ITOps AI: Requisitos previos de AD y Exchange en local

Propósito: Este documento define los permisos necesarios para la cuenta de servicio 'beaksvc' a fin de ejecutar operaciones de TI automatizadas a través del agente Beak ITOps mediante pasos de aprovisionamiento basados en interfaz de usuario.

---

Resumen Ejecutivo

Este documento describe los requisitos previos y los permisos necesarios para que la cuenta de servicio beaksvc ejecute operaciones de TI automatizadas gestionadas por el agente Beak ITOps. A la cuenta de servicio se le concederán permisos delegados en Active Directory local y Exchange Server 2016/2019 para realizar la gestión del ciclo de vida de usuarios, la gestión de grupos, la administración de equipos y las operaciones de buzones de correo.

Todos los pasos de aprovisionamiento se proporcionan mediante interfaces de usuario nativas con dos enfoques de delegación:

• Asistente para delegación de control – delegación más sencilla, basada en tareas
• Pestaña de permisos avanzados – configuración de ACL granular (incluida la opción Contenido de la lista)

La configuración está diseñada según el principio de mínimo privilegio, garantizando al mismo tiempo que el agente Beak ITOps pueda detectar y gestionar objetos de forma fiable.

Principales capacidades de automatización:

• Gestión del ciclo de vida de cuentas de usuario (crear, deshabilitar, eliminar, desbloquear, restablecer contraseña)
• Gestión de pertenencia a grupos y listas de distribución
• Transiciones de unidades organizativas de equipos
• Sincronización de atributos de AD y aplicación de directivas
• Aprovisionamiento de buzones de Exchange Server y gestión de delegación
• Configuración de impresoras y periféricos

---

1. Configuración de la Cuenta de Servicio

1.1 Detalles de la Cuenta

Atributo	Valor
Nombre de cuenta	beaksvc
Tipo de cuenta	Cuenta de servicio (usuario de dominio)
OU de ubicación	CN=beaksvc,OU=Service Accounts,DC=domain,DC=com
Directiva de contraseña	Sin caducidad (recomendado para cuentas de servicio)
Opciones de cuenta	Habilitada, la contraseña no caduca nunca, no puede cambiar la contraseña
Dirección de correo electrónico	beaksvc@domain.com (requerida para los permisos de Exchange)

1.2 Pasos para Crear la Cuenta de Servicio (UI - Usuarios y equipos de Active Directory)

Paso 1: Abrir Usuarios y equipos de Active Directory

1. En un controlador de dominio o estación de trabajo administrativa con Usuarios y equipos de Active Directory instalado
2. Abra "Usuarios y equipos de Active Directory"
3. Navegue a la OU de Cuentas de servicio (o la OU deseada para las cuentas de servicio)

Paso 2: Crear la cuenta de usuario

1. Haga clic con el botón derecho en la OU de Cuentas de servicio
2. Seleccione Nuevo > Usuario
3. En el cuadro de diálogo "Nuevo objeto – Usuario":
   • Nombre: (déjelo en blanco o use "Beak")
   • Apellidos: (déjelo en blanco o use "Service")
   • Nombre completo: beaksvc
   • Nombre de inicio de sesión de usuario: beaksvc
   • Nombre de inicio de sesión de usuario (anterior a Windows 2000): DOMAIN\beaksvc
4. Haga clic en Siguiente

Paso 3: Establecer la contraseña

1. En el cuadro de diálogo de contraseña:
   • Contraseña: Introduzca una contraseña segura (mínimo 16 caracteres, combinación de mayúsculas, minúsculas, números y caracteres especiales)
   • Confirmar contraseña: Vuelva a introducir la contraseña
   • Marque La contraseña nunca caduca
   • Marque El usuario no puede cambiar la contraseña
   • Desmarque El usuario debe cambiar la contraseña en el siguiente inicio de sesión
2. Haga clic en Siguiente

