativa Servidores así como cualquier otra directiva que sea específica para ese tipo específico de servidor.
Figura 1 Creación de varias unidades organizativas para distintos tipos de servidor
Figura 1 Creación de varias unidades organizativas para distintos tipos de servidor
Otro aspecto básico consiste en asegurarse de que no se crean o vinculan de forma innecesaria varios GPO. Con un GPO, puede crear una directiva y aplicarla a varias unidades organizativas. En ocasiones esto es útil, pero también puede causar daños. Si tiene que cambiar una configuración de GPO y dispone de un sistema extremadamente complejo de GPO vinculados, podría aplicar por accidente un cambio a los objetos equivocados. Cuantos más vínculos cree, más complicado será definir el ámbito de una directiva. Igualmente, debe evitar la creación de directivas adicionales con la misma configuración que otras directivas. Si tiene que hacer esto con frecuencia, considere la modificación de su estructura de unidad organizativa para aplicar un nuevo modelo de herencia de GPO.
Y, por último, debe crear casi siempre una nueva unidad organizativa para los objetos de usuario y los de equipo. De forma predeterminada, los objetos de usuario y de equipo se colocan en contenedores, lo cual no le permite vincular los GPO directamente a los mismos. Los GPO se pueden aplicar a los contenedores para usuarios y equipos desde el dominio, pero a menos que bloquee la herencia en otro sitio, estas directivas se aplicarán a cada usuario y equipo del dominio. En Windows Server® 2003, puede usar las herramientas rediruser.exe y redircomp.exe para cambiar la ubicación predeterminada de los objetos de usuario y de los objetos de equipo a la unidad organizativa que creó para los mismos.

Principio 2: delegación
Es importante que cree la estructura de la unidad organizativa de una manera que sea coherente con la forma de delegar permisos en el dominio. Tenga presente que al delegar permisos en Active Directory, los cambios de permiso se llevan a cabo sólo en el objeto. Así pues, si ofreciera a un usuario control total sobre un objeto de equipo particular, esa persona podría modificar los atributos del objeto, pero carecería de privilegios de administrador en el propio equipo.
Estos son algunos de los procedimientos recomendados referentes a la delegación a la hora de diseñar una estructura de unidad organizativa:
Diseño con herencia de permisos Por ejemplo, digamos que desea que los administradores del nivel 1 puedan cambiar la contraseña de la mayoría de las cuentas. Los administradores no deben tener la capacidad de restablecer las contraseñas de un grupo especial de usuarios, sin embargo, los primeros deben tener la capacidad de cambiar los nombres para mostrar de dichas cuentas.
Aquí cuenta con dos opciones. La primera, podría crear dos unidades organizativas paralelas independientes y separar los usuarios especiales de los usuarios normales. Esto significa, sin embargo, que si desea cambiar las opciones de delegación de todos los usuarios, tiene que cambiar estos permisos en dos sitios independientes. Por otra parte, esto contradice la práctica de no vincular innecesariamente varias directivas (consulte la Figura 2).
Figura 2 Mantenimiento de dos unidades organizativas paralelas independientes
Figura 2 Mantenimiento de dos unidades organizativas paralelas independientes
La segunda opción consiste en crear una unidad organizativa anidada y en configurar una denegación explícita de permiso en la unidad organizativa que contenga usuarios especiales. Cualquier experto en delegación le dirá que denegar de forma explícita no es lo más adecuado, pero en este caso, necesita seleccionar, de los dos males, el mejor (consulte la Figura 3). Puede, por una parte, duplicar o mantener la configuración en dos unidades organizativas independientes o bien puede configurar una denegación explícita en una de las unidades organizativas. El hecho de denegar de forma explícita es, a largo plazo, la mejor decisión.
Figura 3 Uso de la denegación explícita
Figura 3 Uso de la denegación explícita
Preste atención a AdminSDHolder Este ejemplo funciona bastante bien a menos que los usuarios especiales pertenezcan todos a uno de los grupos de administradores (Administradores de dominio, Administradores de esquema, Administradores de empresa o Administradores) puesto que los permisos para las cuentas en estos grupos se administran de manera distinta. Básicamente lo que no desea es proporcionar a alguien de forma accidental permisos a una cuenta de administrador.
Si crea una unidad organizativa independiente para administradores, observará que los permisos que les delega siguen desapareciendo. Esto se debe a AdminSDHolder, que es un contenedor especial que aplica su lista de control de acceso a cada cuenta de administrador en un intervalo especificado. Como consecuencia, cualquier cambio de delegación que realice en una cuenta de administrador no será válido si los cambios no se aplican también al contenedor AdminSDHolder. Por lo tanto, no debería separar las cuentas de administrador de otras cuentas con el objeto de llevar a cabo una delegación. Es preferible, no obstante, separar las cuentas de administrador a efectos de la directiva de grupo. Esto es especialmente cierto en Windows Server 2008, donde puede tener varias directivas de contraseña.

Principio 3: administración de objetos
La unidad organizativa debe facilitar la administración de los objetos. Agrupar los objetos en la misma unidad organizativa puede, a menudo, facilitar la realización de cambios globales. El complemento Usuarios y equipos de Active Directory le permite editar ciertos atributos en una selección de varios objetos. Así pues, si tiene que cambiar un atributo con regularidad en un grupo de objetos, es más fácil hacerlo si todos se encuentran en la misma unidad organizativa.
Esto es también especialmente útil si va a llevar a cabo actualizaciones con un script. Los lenguajes de scripting facilitan en gran medida la enumeración de todos los objetos de una unidad organizativa y la administración de los mismos de uno en uno. La otra opción consiste en buscar y modificar cada objeto individualmente. Simplemente el hecho de colocar los objetos en la misma unidad organizativa para la administración puede, en ocasiones, ahorrarle horas de trabajo innecesario cada semana.
Otra manera de ayudar en la administración de objetos consiste en separar los objetos en diferentes unidades organizativas según su tipo. La creación de una unidad organizativa independiente para objetos de impresora o recursos compartidos publicados garantiza que esos objetos no tengan que ser eliminados cuando lleve a cabo la administración en otros objetos de la unidad organizativa. Esta práctica es equivalente a la de no agrupar cuentas de usuario y de equipo en la misma unidad organizativa.

Elección de un modelo
Ahora que he tratado los principios del diseño de las unidades organizativas, puedo centrarme en algunos modelos de diseño comunes. Tenga en cuenta que hay muchos más modelos de los que puedo tratar aquí y que no está limitado a trabajar con las restricciones de un solo modelo. Puede tomar fragmentos de cada uno y crear su propio modelo híbrido dirigido a sus necesidades particulares.
Prácticamente cualquier modelo puede ser satisfactorio a pequeña escala, pero cuando la empresa crece, su capacidad para mantener la administración del entorno decrece. Por tanto, asegúrese de que, en primer lugar, prueba su modelo en un entorno de laboratorio adecuado. Y recuerde que aunque las estructuras de las unidades organizativas pueden, en un principio, cambiarse fácilmente, son más difíciles de cambiar cuanto más tiempo lleven funcionando.

El modelo superficial
El modelo superficial toma su nombre del hecho de que se mantiene prácticamente plano. En este modelo, unas pocas unidades organizativas de alto nivel contienen la mayoría de los objetos (consulte la Figura 4). Este modelo se ejercita en su mayor parte en empresas más pequeñas en las que hay una pequeña tienda de TI, no hay muchas divisiones diferentes ni los empleados tienden a ejercer funciones distintas. Recomiendo, normalmente, no subir por encima de las 10 subunidades organizativas, aunque Microsoft sugiere un límite de 15 subunidades organizativas antes de que se materialicen problemas de rendimiento.
Figura 4 El modelo superficial cuenta con unas pocas unidades organizativas de alto nivel que contienen la mayoría de los objetos
Figura 4 El modelo superficial cuenta con unas pocas unidades organizativas de alto nivel que contienen la mayoría de los objetos
Si el encargado de recursos humanos es también el encargado de las nóminas, no tiene entonces sentido crear dos unidades organizativas independientes para ambos departamentos. En el modelo superficial, todos los objetos de usuario pueden agruparse en una unidad organizativa de gran tamaño para Cuentas o pueden mantenerse en el contenedor predeterminado Usuarios. Como mínimo, sus objetos de usuario deben separarse de sus objetos de equipo.
Para este modelo, recomiendo también que vaya un paso más allá y separe sus estaciones de trabajo de los servidores. A continuación, puede aplicar directivas de grupo diferentes sin tener que definir un GPO que use una consulta del Instrumental de administración de Windows® (WMI, Windows Management Instrumentation) para filtrar estaciones de trabajo o servidores.
Una de las ventajas de mantener la amplitud de su estructura de unidad organizativa, y no la profundidad, es que las búsquedas de Active Directory se ejecutarán más rápido. Normalmente recomiendo no sobrepasar las 10 subunidades organizativas. El control sobre los objetos no es muy preciso en este modelo, pero si va a administrar objetos en una pequeña empresa no necesitará ese control tan preciso. Además, este modelo sería difícil de usar correctamente en una empresa de gran tamaño, pero funciona muy bien en pequeñas empresas.

El modelo geográfico
En el modelo geográfico, debe crear unidades organizativas independientes para las distintas regiones geográficas. Este modelo es mucho mejor para las empresas que cuentan con departamentos de TI descentralizados pero que no desean incurrir en costos asociados con la administración de varios dominios (consulte la Figura 5).
Figura 5 El modelo geográfico separa las unidades organizativas por región geográfica
Figura 5 El modelo geográfico separa las unidades organizativas por región geográfica
Pongamos como ejemplo que tiene oficinas en Atlanta, Baltimore y Seattle. En el caso de que cada sitio administre sus propios usuarios y equipos, podría tratarse de una buena opción en términos de delegación. Pero, ¿qué ocurre si un usuario de Seattle vuela a Baltimore para realizar un curso y bloquea su cuenta? Los encargados de TI en Baltimore no podrán ayudar a este usuario si no se les han delegado permisos para obtener acceso a la cuenta del usuario. Si son las 8 de la mañana en Baltimore, son las 5 de la mañana en Seattle, lo que significa que el usuario puede tener que esperar horas antes de poder ponerse en contacto con alguien de la oficina de Seattle para obtener ayuda.
Algunas compañías globales usan un modelo denominado "Follow the sun" ("Siga el sol"), en el cual las llamadas al departamento de soporte técnico se enrutan a un sitio ubicado en una zona horaria en la que aún sea horario de oficina. Esto significa que la compañía no tiene por qué tener abierto el departamento de soporte técnico las 24 horas en cada una de las sucursales. Aún así puede proporcionar ayuda a los empleados, por ejemplo, desbloquear sus cuentas, en cualquier momento del día o de la noche.
Si éste es su modelo, la creación de unidades organizativas independientes basadas en la ubicación geográfica no es probablemente la mejor opción para sus necesidades operativas. Tendría que delegar los permisos independientes a cada departamento de soporte técnico regional para cada unidad organizativa de usuarios. Sin embargo, si sus ubicaciones cuentan con sus propios departamentos de TI, el modelo geográfico puede constituir un buen modelo para su organización.
El modelo geográfico es también difícil de eliminar en un solo dominio debido a su naturaleza de funcionamiento. Un dominio tiende a tener un modelo de seguridad diferente de otros dominios. Esto es más evidente si observa una aplicación a nivel de empresa, como Microsoft® Exchange.
El servidor Exchange Server de Atlanta puede tener distintas directivas de mensajes definidas, pero todos los Exchange Server de la empresa tienen, probablemente, los mismos GPO aplicados. Si éste fuera el caso, al poner Exchange Server en unidades organizativas independientes basadas en regiones provocaría el tener que vincular de manera innecesaria el mismo GPO a varias unidades organizativas. En términos de delegación, tiene que preguntar si los administradores de Exchange necesitan realmente permisos únicos a los objetos de equipo para los servidores Exchange Server. En la mayoría de los casos, la división de los objetos de equipo en unidades organizativas geográficas se lleva a cabo por la directiva de grupo, no por la delegación.

El modelo basado en tipos
El modelo basado en tipos clasifica los objetos según sus funciones (consulte la Figura 6). Al crear su último objeto de usuario, ¿lo hizo para una cuenta de usuario normal, una cuenta administrativa o una cuenta de servicio? En un modelo basado en tipos, cada uno de estos objetos se trata de manera diferente.
Figura 6 El modelo basado en tipos agrupa los objetos según sus funciones
Figura 6 El modelo basado en tipos agrupa los objetos según sus funciones
En la mayoría de los casos, debe distinguir entre distintas clasificaciones de objetos de usuario para las directivas. Sus directivas se diferenciarán en su mayoría según el tipo de cuenta de usuario. Por ejemplo, el permitir a las personas iniciar sesión en un equipo con una cuenta de servicio es generalmente una práctica de negocio incorrecta. Las contraseñas de la cuenta de servicio se comparten, generalmente, entre muchos usuarios, por lo que si alguien inicia sesión con una cuenta de servicio, su identidad permanece anónima. En el caso de que ocurriera algo, tendría problemas para realizar un seguimiento del usuario que había iniciado sesión cuando se produjo el evento. En este ejemplo, debería establecer una directiva en las cuentas de servicio que evitara el inicio de sesión interactivo. Esto se adapta muy bien al modelo jerárquico mostrado en la Figura 3.
Podría usar la herencia de GPO para obtener ventajas en este caso. Por ejemplo, podría tener una directiva Todos los usuarios referida a directivas implementadas para todos los objetos de usuario. Además, podría tener una directiva distinta e independiente para las cuentas de servicio, que dependa de la directiva Todos los usuarios. Este enfoque garantiza que sus cuentas de servicio tienen el mismo conjunto base de directivas que cualquier otra cuenta, así como las restricciones de inicio de sesión específicas.
Este enfoque es adecuado también para la delegación, en la que usa la herencia de permisos en lugar de la herencia de GPO. Suponga que sus administradores del nivel 2 tienen la capacidad de restablecer las contraseñas para todas las cuentas excepto para las cuentas de los administradores del nivel 3. Con una estructura de unidad organizativa plana, tendría que delegar los permisos a cada unidad organizativa que contenga cuentas de usuario. Sin embargo, en un modelo basado en tipos con una estructura jerárquica, puede dar al grupo del nivel 2 permisos para "restablecer la contraseña" en la unidad organizativa Cuentas y, a continuación, en la unidad organizativa del nivel 3, podría simplemente no heredar los permisos o incluso configurar una denegación explícita para evitar que el nivel 2 restablezca la contraseña.
Esto funciona también correctamente para los objetos de equipo. Los servidores y las estaciones de trabajo pueden separarse permitiendo la aplicación de distintas directivas a los mismos. Entonces, los servidores pueden subdividirse en funciones (consulte la Figura 1). En este diseño, es posible configurar una directiva de alto nivel en la unidad organizativa Servidores que afecte a todos los servidores y también configurar directivas individuales en cada unidad organizativa de nivel inferior.
Por ejemplo, digamos que tiene una cuenta de servicio de Microsoft Operations Manager (MOM). Con este modelo por niveles, puede crear un GPO de MOM y aplicarlo a la unidad organizativa Servidores de MOM. Y, a continuación, dentro de ese GPO, puede otorgar derechos a la cuenta de servicio de MOM para iniciar sesión como un servicio. Esto sólo se aplicaría a los servidores MOM de esa unidad organizativa. Los servidores MOM obtendrán, no obstante, el GPO de Servidores de la unidad organizativa Servidores de nivel superior, pero también obtendrán el GPO de MOM especializado, que está vinculado en la unidad organizativa de MOM.

Documentación del diseño
Puede ser muy gratificante diseñar una estructura de unidad organizativa que resista los numerosos cambios que se producen en un entorno de Active Directory. Pero necesita algún método para realizar el seguimiento de las características dinámicas de las unidades organizativas. Si no dispone de ningún método, podría perder rápidamente el control de su entorno. Cuando sea necesario un cambio y deba agregarse o eliminarse una unidad organizativa, debe saber exactamente qué hacer para garantizar que su modelo seguirá ciñéndose a su modelo de diseño, adhiriéndose a los tres principios fundamentales. Por esta razón debe contar con un diseño bien documentado.
Microsoft ofrece guías de documentación en el Kit de recursos de Windows Server. Estas guías son estupendas si su estructura es un marco sólido que no va a cambiar mucho en el futuro. Pero la mayoría de las organizaciones cuentan con una estructura muy dinámica que cambia con frecuencia. Así pues, les presento algunas sugerencias importantes para garantizar que su estructura de unidad organizativa esté bien documentada y pueda ser compatible con un entorno dinámico.
Asegúrese de que toda la información es relevante Creo firmemente en la documentación que persigue un objetivo. Demasiados documentos operativos cuentan con tanta información superflua que es difícil encontrar lo que realmente se busca. No se quede estancado en el proceso de documentación porque sí. ¿Necesita realmente incluir el número de objetos en cada unidad organizativa o cada Entrada de control de acceso (ACE, Access Control Entry) en la lista de control de acceso de la unidad organizativa? Para la documentación de la unidad organizativa, la información siguiente será generalmente suficiente:
  • Nombre de la unidad organizativa
  • Descripción breve
  • Quién la creó, o con quién hay que ponerse en contacto para obtener más información o cambios
  • Cuándo se creó
No dificulte las actualizaciones Si, desafortunadamente, tiene que actualizar algún documento complejo de Microsoft Word, es más que probable que postergue la implementación de actualizaciones. No es un problema que se desvincule de implementar pequeños cambios si sabe que pronto contará con una gran cantidad de actualizaciones que llevar a cabo a la vez. Desafortunadamente, las personas a menudo se olvidan de estos pequeños cambios o simplemente siguen postergándolos, por lo que el trabajo nunca se termina. Por lo tanto, la actualización del documento debe ser muy sencilla para no desalentarse. En la mayoría de los casos, una sencilla hoja de cálculo de Microsoft Excel® con unas pocas columnas funcionará bien.
Realice comentarios sobre el propio objeto Los objetos de la unidad organizativa tienen un atributo de descripción donde puede escribir sus comentarios. En lugar de escribir los comentarios en el documento de diseño, considere l escribirlos en el atributo de descripción, de manera que otros usuarios puedan deducir directamente para qué sirve la unidad organizativa. Si necesita incluir más detalles, escriba una breve descripción en el atributo de descripción e incluya más detalles en el documento de la unidad organizativa.
Automatice la documentación Un script se puede escribir para volcar los contenidos de la estructura de la unidad organizativa en un archivo de texto, una hoja de cálculo de Excel o incluso un archivo HTML. Este script puede ejecutarse cada noche en una tarea programada. Esto puede ser muy útil si incluye comentarios en el campo de descripción de la unidad organizativa. A continuación, es sólo cuestión de volcar el atributo de descripción al archivo y obtendrá automáticamente una estructura de unidad organizativa completamente documentada que estará siempre actualizada. Si crea un archivo nuevo cada vez que se ejecuta el script, en vez de sobrescribir el documento existente, puede mantener un historial de los cambios a los que se ha sometido la unidad organizativa a lo largo del tiempo.
Desafortunadamente, la mayoría de los administradores no entienden la importancia de una buena documentación de estructura de unidad organizativa hasta que realmente la necesitan. Y para entonces, a las 3 de la mañana, es casi imposible resolver lo que otras unidades organizativas eliminaron por accidente sin llevar a cabo una restauración.
No espere hasta que le ocurra esto. Le recomiendo encarecidamente que sea previsor en este área y que comience de inmediato un documento de unidad organizativa y designe una persona responsable de actualizarlo. Por último, si sigue la regla de facilitar la actualización de la documentación, la tarea no supondrá ninguna complicación. 

Ken St. Cyr es consultor de Microsoft y cuenta con diez años de experiencia en el sector de TI. Ha diseñado e implementado soluciones de directorio basadas en Active Directory desde su comienzo.


 Administraci&#243;n de Windows: Ampliaci&#243;n del esquema de Active Directory
Administración de Windows Vikas Malhotra

Ampliación del esquema de Active Directory
De un vistazo:
  • Descripción del esquema de Active Directory predeterminado
  • Adición de objetos classSchema o attributeSchema
  • Obtención y uso de identificadores de objetos
  • Ampliación del esquema con archivos .ldif
Descargar el código de este artículo: Schema2008_05.exe (151KB)

Desde la aparición de Active Directory con el lanzamiento de Windows 2000, Microsoft ha proporcionado a los consumidores la definición del esquema de base para la implementación de Active Directory.
La presencia de Active Directory® también supuso un giro en la forma de escribir e implementar muchas aplicaciones en Windows®. Antes, las aplicaciones como Microsoft® Exchange 5.5 se creaban para que contuvieran sus propias estructuras de directorio. Con la aparición de Active Directory, muchas aplicaciones (tanto de Microsoft como de otras empresas) comenzaron a aprovechar la estructura subyacente que ofrecía, en lugar de crear sus propios esquemas desde cero.
Estas aplicaciones comenzaban con la arquitectura básica que proporcionaba Active Directory y la ampliaban según sus necesidades. Microsoft Exchange 2000, por ejemplo, usaba Active Directory para las implementaciones de mensajería, definiendo de este modo el futuro de la arquitectura de mensajería de Microsoft.
Hoy en día, muchas de las aplicaciones escritas para funcionar en un entorno de Active Directory dependen de su esquema subyacente para funcionar. Del mismo modo, muchas de ellas definen sus propios cambios en el esquema según sus necesidades. Esto, por supuesto, requiere un esquema que se pueda ampliar, como explicaré más adelante. Además, ya que hay tantas aplicaciones que dependen de las definiciones de base de Active Directory, la estabilidad continuada del esquema principal es esencial. Ya que muchas aplicaciones necesitan trabajar juntas en el mismo Active Directory, los cambios que se realicen para cualquier aplicación no deben afectar a las otras.

¿Qué es un esquema?
Para muchos, el esquema de Active Directory es una caja negra, por lo que la idea de modificar el esquema por cuenta propia puede resultar intimidante. Aunque la ampliación del esquema de Active Directory no es algo que necesite realizar todos los días, algunas aplicaciones o necesidades empresariales pueden requerir que lo haga. Por lo tanto, es muy importante entender qué es un esquema y qué contiene, ya que Active Directory es un activo esencial para muchas organizaciones y un funcionamiento incorrecto de éste a causa de una actualización incorrecta puede tener un impacto muy importante.
A modo de estrategia, hay muchas organizaciones que piensan en el uso de Active Directory Lightweight Directory Service (ADLDS) en Windows Server® 2008 (Active Directory Application Mode, ADAM, en Windows Server 2003) como una alternativa para probar o implementar directamente las definiciones de esquema personalizadas en lugar de ampliar el esquema de Active Directory.
Un esquema es la estructura subyacente que proporciona el formato para un servicio de directorio. El esquema de Active Directory define las clases y atributos de objeto que se usan en los Servicios de dominio de Active Directory (ADDS, Active Directory Domain Services). El esquema principal proporciona definiciones para muchas clases conocidas (como user, computer y organizationalUnit) y atributos (como telephoneNumber y objectSID). Los objetos presentes en la definición de esquema principal se conocen como objetos de Categoría 1 y los objetos que se agregan se denominan objetos de Categoría 2.
Se puede encontrar un esquema de Active Directory en el contenedor definido en la ruta de acceso cn=Schema,cn=Configuration,dc=X, donde "X" es el espacio de nombres del bosque de Active Directory. Tenga en cuenta que un bosque de Active Directory sólo contiene un esquema, los cambios que se realicen en la definición del esquema de un bosque afectarán a todos los dominios del mismo. En la Figura 1 se muestra el número de clases y atributos que se agregan al esquema de Active Directory en diferentes versiones de Windows Server.
Figure 1 Número de clases y de atributos (Close Figure 1)

Versión | Número de atributos agregados | Número de clases agregadas | Archivos de ampliación de esquema
Windows Server 2003 | 208 | 49 | Sch14.ldf a sch30.ldf
Windows Server 2003 R2 | 81 | 29 | Sch31.ldf
Windows Server 2008 | 136 | 10 | Sch32.ldf a sch44.ldf
La actualización del esquema para las diferentes versiones de Windows Server se lleva a cabo a través de una utilidad llamada Adprep. Con las actualizaciones de Windows Server 2003 R2, la versión del esquema se actualiza a la 31, y cambia a la 44 con Windows Server 2008.
Esto se puede comprobar a través del valor del atributo objectVersion de cn=Schema,cn=Configuration,dc=X en Active Directory mediante el uso de una herramienta como ADSIEdit. Observe que algunas aplicaciones como Exchange Server, System Management Server (SMS) u otras que dependan de Active Directory pueden modificar el esquema en función de las necesidades de las aplicaciones.

Ladrillos y mortero
Active Directory consta de dos tipos de objetos: classSchema (abreviado clase) y attributeSchema (abreviado atributo). La ampliación del esquema de Active Directory suele plantearse cuando una organización desea almacenar datos en ciertos atributos que no están disponibles en el esquema existente. Para crear un atributo en un esquema de Active Directory, especifique, en primer lugar, un objeto attributeSchema en el contenedor de esquema y defina, a continuación, las propiedades necesarias para el nuevo objeto.
Podrá encontrar una lista de propiedades para los objetos attributeSchema e información relacionada en go.microsoft.com/fwlink/?LinkId=110445. Como puede ver, hay muchas propiedades que se pueden definir para los objetos attributeSchema. Muchas de estas propiedades son necesarias.
Aparte de los atributos habituales, también existen atributos especiales llamados atributos vinculados dentro de un esquema que se implementan en parejas proporcionando un vínculo hacia adelante y un vínculo hacia atrás. A modo de ejemplo, piense en la pertenencia a un grupo Active Directory. El atributo de miembro de cualquier grupo (por ejemplo, un grupo llamado ContosoEmployees con un miembro que se llame Arturo López) es el vínculo hacia adelante y el atributo correspondiente memberOf del objeto de miembro es el vínculo hacia atrás (de manera que, por ejemplo, al realizar una consulta al atributo memberOf de Arturo López, se calcula el nombre distintivo, o DN, de ContosoEmployees).
El vínculo hacia adelante se comporta como cualquier otro atributo. Los valores pueden tener un solo valor o diversos valores (al igual que ocurre con el atributo member, que puede contener varios objetos como miembros de un grupo) y se almacenan juntos con el objeto principal en el directorio.
Los vínculos hacia atrás, por otro lado, los mantiene el sistema para asegurar la integridad referencial. Al realizar una consulta para saber el valor de un vínculo hacia atrás, se calcularán los resultados a partir de todos los valores de los vínculos hacia adelante que coincidan. Los vínculos hacia atrás siempre tienen diversos valores
Las clases de objeto en ADDS las define un objeto classSchema del contenedor de esquema. Puede encontrar una lista con los atributos esenciales para definición correcta del objeto classSchema en go.microsoft.com/fwlink/?LinkId=110445.
Hay tres tipos de clases que se pueden especificar: estructurales, abstractas y auxiliares. A estas clases las define el valor de atributo objectClassCategory. Una cuarta categoría, conocida como 88, incluye las clases definidas antes de los estándares X.500 de 1993. Este tipo de clase lo especifica un valor de 0 en el atributo objectClassCategory. Este tipo de clase ya no debe definirse.

