No puedo autosdescubrir los controladores de dominio con microsoft ipam; Me marca que el acceso fue denegado.

Hola,

El error 0x80070005 en IPAM durante el descubrimiento automático en un bosque de confianza indica un problema de permisos de acceso remoto, específicamente en las consultas WMI y RPC hacia los controladores de dominio, DNS y DHCP del bosque agregado. Aunque la cuenta de servicio esté configurada correctamente, por defecto los permisos entre bosques no se heredan y deben concederse explícitamente.

Lo primero es asegurarse de que la cuenta de servicio de IPAM tenga permisos de Distributed COM Users y acceso WMI en cada controlador de dominio, servidor DNS y DHCP del bosque de destino. Esto se hace en el servidor remoto ejecutando wmimgmt.msc, botón derecho en WMI Control > Properties > Security, seleccionando Root\Microsoft\IPAM y Root\CIMv2, y agregando la cuenta de servicio con permisos de Remote Enable. Además, en el firewall del bosque de destino deben estar habilitadas las reglas de Windows Management Instrumentation (WMI-In) y Remote Event Log Management (RPC).

En escenarios de bosques con confianza, es obligatorio que la cuenta de servicio de IPAM esté reconocida en el bosque remoto. Si la confianza es bidireccional, debes crear un grupo en el bosque de destino (por ejemplo, “IPAM Access”) y otorgarle permisos WMI y RPC en los servidores, luego agregar la cuenta de servicio del bosque de origen a ese grupo. Si la confianza es unidireccional, la cuenta de servicio no tendrá acceso a menos que se configure explícitamente en el bosque de destino.

También revisa que en cada servidor de destino el registro HKLM\SOFTWARE\Microsoft\IPAM no tenga restricciones de acceso y que el servicio Remote Registry esté habilitado, ya que IPAM lo utiliza para leer configuraciones.

Si después de otorgar los permisos WMI y RPC aún recibes acceso denegado, confirma que la autenticación entre bosques esté funcionando correctamente (Kerberos tickets válidos). Un error común es que los relojes entre bosques estén desincronizados, lo que invalida los tickets y provoca denegación de acceso. Verifica sincronización NTP y que los SPNs de la cuenta de servicio estén registrados correctamente.

En resumen, el problema no está en la cuenta de servicio en tu bosque, sino en que el bosque de destino no le ha concedido los permisos de acceso remoto necesarios. La solución es otorgar permisos WMI y RPC a la cuenta de servicio de IPAM en los servidores del bosque agregado, asegurando que la confianza permita autenticación Kerberos.Espero que hayas encontrado algo útil aquí. Si esto te ayuda a comprender mejor el problema, te agradecería que aceptaras la respuesta. Si tienes más preguntas, no dudes en dejar un mensaje. ¡Que tengas un buen día!

HL.