Windows Técnico : Novedades, Novedades 2010

Dynamic Access Control (DAC) – Parte 5: Acceso Efectivo

rmartin — Thu, 16 May 2013 13:37:00 GMT

EL ESCENARIO

La siguiente figura ilustra gráficamente un escenario simple que se puede presentar, en el cual se basará el estudio de DAC:

Imagen 1: Nuestro escenario de control de acceso dinámico

Se va a trabajar con tres computadoras en nuestra red de prueba:

DCNUGGET: Controlador de dominio de Windows Server 2012
MEMNUGGET: Servidor de archivos de Windows Server 2012 que será sede de los recursos compartidos protegidos por DAC
CLINUGGET: computadoras cliente de Windows 8

Si ustedes siguen esta serie de post, significa que ha realizado lo siguiente en el entorno de prueba:

Definición de las peticiones de usuarios.
Definición de las propiedades de los recursos
Publicación la lista de propiedades de los recursos en el servidor de archivos
Creación de una Regla de Acceso Central y su relación con la Directiva de Acceso Central.
Etiquetación de la carpeta compartida con las propiedades de los recursos

Y en esta última entrada de la serie va a consistir en probar el acceso del usuario a la carpeta compartida CORPDOCS.

PRUEBAS DAC CON ACCESO EFECTIVO

Conectar con el servidor de archivos, buscar la carpeta compartida, y abrir su hoja de propiedades. A continuación, se debe ir a la pestaña Acceso Efectivo. Hacer clic en descripción de Propiedades de los Recursos para comprobar que la carpeta tiene los metadatos etiquetados. Se puede ver la interfaz en la siguiente imagen.

Imagen 2: Imagen de acceso efectivo a un recurso protegido DAC

NOTA: Puede desplazarse a la pestaña Directiva Central y comprueban que la carpeta está conectada a su Política de Acceso Central.

En el cuadro de diálogo Configuración de Seguridad Avanzada, seleccionar un usuario e ir a una cuenta de usuario representativo. En este caso se ha elegido un usuario de prueba llamado Jeff Gibson que trabaja en Nashville, pero no en el departamento de RD.

Imagen 3: Un usuario en la pestaña de Acceso Efectivo.

Como se puede ver, se puede analizar fácilmente si se concede o se deniega al usuario dado acceso al recurso protegido por DAC. Lo que es aún mejor, Windows le indica si el acceso viene de una Política de Acceso Central, los permisos NTFS, o ambos.

Haga clic en la opción Incluir un enlace de petición de usuario en la Configuración de Seguridad Avanzada de diálogo para modelar cómo los accesos del usuario cambian, si se modifican sus peticiones de los usuarios. Se va a cambiar las peticiones de Jeff para que coincida con la ubicación de Nashville y el departamento de RD.

Echando un vistazo a la Figura 4, podrás observar que mi usuario Jeff Gibson ahora tendría acceso a la carpeta CORPDOCS.

Imagen 4: Modelado de acceso a los recursos del CAD

CONCLUSIÓN

Para aquellos de nosotros con años de experiencia en la gestión de los recursos de archivos compartidos mediante acciones y permisos NTFS, Control de Acceso Dinámico (DAC) nos presenta una curva de aprendizaje y un paradigma alterado hacia la seguridad informática y privilegios mínimos.

Control de Acceso Dinámico (DAC) - Parte 1
Control de Acceso Dinámico (DAC) - Parte 2
Control de Acceso Dinámico (DAC) - Parte 3
Control de Acceso Dinámico (DAC) – Parte 4

Si quieres conocer las novedades y secretos de la nueva versión del sistema operativo servidor de Microsoft te recomendamos Windows Server 2012 para IT Pros. Si quieres aprender mucho más sobre los secretos de los sistemas Microsoft Windows, te recomendamos leer el libro de Sergio de los Santos "Máxima Seguridad en Windows: Secretos Técnicos" . Además si te ha gustado el artículo puedes suscribirte al Canal RSS de Windows Técnico, o seguirnos por el Canal Google+ de Windows Técnico o Twitter para estar al día de las novedades e información técnica de interés.