Obtención y uso de identificadores
Las identidades de todos los objetos classSchema y attributeSchema del directorio se definen mediante un identificador de objetos (OID) obligatorio, que se define con el atributo governsID para los objetos classSchema y attributeID para los objetos attributeSchema. Se trata de valores numéricos exclusivos que proporcionan algunas autoridades emisoras para identificar los objetos. La numeración se rige por la definición del protocolo LDAP (RFC 2251). Algunos de los OID del esquema de Active Directory los emite la Organización internacional de normalización (ISO, International Organization for Standardization) y otros los emite Microsoft. Un OID debe ser exclusivo para un objeto del directorio.
El OID es una cadena de números, por ejemplo, 1.2.840.113556.1.y.z, como aparece en la Figura 2. Por lo tanto, un OID para un objeto classSchema de user, por ejemplo, sería 1.2.840.113556.1.5.9.
Figure 2 Identificador para el objeto user (Close Figure 2)

Valor | Significado | Descripción
1 | ISO | Identifica a una entidad emisora raíz.
2 | ANSI | Designación de grupo asignada por ISO.
840 | EE. UU. | Código de país/región asignado por la organización.
113556 | Microsoft | Designación de la organización asignada por el país/región.
1 | Active Directory | Asignado por la organización (por Microsoft, en este caso).
Y | Tipo de objeto | Número que define el tipo de objeto diferente (categoría) como classSchema o attributeSchema. Por ejemplo, 5 define la clase de objeto.
Z | Objeto | Número que identifica un objeto en concreto de la categoría. Por ejemplo, la clase user tiene el número 9 asignado.
Cuando una organización tiene intención de ampliar el esquema, se asegura de que el OID sea exclusivo, obteniendo su número de OID raíz, que se ramifica para ofrecer identificadores únicos a los nuevos atributos y clases de objeto que crea la organización. EL OID raíz se puede obtener directamente de una autoridad de registro nacional (NRA) ISO, que en Estados Unidos es el American National Standards Institute (ANSI).
Puede conseguir el programa de procedimientos y de honorarios para obtener un OID raíz en ansi.org. En el caso de otras regiones, póngase en contacto con la organización miembro de ISO correspondiente. Puede encontrar una lista en iso.org/iso/about/iso_members.htm.
Antes, las organizaciones podían obtener un OID de Microsoft enviando un mensaje de correo electrónico a schemreg@microsoft.com. No obstante, ahora se produce una respuesta automática que pide al solicitante que descargue y ejecute el VBScript de go.microsoft.com/fwlink/?LinkId=110453.
Ya que Microsoft emite los OID, el número se asigna en el espacio de número de OID de Microsoft: 1.2.840.113556.1.8000.x, donde "x" es un número exclusivo asignado a la organización. La organización puede seguir dividiendo estos OID para especificar los objetos. Por lo tanto, una organización puede usar 1.2.840.113556.1.8000.x.1.y para los nuevos objetos de classSchema y 1.2.840.113556.1.8000.x.2.z para los objetos de attributeSchema (donde x representa el número único de la organización e "y" y "z", son los números asignados respectivamente para los objetos específicos de classSchema y attributeSchema). Además, se recomienda el uso de un prefijo específico de la organización en los nombres de los objetos para distinguirlos.

Definición de los atributos vinculados
Es importante que el valor attributeSyntax de un vínculo hacia adelante sea 2.5.5.1, 2.5.5.7 o 2.5.5.14. Estos valores corresponden a las sintaxis que contiene un nombre distintivo, como la sintaxis de objeto (DS-DN).
El valor attributeSyntax de un vínculo hacia atrás debe ser 2.5.5.1, que es la sintaxis de objeto (DS-DN). Por convención, los atributos hacia atrás se agregan al valor mayContain de la clase abstracta principal. Esto permite que el vínculo hacia atrás lea de objetos de cualquier clase, ya que los atributos de vínculos hacia atrás no se almacenan realmente con el objeto, sino que se calculan en función de los valores de los vínculos hacia adelante.
Windows Server 2003 presentó una característica que las organizaciones podían usar para vincular dos objetos en un esquema: generación automática de atributos linkID Gracias a esta característica, el sistema genera de forma automática un atributo linkID para un atributo vinculado nuevo cuando el linkID del atributo se establece en 1.2.840.113556.1.2.50. Se crea un vínculo correspondiente al establecer el linkID en el attributeId o ldapDisplayName del vínculo hacia adelante. Hay que volver a cargar la memoria caché del esquema tras la creación del vínculo hacia adelante y antes de crear el vínculo hacia atrás. De lo contrario, no se encontrarán los atributos attributeId o ldapDisplayName cuando se cree el vínculo hacia atrás. La memoria caché del esquema se vuelve a cargar a petición unos minutos después de realizar un cambio o al reiniciar el controlador del dominio.
Si Active Directory se encuentra en el nivel de Windows 2000, necesitará solicitar atributos linkID de Microsoft mediante el envío de un mensaje de correo electrónico a schemreg@microsoft.com. En la respuesta automática se le informará de que los mensajes de correo electrónico enviados a schemreg@microsoft.com sólo se procesarán si están relacionados con los registros de linkID para entornos heredados. Por este motivo, proporcione la siguiente información en el mensaje de correo electrónico: nombre de la empresa, nombre de contacto, dirección de correo electrónico, prefijo registrado (si corresponde), OID registrado (si corresponde).

Preparado para ampliar el esquema
Supongamos que se ha decidido a ampliar el esquema de Active Directory. Este análisis puede haber implicado la reducción en el uso de un directorio alternativo implementado mediante ADLDS (o ADAM en Windows Server 2003) tras asegurarse de que no cumple los requisitos. El siguiente paso, es identificar los nuevos objetos attributeSchema que desea agregar al esquema y, al hacerlo, ha definido todos los valores necesarios (como ocurre con, ldapDisplayName y demás) que especifican estos nuevos objetos. En la definición de los valores de atributo para el objeto, ha obtenido también el OID de Microsoft o de otra fuente. Principalmente, ha documentado lo anterior como requisitos empresariales y especificaciones técnicas. Además, ha implementado un entorno de laboratorio que imita a Active Directory y que está preparado para realizar pruebas.
Muchas organizaciones forman comités para aprobar o denegar dichos cambios y establecen el proceso para implementarlos. Sobra decir que la necesidad de tales comprobaciones y balances es crítica, ya que muchas organizaciones usan Active Directory como una fuente de información de peso, por lo que conservarlo en perfecto estado y en funcionamiento tras los cambios es esencial.
Una vez que la organización se decide a actuar, debe definir los planes de prueba y de implementación para el proyecto. Puede ampliar el esquema agregando nuevos objetos con el complemento del esquema de Active Directory que se encuentra en Microsoft Management Console (MMC) o mediante métodos de programación o de semiprogramación para ampliar el esquema (usando, por ejemplo, LDIFDE para importar archivos con el formato .ldif; CSVDE para importar archivos con el formato .csv; o mediante el scripting con interfaces ADSI).
Independientemente del método que use, debe realizar esta función en un servidor que esté conectado o que disponga de la función Flexible Single Master Operations (FSMO) del maestro de esquema del bosque de Active Directory. Además, la cuenta que use para actualizar el esquema necesita disponer de los privilegios de administración suficientes para realizar la actualización, así que puede hacerla un miembro del grupo Administradores de esquemas. Finalmente, debe habilitar las actualizaciones del esquema para el bosque (deshabilitadas de forma predeterminada).
A menos que el cambio sea muy sencillo, debería realizarse de forma automática para fomentar la estandarización entre las fases de prueba y de implementación de producción y para reducir los tipos de error que se pueden producir al realizar los pasos de forma manual. Imagine que decide implementar el cambio mediante LDIFDE. Para aplicar actualizaciones a la hora de ampliar el esquema, debería agregar los nuevos atributos y clases, agregar los nuevos atributos a las clases y activar una carga de la memoria caché. Examinemos un par de situaciones.

Adición de atributos
Imagine que una organización llamada Contoso desea agregar un atributo a Active Directory que identifique la talla de zapato de los empleados. El bosque de Active Directory tiene dos dominios: contoso.com y employees.contoso.com. El requisito es que todos los objetos creados con la definición de clase user deberían contener este nuevo atributo.
Es importante que recuerde que el cambio en el esquema afectará a ambos dominios, ya que se encuentran en el mismo bosque. Supongamos que ha recibido el OID de 1.2.840.113556.8000.9999 de Microsoft y que lo ha subdividido en 1.2.840.113556.8000.9999.1 para los objetos de classSchema y en 1.2.840.113556.8000.9999.2 para los objetos de attributeSchema para Contoso. Ahora va a definir todos los valores de atributo para este nuevo objeto, como se muestra en la Figura 3.
Figure 3 Definición del atributo contosoEmpShoe (Close Figure 3)

Atributo | Valor | Notas
Cn | contosoEmpShoe |
lDAPDisplayName | contosoEmpShoe |
adminDisplayName | contosoEmpShoe |
attributeSyntax | 2.5.5.12 | Especifica una cadena Unicode.
oMSyntax | 64 | Indica una cadena Unicode.
objectClass | superior, attributeSchema |
attributeID | 1.2.840.113556.8000.9999.2.1 | Definido por la organización.
isSingleValued | TRUE | Sólo se puede almacenar un valor de talla de zapato.
searchFlags | 1 | El análisis muestra que desea incluir este atributo en un índice. Nota: realizará el análisis de la prueba de esfuerzo en el entorno de laboratorio.
isMemberOfPartialAttributeSet | TRUE | Desea que este atributo esté disponible en el catálogo global.
Además, aunque el atributo contosoEmpShoe necesita estar disponible para todos los objetos creados como objetos de clase user, no se recomienda modificar la definición predeterminada de la clase user. En lugar de eso, debería definir una clase auxiliar llamada contosoUser que tenga el valor de mayContain especificado como contosoEmpShoe, como se muestra en la Figura 4. A continuación, puede agregar los atributos definidos para la clase auxiliar contosoUser a la clase user.
Figure 4 Definición de la clase contosoUser (Close Figure 4)

Atributo | Valor
Cn | contosoUser
lDAPDisplayName | contosoUser
adminDisplayName | contosoUser
governsID | 1.2.840.113556.8000.9999.1.1 (definido por la organización)
mayContain | contosoEmpShoe
possSuperiors | organizationalUnit, contenedor
objectClassCategory | 3 (define una clase auxiliar)
Una vez que ha realizado el análisis y definido los valores, es el momento de crear el archivo .ldif, que tiene el aspecto del código de la Figura 5. Puede copiar los contenidos de la Figura 5 en el Bloc de notas y guardar el archivo como contosoUser.ldif (o puede encontrar una copia en la descarga de código de technetmagazine.com).
Figure 5 Archivo .ldif para ampliar el esquema (Close Figure 5)
#Attribute definition for contosoEmpShoe

dn: CN=contosoEmpShoe,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: attributeSchema
cn: contosoEmpShoe
attributeID: 1.2.840.113556.1.8000.9999.2.1
attributeSyntax: 2.5.5.12
isSingleValued: TRUE
adminDisplayName: contosoEmpShoe
adminDescription: contosoEmpShoe
oMSyntax: 64
searchFlags: 1
lDAPDisplayName: contosoEmpShoe
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

# Classes

dn: CN=contosoUser,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: classSchema
cn: contosoUser
governsID: 1.2.840.113556.1.8000.9999.1.1
mayContain: contosoEmpShoe
rDNAttID: cn
adminDisplayName: contosoUser
adminDescription: contosoUser
objectClassCategory: 3
lDAPDisplayName: contosoUser
name: contosoUser
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

dn: CN=User,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemamodify
add: auxiliaryClass
auxiliaryClass: contosoUser
-

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
Tras generar el archivo .ldif, deberá probar la implementación a conciencia en un entorno de laboratorio, comprobar la réplica de un extremo a otro del dominio y del bosque y activar la actualización del esquema en el bosque. Llegado a este punto, debería iniciar sesión con una cuenta que disponga de privilegios de administración de esquemas. Tal vez desee deshabilitar la réplica de salida en el maestro de esquema (donde se realizará el cambio) y ejecutar el siguiente comando para importar el archivo .ldif:
ldifde –i –f <Path>\contosoUser.ldif –b
<username> <domain> <password> -k –j. –c
"CN=schema,CN=Configuration,DC=X"
#schemaNamingContext
Una vez que se hayan efectuado los cambios, habilite la réplica en el maestro de esquemas y compruebe que la réplica se ha producido en todos los controladores de dominio.
Respire hondo... Ya ha acabado. Ha definido un atributo nuevo en el esquema que se asociará con los objetos creados mediante la clase user (es decir, cuentas de usuario).
Para comprobar el cambio, abra Usuarios y equipos de Active Directory, conecte con el dominio employees.contoso.com, busque la unidad organizativa (OU) Users y cree una nueva cuenta de usuario llamada ContosoTestUser. Abra la consola adsiedit.msc y conéctese a la partición de dominio dc=employees,dc=contoso,dc=com, expanda la OU Users, haga clic con el botón secundario en ContosoTestUser y abra la página Propiedades. Busque el atributo contosoEmpShoe. Puede editar este atributo para escribir un valor. También puede usar la utilidad Ldp.exe para comprobar y modificar los atributos.
Echemos un vistazo a un ejemplo que defina y vincule dos atributos e imaginemos una situación en la que Contoso le dé una gran importancia a las tallas de zapatos de los empleados y desea registrar de alguna forma el rendimiento anual de las personas en relación con las tallas de zapatos. Aunque pueda sonar extraño, imaginemos que Contoso desea realizar un seguimiento no sólo de los responsables de medir las tallas de zapatos de los empleados, sino también de a quiénes corresponden las tallas y del número de medidas realizadas, todo mediante la consulta de un atributo. Tal vez crea que estos datos se almacenarían mejor en tablas de bases de datos, pero mi intención es explicar el funcionamiento de los vínculos hacia adelante y hacia atrás.
Por supuesto, antes de nada, debería realizar el mismo tipo de análisis que traté en el ejemplo anterior. No obstante, avancemos para generar los archivos .ldif linkids1.ldif y linkids2.ldif, como aparecen en la Figura 6. A continuación, ejecute este comando para importar los archivos .ldif:
Figure 6 Archivos .ldif de vínculos hacia adelante y hacia atrás (Close Figure 6)

#linkids1.ldif
#Attribute definition for Forward Link Attribute

dn: CN=ContosoShoeSizeTaker,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: attributeSchema
cn: ContosoShoeSizeTaker
attributeID: 1.2.840.113556.1.8000.9999.2.2
LinkID: 1.2.840.113556.1.2.50
attributeSyntax: 2.5.5.1
isSingleValued: TRUE
adminDisplayName: ContosoShoeSizeTaker
adminDescription: ContosoShoeSizeTaker
oMSyntax: 64
searchFlags: 1
lDAPDisplayName: ContosoShoeSizeTaker
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

#Reload schema

#linkids2.ldif

#Attribute definition for Backward Link Attribute

dn: CN=ContosoShoeSizesTakenByMe,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemaadd
objectClass: top
objectClass: attributeSchema
cn: ContosoShoeSizesTakenByMe
attributeID: 1.2.840.113556.1.8000.9999.2.3
LinkID: 1.2.840.113556.8000.9999.2.2
attributeSyntax: 2.5.5.1
isSingleValued: FALSE
adminDisplayName: ContosoShoeSizesTakenByMe
adminDescription: ContosoShoeSizesTakenByMe
oMSyntax: 64
searchFlags: 1
lDAPDisplayName: ContosoShoeSizesTakenByMe
systemOnly: FALSE

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

#Add ContosoShoeSizeTaker and ContosoShoeSizesTakenByMe Attribute as MayContain in
#contosoUser class

dn: CN= contosoUser,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemamodify
add: mayContain
mayContain: ContosoShoeSizeTaker
mayContain: ContosoShoeSizesTakenByMe

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1
-

#Add Backward Link Attribute as MayContain in Top

dn: CN=Top,CN=Schema,CN=Configuration,DC=X
changetype: ntdsschemamodify
add: mayContain
mayContain: ContosoShoeSizesTakenByMe

dn:
changetype: modify
add: schemaUpdateNow
schemaUpdateNow: 1

ldifde –i –f <Path>\linkedids<>.ldif –b
<username> <domain> <password> -k –j. –c
"CN=schema,CN=Configuration,DC=X"
#schemaNamingContext
Al crear un objeto user, también se crearán ContosoShoeSizeTaker y ContosoShoeSizesTakenByMe como sus atributos. Al crear el objeto user para, por ejemplo, Arturo, se rellena el atributo ContosoShoeSizeTaker con el DN de la persona que midió la talla de zapato, una persona llamada Tomás. Al mirar las propiedades de objeto user de Tomás y realizar una consulta del atributo ContosoShoeSizesTakenByMe, el resultado contendrá el DN de Arturo y todos los que Frank haya tomado. Para completar este escenario, la dirección puede recompensar a Tomás en función del número de DN que haya en el atributo ContosoShoeSizesTakenByMe de su cuenta de usuario.

Comprobaciones de sistema y balances
Una actualización crítica como la modificación del esquema no se puede realizar sin comprobar los requisitos arquitectónicos. Active Directory usa estas comprobaciones de coherencia y de seguridad para asegurarse de que los cambios no causan incoherencias u otros problemas cuando se realiza una adición o modificación en el esquema de Active Directory.
En primer lugar, el valor de governsID para cada clase debe ser único en el esquema. Al definir un objeto schemaClass, todos los atributos que se definen en las listas systemMayContain, mayContain, systemMustContain y mustContain deben existir con anterioridad. Al mismo tiempo, todas las clases que se definen en las listas subClassOf, systemAuxiliaryClass, auxiliaryClass, systemPossSuperiors y possSuperiors también deben existir con anterioridad.
Además, el atributo objectClassCategory de todas las clases de las listas systemAuxiliaryClass y auxiliaryClass deben pertenecer a la clase 88 o a la clase auxiliar. De forma similar, los atributos objectClassCategory de todas las clases de las listas systemPossSuperiors y possSuperiors se deben especificar como de clase 88 o clase estructural.
Al definir distintas clases, las clases abstractas sólo pueden heredar de otras clases abstractas, las clases auxiliares no pueden heredar de clases estructurales y las clases estructurales no pueden heredar de clases auxiliares. Asimismo, el atributo especificado en rDNAttID debe tener una cadena Unicode como sintaxis y presentar un solo valor.
Estas son algunas de las reglas relacionadas con los objetos classSchema. ¿Qué ocurre con los objetos attributeSchema? Como ocurre con el valor governsID para las clases, el valor de attributeID debe ser exclusivo. Además, el valor de mAPIID, si existe, debe ser único. Si existen los valores rangeLower y rangeUpper, rangeLower debe ser menor que rangeUpper. Los valores de attributeSyntax y oMSyntax deben coincidir. Si el atributo tiene sintaxis de objeto (oMSyntax =127), debe tener el atributo oMObjectClass. El atributo linkID, si existe, debe ser exclusivo. Además, un vínculo hacia atrás debe contar con el correspondiente vínculo hacia adelante.

¿Qué ocurre si se equivoca?
Una vez que se ha ampliado el esquema con nuevos objetos (clases y atributos), éstos no se pueden eliminar. No obstante, se puede desactivar una clase o atributo al establecer el atributo isDefunct en TRUE en el objeto de esquema. No se pueden desactivar objetos de esquema que formen parte del esquema predeterminado que incluye Active Directory (objetos de Categoría 1). Sólo puede desactivar objetos que se hayan agregado al esquema predeterminado, es decir, sólo los objetos de Categoría 2 y siempre y cuando Active Directory haya comprobado que ninguna lista subClassOf, auxiliaryClass o possSuperiors usa ninguna de las clases no inactivas existentes.
Siempre que se produzca cualquier intento de inactivar un atributo, Active Directory comprueba que el atributo no lo usen los atributos mustContain ni mayContain de las clases no inactivas. Los objetos inactivos se pueden volver a activar mediante el establecimiento del atributo isDefunct en FALSE. Si Active Directory está a nivel de Windows Server 2003, puede volver a usar los valores ldapDisplayName, schemaIdGuid, OID o mapiID del objeto inactivo.

Conclusión
La adición o modificación de definiciones de clases o atributos en el esquema implica agregar o modificar el objeto classSchema o el objeto attributeSchema correspondiente. Este proceso es similar a la adición o modificación de cualquier objeto en Active Directory, salvo que las comprobaciones adicionales se realizan para asegurar que los cambios no produzcan incoherencias o problemas en el esquema en el futuro.
Aunque la modificación del esquema de Active Directory es una tarea muy sencilla, es importante comprender cómo se forma el esquema y cómo implementa estos cambios. Los cambios en la producción del esquema de Active Directory necesita mucho planeamiento y hay que hacerlos con cuidado. Es esencial definir los requisitos empresariales y las especificaciones técnicas para los nuevos objetos, así como realizar muchas pruebas de laboratorio. Ya que los cambios pueden tener efectos profundos, se recomienda ampliar el esquema de Active Directory sólo cuando sea estrictamente necesario.

Vikas Malhotra trabaja en Servicios de consultoría de Microsoft (Microsoft Consulting Services, MCS) en Nueva York. En los 12 años que lleva en la industria, ha trabajado con muchas organizaciones de TI de tamaño grande y mediano para ayudarles a optimizar su arquitectura de infraestructura, como directorios, mensajería, seguridad y redes de datos. Es licenciado en ingeniería electrónica y telecomunicaciones y ha realizado un máster en ciencias de la administración de las telecomunicaciones. Póngase en contacto con él en vikasmal@microsoft.com.


 System Center: Presentaci&#243;n de System Center Mobile Device Manager
System Center Matt Fontaine

Presentación de System Center Mobile Device Manager

De un vistazo:
  • Un sistema típico de Mobile Device Manager
  • Ampliación de Active Directory a Windows Mobile
  • Inscripción, aprovisionamiento e inventario de dispositivos Windows Mobile

El lanzamiento de Microsoft System Center Mobile Device 2008 es un acontecimiento emocionante para los profesionales de TI que administran dispositivos Windows Mobile en redes corporativas. Al proporcionar capacidades de administración de dispositivos, administración de seguridad y VPN móvil
en un solo producto, esta nueva oferta puede ayudar a reducir las cargas administrativas e incrementar el rendimiento de la inversión (ROI, Return on Investment) de los dispositivos móviles.
Mobile Device Manager permite a los profesionales de TI usar la infraestructura existente de Active Directory® y las directivas de grupo para aplicar la configuración de dispositivo. Las capacidades de administración de dispositivos sin cables (OTA) permiten a los profesionales de TI proporcionar actualizaciones y aplicaciones a los dispositivos fácilmente, al tiempo que el aprovisionamiento automático de OTA facilita la implementación y la hace más escalable. La VPN móvil otorga a los usuarios finales acceso a datos y aplicaciones protegidos por un firewall al tiempo que proporciona una conexión ininterrumpida para que los administradores controlen los dispositivos implementados. La combinación de estas capacidades en un producto ampliable, personalizable y escalable convierte a Mobile Device Manager en una herramienta esencial para los profesionales de TI actuales.

La necesidad de administración
Se espera que el personal móvil siga creciendo rápidamente en los próximos años. Desde el punto de vista histórico, los dispositivos móviles han sido más difíciles de administrar que ningún otro equipo en red debido, precisamente, a su movilidad. Estos dispositivos se conectan a la red de varias maneras y la seguridad varía entre ellos, ya que pueden estar fuera del firewall, usan diferentes sistemas operativos de dispositivos cliente y son pequeños y fáciles de perder o extraviar.
La funcionalidad ampliada de los dispositivos móviles actuales ofrece prestaciones atractivas tanto para las empresas como para los usuarios finales, aunque también complica la compatibilidad con estos dispositivos. Esto puede exponer a los datos y redes corporativos a riesgos de seguridad adicionales, especialmente si los dispositivos se usan para tener acceso a datos de cliente y aplicaciones de LOB confidenciales. Si se pierden, roban o usan incorrectamente, estos dispositivos pueden crear emergencias de seguridad.
A medida que se estrecha la distancia en términos de funcionalidad entre los dispositivos móviles y los clientes de redes tradicionales, cada vez es más necesario poder administrar los dispositivos móviles como si fueran equipos de escritorio o portátiles. Ésta es la idea que hay detrás de Mobile Device Manager. La plataforma Windows Mobile® es cada vez más popular entre los usuarios empresariales y Mobile Device Manager se convertirá en un aspecto crucial de los sistemas de administración de TI basados en Windows®.
Mobile Device Manager está diseñado para ofrecer una administración y un control de un extremo a otro de los dispositivos Windows Mobile, con la misma facilidad que si se tratara de equipos en red o portátiles. Tiene tres funciones clave:
Administración de dispositivos Funcionalidad centralizada para el aprovisionamiento, supervisión y administración de dispositivos Windows Mobile, escalable a miles de usuarios por servidor.
Administración de seguridad Mejores mecanismos de protección de datos confidenciales y seguimiento de dispositivos.
VPN móvil Mejor acceso a datos y aplicaciones protegidos por un firewall con funcionalidad ininterrumpida.
Mobile Device Manager adopta la filosofía general de System Center de proporcionar a los profesionales de TI herramientas para administrar los activos corporativos como ciudadanos de primera clase, al mismo nivel que los equipos de escritorio y portátiles. Además, ofrece una interfaz de usuario que resultará familiar a los que ya usan otros productos de System Center.
Esto también implica que Mobile Device Manager funciona bien con infraestructuras existentes basadas en Windows. Por ejemplo, usa Active Directory y la directiva de grupo, funciona con las herramientas existentes de análisis y creación de informes de Microsoft (como SQL Server®) y se puede ampliar con complementos de Microsoft® Management Console y cmdlets de Windows PowerShellTM.

Sistema de Mobile Device Manager
Mobile Device Manager es sumamente escalable y puede admitir miles de dispositivos en una sola instancia, así como varias opciones de configuración. En general, el servidor de Mobile Device Manager dispone de cuatro componentes de sistema principales: un servidor de puerta de enlace, un servidor de administración de dispositivos, un servidor de inscripción y bases de datos de SQL Server (consulte la Figura 1).
Figura 1 Un sistema típico de Mobile Device Manager
Figura 1 Un sistema típico de Mobile Device Manager
El servidor de puerta de enlace suele instalarse en la red perimetral. Este servidor actúa como terminal para la conexión de red de un dispositivo, autentica conexiones entrantes de dispositivo, ofrece direcciones IP fijas para dispositivos y realiza otras funciones relacionadas con la conectividad de red o del dispositivo.
El servidor de administración de dispositivos es el concentrador de administración de dispositivos, incluye la implementación de Directiva de grupo, la distribución de software OTA y borrados de dispositivo. Funciona con controladores de dominio existentes. Los servidores de administración de dispositivos actúan como clientes de red suplentes para dispositivos Windows Mobile, y les permiten comunicarse con otros sistemas.
El servidor de inscripción crea objetos de Dominio de servicio de Active Directory que representan dispositivos móviles en el controlador de dominio, de modo que permiten la administración de dichos dispositivos como si fuesen otros miembros del dominio. Este servidor también manipula solicitudes de certificados y recuperación para dispositivos móviles. Usa Active Directory como base para la autenticación de dispositivos antes de aceptar o emitir certificados de inscripción. Las bases de datos SQL Server ofrecen un repositorio para toda la información relacionada con la configuración del dispositivo, las tareas, la configuración del estado, etc.
Una vez que la infraestructura está en funcionamiento, Mobile Device Manager tiene tres tipos de interacciones con los dispositivos móviles: la inscripción del dispositivo, el establecimiento de conexiones VPN móviles y la administración del dispositivo. La inscripción del dispositivo es el proceso mediante el que un dispositivo se une al dominio de Active Directory. Mobile Device Manager usa un "secreto compartido" (una contraseña de un solo uso con caducidad) para permitir la inscripción de dispositivos a través de conexiones no seguras. Una vez inscrito, un dispositivo puede establecer una conexión VPN móvil con el servidor de puerta de enlace a través del cual se dirige el tráfico de red del dispositivo. Con la conexión VPN móvil, el administrador o el sistema pueden realizar la administración del dispositivo, insertando software y configuración en el dispositivo.

