Un chequeo de los lunes para Active Directory

El problema

dcdiag y repadmin te lo cuentan todo, de controlador en controlador. La mayoría de problemas de Active Directory avisan antes: un reloj que se desvía, DFSR parado después de parchear, un enlace de replicación fallando en silencio durante semanas, un ámbito de DHCP lleno la semana que llegan las incorporaciones, una cuenta de administrador que nadie usa desde la primavera. El lunes a primera hora quieres una página con lo que hay que arreglar hoy.

Qué he hecho

• scripts/Export-ADHealth.ps1: una exportación de solo lectura con los módulos estándar de RSAT (dominio y bosque, cada DC, metadatos de replicación, ámbitos y conmutación de DHCP, vínculos de GPO, grupos privilegiados, cuentas inactivas, líneas NO_CLIENT_SITE). Si una sección falla, el resto se exporta igual.
• Seis áreas de comprobaciones: controladores de dominio, replicación (con el riesgo de tombstone), DHCP, directivas de grupo, acceso privilegiado (incluida la antigüedad de la contraseña de krbtgt) e higiene del directorio.
• health_check.md con Arreglar hoy / Planificar esta semana / Limpieza, findings.csv con el primer paso de cada hallazgo y report.html.
• Comparación con la ejecución de la semana anterior: qué es nuevo y qué se ha resuelto.

Cómo está hecho

Python solo con la librería estándar y PowerShell. La demo es un dominio inventado con seis DC en cuatro sedes y fallos puestos a propósito. 15 tests. Un runbook corto para el chequeo semanal.

Qué aprendí

Un DC que no responde debe dar un hallazgo, no diez. Y casi todo el valor está en el orden de la lista: qué hay que arreglar antes de las 9:00 y qué puede ir a un cambio.

Siguientes pasos

• Ejecutar Export-ADHealth.ps1 con RSAT desde un puesto de administración unido al dominio.
• En servidores en otros idiomas, adaptar la lectura de la salida de w32tm.
• Programarlo para el lunes a primera hora y guardar la ejecución anterior para la comparación.

¿Quieres llevarlo a tu entorno o adaptarlo a tu caso? Escríbeme y lo vemos.