Configuración segura

• Este artículo contiene los procedimientos necesarios para garantizar que los componentes de restablecimiento de contraseña de autoservicio se implementen y configuren de forma segura.

• Crea una cuenta de usuario de dominio para restablecer la contraseña del usuario y desbloquear el permiso de la cuenta de usuario

• Configura los ajustes del firewall

• Crear una cuenta de autoservicio

Si utilizas las funciones de restablecimiento de contraseña o desbloqueo de cuenta del restablecimiento de contraseña de autoservicio, especifica una cuenta de autoservicio durante la configuración del servicio que el módulo de autoservicio utiliza para ejecutar el restablecimiento de contraseña y el desbloqueo de cuenta. Asegúrate de que la cuenta tenga privilegios suficientes, pero no recomendamos utilizar una cuenta del grupo Administradores de dominio para implementaciones de producción. Los privilegios de cuenta recomendados son:

• Miembro del dominio
• Permiso de restablecimiento de contraseña y desbloqueo de cuenta para los usuarios de dominio pertinentes

En Usuarios y equipos de Active Directory, crea el grupo o la cuenta de usuario para que tenga los derechos de restablecer la contraseña del usuario y desbloquear las cuentas de usuario.

1. En Usuarios y equipos de Active Directory, haz clic con el botón derecho en el dominio y, a continuación, haz clic en Delegar control en el menú.
2. Se muestra el asistente Delegación de control. En el cuadro de diálogo Bienvenida, haz clic en Siguiente.
3. En el cuadro de diálogo Usuarios y grupos, haz clic en Agregar. Selecciona el grupo de la lista al que deseas otorgar el derecho de desbloquear cuentas y, a continuación, haz clic en Aceptar. En el cuadro de diálogo Usuarios y grupos, haz clic en Siguiente.
4. En el cuadro de diálogo Tareas para delegar, haz clic en Crear una tarea personalizada para delegar y, a continuación, haz clic en Siguiente.
5. En el cuadro de diálogo Tipo de objeto de Active Directory, haz clic en Solo los siguientes objetos de la carpeta > Objetos de usuario y, a continuación, haz clic en Siguiente.
6. En el cuadro de diálogo Permisos, selecciona las casillas de verificación General y Específico de la propiedad. En la lista Permisos, selecciona las casillas de verificación Leer lockoutTime, Escribir lockoutTime, Restablecer contraseña, Cambiar contraseña, Leer userAccountControl, Escribir userAccountControl, Leer pwdLastSet y Escribir pwdLastSet y, a continuación, haz clic en Siguiente.

• 1. En el cuadro de diálogo del asistente Finalizar la delegación de control, haz clic en Finalizar.

Configurar los ajustes del firewall

Dado que el servidor de restablecimiento de contraseña de autoservicio y los componentes del servidor de almacenamiento central gestionan las contraseñas de los usuarios, te recomendamos encarecidamente que implementes estos componentes en una red de confianza y que solo sean accesibles por componentes de confianza específicos. Esta sección describe los pasos para garantizar que configures correctamente el firewall de Windows para estos servidores. También te recomendamos que configures la infraestructura de red existente para garantizar que estos servidores estén aislados del tráfico de red no fiable.

Una vez que completes esas configuraciones en la implementación, los servidores de almacenamiento central de restablecimiento de contraseña de autoservicio solo podrán ser accedidos desde los servidores de restablecimiento de contraseña de autoservicio mediante Server Message Block (SMB). Y los servidores de restablecimiento de contraseña de autoservicio solo serán accedidos desde los servidores StoreFront™ con conexiones HTTPS.

Implementación de recursos compartidos de archivos remotos para Windows 2012 R2

Entorno

• Implementa los componentes de restablecimiento de contraseña de autoservicio en servidores dedicados. No los implementes en los mismos servidores que los componentes existentes de StoreFront o Delivery Controller™. De lo contrario, la configuración del firewall que se muestra a continuación podría bloquear el tráfico de StoreFront o del controlador.
• No hay ningún proxy HTTP/HTTPS no transparente entre StoreFront y el servidor de restablecimiento de contraseña de autoservicio.

Si existe algún proxy no transparente entre StoreFront y el servidor de restablecimiento de contraseña de autoservicio, configura el servidor de restablecimiento de contraseña de autoservicio para que solo se pueda acceder a él desde el servidor proxy en las reglas del firewall.

• Las configuraciones de estos procedimientos se basan en las reglas de firewall predeterminadas de Windows.