Paso 4: Confirmar y finalizar

1. Revise la configuración
2. Haga clic en Finalizar

1.3 Configurar el Buzón de Exchange para la Cuenta de Servicio (UI - Centro de administración de Exchange)

Requisitos previos: Exchange Server 2016 o 2019 debe estar instalado

Paso 1: Conectarse al Centro de administración de Exchange

1. Abra un navegador web
2. Navegue a https://exchangeserver.domain.com/ecp (reemplace exchangeserver.domain.com con su servidor real)
3. Inicie sesión con una cuenta que tenga permisos de administrador de Exchange

Paso 2: Habilitar el buzón para beaksvc

1. En el EAC, haga clic en Destinatarios en el panel de características
2. Haga clic en la pestaña Buzones
3. Haga clic en Nuevo (icono +)
4. Seleccione Buzón de usuario
5. En el cuadro de diálogo "Nuevo buzón de usuario":
   • Tipo de usuario: Nuevo usuario
   • Nombre: Beak
   • Apellidos: Service
   • Nombre para mostrar: beaksvc (Service Account)
   • Nombre: beaksvc
   • Alias: beaksvc
   • Dirección de correo electrónico: beaksvc@domain.com
   • Marque El usuario de Active Directory ya existe
   • Haga clic en Examinar y seleccione la cuenta de usuario beaksvc creada en Active Directory
6. Haga clic en Siguiente
7. Seleccione la base de datos de buzones donde se almacenará el buzón
8. Haga clic en Nuevo para crear el buzón

Paso 3: Verificar la creación del buzón

1. Navegue a Destinatarios > Buzones
2. Busque "beaksvc"
3. Verifique que el buzón aparece en la lista y que el estado es "Habilitado"

1.4 Configuración de Seguridad

Deshabilitar el inicio de sesión interactivo (mediante Directiva de grupo)

1. Abra el Editor de directivas de grupo en una estación de trabajo conectada al dominio
2. Navegue a: Configuración del equipo > Directivas > Configuración de Windows > Configuración de seguridad > Directivas locales > Asignación de derechos de usuario
3. Abra "Denegar el inicio de sesión local"
4. Agregue la cuenta beaksvc a esta directiva
5. Haga lo mismo con "Denegar el inicio de sesión a través de Servicios de Escritorio remoto"

Almacenamiento seguro de documentación

1. Almacene la contraseña de beaksvc en un almacén de credenciales seguro (por ejemplo, Thycotic Secret Server, HashiCorp Vault, Azure Key Vault)
2. Documente:
   • Fecha de creación de la cuenta de servicio
   • Contraseña inicial (solo en almacenamiento cifrado)
   • Programación de rotación de contraseña
   • Propósito de la cuenta de servicio y aprobador

---

2. Permisos de Active Directory

2.1 Permisos de Gestión de Usuarios

Tabla de permisos requeridos

Operación	Ámbito	Permisos necesarios
Crear cuentas de usuario	OU(s) de destino	Crear objetos de usuario
Eliminar cuentas de usuario	OU(s) de destino	Eliminar objetos de usuario
Desbloquear cuenta de usuario	OU(s) de destino	Restablecer contraseña
Restablecer contraseña de usuario	OU(s) de destino	Restablecer contraseña
Forzar cambio de contraseña	OU(s) de destino	Escritura en pwdLastSet
Deshabilitar cuenta de usuario	OU(s) de destino	Escritura en userAccountControl

Pasos de UI: Delegar permisos de gestión de usuarios

Paso 1: Abrir Usuarios y equipos de Active Directory

1. En un controlador de dominio o estación de trabajo administrativa
2. Abra "Usuarios y equipos de Active Directory"
3. Navegue a la OU que contiene los objetos de usuario (por ejemplo, CN=Users o una OU de usuarios personalizada)

Paso 2: Iniciar el Asistente para delegación

1. Haga clic con el botón derecho en la OU de destino que contiene los usuarios
2. Seleccione Delegar control...
3. Se abre el "Asistente para delegación de control"

