Redirigir los contenedores de usuarios y equipos en dominios de Active Directory

Puede usar redirusr y redircmp para redirigir las cuentas de usuario, equipo y grupo creadas por las API de versión anterior. Por lo tanto, se colocan en contenedores de unidad organizativa (UO) especificados por el administrador.

Se aplica a: Windows Server 2016, Windows Server 2012 R2
Número de KB original: 324949

Resumen

En una instalación predeterminada de un dominio de Active Directory, las cuentas de usuario, equipo y grupo se colocan en contenedores CN=objectclass en lugar de en un contenedor de clase de unidad organizativa más deseable. De forma similar, las cuentas que se crearon mediante las API de versión anterior se colocan en los contenedores CN=Users y CN=computers.

Importante

Algunas aplicaciones requieren que las entidades de seguridad específicas se encuentren en contenedores predeterminados, como CN=Users o CN=Computers. Compruebe que las aplicaciones tienen dichas dependencias antes de sacarlas de los contenedores CN=users y CN=computes.

Más información

Los usuarios, equipos y grupos creados por las API de versión anterior colocan objetos en la ruta de acceso DN especificada en el atributo WellKnownObjects. El atributo WellKnownObjects se encuentra en el encabezado NC del dominio. En el ejemplo de código siguiente se muestran las rutas de acceso pertinentes en el atributo WellKnownObjects del encabezado NC del dominio CONTOSO.COM.

Dn: DC=CONTOSO,DC=COM

wellKnownObjects (11):
B:32:6227F0AF1FC2410D8E3BB10615BB5B0F:CN=NTDS Quotas,DC=CONTOSO,DC=COM;
B:32:F4BE92A4C777485E878E9421D53087DB:CN=Microsoft,CN=Program Data,DC=CONTOSO,DC=COM;
B:32:09460C08AE1E4A4EA0F64AEE7DAA1E5A:CN=Program Data,DC=CONTOSO,DC=COM;
B:32:22B70C67D56E4EFB91E9300FCA3DC1AA:CN=ForeignSecurityPrincipals,DC=CONTOSO,DC=COM;
B:32:18E2EA80684F11D2B9AA00C04F79F805:CN=Deleted Objects,DC=CONTOSO,DC=COM;
B:32:2FBAC1870ADE11D297C400C04FD8D5CD:CN=Infrastructure,DC=CONTOSO,DC=COM;
B:32:AB8153B7768811D1ADED00C04FD8D5CD:CN=LostAndFound,DC=CONTOSO,DC=COM;
B:32:AB1D30F3768811D1ADED00C04FD8D5CD:CN=System,DC=CONTOSO,DC=COM;
B:32:A361B2FFFFD211D1AA4B00C04FD7D83A:OU=Domain Controllers,DC=CONTOSO,DC=COM;
B:32:AA312825768811D1ADED00C04FD8D5CD:CN=Computers,DC=CONTOSO,DC=COM;
B:32:A9D1CA15768811D1ADED00C04FD8D5CD:CN=Users,DC=GPN,DC=COM;

Por ejemplo, las siguientes operaciones usan API de versión anterior, que responden en las rutas de acceso definidas en el atributo WellKnownObjects:

Operación Versiones del sistema operativo
Interfaz de usuario de unión a un dominio Windows NT versión4.0

Windows 2000

Windows XP Professional
Windows XP Ultimate

Windows Server 2003
Windows Server 2003 R2

Windows Vista

Windows Server 2008

Windows 7

Windows Server 2008 R2
EQUIPO NET Todas las versiones
GRUPO DE NET Todas las versiones
USUARIO DE NET Todas las versiones
NETDOM ADD, donde el comando /ou no se especifica o se admite Todas las versiones

Resulta útil convertir el contenedor predeterminado para usuarios, equipos y grupos de seguridad en una unidad organizativa por varias razones, entre las que se incluyen:

  • Las directivas de grupo se pueden aplicar en contenedores de unidad organizativa, pero no en contenedores de clase CN, donde las entidades de seguridad se colocan de forma predeterminada.

