A menudo, algunos derechos de acceso en Active Directory deben otorgarse temporalmente, durante un período de tiempo determinado. Para evitar la necesidad de monitorear la vigencia de las autorizaciones emitidas, pueden crearse inicialmente de manera temporal.

Para crear permisos temporales en AD existen mecanismos especiales Membresía de grupo temporal que se tratará en este post.

Membresía de grupo temporal de Active Directory

Membresía de grupo temporal es una característica nueva que apareció en Windows Server 2016 y es parte del Gestión de acceso privilegiado (PAM) funcionalidad.

De forma predeterminada, PAM no está activo y lo primero que debe hacer es activarlo. Puede hacer esto con el cmdlet de PowerShell Habilitar-ADOptionalFeature. Por ejemplo, para habilitar PAM en el dominio contoso.comejecute el siguiente comando con privilegios de administrador de dominio:

Enable-ADOptionalFeature -Identity ″Privileged Access Management Feature″ -Scope ForestOrConfigurationSet -Target ″contoso.com″

Tenga en cuenta que la activación de PAM es una operación irreversible, no puede desactivarla después de la ejecución del comando anterior. Puedes comprobar el resultado con el comando:

Get-ADOptionalFeature -Filter {Name -like ″Privileged*″}

Compruebe que su nombre de dominio aparece en el parámetro Ámbito habilitado. Esto confirma que la administración de acceso privilegiado está habilitada para este dominio.

Membresía de grupo temporal

Después de habilitar PAM, el MemberTimeToLive aparece el parámetro Add-ADGroupMember en el cmdlet Add-ADGroupMember, con el que puede establecer el tiempo de pertenencia en el grupo. Por ejemplo, agregue el usuario de JSilver al grupo de administradores de dominio durante 5 minutos:

$TTL = New-TimeSpan -Minutes 5
 Add-ADGroupMember -Identity ″Domain Admins″ -Members JSilver -MemberTimeToLive $TTL

Luego puede verificar la membresía del grupo con el comando:

Get-ADGroup -Identity ″Domain Admins″ -Properties Member -ShowMemberTimeToLive

Como puede ver, JSilver es miembro del grupo de administradores de dominio y su TTL es de 278 segundos. Después de este tiempo, puede verificar la membresía del grupo nuevamente y asegurarse de que se haya eliminado del grupo.

añadir miembro del grupo

Nota. Al final del TTL, el período de validez del ticket de Kerberos del usuario también caduca, porque para los usuarios con membresía temporal en grupos de AD, se emite un ticket con una vida útil igual al menor de los valores TTL restantes.

La pertenencia a un grupo temporal requiere un controlador de dominio de Windows Server 2016 y también requiere un nivel de bosque de al menos Windows Server 2016. Puede obtener el nivel funcional de bosque y dominio de Active Directory mediante los siguientes comandos:

(Get-ADForest).ForestMode

(Get-ADDomain).DomainMode

obtener dominio adicional

Para implementar la membresía temporal en los grupos en versiones anteriores de Windows Server, puede usar la funcionalidad menos conveniente de objetos dinámicos (El soporte para objetos dinámicos apareció desde Windows Server 2003).

Puede crear un objeto dinámico usando PowerShell. Por ejemplo, puede crear un grupo temporal de AD TempGroup con un valor TTL de 600 segundos de esta manera:

$OU = [adsi]″LDAP://CN=users,DC=contoso,DC=com″
 $Grp = $OU.Create(″group″,″cn=TempGroup″)
 $Grp.PutEx(2,″objectClass″,@(″dynamicObject″,″group″))
 $Grp.Put(″entryTTL″,″600″)
 $Grp.SetInfo()

Como resultado, se creará un Group TempGroup en el contenedor Groups con una duración de 10 minutos (600 segundos). El tiempo de vida del grupo se almacena en la entrada de atributo TTL y, si es necesario, se puede cambiar, por ejemplo, aumentar o disminuir. Después del tiempo establecido, el grupo desaparece automáticamente.