Paso 3: Seleccionar el usuario/grupo al que delegar

1. Haga clic en Siguiente (tras la introducción del asistente)
2. Haga clic en Agregar...
3. En el cuadro de diálogo "Seleccionar usuarios, equipos o grupos":
   • Escriba: beaksvc
   • Haga clic en Comprobar nombres
   • Verifique que el nombre se resuelve como DOMAIN\beaksvc
4. Haga clic en Aceptar
5. Haga clic en Siguiente

Paso 4: Seleccionar tareas para delegar - Restablecimiento de contraseña

1. En la página "Tareas para delegar", seleccione Crear una tarea personalizada para delegar
2. Haga clic en Siguiente
3. En el cuadro de diálogo "Tipo de objeto de Active Directory":
   • Seleccione Solo los siguientes objetos en la carpeta
   • Marque Objetos de usuario
4. Haga clic en Siguiente
5. En el cuadro de diálogo "Permisos":
   • Marque la sección General:
     • ☑ Restablecer contraseña
   • Marque la sección Específico de propiedad:
     • ☑ Leer lockoutTime (para leer el estado de bloqueo actual)
     • ☑ Escribir lockoutTime (para desbloquear cuentas)
     • ☑ Leer pwdLastSet (para comprobar la antigüedad de la contraseña)
     • ☑ Escribir pwdLastSet (para forzar el cambio de contraseña)
6. Haga clic en Siguiente
7. Revise el resumen de delegación
8. Haga clic en Finalizar

Paso 5: Agregar permisos para habilitar/deshabilitar usuarios

1. Repita los pasos 1-3 anteriores
2. En la página "Tareas para delegar", seleccione Crear una tarea personalizada para delegar
3. Haga clic en Siguiente
4. Seleccione Solo los siguientes objetos en la carpeta y marque Objetos de usuario
5. Haga clic en Siguiente
6. En el cuadro de diálogo "Permisos":
   • En Específico de propiedad:
     • ☑ Escribir userAccountControl (permite las operaciones de habilitación/deshabilitación)
7. Haga clic en Siguiente
8. Haga clic en Finalizar

Paso 6: Agregar permisos para crear/eliminar usuarios

1. Repita los pasos 1-3 anteriores
2. En la página "Tareas para delegar", seleccione Crear una tarea personalizada para delegar
3. Haga clic en Siguiente
4. En el cuadro de diálogo "Tipo de objeto de Active Directory":
   • Seleccione Esta carpeta, los objetos existentes en esta carpeta y la creación de nuevos objetos en esta carpeta
5. Haga clic en Siguiente
6. En el cuadro de diálogo "Permisos":
   • Marque Creación/eliminación de objetos secundarios específicos:
     • ☑ Usuario (esto permite la creación y eliminación de objetos de usuario)
7. Haga clic en Siguiente
8. Haga clic en Finalizar

2.2 Permisos de Gestión de Grupos

Pasos de UI: Delegar permisos de gestión de grupos

Paso 1: Abrir Usuarios y equipos de Active Directory

1. Navegue a la OU que contiene los objetos de grupo (por ejemplo, CN=Groups OU)
2. Haga clic con el botón derecho en la OU de grupos
3. Seleccione Delegar control...

Paso 2: Seleccionar el usuario/grupo al que delegar

1. Haga clic en Siguiente
2. Haga clic en Agregar...
3. Escriba: beaksvc
4. Haga clic en Comprobar nombres y verifique
5. Haga clic en Aceptar > Siguiente

Paso 3: Delegar la modificación de pertenencia a grupos

1. Seleccione Modificar la pertenencia de un grupo
2. Haga clic en Siguiente
3. Revise la confirmación
4. Haga clic en Finalizar

Este permiso permite a beaksvc agregar o quitar miembros de los grupos existentes.

