Untitled

4.1. Administración de usuarios

Uno de los elementos fundamentales en la administración de una red, es el control de los usuarios, grupos y equipos.

Por ello, debemos aprender cómo

crearlos, modificarlos, organizarlos y, si

llega el caso, eliminarlos.

Además, deberemos asignar privilegios para cada uno de ellos, de modo que podamos establecer en qué medida y bajo qué condiciones podrán beneficiarse de los recursos de la red.

Un servidor dispone de cuentas de acceso local para acceder por la red desde el propio servidor o global a un ordenador estación de trabajo o terminal. Es decir, una cuenta de usuario es una identificación asignada de manera única al usuario para permitirle:

Iniciar sesión en un dominio para acceder a los recursos

Iniciar sesión en un equipo local para acceder a los recursos locales o a un

grupo de trabajo.

Cuenta de usuario

Cuando hablamos de cuentas de usuario es que no siempre representan a personas concretas, sino que también pueden ser utilizadas como mecanismos de acceso para determinados servicios o aplicaciones de un equipo remoto

Permite autenticar la identidad de un usuario, porque sólo podrán iniciar

una sesión aquellos usuarios que dispongan de una cuenta en el sistema

asociada a una determinada contraseña.

Permite autorizar, o denegar, el acceso a los recursos del dominio, porque, una vez que el usuario haya iniciado su sesión sólo tendrá acceso a los recursos para los que haya recibido los permisos correspondientes.

Cuentas integradas

Cuando se crea el dominio, se crean también dos nuevas cuentas: Administrador e Invitado.

Posteriormente, cuando es necesario, se crea también la cuenta Asistente de ayuda. Estas son las denominadas cuentas integradas y disponen de una serie de derechos y permisos predefinidos:

Administrador: Tiene control total sobre el dominio y no se podrá eliminar ni retirar del grupo Administradores (aunque sí podemos cambiarle el nombre o deshabilitarla).

Invitado: Esta deshabilitada de forma predeterminada y, aunque no se recomiende, puede habilitarse, por ejemplo, para permitir el acceso a los usuarios que aún no tienen cuenta en el sistema o que la tienen deshabilitada. De forma predeterminada no requiere contraseña, aunque

esta característica, como cualquier otra puede ser cambiada por el administrador.

Asistente de ayuda:

Se utiliza para iniciar sesiones de Asistencia remota y tiene acceso limitado al equipo. Se crea automáticamente cuando se solicita una sesión de asistencia remota y se elimina cuando dejan de existir solicitudes de asistencia pendientes de satisfacer.

Cuenta de equipo:

Como ocurría con las cuentas de usuario, una cuenta de equipo sirve para autenticar a los diferentes equipos que se conectan al dominio, permitiendo o denegando su acceso a los diferentes recursos del dominio.

Cuenta de grupo:

Un grupo es un conjunto de objetos del dominio que pueden administrarse como un todo. Puede estar formado por cuentas de usuario, cuentas de equipo, contactos y otros grupos.

Podemos utilizar los grupos para facilitar algunas tareas, como:

Simplificar la administración: Podemos asignar permisos al grupo y éstos afectarán a todos

sus miembros.

Delegar la administración: Podemos utilizar la directiva de grupo para asignar derechos de

usuario una sola vez y, más tarde, agregar los usuarios a los que queramos delegar esos

derechos.

Crear listas de distribución de correo electrónico: Sólo se utilizan con los grupos de

distribución que comentaremos más abajo.

Ámbito de los grupos:

El ámbito de un grupo establece su alcance, es decir, en qué partes de la red puede utilizarse, y el tipo de cuentas que pueden formar parte de él. En ese sentido, pueden pertenecer a una de las siguientes categorías:

Ámbito local: Entre sus miembros pueden encontrarse uno o varios de los siguientes tipos de objetos:

Ámbito global:

Sólo pueden incluir otros grupos y cuentas que pertenezcan al dominio en el que esté definido el propio grupo. Los miembros de este tipo de grupos pueden tener permisos sobre los recursos de cualquier dominio dentro del bosque. Sin embargo, estos grupos no se replican fuera

de su propio dominio, de modo que, la asignación de derechos y permisos que alberguen, no serán válidas en otros dominios del bosque.

Ámbito universal:

Entre sus miembros pueden encontrarse cuentas o

grupos de cualquier dominio del bosque, a los que se les pueden asignar permisos sobre los recursos de cualquier dominio del bosque.