Fuente: 4sysops.com

Dynamic Access Control (DAC) - Parte 4: Política de Acceso Central

rmartin — Wed, 08 May 2013 13:30:00 GMT

EL ESCENARIO

La siguiente figura ilustra gráficamente un escenario simple que se puede presentar el cual se basará el estudio de DAC:

Imagen 1: Nuestro escenario de control de acceso dinámico

Se va a trabajar con tres computadoras en nuestra red de prueba:

· DCNUGGET: Controlador de dominio de Windows Server 2012

· MEMNUGGET: Servidor de archivos de Windows Server 2012 que será sede de los recursos compartidos protegidos por DAC

· CLINUGGET: computadoras cliente de Windows 8

En la Parte 2 de esta serie, se configuró la carpeta compartida CORPDOCS en MEMNUGGET que contiene los recursos de destino en cuestión. También se creó las dos peticiones de los usuarios para la ubicación del usuario y el departamento.

En la Parte 3 se crearon etiquetas de clasificación, que posteriormente se desplegaron en el servidor de archivos además de adjuntarse las etiquetas de metadatos necesarias para la carpeta CORPDOCS.

En este artículo, se van a combinar las peticiones de usuarios y propiedades de los recursos de archivo en una política de acceso central, o CAP.

Pero primero, se va a hablar un poco de la configuración. Antes de crear la política de acceso central, se va a volver a ver brevemente los tipos de notificación configurados.

Como se puede ver en las siguientes imágenes, se han creado los valores sugeridos para la ubicación y las peticiones del Departamento.

Imagen 2: Valores rellenando previamente para el tipo de petición Location

Imagen 3: Valores rellenando previamente para nuestro tipo de petición Departamento

Es necesario asegurarse de ejecutar el cmdlet Update-FSRMClassificationPropertyDefinition con PowerShell en el servidor de archivos y comprobar que la carpeta compartida CORPDOCS se clasifica correctamente.

Luego de haberse limpiado, a continuación se va a crear la regla de acceso central.

CREACIÓN DE UNA REGLA DE ACCESO CENTRAL

La regla de acceso central, se va a abreviar en adelante como CAR, y cumple dos funciones importantes:

· Ámbitos de una lista de control de acceso a los recursos clasificados específicamente. (etiquetado)

· Autorización a los usuarios basándose en sus tipos de notificación.

Para ello, se deberá abrir el Centro de administración de Active Directory, siendo necesario expandir el nodo de Control de Acceso Dinámico, para a continuación, cliquear en Reglas de Acceso Central y seleccionar Nueva > Regla de Acceso Central, quedando como se muestra en la siguiente captura.

Imagen 4: Regla de Acceso Central Completada

Lo primero será proporcionar un nombre descriptivo (señalado como 1 en la imagen de arriba). En segundo lugar, ir a los Target Resources y hacer clic en Edit (señalado en la imagen 2).

En el cuadro de diálogo de la Regla de Acceso Central, diríjase a Agregar una Condición para abrir el editor de expresiones. Si se ve lo que aparece en la imagen de arriba, ya se puede saber que detecto esta CAR para aplicar a los recursos que se han etiquetado con Campus = Nashville y Clasificación = Confidencial.

Imagen 5: CARs son expresiones basadas

A continuación, diríjase hasta los Permisos y seleccione Usar siguientes permisos como permisos actuales. Las opciones de permisos propuestas permiten montar y probar los permisos antes de lanzar el CAR a la producción.

Lo siguiente será hacer clic en Editar para abrir el cuadro de diálogo Configuración de Seguridad Avanzada. A continuación, ha de cliquear en Agregar. Seleccionar Principal y añadir los Usuarios Autenticados al grupo especial (será mejor seguir la sugerencia de Microsoft de apuntar los Usuarios Autenticados aquí).

En la siguiente captura de pantalla se pueden ver las expresiones condicionales que pueden ser usadas para el entorno de prueba. En la parte inferior de la ventana de entrada de permisos se ha procedido a conceder permiso para modificar los usuarios autenticados que residen en la oficina de Nashville y que trabajen en el departamento de RD.

Lo increíble de esta expresión condicional es que los nuevos empleados que cumplen esos criterios automáticamente se recogerán por la lista de control de acceso.

Imagen 6: Lista de control de acceso basadas en expresiones

CREACIÓN DE UNA POLÍTICA DE ACCESO CENTRAL

La política de acceso central o CAP, es la unidad de despliegue para el control de acceso del CAD, y se compone de uno o más CARs. De vuelta en el Centro de administración de Active Directory, muévase hasta el nodo de Acceso de Control Dinámico, haga doble clic en Directivas de Acceso Central y, a continuación, Nueva > Directiva de Acceso Central.