directorio activo de pertenencia a grupos

Recomendado para ti

Bestseller No. 1
Wscoficey 35 Teclas de Teclado una Mano, Teclado de Juego retroiluminado RGB, Mini portátil Juego Controlador con reposamuñecas, diseño ergonómico Compatible con PC/Mac / PS4 / Xbox (Negro)
  • Este teclado profesional de 35 teclas con una sola mano con control avanzado programable te hace sentir más cómodo y crea tu propio teclado especial
  • Mini portátil de 35 teclas, diseño mini que ofrece una experiencia de funcionamiento con una sola mano extremadamente simple
  • Adecuado para tus manos y muñeca, simplifica el complejo procedimiento operativo, vence al rival más rápido en los juegos
  • Teclado compatible con MAC, Win 2000, Win XP, Win ME, Vista, Win7, Win8, Android, Linux y más
  • Brillante: retroiluminación LED, más fresco por la noche
RebajasBestseller No. 2
Pack Gaming Wolf | PC Gaming (AMD Ryzen 5 5500 / 16GB / 500GB SSD M.2 + 1TB / RTX3060 / 27" Curvo + Kit Gaming / WIFI) Windows 11 Pro, Monitor Curvo 27", Teclado, Cascos, Ratón y Alfombrilla XXL
  • Bajo la tapa de esta llamativa caja RGB está el procesador AMD Ryzen 5 5500 tiene una frecuencia de reloj de alto rendimiento de 3,6 GHz y en combinación con la NVIDIA RTX 3060 con 12 GB de VRAM, DLSS y trazado de rayos, ofrece una experiencia gráfica de ensueño que hará que tu corazón se acelere.
  • Gracias a los 16 GB de RAM a 3200 MHz y a la unidad SSD M.2 de 500GB, disfrutarás de los tiempos de carga más cortos y estarás siempre un paso por delante de tus rivales. Para una máxima comodidad, hemos preinstalado Windows 10 Pro en tu PCVIP y también hemos instalado una tarjeta WiFi. Sólo tienes que enchufar el PC, encenderlo y la diversión puede empezar de inmediato.
  • Vas a convertirte en el mejor jugador en un tiempo récord gracias a la mejor configuración de ordenador gaming. No hay límites con nuestro innovador PC Gaming. Mejora tu experiencia de juego con el impresionante rendimiento del hardware de los PC Gaming de Ibericavip
  • Rendimiento de primera clase gracias a la NVIDIA RTX 3060 con 12 GB de VRAM y ray tracing. Además, incluimos un monitor LED Full HD de 27 pulgadas, un teclado gaming RGB y un ratón gaming RGB con la mejor alfombrilla XXL
  • Pantalla: Monitor Gaming Curvo 27" 165 Hz Full HD G-Sync Free Sync Compatible
Bestseller No. 3
Logitech G910 Orion Spectrum Teclado Gaming Mecánico Retroiluminado, RGB LIGHTSYNC, Romer-G Táctil,9 Teclas G, Segunda Pantalla Arx, Disposición QWERTZ Escandinavo, Negro
  • Romer-G Táctil: Los interruptores mecánicos Romer-G exclusivos convierten a Orion Spectrum en el teclado rápido de nuestra historia, una actuación de 1,5 mm permite la entrada de datos en Orion
  • Velocidad y Rendimiento: El teclado con cable USB Logtiech Orion Spectrum ofrece una gran velocidad, con un 40 por ciento de durabilidad para un rendimiento optimo usado con un ratón Logitech
  • RGB LIGHTSYNC: La iluminación RGB de Orion Spectrum se puede personalizar con una paleta de 16 millones de colores, la parte superior de cada tecla está iluminada para un resplandor uniforme
  • Segunda Pentalla Arx: Mediante la base ajustable se pueden conectar Smartphones y tablets a Orion Spectrum, con Arx Control, los dispositivos móviles pueden mostrar información del juego en curso
  • Teclas G Programables: El teclado Orion Spectrum dispone de 9 teclas G totalmente personalizables, a las que se pueden asignar comandos por perfil, colocadas para optimizar el acceso