Implementación del sistema

Transcripción

1 C.- CÓMO MONTAR UN SISTEMA DE ADMINISTRACION AVANZADA DE USUARIOS PARA CONTROLAR PERMISOS DESDE EL PROPIO SERVIDOR SIN NECESIDAD DE DESPLAZARSE A LOS CLIENTES Conceptos previos Por definición, los grupos en Microsoft Windows 2000 son objetos del servicio de directorio Active Directory o del equipo local que pueden contener usuarios, contactos, equipos u otros grupos. Sin embargo, en general, un grupo es normalmente una colección de cuentas de usuario. El objetivo de los grupos es simplificar la administración permitiendo al administrador de la red asignar derechos y permisos por grupo en lugar de a usuarios individuales. Windows 2000 permite dos tipos de grupos: de seguridad y de distribución. Los grupos de seguridad son esencialmente los únicos grupos utilizados en Windows 2000 porque son los únicos grupos por medio de los que se pueden asignar permisos. A cada grupo de seguridad se asigna también un ámbito de grupo, el cual define cómo se asignan los permisos a los miembros del grupo. Para crear y eliminar grupos, se debe utilizar Usuarios y equipos de Active Directory Los grupos deberían crearse en el contenedor Users o en una unidad organizativa (OU, Organizational Unit) que se haya creado con el propósito de contener grupos. Los servidores W2000 instalados en la red PREMIA están funcionando en modo mixto, por lo que el sistema a implementar tiene ciertas restricciones, por ejemplo no podremos agregar un grupo como miembro a otro grupo. Los usuarios se dividen en dos tipos: - A) Usuarios de dominio: que necesitan ser validados por el servidor para abrir sesion en el dominio y cuyas configuraciones, derechos etc. dependen del servidor (Active directory) Estos usuarios al abrir sesion introducen: Su Nombre de usuario: ir001234aa, su contraseña: ******* y Abrir sesión en: el dominio H B) Usuarios locales: que no necesitan ser validados por el servidor, por lo que pueden abrir sesión sin tener conexión de red, y cuyas configuraciónnes, permisos, etc. residen en el equipo local. Estos usuarios al abrir sesion introducen: Su Nombre de usuario: ir001234aa, su contraseña: ******* y Abrir sesión en: Este equipo B Los permisos de los usuarios del dominio (Tipo A) se gestionan desde el servidor, mediante Usuarios y equipos de Active directory, mientras que los permisos de los usuarios locales (Tipo B) se gestionan desde los equipos locales, mediante Inicio-Panel de control-cuentas de usuario Existen una serie de grupos predeterminados tanto de dominio como locales, creados por el propio sistema y que son los que deberemos de utilizar para gestionar los permisos. En concreto utilizaremos los usuarios predefinidos locales y nos fijaremos en dos: - El grupo de Administradores - El grupo de usuarios Avanzados

2 Una vez instalado, este sistema permite: - otorgar o restringir permisos a usuarios concretos en ordenadores o grupos de ordenadores determinados - efectuar dichos cambios sin necesidad de desplazarse físicamente a los ordenadores cliente, es decir desde el propio servidor, con la facilidad y rapidez que esto posibilita Implementación del sistema Para montar este sistema es necesario realizar las siguientes acciones: 1.- crear en el Directorio activo del servidor (Usuarios y Equipos de Active Directory) los grupos de usuarios que queramos utilizar 2.- añadir dichos grupos en la configuracion local de los clientes respectivos 3.- definir en el servidor los miembros que queramos que pertenezcan a los diferentes grupos creados Pongamos como ejemplo que tenemos : - un aula de informática con 10 aparatos en la que queremos dar, de vez en cuando a ciertos usuarios derechos de Usuarios Avanzados y otra veces derechos de Administrador - un ordenador en dicha aula de informática en el que ciertos usuarios deberían de tener, de vez en cuando derechos de administrador para poder instalar programas, etc. (Si pretendo controlar los derechos que otorgo para CADA APARATO, tendré que crear un grupo de cada tipo de usuario por cada aparato, en cambio si lo que pretendo es controlar los permisos que otorgo a grupos de ordenadores podré crear grupos globales) Queremos controlar especificamente derechos sobre aparatos concretos y derechos sobre el grupo de ordenadores del aula. Si tengo en el aula los siguientes equipos: B al B Puedo crear los siguientes grupos GRUPO EXPLICACION GUAD-AULA Grupo de usuarios administradores del aula de informática en su conjunto GUA-AULA Grupo de usuarios avanzados del aula de informática en su conjunto GUA-B Grupo de usuarios avanzados del equipo B GUAD-B Grupo de administradores del equipo B GUA-B Grupo de usuarios avanzados del equipo B GUAD-B Grupo de administradores del equipo B GUA-B Grupo de usuarios avanzados del equipo B GUAD-B Grupo de administradores del equipo B Etc. Etc.

3 1.- crear en el Directorio activo del servidor (Usuarios y Equipos de Active Directory) los grupos de usuarios que queramos utilizar Para controlar y almacenar correctamente los grupos nuevos que creamos es conveniente crear previamente una nueva carpeta o Unidad Organizativa. Para ello abrimos en el servidor Usuarios y equipos de Active Directory y tras posicionarnos en el dominio elegimos Nuevo-Unidad organizativa Le llamamos por ejemplo Grupos En dicha unidad organizativa creamos los grupos mencionados Botón derecho-nuevo- Grupo Deberemos tener especial cuidado en definir en Ámbito de grupo la opción Global y en Tipo de grupo Seguridad

4 2.- añadir dichos grupos en la configuracion local de los clientes respectivos Una vez creados los grupos en el servidor debemos de añadirlos en la configuración de grupos locales de cada aparato. Esto lo podemos hacer también directamente desde el servidor. Únicamente necesitamos, eso sí, que los equipos estén encendidos. Para ello, tras encender los aparatos, en el servidor elegimos Inicio-Programas- Herramientas administrativas-usuarios y equipos de Active Directory- Computers Botón derecho sobre ese ordenador y Administrar. Elegimos Usuarios locales y grupos desplegando con el signo + las subcarpetas y marcamos Grupos Se nos plantea esta pantalla donde a la derecha se listan los grupos locales predefinidos de ese aparato. Añadiremos los grupos por nosotros creados en el servidor (GUAD-B y GUAD- AULA) dentro del grupo de Administradores y (GUA-B y GUA-AULA) en el grupo ded Usuarios Avanzados. Para ello pulsando doble clic sobre Administradores elegimos Agregar y en Buscar en elegimos Todo el directorio y añadimos los grupos necesarios

5 Este paso debemos de hacerlo para cada uno de los ordenadores del aula 3.- definir en el servidor los miembros que queramos que pertenezcan a los diferentes grupos creados Ya no queda más que introducir a nuestro gusto y conveniencia los usuarios a los que queramos dar derechos de Usuarios Avanzados o derechos de Administrador como miembros de los grupos definidos en el servidor. Para ello, en el servidor elegimos Inicio-Programas-Herramientas administrativas- Usuarios y equipos de Active Directory Elegimos la carpeta Grupos (donde habíamos creado anteriormente los grupos) y posicionándonos sobre el grupo que queramos Botón derecho-propiedades-pestaña Miembros-Agregar La próxima vez que los usuarios abran sesión tendrán asignados los derechos que les hayamos definidos (en función del grupo del que son miembros)