Al recopilar datos de inventario por WMI desde computadoras de dominio, normalmente no debería haber dificultades. Aun así pueden surgir problemas, por ejemplo por cambios en la configuración de seguridad u otras causas. Si aparecen errores cuando el programa intenta acceder por WMI a computadoras de dominio, el problema se puede resolver de forma remota con la siguiente guía de configuración de Group Policy.
1. Editor de directivas
Para Windows Server 2003 (vea más abajo las instrucciones para Windows Server 2008)
Haga clic en "Start" – "Run..." (o pulse Win+R) – escriba "mmc". Haga clic en "OK".
Seleccione el elemento de menú "File" – "Add/Remove Snap-in...".
Seleccione "Group Policy Management Editor" y haga clic en "Add >". Haga clic en "OK".
Seleccione el nodo "Default Domain Policy" en el árbol de la consola.
Para Windows Server 2008
1) Abra la consola Group Policy Management
"Start" – Administrative Tools – Group Policy Management (o haga clic en "Start" – "Run..." (pulse Win+R) – escriba "gpmc.msc". Haga clic en "OK").
2) Seleccione "Default Domain Policy" y haga clic en Edit en el menú contextual.
2. Configuración de UAC (User Account Control)
A partir de Vista, Windows incluye el componente User Account Control (UAC). Cuando inicia programas de forma predeterminada, estos se ejecutan con un token de acceso de usuario estándar. Si se necesitan derechos de administrador para alguna acción, el sistema pide al usuario cambiar o "elevar" el contexto de seguridad de usuario estándar a administrador. Las solicitudes remotas siempre se ejecutan con el token de acceso de usuario; un usuario remoto no puede ser controlado por UAC como ocurre en ejecución local. Por eso es necesario configurar UAC para proporcionar acceso remoto a DCOM.
1) Seleccione el nodo "Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options" y establezca la opción "User Account Control: Run all administrators in Admin Approval Mode" en "Disabled".
2) Establezca la directiva "User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode" en el valor "Elevate without prompting".
3) Establezca la directiva "User Account Control: Detect application installations and prompt for elevation" en el valor "Disabled".
3. Configuración de Windows Firewall
Windows Firewall debe permitir el protocolo DCOM. Es necesario para la ejecución remota de solicitudes WMI (puertos 135 y 445).
Para configurar el Firewall, vaya a este nodo en la consola: "Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings".
En la configuración de Windows Server 2003, active la opción "Allow exceptions for remote administration". Esto permitirá la ejecución de DCOM y WMI.
Para versiones más recientes de Windows Server existen las reglas predefinidas "WMI" y "Remote Administration". Puede configurarlas en el submenú "Inbound Rules", con el menú contextual "New Rule".
4. Cambiar al modelo de acceso Classic
En el nodo de la consola "Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options", seleccione el parámetro "Network access: Sharing and security model for local accounts" y establézcalo en "Classic – local users authenticate as themselves".
Desactive la opción "Accounts: Limit local account use of blank passwords to console logon only".
5. Servicios necesarios
Vaya al nodo "Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings\System Services".
Habilite los siguientes servicios del sistema:
1) RPCSs – Remote Procedure Call (RPC)
2) DCOMLaunch – DCOM Server Process Launcher
3) LanManServer – Server
6. Configuración de DCOM
Vaya al nodo "Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options".
Edite las restricciones de acceso y ejecución de DCOM. Haga doble clic en "DCOM: Machine Access Restrictions…", haga clic en "Edit Security", agregue la cuenta de usuario usada para la recopilación de datos de inventario y active estas opciones para conceder acceso a: "Local Launch", "Remote Launch", "Local Activation" y "Remote Activation".
¡ADVERTENCIA! Antes de aplicar estas directivas en un dominio en producción, le recomendamos estudiar con cuidado las posibles consecuencias de aplicar la configuración de seguridad de esta guía.
La nueva configuración aplicada debe ser compatible con el software de sistema ya instalado (incluidos antivirus y controladores). Asegúrese de que:
- no haya conflicto de configuración (de lo contrario, debe dejar la configuración anterior en funcionamiento).
- la nueva configuración se procese correctamente y no cause fallos.
Por lo tanto, le recomendamos encarecidamente aplicar primero la configuración de GPO en un grupo de prueba de PC o en PC virtuales de prueba.
Recomendamos usar primero los pasos 1–3; si el acceso WMI no funciona con normalidad, contáctenos para obtener recomendaciones.
Siga los puntos 4–6 según nuestras recomendaciones.
Véase también:
Guía de solución de problemas de acceso WMI
Errores de consulta WMI mostrados por el programa
Preguntas frecuentes