Chuletillas de PowerShell

Continuando con la última entrada de como instalar un servidor Windows en modo core, introducimos unas cuantas chuletillas de como operar mediante la PowerShell para levantar unos cuantos servicios.

Recordar que para iniciar una sesión de PowerShell en una instalación modo core, hay que ejecutar la instrucción:

start powershell

En equipos con entorno gráfico, hay que iniciar la aplicación Windows PowerShell del menú de inicio. En esta entrada se encuentra:

• Cambiar el perfil de la red 
• Conexión al servidor core para escritorio remoto
• Conexión remota al servidor para PowerShell
• Creación de usuarios y grupos para PowerShell

Perfil de red

Una vez desplegado el servidor y sin haberlo unido a ningún dominio, es posible que el perfil de la red (dominio, privado o público) no sea el correcto, más bien que esté en el perfil público. En este caso estará bloqueando todos los accesos desde la red al servidor.

Para visualizar la configuración actual:

Get-NetConnectionProfile

Para cambiar la configuración del perfil de red de una interfaz (la 3 correspondiente a la red Network) a privado, por ejemplo:

Set-NetConnectionProfile -Name Network -InterfaceIndex 3 -NetworkCategory Private

Los valores que corresponden al parámetro NetworkCategory para indicar el tipo de red a la que pertenece son:

• Pertenece a un dominio: DomainAuthenticated
• Es una red privada: Private
• Es una red pública: Public

Habilitar conexión para Escritorio Remoto

Hoy en día, normalmente, ya no se trabaja delante de la pantalla del servidor sino que todo se hace por conexiones remotas. El hecho de tener un servidor en entorno core no tiene porque ser diferente. Para habilitar la conexión para escritorio remoto hay que ejecutar el siguiente comando para habilitar el acceso de clientes:

cscript c:\Windows\System32\SCregEdit.wsf /ar 0

Pero también hay que modificar el cortafuegos para que permita las conexiones por el puerto TCP 3389. Comprobar el estado de las reglas predeterminadas referentes al escritorio remoto:

Get-NetFirewallRule -DisplayName "*remote desktop - User*"

Se debe comprobar el parámetro Enabled, que por defecto tendrá el valor FALSE. Como que hay más de una regla a tocar y no tengo demasiadas ganas de trabajar, pasaré una sola línea para cambiar el valor de este parámetro a TRUE, siempre y cuando la regla corresponda al perfil de red PRIVADO.

Get-NetFirewallRule -DisplayName "*remote desktop - User*" |Where-Object {$_.Profile -like "*Private*"} | Set-NetFirewallRule -Enabled True

Para entender un poco lo que hace la parrafada anterior, no os dejaré con la palabra en la boca:

• Get-NetFirewallRule -DisplayName «*remote desktop – User*» Muestra todas las reglas del cortafuegos en el que su nombre contenga la frase «remote desktop -User» que equivale a las reglas que permiten la conexión por escritorio remoto de los usuarios.
• |Where-Object {$_.Profile -like «*Private*»} Se encadena a la instrucción anterior con el símbolo | (AltGr y la tecla 1). Lo que hace es filtrar la lista de la instrucción anterior para que sólo seleccione las reglas que en su perfil (Profile) contienen la palabra Private. Habilitando solo el acceso para escritorio remoto cuando el equipo tenga el perfil de red Private o Domain, y no cuando tenga un perfil público.
• |Set-NetFirewallRule -Enabled True También como instrucción encadenada, coge todas las reglas de la lista anterior (la que se obtiene filtrada por remote desktop… y perfil de red private) y le cambia el valor del parámetro Enabled a True, habilitando de esta manera la regla porque permita el tráfico por estas reglas. En caso de querer volver a bloquear el tráfico, solo hay que cambiar el valor True por False.

Se puede visualizar en forma de tabla el estado de las reglas:

Get-NetFirewallRule -DisplayName "*remote desktop - User*" |Where-Object {$_.Profile -like "*Private*"} |ft DisplayName,Enabled

Ya se puede probar la conexión de escritorio remoto desde un equipo cliente como en cualquier otro servidor. ¡Pero atención! no esperéis encontrar todo el entorno gráfico, en su lugar encontraréis la misma consola de comandos que habéis estado viendo hasta ahora en el propio servidor (estamos trabajando con un servidor core, recordad).