Ampliación de Active Directory a Windows Mobile
Los enfoques de seguridad de TI híbridos o ad hoc pueden ser más arriesgados que un enfoque de seguridad totalmente integrado. Mobile Device Manager está diseñado para ayudar a reducir dichos riesgos mediante una administración de dispositivos móviles, como equipos de Windows, que usa la infraestructura existente de Servicios de dominio de Active Directory. El resultado es una administración de identidades y acceso más ágil, una orientación más coherente de directivas y una configuración de seguridad rápida.
Al igual que los equipos o servidores, los objetos de directivas de grupo relacionados con dispositivos Windows Mobile se pueden asignar a unidades organizativas (OU), grupos de seguridad y filtros del Instrumental de administración de Windows (WMI, Windows Management Instrumentation). Los administradores también pueden evitar que algunos dispositivos específicos obtengan la configuración de directiva de grupo.
Existen más de 130 configuraciones y directivas para dispositivos Windows Mobile, lo que permite un control detallado de una variedad de funciones. Un ejemplo:
  • La configuración de la contraseña incluye el requisito de contraseña, el tipo y la longitud mínima, la caducidad de la contraseña y el borrado del dispositivo local tras un número especificado de intentos fallidos (incluida la notificación al usuario del número de intentos que le quedan).
  • La configuración del bloqueo de la plataforma permite a los administradores habilitar o deshabilitar selectivamente la funcionalidad del dispositivo, como la cámara, LAN inalámbrica, infrarrojos, Bluetooth y medios de almacenamiento extraíbles. La mensajería del Protocolo de oficina de correos (POP), Protocolo de acceso de mensajes de Internet (IMAP), Servicio de mensajes cortos (SMS) y Servicio de mensajería multimedia (MMS) se puede desactivar en su totalidad, y se puede deshabilitar Windows Update para Windows Mobile.
  • Mobile Device Manager proporciona un control granular de la aplicación. Puede evitar que los dispositivos ejecuten aplicaciones sin firmar o que no tengan firmas aprobadas, o permitir la ejecución de aplicaciones sin firmar específicas que desee el administrador.
  • Para ayudar a proteger los datos, el administrador puede implantar el cifrado de archivos creados en tarjetas de almacenamiento extraíbles (con la clave de cifrado vinculada al dispositivo). También está disponible el cifrado del dispositivo para la protección de datos confidenciales en el dispositivo. Aparte de los archivos que están protegidos de forma predeterminada, el administrador puede especificar los archivos adicionales que desea cifrar.
  • La configuración de VPN móvil determina el control que tienen los usuarios sobre las conexiones VPN de sus dispositivos y, además, se puede usar para establecer niveles de cifrado de datos.
  • La configuración de ActiveSync® establece un formato de mensaje, filtros de antigüedad de correo electrónico, límites de tamaño, configuración de sincronización, etc.
  • La configuración de S/MIME puede requerir la firma y el cifrado de mensajes o el uso de algoritmos específicos.
Esta configuración, y otras, es compatible con una gran variedad de escenarios. Esta configuración permite a los profesionales de TI decidir el tipo de aplicaciones que se pueden ejecutar en determinados dispositivos. Las características de hardware se pueden habilitar o deshabilitar sin cables. Las cámaras, por ejemplo, se pueden deshabilitar para prevenir el riesgo accidental o intencionado de información confidencial. El cifrado de datos se puede implantar en dispositivos, en tarjetas de medios de almacenamiento extraíbles o en ambos para reducir la probabilidad de que los dispositivos o tarjetas robados o perdidos proporcionen los datos del propietario a individuos no autorizados.
Otras herramientas de administración de seguridad también forman parte de Mobile Device Manager. Hay miles de aplicaciones disponibles para dispositivos Windows Mobile, por lo que los administradores deben controlar qué aplicaciones se pueden instalar y cuáles no. Mobile Device Manager le permite crear e aplicar Listas de admitidos y no admitidos para este fin. También ofrece eficaces capacidades de borrado remoto. Gracias a la conexión VPN ininterrumpida a dispositivos, los dispositivos se pueden borrar inmediatamente sin necesidad de esperar a que se conecten a la red y se sincronicen. Cuando se borra un dispositivo de forma remota, se elimina del controlador de dominio y se revoca su certificado. Si, más tarde, se recupera un dispositivo, se puede configurar para que vuelva a unirse al dominio tras inscribirse otra vez con una contraseña nueva de un solo uso.

Control de dispositivos móviles
Mobile Device Manager está diseñado para facilitar lo máximo posible la administración de dispositivos Windows Mobile en la red en una sola solución, incluido el aprovisionamiento sin cables, la distribución de software y actualizaciones sin cables y la administración completa y centralizada del inventario.
Seguramente la inscripción automática sin cables cautivará a los ocupados profesionales de TI y usuarios finales. Un usuario escribe una dirección de correo electrónico en un dispositivo Windows Mobile 6.1, que intentará localizar al servidor de administración de dispositivos móviles según la dirección de correo electrónico dada. Si no encuentra el servidor, pedirá al usuario que especifique la dirección del servidor de administración manualmente. Una vez encuentra el servidor y se determina que el usuario se puede inscribir, solicita al usuario que escriba un código de acceso de un solo uso que el administrador habrá generado previamente.
La dirección de correo electrónico y el código de acceso se usan para autenticar al usuario e inscribir su dispositivo en el servidor de administración. Una vez hecho esto, se insertan en el dispositivo la configuración y las directivas definidas por el administrador. La inscripción automática está diseñada para aumentar la escalabilidad de las implementaciones de dispositivos Windows Mobile y reducir el tiempo y el dinero necesarios para poner dichos dispositivos en funcionamiento.
Las capacidades de distribución de software sin cables de Mobile Device Manager se basan en Windows Software Update Services (WSUS) 3.0, el kit de herramientas de actualización de software que ya usan muchos profesionales de TI de todo el mundo. Tal como se muestra en la Figura 2, WSUS 3.0 proporciona la funcionalidad de orientación y empaquetado de aplicaciones necesaria para los complejos requisitos de TI. El software se puede aplicar automáticamente a los dispositivos adecuados de acuerdo con las reglas y directivas establecidas por el administrador. Al igual que las actualizaciones de servidor y cliente, las actualizaciones y revisiones de dispositivos móviles se pueden automatizar con WSUS 3.0. E, igual de importante, las actualizaciones automáticas se pueden desactivar para la planeación y la prueba de implementaciones.
Figura 2 Asistente para distribuir software
Figura 2 Asistente para distribuir software
Uno de los desafíos más grandes para la administración de equipos móviles a escala es llevar un seguimiento de todo. Mobile Device Manager centraliza la información de inventario y ofrece informes flexibles y personalizables basados en SQL Server 2005 (una vez más, un software con el que muchos usuarios ya están familiarizados). Los administradores pueden reunir más de cien elementos de información de inventario, incluidos (pero no limitados a) el sistema operativo y la versión, el modelo de dispositivo, las aplicaciones instaladas y las directivas de seguridad. El inventario es ampliable, de modo que el administrador puede agregar artículos y parámetros del Registro.
Para una mayor flexibilidad, puede controlar Mobile Device Manager con complementos de Microsoft Management Console si prefiere una interfaz de usuario gráfica (consulte la Figura 3) o con la consola de Windows PowerShell si prefiere una línea de comandos. Sea como sea, el sistema es ampliable y personalizable, una característica esencial para los usuarios empresariales que desean adaptar el software a su organización.
Figura 3 Consola de Mobile Device Manager
Figura 3 Consola de Mobile Device Manager

VPN móvil
Hace ya muchos años que los trabajadores de la información se envían correos electrónicos y mensajes entre sí a través de dispositivos móviles. Actualmente, uno de los avances más útiles en tecnología de dispositivos móviles es la capacidad de tener acceso a datos y aplicaciones empresariales protegidos por un firewall. Debido a la mayor accesibilidad, surgen nuevos riesgos de seguridad, por lo que esta funcionalidad agregada debe administrarse con cuidado para evitar vulnerabilidades. Mobile Device Manager ofrece capacidades de VPN móvil de vanguardia, y permite que los usuarios tengan acceso a datos de la intranet que van desde la administración de las relaciones con el cliente (CRM) de Microsoft DynamicsTM hasta SAP o Siebel. El modelo es acorde con las estrategias existentes de acceso remoto para equipos de escritorio y portátiles (consulte la Figura 4).
Figura 4 Configuración de VPN móvil
Figura 4 Configuración de VPN móvil
La VPN móvil conecta el dispositivo al servidor de puerta de enlace mediante una característica de seguridad de doble capa, donde los datos se transmiten en formato cifrado de SSL a través de un túnel cifrado de IPsec. Una vez que el dispositivo está autenticado, el usuario tiene acceso a los recursos del modo especificado por la directiva de recursos en combinación con las credenciales del usuario.
La tecnología de VPN móvil que usa Mobile Device Manager permite el establecimiento de una conexión ininterrumpida, que no sólo proporciona a los usuarios un acceso mejorado, sino que ayuda a garantizar que los profesionales de TI pueden actualizar los dispositivos con directivas y configuraciones actuales y borrar el dispositivo inmediatamente en caso de pérdida o robo. Aunque se interrumpa una sesión, la rápida reconexión garantiza que la sesión del dispositivo continúa sin necesidad de volver a autenticarse. Mobile Device Manager permite una transición sin problemas entre redes Wi-Fi y celulares al tiempo que mantiene la conectividad.
La tecnología de seguridad que usa la VPN de Mobile Device Manager se basa en estándares del sector como la Open Mobile Alliance para Device Management (OMA DM), Intercambio de claves por red (IKE) versión 2 y OMA Software Component Management Object (SCOMO). Esto aumenta la capacidad de ampliación y personalización del sistema para situaciones específicas a las que se enfrentan los profesionales de TI que trabajan en entornos complejos.

Una solución completa
Mobile Device Manager proporciona un completo conjunto de herramientas para administrar dispositivos Windows Mobile, accesible a través de una sola interfaz. Combina Active Directory y la directiva de grupo para proporcionar herramientas de seguridad que ayudan a proteger los datos, los dispositivos y la red. La administración del dispositivo es más fácil gracias a la inscripción, el aprovisionamiento y la actualización sin cables, así como las eficaces herramientas de inventario. La VPN móvil está diseñada para proporcionar la funcionalidad que desean las empresas y los usuarios sin poner en peligro la seguridad.
Todo esto forma parte integral de la idea de hacer el trabajo de los profesionales de TI más fácil gracias a la administración de dispositivos móviles en la red como ciudadanos de primera clase. Mobile Device Manager ofrece a los profesionales de TI la capacidad para proporcionar experiencias de usuario final de calidad, reducir la carga administrativa y aumentar el ROI de la administración. Una combinación digna de mención.
Gracias a Brian Hoskins, Derek Snyder, Prithvi Raj, Lax Madapaty y Katharine Holdsworth por sus aportaciones a este artículo.

Matt Fontaine es un escritor y consultor tecnológico independiente que trabaja con la empresa BuzzBee Company. Matt abarca un amplio abanico de sectores, como la informática de alto rendimiento, el software de empresa, los actuarios, los bienes inmobiliarios comerciales, la ingeniería, la construcción y los bienes de consumo. Matt es un antiguo y orgulloso alumno de la universidad The Evergreen State College.


 System Center: Novedades de System Center Essentials SP1
System Center Pete Zerger

Novedades de System Center Essentials SP1
De un vistazo:
  • Instalación más fácil con el paquete de instalador integrado
  • Reemplazos mejorados para ajustar con precisión los módulos de administración
  • Compatibilidad con grupos de trabajo
  • Nueva tarea de actualización de estado

Con el lanzamiento de System Center Essentials 2007 el pasado mes de julio, Microsoft cumplió su compromiso con las empresas medianas al salvar la distancia entre las costosas y complejas herramientas empresariales y las soluciones de shareware
para proporcionar una solución de administración unificada para las operaciones de TI. Essentials 2007 se ha diseñado específicamente para afrontar los desafíos de las empresas medianas, donde es frecuente que los profesionales de TI realicen un amplio abanico de tareas.
Essentials es fácil de instalar y configurar, permite a los profesionales de TI supervisar y administrar automáticamente a clientes y servidores, así como realizar un seguimiento de los activos de hardware y software. Está diseñado para simplificar las tareas tradicionalmente complejas, como la supervisión de aplicaciones y servicios de TI, la implementación de software servidor y cliente y la solución de problemas de escritorio.
Desde su lanzamiento inicial, Microsoft ha recopilado comentarios de clientes del sector que ya usan Essentials para administrar su infraestructura de TI, y esta información se ha integrado en el primer Service Pack del producto. Más que limitarse a proporcionar correcciones de errores, el SP1 presenta mejoras considerables que hacen el producto más flexible a la hora de satisfacer las necesidades del cliente en una variedad de escenarios de implementación. Además, las mejoras de rendimiento repercuten favorablemente en la experiencia del usuario y simplifican la administración.
En este artículo, revisaré las principales ventajas de Essentials 2007 SP1. También veremos cómo dichas ventajas pueden facilitar aún más la administración del entorno.

Instalación más fácil
El paquete con instalador integrado de SP1 incluye todas las revisiones de Essentials realizadas hasta la fecha, de forma que la instalación sólo requiere unos cuantos clics. Ahora, Essentials también se puede configurar para usar una instancia remota de SQL Server® 2005 de 64 bits, aunque el servidor Essentials reside en una instancia de Windows Server® 2003 de 32 bits. Esto otorga a los administradores una mayor flexibilidad para usar la infraestructura de servidores existente en su entorno, en una topología de implementación distribuida de Essentials. Además, Windows Server 2008 será una plataforma compatible con el servidor, la consola y el agente de Essentials 2007 SP1. La compatibilidad total con Windows Server 2008 llegará poco después de la fabricación del nuevo sistema operativo.

Mayor rendimiento de la consola
Si ha usado la versión RTM de Essentials 2007, apreciará la mayor capacidad de respuesta de la interfaz de la consola de Essentials SP1. Se ha mejorado el rendimiento de las vistas de alerta, evento, rendimiento, estado y estado de la tarea. Por ejemplo, en todas las vistas de alerta, los cambios en la captura (recuperación) de datos proporciona una selección de datos de alerta hasta tres veces más rápida. Ahora, las acciones y los informes se capturan en segundo plano, lo que mejora aún más el rendimiento de la IU. Del mismo modo, las tareas y los informes basados en el contexto (mostrados en el panel Acciones, en el lado derecho de la Consola del operador) se cargan en segundo plano, de forma que las vistas responden a sus selecciones de manera más rápida.
Ahora, la información de alerta que se muestra en el panel Detalles de alerta se puede mostrar u ocultar según la preferencia del usuario haciendo clic en los vínculos para mostrar u ocultar información (consultar la Figura 1). Esta preferencia se recordará cuando se vean las próximas alertas. Los administradores también pueden copiar y pegar los detalles de alerta con los accesos directos estándar del teclado (como Ctrl+C y Ctrl+V).
Figura 1 Panel Detalles de alerta con vínculos Mostrar/ocultar información
Figura 1 Panel Detalles de alerta con vínculos Mostrar/ocultar información

Mejoras de reemplazo
Los reemplazos se usan para ajustar los módulos de administración, deshabilitar las reglas y los monitores cuando no sean necesarios y ajustar los diferentes valores de umbral. Se han hecho varias mejoras considerables relacionadas con los reemplazos que no sólo facilitan el ajuste de las reglas y los monitores en el entorno, sino que también proporcionan una mayor visibilidad de los reemplazos ya presentes en el entorno de Essentials. El resultado es una menor necesidad de crear reglas personalizadas y menos tiempo para identificar los reemplazos presentes en el entorno.
Por ejemplo, tras crear un reemplazo para cualquier objeto de módulo de administración, puede consultar el resumen de reemplazos para el tipo de objeto en el cuadro de resumen de reemplazo. Essentials 2007 SP1 garantiza que la descripción del destino de reemplazo es completa. Si crea un reemplazo para el Espacio libre en disco lógico para la unidad C:\ de Server1, por ejemplo, el resumen mostrará "server1/c:". Un ejemplo puede clarificar la importancia de este cambio.
Observe en la Figura 2 que, en este resumen de reemplazo para Espacio libre en disco lógico de Windows Server 2003 en la versión RTM de Essentials 2007, no se puede saber qué equipo hospeda la instancia de la unidad C:\ a la que dirige el reemplazo. En el mismo Resumen de reemplazos en Essentials SP1, puede ver que en la columna Nombre no sólo se muestra la instancia de la unidad de disco objetivo, sino también el equipo que hospeda dicha unidad (consulte la Figura 3).
Figura 2 Resumen de reemplazo en Essentials 2007 RTM
Figura 2 Resumen de reemplazo en Essentials 2007 RTM
Figura 3 El mismo resumen de reemplazo en Essentials 2007 SP1
Figura 3 El mismo resumen de reemplazo en Essentials 2007 SP1
La gravedad de la alerta puede tener una repercusión significativa en el volumen del tráfico de alertas que recopilan los administradores. Hasta ahora, si una regla de Essentials de un módulo de administración sellado estaba configurada para generar una alerta crítica que no era crítica en algunos servidores, los administradores no podían hacer nada para ajustar esta configuración, ya que la gravedad y la prioridad de la alerta no se mostraban en los reemplazos de regla. La única solución era una ardua tarea de crear reemplazos para deshabilitar la regla en algunos equipos y, después, volver a crear la regla en un módulo de administración sin sellar donde se pudiesen manipular los parámetros de alerta. Claramente, una situación lejos de ideal desde la perspectiva de administración.
Este problema se solucionó en el SP1, donde se muestran la gravedad y la prioridad de alertas como parámetros en todas las reglas de módulos de administración sellados, tal como se muestra en la Figura 4. Así, los administradores pueden disminuir o aumentar fácil y rápidamente la gravedad y la prioridad de las alertas generadas por las reglas en Essentials 2007 mediante la creación de reemplazos.
Figura 4 Reemplazos de reglas de prioridad y gravedad de alertas
Figura 4 Reemplazos de reglas de prioridad y gravedad de alertas
Puede que haya advertido también que la casilla Exigido de la Figura 4 no aparece en la interfaz de consola de la versión RTM de Essentials. En los casos donde están habilitados varios reemplazos para un objeto, tiene prioridad el reemplazo marcado como Exigido. Esto puede resultar útil cuando se establece el mismo reemplazo para dos grupos de objetos y algunos objetos son miembros de ambos grupos. Al establecer la opción Exigido en el reemplazo al que desea dar prioridad, podrá estar aseguro de la configuración de reemplazo que se aplica.
Para facilitar la creación de módulos de administración nuevos, Essentials 2007 SP1 presenta la capacidad de copiar las vistas de cualquier módulo de administración existente en un módulo de administración sin sellar. La operación de copia es compatible con todos los tipos de vistas (como, por ejemplo, de evento, alerta, rendimiento, panel y diagrama) y se puede realizar en el espacio de supervisión. Si, por ejemplo, ha creado un módulo de administración para reemplazos de Active Directory® y desea usar una de las vistas del módulo de administración de Active Directory en el módulo de administración de reemplazos de Active Directory, sólo tendría que seleccionar la vista deseada y copiarla y pegarla en la carpeta del módulo de administración personalizado deseado en el panel de navegación del espacio de supervisión.

Nuevo informe de reemplazos
También cabe mencionar el nuevo Informe de reemplazos de la Biblioteca de informes genéricos de Microsoft®, que se encuentra en el panel de informes de la consola de Essentials. En este informe se pueden describir los reemplazos desde la perspectiva del módulo de administración en el que se almacenan o según el módulo de administración al que se aplican (consulte la Figura 5). Los usuarios pueden establecer los parámetros del informe para excluir los reemplazos de módulos de administración sellados del informe. Se trata de una opción de filtrado importante, ya que los módulos de administración sellados de Microsoft, entre otros, contienen muchos reemplazos que no tienen interés para los informes de cambios realizados en su propio entorno.
Figura 5 Parámetros del informe de reemplazos
Figura 5 Parámetros del informe de reemplazos
Si sigue el procedimiento recomendado de Microsoft de crear un módulo de administración personalizado separado para cada módulo de administración sellado (uno para el módulo de administración de Active Directory, otro para el módulo de administración de Exchange, etc.), podrá restringir de forma más eficaz el ámbito del informe para ver los reemplazos que se aplican a un módulo de administración específico.
Una vez que haya seleccionado los módulos de administración sin sellar apropiados, podrá ejecutar el informe, que mostrará los resultados tal y como se aprecia en la Figura 6. Tenga en cuenta que el informe muestra claramente la regla o el monitor al que se aplica el reemplazo (la columna del elemento afectado), así como la fecha y la hora de instalación y eliminación asociadas al monitor. Esto ilustra el hecho de que el Informe de reemplazos no sólo hace las funciones de una lista de reemplazos activos, sino que también ofrece un historial de cambios de configuración de reemplazos.
Figura 6 Detalle del informe de reemplazos
Figura 6 Detalle del informe de reemplazos
Por último, en la parte inferior de la vista de detalle para cada regla o monitor afectados, encontrará un hipervínculo llamado Vista de configuración de regla. Este vínculo abre una vista independiente de la regla o el monitor para el tipo de objeto afectado. Por ejemplo, si hace clic en el vínculo Configuración de la regla para el reemplazo que se muestra en la Figura 6, que es un reemplazo de una regla destinada a la función del equipo servidor del controlador de dominio de Active Directory 2003, recuerde que la vista de regla resultante sólo mostrará las reglas destinadas a ese tipo de objeto.

Compatibilidad con equipos de grupo de trabajo
Uno de puntos destacables de los comentarios de clientes está relacionado con la necesidad de administrar servidores y estaciones de trabajo en configuraciones de grupo de trabajo. Muchos entornos tienen por lo menos un servidor en una red perimetral o sucursal que no está unida al dominio. Essentials requiere la autenticación mutua del servidor Essentials y los equipos administrados con agente, por lo que los equipos de grupo de trabajo que residen fuera del límite de confianza del servidor Essentials tampoco se encuentran en el ámbito de implementación del agente de Essentials. En muchos entornos, esto significa posiblemente dejar componentes clave de la infraestructura sin supervisar y fuera del proceso de administración de revisiones de Essentials. ¿Cómo podemos administrar estos equipos de forma segura?
SP1 presenta la autenticación basada en certificados para escenarios donde no están disponibles la autenticación Kerberos y Active Directory. Esto requiere que tanto el servidor Essentials como el equipo administrado con agente tengan instalado un certificado digital X.509. El certificado digital se puede emitir desde una entidad de certificación raíz empresarial o independiente de Windows®. Si actualmente no dispone de una entidad de certificación de Windows en su entorno, puede instalar esta característica a través de Agregar o quitar programas en un controlador de dominio o servidor miembro de su entorno, incluido el servidor Essentials. Para obtener más información acerca de los Servicios de servidor de certificados y la Infraestructura de clave pública (PKI, Public Key Infrastructure) en Windows Server 2003, consulte microsoft.com/windowsserver2003/technologies/pki.
Para configurar la autenticación basada en certificados en Essentials, solicite y emita en primer lugar un certificado al servidor Essentials y al equipo destinado a la administración. La solicitud se puede escribir a través de un sitio web en el servidor que actúe como entidad de certificación.
Una vez que se haya emitido e instalado el certificado, debe "registrarse" para su uso con Essentials mediante la utilidad de línea de comandos MOMCertImport. Para completar la configuración del certificado, sólo tiene que exportar el certificado a un archivo (en formato .pfx) y ejecutar MOMCertImport en el equipo local con la sintaxis siguiente:
MOMCertUtil.exe <cert path \ name>
Una vez que haya efectuado todos estos pasos en el servidor Essentials y el equipo destinado a la administración, estos sistemas podrán autenticarse mutuamente e intercambiar datos de forma segura a través de un canal cifrado. Para completar el proceso de implementación del agente, realice una instalación manual del agente de Essentials en el equipo de destino.

Supervisión de dispositivos y redes
Essentials 2007 proporciona una funcionalidad de supervisión de dispositivos de red capaz de detectar los atributos comunes de muchos dispositivos de red con SNMP. La versión SNMP 2c (SNMPv2c) es la más extendida actualmente, pero no todos los dispositivos de red se crean igual. Con esto en mente, SP1 proporciona soporte a la versión SNMP 1 (SNMPv1) para la supervisión de una variedad de dispositivos de red anteriores, como algunos SAI, enrutadores y servidores de impresión que no son compatibles con SNMPv2c. Tal como se muestra en la Figura 7, los administradores pueden indicar a Essentials la versión de SNMP que debe usar en un campo desplegable adicional del Asistente para administrar equipos y dispositivos.
Figura 7 Interfaz mejorada para la detección de dispositivos de red
Figura 7 Interfaz mejorada para la detección de dispositivos de red

Administración de actualizaciones mejorada
El SP1 también incluye mejoras considerables para la administración de actualizaciones. Las reglas de aprobación automática de WSUS 3.0 permiten especificar diversos productos y clasificaciones de actualizaciones como, por ejemplo, la aprobación automática para las actualizaciones de definiciones de Microsoft Word.
También se ha añadido a Essentials soporte para varias reglas de aprobación automática, lo que iguala su funcionalidad a la de la plataforma WSUS 3.0 (consulte la Figura 8). Esto permite a los administradores crear aprobaciones automáticas para varias categorías de actualizaciones, incluidas las actualizaciones críticas de Windows® Vista y Service Pack del sistema 2007 Office. Las reglas de aprobación automática se aplicarán a todas las actualizaciones que haya en esos momentos en el servidor WSUS. Como resultado, al hacer clic en la tarea Ejecutar regla (s) ahora del diálogo Aprobaciones automáticas, los administradores pueden aplicar los cambios inmediatamente a actualizaciones existentes que están presentes en la consola de Essentials.
Figura 8 Aprobación automática en la administración de actualizaciones
Figura 8 Aprobación automática en la administración de actualizaciones
Con el soporte agregado para la implementación del agente en equipos con configuraciones de grupo de trabajo, los administradores podrán controlar la administración de actualizaciones de todo su entorno desde la consola de Essentials.

Actualización del estado de objetos
En el pasado, al ver el estado de los monitores en el explorador de estado, los administradores tenían que esperar a que se actualizase el estado del monitor para determinar si las recuperaciones u otras acciones correctivas eran satisfactorias. Una de las novedades de la versión SP1 es la tarea Actualizar estado, que actualiza el estado del monitor a petición (consulte la Figura 9). Esta tarea puede acelerar substancialmente el proceso de solución de problemas al reducir el tiempo de espera entre acciones correctivas mientras el estado del monitor vuelve a ser correcto.
Figura 9 Tarea Actualizar estado del explorador de estado
Figura 9 Tarea Actualizar estado del explorador de estado
De forma similar, la tarea Restablecer estado (presente desde RTM) también ha experimentado algunas mejoras importantes para garantizar que todos los monitores responderán a una solicitud de restablecimiento del estado a correcto (verde). Esto también es así en las solicitudes de restablecimiento ejecutadas en el servidor Essentials, que no siempre respondía a las solicitudes de restablecimiento en la versión RTM.

Diagnóstico con scripts
El diagnóstico es un tipo especial de tarea en línea nueva en Essentials 2007, que permite la ejecución automática o a petición de tareas de recopilación de datos cuando se genera una alerta. Un diagnóstico automático es el que se configura para su ejecución siempre que un monitor entre en estado de error. Los resultados del diagnóstico se muestran en el panel Detalles de la ficha Eventos de cambio de estado del explorador de estado. Los diagnósticos a petición se muestran como un hipervínculo en la misma área y se pueden ejecutar simplemente haciendo clic en el vínculo. Los resultados se muestran en una ventana emergente en el equipo local.
Tal como se muestra en la Figura 10, SP1 amplía la funcionalidad de diagnóstico y admite el uso de scripts en tareas de diagnóstico (en vez de sólo respuestas de línea de comandos, como en RTM). Esta capacidad proporciona el marco para ejecutar respuestas de recopilación de datos automatizadas más elaboradas y variadas cuando se detectan condiciones de error. Tenga en cuenta que tanto VBScript como JScript® son compatibles con estas tareas de diagnóstico.
Figura 10 Panel Detalles de alerta con vínculos para mostrar/ocultar información
Figura 10 Panel Detalles de alerta con vínculos para mostrar/ocultar información

Exportación a Visio
Otra característica nueva de SP1 es la posibilidad de exportar diagramas al formato de Microsoft Visio® 2007, que muestra un botón en la barra de herramientas cuando el usuario selecciona una vista de diagrama. Esto supone una característica de documentación muy cómoda, ya que los módulos de administración de Active Directory y Exchange Server 2003 proporcionan detallados diagramas de topología listos para usar, de modo que los administradores se ahorran un tiempo valioso de redacción de la documentación. Además, se pueden guardar las preferencias de diseño de diagramas. La consola de Essentials recordará estas preferencias la próxima vez que se seleccione la vista de diagrama.

Orientación mejorada para las copias de seguridad y la recuperación
Inmediatamente después de la instalación de Essentials 2007 SP1, el asistente para la instalación solicitará al usuario automáticamente que realice copias de seguridad de las claves de cifrado del servidor de administración de Essentials (consulte la Figura 11). El servidor Essentials usa este par de claves en el almacenamiento seguro de Ejecutar como credenciales en la base de datos de operaciones. Estas claves también son necesarias en caso de que haya que restaurar el servidor Essentials a partir de una copia de seguridad. Sin este par de claves, habría que volver a instalar y configurar Essentials desde cero.
Figura 11 Copia de seguridad de las claves de cifrado de Essentials
Figura 11 Copia de seguridad de las claves de cifrado de Essentials

Módulo de administración de mayor calidad
Además de las muchas mejoras del SP1 para Essentials, el equipo de producto de Essentials está haciendo grandes progresos en el ámbito de la calidad de los módulos de administración para la plataforma Essentials mediante procedimientos más variados y rigurosos, así como a través de una mayor interacción con los diferentes equipos de producto y expertos en aplicaciones. Los resultados se verán reflejados en el lanzamiento de un número mayor de módulos de administración que aprovechen las nuevas características de la plataforma de supervisión de Microsoft, incluidos el ajuste automático de umbrales, la supervisión orientada a servicios con modelos de aplicación distribuida y el eficaz motor de informes.
Microsoft lanzará al mercado más módulos de administración nativos que usan las nuevas características de Essentials a partir de 2008. Los módulos de administración de Essentials 2007 se pueden descargar desde el catálogo del módulo de administración de System Center, en go.microsoft.com/fwlink/?LinkId=112399.

