Creación y administración de grupos de dominio

Transcripción

1 Creación y administración de grupos de dominio Contenido Descripción general 1 a los grupos de Windows Tipos y ámbitos de los grupos 5 Grupos integrados y predefinidos en un dominio 7 Estrategia para usar grupos en un único dominio 8 Indicaciones para crear grupos de dominio 9 Crear y eliminar grupos de dominio 10 Agregar miembros a grupos de dominio 12 Derechos asignados a los grupos integrados 13 Prácticas recomendadas 15

2 Creación y administración de grupos de dominio i Notas para el instructor Este módulo ofrece a los alumnos los conocimientos necesarios para configurar y administrar grupos dentro de un grupo de trabajo o un dominio. Incluye crear grupos y agregar miembros, así como usar la estrategia adecuada para hacer un uso óptimo de los grupos. Al final de este módulo, los alumnos podrán: Identificar cómo funcionan los grupos y cuáles son sus características Implementar grupos en un dominio Identificar las mejores prácticas para implementar grupos Desarrollo del módulo Utilice la siguiente estrategia para presentar el módulo: a los Grupos de Windows 2000 Primero, explique cómo funcionan los grupos. Destaque que si utiliza grupos, el administrador sólo tiene que dar permisos una vez, y no varias. Después, hable sobre los grupos en los grupos de trabajo y los dominios. Destaque la diferencia entre los grupos que crea un administrador y los que residen en grupos de trabajo y dominios. Implementar grupos en un dominio En primer lugar, explique cuáles son los tipos de grupos y los ámbitos de estos grupos. No olvide definir los tipos y los ámbitos de grupos. Destaque que el ámbito determina cómo se puede utilizar un grupo. Debe mencionar que en este módulo se da por hecho que la red está en modo nativo y que el ámbito del grupo universal sólo está visible cuando la red está en modo nativo. A continuación, explique los grupos integrados y predefinidos en un dominio. Después, explique la estrategia A G DL P para usar grupos en un único dominio, que consiste en introducir cuentas de usuario (A) en grupos globales (G), poner grupos globales en grupos locales de dominio (DL) y después conceder permisos (P) a los grupos locales de dominio. Posteriormente, explique cómo crear grupos en un dominio. Muestre el procedimiento para crear y eliminar grupos. Por último, muestre cómo agregar miembros a un grupo. Prácticas recomendadas Comente cuáles son las mejores prácticas para implementar grupos.

3 Creación y administración de grupos de dominio 1 Descripción general Ofrecer una visión general de los temas y los objetivos del módulo. En este modulo, aprenderá a implementar grupos para simplificar la administración del acceso a los recursos de la red. a los grupos de Windows 2000 Tipos y ámbitos de los grupos Grupos integrados y predefinidos en un dominio Estrategia para usar grupos en un único dominio Indicaciones para crear grupos de dominio Crear y eliminar grupos de dominio Agregar miembros a grupos de dominio Derechos asignados a los grupos integrados Prácticas recomendadas Práctica: Creación de un grupo global Un grupo está compuesto por varias cuentas de usuario. Los grupos se utilizan para simplificar la administración del acceso de usuarios y equipos a los recursos compartidos. Los grupos permiten conceder permisos de acceso a varios usuarios al mismo tiempo. Una vez concedido el permiso de acceso a un grupo, puede agregar al grupo los miembros que necesiten ese permiso. Microsoft Windows 2000 ofrece distintos tipos de grupos para las diferentes tareas. En este modulo, aprenderá cuáles son los distintos tipos de grupos, sus características, y cómo usarlos.al final del módulo, podrá: Identificar cómo funcionan los grupos y cuáles son sus características Implementar grupos en un dominio Identificar las mejores prácticas para implementar grupos Los grupos de dominio permiten administrar el dominio de forma centralizada. Todos los grupos de dominio se crean en un controlador de dominio. Como ocurre con los grupos locales, Windows 2000 crea grupos integrados. Al haber más opciones para usar grupos en un dominio, es muy importante implementar la estrategia adecuada. Para implementar la estrategia de grupos, debe conocer bien los pasos para crear grupos. Esto le permite crear o eliminar grupos correctamente cuando sea necesario, así como agregar miembros a grupos. Si se ha tomado el tiempo necesario para configurar bien los grupos, administrar la red será mucho más sencillo. Importante En este módulo se estudian los grupos de una red en modo nativo, no en modo mixto..

