CAPÍTULO 6:

Administración y
configuración
avanzada en WS
CUOTAS DE DISCO

-Sirven para limitar el espacio usado por los usuarios en un disco, un volumen o
una carpeta. Sin ellas puede que el almacenamiento se colapse por un mal uso o
un malware.
-Para activar las cuotas de disco: ‘Propiedades del disco’ -> ‘pestaña Cuota’ ->
‘Mostrar configuración de cuota’ -> ‘Habilitar la administración de cuota’.
-Una vez activadas, podemos establecer el límite de uso, el nivel en el que se
avisará al usuario para advertirle de que su cuota está cerca de llegar al límite y
registrar los eventos.
-Con el botón ‘Valores de cuota’ entramos en una ventana del editor de cuotas,
donde podemos añadir cuotas personalizadas para grupos o usuarios.
CUOTAS DE DISCO

-En ‘Cuota -> Nueva entrada de cuota…’ podemos buscar un usuario y, una vez
que lo hayamos seleccionado, le asignamos una cuota que puede ser diferente de
las cuotas generales.
-Una vez asignadas las cuotas podemos volver para modificarlas o añadir cuotas
específicas a otros usuarios. Podemos crear cuotas tanto para usuarios locales
como para usuarios de AD.

*Ejercicio 1
PERMISOS NTFS

Se definen los permisos como reglas que se asocian a los objetos de un equipo o de una red, y que
nos permiten determinar si se puede tener acceso a un objeto y qué tipo de acceso.

Tipos de permisos: Al crear un objeto, este hereda los permisos de la carpeta u objeto contenedor
donde se crea. Cada permiso se podrá Permitir o Denegar a un usuario o a un grupo de usuarios.
Los permisos que se pueden establecer son los siguientes:

• Control total: otorga o deniega todos los permisos al archivo o carpeta.

• Modificar: equivalente a Control Total, salvo que no permite eliminar carpetas y archivos ni
cambiar permisos.
• Lectura y ejecución: combina los permisos de lectura y mostrar el contenido de una carpeta.
• Mostrar el contenido de una carpeta (solo en carpetas): permite ver el contenido de una
carpeta y ejecutar los archivos que contenga esa carpeta.
PERMISOS NTFS

Se definen los permisos como reglas que se asocian a los objetos de un equipo o de una red, y que
nos permiten determinar si se puede tener acceso a un objeto y qué tipo de acceso.

Tipos de permisos: Al crear un objeto, este hereda los permisos de la carpeta u objeto contenedor
donde se crea. Cada permiso se podrá Permitir o Denegar a un usuario o a un grupo de usuarios.
Los permisos que se pueden establecer son los siguientes:

• Lectura: permite leer el archivo o mirar el contenido de la carpeta.

• Escritura: permite crear archivos y carpetas, cambiar atributos y modificar el archivo o el
contenido de la carpeta.
• Permisos especiales: son aquellos que se administran desde ‘Operaciones avanzadas’, entre
los que están: heredar permisos, tomar posesión de archivos y carpetas, establecer accesos que
causan entrada en los registros del sistema, etc.
LISTAS DE CONTROL DE ACCESO (ACL)

Se utilizan para gestionar la seguridad en archivos, directorios y recursos,

restringiendo o permitiendo el acceso a los mismos y pudiendo especificar
permisos a un objeto determinado concreto, como un usuario, un grupo, un
equipo o una unidad administrativa.

Las listas de control de acceso se utilizan para indicar si un usuario o grupo de

usuarios tiene o no tiene permiso para acceder a un objeto determinado, ya sea
localmente o a través de la red.

(pueden utilizarse tanto en objetos locales como para objetos de AD).

LISTAS DE CONTROL DE ACCESO (ACL)

Existen dos tipos de listas de control de acceso:

• DACL (Discretionary Access Control List): Indica qué usuarios y grupos
pueden usar un objeto y con qué permisos.
• SACL (System Acces Control List): Indica qué acceso al objeto causará una
entrada en los registros del sistema.