Pruébelo
SP1 proporciona mejoras de rendimiento que convierten a System Center Essentials 2007 en una inversión inteligente para la administración de la infraestructura de TI de las empresas medianas. Si ya tiene Essentials 2007 en su entorno, descargue una copia de SP1 y vea las mejoras de características y rendimiento con sus propios ojos. Si no ha implementado Essentials 2007 y desea probar la versión Essentials 2007 SP1, puede descargar el paquete con instalador integrado de SP1. Encontrará ambos paquetes, así como información adicional del producto, en la página principal de Essentials 2007, en microsoft.com/systemcenter/essentials. 

Pete Zerger es un socio de consultoría en AKOS Technology Services y cuenta con nueve años de experiencia en el sector de TI. Pete se centra en el diseño y la implementación de la administración de operaciones empresariales, servicios de directorio y soluciones de mensajería. Pete tiene un MSCE en mensajería, un MCTS en SQL Server 2005 y es MVP (Profesional más valioso) de Microsoft Operations Manager. Es fundador de la comunidad systemcenterforum.org, un sitio popular que cubre aspectos de Essentials 2007 y el conjunto de aplicaciones de System Center.


 Nota del editor: Una calurosa bienvenida a &quot;Dentro de SharePoint&quot;
Nota del editor
Una calurosa bienvenida a "Dentro de SharePoint"

Puede que recuerde que en la Nota del editor del mes pasado, tras despedir afectuosamente a The Cable Guy, mencioné que esta entrega de TechNet Magazine contaría con la presentación de una nueva columna. Demos una calurosa bienvenida, por tanto, a "Dentro de SharePoint", una columna mensual que ofrecerá a todo profesional de TI información relacionada con la arquitectura, implementación, protección, mantenimiento y compatibilidad de una infraestructura de SharePoint. Tal como anticipamos, Pav Cherny comienza este mes ofreciéndonos información general acerca de los elementos clave de una infraestructura flexible de SharePoint. El próximo mes, la columna estará dedicada a la cobertura de la administración del sitio de SharePoint. Además, nuestra oferta continúa abierta: no dude en ponerse en contacto con nosotros en la dirección tnmag@microsoft.com si hay algún tema de SharePoint que desee que tratemos.
Asimismo, Gil Kirkpatrick, en el número de este mes vuelve con información exhaustiva y completa acerca del proceso de copia de seguridad y restauración de Active Directory en Windows Server 2008. En muchas (si no en la mayoría) de las redes orientadas a Windows, Active Directory constituye el origen de autoridad de la información de identidad y acceso (lo cual, creo que todos estamos de acuerdo, es muy importante). Es, por otra parte, un elemento clave de la infraestructura de cualquier implementación de Exchange, SharePoint, Configuration Manager, etc. Aún así, cuando el mes pasado asistí a una de las sesiones de Gil en la Conferencia de expertos en directorios en Chicago y éste preguntó cuántos de los asistentes disponían de un plan completo de recuperación ante desastres para Active Directory, se podían contar con los dedos de una manos el número de asistentes que levantaron la suya. Baste con decir que todos deberíamos leer el artículo de Gil.
Ante la posibilidad increíblemente remota de que Active Directory no sea su fuerte, no se preocupe, tenemos mucho más que ofrecer este mes. Matt Fontaine nos hace una presentación de System Center Mobile Device Manager (una nueva tecnología totalmente necesaria si se dedica a la administración de dispositivos Windows Mobile en su organización), Pete Zerger nos presenta las novedades de System Center Essentials SP1 y Jesper Johansson aplica el principio de indeterminación de Heisenberg a la seguridad de TI. Como siempre, contamos con la colaboración de los chicos del scripting, vuelve Preguntas y respuestas sobre Exchange y mucho más.
Por último, estamos trabajando en un proyecto de diseño para un nuevo y atractivo sitio web de TechNet Magazine (que aún se encuentra en technetmagazine.com). Algunos de nuestros autores favoritos desarrollan actualmente presentaciones prácticas en pantalla (vídeos que acompañarán a nuestros artículos en línea para explicarles el contenido paso a paso). Nos encantaría que nos comentara qué temas y tecnologías desearía ver en estas presentaciones en pantalla. Y una vez más, envíenos un correo electrónico a la dirección tnmag@microsoft.com. Gracias. Joshua Hoffman


 Cartas: Comentarios de los lectores
Cartas
Comentarios de los lectores

Clústeres de Windows
¿En qué se diferencia Windows® Compute Cluster Server de un clúster convencional de Windows?
—de blogs.technet.com/tnmag

Se trata de una pregunta muy común. Recibo muchas preguntas acerca de clústeres de disponibilidad (clúster de conmutación por error) cuando hablo sobre Windows Compute Cluster Server (CCS). Los clústeres de cálculo son diferentes de los "clústeres de disponibilidad", que ofrecen conmutación por error de servicios entre sistemas.
Los clústeres de cálculo usan una cola de trabajo o un programador para asignar tareas a diferentes sistemas del clúster. El programador (que se ejecuta en el nodo de cabeza del clúster) recibe solicitudes de programación de trabajo y, a continuación, asigna el trabajo a los demás nodos de cálculo del clúster. Es decir, CCS le permite dividir el trabajo entre varios equipos y el clúster de disponibilidad pretende ofrecer un servicio ininterrumpido.
—John Kelbley, Director técnico senior de productos

GUI de Robocopy
Gracias por la columna acerca de la GUI de Robocopy (noviembre de 2006, technetmagazine.com/issues/2006/11/UtilitySpotlight). Facilita el uso de Robocopy, y las agrupaciones de fichas me han ayudado a comprender las muchas opciones de línea de comandos.
—Biff M.

¡Muchas gracias por los comentarios! Es fantástico saber que encuentra útil esta herramienta. Como siempre, si desea que comentemos alguna otra herramienta en TechNet Magazine, háganoslo saber. Escríbanos a tntools@microsoft.com.

Controladores de dispositivos
¿Cómo se incluyen en una lista todos los archivos específicos asociados con controladores de dispositivos determinados?
—T.P.

Si lo que quiere es obtener una lista de todos los archivos que permiten la instalación de un controlador específico, no hay ninguna solución perfecta. Lo mejor que puede hacer es consultar el archivo INF del controlador en cuestión; en concreto, la sección generalmente marcada como *.copyfiles, que se refiere al identificador de Plug-n-Play (PnPID) de ese controlador. En esa sección se listan los archivos copiados durante la instalación del controlador.
No obstante, esto es más difícil en algunos controladores que llaman a "coinstaladores" como parte del controlador. Es posible que, de hecho, uno de estos coinstaladores extraiga o instale otros archivos. Pero el análisis de la sección CopyFiles le proporcionará casi siempre la mayoría de los archivos, sólo tiene que leerlo con atención y entender lo que dice el archivo INF.
—Wes Miller, columnista, Archivos del escritorio

Autenticación de Windows
He estado buscando artículos o notas del producto que ofrezcan información acerca de la autenticación de Windows. Específicamente, querría más información acerca del uso inalámbrico del Servicio de autenticación de Internet (IAS, Internet Authentication Service) en un dominio de Windows 2000 Active Directory®. ¿Podrían indicarme artículos que ofrezcan esta información?
—Brett M.

Probablemente la mejor fuente sobre este tema sea el TechCenter de IAS en TechNet, que puede encontrar en technet.microsoft.com/network/bb643123. Este sitio incluye vínculos a varios artículos sobre la autenticación con IAS.
Otro foro en línea apropiado para plantear estas preguntas es el grupo de noticias de seguridad de Windows 2000 Server, en microsoft.com/technet/community/newsgroups/dgbrowser/en-us/default.mspx?dg=microsoft.public.win2000.security.

Un lector agradecido
He leído su interesante artículo "Una guía a la informática forense básica" en el número de diciembre de 2007 (que se encuentra en technetmagazine.com/issues/2007/12/Forensics). Primero, deseo felicitarle por publicar información tan importante. Además, deseo felicitar al coautor Tom Cloward, Administrador de programas en Microsoft, por el uso de su gran experiencia en el campo de la seguridad. Deseo también felicitar al coautor Frank Simorjay, Administrador de programas técnicos y experto en seguridad de Microsoft. Trabajan en el campo de la seguridad y comparten sus amplios conocimientos sobre el tema para ayudar a resolver los problemas causados por ataques de seguridad de Internet. Es muy recomendable. Muchas gracias.
—Sr. S.

Gracias por su nota, Sr. S. Estamos de acuerdo en que se trata de un tema muy importante. Le alegrará saber que hablaremos más sobre este tema en los próximos números de TechNet Magazine. ¡Gracias otra vez!


 Cuadro de herramientas: Nuevos productos para profesionales de TI
Cuadro de herramientas
Nuevos productos para profesionales de TI
Greg Steen

Analice el espacio en disco
FolderSizes
foldersizes.COM
¿Cómo sabe qué elementos acaparan todo el espacio en el equipo cliente? Puede que disponga de un monitor de espacio en disco para supervisar cuándo el equipo está alcanzando el límite de su capacidad, pero determinar cómo limpiar el disco para recuperar un buen nivel de espacio libre puede ser a veces en una tarea ardua. Una utilidad que puede ayudarle a identificar los elementos que están ocupando mucho espacio es FolderSizes de Key Metric Software.
La primera vez que inicie la aplicación, ésta le ofrecerá una rápida visita guiada de la interfaz de usuario para ayudarle a empezar (aunque la aplicación es muy sencilla). Para analizar una unidad de disco o una carpeta, sólo tiene que hacer doble clic en el panel jerárquico Folder Browser. Una vez que FolderSizes ha examinado el destino, el programa proporciona un gráfico de uso del disco y una vista de carpeta que le muestra el espacio que ocupa el contenido de cada carpeta primaria. Con sólo un clic, puede cambiar la visualización de las carpetas entre un gráfico circular y uno de barras para identificar las áreas donde se consume más espacio. Personalmente, el gráfico de barras me resulta más útil cuando hay que hacer frente a numerosos directorios del mismo nivel.
Hacer doble clic en una barra, segmento de gráfico circular o carpeta, nos permite ver detalles de la subcarpeta. Esta navegación acelera y facilita el acercamiento a focos de problemas potenciales, como un directorio "oculto" de archivos mp3 que el usuario denominó Presentaciones de ventas. O si tiene un usuario que es un auténtico coleccionista de documentos al que le gusta guardarlo todo en su equipo, puede ordenar por la última fecha de modificación para ver los archivos a los que no se ha accedido en mucho tiempo. El hecho de que los archivos se puedan guardar en un CD o eliminarlos para siempre sin causar problemas constituye un buen argumento para el usuario.
Otra característica destacada es la forma en la que FolderSizes le permite personalizar el número de niveles que desea presentar en el gráfico. Por ejemplo, puede ver de una vez un gráfico de todas las carpetas incluidas en la unidad de disco ordenadas de mayor a menor, pudiendo así aislar los focos de problemas. Una vez que encuentre un foco de problemas, puede hacer clic con el botón secundario para obtener acceso a las acciones "command prompt from here" y "explore this folder". Esto le permite ejecutar cualquier otra utilidad o comprobación que necesite.
FolderSizes incluye también un generador de informes integrado que le ofrece un conjunto adicional de vistas del contenido del sistema de archivos de destino. De este modo puede, por ejemplo, encontrar los archivos más grandes de un tipo específico o los archivos más antiguos del sistema. Asimismo, puede localizar todos los archivos de sólo lectura y determinar la totalidad de los archivos que pertenecen a un propietario específico en el servidor de archivos. La lista no acaba ahí. Una vez que haya generado su informe, puede filtrar la vista, imprimirla e incluso exportarla a XML, HTML o CSV.
Además de todo esto, FolderSizes ofrece una forma notable de simplificar las copias de seguridad, asegurando que sólo se seleccionan los archivos que realmente necesita archivar. También puede usar la interfaz de línea de comandos de la aplicación para redactar scripts y automatizar las comprobaciones de sus sistemas de cliente y servidor. Así que si está buscando una manera rápida de aislar el contenido que acapara el espacio en disco en sus servidores o equipos cliente, plantéese probar FolderSizes.
Precio: A partir de 50 USD (licencia para un solo usuario).
FolderSizes ofrece visualización gráfica de carpetas de sistema
FolderSizes ofrece visualización gráfica de carpetas de sistema

Administración de cuentas de usuario
Inactive Users Tracker (Rastreador de usuarios inactivos)
netwrix.com/inactive_users_tracker_freeware.html
Cuanto más grande sea su organización, más fácil será que pierda la pista de las cuentas de usuarios inactivos. Y en términos de seguridad, siempre es bueno contar con un proceso que le garantice que puede encontrar fácilmente las cuentas de usuarios inactivos y deshabilitarlas o quitarlas, eliminando una carencia de seguridad potencial. Inactive Users Tracker, una utilidad de software gratuito de NetWrix Corporation, ofrece una manera sencilla de hacerlo.
La herramienta examina periódicamente los dominios de Active Directory® en busca de usuarios inactivos y envía por correo electrónico la lista de cuentas inactivas a una dirección administrativa de su elección. Puede especificar el dominio que desea administrar así como la cuenta que tiene permiso para examinar Active Directory en busca de cuentas inactivas. Además, puede establecer el número de días que debe permanecer inactiva una cuenta para que sea "etiquetada" como tal y se incluya en la notificación de correo electrónico. Y, por supuesto, puede programar cuando se iniciará el proceso.
Aparte de esto, sólo tiene que configurar el servidor SMTP para retransmitir el correo electrónico de notificación a la dirección administrativa y especificar si desea que la utilidad filtre las cuentas de usuarios inactivos mediante un filtro de nombre (por ejemplo, puede que todas sus cuentas de consultor empiecen por "c_").
También hay una versión comercial disponible (los presupuestos se hacen a la medida del cliente que adquiere el producto). Esta versión le permite personalizar los mensajes de correo electrónico que envía a sus usuarios, admite la deshabilitación automática de las cuentas de usuarios inactivos e incluye soporte técnico.
Precio: Producto gratuito
Inactive Users Tracker le notifica acerca de los usuarios inactivos
Inactive Users Tracker le notifica acerca de los usuarios inactivos

Mejora de las comunicaciones por correo electrónico
Exclaimer Mail Utilities 2007
exclaimer.com/MailUtilities2007.aspx
Por una parte, en un mundo cada vez más litigioso y regulado, es muy importante que su organización proteja las comunicaciones por correo electrónico. Al mismo tiempo, el reconocimiento coherente de las comunicaciones y las marcas ayuda a su organización a establecer una mejor relación con los agentes con los que se comunica. Exclaimer Mail Utilities 2007, que se ha diseñado para funcionar con las implementaciones de Exchange Server 2007, le puede ayudar en ambos frentes.
La aplicación tiene tres características de base, que ayudan a unificar y proteger las conmutaciones de correo electrónico de su organización: las renuncias, la personalización de marca y la firma. Además, tiene la capacidad de agregar módulos que pueden ayudar en la lucha contra el correo no deseado y los virus.
En términos de renuncias, Exclaimer Mail Utilities le ayuda a reducir su exposición a pleitos y a aumentar el cumplimiento de las regulaciones, como la Ley de transferencia y responsabilidad de seguros de salud (HIPAA) y la Circular 230, mediante la inclusión de un mensaje personalizado (que aparece antes o después del texto del correo electrónico) en cada mensaje que sale su organización. En cuanto a la personalización de marca, puede agregar fácilmente una imagen y una etiqueta de marca a cada mensaje que envíe para asegurarse de que las comunicaciones con su base de clientes tienen un aspecto coherente. Por lo que respecta a las firmas, puede asegurarse de que se aplica una firma automática a cada mensaje, tanto si se envía desde un dispositivo inteligente, desde Microsoft® Outlook® Web Access o desde un cliente estándar de Outlook. La firma se genera de manera dinámica a partir de los datos que probablemente ya almacena en el árbol de Active Directory. Además, puede configurar la herramienta para personalizar las firmas en función de varios factores, incluyendo si el correo electrónico se envía a una persona interna o externa, quién es el remitente, quién el destinatario y cuál es el contenido del asunto del mensaje.
El precio de Exclaimer Mail Utilities 2007 varía según el usuario. El punto de partida es de 245 USD para 25 usuarios con descuentos proporcionales a medida que aumenta el número de usuarios. Además, el precio base del módulo de protección contra el correo no deseado, del módulo antivirus y del soporte técnico también aumenta del mismo modo. El soporte técnico es obligatorio durante el primer año y tiene un costo inicial de 55 USD para 25 usuarios. Por razones de rendimiento, necesita un equipo que ejecute Windows Server® 2003 o Windows Server 2008 de 64 bits para ejecutar Mail Utilities. Si todo esto suena bien, pero todavía ejecuta Exchange Server 2003, hay otra versión disponible.
Precio: A partir de 245 USD para 25 usuarios.

Reseña de libro
How to Cheat at Securing SQL Server 2005
syngress.com
Como profesionales de TI, todos sabemos que la seguridad debe ser una preocupación primordial para nuestras implementaciones de infraestructura. Considere lo interconectados que están los entornos hoy día y cuánta información confidencial se retiene en sus sistemas. Éste es especialmente el caso de las instancias de SQL Server®, ya que tienden a ser orígenes centralizados de información confidencial. Además, las regulaciones actuales destinadas a proteger la privacidad de las personas, como Sarbanes-Oxley e HIPAA, podrían causarle considerables quebraderos de cabeza legales y financieros si ocurriera algo que pudiera comprometer estos datos.
Al proteger las instancias de SQL Server 2005, no sería mala idea echar un vistazo a How to Cheat at Securing SQL Server 2005 (Cómo hacer trampas al asegurar SQL Server 2005). El título es un poco engañoso, ya que el libro no proporciona métodos para hacer trampas, sino que ofrece una referencia paso a paso para bloquear las implementaciones de SQL Server 2005. La estrategia sigue el principio básico de "mínimo acceso", por la que usted sólo selecciona lo estrictamente necesario para satisfacer las necesidades del negocio y desactiva todo lo demás.
Después de la introducción, el libro empieza a explorar cómo reducir la superficie de la instancia de SQL Server 2005 usando la herramienta Configuración de superficie de SQL Server. Se le proporciona información útil, como los servicios predeterminados que se obtienen con las opciones predeterminadas de inicio (manual, automático o deshabilitado) al instalar SQL Server 2005. En el siguiente capítulo, se proporciona más información acerca de las funciones de SQL Server y cómo pueden simplificar enormemente las tareas de administración. Por ejemplo, el libro le muestra cómo enlazar una función a un grupo de Windows®. Así, si agrega un usuario nuevo al grupo, se le concede automáticamente acceso a los recursos disponibles para esa función.
El capítulo acerca de la autenticación y el acceso granular describe los inicios de sesión de Windows y SQL Server y las ventajas e inconvenientes de cada uno. También explora los procedimientos recomendados de Microsoft con respecto a la autenticación. A continuación, el libro se detiene en la autorización, cubriendo las opciones disponibles para ajustar con precisión las acciones que podrán realizar los usuarios en la instancia (o, según la jerga de bases de datos, los permisos para protegibles de sus principios ). El libro proporciona información sobre cosas como la conexión de administrador dedicado (DAC, Dedicated Administrator Connection), que ofrece una conexión local de administrador sólo que le permite obtener acceso a una instancia en los casos en que una consulta o un proceso consume todos los recursos y anula la capacidad de respuesta del servidor. Ésta es una característica muy útil que no estaba disponible antes de SQL Server 2005.
En SQL Server 2005, los esquemas y los usuarios se separan en distintas entidades. Hay un capítulo acerca de la definición, actualización y eliminación de esquemas a través de T-SQL y SQL Server Management Studio. En esta sección también encontrará valiosas sugerencias, como aprender a no usar el procedimiento almacenado sp_adduser para crear usuarios nuevos en SQL Server 2005 a menos que quiera crear un nuevo esquema. En su lugar, use la instrucción CREATE USER T-SQL para crear el usuario y nada más.
Las contraseñas son, por supuesto, otra parte importante de la protección de su instalación. Así, el siguiente capítulo describe en detalle las directivas de contraseñas para ayudarle a obtener un nivel de seguridad uniforme entre las distintas cuentas. El autor explora los diferentes escenarios de la implementación para ayudarle a elegir la mejor directiva para su entorno. A continuación pasa a los desencadenadores del lenguaje de definición de datos (DDL, Data Definition Language) y describe cómo éstos pueden facilitar la protección contra los cambios estructurales involuntarios y ofrecer rastros de auditoría para cambios a los inicios de sesión del servidor.
En el capítulo siguiente, descubrirá las muchas maneras en las que SQL Server 2005 puede cifrar sus datos y esquemas para proteger la información confidencial. Finalmente, el libro proporciona información general acerca de SQL Reporting Services, SQL Analysis Services y SQL Server Integration Services (SSIS), incluyendo instrucciones y procedimientos recomendados relacionados con la seguridad. Los dos apéndices son también muy útiles, ya que nos dan una perspectiva de la protección y la implementación de directivas de grupo y Active Directory con SQL Server 2005.
Encontré dos construcciones especialmente útiles que aparecían a lo largo del libro. Primero, cada capítulo incluye una sección de "soluciones por la vía rápida" que proporciona un resumen estructurado en viñetas de las características, hechos y procedimientos recomendados para los elementos cubiertos por el capítulo. El segundo es una sección de preguntas más frecuentes que proporciona respuestas rápidas a preguntas acerca de la administración de su instancia de SQL Server 2005. Si busca una manera rápida de ponerse al día con la administración de SQL Server 2005 desde la perspectiva de la seguridad, debería plantearse agregar "How to Cheat at Securing SQL Server 2005" a su estantería.
Precio: 19,98 USD la versión electrónica y 49,95 USD la versión impresa

Procedimiento eficaz de captura de pantallas
ScreenHunter 5 Pro
wisdom-soft.com/products/screenhunter_pro.htm
Las capturas de pantalla ofrecen una gran manera de documentar instrucciones de usuario paso a paso, ilustrar mensajes de error que se producen en las aplicaciones o estructurar una presentación rápida de características. Por supuesto, Windows tiene su propia funcionalidad integrada de captura de pantallas (Imp Pant para capturar la pantalla completa, Alt-Imp Pant para capturar sólo la ventana activa). Sin embargo, las capacidades integradas en el sistema operativo son limitadas. Si desea un control más granular sobre el contenido y el momento de la captura, o si quiere capturar una pantalla de una reproducción de película, tendrá que echar un vistazo a las muchas utilidades de captura de pantallas de terceros que hay disponibles. Una de estas herramientas es ScreenHunter Pro de Wisdom Software. Esta económica utilidad cuenta con algunas características muy útiles que le permiten adaptar las capturas de pantalla a sus necesidades específicas.
La interfaz de usuario es sencilla. Escoja simplemente el origen de la captura de pantalla y, a continuación, diríjala a su destino con las fichas convenientemente denominadas From y To. Por lo que respecta al contenido que puede capturar, la aplicación le permite seleccionar un área ajustable o fija de forma rectangular, una ventana u objeto específicos, la ventana activa, un sector específico de la ventana activa, la pantalla entera, un origen de salvapantallas o DirectX®, reproducción de películas o una forma más compleja (ya sea a mano alzada, elíptica o un área de polígono) definida por usted. También puede capturar varios objetos de ventana o cuadros de mensaje al mismo tiempo (que es muy útil para seleccionar sólo la aplicación activa junto con su cuadro de diálogo u otras interfaces de ventanas ). Entonces puede volcar la captura de pantalla al Portapapeles, un visor o editor específico, una impresora o un archivo. Puede incluso elegir enviarla a una dirección de correo electrónico.
Las imágenes capturadas se pueden guardar como archivos BMP, PNG, JPEG o TIFF de varias calidades de imagen. Además, puede disponer que la aplicación escale automáticamente su captura a un tamaño específico o que agregue un borde o una marca de agua a la captura para reducir el trabajo de posproducción que hay que realizar sobre la imagen. Puede incluso configurar la aplicación para capturar pantallas automáticamente en un intervalo especificado, registrando las actividades en el equipo.
Otra característica destacada es la compatibilidad de ScreenHunter Pro con la funcionalidad del desplazamiento automático. Esto le permite, por ejemplo, capturar una página web larga con una región visible que se extiende más allá del área visible en la pantalla. Como muchos profesionales de TI, dispongo de varios monitores y, por lo tanto, me gusta la compatibilidad con la captura de varios monitores, que permite obtener toda la información incluida en sus pantallas en una sola captura.
Esta utilidad incluye también un editor de imagen integrado que le permite ajustar las imágenes en el mismo contexto de la aplicación. Si no necesita parte de la funcionalidad más avanzada (como el envío automático de correo electrónico, la captura programada, las marcas de agua y las capturas de varios monitores), puede que le interese la versión ScreenHunter Plus, ligeramente más barata. También hay disponible una versión reducida totalmente gratis.
Precio: 29,95 USD para ScreenHunter Pro
ScreenHunter Pro le permite especificar el contenido y el momento de la captura
ScreenHunter Pro le permite especificar el contenido y el momento de la captura


 Preguntas y respuestas sobre Exchange: Implementaci&#243;n de Exchange 2007 SP1
Preguntas y respuestas sobre Exchange
Implementación de Exchange 2007 SP1
Nino Bilic

P ¿Me pregunto si Exchange Server 2007 SP1 sólo está disponible en la versión de 64 bits? Si también está disponible en versión de 32 bits, ¿es compatible con un entorno de producción?
R En ese sentido, no hay ninguna diferencia entre la versión original (RTM) y la versión SP1 de Exchange 2007. SP1 está disponible en 32 y 64 bits. Sin embargo, es importante tener presente que, al igual que con la versión RTM, sólo se admite la versión de 64 bits para funciones de servidor instaladas en un entorno de producción. Puede usar la versión SP1 de 32 bits para ejecutar o preparar modificadores de instalación y para administrar los servidores de 64 bits, al igual que con la versión RTM.

P ¿Necesito realizar primero la instalación completa de Exchange 2007 RTM para poder aplicar SP1 y obtener el servidor SP1?
R Se trata de una característica de Exchange 2007 SP1 que difiere bastante de los Service Packs de versiones anteriores de Exchange. Cuando se obtienen los bits de SP1, se consiguen esencialmente los bits de RTM con SP1 integrado. Esto significa que no es necesario usar el DVD de RTM para instalaciones nuevas de Exchange 2007 SP1.
Por lo tanto, para instalar nuevos servidores de Exchange 2007 SP1, tan sólo necesita los bits de SP1. Incluso si, por ejemplo, va a incluir el primer Exchange 2007 en una organización de Exchange Server 2003, podrá usar la versión SP1 enseguida.
P Tengo un servidor que ejecuta Exchange 2007 RTM en Windows Server® 2003 y ahora estoy instalando Exchange 2007 SP1 en el equipo. Como Microsoft dice que Exchange 2007 SP1 es compatible con Windows Server 2008, tengo previsto hacer una actualización local a Windows Server 2008 más adelante. ¿Qué le parece este plan?
R Lamentablemente, es una mala idea. No se admite la actualización local del servidor de Windows Server 2003 a Windows Server 2008 si está instalado Exchange 2007 RTM o SP1. Hay varios motivos técnicos para esto. Debe saber que su instalación de Exchange se dañará al realizar dicha actualización local.
Para más información, lea "Misión imposible: actualización local de Microsoft® Exchange Server 2007 desde Windows Server 2003 a Windows Server 2008" en msexchangeteam.com/archive/2007/10/04/447188.aspx.

P Nunca he escrito los identificadores de producto para algunos de mis servidores de laboratorio. A causa de esto, cuando inicio la Consola de Administración de Exchange, recibo una advertencia emergente que dice que me quedan “0 días". ¿Puedo actualizar a Exchange 2007 SP1 sin escribir las claves de producto de dichos servidores?
R Sí. La instalación de Exchange 2007 SP1 (consulte la captura de pantalla) no puede comprobar la duración del periodo de prueba de un servidor ya instalado. No hay ningún bloqueo de actualización para este escenario.