Paso 4: Agregar permisos de creación de grupos

1. Haga clic con el botón derecho en la OU de grupos nuevamente
2. Seleccione Delegar control...
3. Haga clic en Siguiente
4. Haga clic en Agregar... > Escriba beaksvc > Comprobar nombres > Aceptar > Siguiente
5. Seleccione Crear una tarea personalizada para delegar
6. Haga clic en Siguiente
7. Seleccione Esta carpeta, los objetos existentes en esta carpeta y la creación de nuevos objetos en esta carpeta
8. Haga clic en Siguiente
9. En el cuadro de diálogo "Permisos":
   • Marque Creación/eliminación de objetos secundarios específicos:
     • ☑ Grupo (permite crear y eliminar grupos)
10. Haga clic en Siguiente > Finalizar

2.3 Permisos de Gestión de Equipos

Pasos de UI: Delegar permisos de gestión de equipos

Paso 1: Navegar a la OU de equipos

1. Abra Usuarios y equipos de Active Directory
2. Navegue a la OU que contiene los objetos de equipo (por ejemplo, OU de Equipos o OU de Estaciones de trabajo)
3. Haga clic con el botón derecho en la OU de equipos
4. Seleccione Delegar control...

Paso 2: Agregar beaksvc

1. Haga clic en Siguiente
2. Haga clic en Agregar... > Escriba beaksvc > Comprobar nombres > Aceptar > Siguiente

Paso 3: Delegar tareas de gestión de equipos

1. Seleccione Crear una tarea personalizada para delegar
2. Haga clic en Siguiente
3. Seleccione Solo los siguientes objetos en la carpeta
4. Marque Objetos de equipo
5. Haga clic en Siguiente
6. En el cuadro de diálogo "Permisos":
   • Marque General:
     • ☑ Escribir todas las propiedades (esto permite mover equipos entre OUs)
7. Haga clic en Siguiente > Finalizar

Esto permite a beaksvc mover equipos a diferentes unidades organizativas.

2.4 Permisos de Sincronización de Atributos

Pasos de UI: Delegar permisos de escritura de atributos

Paso 1: Navegar a la OU de usuarios

1. Abra Usuarios y equipos de Active Directory
2. Haga clic con el botón derecho en la OU de usuarios
3. Seleccione Delegar control...

Paso 2: Agregar beaksvc

1. Haga clic en Siguiente
2. Haga clic en Agregar... > Escriba beaksvc > Comprobar nombres > Aceptar > Siguiente

Paso 3: Delegar permisos de atributos específicos

1. Seleccione Crear una tarea personalizada para delegar
2. Haga clic en Siguiente
3. Seleccione Solo los siguientes objetos en la carpeta
4. Marque Objetos de usuario
5. Haga clic en Siguiente
6. En el cuadro de diálogo "Permisos", seleccione Específico de propiedad
7. Marque los siguientes atributos:
   • ☑ Escribir displayName
   • ☑ Escribir mail
   • ☑ Escribir telephoneNumber
   • ☑ Escribir streetAddress
   • ☑ Escribir city
   • ☑ Escribir st (estado/provincia)
   • ☑ Escribir postalCode
   • ☑ Escribir department
   • ☑ Escribir title
   • ☑ Escribir company
   • ☑ Escribir manager
   • ☑ Escribir description
8. Haga clic en Siguiente > Finalizar

---

3. Permisos de Exchange Server

3.1 Acceso al Centro de Administración de Exchange

Paso 1: Abrir el Centro de administración de Exchange

1. Desde un navegador web: https://exchangeserver.domain.com/ecp
2. Inicie sesión con una cuenta que tenga derechos de administración de la organización

Paso 2: Verificar que el buzón de beaksvc existe

1. Navegue a Destinatarios > Buzones
2. Busque "beaksvc"
3. Confirme que el buzón está creado y habilitado

3.2 Agregar beaksvc a los Grupos de Roles (Método de UI)

Paso 1: Navegar a los Roles de administrador

1. En el Centro de administración de Exchange, haga clic en Permisos en el panel de características
2. Haga clic en la pestaña Roles de administrador

Paso 2: Agregar beaksvc al grupo de roles "Recipient Management"

