INFO: Uso de Configuración DCOM (DCOMCNFG.EXE) en Windows NT

COMCNFG.EXE (DCOM Config) es una utilidad que puede utilizar para proteger los objetos DCOM que ha creado. En este artículo se describen las interfaces, opciones y configuración de DCOM Config.

Dado que la seguridad se limita mucho más en Windows 95, Windows 98 y Windows Millennium Edition, la interfaz y opciones pueden diferir en estos sistemas. Este artículo se ha creado para la utilidad DCOM Config que se ejecuta en los sistemas Windows NT o Windows 2000.

La interfaz principal de DCOM Config se divide en las tres fichas siguientes:

• Aplicaciones.
• Propiedades predeterminadas.
• Seguridad predeterminada.

Ficha Aplicaciones

La ficha Aplicaciones muestra cada uno de los elementos ­registrados bajo la clave del Registro siguiente: Bajo esta clave están todos los objetos que se pueden iniciar en un equipo remoto. DCOM Config simplemente muestra los identificadores de programa o ProgID (nombres descriptivos) de cada objeto, como "Documento de Microsoft Word" o "Base de datos de Microsoft Access". Algunos objetos se pueden registrar sin registrar un ProgID; en estos casos, se mostrará el GUID del objeto, como" {4E6B942A-01B0-11D1-A9CB-00AA00B7B36F}".

Para cada elemento enumerado en la ficha Aplicaciones, las propiedades de cada aplicación se pueden ver seleccionando un elemento y eligiendo el botón "Propiedades" o haciendo doble clic en un nombre de aplicación.

Ficha Propiedades predeterminadas

Cada uno de los valores mostrados en la ficha Propiedades predeterminadas se puede encontrar bajo la clave siguiente del Registro: El primer elemento de la ficha Propiedades predeterminadas es una casilla: Éste es un valor global para todo el equipo. Cuando se activa esta opción, el equipo permite la creación de objetos DCOM. Si no se activa, los objetos no se pueden crear a través de DCOM.

Nota: debe volver a arrancar el sistema para que el cambio de este valor surta efecto.

La segunda parte de la ficha Propiedades predeterminadas es Propiedades predeterminadas de comunicación de COM distribuido, que tiene dos niveles:

1. Nivel de autenticación predeterminado.
2. Nivel de suplantación predeterminado.

Sólo se pueden modificar estas dos opciones si DCOM está habilitado en este sistema.

Nivel de autenticación predeterminado (nivel del paquete)

Los niveles de autenticación son los siguientes: NOTA: "Conectar" y "Llamar" no se utilizan para los protocolos sin conexión. Windows NT y Windows 2000 utilizan un protocolo sin conexión, UDP, de forma predeterminada. Sin embargo, Windows 95 utiliza TCP, que se basa en la conexión. Los equipos Windows 95 sólo pueden aceptar las llamadas en los niveles "Ninguno" o "Conectar".

Nivel de suplantación predeterminado

Si no se establece ninguna seguridad en el nivel de objeto, el servidor utiliza la configuración de seguridad que se especifique aquí como predeterminada. Los valores posibles son: El último elemento de la ficha Propiedades predeterminadas es la casilla "Proporcionar seguridad adicional para seguimiento de referencia", que indica al servidor que realice el seguimiento de las aplicaciones cliente conectadas manteniendo un recuento de referencias adicional. Al activar este cuadro se utiliza más memoria y se puede ocasionar la ralentización de COM, pero se garantiza que una aplicación cliente no pueda eliminar un proceso de servidor obligando artificialmente a que el recuento de referencias se ponga a cero.