P Ya he instalado Exchange 2007 SP1 en mi servidor de buzones. Ahora, querría agregar la función de servidor de Acceso de cliente a este servidor. ¿Debo usar los bits de Exchange 2007 RTM o de Exchange 2007 SP1?
R Debe usar los bits de Exchange 2007 SP1 para instalar las funciones de servidor adicionales una vez que haya aplicado Exchange 2007 SP1. Tal como se ha mencionado previamente, Exchange 2007 SP1 es un producto completo que contiene todos los archivos necesarios para ejecutar Exchange 2007. No necesitará los bits de Exchange 2007 RTM una vez que haya instalado la versión SP1 correctamente.
Por supuesto, si tiene varias funciones de servidor en el servidor que va a actualizar a Exchange 2007 SP1, la aplicación de SP1 actualizará automáticamente todas las funciones instaladas. No se puede aplicar SP1 sólo a algunas funciones de un mismo servidor físico.

P Mi organización de Exchange tiene varios servidores Exchange 2007 y las funciones de servidor se distribuyen entre algunos de ellos. ¿Qué funciones de servidor debo actualizar primero?
R Antes de nada, debe descargar y leer las notas de la versión de Exchange 2007 SP1 (go.microsoft.com/fwlink/?LinkId=112364), puesto que contienen información importante acerca de la aplicación de SP1 a una instalación existente.
Para responder directamente a su consulta, copio un extracto de las notas de la versión de SP1 que trata esta cuestión:

"Se recomienda que actualice los servidores que ejecuten la función del servidor de buzones después de actualizar los servidores que ejecuten las funciones del servidor Acceso de cliente, Mensajería unificada, Transporte de concentradores o Transporte perimetral. Si actualiza los servidores en este orden, evitará interrupciones potenciales del servicio. Al actualizar las funciones en ese orden, se asegurará de que los servidores responsables de la funcionalidad para buzones se pueden comunicar con el servidor de buzones sin interrupciones, y así evitar problemas al tratar de comunicarse con un servidor back-end con más características. Se recomienda actualizar los servidores Acceso de cliente que residen en sitios orientados a Internet antes de actualizar los servidores Acceso de cliente que residen en sitios a los que no se puede tener acceso desde Internet.
Si ejecuta la función del servidor Transporte perimetral en la organización de Exchange y ha creado una suscripción perimetral, todos los servidores de transporte que participen en el proceso EdgeSync deben ejecutar la misma versión de Exchange 2007. Debe actualizar todos los servidores Transporte perimetral y Transporte de concentradores incluidos en el sitio Active Directory® al que están suscritos los servidores Transporte perimetral. Debe hacer esto en un período de 15 días a partir de la primera actualización a Exchange 2007 SP1 de cualquier servidor de transporte que participe en el proceso de suscripción perimetral."

P Tengo ForefrontTM Security para Exchange Server instalado en mi servidor Exchange 2007 RTM. ¿Tengo que hacer algo especial antes de actualizar a Exchange 2007 SP1?
R La versión RTM de Forefront Security para Exchange Server es incompatible con Exchange 2007 SP1. Debe eliminar Forefront Security para Exchange Server o actualizarlo a una versión posterior antes de llevar a cabo la actualización. Encontrará más detalles en las notas de la versión de SP1.
A propósito, la instalación de Exchange 2007 SP1 tiene una nueva función de comprobación de requisitos previos que le advertirá de esta circunstancia si se encuentra en esta situación e intenta realizar la actualización.

P Tengo instalado Exchange 2007 RTM con el paquete acumulativo de actualizaciones (RU) post-RTM. ¿Tengo que eliminar el RU antes de aplicar Exchange 2007 SP1?
R No tiene que eliminar manualmente ningún paquete acumulativo de actualizaciones antes de instalar Exchange 2007 SP1. La instalación de Exchange 2007 SP1 se encargará de eliminar las actualizaciones necesarias antes de aplicar SP1 en el equipo. 

Nino Bilic es un Administrador de programas de compatibilidad para Exchange Server. Nino se está forrando a costa de explorar la galaxia y gritar a los tipos malos en Mass Effect.


 Utility Spotlight: Planeaci&#243;n de la capacidad de SharePoint
Utility Spotlight
Planeación de la capacidad de SharePoint
Peter Skjøtt Larsen and Satish Mathew

La planeación de una instalación de gran tamaño de Microsoft® Windows® SharePoint® Services (WSS) y Microsoft Office SharePoint Server (MOSS) puede constituir una tarea bastante complicada. En la determinación de los requisitos de topología, hardware y ancho de banda más rentables intervienen numerosos factores. Existen, además, múltiples opciones de configuración a tener en cuenta, dependiendo del uso que se otorgue al sistema. A menudo, los administradores y planeadores cuentan con poco más que principios generales a la hora de poder determinar el tamaño de un sistema.
Afortunadamente, Microsoft lanza al mercado la segunda generación de Microsoft System Center Capacity Planner (SCCP) 2007, una herramienta de uso general que combina un modelo de varias aplicaciones con un simulador que puede estimar el comportamiento de las mismas en una implementación específica. Este lanzamiento integra la nueva herramienta Planeación de la capacidad de SharePoint, que agrega dos modelos más para WSS 3.0 y MOSS 2007 a este motor.
La herramienta Planeación de la capacidad de SharePoint y SCCP 2007 están disponibles de manera gratuita en el Centro de descarga de Microsoft en microsoft.com/systemcenter/sccp/default.mspx.
La herramienta Planeación de la capacidad de SharePoint recopila los requisitos de su organización mediante la compilación de sus respuestas a preguntas acerca de las condiciones de funcionamiento y de uso esperadas. Para generar un diseño preliminar, un asistente le solicita información relevante acerca de su estructura y necesidades relacionadas con SharePoint, incluidos el número y el tipo de usuarios (autenticados o anónimos), los parámetros de red, la configuración de hardware, los patrones de uso (como publicación o colaboración), los requisitos de almacenamiento y, por último, los requisitos de consulta e indización.
Resultados de una simulación en la herramienta Planeación de la capacidad de SharePoint
Resultados de una simulación en la herramienta Planeación de la capacidad de SharePoint
La herramienta genera, a continuación, una topología de línea base recomendada usando nombres específicos de su propia instalación. Debe ejecutar simulaciones de carga y uso en la topología sugerida para ver cómo funcionaría la instalación propuesta en distintas condiciones.
La topología inicial puede modificarse con un editor de modelos y, a continuación, podrá ejecutar escenarios "y si" para simular la repercusión del incremento del uso, de la expansión de la sucursal de la empresa, del hardware adicional y del aumento del ancho de banda. Tal como muestra la captura de pantalla, la simulación genera informes de las cargas de servidor y de la experiencia de usuario esperadas que le permitirán comenzar a optimizar la configuración basándose en parámetros como el costo, el rendimiento y el hardware disponible. Puede exportar un informe detallado o de resumen a una hoja de cálculo de Excel® y el diagrama de la topología a un archivo de Visio®.
La herramienta Planeación de la capacidad de SharePoint facilita la tarea de implementación en un entorno virgen al permitirle probar distintas condiciones para llegar a una configuración de inicio razonable. Puesto que también es posible modelar una topología existente y ejecutarla a través de varios escenarios "y si", la herramienta es útil, también, para explorar los cambios potenciales en las implementaciones existentes.

Peter Skjøtt Larsen es Administrador de productos senior en el equipo del Acelerador de soluciones de Microsoft. Ha colaborado con Microsoft durante cuatro años, dedicándose a la migración de UNIX y a Comunicaciones y colaboración.
Satish Mathew es Administrador de programas en el equipo del Acelerador de soluciones de Microsoft. Cuenta con una experiencia de cinco años en Microsoft, en un primer momento trabajó con el equipo de Windows PowerShell antes de pasar a su equipo actual.


 Dentro de SharePoint: Creaci&#243;n de una infraestructura para SharePoint
Dentro de SharePoint
Creación de una infraestructura para SharePoint
Pav Cherny
Descargar el código de este artículo: SharePoint2008_05.exe (412KB)

Al igual que la mensajería de correo electrónico transformó las comunicaciones en los negocios, la colaboración basada en web está cambiando la manera en que los empleados trabajan y comparten información. Si desea un buen ejemplo, no dude en observar lo que le ofrece la tecnología SharePoint. Gracias a Microsoft Windows SharePoint Services (WSS) 3.0 y Microsoft Office SharePoint Server
(MOSS) 2007, es posible crear sitios de grupo, portales, soluciones de administración de contenido web, bibliotecas de documentos y centros de búsqueda, por no mencionar la integración de 2007 Microsoft® Office system, formularios basados en XML, flujos de trabajo, compatibilidad con movilidad, etc.
No obstante, le recordamos que no es siempre sencillo empezar a usar SharePoint®. La terminología puede ser confusa. La arquitectura de sistema puede ser compleja y SharePoint requiere la administración de múltiples componentes, incluidos IIS, Microsoft .NET Framework, SQL Server® y, posiblemente, otras tecnologías como Business Intelligence, InfoPath® Forms Services, Rights Management Services (RMS), Exchange Server y ForefrontTM Security.
Es muy frecuente perderse dentro de integraciones y personalizaciones dados los numerosos enfoques que puede adoptar para crear soluciones de SharePoint, bien a través de la interfaz de usuario integrada o bien mediante programación. Además, cuando una aplicación SharePoint no funciona, la solución de problemas puede ser complicada. Con frecuencia, deberá tener la mentalidad de un desarrollador de aplicaciones para comprender los componentes implicados y cómo interactúan. Con todos estos desafíos, ¿por dónde empezar para crear una infraestructura de SharePoint eficaz, escalable y fácil de administrar?
En esta columna, le mostraré cómo empezar, en primer lugar, creando una base con un análisis de alto nivel sobre arquitectura y adentrándome, a continuación, en la implementación de WSS, incluidas personalizaciones de marca muy básicas. Mediante la característica Administración de sitios sin intervención del administrador de WSS 3.0, podrá ver cómo delegar permisos a usuarios individuales para crear y administrar sitios de SharePoint al tiempo que se mantiene el control administrativo centralizado sobre la infraestructura de SharePoint.
Si observamos, en primer lugar, la arquitectura de SharePoint, es más sencillo comprender la implementación y configuración de los pasos necesarios para implementar una infraestructura flexible y escalable. Así pues, observemos las dependencias y, a continuación, abordemos directamente la implementación de WSS 3.0. Para obtener las instrucciones detalladas de implementación, consulte el material complementario para su referencia. Puede encontrar este material en la sección de descargas del sitio web de TechNet Magazine en technetmagazine.com.

Arquitectura de SharePoint
Con SharePoint, es útil abordar la tecnología desde el punto de vista de un arquitecto de sistema. No tiene por qué conocer todos los detalles, pero si está familiarizado con las dependencias generales que surgen desde la arquitectura de SharePoint, puede obtener soluciones de una forma más rápida pues es posible anticipar lo que necesita configurar y por qué.
SharePoint es una tecnología dirigida al aprovisionamiento de aplicaciones y sitios web. Es una solución de sitio web basada en IIS, que se integra con IIS a través de ASP.NET y que depende de una base de datos de SQL Server para almacenar datos de configuración y contenido. En resumen, SharePoint combina tres arquitecturas diferentes en su núcleo (IIS, .NET y SQL Server), tal como se ilustra en la Figura 1.
Figura 1 Arquitectura de WSS 3.0 basada en IIS 6.0 y ASP.NET 3.0
Figura 1 Arquitectura de WSS 3.0 basada en IIS 6.0 y ASP.NET 3.0
No se deje intimidar por el diagrama. La arquitectura puede parecer muy complicada en un principio, teniendo en cuenta el número total de componentes. Pero todos estos componentes se ajustan a un marco lógico que, cuando se examina sistemáticamente, nos ofrece una introducción a las dependencias de los componentes.
Tal como se ha descrito, SharePoint depende de IIS y ASP.NET para administrar las solicitudes y respuestas HTTP. Los componentes estándar de IIS, como el controlador modo kernel HTTP (http.sys) y el proceso de trabajo (w3wp.exe), llevan a cabo la puesta en cola y el enrutamiento iniciales de las solicitudes hasta que éstas llegan al filtro ISAPI de ASP.NET (aspnet_isapi.dll). Al instalar .NET Framework, la rutina de instalación registra aspnet_isapi.dll en la metabase de IIS (C:\Windows\System32\Inetsrv\metabase.xml), del siguiente modo:
InProcessIsapiApps="C:\WINDOWS\system32\inetsrv\httpext.dll
C:\WINDOWS\system32\inetsrv\httpodbc.dll
C:\WINDOWS\system32\inetsrv\ssinc.dll
C:\WINDOWS\system32\msw3prt.dll
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_isapi.dll"
Una vez que IIS carga el filtro ISAPI de ASP.NET, todas las solicitudes entrantes para un sitio web pueden pasarse a ASP.NET, lo cual es importante ya que SharePoint debe recibir, eventualmente, estas solicitudes a través de ASP.NET. Para poder conseguirlo, SharePoint extiende la configuración del sitio web seleccionado al filtro ISAPI de ASP.NET, agregando un mapa de aplicación de comodines que enruta todas las solicitudes entrantes, independientemente de la extensión de nombre de archivo.
Puede comprobar lo explicado en Administrador de IIS, una vez haya instalado WSS 3.0 mediante la opción de instalación básica. La rutina de instalación de WSS desactiva el sitio web de IIS predeterminado en el servidor y crea un nuevo sitio web predeterminado en el puerto 80 que tiene definido el mapa de aplicación de comodines de ASP.NET, tal como se muestra en la Figura 2.
Figura 2 Mapa de aplicación de comodines del filtro ISAPI de ASP.NET
Figura 2 Mapa de aplicación de comodines del filtro ISAPI de ASP.NET
Para que ASP.NET pase a cambio solicitudes a SharePoint, éste último debe, asimismo, extender la canalización de solicitud HTTP a través de un objeto personalizado HttpApplication, que se implementa gracias a una clase denominada SPHttpApplication en el ensamblado Microsoft.SharePoint. SharePoint define este objeto de aplicación personalizada en el archivo de aplicación de ASP.NET (global.asax), el cual puede encontrar en el sistema de archivos de la carpeta raíz de sitios web extendidos de SharePoint. El siguiente código muestra el contenido del citado archivo global.asax:
<%@ Assembly Name="Microsoft.SharePoint"%>
<%@ Application Language="C#" Inherits="Microsoft.SharePoint.ApplicationRuntime.SPHttpApplication" %>
ASP.NET analiza y compila de forma dinámica este archivo para crear instancias del objeto de aplicación de SharePoint.
Para cada solicitud recibida, ASP.NET activa una serie de eventos que la aplicación web puede procesar como, por ejemplo, BeginRequest, AuthenticateRequest, ProcessRequest y EndRequest. Los detalles del control de eventos van más allá del alcance de la implementación y administración de SharePoint, si bien es importante saber que, además del SPHttpApplication especificado en global.asax, SharePoint implementa controladores y módulos HTTP personalizados definidos en el archivo web.config del sitio. Por ejemplo, SharePoint usa un módulo HTTP basado en la clase SPRequestModule, registrado como el primer módulo HTTP anterior a los módulos ASP.NET estándar. SPRequestModule puede inicializar el entorno de tiempo de ejecución de SharePoint registrando, por ejemplo, un componente SPVirtualPathProvider con ASP.NET. SPRequestModule es para un uso interno de SharePoint, pero los desarrolladores de soluciones de SharePoint pueden modificar el archivo web.config para que registre componentes adicionales, como controladores y módulos HTTP personalizados. A través de módulos HTTP tanto personalizados como estándar, SharePoint saca provecho de ASP.NET al mismo tiempo que mantiene un control exhaustivo sobre todas las solicitudes a las aplicaciones SharePoint.
Tenga en cuenta que cuando crea una aplicación web mediante el sitio de Administración central de SharePoint 3.0, WSS agrega el mapa de aplicación de comodines de ASP.NET al sitio web de IIS seleccionado y crea los archivos global.asax y web.config en la carpeta raíz del sitio web. Cada aplicación web usa su propio conjunto de archivos de nivel superior global.asax y web.config.
Para procesar las solicitudes y devolver una información significativa a los exploradores, WSS 3.0 y MOSS 2007 dependen del analizador de páginas estándar de ASP.NET, que compila las páginas solicitadas de ASP.NET o las procesa sin modo de compilación. Pero las páginas de ASP.NET que SharePoint pasa al analizador de ASP.NET no se ubican necesariamente allí donde parecen existir. Por ejemplo, no le será posible encontrar un archivo default.aspx file en la carpeta raíz de un sitio web extendido de SharePoint, como el sitio de Administración central de SharePoint 3.0, sin embargo, podrá abrir default.aspx cuando se muestre la página principal de ese sitio web. Es el componente SPVirtualPathProvider el que virtualiza el entorno al cargar el contenido de la página desde el sistema de archivos local o una base de datos de contenido de SQL Server y lo pasa como un archivo virtual al analizador de páginas de ASP.NET. Para el sitio de Administración central, SharePoint carga el archivo default.aspx desde la carpeta C:\Archivos de programa\Archivos comunes\Microsoft Shared\Web Server Extensions\12\TEMPLATE\SiteTemplates\CentralAdmin.
La página principal, así como la mayoría de las páginas del sitio de SharePoint, están vinculadas a una Página maestra ASP.NET (default.master) que implementa un diseño común para los menús y controles de navegación. Default.master reside en la carpeta C:\Archivos de programa\Archivos comunes\Microsoft Shared\Web Server Extensions\12\Template\Global e incluye marcadores de posición con nombre para páginas de contenido adicionales que también pueden residir en el sistema de archivos local o en una base de datos de contenido de SQL Server. El aspecto clave es que al abrir un sitio de SharePoint en un explorador web, lo que está viendo, realmente, es información de una colección de páginas de contenido que no se encuentran, necesariamente, ubicadas en el servidor web local y que se distribuyen de acuerdo a un diseño definido en una Página maestra.
La regla general es que las páginas no modificadas (o páginas no personalizadas según la terminología de SharePoint) existen como plantillas de página en el sistema de archivos local de cada servidor de SharePoint, mientras que las páginas personalizadas se escriben en la base de datos de contenido de modo que todos los servidores SharePoint en una granja de servidores web obtengan acceso al mismo conjunto de páginas (consulte la Figura 3). Asumimos que las páginas no personalizadas son idénticas en todos los servidores y sitios de la granja de servidores web. Sin embargo, si personaliza una página de contenido o una Página maestra en un sitio de SharePoint, usando, por ejemplo, Office SharePoint Designer 2007, SharePoint almacena automáticamente la página personalizada en la base de datos de contenido.
Figura 3 Páginas no personalizadas y personalizadas de ASP.NET en una aplicación SharePoint
Figura 3 Páginas no personalizadas y personalizadas de ASP.NET en una aplicación SharePoint
Además de páginas personalizadas y otros contenidos de sitio web, SharePoint almacena también datos de configuración en una base de datos de SQL Server. SharePoint mantiene los datos de configuración separados del contenido porque los datos de configuración son globales por naturaleza, mientras que el contenido es específico de cada aplicación web individual y colección de sitios. Por consiguiente, una granja de servidores web sólo puede tener una base de datos de configuración, pero puede tener varias bases de datos de contenido.
Todos los servidores WSS en la granja de servidores web usan la misma base de datos de configuración para compartir los metadatos, las opciones de configuración y la información acerca de cada uno de los sitios web de IIS que se han extendido a SharePoint en la granja de servidores web. Las aplicaciones web individuales, por otro lado, pueden asociarse con una o más bases de datos de contenido (aunque cada una de las bases de datos de contenido sólo se puede asociar con una aplicación web).
La relación entre los sitios web de IIS, las aplicaciones web, las colecciones de sitios, los sitios y las bases de datos de contenido puede ser muy confusa. En la terminología de SharePoint, el término aplicación web se refiere a un sitio web de IIS extendido de SharePoint. Una aplicación web puede incluir varias colecciones de sitios y cada una de estas colecciones de sitios puede, a su vez, incluir un sitio de nivel superior y sitios de nivel inferior que comparten las mismas opciones de configuración.
Entre otras cosas, la creación de varias colecciones de sitios le permite delegar la administración de la colección de sitios a usuarios y grupos diferentes. Una única colección de sitios no puede abarcar varias bases de datos de contenido, pero una aplicación web puede usar varias bases de datos de contenido para varias colecciones de sitios y de este modo incrementar la escalabilidad y mitigar la repercusión en el rendimiento de un sitio de gran tamaño que genera una cantidad considerable de actividad de la base de datos en otros sitios de SharePoint. Sin embargo, no es buena idea el ubicar cada uno de los sitios de SharePoint en su propia colección de sitios porque esta forma de implementación limita la funcionalidad entre los sitios.
WSS 3.0 no es compatible con las búsquedas de contenido en varias colecciones de sitios. Dichas búsquedas requieren MOSS 2007 o Microsoft Search Server 2008. Por ejemplo, puede crear una aplicación web y un sitio de nivel superior para http://contoso y, a continuación, un administrador de colección de sitios puede crear sitios de nivel inferior mediante la interfaz de usuario de SharePoint como, por ejemplo, http://contoso/info y http://contoso/events. Todo estos sitios existen en la misma base de datos de contenido puesto que pertenecen a la misma colección de sitios.
Como administrador de una granja de servidores, puede usar, igualmente, una ruta de acceso administrada como, por ejemplo, /sites y, a continuación, definir colecciones de sitios adicionales tales como http://contoso/sites/IT y http://contoso/sites/HR, en la Administración central de SharePoint 3.0. Estas tres colecciones de sitios (http://contoso, http://contoso/sites/IT y http://contoso/sites/HR) pueden tener administradores de colecciones de sitios, opciones de configuración y bases de datos de contenido muy diferentes, sin embargo el acceso a todas ellas se realiza a través del mismo sitio web de IIS (http://contoso) y todas ellas usan la misma identidad del grupo de aplicaciones de la aplicación web.
Por supuesto, hay muchos más detalles, no obstante, la comprensión de esta relación entre IIS, ASP.NET y SQL Server es especialmente importante para sentirse cómodo con el funcionamiento de SharePoint. Si está interesado en conocer más detalles de la arquitectura de SharePoint, le recomiendo la lectura del artículo escrito por Ted Pattison en MSDN® Magazine titulado "Detección de mejoras significativas de desarrollador en SharePoint Services" y que está disponible en msdn.microsoft.com/msdnmag/issues/06/07/WSS30Preview.

Elementos de la infraestructura de SharePoint
Convirtamos ahora este breve debate acerca de la arquitectura en una infraestructura flexible de SharePoint. Como probablemente haya advertido, necesitamos Windows Server®, IIS, .NET Framework 3.0 (ambos para ASP.NET y Windows® Workflow Foundation), WSS 3.0 o MOSS 2007 y SQL Server. Aunque puede esperar al lanzamiento de IIS 7.0 en Windows Server 2008, en este caso usaremos IIS 6.0 en Windows Server 2003 para nuestros fines, puesto que en el momento en el cual se ha escrito este artículo se trata de la versión más ampliamente implementada. Nos quedaremos con WSS 3.0 ya que no necesitamos las características específicas de MOSS 2007 para un piloto inicial de SharePoint.
Si desea un enfoque minimalista, puede instalar WSS 3.0 con todos los componentes necesarios en un único equipo (tal y como se describe en WSS 3.0 en un único computer.pdf, disponible en el material complementario de esta columna), esto es suficiente para un servidor de laboratorio o un entorno de grupo de trabajo pequeño. Sin embargo, si piensa centrarse en la flexibilidad en su infraestructura de SharePoint, no debe comenzar con una implementación independiente en su entorno de producción. Con el objeto de favorecer la disponibilidad, así como la futura escalabilidad, es preferible comenzar con una infraestructura de varios niveles y agregar más servidores cuando sea necesario.
La Figura 4 muestra la infraestructura de SharePoint que recomiendo si desea conseguir una configuración de sistema sencilla y flexible. Incluye una granja de servidores web de dos servidores SharePoint y un equipo independiente que ejecuta SQL Server. Esta configuración elimina la sobrecarga de procesamiento de base de datos en los servidores web, incrementa la disponibilidad, la escalabilidad y facilita el mantenimiento del sistema. Tenga en cuenta que Active Directory® es necesario puesto que se trata de un requisito de software de WSS 3.0 en una implementación de granja de servidores web. Para obtener las instrucciones de implementación paso a paso, consulte el archivo Basic SharePoint Infrastructure.pdf en el material complementario.
Figura 4 Infraestructura básica de SharePoint que puede adaptarse a un crecimiento futuro
Figura 4 Infraestructura básica de SharePoint que puede adaptarse a un crecimiento futuro
La cuenta de dominio usada para implementar SharePoint en esta disposición requiere los permisos de un administrador local en los servidores web. Es también necesario agregar esta cuenta a las funciones dbcreator y securityadmin de SQL Server así como a la función de base de datos db_owner de la base de datos maestra en SQL Server 2005, tal como se muestra en el archivo Basic SharePoint Infrastructure.pdf. A continuación, puede usar el Asistente para configuración de Productos y Tecnologías de SharePoint durante la instalación de WSS 3.0 para crear la base de datos de configuración, necesaria para la granja de servidores web y una base de datos de contenido para el sitio de Administración central de SharePoint 3.0. De lo contrario, un administrador de SQL Server debe encargarse de aprovisionar estas bases de datos y de agregar las cuentas del sistema de WSS a la función db_owner.
Es importante tener presente que la cuenta de usuario que usa para instalar SharePoint no es la cuenta que usa SharePoint para obtener acceso a la base de datos de configuración o a la base de datos de contenido del sitio de Administración central. En su lugar, SharePoint usa la cuenta del sistema configurada como la identidad del grupo de aplicaciones para el sitio de Administración central de SharePoint 3.0.
El Asistente para configuración de Productos y Tecnologías de SharePoint le solicitará la información de la cuenta. Es una buena idea usar una cuenta de usuario de dominio dedicada para esto como, por ejemplo, CONTOSO\WssConfigAdmin. Mi práctica general ha consistido en usar cuentas de usuario individuales y dedicadas para cualquier aplicación web adicional que cree posteriormente. El uso de un grupo de aplicaciones independiente para cada aplicación web ayuda a garantizar el aislamiento del proceso y el uso de una cuenta de usuario diferente para cada grupo de aplicaciones ayuda a mantener el aislamiento de la seguridad. Debe tenerse en cuenta, no obstante, que esto es sólo un enfoque y que la capacidad de administración y las repercusiones potenciales que pueda tener en el rendimiento deben evaluarse según los requisitos particulares de entorno y de negocio.
El administrador de dominio debe encargarse, asimismo, de crear otra cuenta del sistema muy importante, la cuenta del servicio de búsqueda. Puede usar la cuenta de Administración central, no obstante, para conseguir una seguridad adicional es mejor usar una cuenta de búsqueda dedicada, como CONTOSO\WssSearch, que no tenga permisos administrativos y que no pueda modificar ningún contenido. No es necesario un permiso de escritura para obtener acceso a las bases de datos de contenido puesto que el Servicio de búsqueda sólo rastrea el contenido con el objeto de llevar a cabo su indización y mantiene los datos de la búsqueda en una base de datos independiente.
Al crear una aplicación web en una granja de servidores, puede asociar esa base de datos de contenido a un servidor de búsqueda, lo que agrega implícitamente la cuenta del servicio de búsqueda correspondiente a la directiva Acceso completo de lectura de la aplicación web. Los servidores de búsqueda son servidores SharePoint que ejecutan el servicio de búsqueda de Windows SharePoint Services. Si siguió las instrucciones paso a paso del archivo Basic SharePoint Infrastructure.pdf, habrá configurado ambos servidores web como servidores de búsqueda de modo que pueda distribuir la carga de rastreo e indización de varias bases de datos de contenido. Sin embargo, es también posible configurar un servidor de búsqueda dedicado en una granja de servidores web, excluido del equilibrio de carga de red y de las conexiones del cliente de manera que éstas últimas no se vean afectadas por las actividades de rastreo.