Una lista de control de acceso contiene lo que se denomina ACE (Access Control
Entry), que indica qué permisos tendrá cada usuario o grupo de usuarios.
LISTAS DE CONTROL DE ACCESO (ACL)

Los permisos se pueden aplicar sobre usuarios concretos o sobre grupos de usuarios. Por defecto,
en el SO Windows hay definidos una serie de usuarios, como administradores, usuarios, usuarios
avanzados, operadores de copias de seguridad, invitados, red, etc.

Hay dos tipos de permisos por la forma en que estos se pueden asignar:
• Explícitos: se establecen de forma predeterminada al crear el objeto, o bien, una vez que se ha
creado, modificando los permisos de este.
• Heredados: se propagan de un objeto primario a otro objeto, en el momento de crearse, que es
el objeto que hereda los permisos.

Al crear un archivo o carpeta se heredan por defecto los permisos de la carpeta o contenedor
donde se haya creado.
LISTAS DE CONTROL DE ACCESO (ACL)

Los permisos explícitos tiene prioridad sobre los permisos heredados.

Esto se puede modificar si con el botón secundario del ratón nos situamos sobre la carpeta
contenedora y elegimos ‘Propiedades’ y abrimos la pestaña ‘Seguridad’. Aquí pulsamos en
‘Opciones avanzadas’ y, a continuación, hacemos doble clic sobre el permiso a editar. En la
ventana que se abre seleccionamos el permiso y podemos elegir los objetos que queremos que
hereden esos permisos.

También podemos seleccionar el tipo de permiso y pulsar sobre el botón ‘Deshabilitar herencia’.

Cuando las marcas de verificación correspondientes a ‘Permitir’ o ‘Denegar’ los permisos

aparecen sombreadas, indica que el objeto ha heredado esos permisos.
LISTAS DE CONTROL DE ACCESO (ACL)

La toma de posesión de un objeto se utiliza para obtener acceso a un archivo o a una carpeta
para los que no se tienen los permisos de acceso, de tal forma que el propietario pase a ser el
usuario que toma posesión del objeto, en vez del propietario por defecto, que es el que creó el
objeto.

El propietario del objeto puede conceder el permiso Tomar posesión a otros usuarios o grupos de
usuarios, permitiéndoles a esos usuarios que tomen posesión del objeto.

Para tomar posesión de un archivo o carpeta vamos a ‘Propiedades’ del objeto’, en ‘Seguridad’
hacemos clic sobre ‘Opciones avanzadas’ y, posteriormente, hacemos clic sobre ‘Cambiar’. Si
vamos a cambiar el propietario de una carpeta, nos aparecerá, además, la opción ‘Reemplazar
propietario en subcontenedores y objetos’, que no aparece en el caso de los archivos. En la
ventana ‘Nombre’ elegimos el nombre del propietario nuevo y pulsamos sobre ‘Aceptar’. Vemos
que en ‘Propietario’
LISTAS DE CONTROL DE ACCESO (ACL)

La toma de posesión de un objeto se utiliza para obtener acceso a un archivo o a una carpeta
para los que no se tienen los permisos de acceso, de tal forma que el propietario pase a ser el
usuario que toma posesión del objeto, en vez del propietario por defecto, que es el que creó el
objeto.

El propietario del objeto puede conceder el permiso Tomar posesión a otros usuarios o grupos de
usuarios, permitiéndoles a esos usuarios que tomen posesión del objeto.