Configurar el firewall para el almacenamiento central de restablecimiento de contraseña de autoservicio

Una vez completada la configuración, el servicio SMB proporcionado por el almacenamiento central de restablecimiento de contraseña de autoservicio solo podrá ser accedido desde los servidores de restablecimiento de contraseña de autoservicio en la entrada. Y el servidor de almacenamiento central de restablecimiento de contraseña de autoservicio solo podrá acceder a los servicios ubicados en la red corporativa en la salida.

1. Abre el Administrador del servidor y, en el menú Herramientas de la barra de navegación superior, selecciona Firewall de Windows con seguridad avanzada.

2. En Firewall de Windows con seguridad avanzada, selecciona Propiedades del Firewall de Windows en el panel central. Hay tres perfiles de firewall: Dominio, Privado y Público. Selecciona la ficha Perfil de dominio. Asegúrate de que el Estado del firewall esté establecido en Activado, las Conexiones entrantes estén establecidas en Bloquear y las Conexiones salientes estén establecidas en Permitir.

1. Selecciona las fichas Perfil privado y Perfil público. Asegúrate de que el Estado del firewall esté establecido en Activado, y que tanto las Conexiones entrantes como las Conexiones salientes estén establecidas en Bloquear. Aplica y guarda los cambios.

2. En las Reglas de entrada, elige Uso compartido de archivos e impresoras (SMB-In) y asegúrate de que esta regla esté Habilitada y la Acción esté establecida en Permitir la conexión.

1. En Propiedades de Uso compartido de archivos e impresoras (SMB-In), cambia a la ficha Ámbito. Elige Estas direcciones IP y agrega todas las direcciones IP del servidor de restablecimiento de contraseña de autoservicio a la lista. Por ejemplo, servidor de restablecimiento de contraseña de autoservicio A (192.168.1.10) y servidor de restablecimiento de contraseña de autoservicio B (192.168.1.11).

2. En Propiedades de Uso compartido de archivos e impresoras (SMB-In), cambia a la ficha Avanzado, selecciona los perfiles Dominio, Privado y Público, y guarda los cambios de esta regla.

3. Repite este procedimiento en las reglas De entrada para Administración remota de servidor de archivos (SMB-In) y Uso compartido de archivos e impresoras (NB-Session-In).

Configurar el firewall para el servidor de restablecimiento de contraseña de autoservicio

Una vez completada la configuración, el servicio web proporcionado por los servidores de restablecimiento de contraseña de autoservicio solo podrá ser accedido por los servidores StoreFront mediante HTTPS. Y los servidores de restablecimiento de contraseña de autoservicio podrán acceder a los servicios ubicados en la red corporativa.

1. Abre el Administrador del servidor y, en el menú Herramientas de la barra de navegación superior, selecciona Firewall de Windows con seguridad avanzada.

2. En Firewall de Windows con seguridad avanzada, selecciona Propiedades del Firewall de Windows en el panel central. Hay tres perfiles de firewall: Dominio, Privado y Público. Selecciona la ficha Perfil de dominio. Asegúrate de que el Estado del firewall esté establecido en Activado, las Conexiones entrantes estén establecidas en Bloquear y las Conexiones salientes estén establecidas en Permitir.

1. Selecciona las fichas Perfil privado y Perfil público y asegúrate de que el Estado del firewall esté establecido en Activado. Y que tanto las Conexiones entrantes como las Conexiones salientes estén establecidas en Bloquear. Aplica y guarda los cambios.

2. En las Reglas de entrada, elige Servicios World Wide Web (Tráfico HTTP de entrada). Y asegúrate de que esta regla esté Habilitada y la Acción esté establecida en Bloquear la conexión.

3. En Propiedades de Servicios World Wide Web (Tráfico HTTP de entrada), cambia a la ficha Avanzado. Selecciona los perfiles Dominio, Privado y Público, y guarda los cambios de esta regla.

4. En las Reglas de entrada, elige Servicios World Wide Web (Tráfico HTTPS de entrada). Asegúrate de que esta regla esté Habilitada y la Acción esté establecida en Permitir la conexión.

1. En las Propiedades de Servicios World Wide Web (Tráfico HTTPS de entrada), cambia a la ficha Ámbito. Elige Estas direcciones IP y agrega todas las direcciones IP del servidor StoreFront a la lista. Por ejemplo, StoreFront A (192.168.1.50) y StoreFront B (192.158.1.51).

2. En las Propiedades de Servicios World Wide Web (Tráfico HTTPS de entrada), cambia a la ficha Avanzado. Selecciona los perfiles Dominio, Privado y Público, y guarda los cambios de esta regla.