Administración de sitios sin intervención del administrador
Con una infraestructura básica de SharePoint implementada, podemos delegar la administración de las colecciones de sitio y de los sitios a departamentos y usuarios individuales sin descentralizar el control administrativo sobre Active Directory, la granja de servidores web o las bases de datos de SQL Server. Como administrador de la granja de servidores, debe colaborar con los administradores de Active Directory y SQL Server para aprovisionar las cuentas del grupo de aplicaciones y las bases de datos de contenido para sus aplicaciones web. Dentro de estas aplicaciones web, debe crear, a continuación, colecciones de sitios y designar administradores de la colección de sitios con el derecho de crear sitios de nivel inferior. De este modo, los administradores de colecciones de sitios dentro de departamentos individuales pueden administrar sus recursos de SharePoint con la participación mínima del departamento de TI, tal como se muestra en la Figura 5.
Figura 5 Administración descentralizada del sitio en una infraestructura de SharePoint centralizada
Figura 5 Administración descentralizada del sitio en una infraestructura de SharePoint centralizada
Es también posible ofrecer a los usuarios la capacidad de crear colecciones de sitios bajo rutas de acceso administradas (como la ruta de acceso /sites u otras rutas administradas con inclusiones de caracteres comodín que cree en la Administración central de SharePoint 3.0). Si habilita la característica Administración de sitios sin intervención del administrador dentro de una aplicación web, los usuarios pueden crear sus propias colecciones de sitios y administrar grupos de sitio y permisos dentro de la interfaz de usuario de SharePoint. A diferencia de los sitios de nivel inferior, las colecciones de sitios no heredan los permisos de un sitio primario.
La Administración de sitios sin intervención del administrador no es apropiada para todo entorno de SharePoint y se deshabilita de forma predeterminada. Si la habilita, puede que al final termine con un gran número de colecciones de sitios que no se utilicen muy a menudo en sus bases de datos de contenido. Sin embargo, esta característica demuestra, de forma exhaustiva, la flexibilidad de la administración de SharePoint y le recomiendo, por tanto, que la pruebe en su implementación piloto. (Además, existen opciones en SharePoint para notificar a usuarios y/o administradores acerca de los sitios inactivos para que éstos puedan eliminarse en caso de ser necesario). Debe habilitar la Administración de sitios sin intervención del administrador para una aplicación web de forma explícita, tal como se describe en el archivo Enabling Self-Service Site Management.pdf que se incluye en el material complementario.

Personalizaciones y personalización de marca de SharePoint
Recursos de SharePoint
  • TechCenter de Windows SharePoint Services
  • Centro de desarrollo de Windows SharePoint Services
  • Blog del equipo de Productos y Tecnologías de Microsoft SharePoint
  • Componentes de la arquitectura lógica
  • Diseño de granjas de servidores y topologías

En este momento, constituye un deseo natural el incluir el logotipo de la empresa, el nombre y los colores corporativos en la interfaz de usuario de SharePoint. No obstante, debe estar atento al hecho de que está a punto de elevar el proyecto de SharePoint al nivel de desarrollador de ASP.NET. Como mínimo, necesita un sistema de desarrollo como, por ejemplo, un servidor WSS 3.0 independiente con Microsoft Office SharePoint Designer 2007 (consulte el archivo SharePoint Designer Installation.pdf del material complementario) para poder crear y probar sus personalizaciones sin afectar al entorno de producción. Asimismo, debe visitar el Centro de desarrollo de Windows SharePoint Services en msdn2.microsoft.com/sharepoint para conocer más detalles acerca de las opciones de personalización que ofrece SharePoint.
Aunque el desarrollo de SharePoint queda fuera del alcance de esta columna, déjeme señalar una serie de aspectos que debe tener en cuenta. SharePoint almacena páginas personalizadas en la base de datos de contenido de la colección de sitios correspondiente. En otras palabras, cualquier personalización que aplique a las páginas del sitio, páginas de la aplicación, Páginas maestras, hojas de estilos, etc., en un sitio de SharePoint sólo se aplica a la colección de sitios o al nivel del sitio. Esto es de gran ayuda de cara a los administradores de colecciones de sitios individuales que desean ajustar la apariencia de sus sitios mediante SharePoint Designer 2007, pero no lo es, sin embargo, para el administrador de la granja de servidores que desea imponer la identidad corporativa en todas aplicaciones web, las colecciones de sitios y los sitios en una granja de servidores web.
Puede crear temas del sitio personalizados o definiciones del sitio personalizadas según una copia de un tema o definición de sitio estándar de SharePoint. Puede crear, asimismo, Páginas maestras personalizadas y agregarlas a la Galería de páginas maestras. Sin embargo, ninguna de estas opciones impone la personalización de marca global si está habilitada la Administración de sitios sin intervención del administrador, ya que un usuario con permisos para crear colecciones de sitios o sitios puede, aún, seleccionar una plantilla de sitio estándar que no muestre la identidad corporativa.
La personalización de marca global exige el reemplazo por su parte de los componentes predeterminados de SharePoint y el uso, en su lugar, de sus componentes personalizados. Los desarrolladores hacen todo lo posible para conseguir esto sin modificar los archivos originales. Uno de los enfoques consiste en cambiar la configuración de los directorios virtuales en el Administrador de IIS para apuntarlos a nuevas carpetas con archivos personalizados. Otro método consiste en implementar un módulo HTTP personalizado o el filtro ISAPI que rescribe direcciones URL para redirigir las solicitudes de páginas predeterminadas específicas a versiones personalizadas.

Conclusión
Me he centrado en los aspectos básicos del establecimiento de una infraestructura de SharePoint con WSS 3.0. No he tratado otras características como, por ejemplo, los flujos de trabajo, las encuestas, la integración de la mensajería o los antivirus, ni tampoco funcionalidades específicas de MOSS 2007 como portales, directorios de sitios y catálogos de datos profesionales. Las personalizaciones de la administración de sitios y la personalización de marca de las compañías sólo se tratan como posibilidades dentro de SharePoint. Puede llevar a cabo personalizaciones adicionales con WSS 3.0 programando las aplicaciones personalizadas en Visual Studio®.
La infraestructura es lo suficientemente eficaz para administrar el crecimiento futuro si agrega más servidores web o servidores de base de datos. Con el lanzamiento piloto de una serie de personalizaciones, los usuarios podrán crear sitios individuales y familiarizarse a nivel general con SharePoint. De este modo, usted establece los componentes principales que adoptará el usuario, así como el hardware y el software, que serán lo suficientemente flexibles como para poder acomodar los cambios y servir de base para un avanzado lanzamiento de producción.

Pav Cherny es experto en TI y autor especializado en tecnologías de Microsoft para la colaboración y las comunicaciones unificadas. Sus publicaciones incluyen notas del producto, manuales de productos y libros centrados en operaciones de TI y administración de sistemas. Pav es el Presidente de Biblioso Corporation.


 Windows PowerShell: Automatizaci&#243;n de la administraci&#243;n de directorios
Windows PowerShell
Automatización de la administración de directorios
Don Jones

Uno de los aspectos menos afortunados de la primera versión de Windows PowerShell es el control del tiempo. El equipo de Windows PowerShell estaba presionado para lanzar al mercado el producto (había que lanzar un pequeño producto llamado Exchange Server 2007, que dependía de Windows PowerShell) y el equipo de Active
Directory estaba muy ocupado en ese momento (trabajaban en otro pequeño producto llamado Windows Server® 2008). Así que Windows PowerShell se lanzó al mercado con escasas capacidades de administración de Active Directory®.
Para ser claro, Windows PowerShell® no carece completamente de las características de Active Directory. De hecho, el equipo de Windows PowerShell hizo heroicos esfuerzos de última hora para ofrecer un soporte decente para las Interfaces del servicio de Active Directory (ADSI, Active Directory Services Interface), una tecnología óptima para scripts ya muy conocida entre los usuarios de VBScript.

El método de ADSI
El funcionamiento de ADSI es semejante al del Instrumental de administración de Windows® (WMI, Windows Management Instrumentation). El usuario publica una consulta, que se escribe con una sintaxis especial. La consulta se transmite a un equipo remoto (como un controlador de dominio) y, a continuación, se ejecuta. El resultado de la consulta es un objeto o una colección de objetos de Active Directory (como un usuario o un grupo) y una referencia a dicho objeto con la que puede trabajar. Puede modificar las propiedades del objeto o ejecutar métodos para guardar los cambios, crear objetos nuevos, eliminar objetos, etc. Por ejemplo, para crear un usuario, debe consultar a la unidad organizativa (OU) o el contenedor donde desea que resida el usuario. El objeto que recibirá tiene un método Create que se puede usar para crear el usuario.
En un nivel muy básico, el uso de ADSI en Windows PowerShell parece sencillo y simple. Por ejemplo, este comando recuperará un usuario y mostrará su atributo Company:
$user = [ADSI]"LDAP://cn=Ringo,ou=Singers,dc=company,dc=pri"
$user.Get("Company")
Puede canalizar el usuario a Get-Member para ver sus propiedades y métodos. Lamentablemente, Windows PowerShell 1.0 no implementa demasiado bien estos objetos de directorio. Tal como se muestra en la Figura 1, el shell no enumera los atributos de directorio del objeto ni muestra los métodos del objeto, como el método Get que usé.
Figura 1 Canalización del usuario a Get-Member para ver sus propiedades
Figura 1 Canalización del usuario a Get-Member para ver sus propiedades
Esta compatibilidad está algo mejorada en Community Technology Preview (CTP) de Windows PowerShell 2.0, pero sólo hasta cierto punto. La consideración fundamental es que Microsoft® .NET Framework no permite a los administradores ver fácilmente todo lo que quieren (después de todo, se diseño originalmente para desarrolladores). El otro problema es que el equipo de Windows PowerShell no puede hacer más, y se necesita mucho soporte técnico para Active Directory por parte de los especialistas. Es decir, el equipo de Active Directory. Estoy seguro de que llegará en su momento, a fin de cuentas, Windows PowerShell todavía es reciente. Pero ¿qué debe hacer mientras tanto?
Igual recuerda que hablé sobre el uso de las tecnologías de ADSI incluidas en Windows PowerShell en la entrega de junio de 2007 de esta columna (technetmagazine.com/issues/2007/06/PowerShell). Le sugiero que lea esa columna si desea más detalles sobre esta técnica "nativa". En esta entrega, quisiera mostrarles otros enfoques.

Un ecosistema rico
El arquitecto de Windows PowerShell, Jeffrey Snover, se refiere a menudo al rico ecosistema que rodea a Windows PowerShell. Esto significa, simplemente, que el equipo hizo un gran trabajo para asegurarse de que cualquiera, no sólo los programadores de Microsoft, pueden ampliar las capacidades de Windows PowerShell. Son varias las compañías que ya lo están haciendo mediante la creación de cmdlets nativos de Windows PowerShell que le permiten administrar sus productos desde la línea de comandos. VMWare, IBM, Citrix y Foundry son tan sólo algunas de las principales compañías que lo están haciendo.
Uno de mis ejemplos favoritos de este ecosistema rico es el de Quest Software. La compañía ofrece un conjunto de cmdlets gratuitos y no comerciales diseñado para la administración de Active Directory. Puede descargarlos de quest.com/powershell. Además, ofrecen PowerGUI (powergui.org), una interfaz de usuario gráfica, no comercial y gratuita que se aplica sobre Windows PowerShell para la gente que todavía no está lista para la verdadera experiencia de línea de comandos. PowerGUI le ayuda a usar más fácilmente los cmdlets de administración de Active Directory. Y créame, querrá usarlos. Estos cmdlets le proporcionan una comodidad y potencia de administración de Active Directory inauditas. (Si desea más información acerca de PowerGUI, consulte la entrega de enero de 2008 de la columna Cuadro de herramientas, que puede encontrar en technetmagazine.com/issues/2008/01/Toolbox).

El método de Windows PowerShell
Todo lo que implique cmdlets es el verdadero método Windows PowerShell. No tiene que trabajar con los tradicionales scripts ni con sofisticados objetos de programación. Esta es mi línea favorita de todas. Es una sola línea de comandos que importa un archivo CSV y usa la información que contiene para crear docenas o incluso cientos de nuevos usuarios de Active Directory:
Import-CSV 'C:\provision1.csv' |
ForEach-Object {New-QADUser -organizationalUnit 'company.pri/Singers' -name ($_.'First Name' + '.' + $_.'Last Name')
-samAccountName $_.'Logon name' -city $_.city -title $_.'Job title' -department $_.department}
Es, desde luego, un comando largo, pero asombrosamente eficaz. Empieza por Import-CSV, un cmdlet nativo de shell que simplemente lee un archivo CSV y devuelve objetos. Cada línea del archivo CSV es un solo objeto y las columnas del archivo CSV pasan a ser las propiedades del objeto. En mi archivo Provision1.csv, los nombres de columna son del tipo "Nombre de inicio de sesión" y "Nombre", lo cual resulta interesante porque los nombres de columna no están relacionados directamente con atributos de usuario de Active Directory. Es frecuente que los archivos de este tipo usen nombres de columna más familiares, en vez de los nombres específicos de Active Directory. A fin de cuentas, puede que reciba este archivo de alguien del departamento de personal de su compañía y es poco probable que esta persona sepa que el Apellido es realmente el atributo sn de Active Directory.
Una vez que se han importado todos los datos del archivo CSV y se han convertido en objetos, esos objetos se canalizan al cmdlet ForEach-Object, que ejecuta un bloque de código (entre llaves en mi línea) para cada objeto. Es decir, este script se ejecutará una vez por cada línea del archivo CSV. Dentro del script, la variable especial $_ es una referencia al objeto actual, o la línea actual del archivo CSV.
Puede ver que estoy ejecutando el cmdlet New-QADUser. Éste es uno de la docena aproximadamente de cmdlets incluidos en el complemento de Quest. Cabe destacar el nombre QADUser. La Q, como quizás haya adivinado, es de Quest. Esta convención de nomenclatura está diseñada para evitar conflictos con el cmdlet New-ADUser que probablemente cree el equipo de Microsoft Active Directory en un futuro. Así, si se cargan ambos cmdlets en el shell al mismo tiempo, usted y el shell podrán distinguirlos más fácilmente.
El resto de la línea está compuesto por parámetros para el cmdlet New-QADUser. El primero especifica la unidad organizativa, que es donde desea crear todos los usuarios nuevos. El siguiente atributo es el del nombre, que he configurado para que coincida con el contenido de la columna Nombre, un punto y, después, el contenido de la columna Apellido.
Otro dato interesante: El parámetro de ciudad cambiará realmente el atributo l (o Locality-Name) de Active Directory. El cmdlet también acepta un parámetro llamado l, que hace lo mismo. En su mayoría, los parámetros que hacen referencia a atributos de Active Directory pueden usar el nombre del atributo o la etiqueta de texto de la herramienta Usuarios y equipos de Active Directory.

El otro método de Windows PowerShell
Active Directory es un almacén jerárquico, y uno de los puntos fuertes de Windows PowerShell es su capacidad de exponer cualquier almacén jerárquico como una unidad de disco, permitiéndole usar un familiar conjunto de comandos como, por ejemplo, Dir, Del, Ren o Copy para administrar varios almacenes. Lamentablemente, Windows PowerShell 1.0 no incluía un proveedor PSDrive para Active Directory, de modo que el shell no puede exponer Active Directory como una unidad.
Por suerte, ese ecosistema rico regresa al terreno de juego con las extensiones de la comunidad de PowerShell. Se trata de un complemento de código abierto gratuito que está disponible en codeplex.com/powershellcx. Una vez instaladas, las extensiones de la comunidad de PowerShell le permiten dirigir el shell a su nombre de dominio para empezar a administrar el directorio como si fuera una unidad:
CD COMPANY:
CD SINGERS
DIR
Estos comandos cambiarán al dominio COMPAÑÍA, a la unidad organizativa Cantantes y, a continuación, mostrarán una lista de objetos, tal como se muestra en la Figura 2. Desde allí, se pueden usar comandos como Del para eliminar un usuario, Md para crear una unidad organizativa nueva, etc. El proveedor PSDrive de extensiones de la comunidad tiene unos cuantos inconvenientes, principalmente relacionados con la funcionalidad que espera ver implementada, pero que no está disponible porque los elementos no se adaptan al funcionamiento de Active Directory. Debe tener especial cuidado: si va a la raíz de su dominio y ejecuta del * -recurse, se eliminarán todos los objetos del dominio, siempre que tenga permiso. Ni siquiera le preguntará si "está seguro" de forma predeterminada. Sí, la línea de comandos es eficaz, pero esta eficacia supone un riesgo para los poco experimentados o cuidadosos.
Figura 2 Uso de las extensiones de la comunidad de PowerShell para dirigir el shell y administrar el directorio
Figura 2 Uso de las extensiones de la comunidad de PowerShell para dirigir el shell y administrar el directorio

Empiece a usar el shell hoy
Mis alumnos siempre preguntan qué se puede hacer con Windows PowerShell hoy en día. A fin de cuentas, no se han rediseñado todos los productos de Microsoft para usar Windows PowerShell, y de primeras podría pensar que Windows PowerShell sigue esperando a que las cosas se pongan interesantes.
Pero, de hecho, las cosas ya se han puesto interesantes. Aunque Microsoft todavía no ha instrumentado Active Directory para la administración de la línea de comandos, otros lo han probado y les ha ido bastante bien. Puede usar Windows PowerShell para realizar muchas tareas administrativas, o incluso para automatizar algunas de las tareas más engorrosas y pesadas, como crear lotes de usuarios nuevos. El truco consiste en averiguar los avances de la comunidad para que Windows PowerShell sea más útil. Visite PowerShellCommunity.org, un sitio copatrocinado por Microsoft en cuya administración colaboro. Si tiene las herramientas apropiadas cargadas en Windows PowerShell, puede empezar a crear scripts para las tareas administrativas más engorrosas que no desea hacer y, así, convertirse en un administrador más eficaz y eficiente.

Don Jones es coautor de Windows PowerShell: TFM, segunda edición, autor de VBScript, WMI, and ADSI Unleashed y director de PowerShellCommunity.org.


 &#161;Hola, encargados del scripting!: Arqueamiento de cejas ante expresiones regulares
¡Hola, encargados del scripting!
Arqueamiento de cejas ante expresiones regulares
Los encargados del scripting
Descargar el código de este artículo: HeyScriptingGuy2008_05.exe (150KB)

En noviembre del pasado año 2007, los encargados del scripting pasaron un día en París mientras se dirigían a la conferencia del Tech•Ed IT Forum celebrado en Barcelona. Durante esta breve parada de un día, tuvimos la oportunidad de visitar el Louvre, uno de los museos de arte más conocidos a nivel mundial.
Y, ¿cómo encontraron los encargados del scripting el museo Louvre? Muy fácil: subimos hacia Notre Dame y después torcimos a la izquierda.
¡Ah! ¿Se refiere a que si nos gustó el Louvre? En su mayor parte, sí. El único problema que tuvimos es que el Louvre, como la mayoría de los museos, aplica la política de "se mira pero no se toca". Todos sabemos que la Mona Lisa sería más atractiva aún si tuviera cejas, pero, por alguna razón en particular, los encargados de cuidar el museo se molestan muchísimo si se intenta arreglar cualquiera de sus cuadros.
Nota: en realidad, a los dos encargados del scripting les gustó la Mona Lisa. Lo cual fue una sorpresa muy agradable, puesto que después de todo el revuelo organizado en torno a esta obra, nos temíamos que fuera simplemente otra obra pictórica más. Afortunadamente, no fue así, era realmente hermosa. (Si bien, podía tener unas pequeñas cejas al menos). Sin embargo, sorprendentemente, a los dos nos desilusionó la igualmente archiconocida Venus de Milo. Ninguno de nosotros consideramos su ejecución como algo espectacular, es más, el encargado del scripting que escribe esta columna se quedó perplejo al conocer el concepto artístico de la Venus de Milo. ¿La estatua de una mujer que no tiene brazos? ¿Cómo se supone, entonces, que puede barrer o fregar los platos...?
Nota dedicada a nuestras lectoras (suponiendo que todavía quede alguna por ahí...): obviamente, se trata de un error tipográfico. Lo que realmente queríamos decir era esto: ¿Una estatua de una mujer que no tiene brazos? Y a pesar de todo, puede hacer el doble de trabajo que cualquier hombre y hacerlo bien.
Los encargados del scripting se disculpan por cualquier equívoco que nuestra frase original haya podido motivar.
En cualquier caso, mientras que sólo teníamos ojos para los divinos tesoros que se hospedan en el Louvre, los dos encargados del scripting sólo podían pensar en una cosa: ¿Dónde están los baños? Mientras los buscaban, el encargado del scripting que escribe esta columna pensó en otra cosa: los encargados del scripting somos unos hipócritas. Después de todo, nos ha molestado mucho que el Louvre no nos permita arreglar la Mona Lisa. Y aún así, somos culpables de un pecado semejante. En el número de enero de 2008 de TechNet Magazine, escribimos un artículo acerca del uso de expresiones regulares en un script. Éste podría considerarse un perfecto ejemplo de "se mira pero no se toca": le mostramos cómo usar las expresiones regulares para identificar los problemas presentes en un archivo de texto, pero no le mostramos cómo arreglar esos problemas. ¡Zut alors!
Nota: así pues, si los encargados del scripting fueron al Louvre en noviembre de 2007, ¿cómo es posible que el encargado del scripting que escribe esta columna haya recordado de repente datos concretos de un artículo que no apareció en TechNet Magazine hasta enero de 2008? Vaya, esto sí que es un acertijo, ¿verdad? Debe tener algo que ver con las diferencias horarias entre Redmond y París.
No obstante, afortunadamente, y a diferencia de los encargados del museo Louvre, los encargados del scripting están dispuestos a admitir cuándo han cometido un error. Nos equivocamos al mostrarle únicamente cómo buscar información mediante expresiones regulares; deberíamos haberle mostrado cómo reemplazar información mediante expresiones regulares. De hecho, deberíamos haberle mostrado un script como el de la Figura 1.
Figure 1 Búsqueda y reemplazo (Close Figure 1)
      Set objRegEx = _
    CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.IgnoreCase = True
objRegEx.Pattern = "Mona Lisa"

strSearchString = _
    "The Mona Lisa is in the Louvre."
strNewString = _
    objRegEx.Replace(strSearchString, _
                     "La Gioconda")

Wscript.Echo strNewString
Ahora bien, para ser sinceros, éste es un uso bastante mundano de las expresiones regulares: lo que vamos a hacer aquí es reemplazar todas las instancias del valor de cadena Mona Lisa por La Gioconda (correspondiente en italiano de "Pero, ¿dónde diablos he puesto esas cejas?"). Sin duda alguna, podíamos haber llevado a cabo este reemplazo de una forma mucho más sencilla simplemente usando la función Replace de VBScript. Aunque me temo que no: usaremos este pequeño y sencillo script para explicar cómo llevar a cabo operaciones de búsqueda y reemplazo mediante expresiones regulares y, a continuación, una vez finalizado este paso, le mostraremos algunas de las tareas más atractivas que puede llevar a cabo con estas expresiones.
Como puede ver, este script no es muy complicado. Comenzamos creando una instancia del objeto VBScript.RegExp; no es necesario decir que se trata del objeto que nos permite usar las expresiones regulares dentro de un script de VBScript. Tras crear el objeto, asignamos, a continuación, valores a tres de las propiedades del objeto:
Global Al configurar esta propiedad en True, le indicamos al script que busque (y reemplace) cada una de las instancias de Mona Lisa que encuentra en el texto de destino. Si la propiedad Global fuese False (el valor predeterminado), el script buscaría y reemplazaría sólo la primera instancia de Mona Lisa.
IgnoreCase La configuración de IgnoreCase en True indica al script que deseamos llevar a cabo una búsqueda que no distinga entre mayúsculas y minúsculas, en otras palabras, mona lisa y Mona Lisa se considerarían idénticas. De forma predeterminada, VBScript realiza una búsqueda que distingue entre mayúsculas y minúsculas, lo cual significa que, gracias a las letras en mayúscula y en minúscula, mona lisa y Mona Lisa se consideran como valores completamente diferentes.
Pattern La propiedad Pattern contiene el valor que estamos buscando. En este caso, buscamos un sencillo valor de cadena: Mona Lisa.
A continuación, asignamos el texto que deseamos buscar a una variable denominada strSearchString:
strSearchString = "The Mona Lisa is in the Louvre."
Después, llamamos al método de expresión regular Replace y pasamos dos parámetros al método: el texto de destino que deseamos buscar (la variable strSearchString) y el texto de reemplazo (La Gioconda). Esto es lo que hemos hecho aquí:
strNewString = objRegEx.Replace(strSearchString, "La Gioconda")
Y eso es todo. El texto modificado se almacena en la variable strNewString. Si ahora devolvemos el valor de strNewString, debemos obtener lo siguiente:
The La Gioconda is in the Louvre.
La gramática puede ser un poco dudosa, pero seguro que ha captado la idea general.
Tal como hemos explicado anteriormente, esto está muy bien y es correcto, pero es definitivamente excesivo, podíamos haber conseguido lo mismo usando estas líneas de código (de hecho, podíamos haber hecho todo en una sola línea si lo hubiéramos deseado):
strSearchString = "The Mona Lisa is in the Louvre."
strNewString = Replace(strSearchString, "Mona Lisa", "La Gioconda")
Wscript.Echo strNewString
Es decir, veamos si podemos hacer algo interesante con las expresiones regulares que no podamos hacer con la función Replace de VBScript.
¿A nadie se le ocurre alguna idea? Bien, ésta es una. A menudo, nosotros, los encargados del scripting, terminamos teniendo que copiar texto de un tipo de documento a otro. A veces, esto funciona bastante bien, pero otras no. Cuando esto no funciona, aparecen problemas bastante curiosos con el espacio entre palabras, problemas que provocan que el texto tenga el siguiente aspecto:
Myer Ken, Vice President, Sales and Services
¡Vaya! Mire todos esos espacios en blanco tan extraños. Y, en este caso, la función Replace es de uso limitado. ¿Por qué? Bien, tenemos un número aparentemente aleatorio de irrelevantes espacios en blanco: puede que haya 7 espacios en blanco entre palabras, puede que haya 2 espacios en blanco entre palabras o puede que haya 6 espacios en blanco entre palabras. Esto dificulta la solución del problema mediante Replace. Por ejemplo, si tratamos de buscar 2 espacios en blanco consecutivos (reemplazando estos 2 espacios por un solo espacio en blanco), éste es el resultado:
Myer Ken, Vice President, Sales and  Services
Está mejor, pero tampoco mucho. Existe una manera de hacer esto, pero es necesario que busquemos un número arbitrario de espacios en blanco (digamos, 39); llevar a cabo el reemplazo; restar 1 al número inicial; buscar 38 espacios en blanco y realizar el reemplazo; y así progresivamente. De manera alternativa, podríamos usar este script de expresiones regulares bastante sencillo (y de carácter mucho más infalible):
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = " {2,}"

strSearchString = _
"Myer Ken, Vice President, Sales and Services"
strNewString = objRegEx.Replace(strSearchString," ")

Wscript.Echo strNewString
La clave de este script (y la clave de la mayoría de expresiones regulares) es la propiedad Pattern:
objRegEx.Pattern = " {2,}"
Lo que vamos a hacer aquí es buscar 2 (o más) espacios en blanco consecutivos. ¿Cómo sabemos que Pattern busca 2 espacios en blanco (o más)? Bien, dentro de nuestras comillas dobles tenemos un único espacio en blanco seguido por esta construcción: {2,}. En la sintaxis de expresiones regulares, esto indica que se busquen, al menos, 2 instancias consecutivas del carácter anterior (en este caso, un espacio en blanco). ¿Y qué ocurre si hay 3 ó 4 ó 937 espacios en blanco consecutivos? No pasa nada, podría tomar todos estos también. (Si, por alguna razón, deseamos incluir, al menos, 2 espacios en blanco pero no más de 8, usaríamos la sintaxis {2,8}, donde el 8 especifica el número máximo de coincidencias).
En otras palabras, siempre que encontremos 2 o más espacios en blanco, uno detrás de otro, vamos a tomar todos esos espacios consecutivos y los vamos a reemplazar con un único espacio en blanco. ¿Qué repercusión tendrá esto en nuestro valor de cadena original, el que tenía todos esos espacios en blanco irrelevantes? Éste.
Myer Ken, Vice President, Sales and Services
¿Lo ve? Los encargados del scripting realmente pueden mejorar y facilitar las cosas. Ojalá los empleados del Louvre nos permitieran ahora arreglar la Mona Lisa.
Le presentamos un escenario no por interesante menos frecuente. Suponga que su compañía cuenta con un directorio de teléfonos y que todos los números de teléfono tienen el siguiente formato:
555-123-4567
Sin embargo, su jefe ha decidido ahora que todos los números de teléfono deben tener el siguiente formato:
(555) 123-4567
¿Cómo podría cambiar el formato de todos esos números de teléfono? Bien, si fuéramos tan atrevidos, nos gustaría sugerirle que usara un script similar a éste:
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "(\d{3})-(\d{3})-(\d{4})"

strSearchString = "555-123-4567"
strNewString = objRegEx.Replace _
(strSearchString, "($1) $2-$3")