4 Creación y administración de grupos de dominio 2 a los grupos de Windows 2000 Objetivo Ofrecer una lista de los temas relacionados con la introducción de grupos. Presentación Los grupos simplifican la administracion y nos permiten otorgar permisos una única vez en lugar varias ocasiones. Cómo funcionan los grupos de Windows 2000 Los grupos en grupos de trabajo y dominios Antes de que podamos utilizar grupos de forma eficaz, debemos entender su utilidad fundamental y tener una visión general de su funcionamiento en un grupo de trabajo o en un dominio. El lugar en el que cree y use grupos varía dependiendo de si los utilizamos en un grupo de trabajo o en un dominio. Por ejemplo, en un grupo de trabajo únicamente podemos utilizar un grupo en el equipo en el que reside el grupo. Además, el lugar donde reside un grupo varía dependiendo de si se utiliza en un en un grupo de trabajo o en un dominio.

5 Creación y administración de grupos de dominio 3 Cómo funcionan los grupos de Windows 2000 Objetivo Explicar los grupos y su utilidad. Presentación Utilizamos grupos para combinar cuentas de usuario y poder otorgar derechos y permisos a recursos compartidos una vez en lugar de varias ocasiones. Esto es cierto si utiliza un grupo dentro de un grupo de trabajo o en un dominio. Windows 2000 Permisos asignados una vez para un grupo Grupo Permisos En lugar de Permisos asignados una vez para cada cuenta de usuario Permisos Permisos Usuario Permisos Usuario Los miembros de un grupo tienen los mismos derechos y permisos concedidos al grupo Los usuarios pueden pertenecer a varios grupos Los grupos y equipos también pueden pertenecer a un grupo Usuario Importante Los permisos pueden concederse de una vez a un grupo de usuarios en lugar de múltiples veces a usuarios individuales. Un grupo es una colección de cuentas de usuario que utilizamos para administrador el acceso de los usuarios a recursos compartidos como carpetas, archivos, directorios e impresoras compartidas a través de una red. Un grupo nos permite otorgar permisos a recursos compartidos de una vez, en lugar de múltiples veces a usuarios individuales. Esto simplifica la administración del acceso a los recursos de una red. Además de las cuentas de usuario, por cuestiones de la organización y tareas administrativas, podemos hacer que los equipos y, en ocasiones, incluso otros grupos, sean miembros de un grupo. Cuando añada miembros a grupos, tenga en cuenta lo siguiente: Cuando convierta un usuario en miembro de un grupo, está dando al usuario todos los derechos y permisos concedidos al grupo. Nota Si un usuario ha iniciado sesión al convertirlo en miembro de un grupo, los derechos y permisos del grupo no tendrán efecto hasta que el usuario finalice su sesión y vuelva a reinic iar. Importante Una cuenta de usuario puede ser miembro de múltiples grupos. Las cuentas de usuario pueden ser miembros de múltiples grupos. Esto es posible porque un grupo es simplemente una lista de miembros, con referencia a las cuentas de usuario reales.

6 Creación y administración de grupos de dominio 4 Grupos en grupos de trabajo y dominios Objetivo Explicar las diferencias entre los grupos en grupos de trabajo y en dominios. Presentación Donde creamos los grupos y donde residen son diferentes en los grupos de trabajo y en los dominios. Grupo de trabajo Dominio SAM Equipo cliente Controlador de dominio SAM Servidor miembro Creados en equipos que no son controladores de dominio Residen en SAM Se utilizan para controlar el acceso a recursos del equipo Creados en controladores de dominio Residen en Active Directory Se utilizan para controlar los recursos del dominio Los grupos funcionan de forma diferente en un grupo de trabajo que en un dominio. Esto incluye el lugar en dónde se crean y dónde residen, además de su uso. Grupos en un grupo de trabajo Las características de los grupos en un grupo de trabajo son las siguientes: Se crean en equipos que no son controladores de dominio. Esto incluye equipos cliente ejecutando Windows 2000 Professional y servidores miembro ejecutando Windows 2000 Server o Windows 2000 Advanced Server. Residen en la SAM (Security Accounts Manager), que es la base de datos de cuentas de seguridad local del equipo. Se utilizan para otorgar permisos a recursos y otorgar derechos para las tareas de sistema únicamente en el equipo en el que hemos creado el grupo. Nota Para un equipo independiente, implementamos los grupos de la misma forma en que los implementaríamos para un equipo en un grupo de trabajo. Grupos en un dominio Las características de los grupos en un dominio son las siguientes: Se crean únicamente en los controladores de dominio. Residen en el servicio de directorio Active Directory. Se utilizan para otorgar permisos a recursos y otorgar derechos para tareas de sistema en cualquier equipo del dominio.