Para tomar posesión de un archivo o carpeta vamos a ‘Propiedades’ del objeto’, en ‘Seguridad’
hacemos clic sobre ‘Opciones avanzadas’ y, posteriormente, hacemos clic sobre ‘Cambiar’. Si
vamos a cambiar el propietario de una carpeta, nos aparecerá, además, la opción ‘Reemplazar
propietario en subcontenedores y objetos’, que no aparece en el caso de los archivos. En la
ventana ‘Nombre’ elegimos el nombre del propietario nuevo y pulsamos sobre ‘Aceptar’. Vemos
que en ‘Propietario’.
LISTAS DE CONTROL DE ACCESO (ACL)

La gestión de las listas de control de acceso la podemos realizar mediante el acceso a la pestaña
‘Seguridad’ de las propiedades del objeto o bien podemos utilizar alguno de los siguientes
comandos:

• cacls: muestra o modifica las listas de control de acceso (ACL) de los archivos. Es preferible
utilizar el comando icacls.
• icacls: muestra, modifica, hace copias de seguridad o restaura listas de control de acceso
(ACL) para archivos y directorios.

Sintaxis: icacls <nombre_objeto> [modificadores] [opciones]

LISTAS DE CONTROL DE ACCESO (ACL)

<nombre objeto> es el nombre del archivo, carpeta o equipo al que se le va a aplicar el comando.
Puede indicarse uno o varios caracteres comodines.

Los modificadores pueden ser estos:

• /save: guarda las DACL de los objetos especificados en el fichero que se le indique.
• /restore: recupera las DACL almacenadas en el archivo especificado.
• /setowner: cambia el propietario de los objetos que se le especifiquen.
• /grant: concede permisos.
• /deny: deniega permisos
• /inheritance: habilita o deshabilita la herencia.
LISTAS DE CONTROL DE ACCESO (ACL)

Por otro lado, estas son las opciones disponibles:

• /T indica que las operaciones se realizarán recursivamente en los directorios inferiores.
• /C indica que se continuará con la operación, aunque haya habido errores.
• /Q suprime los mensajes de que las operaciones se realizaron correctamente.

El comando icacls reemplaza al comando cacls, porque es más avanzado y ofrece mayores
funcionalidades.

En PS contamos con los siguientes cmdlets para gestionar las listas de control de acceso, dentro
del módulo de seguridad:
• Get-Acl obtiene la lista de control de acceso de los objetos.
• Set-Acl modifica la lista de control de acceso de los objetos.
*Ejercicios 5,6,7,8
DIRECTIVAS DE SEGURIDAD

-Se utilizan para definir el comportamiento del equipo o de los objetos del equipo en cuestiones
de seguridad.
-Las herramientas de administración de las directivas de seguridad se utilizan para realizar
cambios personalizados en la configuración de seguridad. Al instalar un rol o característica
mediante el ‘Administrador del servidor’, las opciones de seguridad se establecen de forma
automática, pero mediante la herramienta de administración de directivas de seguridad se
pueden modificar.
-Las directivas de seguridad pueden ser a nivel local, de dominio o de controlador de dominio, y
se aplican mediante los objetos directivas de grupo (GPO).
-Al crear el objeto directiva de grupo (GPO) se puede vincular a un sitio, dominio o UO mediante
la consola de administración de las directivas de grupo.
-consola: gpmc.msc
PROGRAMACIÓN DE TAREAS
-’Herramientas administrativas’ -> ‘Programador de tareas’
-Ejecutando taskschd.msc
-Desde la línea de comandos: schtasks. Este comando muestra, crea, modifica y elimina tareas
programadas.

En PS tenemos una serie de funciones dentro del módulo ScheduledTasks:

• New-ScheduledTask: crea una tarea programada.
• Get-ScheduledTask: obtiene las tareas que están programadas.
• Set-ScheduledTask: modifica una tarea programada.