  • El procedimiento recomendado consiste en organizar entidades de seguridad en una jerarquía de unidades organizativas que refleje la estructura organizativa, el diseño geográfico o el modelo de administración.

Si va a redirigir las carpetas CN=Users y CN=Computers, tenga en cuenta los siguientes problemas:

  • El dominio de destino debe configurarse para ejecutarse en el nivel funcional del dominio de Windows Server 2003 o superior. Para el nivel funcional del dominio de Windows Server 2003, significa que:

    • Windows Server 2003 ADPREP /FORESTPREP o posterior
    • Windows Server 2003 ADPREP /DOMAINPREP o posterior
    • Todos los controladores de dominio del dominio de destino deben ejecutar Windows Server 2003 o posterior.
    • El nivel funcional del dominio de Windows Server 2003 o superior debe estar habilitado.
  • A diferencia de CN=USERS y CN=COMPUTERS, los contenedores de unidad organizativa están sujetos a eliminaciones accidentales por parte de cuentas de usuario con privilegios, incluidos los administradores.

    Los contenedores CN=USERS y CN=COMPUTERS son objetos protegidos por el sistema que no pueden ni deben quitarse por compatibilidad con versiones anteriores. Pero se les puede cambiar el nombre. Las unidades organizativas están sujetas a eliminaciones accidentales de árbol por parte de los administradores.

    Las versiones de Windows Server 2003 del complemento Equipos de usuarios & de Active Directory pueden seguir los pasos descritos en Protección de una unidad organizativa frente a la eliminación accidental.

    Windows Server 2008 y versiones más recientes de la característica de complemento Usuarios y equipos de Active Directory una casilla Proteger el objeto contra eliminación accidental que puede seleccionar al crear un nuevo contenedor de unidad organizativa. También puede seleccionarlo en la pestaña Objeto del cuadro de diálogo Propiedades de un contenedor de unidad organizativa existente.

    Una opción con script se documenta en Script para proteger las unidades organizativas (OU) frente a la eliminación accidental.

  • Exchange Server 2000 y 2003 setup /domainprep produce errores.

Redirigir CN=Users a una unidad organizativa especificada por el administrador

  1. Inicie sesión con credenciales de administrador de dominio en el dominio z donde se redirige el contenedor CN=Users.

  2. Realice la transición del dominio al nivel funcional del dominio de Windows Server 2003 o más reciente en el complemento Usuarios y equipos de Active Directory (Dsa.msc) o en el complemento Dominios y confianzas (Domains.msc). Para obtener más información sobre cómo aumentar el nivel funcional del dominio, vea Cómo aumentar los niveles funcionales de dominio y bosque.

  3. Cree el contenedor de unidad organizativa en el que desee que se encuentren los usuarios que se crearon con LAS API de versión anterior, si el contenedor de unidad organizativa que desea no existe.

  4. Ejecute Redirusr.exe en el símbolo del sistema mediante la sintaxis siguiente. En el comando , container-dn es el nombre distintivo de la unidad organizativa que se convertirá en la ubicación predeterminada para los objetos de usuario recién creados creados por las API de nivel inferior:

    c:\windows\system32\redirusr <DN path to alternate OU>
    

    Redirusr se instala en la %SystemRoot%\System32 carpeta en equipos basados en Windows Server 2003 o versiones más recientes. Por ejemplo, para cambiar la ubicación predeterminada de los usuarios que se crean con API de nivel inferior, como Net User, al contenedor ou=myusers del CONTOSO.COM dominio, use la sintaxis siguiente:

    c:\windows\system32>redirusr ou=myusers,DC=contoso,dc=com

Redirigir CN=Equipos a una unidad organizativa especificada por el administrador

  1. Inicie sesión con credenciales de administrador de dominio en el dominio donde se redirige el contenedor CN=computers.