Habilitar conexión remota para PowerShell

No todo es el entorno gráfico en Windows, si, se puede acceder remotamente a la PowerShell del servidor. ¿Cómo? Pues con unos cuantos pasos. Primero hay que habilitar el acceso a PowerShell remota:

Enable-PSRemoting -force

Ahora, en el equipo cliente desde donde nos queremos conectar al servidor, hay que especificar el servidor como un anfitrión de confianza para conectarse. La siguiente instrucción especifica que cualquier equipo será de confianza y de esta manera le permitirá la conexión.

set-item wsman:\localhost\client\trustedhosts *

Como que es un poco exagerado permitir las conexiones a todos, pulimos un poco la instrucción anterior concretando la dirección IP y el nombre del servidor donde nos conectaremos remotamente por PowerShell.

set-item wsman:\localhost\client\trustedhosts "192.168.0.17,SERVIDORCORE"

Para que tengan efecto los cambios hay que reiniciar el servicio de Windows Remote Management (WinRM):

Restart-Service WinRM

Antes de establecer la conexión, podemos comprobar que todo está correcto con el comando:

Test-WsMan NOMBRE_EQUIPO

Donde Nombre_Equipo, como bien indica su nombre, corresponde al equipo o dirección IP donde nos queremos conectar remotamente. Nos debe devolver una cosa parecida a la que muestra la imagen. En este caso, he hecho la prueba con un equipo que se llama JARVIS.

Ya se puede hacer la conexión remota de PowerShell, indicando el nombre del equipo (NOMBRE_EQUIPO) donde conectarse y las credenciales de un usuario con permisos (CREDENCIALS), formadas por el nombre del equipo o dominio y el usuario (JARVIS\Administrador) para hacerlo:

Enter-PSSession -ComputerName NOMBRE_EQUIPO -Credential CREDENCIALS

Siguiendo el ejemplo sería:

Enter-PSSession -ComputerName JARVIS -Credential JARVIS\Administrator

Una vez validemos la instrucción, nos aparece el cuadro de diálogo de Windows pidiendo la contraseña de las credenciales introducidas.

Comprobado el usuario, se establece la conexión de PowerShell con el servidor remoto. Se puede diferenciar de la local porque el intérprete de comandos de PowerShell (PS) empieza por el nombre del equipo remoto entre corchetes.

A partir de este momento las instrucciones que introducimos se ejecutan en el servidor remoto hasta que no cerramos la sesión con un simple:

exit

Volviendo al intérprete de comandos de PowerShell de la máquina local.

La otra opción de ejecutar comandos en un equipo remoto, pero sin conectar a la PowerShell sino recuperar los resultados en la consola local es con la instrucción:

Invoke-Command -ComputerName NOM_EQUIP -ScriptBlock { INSTRUCCIONS } -Credential CREDENCIALS

En el parámetro ScriptBlock, entre llaves, se especifican las instrucciones separadas por un ; a ejecutar en el equipo remoto.

Siguiendo el ejemplo, para listar el contenido de la raíz de la unidad C:\ y que al final indique el nombre del servidor, la instrucción sería:

Invoke-Command -ComputerName JARVIS -ScriptBlock { Get-ChildItem C:\ ; hostname } -Credential JARVIS\Administrator

Creación de usuarios y grupos de seguridad por PowerShell

Un poco más complicado que todo lo anterior es la creación de usuarios y grupos de seguridad. Hay que crear un objeto que represente el ordenador y asignarlo a una variable:

$Equipo = [ADSI]"WinNT://$Env:COMPUTERNAME,Computer"

Una vez tenemos el objeto del equipo, para crear un usuario, se ha de crear un objeto que relacione el nuevo usuario con el equipo ($Equipo):

$Usuario = $Equipo.Create("User","NOMBRE_DEL_USUARIO")
$Usuario.SetPassword("Contraseña")
$Usuario.SetInfo()
$Usuario.FullName ="NOMBRE_DEL_USUARIO_COMPLETO"
$Usuario.SetInfo()

Analizando los comandos uno a uno:

$Usuario = $Equipo.Create(«User»,»NOMBRE_DEL_USUARIO») crea el objeto $Usuario que le asigna un usuario (User) nuevo (NOMBRE_DEL_USUARIO) en el equipo local $Equipo.

$Usuario.SetPassword(«Contraseña») establece una nueva contraseña para el usuario que se está creando. Se aplican las políticas de contraseñas, si la nueva contraseña no las cumple dará un error al respecto.

$Usuario.SetInfo() escribe los cambios que se han hecho en el objeto $Usuario, ya sea en el equipo o en el Active Directory, dependiendo de donde se esté creando el usuario.

$Usuario.FullName = «NOMBRE_DEL_USUARIO_COMPLETO» Especifica el nombre largo del usuario.

