Cómo instalar un nuevo Bosque en Windows Server 2008

Introducción

Instalar un nuevo Bosque en Server 2008 suele ser sencillo y en gran parte consiste en seguir los asistentes y pulsar Siguiente. Aquí te guío con capturas, explicaciones y recomendaciones prácticas para evitar errores comunes.

Definición rápida: Active Directory Domain Services (AD DS) es el servicio que gestiona cuentas, equipos y políticas en un dominio Windows.

Antes de empezar: comprobaciones previas

• Verifica que el servidor tenga una IP fija y acceso a la red.
• Asegúrate de que el reloj del sistema esté sincronizado con una fuente fiable.
• Comprueba que no existan controladores de dominio previos en la misma red que puedan causar conflictos de nombre o replicación.
• Ten a mano una cuenta local con permisos administrativos.

Importante: si no ves la ventana “Tareas de configuración inicial” al iniciar, búscala con Oobe.exe desde el cuadro de búsqueda para abrir el Administrador del servidor.

Paso 1: Añadir el rol AD DS

1. Abre el Administrador del servidor.
2. En el panel, baja y haz clic en el enlace “Agregar roles”.
3. Marca “Active Directory Domain Services” y pulsa Siguiente.

En la siguiente pantalla revisa la información del rol y pulsa Siguiente para avanzar.

La pantalla final antes de iniciar te recordará que tendrás que ejecutar el asistente de instalación de servicios de dominio (dcpromo.exe) al terminar. Pulsa “Instalar”.

Verás la barra de progreso durante la instalación.

Al finalizar obtendrás un mensaje que indica que debes ejecutar dcpromo.exe.

Paso 2: Ejecutar dcpromo.exe (Asistente para servicios de dominio)

Abre el cuadro de búsqueda y escribe dcpromo.exe para lanzar el asistente.

Vamos a usar el modo sencillo (no avanzado) porque este será el primer Controlador de Dominio del nuevo Bosque.

Marca la opción para crear un nuevo dominio en un nuevo bosque y pulsa Siguiente.

A continuación, elige el nombre de dominio raíz (por ejemplo, ejemplo.local) y continúa.

Decisión clave: Nivel funcional del Bosque

La página del nivel funcional del Bosque es crítica. El nivel funcional determina qué características de Active Directory estarán disponibles.

• Si vas a tener servidores Windows Server 2000 o 2003, debes seleccionar el nivel compatible más antiguo requerido.
• Si sólo usarás Server 2008 o superiores, selecciona el nivel 2008 para aprovechar todas las mejoras.

Elegimos el nivel funcional más alto porque en este ejemplo toda la infraestructura será Server 2008.

DNS y ubicaciones de carpetas

Asegúrate de marcar la casilla “Servidor DNS” si este servidor será también servidor DNS. AD DS y DNS suelen ir juntos en el primer controlador de dominio.

Las ubicaciones por defecto para la base de datos de AD, los archivos del registro y SYSVOL suelen ser la mejor opción en instalaciones iniciales. Si tienes una estructura de discos separada para rendimiento o respaldo, cámbialas aquí.

Contraseña de Directory Services Restore Mode

Debes establecer una contraseña para el modo de restauración de servicios de directorio (Directory Services Restore Mode). Guárdala en un lugar seguro. La necesitarás para tareas de recuperación.

Exportar configuración

Si vas a desplegar más controladores con la misma configuración, usa “Exportar configuración” para guardar los parámetros en un archivo. Esto acelera instalaciones posteriores.

Finalizar e iniciar reinicio

Al terminar, el asistente mostrará un mensaje de éxito y, dependiendo de la configuración, el servidor reiniciará automáticamente. Tras el reinicio, el equipo funcionará como primer Controlador de Dominio del Bosque.

Nuevos controles y pruebas básicas (verificación post-instalación)

• Inicia sesión con una cuenta de dominio para confirmar que el controlador acepta autenticaciones.
• Ejecuta nslookup para comprobar que el servidor DNS resuelve correctamente el dominio.
• Usa dcdiag para validar el estado de Active Directory.
• Revisa los registros del Visor de eventos (Directory Service, DNS Server, System).