  2. Realice la transición del dominio al dominio de Windows Server 2003 en el complemento Usuarios y equipos de Active Directory (Dsa.msc) o en el complemento Dominios y confianzas (Dominios.msc). Para obtener más información sobre cómo aumentar el nivel funcional del dominio, vea Cómo aumentar los niveles funcionales de dominio y bosque.

  3. Cree el contenedor de unidad organizativa donde desee que se encuentren los equipos creados con API de versión anterior, si el contenedor de unidad organizativa deseado no existe.

  4. Ejecute Redircmp.exe en un símbolo del sistema mediante la sintaxis siguiente. En el comando , container-dn es el nombre distintivo de la unidad organizativa que se convertirá en la ubicación predeterminada para los objetos de equipo recién creados creados creados por las API de nivel inferior:

    redircmp container-dn container-dn
    

    Redircmp.exe se instala en la %Systemroot%\System32 carpeta de Windows Server 2003 o versiones posteriores. Para cambiar la ubicación predeterminada de un equipo creado con API de versión anterior, como Net User, al contenedor OU=mycomputers del dominio CONTOSO.COM, use la sintaxis siguiente:

    C:\windows\system32>redircmp ou=mycomputers,DC=contoso,dc=com
    

    Nota:

    Cuando se ejecuta Redircmp.exe para redirigir el contenedor CN=Computers a una unidad organizativa especificada por un administrador, el contenedor CN=Computers ya no será un objeto protegido. Esto significa que el contenedor Equipos ahora se puede mover, eliminar o cambiar de nombre. Si usa ADSIEDIT para ver atributos en el contenedor CN=Computers, verá que el atributo systemflags se ha cambiado de -1946157056 a 0. Esto es así por motivos de diseño.

Descripción de los mensajes de error

Estos son los mensajes de error que se producen en algunos casos.

Mensajes de error que recibe si el PDC está sin conexión

Redircmp y Redirusr cambian el atributo wellKnownObjects en el controlador de dominio principal (PDC). Si el PDC del dominio que se está cambiando está sin conexión o es inaccesible, recibirá los siguientes mensajes de error.

  • Mensaje de error 1:

    D:>redirusr OU=userOU,DC=udc,dc=jkcertcontoso,dc=loc com
    Error, no se pudo encontrar el controlador de dominio principal para el dominio actual: el dominio especificado no existe o no se pudo establecer contacto con él. El redireccionamiento NO se realizó correctamente.

  • Mensaje de error 2:

    D:>redircmp OU=computerOU,DC=contoso,dc=com DC=udc,dc=jkcert,dc=loc
    Error, no se pudo encontrar el controlador de dominio principal para el dominio actual: el dominio especificado no existe o no se pudo establecer contacto con él. El redireccionamiento NO se realizó correctamente.

Mensajes de error que recibe si el nivel funcional del dominio no es Windows Server 2003

Intenta redirigir los usuarios o la unidad organizativa del equipo en un dominio que no ha pasado al nivel funcional del dominio de Windows Server 2003. En esta situación, recibirá los siguientes mensajes de error:

  • Mensaje de error 1:

    C:>redirusr OU=usersou,DC=contoso,dc=comDC=company,DC=com

    Error, no se puede modificar el atributo wellKnownObjects. Compruebe que el nivel funcional de dominio del dominio es al menos Windows Server 2003: Redireccionamiento no dispuesto a realizar no se realizó correctamente.

  • Mensaje de error 2:

    C:>REDIRCMP ou=computersou,DC=contoso,dc=comdc=company,dc=com

    Error, no se puede modificar el atributo wellKnownObjects. Compruebe que el nivel funcional del dominio es al menos Windows Server 2003: No está dispuesto a realizar

Mensajes de error que recibe si inicia sesión sin los permisos necesarios

Si intenta redirigir a los usuarios o la unidad organizativa del equipo mediante credenciales incorrectas en el dominio de destino, puede recibir los siguientes mensajes de error:

  • Mensaje de error 1

    C:>REDIRCMP OU=computersou,DC=contoso,dc=comDC=company,DC=com

    Error, no se puede modificar el atributo wellKnownObjects. Compruebe que el nivel funcional del dominio es al menos Windows Server 2003: No se redireccionamiento de derechos insuficientes no se realizó correctamente.

