Usa la cuenta de administrador delegada

En esta página, se muestra cómo usar la cuenta de administrador delegada y administrar sus credenciales en el servicio administrado para Microsoft Active Directory.

Descripción general

Cuando creas un dominio de Microsoft AD administrado, este crea automáticamente una cuenta de administrador delegada. Puedes usarla para administrar el dominio. Después de acceder a esta cuenta, puedes realizar las siguientes tareas:

• Administrar datos y objetos de Active Directory
• Administrar a otros administradores de servicios
• Usa herramientas estándar de Active Directory.

Obtén más información sobre los derechos que se otorgan automáticamente a la cuenta de administrador delegada.

Nota: Las cuentas de administrador de dominio y empresa de los dominios de Microsoft AD administrado están reservadas para el uso de Google Cloud.

Cómo obtener el nombre de la cuenta

De forma predeterminada, la cuenta de administrador delegada se llama setupadmin. Después de crear el dominio, no puedes cambiar el nombre de usuario. Puedes especificar un nombre de usuario personalizado solo cuando creas un dominio. Si especificas un nombre de usuario personalizado, asegúrate de seguir las convenciones de nombres del atributo SAM-Account-Name.

Para recuperar el nombre de la cuenta de administrador delegada, sigue estos pasos:

Console

1. En la consola de Google Cloud, ve a la página Microsoft AD administrado.
   Ir a Microsoft AD administrado
2. En FQDN, seleccione el dominio para el que desea obtener el nombre de la cuenta de administrador delegada.
3. El nombre de la cuenta aparece en Nombre del administrador.

gcloud

Ejecuta el siguiente comando:

gcloud active-directory domains describe DOMAIN_NAME

La respuesta es YAML con información sobre el dominio. El nombre de la cuenta de administrador delegada aparece en el campo managedIdentitiesAdminName:

managedIdentitiesAdminName: setupadmin

Restablece la contraseña

Si olvidas la contraseña de la cuenta de administrador delegada, no podrás recuperar la contraseña existente. Sin embargo, puedes restablecer la contraseña.

Para restablecer la contraseña de la cuenta de administrador delegada, debes tener uno de los siguientes roles de IAM:

• Administrador de identidades administradas de Google Cloud (roles/managedidentities.admin)
• Administrador de dominios de identidades administradas de Google Cloud (roles/managedidentities.domainAdmin)

Para obtener más información, consulta Roles de identidades administradas por Cloud.

Advertencia: Cuando se restablece la contraseña, se muestra una nueva contraseña en forma legible de texto sin formato. Asegúrate de que tu pantalla esté segura antes de ejecutar el comando y haz clic en Confirmar.

Console

1. En la consola de Google Cloud, ve a la página Microsoft AD administrado.
   Ir a Microsoft AD administrado

2. En FQDN, seleccione el dominio del que desea restablecer la contraseña de administrador delegada.

3. En la página Detalles del dominio, selecciona la opción Establecer contraseña.

4. En el cuadro de diálogo Establecer contraseña, haz clic en Confirmar.

5. La nueva contraseña se mostrará en el cuadro de diálogo Contraseña nueva.

gcloud

Ejecuta el siguiente comando:

gcloud active-directory domains reset-admin-password DOMAIN_NAME

Esta operación puede tardar hasta 60 segundos en completarse.

Cómo inhabilitar el vencimiento de contraseña

Según la configuración predeterminada, la contraseña de la cuenta de administrador delegada vence en un plazo de 42 días. Asegúrate de cambiar la contraseña antes de que venza.

Puedes usar políticas de contraseñas detalladas (FGPP) para inhabilitar el vencimiento de contraseñas para la cuenta de administrador delegada. Con las FGPP, puedes establecer el valor de la configuración de la política Maximum password age en los objetos de configuración de contraseña (PSO) requeridos en “0” y aplicar la política de contraseñas en la cuenta de administrador delegada.