Hay más funciones relacionadas con la programación de tareas asociadas al módulo

ScheduledTask, como son: stop, start, enable, export, disable…
Para ver todas las funciones: Get-Command –Noun ScheduledTask
*Ejercicios 9,10
COPIAS DE SEGURIDAD
-Las copias de seguridad se utilizan para recuperar los datos en el caso de que ocurra una
pérdida de los datos, por fallo, borrado accidental o intencionado. Se deben realizar
periódicamente y de forma planificada.
-Antes de realizar la copia es necesario decidir dónde se va a almacenar, el tipo de copia de
seguridad y la información que se va a copiar.
-Existen tres tipos:
• Total, completa o íntegra: copia todos los archivos y directorios que se le indiquen.
• Incremental: copia solo los archivos que se hayan modificado desde la última copia de
seguridad, ya sea incremental o total.
• Diferencial: copia los archivos que se hayan modificado desde la última copia de seguridad
total. Copia más archivos que la incremental, por lo que tarda más en realizarse y ocupa más
espacio, pero a cambio ocupa menos espacio que la total, y para la recuperación solamente
necesita las últimas copias total y diferencial.

-Las copias de seguridad son un método de seguridad pasiva (tratan de minimizar el daño)
INSTALACIÓN DE COPIAS DE SEGURIDAD DE WS

Se instala añadiendo una característica al servidor desde ‘Administrador del servidor’.

‘Agregar roles y características’ -> ‘Tipo de instalación’ -> ‘Instalación basada en características
o en roles’ -> ‘Selección de servidor’ -> elegimos nuestro equipo -> ‘Roles de servidor’ ->no
agregamos nada -> ‘Características’ -> ‘Copias de seguridad de WS’.
REALIZACIÓN, PROGRAMACIÓN Y
RESTAURACIÓN DE LAS COPIAS DE SEGURIDAD.

Una vez instalada la característica, ejecutamos ‘Copias de seguridad de Windows Server’. Con
esta herramienta podemos realizar una copia de seguridad o bien programarla. Al abrir la
aplicación, esta nos informa si tenemos alguna copia programada o si se realizó alguna copia.

Para realizar una copia, o bien programarla, podemos acudir al menú ‘Acciones’. Este menú nos
mostrará diversas opciones para programar las copias, realizar una copia en ese momento,
recuperar una copia o configurar opciones de rendimiento.

*Ejercicio 11
SCRIPTING EN POWESHELL.

-Sirven para realizar ciertas tareas de administración en las que haya que programar una acción
o que sean un conjunto de tareas. Tendremos que escribir ficheros que contengan comandos para
realizar este conjunto de tareas y ejecutarlos.

-PowerShell ISE nos ayudará a escribir y ejecutar nuestros comandos y scripts.

-Para poder ejecutar scripts de PowerShell en nuestro PC es necesario tener activadas las
directivas de ejecución de scripts.

-Ejecutamos Get-ExecutionPolicy para ver el estado de la política de ejecución de scripts.

SCRIPTING EN POWESHELL.

-Los valores posibles son:

• Restricted: no permite ningún script.
• Allsigned: permite ejecutar los scripts firmados por un editor de confianza.
• Remotesigned: permite ejecutar los firmados locales y remotos.
• Unrestricted: permite ejecutar cualquier script. No es muy recomendable.
• Bypass: permite la ejecución de cualquier script. Es utilizado para cambiar la política de
ejecución de un script.
• Undefined: ninguna restricción establecida.

Para modificar el tipo de política establecida: Set-ExecutionPolicy.

SCRIPTING EN POWESHELL.

-Los valores posibles son:

• Restricted: no permite ningún script.
• Allsigned: permite ejecutar los scripts firmados por un editor de confianza.
• Remotesigned: permite ejecutar los firmados locales y remotos.
• Unrestricted: permite ejecutar cualquier script. No es muy recomendable.
• Bypass: permite la ejecución de cualquier script. Es utilizado para cambiar la política de
ejecución de un script.
• Undefined: ninguna restricción establecida.

Para modificar el tipo de política establecida: Set-ExecutionPolicy.

Algunos cmdlets y elementos del lenguaje que se usan para los scripts son:
• Write-Host: escribe cadenas o valores en la pantalla.
• Read-Host: pide un dato a través del teclado.
SCRIPTING EN POWESHELL.

*Ejercicios 12, 13, 14.