SGU-CredentialProvider/docs/bootstrap-recovery.md

Recuperación desde cero y alta en una sola ejecución

Los releases entregan tres ZIP independientes. Cada uno contiene sus binarios, scripts, instalador offline requerido y un manifiesto SHA-256 interno. No contienen contraseñas, claves privadas ni certificados reutilizables.

Importante: reconstruir un bosque con el mismo nombre DNS no restaura el bosque anterior. Cambia el SID del dominio. Los equipos unidos al bosque viejo deberán borrarse/reinstalarse o salir de aquel dominio y unirse al nuevo. Para conservar cuentas, SID, contraseñas y relaciones de confianza se necesita una copia de estado del sistema de Active Directory y un procedimiento de recuperación de bosque, no este bootstrap.

Windows Server nuevo

Compatible con Windows Server con Windows PowerShell 5.1. El servidor necesita una interfaz privada para el dominio y, para autenticar contra SGU, salida HTTPS por esa u otra interfaz.

1. Descargar y extraer sgu-server-bootstrap-VERSION.zip.
2. Abrir el directorio extraído.
3. Ejecutar, indicando la IP fija que tendrá el controlador:

Start-SguServerBootstrap.cmd 192.168.50.10

El iniciador solicita elevación UAC. El script pide una contraseña de Directory Services Restore Mode sin guardarla, instala AD DS/DNS/GPMC, crea el bosque y reinicia una vez. Un trabajo local bajo SYSTEM continúa automáticamente un minuto después del arranque; no hace falta ejecutar un segundo comando.

Cuando hay más de una interfaz candidata, o se necesita gateway/prefijo/forwarders explícitos, usar Windows PowerShell elevado:

powershell.exe -NoProfile -ExecutionPolicy Bypass `
  -File .\Initialize-SguDomainController.ps1 `
  -ServerIPv4Address 192.168.50.10 `
  -PrefixLength 24 `
  -NetworkInterfaceAlias 'Ethernet' `
  -DnsForwarders 172.21.80.1,1.1.1.1

El proceso crea o configura de forma idempotente:

• bosque y DNS lci.lasalle.mx / LCI;
• registro sgu-auth.lci.lasalle.mx apuntando a la IP proporcionada;
• OU=Laboratorio, OU=Usuarios-SGU y sus OU Docentes, Alumnos y Administrativos;
• grupo de seguridad SG-Laboratorio-Usuarios-RDP;
• GPO de experiencia del equipo y restricciones de sesión SGU;
• certificado de servidor no exportable y broker mTLS en TCP 8443;
• recurso \\SERVIDOR\Packages, con lectura para Domain Computers;
• RDP con NLA, WinRM/PowerShell Remoting y reglas administrativas limitadas a la subred privada indicada, incluso si Windows tarda en reconocer el perfil Domain después de la promoción;
• pantalla, suspensión e hibernación en Nunca.

En un servidor con dos NIC, el bootstrap desactiva el registro DNS de la NIC de Internet y obliga al servicio DNS a escuchar y publicar únicamente la IP fija privada. También vuelve a iniciar brevemente esa NIC privada si Windows Server 2025 todavía la clasifica como Public al terminar la promoción. La salida HTTPS continúa por la NIC que tenga el gateway predeterminado.

El broker arranca con una lista de clientes vacía. Eso no abre el servicio: mTLS rechaza todos los certificados hasta que el primer cliente registra el suyo. Los archivos opcionales colocados en payload\server-content\Packages al crear el release se copian al recurso compartido. El paquete siempre incluye welcome-wallpaper: fondo azul, fuentes Indivisa y generador de respaldo para reparación o actualización de clientes. La GPO de equipos inicia la copia local del generador en cada sesión; ya no se impone un único fondo estático por usuario.

Estado y diagnóstico:

Get-Content C:\ProgramData\SGU\Bootstrap\Server\bootstrap.log
Get-Content C:\ProgramData\SGU\Bootstrap\Server\bootstrap-complete.json
Get-ScheduledTask SGU-Complete-Domain-Controller-Bootstrap -ErrorAction SilentlyContinue

La tarea programada se elimina únicamente cuando todas las verificaciones finales concluyen. Si algo externo falla, corregirlo y volver a ejecutar el mismo script; las operaciones terminadas se reutilizan.

