La solución al problema es bastante sencilla. Hay que iniciar una sesión con un usuario local y proceder a editar el fichero /etc/sssd/sssd.conf y añadir la línea ad_gpo_access_control = permissive. Tras reiniciar el servicio SSSD, ya podremos iniciar sesión en el equipo con las credenciales de Directorio Activo.

En mi caso el origen del problema era la aplicación de las GPO de la rama donde está el objeto del equipo, que estaba dejandome sin los suficientes permisos para poder acceder al equipo.

Aunque esta no sea la mejor solución del mundo, dado que arreglarlo me va a llevar algún tiempo pesto que no tengo claro qué GPO me está quitando los permisos, de momento me sirve como un apaño.

Si queréis más información sobre este tema, podéis consultar el enlace siguiente: https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/Windows_Integration_Guide/sssd-gpo.html{:target="_blank"}

• Mantenimiento reducido. Un sistema operativo más pequeño y que tiene menos funciones necesita menos mantenimiento de parches y actualizaciones y sobre todo es más seguro porque reduce su superficie de ataque precisamente al tener menos funcionalidades.
• Sistema «anti-manazas». Es triste decir esto pero, sin animo de entrar en polemicas, en casi todas las organizaciones existen «especialistas» que por una razón u otra disponen de acceso privilegiado a la infraestructura sin tener claros los conceptos de administración y gestión de un Directorio Activo, lo que suele acabar en la ejecución de tareas de recuperación de desastres.

Ilustración 1. Esquema laboratorio bosque W2k8 R2 Core Antes de comenzar quisiera comentar que el «Asistente para la instalación de Servicios de Directorio Activo» (dcpromo.exe) no admite un entorno gráfico de trabajo en los sistemas Windows 2008 Server Core por lo que se es necesario completar su ejecución en modo desatendido o añadiendo todos los parámetros junto con el comando, lo que me parece un autentico suplicio por lo que en este laboratorio vamos a ver la opción de instalación desatendida. El primer paso es crear el fichero de instalación desatendida especifico, en este caso, para generar el nuevo bosque. En este tutorial el contenido del fichero es el siguiente: [DCInstall]  InstallDNS=yes NewDomain=forest NewDomainDNSName=olimpo.local DomainNetBiosName=olimpo SiteName=Sitio-Olimpo ReplicaOrNewDomain=domain ForestLevel=4 DomainLevel=4 DatabasePath="%systemroot%ntds" LogPath="%systemroot%ntds" RebootOnCompletion=yes SYSVOLPath="%systemroot%sysvol" SafeModeAdminPassword=* Este fichero debemos copiar en la maquina que va a ser el primer controlador de dominio del nuevo bosque de Directorio Activo. Mi opción personal es colocarlo siempre en la raíz de C: con el nombre de fichero "desatendido.txt". Ilustración 2. Fichero de instalación desatendida Posteriormente, una vez iniciada la sesión en la mencionada máquina, desde la consola de terminal que se abre se debe teclear el siguiente comando: dcpromo /unattend:desatendido.txt Ilustración 3. Comando para lanzar la instalación desatendida Ilustración 4. Proceso de instalación desatendida (I) Ilustración 5. Proceso de instalación desatendida (II)  Ilustración 6. Proceso de instalación desatendida (III) Ilustración 7. Proceso de instalación desatendida (IV) Ilustración 8. Proceso de instalación desatendida (V) Una vez completado el proceso, la máquina se reiniciará de forma automática y ya dispondremos del primer controlador de dominio de nuestro bosque. Y con esto termino esta primera parte del tutorial.

• Dominios
• Sitios
• Controladores de dominio
• Unidades organizativas
• Buzones de correo Exchange
• Contactos
• Listas de distribución
• Equipos
• Usuarios