Wscript.Echo strNewString
En este caso lo que hacemos es buscar 3 dígitos (\d{3}) seguidos por un guión, seguido a su vez por 3 dígitos más y un guión, seguido de 4 dígitos. Es decir, buscamos lo siguiente, donde cada X representa un número del 0 al 9:
XXX-XXX-XXXX
Nota: así pues, ¿cómo sabemos que \d{3} indicará al script que busque tres números seguidos los unos de los otros? Bien, creemos haberlo leído en algún lugar. De hecho, tuvo que ser en el último e impactante capítulo final de El Código Da Vinci o en la Referencia del lenguaje de VBScript en MSDN® en línea (consulte go.microsoft.com/fwlink/?LinkID=111387).
Es estupendo poder buscar un número de teléfono arbitrario mediante las expresiones regulares. No obstante, todavía contamos con un problema. A fin de cuentas, no podemos reemplazar ese número de teléfono arbitrario con un número de teléfono también arbitrario. En su lugar, tenemos que usar el mismo número de teléfono, pero con un formato un tanto diferente. Pero, ¿cómo podemos conseguir esto?
Es sencillo, usando el siguiente texto de reemplazo:
"($1) $2-$3"
$1, $2 y $3 son ejemplos de una expresión regular "referencia inversa". Una referencia inversa es simplemente una parte del texto encontrado que se puede guardar y reutilizarse a continuación. En este script en particular, buscamos tres "subcoincidencias":
  • Un conjunto de 3 dígitos
  • Un conjunto de 3 dígitos más
  • Un conjunto de 4 dígitos
A cada una de estas tres subcoincidencias se le asigna automáticamente una referencia inversa: la primera subcoincidencia es $1, la segunda es $2 y así sucesivamente hasta $9. En otras palabras, en este script a las tres partes de nuestro número de teléfono se le asignan automáticamente las referencias inversas mostradas en la Figura 2.
Figure 2 Referencias inversas de números de teléfono (Close Figure 2)

Parte del número de teléfono | Referencia inversa
555 | $1
123 | $2
4567 | $3
En nuestra cadena de reemplazo, usamos estas referencias inversas para garantizar que se reutiliza el número de teléfono correcto. Nuestro texto de reemplazo dice simplemente esto: adopte la primera referencia inversa ($1) y enciérrela entre paréntesis. Deje un espacio y, a continuación, inserte la segunda referencia inversa ($2) seguida de un guión. Por último, fije la tercera referencia inversa ($3).
¿Qué resultado nos ofrecen estas operaciones? Nos ofrecerán un número de teléfono que tendrá este aspecto:
(555) 123-4567
No está mal, no está nada mal.
Ésta es una variación del script del número de teléfono. Suponga que su empresa ha instalado un sistema de telefonía completamente nuevo y, como parte del cambio, todos los números de teléfono tendrán ahora el mismo prefijo. Si los números antes empezaban todos, por ejemplo, por 666, 777 u 888, ahora todos empiezan por 333. ¿Podemos volver a dar formato a los números de teléfono y cambiar el prefijo del número de teléfono, todo al mismo tiempo? Por supuesto que podemos:
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "(\d{3})-(\d{3})-(\d{4})"

strSearchString = "555-123-4567"
strNewString = objRegEx.Replace _
(strSearchString,"($1) 333-$3")

Wscript.Echo strNewString
¿Desea ver lo que hicimos aquí? Simplemente eliminamos el prefijo anterior (la referencia inversa $2) en nuestro texto de reemplazo. En su lugar, sustituimos el valor de prefijo codificado, y ahora estándar, 333. ¿Qué aspecto tendrá el número de teléfono 555-123-4567 tras ejecutar este script modificado? Debe tener un aspecto bastante parecido a este:
(555) 333-4567
Éste es otro de los usos más comunes de las referencias inversas: Suponga que tenemos un valor de cadena con un aspecto similar al siguiente:
Myer, Ken
¿Hay alguna manera de cambiar ese valor y mostrar el nombre de esta manera?
Ken Myer
Si no la hubiera, pareceríamos estúpidos, ¿verdad? Le presentamos un script que hace lo que hemos comentado:
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "(\S+), (\S+)"

strSearchString = "Myer, Ken"
strNewString = objRegEx.Replace _

strSearchString,"$2 $1")

Wscript.Echo strNewString
En este script en particular, buscamos una palabra, (\S+), seguida de una coma, seguida a su vez de un espacio en blanco, seguido de otra palabra. (En este caso, usamos \S+ para representar una "palabra"). La construcción \S+ significa cualquier conjunto consecutivo de caracteres distintos de espacios en blanco. En otras palabras, podríamos tener una letra, un número, un símbolo. De hecho, podríamos tener cualquier cosa que no fuera un espacio, un tabulador o un retorno de carro y un salto de línea. Tal como puede observar, esperamos encontrar dos subcoincidencias aquí: una que representa el apellido ($1) y otra que representa el nombre ($2). Gracias a esto, podemos mostrar el nombre de usuario como Nombre Apellido si usamos esta sintaxis:
"$2 $1"
¿Dónde está la coma? Bien, obviamente no la necesitamos, así que nos deshicimos de ella.
Nota: es gracioso, por alguna razón también pensamos en el editor de scripting. Ejem...
Antes de que se acabe el día, le vamos a mostrar una más. (Vale, de acuerdo, antes de que se acabe el mes). Esto no es 100% a prueba de duros de mollera; a fin de cuentas, no deseamos que un artículo introductorio como éste sea demasiado complicado. (Y las expresiones regulares tienen la capacidad de poder volverse bastante complicadas). No obstante, le mostramos un script que, en la mayoría de los casos, eliminará los primeros ceros de un valor como 0000.34500044:
Set objRegEx = CreateObject("VBScript.RegExp")

objRegEx.Global = True
objRegEx.Pattern = "\b0{1,}\."

strSearchString = _
"The final value was 0000.34500044."
strNewString = objRegEx.Replace _
strSearchString,".")

script.Echo strNewString
Como de costumbre, la única razón por la que esto funciona es gracias al patrón: "\b0{1,}\." Comenzamos buscando un límite de palabra (\b). De este modo nos aseguramos de no eliminar los ceros en un valor como 100.546. A continuación, buscamos uno o más ceros, 0{1,}, seguidos por un punto (\.). Si encontramos el patrón, reemplazamos estos ceros (y el punto) con un único punto ".". Si todo va según lo previsto, nuestra cadena quedará transformada en esto:
The final value was .34500044.
Y ya no tenemos más tiempo por este mes. Antes de despedirnos, debemos dejar claro que la Mona Lisa ha sido objeto de numerosas controversias antes incluso de que Leonardo terminara de pintarla. ¿Quién es esa misteriosa mujer? ¿Por qué sonríe de ese modo? ¿Por qué no tiene cejas? Varios historiadores especialistas en arte sugieren que Mona Lisa podría no ser una mujer, que la obra es, por contra, un autorretrato de Leonardo da Vinci. (Si eso es verdad, Leonardo debería cambiar de sastre). A su vez, la fundación educativa Unarius, ha ido un paso más allá y proclama que la obra es realmente el retrato del "alma gemela" de Leonardo en el "más allá" y que este alma gemela guiaba la mano de Leonardo. ¡Vaya coincidencia! Así es como se ha escrito la columna ¡Hola, encargados del scripting! de este mes.
Lo cual significa que debe dirigir todas sus quejas a el-alma-gemela-del-encargado-del-scripting-que-escribe-esta-columna@el-otro-microsoft.com. Gracias.

Dr. Scripto's Scripting Perplexer
El desafío mensual que prueba no sólo sus habilidades para resolver rompecabezas, también sus habilidades para el scripting.

Mayo 2008: Script-doku
Este mes, vamos a jugar al Sudoku, pero con un pequeño cambio. En vez de contar con los números 1 al 9 en la cuadrícula, tenemos las letras y símbolos que constituyen un cmdlet de Windows PowerShell™. En la solución final, al leer una de las filas de la cuadrícula obtendremos el nombre del cmdlet.
Nota: si aún no sabe cómo jugar al Sudoku, probablemente haya miles de sitios web en Internet donde podrá obtener las instrucciones, por lo que no vamos a explicarlo aquí, lo sentimos.

Dr. Scripto's Scripting Perplexer
Respuesta: Script-doku, mayo 2008

Los encargados del scripting trabajan para Microsoft, mejor dicho, están contratados por Microsoft. Cuando no juegan al béisbol, ni entrenan ni lo ven (u otras actividades varias), dirigen el TechNet Script Center. Visite la página web www.scriptingguys.com.


 Vigilancia de seguridad: Principios de seguridad cu&#225;ntica
Vigilancia de seguridad
Principios de seguridad cuántica
Jesper M. Johansson

Puede ser muy divertido incluir algo inesperado pero importante en una conversación. Hasta ahora, he usado el Principio de indeterminación de Heisenberg para explicar conceptos de seguridad. (Los que han oído mi historia del unicornio saben que me gusta incluir teorías fundamentales de otras disciplinas). Por
extraño que parezca, existen corolarios de seguridad de la información para algunos conceptos fundamentales en otras ramas de la ciencia.
El Principio de indeterminación de Heisenberg, que proviene de la física cuántica, se basa en la ecuación que aparece en la Figura 1. El principio afirma que la posición de una partícula (p) y la velocidad de la partícula (x) se relacionan de tal forma que si aumenta la precisión de la medición de la posición, disminuye la precisión de la medición de la velocidad. El límite de la precisión de dos factores es un múltiplo fijo de la constante de Planck. En un lenguaje más asequible, el principio afirma que no puede observar con total precisión ciertos factores de una única partícula al mismo tiempo.
Figura 1 Principio de indeterminación de Heisenberg
Figura 1 Principio de indeterminación de Heisenberg
Se relaciona directamente con la predicción de bandas de indeterminación, que le permiten predecir el nivel de incertidumbre respecto del estado de un par de factores de una partícula. Aunque (aún) no puede predecir bandas, el hecho de que no pueda predecir con certeza cómo afectarán dos variables de una red de equipos a la seguridad de la red es bastante importante.
También tiene que estudiar las ventajas y desventajas. Aunque no va a estar limitado por la constante de Planck en el ámbito de la seguridad de la información, estará limitado de todos modos. Las ventajas y desventajas más importantes que debe sopesar se establecen entre la seguridad, las posibilidades de uso o la utilidad. Si no presta atención a la disponibilidad por un momento, y, francamente, no creo que el personal de seguridad deba tener responsabilidad sobre la disponibilidad excepto en casos de ataques de denegación de servicio, la manera más confiable de proteger algo es apagarlo. De esta manera, no se podrá seguir pirateando. Aunque, la utilidad cae en picado.
Asimismo, aunque cuesta mucho más, puede evitar de manera más eficaz la pérdida de datos confidenciales mediante la implementación de un costoso producto de prevención de pérdidas de datos en lugar de enviar un mensaje de correo electrónico a sus empleados una vez al año recordándoles que las aplicaciones de mensajería instantánea no son de uso empresarial. Pero ¿su organización está dispuesta a pagar la herramienta de prevención de pérdidas de datos? Ahora se dará cuenta de que la física cuántica es más importante para la seguridad de lo que pensaba.

El gato de Schrödinger
Un concepto relacionado, aunque diferente, de la física cuántica se explica en la parábola del gato de Schrödinger. Cuenta la historia que Erwin Schrödinger, un científico destacado del siglo XX, tenía desde hacía tiempo una discusión con Albert Einstein (otro científico importante del siglo XX del que ya habrá oído hablar) acerca del concepto de la superposición. Schrödinger encontró áreas de la mecánica cuántica que disponían de elementos existentes en una superposición de dos estados bastante absurdos.
Para esto, Schrödinger planteó un experimento mental en el que se encerraba un gato en una caja sellada herméticamente. El otro elemento de la caja era un contenedor de veneno, cuya emisión se controla por medio de una partícula radioactiva subatómica (imaginaria). Si la partícula radioactiva se descompone, se liberaría el veneno y el gato moriría.
La partícula subatómica, sujeta a las leyes de la mecánica cuántica, existe en una superposición de estados. El gato atómico, cuyo estado depende por completo del estado de la partícula subatómica, también existe en una superposición de estados. Sólo podremos hablar de un estado de vida o muerte si observamos el estado del gato.
Schrödinger, por supuesto, trataba de ilustrar lo absurdas que pueden ser algunas leyes de la mecánica cuántica cuando se aplican a sistemas atómicos. No obstante, a este ejemplo también se le atribuye la aparición de lo que en términos profanos se denomina "efecto observador". El efecto observador, aunque no se aplica a los sistemas subatómicos de interés de la mecánica cuántica, resulta interesante para nosotros como profesionales de la seguridad. Afirma que sencillamente observando algo usted puede cambiarlo.
El efecto observador
Para explicarlo con más detalle, considere el ejemplo de una taza de té. Para averiguar la temperatura del té, introduce un termómetro en la taza. Digamos que el té tiene una temperatura de 80 grados centígrados cuando introduce el termómetro, y el termómetro tiene una temperatura de 22 grados centígrados (temperatura ambiente). Conforme introduce el termómetro en el té, comienza a absorber calor del té y el té pierde parte de su calor al calentar el termómetro. Al final, el termómetro y el té tendrán la misma temperatura. Sin embargo, la temperatura no será ni 80 grados ni 22, será una intermedia. De este modo, midiendo la temperatura del té, la cambia.
El efecto observador también es relevante para la seguridad de la información. Cada vez que hace algo para mitigar un problema de seguridad, modifica de manera potencial su postura en materia de seguridad ya que modifica el sistema. Lo denominaré efecto de la fluidez de la postura en materia de seguridad (SPFE) a falta de un término mejor.
Uno de los ejemplos más sencillos es el caso de las dependencias de cuentas de servicios. En el capítulo 8 del libro Protect Your Windows Network (protectyourwindowsnetwork.com), se trata la instalación de un sistema de detección de intrusiones (IDS) en su sistema para detectar ataques. Sin embargo, IDS registra un sistema central y requiere privilegios de acceso elevados para los sistemas supervisados. La mayor parte del tiempo el servicio se ejecuta en una cuenta de servicio con privilegios elevados.
Si se compromete uno de esos sistemas, el atacante podrá obtener acceso a las credenciales de la cuenta de servicio y al resto de los sistemas, además de deshabilitar IDS. Este es un ejemplo perfecto de SPFE. Al instalar un recurso que ofrece seguridad a su entorno, crea un nuevo problema de seguridad potencial.
Otros ejemplos de la abundancia de SPFE. La descripción de Steve Riley del motivo por el que 802.1x encontraba algunos problemas en las redes con cable (microsoft.com/technet/community/columns/secmgmt/sm0805.mspx) es otro ejemplo fantástico. Obviamente, el uso de firewalls basados en host sería lo ideal en muchos entornos. Sin embargo, si se usa junto con 802.1x, la combinación posibilita un ataque particular que antes no era posible. De nuevo, una tecnología de seguridad modifica la postura de seguridad del entorno y permite ataques que, de lo contrario, no serían posibles.
Esto no significa que estas medidas son inútiles y deban evitarse. Lo que quiero decir es que es necesario que considere las implicaciones de sus actos en términos de seguridad en general. Cuando administra riesgos, debe considerar el riesgo que suponen sus acciones y prevenciones. Al mitigar un problema, no puede detenerse después de implementar medidas. En realidad, la seguridad es un proceso. Es necesario que use una estrategia de protección, pero debe considerar el modo en que las defensas cambiarán su postura de seguridad y como se enfrentará a las nuevas amenazas que surjan a raíz de la estrategia.

Estrategia de protección en proceso de maduración
He trabajado en orientación de protección durante más de 10 años. Al mirar las primeras guías en las que trabajé, me doy cuenta de que no son más que listas de ajustes que mis compañeros y yo pensamos que habría que activar. En esos tiempos, la estrategia general con respecto a la seguridad era un poco ingenua. Básicamente, si algo se diseñaba para ofrecer seguridad, la lógica era que debía estar activado. El hecho de que hubiera razones legítimas para que estuviera desactivado en primer lugar no se tenía muy en cuenta.
Al final, aprendí que para proteger de forma eficaz, hay que prestar mucha atención a la protección y considerar las amenazas a las que están sujetos los sistemas. Esta revelación dio lugar a la lista de escenarios que puede ver en la Guía de configuración de seguridad de Windows 2000 (go.microsoft.com/fwlink/?LinkID=22380). La progresión natural a partir de aquí era dividir la orientación en diferentes niveles de amenazas, como puede ver en la Guía de seguridad de Windows Server 2003 (go.microsoft.com/fwlink/?linkid=14846).
Todo ese tiempo, estuve fastidiado por el hecho de que aún era posible irrumpir en un sistema incluso con toda la orientación activada y en su lugar. Esto se debe a que o bien faltaban algunas revisiones, o se obtuvo acceso mediante una práctica operativa o se instaló software de terceros inseguro.
Resultó que la protección de esas dos guías no ayudó mucho a la postura de seguridad agregada. Todo era cuestión de un par de cuestiones clave. De hecho, el sistema más seguro que nunca he creado (msdn2.microsoft.com/library/aa302370) empleaba sólo cuatro o cinco de los ajustes de las guías de seguridad, y ninguna de ellas detuvo ninguno de los ataques a los que estaba sujeto. Por desgracia, la gente sólo quiere un enorme botón azul que ponga "Asegúreme ahora" que refuerce los sistemas de manera automática. Sin embargo, la seguridad es algo mucho más complejo.

Cómo enfocar los riesgos
Para protegerse (en contraposición al estado finito de asegurar), debe adoptar un enfoque global de los riesgos. Debe entender los riesgos a los que se enfrenta, decidir cuáles desea mitigar y, a continuación, debe entender cómo mitigarlos y esto rara vez se hace produciendo modificadores.
Normalmente, estos modificadores de seguridad se diseñan para escenarios específicos y no crean necesariamente la mejor configuración para su escenario. En su lugar, crean un buen punto de partida de línea de base y están disponibles principalmente porque muchos catálogos de soluciones demandan éstas rápidas modificaciones de la protección. Algunas se incluyen en el software moderno de manera predeterminada; y las que no se incluyen pueden tener importantes efectos secundarios.
Además, producir montones de modificadores puede producir un sistema inadmisible e inestable que no realice las tareas que necesita realizar, y todo para mitigar amenazas que aún no ha enumerado. SPFE y la física cuántica nos piden que volvamos a analizar después de asegurar cualquier cosa, pero muchas organizaciones no lo hacen. De hecho, no analizan las amenazas para empezar. Si empieza analizando las amenazas, se dará cuenta de que lo que realmente marca la diferencia no son restricciones anónimas en listas de nombres de cuentas y cambios sistemáticos a las listas de control de acceso.
Por el contrario, lo que realmente marca la diferencia es determinar si su sistema debería estar proporcionando un servicio en particular y a quién, y, a continuación, aplicar la directiva. Lo que marca la diferencia es garantizar que sólo los sistemas y usuarios que realmente necesiten comunicarse con usted, podrán hacerlo. Lo que marca la diferencia es garantizar que todas las aplicaciones y usuarios se ejecutan con el menor número de privilegios posible. En resumen, lo que marca la diferencia es adoptar un enfoque sensato y realizar análisis difíciles para habilitar cada sistema para que se responsabilice de su propia seguridad.
Por este motivo el enfoque actual para la seguridad emplea herramientas como el aislamiento del dominio y servidor (microsoft.com/sdisolation), los productos del Asistente para configuración de seguridad (SCW) de Windows Server® y las herramientas del Administrador de servidores para administrar funciones en Windows Server 2008. Estas herramientas le ayudan a comprender los escenarios que debe admitir y a bloquear sus sistemas de forma adecuada. Por supuesto, estas herramientas no ofrecen la panacea que todos desean, pero producen una configuración sostenible que realiza las tareas por las que adquirió el software.

Aplique la seguridad donde sea necesario
Todo esto significa que no puede depender de otras entidades o modificaciones sencillas de seguridad. Todos los activos deben ser capaces de defenderse por si mismos debido a que conceptos como "perímetro" y "red interna" no tienen valor hoy en día.
La inmensa mayoría de las redes de organizaciones son parcialmente hostiles en el mejor de los casos. Debe entender esto y realizar las acciones adecuadas sin depender únicamente de la orientación de protección. Para empezar, debe comprender sus necesidades. Debe buscar orientación de otros que también entiendan sus necesidades.
Un invitado a un webcast recomendó recientemente que los usuarios de pequeñas empresas fueran al sitio del Departamento de Seguridad Nacional y descargaran un guía de protección para Internet Explorer®. ¿Por qué esperaría que una administración pública encargada de la protección de la seguridad nacional y militar ofrezca la orientación adecuada acerca de cómo asegurar un explorador web en una pequeña empresa? Este es un ejemplo perfecto de la escasa lógica frecuente en el campo de la seguridad de los equipos. Se supone que desde que la orientación fue publicada por una administración pública de tres letras, los resultados deben ser muy seguros.
Normalmente la elección se presenta como una decisión binaria: puede disponer de "seguridad alta" o "seguridad baja". Una manera mejor de presentar esta elección es entre "seguridad alta" o "seguridad adecuada". La seguridad no es de talla única.
De hecho, la seguridad alta no está disponible para todo el mundo y, normalmente, tampoco lo está para la mayoría. No es un objetivo final por el que deba esforzarse. Se trata de una configuración especial para sistemas en los que las personas morirían si el sistema se viera comprometido. Si se ajusta a su perfil de riesgo y modelo de amenazas, entonces úsela.
Si este no es su perfil de riesgos o su modelo de amenazas, entonces debe usar algo más apropiado. Lo más probable es que cualquiera de las modificaciones que pueda configurar se ajuste correctamente al nivel del perfil de riesgo moderado de forma predeterminada. Este estado predeterminado, que hoy en día se usa en la mayoría de los productos de Microsoft, ofrece un equilibrio razonable entre seguridad y uso, utilidad y rendimiento. Si piensa que todo es demasiado estricto, sepa que se hace por usted.
Ahora debe plantearse otras acciones relacionadas con la seguridad. Un buen punto de partida sería el Centro de seguridad de TechNet (microsoft.com/technet/security) y, por supuesto, libros como Windows Server 2008 Security Resource Kit.

Administración de riesgos
Probablemente ya se habrá dado cuenta de adónde quiero llegar: administración de riesgos. El mensaje clave del Principio de indeterminación de Heisenberg es que dispone de ventajas y desventajas. Esta parte del principio es obvia.
El mensaje de la historia del gato de Schrödinger, sin embargo, es algo que la mayoría de la gente no tiene en cuenta. Para usted no sólo es importante analizar todos los aspectos de un problema y tomar una decisión en función de las ventajas y las desventajas, también debe tener en cuenta los cambios introducidos por sus soluciones. Una estrategia de administración de riesgos sólida tiene en cuenta el modo en que esos cambios afectarán al sistema y si dichos cambios se implementaron como parte de una estrategia de mitigación de riesgos o por cualquier otra razón.

Expectativa de pérdida anual (ALE)
La manera habitual de cuantificar los riesgos, y el método que se aprende en muchos cursos de seguridad, es la ecuación ALE, que se muestra en la Figura 2. La ecuación ALE estándar es bastante sencilla. Determina la probabilidad de un incidente y los costos de todas las incidencias y, a continuación, multiplica los dos valores. El resultado le muestra la cantidad que espera pagar por incidentes de seguridad al año. Si el costo del riesgo es lo suficientemente elevado, implementará la estrategia de mitigación.
Figura 2 La ecuación ALE es la probabilidad de una pérdida, multiplicada por los costos de la pérdida por incidente
Figura 2 La ecuación ALE es la probabilidad de una pérdida, multiplicada por los costos de la pérdida por incidente
El problema es que la ecuación ALE estándar no hace justicia a los costos de las estrategias de mitigación. Ya que la mitigación no sólo tiene su propio costo sino que muchas estrategias de mitigación tienen efectos secundarios con gastos asociados.
Considere uno de los ajustes de seguridad más estándar: el bloqueo de cuentas. Muchas organizaciones implementan el bloqueo de cuentas, aparentemente para evitar que los atacantes descubran las contraseñas. Puede calcular de manera matemática la probabilidad de que un atacante adivine cualquier contraseña única. Si es una persona creativa, también puede calcular el costo medio de la infracción resultante de que un atacante adivine una contraseña. Basándose en esos dos números, muchas organizaciones han decidido que la ecuación ALE no es aceptable y por lo tanto implementan el bloqueo de cuentas.
Sin embargo, esta estrategia de mitigación particular tiene un costo que puede pasarle inadvertido. Se trata del costo de implementar la estrategia de mitigación, aunque es mínimo. Para ser precisos, el cálculo debe incluir los costos de los efectos secundarios resultantes de la mitigación.
En primer lugar, encontramos costos asociados con el soporte técnico para desbloquear cuentas para usuarios. Si la cuenta se bloquea sólo durante un corto período de tiempo, digamos 15 minutos, también hay que incluir los costos de pérdidas de productividad de dicho período. Este factor se cuenta como el costo de cada incidente, multiplicado por la posibilidad de que el incidente suceda en un período de tiempo dado. En este caso, multiplicaría los costos por el número de eventos de bloqueo esperados, un número que deben proporcionar sus registros.
También debe tener en cuenta el factor de empeoramiento del usuario. La evidencia anecdótica indica que los usuarios usarán contraseñas menos complicadas si están sujetos al bloqueo de cuentas ya que tienen menos posibilidades de cometer errores al escribirlas. Por lo tanto, la probabilidad del incidente que nos gustaría evitar no es de cero después de implementar la estrategia de mitigación.
Por último, puede haber vulnerabilidades introducidas por la mitigación que no estaban presentes en el sistema antes de la introducción de la mitigación. En el caso del bloqueo de cuentas, un atacante puede usar esta característica para deshabilitar todas las cuentas de la red de manera sencilla adivinando sus contraseñas repetidamente de manera incorrecta. Existe una posibilidad de que esto ocurra, junto con el costo asociado de cada incidente.
Teniendo en cuenta todos estos factores, está claro que debe modificar su ecuación de expectativas de pérdidas. En primer lugar, debe modificar la probabilidad del incidente. Ahora es menos probable que suceda el incidente que antes, aunque la probabilidad, como se vio con anterioridad, puede tener un valor distinto de cero. También puede que cambie el costo de los incidentes. Para este producto debe agregar el costo de la estrategia de mitigación. Éste se compone del costo de la implementación y de la suma de los costos anuales de todos los efectos secundarios. Cada uno de estos costos anuales es el producto de los efectos secundarios que tengan lugar y el costo de cada incidente de dicho efecto secundario. Simplificando un poco la presentación de la ecuación, ahora dispone de una ecuación de análisis de riesgos más precisa, como se muestra en la Figura 3.
La ecuación mejorada de la Figura 3 ofrece una manera más precisa de analizar el riesgo de un problema en particular. Muchas organizaciones han analizado sus riesgos de esta manera. Sin embargo, otras muchas aún disponen de una vista de riesgos simplificada que no señala de manera adecuada la necesidad de analizar el impacto de las estrategias de mitigación. Mediante el uso de la ecuación ALE modificada, se da una importancia primordial a esa necesidad.
Figura 3 Costos adicionales de la estrategia de mitigación
Figura 3 Costos adicionales de la estrategia de mitigación

Lo que significa
Si sólo realiza una acción después de leer este artículo, será cuestionar los conocimientos convencionales acerca de las estrategias de seguridad. La mayoría de lo que hacemos en el campo de la seguridad de la información se basa en una visión estereotípica del mundo. Y muchas de estas suposiciones son anticuadas.
Los ataques han cambiado. Los atacantes ahora son profesionales que se dedican a eso por dinero, supremacía nacional o ideología. No puede permitirse malgastar tiempo y dinero en ajustes de seguridad que no mejoren la seguridad. Esto también significa que debe adoptar un enfoque mucho más sofisticado con respecto a la administración de riesgos.
En primer lugar, es importante que se dé cuenta de que cada acción tiene consecuencias. No puede saberlo todo con certeza.
En segundo lugar, debe comprender que trabaja en un sistema interdependiente. Mediante la introducción de cambios de seguridad, modifica todo el sistema, lo que implica que debe volver a analizarlo.
Preferiblemente, debe realizarlo antes de implementar dichos cambios, ya que a menudo estos cambios tienen un impacto increíble en el sistema y hacen más mal que bien. Mediante el uso de herramientas de análisis mejoradas que le recuerden analizar dichos cambios, es menos probable que se olvide de ellos.
Por último, no olvide nunca el factor humano. Todo lo que hace en seguridad de la información es habilitar el negocio y hacer posible que los usuarios de la organización trabajen de la forma más segura posible.
En una presentación reciente, señalé que hoy en día no hay un único usuario que compre un equipo y ejecute un programa antivirus. La seguridad es su objetivo principal, pero no el objetivo principal de la compañía. Es el caso en la actualidad de las organizaciones que simplemente toleran la seguridad porque favorece sus intereses. No olvide nunca que el cometido del grupo de seguridad de la información es servir al negocio y no al contrario. Si ignora este hecho, los usuarios harán cualquier cosa para realizar su trabajo, incluso si implica sortear controles de seguridad que no entienden o con los que no están de acuerdo.