Windows 10/11 nuevo

Se admiten Pro, Enterprise y Education. Windows Home no puede unirse a Active Directory local ni actuar como host RDP; el bootstrap lo detecta antes de cambiar el equipo y explica que se debe actualizar la edición.

1. Descargar y extraer sgu-client-bootstrap-VERSION.zip.
2. Ejecutar con la IP fija actual del controlador de dominio:

Start-SguClientEnrollment.cmd 192.168.50.10

Después de UAC, se solicita interactivamente la credencial autorizada para unir equipos. La contraseña existe sólo en memoria. El bootstrap:

1. apunta el DNS del adaptador al IP proporcionado;
2. abre una sesión WinRM autenticada con el DC y verifica que pertenece al dominio esperado;
3. crea en el cliente un certificado mTLS RSA-3072 no exportable y envía sólo su parte pública al broker;
4. recupera por esa sesión autenticada el certificado público del broker;
5. instala el runtime .NET 10 offline y el Credential Provider;
6. valida binarios, registro COM, certificados y salud del broker;
7. instala el guardián de reparación al arranque;
8. sólo entonces ejecuta Add-Computer dentro de OU=Laboratorio y reinicia;
9. al arrancar, activa RDP/NLA, WinRM y las reglas Domain, y vuelve a validar el enrolamiento.

Para elegir adaptador o nombre del equipo explícitamente:

powershell.exe -NoProfile -ExecutionPolicy Bypass `
  -File .\Invoke-SguClientBootstrap.ps1 `
  -DomainControllerIPv4Address 192.168.50.10 `
  -NetworkInterfaceAlias 'Ethernet' `
  -NewComputerName 'LCI-101'

La IP del argumento es siempre la IP fija actual del servidor, no una IP que queda compilada en el Credential Provider. El proveedor usa después el nombre DNS sgu-auth.lci.lasalle.mx, que el bootstrap del servidor actualiza.

Un administrador del dominio todavía puede ignorar deliberadamente este flujo y ejecutar Add-Computer a mano; ninguna GPO puede impedir a un administrador del bosque modificar el dominio. Para la operación soportada, el script aplica una transacción proveedor-primero y se niega a unir un equipo que no haya pasado las validaciones.

Cliente Linux nuevo

El ZIP sgu-linux-client-bootstrap-VERSION.zip usa el mecanismo nativo de Linux: realmd, Kerberos, SSSD, NSS y PAM. No distribuye ni instala el Credential Provider de Windows.

En una VM con Internet por Default Switch y una NIC privada conectada a Laboratorio AD, ejecutar como administrador:

sudo bash ./Enroll-SguLinuxDomainClient.sh \
  --domain-controller 192.168.50.10 \
  --domain-interface eth0 \
  --domain-address 192.168.50.12/24 \
  --enable-ssh

La contraseña de la cuenta autorizada para la unión se solicita de forma interactiva por realmd; no se incluye en la línea de comandos. El script configura DNS de AD en la NIC privada, preserva la ruta de Internet, crea la cuenta de equipo en OU=Laboratorio, habilita creación de directorio personal mediante PAM y valida la cuenta de equipo con adcli testjoin. La documentación de operación completa está en linux-client-enrollment.md.

Crear y publicar un release

Desde el repositorio y con el SDK fijado en global.json:

.\scripts\New-SguBootstrapPackages.ps1 -Version 0.1.1
.\scripts\Publish-GiteaRelease.ps1 -Version 0.1.1

El segundo comando usa GITEA_TOKEN sólo en memoria o, si no está definido, solicita la credencial existente a Git Credential Manager. No coloca el token en la línea de comandos. Para empaquetar recursos institucionales adicionales:

.\scripts\New-SguBootstrapPackages.ps1 `
  -Version 0.1.1 `
  -ServerContentPath C:\Preparacion\Packages

SHA256SUMS-VERSION.txt permite comprobar los tres ZIP antes de usarlos.