1. En la lista de grupos de roles, busque y haga clic en Recipient Management
2. El panel de detalles del grupo de roles se abre en el lado derecho
3. En la sección "Miembros", haga clic en Editar (icono de lápiz)
4. En el cuadro de diálogo "Recipient Management":
   • Haga clic en Agregar (+)
   • Aparece un cuadro de diálogo de selección
   • Escriba: beaksvc
   • Haga clic en Buscar o presione Entrar
   • Seleccione beaksvc (beaksvc@domain.com)
   • Haga clic en Agregar > Aceptar
5. Haga clic en Guardar

Qué concede esto: Permiso para administrar destinatarios de buzones, crear/modificar/eliminar destinatarios y administrar grupos de distribución

Paso 3: Agregar beaksvc al grupo de roles "Mail Recipients" (si no está incluido ya)

1. Haga clic en el grupo de roles Mail Recipients
2. Haga clic en Editar
3. Haga clic en Agregar en la sección Miembros
4. Escriba: beaksvc
5. Haga clic en Buscar
6. Seleccione beaksvc
7. Haga clic en Agregar > Aceptar > Guardar

Qué concede esto: Permisos básicos de administración de buzones y destinatarios

Paso 4: Verificar la pertenencia al grupo de roles

1. Navegue a Permisos > Roles de administrador
2. Haga clic en Recipient Management
3. En la sección "Miembros", verifique que beaksvc aparece en la lista

3.3 Asignar Permisos de Buzón Específicos (Delegación de buzón individual)

Use este proceso si necesita conceder a beaksvc permisos específicos sobre buzones individuales (por ejemplo, para la gestión de buzones compartidos).

Paso 1: Navegar al buzón de destino

1. Vaya a Destinatarios > Buzones (o Compartido para buzones compartidos)
2. Busque y seleccione el buzón al que desea asignar permisos
3. Haga clic en Editar (icono de lápiz)

Paso 2: Configurar la delegación del buzón

Se abre la página de propiedades del buzón. Haga clic en la sección Delegación de buzón.

Para permiso de Acceso total:

1. En la sección Acceso total, haga clic en Agregar (+)
2. Aparece un cuadro de diálogo de selección de usuario
3. Escriba: beaksvc
4. Haga clic en Buscar
5. Seleccione beaksvc
6. Haga clic en Agregar > Aceptar
7. En Acceso total, verifique que beaksvc aparece ahora en la lista

Para permiso Enviar como:

1. En la sección Enviar como, haga clic en Agregar (+)
2. Escriba: beaksvc
3. Haga clic en Buscar
4. Seleccione beaksvc
5. Haga clic en Agregar > Aceptar
6. En Enviar como, verifique que beaksvc aparece ahora en la lista

Para permiso Enviar en nombre de:

1. En la sección Enviar en nombre de, haga clic en Agregar (+)
2. Escriba: beaksvc
3. Haga clic en Buscar
4. Seleccione beaksvc
5. Haga clic en Agregar > Aceptar
6. En Enviar en nombre de, verifique que beaksvc aparece ahora en la lista

Paso 3: Guardar los cambios

1. Tras configurar las delegaciones necesarias, haga clic en Guardar
2. Aparece un mensaje de confirmación
3. El buzón ahora tiene los permisos configurados para beaksvc

3.4 Asignar Permisos de Delegación de Grupos

Si necesita que beaksvc administre delegados en grupos de distribución:

Paso 1: Navegar a los grupos

1. Vaya a Destinatarios > Grupos
2. Busque y seleccione el grupo de distribución
3. Haga clic en Editar

Paso 2: Configurar la delegación del grupo

Se abre la página de propiedades del grupo. Haga clic en la sección Delegación de grupo.