Jesper M. Johanssones un arquitecto de software que trabaja en el campo del software de seguridad y es editor colaborador de TechNet Magazine. Tiene un doctorado en sistemas de información de administración, más de 20 años de experiencia en el ámbito de la seguridad y es un MVP (Profesional más valioso) de Microsoft en seguridad empresarial. Su último libro es Windows Server 2008 Security Resource Kit.


 Archivos del escritorio: Dejando detr&#225;s al administrador
Archivos del escritorio
Dejando detrás al administrador
Wes Miller

Hace más de tres años, empecé a cambiar la cuenta de usuario de mi sistema principal de Windows de cuenta de administrador local a cuenta de usuario local. Había trabajado en Microsoft durante más de siete años y siempre me había ejecutado como un administrador con todos los privilegios. Claro que era muy conveniente, aunque la espantosa falta de seguridad
pone de manifiesto la suerte increíble que tantos de nosotros hemos tenido de no haber sido testigos más a menudo de daños más corrosivos infligidos a un número mayor de sistemas habiéndonos ejecutado como administradores a diario.
A menudo me gustaría que hubiera una manera de obtener una buena estadística de esto, pero tanto mi intuición como la industria me dicen que demasiadas organizaciones (y muchos profesionales de TI también) se ejecutan en la actualidad como administradores locales. En Winternals, cuando empecé a ejecutarme como usuario, fue con la premisa de comprender la dificultad que entrañaba (en calidad de "prosumer") y de ver cómo nuestro producto, Winternals Protection Manager, podría ser útil para las organizaciones tipo. Dado que la mayoría de las organizaciones presentaban (aún lo hacen) un buen porcentaje de usuarios ejecutándose como administradores, nuestro objetivo era habilitar a los administradores para que se ejecutaran como usuarios al tiempo que reducíamos el período de transición (al menos sus puntos más espinosos) a su mínima expresión. Al margen de la tecnología que use, no es fácil transformar el carácter de su organización de "administrador" a "usuario". Sin embargo, es la manera más eficaz de reducir la superficie de ataque dentro de su organización. Plantéeselo como un firewall intrasistema, porque de esto se trata exactamente.

¿Cómo lo conseguimos?
Le propongo un desafío: sienta el dolor
Si aún no ha pensado en transformar a sus administradores en usuarios, debería hacerlo. Y le animo a que empiece el experimento por usted mismo. Pero no lo haga en un equipo secundario; eso se llama hacer trampas. Haga la prueba en su sistema principal, el mismo que usa a diario. También le propondría que haga la prueba incluso sin usar el Control de cuentas de usuario (UAC, User Account Control) si ejecuta Windows Vista®. Cuando uno empieza a predicar las bondades de una iniciativa en su organización para cambiar algo, es recomendable mostrarse como un buen practicante antes de evangelizar. Creo que llegará a la conclusión de que ejecutarse como no administrador no es tan difícil y que con el plus de seguridad que conlleva, podrá cambiar realmente la superficie de ataque de su organización.

Que la mayoría de los usuarios actúen como administradores es una costumbre muy arraigada en la tradición de Windows®. Con las primeras versiones de Windows, antes de Windows NT® 3.1, todos los usuarios interactivos se autorizaban del mismo modo, por lo que, funcionalmente, no había seguridad. Al principio, esto no era terrible, pues significaba que todo el software se instalaba de la misma manera. Se asumía que el usuario era propietario del equipo y que el software se instalaba para todos los usuarios de ese equipo.
Cuando Windows NT apareció por primera vez, no se hizo de inmediato con el mercado de la empresa (no digamos del consumidor). A causa de la compatibilidad que Win32® proporciona entre Windows de 32 bits y Windows NT, la mayoría de los proveedores de aplicaciones no recrearon sus aplicaciones por la infraestructura de seguridad de Windows NT. De hecho, no fue hasta la aparición de Windows 2000 que muchos proveedores de software independiente (ISV, Independent Software Vendor) orientados al consumidor empezaron a prestar atención a Windows NT. Fue Windows XP, por supuesto, el que forzó la situación, ya que puso punto final a la familia 9x de Windows.
Pero las aplicaciones siguieron, asumiendo que cada usuario en el sistema tenía acceso para escribir en Archivos de programa (los usuarios no) de usuarios, HKEY_LOCAL_MACHINE (HKLM) en el Registro (los usuarios no) y HKEY_CLASSES_ROOT (los usuarios no). Los juegos se encuentran a menudo entre los peores ofensores a la hora de asumir el acceso. Consulte el artículo de Matt Clapham sobre este tema en technetmagazine.com/issues/2007/02/Gaming.
Esto es problemático porque la mayoría de las aplicaciones entre sistemas almacenan la configuración de sus archivos y del Registro en esas ubicaciones. Por esta razón, usted necesita poder leer y escribir en esas ubicaciones para instalar las aplicaciones. Desgraciadamente, algunas aplicaciones insisten en escribir en esas claves después de la instalación. Por ejemplo, mi hija tiene un juego que se basa en Flash. La aplicación intenta instalar un jugador personalizado cada vez que se ejecuta, lo que significa que cuando mi hija ejecuta como usuario (no como administrador) la aplicación no se inicia y genera un error fatal. Aunque esto es extremo y se trata de una aplicación de consumidor, la realidad es que muchas aplicaciones que no son de este tipo no encajan bien en el mundo de los usuarios no administrativos. De hecho, si presta atención a mi desafío (consulte la barra lateral, "Le propongo un desafío: sienta el dolor"), descubrirá la intolerancia del propio Windows para ejecutar como usuario.
Si observa la Figura 1, verá el aspecto que tiene en Windows XP la ejecución de IPConfig/release como usuario. Si lo compara con la Figura 2, verá que el mismo comando no es mucho mejor en Windows Vista, pero al menos sabe por qué el comando genera un error. Tenga en cuenta que las herramientas de redes en general se han mejorado para permitir que los usuarios actualicen sus direcciones IP. De forma similar, intentar ejecutar Computer Management (compmgmt.msc) como usuario en cualquiera de las versiones le permite realizar un número limitado de tareas, pero generalmente tiene como resultado situaciones frustrantes e irresolubles, como muestra la Figura 3. Aunque Windows Vista no habilita inicialmente muchas de las herramientas de Computer Management, presenta mensajes más claros de acceso denegado.
Figura 1 Ejecución como usuario en Windows XP
Figura 1 Ejecución como usuario en Windows XP
Figura 2 Ejecución como usuario en Windows Vista
Figura 2 Ejecución como usuario en Windows Vista
Figura 3 Mensaje engañoso después de ejecutar compmgmt.msc como usuario en Windows XP
Figura 3 Mensaje engañoso después de ejecutar compmgmt.msc como usuario en Windows XP

Por qué es importante
¿Por qué debe importarle? Porque nosotros, como profesionales de TI, deberíamos empezar a facilitar la adaptación de las aplicaciones a los usuarios con menos privilegios, en vez de hacer lo contrario en los casos en que las aplicaciones asumen que el usuario interactivo es propietario del sistema.
Desgraciadamente, las mismas directivas que permiten a los administradores escribir en claves del Registro conceden también acceso completo a cualquier malware que se ejecute en su contexto de usuario para todo destino que no se haya denegado explícitamente a través de las listas de control de acceso (ACL, Access Control List). En el ámbito de UNIX, las personas siguen la regla relacionada con la no ejecución como raíz (el equivalente funcional de la cuenta de administrador de Windows), en su mayor parte porque el ecosistema de software que rompe los límites del modelo de seguridad es insignificante o inexistente.
Aún así, lo mejor que puede hacer es aplicar la misma sabiduría y ejecutar como administrador sólo cuando sea explícitamente necesario; o mejor todavía, ejecute como administrador sólo las aplicaciones individuales. Al hacer esto, se levanta el firewall intrasistema que mencioné anteriormente. De este modo, cuando el malware o el spyware intentan hacer de las suyas, fracasan porque no pueden escribir en las ubicaciones del Registro o del sistema de archivos necesarias para infectar el sistema (como instalar un servicio o un controlador, o hacer una instalación para todos los usuarios). Además, esta acción permite que el software antimalware contenga malware que reconoce, sin poner en peligro el sistema entero primero.
Tenga en cuenta, sin embargo, que los usuarios no son impermeables a los ataques. Aunque esta clase de malware no está muy extendida aún, existe la posibilidad de que el malware tenga éxito a la hora de infectar el contexto de un usuario individual o destruir sus datos. Pero el vector de ataque que dicho software plantea es limitado. Como resultado, el mismo factor que reduce las instancias de malware al mínimo en Linux o Macintosh (el número reducido de víctimas potenciales lo convierte en un caldo de cultivo menos atractivo para los autores de malware) puede ayudar a asegurar la seguridad general de sus usuarios finales (y la suya propia) en la actualidad.

¿Qué podemos decir de los usuarios avanzados?
Cuando estábamos desarrollando Protection Manager, uno de los comentarios que nos llegaba de los clientes era el siguiente: "Ejecutamos Windows XP con todos nuestros usuarios actuando como usuarios avanzados, no administradores, así que estamos seguros". La realidad, sin embargo, es que los usuarios avanzados no están a mucha distancia de los administradores. Hay varias carencias posibles que, con un poco de trabajo, permitirían a un usuario avanzado de Windows XP convertirse en administrador. De hecho, el grupo de usuarios avanzados se eliminó de Windows Vista y Windows Server® 2008. Sólo los sistemas actualizados a partir de versiones anteriores de Windows tendrán un grupo de usuarios avanzados. Con todo, siempre debería evitar el uso del grupo de usuarios avanzados, incluso en Windows XP.

Permisos con pérdidas
Si leyó mi columna de marzo sobre clientes ligeros de Windows (technetmagazine.com/issues/2008/03/DesktopFiles), recordará que me mostré contrario a la reducción de Windows XP para ahorrar espacio. En la misma línea, existe una práctica común para habilitar a los administradores que se encuentran en el período de transición a usuarios que deberá tener en cuenta, pero hágalo con cuidado. Me refiero a la práctica del ajuste de las ACL en el Registro y en el sistema de archivos para que los usuarios puedan escribir en ubicaciones donde habitualmente no les está permitido hacerlo, habilitando así aplicaciones problemáticas.
Obviamente, la mejor elección consiste en obtener una versión actualizada de una aplicación que no requiera dicho cambio, aunque eso no siempre es posible. Si debe cambiar los permisos (es decir, anularlos), proceda con mucho cuidado. Recuerde que el firewall entre un usuario y un administrador está definido en gran medida por los permisos de Registro y de sistema de archivos. Abrirlos reduce la protección y aumenta potencialmente la superficie de ataque planteada por el malware, de modo que actúe con sensatez.

¿Qué podemos decir de UAC?
El debate sobre la transición de administrador a usuario no puede estar completo sin abordar el Control de cuentas de usuario (UAC, User Account Control) en Windows Vista. UAC, al igual que la funcionalidad similar de Mac OS X, le permite ejecutar "como un administrador" sin necesidad de asumir tantos riesgos.
¿Cómo funciona? En la Figura 4, observe lo que Process Explorer muestra acerca de cmd.exe. La instancia de cmd.exe de la derecha se inició sin elevación y conmigo haciendo las veces de administrador. Como consecuencia, aunque el usuario de la derecha sea idéntico al de la izquierda (donde cmd.exe se inició con elevación), la propia aplicación no contiene los privilegios y símbolos (token) necesarios para realizar ninguna tarea que requiera derechos administrativos (lo mismo ocurre con el usuario que ejecuta esa instancia). El funcionamiento de UAC consiste en reducir la superficie de ataque dentro del contexto interactivo de un usuario. El único problema es que algo tiene que decirle a Windows que esta tarea requiere privilegios administrativos y que el usuario está conforme con permitir que la elevación requerida complete la tarea.
Figura 4 Dos instancias de cmd.exe con privilegios diferentes
Figura 4 Dos instancias de cmd.exe con privilegios diferentes
En Windows Vista, las pequeñas protecciones le indican las tareas que requieren elevación (consulte la Figura 5). Estas tareas requerirán elevación siempre que las ejecute, siendo éste uno de los puntos débiles que la prensa ha destacado de Windows Vista. La alternativa, que permite que las credenciales sean más "duraderas", plantea una amenaza potencial para la seguridad que podría usarse para atacar el sistema con más facilidad.
Figura 5 Las protecciones de Windows Vista indican la necesidad de elevación
Figura 5 Las protecciones de Windows Vista indican la necesidad de elevación
Si UAC está habilitado y sus usuarios ejecutan simplemente como usuarios, se les pedirá un conjunto de credenciales administrativas cuando una aplicación requiera privilegios administrativos. Advierta en este caso que, como cuando usa runas o psexec, la aplicación se ejecuta literalmente en el contexto del usuario que la ha iniciado, a diferencia de lo que ocurre con los administradores en UAC. En ese caso, las tareas se ejecutan en su contexto, pero con privilegios elevados.

¿Ejecuta Windows Vista como usuario?
Mi preferencia personal al ejecutar Windows Vista es hacerlo como usuario, no como administrador con UAC, porque creo que sigue siendo la mejor idea en el caso de la empresa tipo. A fin de cuentas, sus usuarios tienen control absoluto sobre sus sistemas y puede que usted haya reducido las oportunidades para el malware.
Es más, si pretende administrar a sus usuarios con directivas de grupo, antivirus, antimalware u otro software y desea tener un control central sobre si estas tareas se aplican o completan, es vital que se asegure de que sus usuarios finales no son administradores. Si los usuarios son administradores, podrán detener los servicios, agregar o quitar controladores, etc. Por supuesto, un usuario final astuto que ejecute como usuario podrá usar Windows PE para eludir algunos obstáculos de seguridad. BitLocker® puede dificultar esta acción, pero una vez más, recuerde que los usuarios finales con acceso físico pueden hacer lo que quieran a sus equipos siempre que cuenten con el tiempo, el conocimiento y la dedicación necesarios.
Ejecutar Windows Vista como usuario no es muy distinto de ejecutar Windows XP como usuario. Uso las mismas herramientas (PSExec, RunAs y ahora UAC) para ejecutar tareas como administrador. Lo mejor es que bastantes tareas que requerían privilegios administrativos en Windows XP ya no los necesitan. Por ejemplo, un usuario de Windows Vista puede instalar una impresora local. Los usuarios podían instalar impresoras de red en Windows XP, pero la instalación de una impresora local requería privilegios administrativos. En Windows Vista, siempre que el usuario se encuentre físicamente en el equipo y el controlador de impresora esté en el almacén de controladores, el usuario podrá instalar una impresora y administrar sus trabajos de impresión (consulte go.microsoft.com/fwlink/?LinkId=111534 para obtener más información). Tenga en cuenta que esta funcionalidad está deshabilitada en Windows Server 2008.
Por supuesto, la gente se ríe de la funcionalidad de reloj (o de la falta de la misma) al ejecutar como usuario en Windows XP. Pruebe a hacer doble clic en el reloj como usuario (algo que la gente hace a menudo para consultar la fecha, aunque no se diseñara para tal fin) y obtendrá el error que se muestra en la Figura 6. Con amigos así... En Windows XP, puede modificar la directiva para que los usuarios puedan realizar esta acción, pero en Windows Vista se cambió para que funcionara de ese modo. Con todo, la ejecución como usuario (tanto si usa UAC como si la ejecución se realiza como un usuario formal elevando privilegios como otro usuario) es en general una experiencia más grata en Windows Vista que en Windows XP.
Figura 6 En Windows XP, los usuarios que no son administradores no pueden cambiar la hora.
Figura 6 En Windows XP, los usuarios que no son administradores no pueden cambiar la hora.

Recuerde los límites
Recuerde que cambiar el estado de los usuarios para que no sean administradores no es la panacea. Los usuarios finales dedicados todavía están ubicados físicamente en sus propios equipos y pueden trabajar diligentemente para aprovecharse de una vulnerabilidad de sus propios sistemas, especialmente si la directiva y los privilegios de usuario les resultan molestos o les impiden realizar su trabajo.
Si sus usuarios ejecutan como administradores, no es muy complicado eludir cualquier directiva de grupo en vigor. Por supuesto, con un poco más de esfuerzo, los usuarios pueden arrancar Windows PE y modificar los permisos para los que normalmente no tendrían privilegios. Sin embargo, si usa BitLocker u otro sistema de cifrado de unidad de disco o volumen, puede impedir esta acción o, al menos, dificultar la consecución de su propósito.
Si su organización no ha comenzado aún la transición para que los usuarios finales ejecuten como usuarios, lo mejor que puede hacer es familiarizarse con las razones por las que usted y su organización deberían invertir tiempo, dinero y esfuerzo para alejarse de un modelo en el que los usuarios ejecutan como administradores.
Claro, es difícil desprenderse de las aplicaciones heredadas, pero si dispone de una aplicación que simplemente no se puede ejecutar como usuario, no es aconsejable aferrarse a ella a costa de la seguridad de su organización. Debería considerar virtualizar la aplicación, es decir, moverla literalmente a un equipo virtual en el que el usuario es un administrador a todos los efectos. Esto hace posible que la aplicación se use del modo necesario, pero le permite proteger el resto del sistema transformando a los administradores en usuarios.
Tenga en cuenta que en mi columna no aparece la palabra "bloqueo" ni ninguno de sus derivados. Muchas personas consideran que la transformación de los administradores en usuarios es parte de una tarea que a menudo se describe con esta palabra. Puede que sean mis orígenes en el campo de la psicología o mi ubicación actual en el mundo del marketing, pero me parece importante no usar palabras que hagan creer a los usuarios finales que están perdiendo sus privilegios (aunque semánticamente sea correcto).
Por contra, céntrese en las ventajas que conlleva para la seguridad de la organización y asegúrese de que tiene un buen plan para los casos extremos en que un usuario específico no pueda ejecutar como usuario o haya una tarea concreta que requiera privilegios de administrador. Tanto si usa un procedimiento manual como el script Run.vbs (que puede encontrar en technetmagazine.com/issues/2007/03/DesktopFiles), como si emplea una solución comercial para hacer la transición (eso le permite ocultar los detalles de sus usuarios finales y hace que las cosas "funcionen"), es importante tomar la senda de los "no administradores" lo antes posible. El evangelista de la ejecución como no administrador es Aaron Margosis, colaborador habitual de TechNet Magazine. Si no está familiarizado con su blog, hágalo cuanto antes. Se trata del mejor sitio para encontrar información detallada sobre este tema (consulte blogs.msdn.com/aaron_margosis). 

Wes Miller es en la actualidad jefe de productos técnicos senior en CoreTrace (www.CoreTrace.com), con base en Austin, Texas. Anteriormente, trabajó en Winternals Software y como Administrador de programas en Microsoft. Si lo desea, puede ponerse en contacto con Wes en la dirección technet@getwired.com.


 Notas de campo: Varios mouse, un equipo
Notas de campo
Varios mouse, un equipo
Kentaro Toyama

Actualmente, India es un país de contrastes. Por una parte, es una superpotencia de TI con profesionales muy preparados que desarrollan tecnología para satisfacer las necesidades informáticas del mundo. Por otro lado, el 70 % de la población todavía vive con menos de 2 dólares al día. Estos extremos se encuentran en las improvisadas aulas informáticas de algunas escuelas gubernamentales pobres, donde uno encontrará, como mucho, cuatro o cinco equipos. Estos equipos suelen ser donados, ya que el presupuesto de las escuelas no alcanza para comprarlos.
En estos entornos, el número de alumnos casi siempre supera el número de equipos. Es habitual encontrar hasta 10 niños amontonados alrededor de un PC, normalmente a las órdenes del más intimidador del grupo. Por supuesto, el componente "personal" del concepto "equipo personal" significa que los equipos se diseñaron para un uso individual. En Microsoft Research India nos preguntamos qué podríamos hacer para que más niños tuvieran acceso a un equipo.
La solución fue sorprendentemente sencilla: MultiPointTM permite conectar varios mouse USB a un equipo, donde los cursores de los distintos mouse presentan un color diferente en pantalla (research.microsoft.com/users/udaip/multipoint.htm). Efectivamente, crea un entorno multipersonal, como una videoconsola, donde el software educativo diseñado para varios mouse permite a muchos niños interactuar con un solo PC de forma simultanea.
Los jóvenes alumnos lo entendieron enseguida, a pesar de que los adultos pensaban que se produciría un caos total en pantalla. En los rigurosos estudios realizados con alumnos de séptimo grado donde se compararon configuraciones de MultiPoint-PC para cinco personas con configuraciones de un alumno por equipo, los investigadores descubrieron varias cosas. En primer lugar, los niños se implican con el equipo y entre sí durante espacios de tiempo mucho más largos cuando todos tienen acceso a un mouse, probablemente por el factor de diversión añadido. En segundo lugar, es importante diseñar aplicaciones de software que promuevan la colaboración y no la competición. De lo contrario, algunos niños, especialmente los chicos, volverían a una competición de rapidez con poco valor educativo. Por último, al incluir la colaboración, los alumnos aprendieron tanto en una aplicación MultiPoint como con un PC para cada uno, al menos en tareas sencillas de retención de vocabulario. Encontrará más información sobre la investigación en el vínculo de MultiPoint anterior.
Si se compran al por mayor, cada mouse cuesta sólo unos pocos dólares, de modo que al ofrecer aplicaciones educativas MultiPoint a las escuelas, se puede reducir significativamente el costo por niño. Por ejemplo, un PC de 500 dólares compartido por cinco alumnos con mouse de 5 dólares costaría 105 dólares por niño, y las personas encargadas de los presupuestos acogen favorablemente cualquier propuesta que reduzca el costo por alumno.
Los grupos Unlimited Potential (microsoft.com/unlimitedpotential) y Education (microsoft.com/education) de Microsoft reconocieron el valor de MultiPoint para escuelas con pocos recursos. Para facilitar una adopción rápida y generalizada, lanzaron al mercado un kit de desarrollo de software (SDK) que permite a los desarrolladores de contenido educativo aplicar fácilmente este modelo de varios mouse en sus aplicaciones de C#. El SDK se puede descargar y usar gratuitamente. Además, todos los equipos basados en Windows® pueden ejecutar las aplicaciones MultiPoint (microsoft.com/downloads).
En su condición de programa de Unlimited Potential, el objetivo del SDK de MultiPoint es hacer llegar el valor del equipo al máximo posible de alumnos y, para hacerlo, necesitamos su ayuda. Si prueba una aplicación educativa con MultiPoint, háganoslo saber. Pondremos vínculos a los mejores envíos en los sitios web de MultiPoint.
Microsoft Research India y el equipo de producto de Terminal Services están pensando en otra manera de compartir un PC: una pantalla dividida, donde dos personas, dos teclados y dos mouse comparten un PC y un monitor. El monitor se divide por el centro, de modo que se puede ejecutar una sesión diferente del sistema operativo en cada lado. 

Kentaro Toyama es el Director General adjunto de Microsoft Research India (research.microsoft.com/india) e investigador principal del grupo de tecnologías para mercados emergentes (research.microsoft.com/research/tem), que desarrolla tecnologías para comunidades pobres de todo el mundo.


 Confidencial de Windows: Los iconos de 16&#160;bits est&#225;n muy pasados de moda
Confidencial de Windows
Los iconos de 16 bits están muy pasados de moda
Raymond Chen

Como comenté en la columna Confidencial de Windows de febrero de 2008, las características desaparecen de Windows®. Normalmente desaparecen de forma lenta y prácticamente imperceptible y, cada vez que esto ocurre, un equipo de producto celebra discretamente la ocasión. Otra característica que desapareció de Windows Vista® es la capacidad del código de 32 bits de tener acceso a iconos almacenados en módulos de 16 bits, en su mayoría archivos EXE y DLL de 16 bits.
Antes de ponerse nervioso, tenga en cuenta que el código de 16 bits puede tener acceso a iconos almacenados en módulos de 16 bits sin problemas; que todo sucede dentro de la capa de emulación de 16 bits. Lo que ha desaparecido es la capacidad de tener acceso a esos iconos desde código de 32 bits. Más específicamente, la capacidad de las funciones de extracción de iconos de 32 bits, como la función ExtractIcon, para cargar esos iconos a partir de una DLL de 16 bits.
El código de 32 bits que extrae iconos de módulos de 16 bits no usa funciones del kernel como FindResource para localizar el icono en el archivo. En su lugar, el código debe implementar su propio cargador, que analiza el encabezado del módulo de 16 bits, busca la tabla de recursos y, a continuación, la analiza en busca del recurso de icono deseado. Hasta que se realicen todas estas acciones, el código de 32 bits no convertirá los píxeles en un icono.
Como se imaginará, el código que hace esto es muy antiguo y frágil. Hay muchas posibilidades de error al analizar código binario que podría dañarse, ya sea por error o de forma malintencionada. El equipo de rendimiento pedirá cambios en la manera de abrir los archivos para mejorar su rendimiento en redes, puesto que las diferentes formas de abrir y compartir tienen diferentes consecuencias en términos de almacenamiento en caché de la red. Y el equipo de confiabilidad puede pedir que se vuelva a escribir el código de análisis para evitar el uso de archivos asignados en memoria. A la larga, el costo de mantener esta clase de código empieza a superar el valor que ofrecía. No, en serio, ¿quién sigue escribiendo programas de 16 bits?
Los programas de 16 bits seguirán funcionando mientras disponga de la capa de emulación de 16 bits. (Sí, la aplicación Windows Vista de 64 bits no tiene una capa de emulación de 16 bits, pero esto no supone un paso atrás con respecto a Windows XP, ya que la aplicación Windows XP de 64 bits tampoco tenía una capa de emulación de 16 bits. No se mejoró, pero tampoco se empeoró).
Lo único que pierde en Windows Vista es la capacidad de usar ExtractIcon desde el programa de 32 bits y obtener un icono a partir de una DLL de 16 bits. Si tiene un acceso directo a un programa de 16 bits en el menú Inicio, el icono de ese acceso directo se mostrará como un icono de programa genérico, puesto que el Explorador de Windows ya no puede extraer el icono de programas de 16 bits del archivo EXE principal. No es una gran pérdida. Pero, si esto realmente le molesta, puede editar las propiedades del acceso directo y darle un icono de un módulo de 32 bits.
El único lugar donde la desaparición de esta característica supone un problema es en las bibliotecas de iconos creadas por una herramienta de edición de iconos determinada. Por alguna razón, el programa guarda de forma predeterminada los iconos como recursos en archivos DLL de 16 bits, de modo que usted ya no puede tener acceso a esos iconos desde código de 32 bits. Por supuesto, la solución alternativa consiste en volver a guardar esas bibliotecas de iconos como recursos en archivos DLL de 32 bits.
Estoy seguro de que alguien escribirá, si no lo ha hecho ya, un pequeño programa para extraer todos los iconos de una DLL de 16 bits y crear un archivo DLL de 32 bits de recursos con esos iconos, de modo que las personas que tienen iconos viejos en archivos DLL de 16 bits puedan continuar usándolos en accesos directos del menú Inicio. Aunque debo admitir que, si alguien escribe este programa, probablemente no encontrará a nadie que realmente lo necesite. El número de solicitudes de un programa de este tipo que ha llegado al equipo de interfaz de usuario de Windows es cero.

Raymond Chen, The Old New Thing, y en su libro homónimo se trata la historia de Windows y la programación Win32. Raymond evita las puertas que se cierran.