Otorgue un nombre a la CAP y cliquee en Añadir junto a las Reglas de Acceso del Miembro Central para acompañar a su CAR con este CAP. Puede verse esta interfaz en la imagen de abajo.

Imagen 7: Construyendo la política de acceso central

IMPLEMENTACIÓN DE LA POLÍTICA DE ACCESO CENTRAL

Se ha usado la directiva de grupo para hacer la CAP disponible a nuestro servidor(s) de archivos de dominio. Si se crea un nuevo GPO o se edita uno existente es de su libre elección. Se debe configurar los siguientes elementos de directiva de grupo:

· Configuración Del Equipo/ Políticas / Configuración De Windows / Configuración De Seguridad / Sistema de Archivos/ Política de Acceso Central.

Cliquee con el botón, seleccione Administrar Políticas de Acceso Central, y añadir en el CAP que ha creado anteriormente. Esta interfaz se muestra en la siguiente imagen.

· Configuración del Equipo/ Políticas / Configuración de Windows / Configuración de Seguridad / Configuración de Directiva de Auditoría Avanzada / Directivas de Auditoría / Objeto de acceso.

Activar Negocios y Tipos de auditoría para la Política de montado de Auditoría de Acceso Central y las Políticas de Auditoría de Sistemas de Archivos.

Imagen 8: Configuración de DAC con la directiva de grupo

Asegúrese de ajustar el filtrado de seguridad de su GPO de modo que se apliquen a las cuentas de equipo del servidor de archivos.

A continuación, modifique la Configuración Predeterminada de Controladores de Dominio GPO y ha de ir a Configuración del equipo/ Políticas/ Plantillas administrativas/ Sistema / KDC. Habilitar el soporte KDC para las Peticiones, Compuesto de Autenticación y la Política de Blindaje Kerberos, y ponerlos Compatibles

Lo siguiente será cerrar todo, abrir la línea de comandos administrativa y ejecutar gpudate /force para propagar la nueva configuración de GPO.

Asignación de la Directiva de Acceso Central para el servidor de archivos

Conectar con el servidor de archivos de destino, buscar la carpeta compartida, y examinar sus propiedades. Compruebe que las propiedades de los recursos se han establecido correctamente, como se muestra en la siguiente captura de pantalla.

Imagen 9: Verificación de etiquetado de propiedad del recursos

A continuación, hay que ir a la pestaña Seguridad de la ventana Propiedades de la carpeta y cliquear en Avanzado. En el cuadro de diálogo Configuración de Seguridad Avanzada, cambiar a la pestaña Directiva Central. Como se muestra a continuación se puede asignar la nueva CAP a la carpeta.

Imagen 10: Asignación de un CAP a una carpeta compartida

CONCLUSIÓN

Si has seguido los pasos proporcionados en esta parte de la serie, entonces tenemos toda la infraestructura de control de acceso dinámico montada. En la siguiente entrada se probará el acceso a la carpeta CORPDOCS.

Control de Acceso Dinámco (DAC) - Parte 1

Control de Acceso Dinámco (DAC) - Parte 2

Control de Acceso Dinámco (DAC) - Parte 3

Fuente: 4sysops.com

Dynamic Access Control (DAC) - Parte 3: Clasificación de carpetas compartidas

rmartin — Tue, 30 Apr 2013 15:48:00 GMT

INTRODUCCIÓN
En el anterior post de Dynamic Access Control (DAC) se mostró cómo configurar peticiones de usuario a usuario. En esta entrada se verá cómo clasificar las carpetas compartidas por DAC basadas en un escenario simple, un escenario real. Vamos a continuar con el profundo estudio en las características del nuevo Dynamic Access Control (DAC) en Windows Server 2012. Serán cinco las entradas sobre el mismo tema.