Para permiso Enviar como en el grupo:

1. En Enviar como, haga clic en Agregar (+)
2. Escriba: beaksvc
3. Haga clic en Buscar
4. Seleccione beaksvc
5. Haga clic en Agregar > Aceptar

Para permiso Enviar en nombre de en el grupo:

1. En Enviar en nombre de, haga clic en Agregar (+)
2. Escriba: beaksvc
3. Haga clic en Buscar
4. Seleccione beaksvc
5. Haga clic en Agregar > Aceptar

Paso 3: Guardar los cambios

1. Haga clic en Guardar
2. Confirme que los cambios se han aplicado

3.5 Asignar el Rol de Importación/Exportación de Buzones (Para operaciones masivas)

Paso 1: Navegar a los Roles de administrador

1. Haga clic en Permisos > Roles de administrador
2. Busque "Mailbox Import Export" o un rol similar

Paso 2: Crear un rol personalizado (si es necesario)

Si no existe un rol "Mailbox Import Export" previo que incluya los permisos necesarios:

1. En la parte superior de la lista de grupos de roles, haga clic en Nuevo (+)
2. En el cuadro de diálogo "Nuevo grupo de roles":
   • Nombre: Mailbox Management (o similar)
   • Descripción: Cuenta de servicio para el aprovisionamiento y la gestión de buzones
   • Roles:
     • Haga clic en Agregar
     • Desplácese por los roles disponibles
     • Seleccione: Mail Recipients, Recipient Management, Mailbox Import Export
     • Haga clic en Aceptar
3. Miembros:
   • Haga clic en Agregar
   • Escriba: beaksvc
   • Haga clic en Buscar
   • Seleccione beaksvc
   • Haga clic en Agregar > Aceptar
4. Haga clic en Guardar

---

4. Configuración de Impresoras y Periféricos

4.1 Acceso de Administrador Local en Servidores de Impresión

Paso 1: Acceder al servidor de impresión

1. Conéctese al servidor de impresión de Windows
2. Abra "Administración de equipos"
3. Navegue a Herramientas del sistema > Usuarios y grupos locales

Paso 2: Agregar beaksvc al grupo Administradores

1. Haga doble clic en el grupo Administradores
2. Haga clic en Agregar
3. En el cuadro de diálogo "Seleccionar usuarios, equipos, cuentas de servicio o grupos":
   • Escriba: DOMAIN\beaksvc
   • Haga clic en Comprobar nombres
   • Verifique que el nombre se resuelve correctamente
4. Haga clic en Aceptar
5. Cierre el cuadro de diálogo

Paso 3: Agregar beaksvc al grupo Operadores de impresión (alternativa)

1. Si no se requiere acceso de administrador local, use el grupo Operadores de impresión en su lugar
2. Haga doble clic en el grupo Operadores de impresión
3. Repita los pasos de la sección anterior
4. Esto concede la administración de impresoras sin derechos de administrador del sistema completos

Paso 4: Verificar los cambios

1. Desconéctese y vuelva a conectarse al servidor de impresión para actualizar los permisos
2. Pruebe las operaciones de administración de impresoras

---

5. Requisitos de Infraestructura y Red

5.1 Lista de verificación de conectividad de red

Componente	Puerto	Protocolo	Requerido
Controladores de dominio	389	LDAP	Sí
Controladores de dominio	636	LDAPS	Sí (si se usa LDAP seguro)
Controladores de dominio	88	Kerberos	Sí
Exchange Server	443	HTTPS	Sí
Servidores de impresión	445	SMB	Sí
Servidores de impresión	9100	LPR	Sí (si se usa LPR)

5.2 Reglas de Firewall

Cree reglas de firewall de salida que permitan:

• Desde el servidor del agente Beak ITOps hacia los controladores de dominio en los puertos 389, 636, 88
• Desde el servidor del agente Beak ITOps hacia Exchange Server en el puerto 443
• Desde el servidor del agente Beak ITOps hacia los servidores de impresión en los puertos 445, 9100

5.3 Configuración de Autenticación

Autenticación Kerberos (recomendada):

• Asegúrese de que la cuenta beaksvc tiene habilitada la autenticación Kerberos (predeterminada para las cuentas de usuario)
• Verifique que el agente Beak ITOps puede conectarse a un Centro de distribución de claves (KDC)
• Pruebe la autenticación Kerberos desde el servidor del agente

Autenticación LDAPS (alternativa):

• Exchange Server y los controladores de dominio deben tener certificados SSL válidos
• El puerto LDAPS (636) debe ser accesible desde el servidor del agente Beak ITOps