Windows Server 2016 nos ofrece una amplia gama de opciones en diversos aspectos tanto de gestión, seguridad, accesibilidad y control sobre cada actividad que realizan los usuarios y los equipos dentro de la estructura del directorio activo.
Una de estas nuevas funcionalidades nos permite como administradores poder asignar a un usuario específico dentro de un determinado grupo, ya sea de seguridad o global, durante un periodo determinado de tiempo y de esta forma permitir que dicho usuario realice ciertas tareas en el tiempo que ha sido configurado sin la posibilidad que se pase de dicho tiempo o tenga acceso permanente a dicho grupo ya que es un riesgo de seguridad y de acceso a toda la información alojada en el servidor.
Hoy este tutorial analizará en detalle cómo habilitar esta opción de una forma sencilla y funcional en Windows Server 2016.
Para este fin hemos creado un usuario llamado Acceso el cual tiene los privilegios básicos.
Cómo agregar un usuario a un grupo temporalmente en dominio con Windows PowerShell
En primer lugar accederemos a Windows PowerShell usando alguna de las siguientes opciones:
Una vez accedamos a la terminal de Windows PowerShell ejecutaremos el siguiente comando para habilitar la característica que nos dará la posibilidad de agregar al usuario a dicho grupo de forma temporal. En el mensaje desplegado ingresamos la letra S para aceptar los cambios. Recordemos modificar el dominio por el adecuado según nuestra organización.
Enable-ADOptionalFeature ‘Privileged Access Management Feature’ -Scope ForestOrConfigurationSet -Target solvetic.com
A continuación ejecutaremos el siguiente comando para validar que usuario o usuarios pertenecen al grupo a agregar, el cual será de forma temporal Admins del Dominio. Tan pronto finalice el tiempo de renovación se perderá el acceso al grupo temporal en el que fue incluido el usuario. Podemos observar que en este momento el único usuario en dicho grupo es Administrador.
Get-ADGroupMember “Admins. Del Dominio”
A continuación agregaremos al usuario Acceso a dicho grupo durante un lapso de 20 minutos, para ello ejecutaremos el siguiente comando:
Add-ADGroupMember -Identity ‘Admins. Del Dominio’ -Members ‘Acceso’ -MemberTimeToLive (New-TimeSpan -Minutes 20)
Una vez ejecutado este paso verificaremos el estado del TTL (Time To Life) del resto del grupo usando el siguiente comando:
Get-ADGroup ‘Admins. Del Dominio’ -Property member –ShowMemberTimeToLive
Ahora cuando dicho usuario inicie sesión podremos usar el comando klist donde comprobaremos la hora de inicio y finalización del permiso a dicho grupo. Tan pronto finalice el tiempo de renovación se perderá el acceso al grupo temporal en el que fue incluido el usuario.
Para que no tengas problemas a la hora de ejecutar estos pasos, aquí tienes cómo puedes hacerlo viéndolo gráficamente en este videotutorial.
Como vemos esta es una nueva característica ofrecida por Windows Server 20016 que sin lugar a dudas será de gran ayuda para todo el tema de control de usuarios que requieren determinadas tareas en un tiempo específico de tiempo. Si lo que prefieres es quitar un usuario, aquí podrás deshabilitar aquellos usuarios que lleven cierto tiempo sin iniciar sesión usando Windows Server 2016.