$Usuario.SetInfo() escribe los cambios hechos, añadir el nombre completo del usuario.

Para visualizar los usuarios locales del equipo, haciendo una consulta filtrada a los objetos del equipo se obtiene el listado:

$Equipo.Children |Where-Object {$_.schemaclassname -eq 'user' } | ft Name, Description -Autosize

Para visualizar las propiedades de un usuario concreto, asignando el usuario a una nueva variable:

$UsuarioJMSolanes = $Equipo.Children |Where-Object {$_.Name -eq 'jmsolanes'}

Se obtienen todos sus atributos posibles, por ejemplo:

• $UsuarioJMSolanes.FullName nombre completo del usuario.
• $UsuarioJMSolanes.LastLogin la fecha del último inicio de sesión.
• $UsuarioJMSolanes.HomeDirectory la ubicación de la carpeta personal asignada al usuario.

En caso de querer cambiarlos, solo hay que hacer un = con el nuevo valor y después ejecutar la instrucción .SetInfo() para guardar los cambios.

Si lo que se quiere es crear un Grupo de Seguridad, una vez tenemos el objeto del equipo ($Equipo), se debe crear un objeto que relacione el nuevo grupo de seguridad con el equipo:

$GrupoSeguridad = $Equipo.Create("Group","NOMBRE_GRUPO_DE_SEGURIDAD")
$GrupoSeguridad.SetInfo()
$GrupoSeguridad.Description="Descripción del grupo de seguridad"
$GrupoSeguridad.SetInfo()

Analizando los comandos uno a uno:

$GrupoSeguridad = $Equipo.Create(«Group»,»NOMBRE_GRUPO_DE_SEGURIDAD») crea el objeto $GrupoSeguridad que le asigna un grupo (Group) nuevo (NOMBRE_GRUPO_DE_SEGURIDAD) al equipo local $Equipo (siempre se debe crear primero este objeto).

$GrupoSeguridad.SetInfo() al igual que para el usuario, es el encargado de escribir los cambios al equipo o Active Directory.

$GrupoSeguridad.Description=»Descripción del grupo de seguridad» establece una descripción para el grupo de seguridad.

$GrupoSeguridad.SetInfo() escribe los cambios hechos, añadir una descripción al grupo de seguridad.

Para visualizar los grupos de seguridad locales del equipo, al igual que para los usuarios, haciendo una consulta filtrada a los objetos del equipo se obtiene el listado:

$Equipo.Children |Where-Object {$_.schemaclassname -eq 'group' } | ft Name, Description -Autosize

Para asignar un usuario a un grupo de seguridad, las instrucciones serían:

$Grupo = [ADSI]"WinNT://./NOMBRE_GRUPO_DE_SEGURIDAD,group"
$Grupo.Add("WinNT://NOMBRE_DEL_USUARIO,user")

Analizando los comandos uno a uno:

$Grupo = [ADSI]»WinNT://./NOMBRE_GRUPO_DE_SEGURIDAD,group» Crea un objeto con el grupo de seguridad.

$Grupo.Add(«WinNT://NOMBRE_DEL_USUARIO,user») Añade el usuario al objeto que contiene el grupo de seguridad.

  Para eliminar un usuario de un grupo de seguridad, las instrucciones serían:

$Grupo = [ADSI]"WinNT://./NOMBRE_GRUPO_DE_SEGURIDAD,group"
$Grupo.Remove("WinNT://NOMBRE_DEL_USUARIO,user")

Analizando los comandos uno a uno:

$Grupo = [ADSI]»WinNT://./NOMBRE_GRUPO_DE_SEGURIDAD,group» Crea un objeto con el grupo de seguridad. $Grupo.Remove(«WinNT://NOMBRE_DEL_USUARIO,user») Elimina el usuario del objeto que contiene el grupo de seguridad.

  ¿Te ha gustado el artículo? Lo puedes compartir en las redes sociales. También puedes dejar tu opinión, comentario o sugerencia. ¡Gracias!

Similar Posts by The Author:

• Microsoft SQL Server con SMB3
• Microsoft SQL Server amb SMB3
• Containers en Linux
• Containers amb Linux
• Migrar el servidor de archivos a Windows Server 2019
• Migrar el servidor de fitxers a Windows Server 2019
• Puerta enlace a Azure en el Windows Admin Center
• Porta enllaç a Azure en el Windows Admin Center
• Hola mundo! WordPress 5 y Gutenberg
• Hola món! WordPress 5 i Gutenberg