Ficha Seguridad predeterminada

Hay tres opciones en la ficha Seguridad predeterminada. Cada uno de los valores almacenados aquí se puede encontrar en el Registro de Windows en la ubicación siguiente: Las tres opciones son:

1. Permiso de acceso predeterminado: este valor determina los usuarios y que pueden tener acceso a un objeto cuando no se proporciona ningún otro permiso de acceso. Para obtener información sobre cómo dar permisos de acceso individuales a objetos DCOM concretos, consulte la sección "Propiedades de aplicaciones" posteriormente en este documento. De forma predeterminada, el acceso se proporciona a los grupos "Sistema" e "Interactivo".
2. Permiso de inicio predeterminado: este valor determina los usuarios y grupos que pueden iniciar un objeto cuando no se proporciona ningún otro permiso de acceso. Para obtener más información sobre cómo dar permisos de inicio individuales a objetos DCOM concretos, consulte la sección "Propiedades de aplicaciones" posteriormente en este documento.
3. Permiso de configuración predeterminado: este valor determina los usuarios y grupos que pueden leer o modificar la información de configuración de las aplicaciones DCOM. Esto también incluye qué usuarios y grupos tendrán el permiso para instalar nuevos servidores DCOM.

Grupos de sistemas

Hay varias cuentas de grupo que encontrará al configurar usuarios y grupos. La lista siguiente es un resumen de qué usuario pertenece a cada grupo: La lista anterior incluye las cuentas de grupo que son intrínsecas a los sistemas Windows NT y Windows 2000. Su red particular puede incluir más grupos entre los que puede elegir. Para determinar la pertenencia de cada cuenta de grupo personalizada, debe ponerse en contacto con el administrador de red.

Propiedades de aplicación

Puede especificar valores personalizados para las aplicaciones DCOM individuales eligiendo el botón Propiedades en la ficha "Aplicaciones" de DCOM Config. En la sección siguiente se describe cada ficha (General, Ubicación, Seguridad, Identidad) y el valor que se encuentra en Propiedades de aplicación.

General

La ficha General proporciona información general sobre la aplicación, como el nombre de la aplicación, el tipo (servidor local o servidor remoto) y la ubicación (ruta d­e acceso local o equipo remoto). Estos valores no se pueden modificar mediante la interfaz de DCOM Config.

La ficha General recupera toda su información de las subclaves de la clave del Registro siguiente: donde {... CLSID...} es el CLSID único del Servidor de objetos que se está viendo.

Ubicación

Esta ficha se utiliza para determinar dónde ejecutará DCOM la aplicación. Hay tres opciones posibles:

1. Ejecutar la aplicación en el equipo donde están almacenados los datos: si se selecciona, DCOM ejecutará la aplicación donde se encuentren los datos. Esto sólo es útil si la aplicación proporciona un archivo de datos para la aplicación de servidor.
2. Ejecutar la aplicación en este equipo: indica que la aplicación DCOM se debería ejecutar en el equipo local.
3. Ejecutar la aplicación en el siguiente equipo: le permite especificar un equipo en el que ejecutar la aplicación. (Esta característica no está disponible actualmente en los sistemas Windows NT 4.0; Windows NT 4.0 no admite la delegación de seguridad completa).

Si se selecciona más de una de las opciones anteriores, DCOM utilizará la primera aplicable. Las aplicaciones cliente también pueden invalidar este valor.

Seguridad

En la ficha Seguridad puede personalizar los valores de los permisos de aplicación individuales siguientes:

1. Permisos de acceso.
2. Permisos de inicio.
3. Permisos de configuración.

Si no personaliza estos valores, se utiliza la configuración de seguridad predeterminada. Para obtener más información sobre la ficha Seguridad, consulte la sección anterior de este artículo en "Seguridad predeterminada".

Identidad

Esta ficha se utiliza para determinar qué cuenta desea usar para ejecutar la aplicación. Hay cuatro opciones mediante las que el sistema determina en qué cuenta se ejecutará un objeto DCOM:

1. El usuario interactivo: la aplicación se ejecutará utilizando el contexto de seguridad del usuario que haya iniciado sesión en el equipo. Si esta opción se selecciona y el usuario no ha iniciado sesión, la aplicación no se iniciará.
2. El usuario que inicia la aplicación: la aplicación se ejecutará utilizando el contexto de seguridad del usuario que inició la aplicación. El usuario que inicia la aplicación y el usuario interactivo pueden ser los mismos.
3. Este usuario: puede especificar el usuario cuyo contexto de seguridad se va a utilizar para ejecutar la aplicación.
4. La cuenta del sistema: sólo está disponible para los servicios de Windows NT y Windows 2000 que utilizan DCOM.