Un proveedor tocó el Active Directory, no documentó nada y se fue

“Contratamos a alguien para que nos arreglara el dominio. Ahora hay cosas que antes funcionaban y ya no, y nadie sabe qué cambió.”

Con qué nos encontramos

La intervención previa había sido real: se hicieron cambios de fondo en la estructura del dominio. El problema no fue que se hiciera mal todo, sino que se hizo a medias y sin dejar rastro. No había diagrama actualizado, no había bitácora de cambios y la persona que ejecutó ya no estaba disponible para explicar nada.

Eso convierte cualquier arreglo en una apuesta. Tocar un directorio activo sin saber qué se modificó antes es la forma más rápida de romper algo que sí estaba funcionando.

Lo primero fue no arreglar nada

Dedicamos la primera fase completa a levantar el estado real: qué controladores había, cómo estaba replicando, qué políticas seguían activas, cuáles estaban huérfanas y qué dependía de qué. Terminó en un documento con el mapa del ambiente y una lista de hallazgos ordenada por dos criterios: riesgo de que tumbe la operación, y costo de dejarlo así.

Ese documento fue el que permitió tomar decisiones. Antes de él, la conversación era “arréglenlo”. Después, fue “esto primero, esto puede esperar, y esto mejor ni lo tocamos”.

Cómo se ejecutó

El plan quedó en siete fases, cada una con ventana acordada y punto de retorno. La regla fue que ninguna fase avanzara si la anterior no había pasado verificación con el equipo del cliente presente.

• Documentación del estado real y hallazgos priorizados
• Estabilización de replicación entre controladores
• Limpieza de objetos y políticas huérfanas
• Corrección de la estructura de unidades organizativas
• Revisión de cuentas privilegiadas y delegaciones
• Respaldo del directorio y prueba real de recuperación
• Entrega documentada y transferencia de conocimiento

La operación no se detuvo en ninguna de las siete.