Tema: active-directory
-
Windows LAPS: contraseñas de administrador local únicas para Windows Server, y quién puede leerlas
Windows LAPS (integrado en Windows Server 2019 y 2022 desde la actualización del 11 de abril de 2023, y en Windows Server 2025) aleatoriza y rota automáticamente la contraseña de administrador local de cada equipo y la guarda en Active Directory o Microsoft Entra ID; en AD, los administradores de dominio pueden leerla por defecto y cualquier otro lector necesita un permiso delegado explícitamente.
-
Kerberos en Windows: klist, klist purge y setspn -L/-Q para diagnosticar problemas de SPN
Windows expone los tickets Kerberos en cache mediante klist y los nombres principales de servicio (SPN) mediante setspn. Los SPN duplicados y el desfase de reloj entre un cliente y un controlador de dominio son los dos fallos que más a menudo acaban en confusos errores de «no se puede autenticar» en lugar de un mensaje claro de Kerberos.
-
Unir un host Linux a Active Directory con realmd y SSSD
realm discover y realm join delegan en realmd la configuración detallada de Kerberos, LDAP y SSSD para que un agente no tenga que editar sssd.conf a mano; realm permit acota después qué cuentas de AD pueden iniciar sesión realmente, y sssctl ofrece un único lugar donde comprobar qué cree SSSD en cada momento.
-
Gestionar usuarios y grupos de Active Directory desde PowerShell sin recorrer todo el directorio
Get-ADUser con -Filter y -Properties, New-ADUser con una contraseña SecureString, Add-ADGroupMember, y Search-ADAccount/Unlock-ADAccount para los bloqueos de cuenta — además de por qué -Filter * es una trampa en un directorio con decenas de miles de objetos.
-
Comprobar el estado de Active Directory antes de hacer cualquier cambio: dcdiag, repadmin y los titulares de roles FSMO
Una rutina de comprobación de estado previa a un cambio para un controlador de dominio: dcdiag para diagnósticos locales, repadmin /replsummary y /showrepl para la replicación, Get-ADDomainController y netdom query fsmo para el inventario de controladores de dominio y titulares de roles, y por qué importa la fuente horaria del emulador de PDC.
-
Consultar LDAP y Active Directory desde Linux con ldapsearch sin escribir la contraseña en la línea de comandos
ldapsearch admite un bind simple con un DN de bind y su contraseña, o un bind SASL/GSSAPI con un ticket Kerberos existente, además de resultados paginados y StartTLS/LDAPS para cifrar la conexión. Las opciones -y y -W existen precisamente para que la contraseña nunca tenga que aparecer como argumento en texto plano en la línea de comandos.
Legible por máquina: JSON