Tipos de grupos

Existen dos tipos de grupos en Active Directory:

Grupos de distribución: Se utilizan en combinación con programas

como Microsoft Exchange Server, para crear listas de distribución de

correo electrónico. Estos grupos no disponen de características de

seguridad, por lo que no pueden aparecer en las listas de control de

acceso discrecional (DACL, Discretionary Access Control Lists).

Grupos de seguridad: Permiten asignar permisos a las cuentas de usuario, de equipo y

grupos sobre los recursos compartidos. Con los grupos de seguridad podemos:

Creación de Usuarios

Ver cuentas de usuario

La sección Usuarios del panel de Windows Server Essentials muestra una lista de

cuentas de usuario de red. La lista también da información adicional acerca de cada

cuenta.

Activar una cuenta de usuario

Cuando se activa una cuenta de usuario, el usuario asignado puede iniciar

sesión en la red y acceder a los recursos de red para los que tiene permiso

la cuenta, como las carpetas compartidas y el sitio de acceso web remoto.

Desactivar una cuenta de usuario

Cuando desactiva una cuenta de usuario, se suspende

temporalmente el acceso de la cuenta al servidor. Por este motivo, el

usuario asignado no puede usar la cuenta para acceder a recursos

de red como las carpetas compartidas o el sitio de acceso web

remoto hasta que se active la cuenta.

Si la cuenta de usuario tiene asignada una cuenta en línea de

Microsoft, también se desactiva la cuenta en línea. El usuario no

puede usar los recursos de Microsoft 365 y otros servicios en línea a

los que se suscriba, pero los datos del usuario, incluido el correo

electrónico, se conservan en Microsoft Online Services.

Quitar una cuenta de usuario

Si decide quitar una cuenta de usuario del servidor, un asistente

elimina la cuenta seleccionada. Por este motivo, ya no se puede

usar la cuenta para iniciar sesión en la red o para tener acceso a

los recursos de red.

Como opción, también puede eliminar los archivos de la cuenta

de usuario a la vez que la quita. Si no quiere quitar la cuenta de

usuario de forma permanente, en vez de ello puede

desactivarla para suspender el acceso a recursos de red.

Acceso a usuarios en archivos.

Nivel de acceso a las carpetas compartidas

Como práctica recomendada, debe asignar los permisos más restrictivos que haya y

que aun así permitan a los usuarios realizar las tareas necesarias.

Tiene tres opciones de configuración de acceso disponibles para las carpetas

compartidas en el servidor:

Lectura y escritura.

Elija esta opción si quiere dar permiso a la cuenta de usuario

para crear, modificar y eliminar los archivos de la carpeta compartida.

Solo lectura.

Elija esta opción si solo quiere dar permiso a la cuenta de usuario

para leer los archivos de la carpeta compartida. Las cuentas de usuario con

acceso de solo lectura no pueden crear, modificar ni eliminar archivos de la

carpeta compartida.

Sin acceso.

Elija esta opción si no quiere que la cuenta de usuario tenga acceso a

los archivos de la carpeta compartida.

Cambiar los permisos de acceso remoto para una cuenta de usuario

Un usuario puede tener acceso a recursos ubicados en el servidor desde una ubicación remota mediante una red

privada virtual (VPN), acceso web remoto u otras aplicaciones de servicios web. De forma predeterminada, los permisos de acceso remoto están activados para usuarios de red al configurar Acceso desde cualquier lugar en Windows Server Essentials mediante el panel.

Cómo crear directivas de restricción de software para usuarios de

Active Directory

Abrir el Administrador del servidor y ejecutar Adminis tración de directivas de grupo

En Niveles de seguridad puedes configurar los permisos para

ejecutar el software predeterminado para el grupo deseado.

Sin restricciones

(ajuste por defecto) no limita el software,

y Usuario básico permite solo ejecutar aplicaciones que no

requieran derechos de administrador.

No permitido prohíbe la ejecución del software.

Las reglas adicionales son muy importantes para limitar el uso de las aplicaciones.

Estas reglas tienen prioridad sobre los ajustes por defecto, por lo que

se pueden restringir todas las aplicaciones y crear reglas específicas

para permitir solo la ejecución de alguna de ellas, o se puede permitir

la ejecución de todas las aplicaciones predeterminadas y limitar las

que no se deseen.