  • Mensaje de error 2:

    C:>redirusr OU=usersou,DC=contoso,dc=comDC=company,DC=com

    Error, no se puede modificar el atributo wellKnownObjects. Compruebe que el nivel funcional del dominio es al menos Windows Server 2003: No se redireccionamiento de derechos insuficientes no se realizó correctamente.

Mensajes de error que recibe si redirige a una unidad organizativa que no existe

Intenta redirigir los usuarios o la unidad organizativa del equipo a una unidad organizativa que no existe. En esta situación, puede recibir los siguientes mensajes de error:

  • Mensaje de error 1:

    C:>REDIRCMP OU=nonexistantou,DC=contoso,dc=com dc=rendom,dc=com

    Error, no se puede modificar el atributo wellKnownObjects. Compruebe que el nivel funcional del dominio es al menos Windows Server 2003: No se redireccionamiento de objetos de este tipo NO se realizó correctamente.

  • Mensaje de error 2:

    C:>redirusr OU=nonexistantou,DC=contoso,dc=com DC=company,DC=com

    Error, no se puede modificar el atributo wellKnownObjects. Compruebe que el nivel funcional del dominio es al menos Windows Server 2003: No se redireccionamiento de objetos de este tipo NO se realizó correctamente.

Mensajes de error que recibe en Exchange Server configuración de 2000 /domainprep cuando se redirige CN=Users

Si Exchange Server 2000 y Exchange Server 2003 setup /domainprep no se realiza correctamente, recibirá el siguiente mensaje de error:

Error al instalar permisos de nivel de dominio de subcomponente con código de error 0x80072030) (consulte los registros de instalación para obtener una descripción detallada). Puede cancelar la instalación o volver a intentar el paso con errores. (Reintentar o cancelar)

Los siguientes datos aparecen en el registro de instalación de Exchange Server 2000 que se analiza con el analizador de registros. Exchange Server 2003 debe ser similar.

[HH:MM:SS] Completed DomainPrep of Microsoft Exchange 2000 component
[HH:MM:SS] ScGetExchangeServerGroups (K:\admin\src\libs\exsetup\dsmisc.cxx:301) Error code 0X80072030 (8240): There is no such object on the server.
[HH:MM:SS] ScCreateExchangeServerGroups (K:\admin\src\libs\exsetup\dsmisc.cxx:373) Error code 0X80072030 (8240): There is no such object on the server.
[HH:MM:SS] CAtomPermissions::ScAddDSObjects (K:\admin\src\udog\exsetdata\components\domprep\a_permissions.cxx:144) Error code 0X80072030 (8240): There is no such object on the server.
[HH:MM:SS] mode = 'DomainPrep' (61966) CBaseAtom::ScSetup (K:\admin\src\udog\setupbase\basecomp\baseatom.cxx:775) Error code 0X80072030 (8240): There is no such object on the server.
[HH:MM:SS] Setup encountered an error during Microsoft Exchange Domain Preparation of DomainPrep component task. CBaseComponent::ScSetup (K:\admin\src\udog\setupbase\basecomp\basecomp.cxx:1031) Error code 0X80072030 (8240): There is no such object on the server.
[HH:MM:SS] CBaseComponent::ScSetup (K:\admin\src\udog\setupbase\basecomp\basecomp.cxx:1099) Error code 0X80072030 (8240): There is no such object on the server.
[HH:MM:SS] CCompDomainPrep::ScSetup (K:\admin\src\udog\exsetdata\components\domprep\compdomprep.cxx:502) Error code 0X80072030 (8240): There is no such object on the server.
[HH:MM:SS] CComExchSetupComponent::Install (K:\admin\src\udog\BO\comboifaces.cxx:694) Error code 0X80072030 (8240): There is no such object on the server.
[HH:MM:SS] Setup completed