Conectar Active Directory a la sonda Scout

Al conectar Active Directory, la sonda Scout mapea los usuarios, grupos, equipos y permisos de tu dominio, siempre en modo de solo lectura. Introduces un administrador de dominio una sola vez: la sonda crea una cuenta dedicada de solo lectura y la contraseña del administrador se descarta.

Objetivo

Conectar el dominio meccanicaadda.local a la sonda stabilimento-treviglio para que cada escaneo interno recopile también Active Directory.

Requisitos previos

• La sonda está instalada y aparece como En línea. Si está desconectada, RECON no inicia la conexión y muestra: "La sonda aún no está en línea. Instálala e iníciala primero — Active Directory se conecta cuando la sonda está activa, para que tu contraseña de administrador se entregue de forma segura."
• Eres el propietario de la sonda: solo el propietario puede conectar o modificar Active Directory.
• La sonda alcanza un controlador de dominio por LDAPS (TCP 636) o por LDAP (TCP 389) con StartTLS. Con controladores de dominio sin certificado, la sonda puede recurrir como último recurso al sellado NTLM en el puerto 389 (solo con contraseña). Nunca se usa un canal sin cifrar.
• Tienes las credenciales de un administrador de dominio (contraseña o hash NT). Solo se necesitan una vez.

Procedimiento

1. Abre la edición de la sonda

   En el menú lateral, abre Sondas Internas. Busca la sonda stabilimento-treviglio en Gruppo Meccanica Adda, abre su menú y elige Editar.

2. Ve a la pestaña Active Directory

   Selecciona la pestaña Active Directory. El panel Conectar Active Directory indica: "Introduce un administrador de dominio una sola vez. RECON crea una cuenta dedicada de solo lectura y descarta tu contraseña de administrador."

3. Indica el dominio

   En Dominio, IP o hostname, escribe meccanicaadda.local: la sonda localiza el controlador de dominio mediante DNS. Si el DNS del dominio está roto o sigue apuntando a un controlador retirado, introduce la IP o el hostname de un controlador de dominio para conectar directamente.

4. Introduce el administrador

   En Administrador, escribe el nombre de usuario con el formato DOMINIO\usuario y, en Contraseña, su contraseña. Si solo tienes el hash NT de la cuenta, pulsa usar hash NT y pega el hash de 32 caracteres hexadecimales.

5. Conecta

   Pulsa Conectar Active Directory. Aparece "Creando tu cuenta de solo lectura…": la sonda inicia sesión como administrador, crea la cuenta de recopilación y después descarta la contraseña. Tarda unos 30 segundos.

Qué ocurre después del clic

• RECON cifra la contraseña del administrador con AES-256-GCM, con una clave propia de esa sonda, y solo se la entrega a la sonda cuando está en línea.
• La copia cifrada permanece en el servidor unos pocos minutos como máximo: cuando llega el resultado, o al caducar, se sobrescribe y se elimina.
• La sonda la abre solo en memoria, se conecta al controlador de dominio por un canal cifrado y crea una cuenta dedicada cuyo nombre empieza por svc-orizon-recon. Es un usuario de dominio normal, sin pertenencia a grupos privilegiados.
• En la misma operación, la sonda intenta delegar a esa cuenta la lectura de las contraseñas LAPS. Si el dominio no usa LAPS, la cuenta sigue siendo plenamente utilizable.
• La contraseña del administrador nunca se guarda en claro ni se escribe en el disco de la sonda. El registro de auditoría de RECON solo anota el nombre del administrador, nunca la contraseña.

Usar una cuenta de solo lectura que ya tienes

El dominio principal de la sonda se conecta con el procedimiento anterior. Para recopilar otros dominios desde la misma sonda, usa Añadir otro dominio al final de la pestaña: introduce Dominio, IP o nombre de host, Usuario recolector y su contraseña, y pulsa Añadir dominio. En este caso no se crea nada en tu directorio.

Resultado

• En la pestaña Active Directory de la sonda aparece "Active Directory conectado", con el modo de la cuenta y la cobertura. Desde aquí puedes usar Volver a comprobar cobertura y Resincronizar credencial.
• En el escaneo interno, abre la pestaña Active Directory, elige el dominio y abre Cobertura: verás la cuenta de recopilación (un usuario de dominio de solo lectura) y qué lecturas están concedidas, por ejemplo si Leer contraseñas LAPS está disponible.

Qué lee la sonda en cada escaneo

Después del escaneo de red, si la opción Incluir Active Directory del escaneo está activada, la sonda usa la cuenta de solo lectura para leer:

• usuarios, grupos, equipos y unidades organizativas;
• directivas de grupo (GPO) y el contenido de SYSVOL, en modo de solo lectura;
• confianzas entre dominios;
• permisos sobre los objetos (ACL);
• plantillas y entidades de certificación de AD CS.

La recopilación nunca escribe nada en el directorio y dispone de 5 minutos por dominio.

Solución de problemas

• "Conexión fallida": RECON muestra el motivo. Comprueba las credenciales del administrador y que la sonda alcance el controlador de dominio, y vuelve a intentarlo.
• Conectado, pero los escaneos no muestran Active Directory: pulsa Resincronizar credencial y ejecuta un escaneo en los 15 minutos siguientes.
• La recopilación falla o es parcial: la pestaña Active Directory del escaneo indica el motivo y cómo solucionarlo. Encontrarás todos los casos en la guía de errores de recopilación.

Artículos relacionados