NUESTRO ESCENARIO
La siguiente figura ilustra gráficamente el citado escenario

Imagen 1: Nuestro escenario DAC

· DCNUGGET: Controlador de dominio de Windows Server 2012

· MEMNUGGET: Servidor de archivos de Windows Server 2012 que será sede de los recursos compartidos protegidos por DAC

· CLINUGGET: computadoras cliente de Windows 8

Se va a aplicar una política de acceso DAC a una carpeta compartida llamada CORPDOCS que está alojada en MEMNUGGET. A continuación, se van a ver ejemplos de situaciones con las que pueden toparse los usuarios.
En la parte 2, se ha compartido la carpeta compartida CORPDOCS que contiene los recursos de destino en cuestión. También se han creado las dos peticiones de los usuarios para la ubicación del usuario y departamento. Ahora se va a centrar nuestra atención en las propiedades de los metadatos de las carpetas compartidas (también llamados “tags”) que son importantes en nuestra situación.

CREACION DE PROPIEDADES DE RECURSOS
Las propiedades pertenecientes a los recursos de la terminología DAC corresponden a las clasificaciones significativas, o tags, que se pueden aplicar a los recursos compartidos de los servidores de archivos.
Para empezar, abra el Centro de administración de Active Directory desde la estación de trabajo administrativa o controlador de dominio, haga clic en el nodo de Dynamic Access Control, clic derecho en propiedades de recursos, y seleccione Nueva > Propiedad de recurso.

NOTA: Una referencia a una propiedad de recurso es una propiedad de los recursos que vincula explícitamente a un tipo de petición con valores sugeridos.

Imagen 2: DAC en el Centro de administración de Active Directory

Campus (nuestra organización ficticia cuenta con dos campus: Nashville y Siracusa)
Clasificación (vamos a crear dos niveles de clasificación de archivos: Pública y Reservada)

En la siguiente imagen se muestra la creación de la propiedad de los recursos del Campus:

Imagen 3: Definiendo una nueva propiedad de recurso

Se proporciona un nombre descriptivo para la nueva propiedad del recurso
Cada propiedad de recurso puede estar asociado con uno de los números de los diferentes tipos de datos. Vamos a elegir una sola opción porque sólo una de lista será relevante para la carpeta de CORPDOCS.
Haga clic en Agregar para añadir una entrada para nuestros dos campus: Nashville y Syracuse. Este cuadro de diálogo se muestra en la siguiente captura de de pantalla.

Imagen 3: Definición de un valor sugerido para una propiedad de recurso

Una vez que haya definido las propiedades de recursos tanto para Campus y Clasificación, se puede verificar su existencia en la Lista de Propiedades de Recurso. Observe que Microsoft proporciona varias pre-construcciones de propiedades de recursos que pueden ser aprovechadas. Tan sólo se ha de hacer clic en la propiedad correspondiente y escoger la opción Habilitar. Por motivos de rendimiento y facilidad de gestión de administración todas las propiedades de los recursos integrados se desactivan por defecto.

Imagen 4: Gestión de propiedades y recursos

CREACIÓN Y DESPLIEGE DE LA LISTA DE PROPIEDADES DE LOS RECURSOS
En DAC, la Lista de Propiedades de los Recursos (RPL) es la unidad de despliegue de nuestro servidor de ficheros. Se pueden crear cualquier número de RPLs y desplegar de forma selectiva en los dominios de los servidores de ficheros. Para ello, en el nodo de Dynamic Access Control en DAC, tan solo hay que hacer clic derecho sobre la opción Lista de Propiedad de Recursos y seleccionar Nuevo > Lista de Propiedad de Recurso.

Imagen 5: Definición de una nueva Lista de Propiedades de Recurso

Proporcione un nombre significativo para su RPL. Siéntase libre para rellenar la finalidad del RPL en el campo Descripción.
Haga clic en Agregar para asociar nuestras propiedades de los recursos creados anteriormente en el nuevo RPL. El cuadro de diálogo de Selección de Propiedades de Recurso se muestra en la siguiente captura de pantalla.

Imagen 6: Agregando nuestras propiedades de los recursos a nuestra lista.

Lo creas o no, todavía no hemos acabado. Ahora tenemos que desplegar nuestro RPL a nuestros dominios de servidores de archivos. Para ello, tenemos que abrir una sesión administrativa con PowerShell y ejecutar el siguiente cmdlet:
Update-FSRMClassificationPropertyDefinition
Ahora estamos listos para cambiar nuestra atención de nuestro controlador de dominio a nuestro servidor de archivos Windows Server 2012, MEMNUGGET, para clasificar la carpeta CORPDOCS.