Para inhabilitar el vencimiento de la contraseña de tu cuenta de administrador delegada, debes ser miembro del grupo Cloud Service Fine Grained Password Policy Administrators.

1. Para agregar un usuario a este grupo, ejecuta el siguiente comando en PowerShell:

   Add-ADGroupMember -Identity 'Cloud Service Fine Grained Password Policy Administrators' 
   
    -Members USER
   

   Reemplaza USER por el nombre del usuario que deseas agregar al grupo Cloud Service Fine Grained Password Policy Administrators.

   Para obtener más información, consulta Cómo delegar permisos para administrar políticas.

2. Sal de la cuenta de administrador delegada.

   Nota: Si agregas setupadmin al grupo Cloud Service Fine Grained Password Policy Administrators, debes reiniciar la VM en lugar de salir de la cuenta.

Para inhabilitar el vencimiento de contraseñas de tu cuenta de administrador delegada, haz lo siguiente:

1. Accede como miembro del grupo Cloud Service Fine Grained Password Policy Administrators.

2. Para modificar el valor de la propiedad MaxPasswordAge a “0”, ejecuta el siguiente comando en PowerShell:

   Set-ADFineGrainedPasswordPolicy -Identity PSO -MaxPasswordAge 0
   

   Reemplaza PSO por el nombre del PSO en el que deseas inhabilitar la política de vencimiento de contraseñas con FGPP. Por ejemplo, PSO-10.

   Para obtener más información sobre el cmdlet Set-ADFineGrainedPasswordPolicy, consulta Modifica una política de contraseñas creada con anterioridad.

3. Para aplicar la política de contraseñas a tu cuenta de administrador delegada, ejecuta el siguiente comando en PowerShell:

   Add-ADFineGrainedPasswordPolicySubject PSO -Subjects DELEGATED_ADMINISTRATOR_ACCOUNT
   

   Reemplaza lo siguiente:
   • PSO: Es el nombre del PSO en el que inhabilitaste la política de vencimiento de contraseñas. Por ejemplo, PSO-10
   • DELEGATED_ADMINISTRATOR_ACCOUNT: Es el nombre de la cuenta de administrador delegada para la que deseas inhabilitar el vencimiento de la contraseña. Por ejemplo, setupadmin

   Para obtener más información sobre el cmdlet Add-ADFineGrainedPasswordPolicySubject, consulta Cómo agregar un usuario o grupo a una política de contraseñas.

Usa las herramientas de los servicios de dominio de Active Directory

Para acceder a las herramientas de Servicios de dominio de Active Directory (AD DS), debes usar la cuenta de administrador delegada. Cuando te conectes a la instancia de VM, asegúrate de acceder con la cuenta de administrador delegada. No puedes cambiar de cuenta después de conectarte a la VM o proporcionar credenciales adicionales. Después de conectarte a la VM, puedes usar el Asistente para agregar funciones y características para habilitar las herramientas de AD DS. Obtén más información sobre cómo habilitar las herramientas de AD DS.

Crea un sufijo UPN

Los nombres del dominio actual y del dominio raíz son los sufijos principales del nombre de usuario (UPN) predeterminado. Agregar nombres de dominio alternativos proporciona seguridad adicional y simplifica los nombres de acceso de los usuarios.

Para crear un sufijo UPN, sigue estos pasos:

1. Conéctate a la instancia de VM con la cuenta de administrador delegada.
2. Abre Administrador del servidor.
3. Desde Herramientas, seleccione Dominios y confianzas de Active Directory.
4. En la consola de administración Dominios y confianzas de Active Directory, haga clic con el botón derecho en Dominios y confianzas de Active Directory en el panel izquierdo y luego seleccione Propiedades.
5. En el cuadro de diálogo Parámetros de UPN alternativos, escribe el nombre del nuevo sufijo UPN.
6. Haz clic en Agregar y, luego, en Aceptar.

Cuando agregas una cuenta de usuario nueva a Active Directory, debes ver el nuevo sufijo UPN disponible en la lista cuando configuras el nombre de usuario.