Lista de verificación por roles (antes y después)

Rol: Administrador de AD

• IP estática configurada
• Hora sincronizada
• Cuentas de administrador seguras
• Nombres de dominio planificados
• Copia de seguridad del sistema después del primer arranque

Rol: DNS

• Zonas integradas en AD si es apropiado
• Reenviadores configurados hacia servidores DNS autorizados
• Pruebas de resolución interna y externa

Mapa de decisiones (Mermaid)

flowchart TD
  A[¿Primer DC en el bosque?] -->|Sí| B[Crear nuevo bosque y dominio]
  A -->|No| C[Agregar DC a dominio existente]
  B --> D{Servidor DNS local disponible}
  D -->|Sí| E[Instalar DNS en este servidor]
  D -->|No| F[Configurar DNS externo y luego integrar]

Alternativas y cuando no aplicar este método

• Si necesitas una instalación sin interfaz gráfica (desatendida), usa archivos de respuesta o herramientas de línea de comandos para automatizar dcpromo.
• Si tu entorno ya tiene controladores de dominio, no crees un bosque nuevo: únete al dominio existente o diseña una relación de confianza.
• En entornos con controladores heredados (2000/2003), mantén niveles funcionales compatibles y planifica la migración antes de elevar el nivel funcional.

Modo avanzado y escenarios de replicación

El modo avanzado de dcpromo permite opciones adicionales: especificar controlador de catálogo global, seleccionar ubicaciones de replicación y otras opciones. Si planeas replicación entre sitios, usa el modo avanzado y coordina con los administradores de red.

Criterios de aceptación

• El servidor responde a autenticaciones de dominio.
• Las pruebas de DNS resuelven el nombre del dominio y registros SRV de LDAP.
• dcdiag no reporta errores críticos.
• El servidor implementa correctamente SYSVOL y políticas de grupo.

Plan de reversión breve (runbook)

1. Si el servidor no puede arrancar en modo normal, intenta entrar al modo seguro con redes.
2. Usa Directory Services Restore Mode con la contraseña guardada para restaurar desde la copia de seguridad de System State.
3. Si el bosque creado es erróneo y no hay replicación, elimina el rol AD DS (deseinstalar) y restaura desde imagen previa.
4. Comunica la reversión a equipo de soporte y registra la incidencia.

Notas: elimina un controlador de dominio con suma precaución para no dejar objetos huérfanos en AD.

Seguridad y buenas prácticas

• Aplica parches y actualizaciones antes de unirlo a la red de producción.
• Restringe el acceso físico al servidor.
• Habilita y configura auditoría de inicio de sesión y cambios de cuentas privilegiadas.
• Programa copias de seguridad periódicas de System State y del servidor.

Errores comunes y cómo evitarlos

• Falta de IP estática: asigna IP fija para evitar problemas con DNS y descubrimiento.
• Reloj desincronizado: corrige la hora para evitar fallos de autenticación Kerberos.
• No exportar la configuración: para despliegues repetidos, exporta para ahorrar tiempo y evitar inconsistencias.

Comprobaciones finales y entrega

• Revisa que las GPOs se apliquen correctamente a máquinas de prueba.
• Documenta el nombre del dominio, nivel funcional, contraseñas de recuperación y ubicaciones de archivos.
• Programa un respaldo completo y verifica la recuperación.

Preguntas frecuentes

Q: ¿Puedo cambiar el nivel funcional después de crear el bosque? A: Sí, puedes elevar el nivel funcional más adelante, pero no podrás volver al nivel anterior. Asegúrate de que todos los controladores sean compatibles antes de elevarlo.

Q: ¿Es necesario instalar DNS en el primer controlador de dominio? A: No es obligatorio, pero es la práctica recomendada porque AD y DNS trabajan estrechamente. Si ya tienes infraestructura DNS robusta, planea la integración con cuidado.

Q: ¿Qué pasa si pierdo la contraseña del modo de restauración? A: Sin esa contraseña, no podrás iniciar en Directory Services Restore Mode. Restablecerla puede requerir procedimientos de recuperación avanzados o restaurar desde copias de seguridad.

Resumen final

Crear un nuevo Bosque en Windows Server 2008 es un proceso guiado que exige decisiones clave: nivel funcional, DNS y ubicación de archivos. Con las comprobaciones previas, la exportación de configuración y un plan de pruebas, la instalación será estable y reproducible.

Importante: guarda las contraseñas de recuperación y realiza una copia de seguridad del estado del sistema tras la instalación.