CLASIFICANDO NUESTRA CARPETA
Cuando examinamos las propiedades de la carpeta compartida CORPDOCS, vemos una nueva pestaña llamada Clasificación. Vamos a ella.

Imagen 7: Etiquetar una carpeta compartida.

El proceso de etiquetado es bastante sencillo. Simplemente se puede seleccionar cada propiedad de recurso y seleccionar un valor de las opciones planteadas a principio en el Dynamic Access Control.

NOTA: Windows Server 2012 proporciona métodos para implementar la clasificación automática de archivos por lo que los administradores no tienen que “tocar” cada recurso compartido de archivos por separado.

CONCLUSIÓN
Por ahora se han configurado las peticiones de usuarios y el etiquetado de la carpeta objetivo con clasificaciones significativas. El siguiente paso en este proceso es la creación de una política de acceso central que realmente cree la regla de acceso que une las peticiones y las propiedades de los recursos, tema que se cubrirá en la próxima entrega de esta serie.

Control de Acceso Dinámco (DAC) - Parte 1

Control de Acceso Dinámco (DAC) - Parte 2

Fuente: 4sysops.com

Nuevas denominación de las funciones en MS Excel 2010 II de II

adiaz — Fri, 17 Dec 2010 12:24:00 GMT

En el anterior post comentamos que algunas funciones de Excel han modificado su nombre, y mostramos un listado de las que han cambiado su denominación. En este nuevo post veremos que ocurre cuando queremos utilizar una función cuyo nombre ha cambiado en versiones anteriores de Excel.

En la imagen siguiente se han usado 3 funciones antiguas en Excel 2010 con sus correspondientes 3 nuevas. Como se puede apreciar las antiguas devuelven un valor erróneo en la versión 2010.

Pero si este mismo archivo lo abrimos en un Excel 2007, veremos que las mismas funciones que actuaban correctamente en la versión 2010 también lo hacen en la 2007. Es decir el programa al abrirlo con una versión anterior ha "traducido" los nombres de función nuevos por los viejos, tal y como se puede ver en la siguiente imagen capturada en un Excel 2007. En este caso ha "traducido" la función "MED" por "EXTRAE":

Lo curioso de esto es que las fórmulas escritas en Excel 2010 con el nombre válido para la versión Excel 2007, (en este caso las funciones "RESIDUO", "EXTRAE" y "BUSCARV"), siguen devolviendo un error en Excel 2007, siendo este de tipo #¿NOMBRE?, indicativo de un "Error de nombre no válido" tal y como se puede apreciar en la siguiente imagen. Estas funciones dejarán de devolver un valor erróneo, si nos situamos sobre dicha celda con la tecla F2 y pulsamos al Enter, es decir si las "rehacemos".

Otras funciones en cambio se mantienen por compatibilidad, y Excel ha añadido una nueva que hace lo mismo que ella. La función con nombre antiguo se marca en la lista con un símbolo amarillo de advertencia

Esta función sigue operativa en la versión 2010, tal y como se ve en la siguiente imagen.

Además la nueva función también está operativa en la versión 2007, eso sí cambiando significativamente el nombre, tal y como se observa en la barra de fórmulas. Se ha modificado "MODA.UNO" por "_xlfn.MODE.SNGL".

Se puede ver la lista de funciones con compatibilidad desde la "Biblioteca de funciones", en la categoría "Compatibilidad".

Una buena opción que viene activada por defecto es ejecutar el "Comprobador de compatibilidad", ya presente en la versión 2007, para comprobar si efectivamente las funciones que estamos utilizando son compatibles con versiones anteriores de Excel. Dicho comprobador se mostrará al guardar el documento.

Se puede acceder a él también desde la pestaña "Archivo".

Tal y como se ha visto, el nuevo cambio de denominación en las funciones no tiene por qué suponer un problema a la hora de trabajar con Excel 2010, ya que este proporciona suficientes utilidades para trabajar con versiones anteriores.

Se pueden probar todas estas novedades y la información incluida en estos post referentes al nuevo paquete ofimático MS Office 2010 descargando una versión de evaluación desde aquí.

Espero que esta entrada os haya sido de interés.

------------------------------------------------------------------------------------
Nueva denominación de las funciones en MS Excel 2010 I de II

Nueva denominación de las funciones en MS Excel 2010 II de II
------------------------------------------------------------------------------------