7 Creación y administración de grupos de dominio 5 Tipos y ámbitos de los grupos Enumerar los tipos y ámbitos de los grupos de Windows En Windows 2000 existen dos tipos de grupos: de seguridad y distribución. Hay tres clases de ámbitos de grupos: global, local de dominio y universal. Tipos de grupo Grupos de de seguridad Grupos de de distribución Ámbitos de grupo Grupo global Grupo local de de dominio Grupo universal Se usan para asignar permisos Se pueden usar como listas de distribución de correo electrónico No se puede utilizar para asignar permisos Se pueden usar como listas de distribución de correo electrónico Se utiliza para organizar usuarios con necesidades similares de acceso a la red Se usa para asignar permisos a recursos de dominios Se utiliza para asignar permisos a recursos relacionados en varios dominios Punto principal Al estar los grupos de dominio almacenados en Active Directory, el administrador puede usarlos en cualquier parte del dominio y, en ocasiones, en varios dominios. Consejo Describa los tipos de grupos de Active Directory y explique su finalidad. Dentro de un dominio, Active Directory admite distintos tipos de grupos y ámbitos de grupos. Al estar almacenados en Active Directory, puede utilizar estos grupos en cualquier equipo de la red. El tipo de grupo determina el tipo de tareas que se pueden administrar con el grupo. El ámbito del grupo determina si el grupo abarca varios dominios o si está limitado a un único dominio. Cada tipo de grupo de dominio tiene un atributo de ámbito que identifica cómo se aplica el grupo en la red. Tipos de grupos En Active Directory hay dos tipos de grupos, que son: Grupos de seguridad. Utilice los grupos de seguridad para fines relacionados con la seguridad, como conceder permisos para el acceso a recursos. También puede usarlos para enviar mensajes de correo electrónico a varios usuarios. Al enviar un mensaje de correo electrónico a un grupo, lo reciben todos los miembros de ese grupo. Por eso, los grupos de seguridad comparten las mismas prestaciones que los grupos de distribución. Grupos de distribución. Las aplicaciones utilizan grupos de distribución como listas para funciones no relacionadas con la seguridad, como enviar mensajes de correo electrónico a grupos de usuarios. No se puede asignar permisos a los grupos de distribución. Aunque los grupos de seguridad tienen todas las funciones de los grupos de distribución, estos últimos siguen siendo necesarios porque algunas aplicaciones sólo pueden leer grupos de distribución. Nota Al residir los grupos de distribución en Active Directory, sólo pueden usarlos las aplicaciones diseñadas para trabajar con Active Directory. Por ejemplo, las versiones futuras de Microsoft Exchange Server podrán usar los grupos de Windows 2000 como listas de distribución para los mensajes de correo electrónico.

8 Creación y administración de grupos de dominio 6 Consejo Comente que si la red no está en modo nativo, no estarán disponibles todos los ámbitos de grupo. Asegúrese de que los alumnos entienden la diferencia entre el modo nativo y el modo mixto. Describa los ámbitos de grupos de Active Directory y explique su finalidad. Ámbitos de grupos El ámbito de un grupo determina dónde se usará ese grupo en los dominios. El ámbito de grupo afecta a la pertenencia del grupo y al anidamiento de grupos. El anidamiento consiste en agregar un grupo como miembro de otro grupo. En Windows 2000 existen tres ámbitos de grupos: Ámbito de grupo global. Utilice este ámbito de grupo para organizar a los usuarios que comparten necesidades similares de acceso a la red. Puede utilizar un grupo global para conceder permisos de acceso a recursos situados en cualquier dominio. Los grupos globales tienen una pertenencia limitada. Agregue las cuentas de usuario y los grupos globales únicamente desde el dominio en el que haya creado el grupo global. Los grupos globales pueden anidarse dentro de otros grupos. Esta función le permite agregar un grupo global a otro grupo global del mismo dominio o a grupos locales de dominio y universales del mismo o de otro dominio. Ámbito de grupo local de dominio. Utilice este ámbito para conceder permisos a recursos de dominio situados en el mismo dominio en el que creó el grupo local de dominio. El recurso no tiene por qué residir en un controlador de dominio. Los grupos locales de dominio tienen pertenencia abierta. Agregue cuentas de usuario, grupos universales y grupos globales desde cualquier dominio. Los grupos locales de dominio pueden contener otros grupos locales de dominio de su dominio, además de grupos globales y grupos universales de cualquier dominio. Nota Aunque puede utilizar un grupo global para conceder permisos de acceso a recursos de cualquier dominio, le recomendamos que sitúe el grupo global en un grupo local de domino y que utilice éste último para conceder permisos de acceso a recursos situados en cualquier dominio. Ámbito de grupo universal. Conceda permisos a recursos relacionados de varios dominios. Utilice un grupo universal para conceder permisos de acceso a recursos situados en cualquier dominio. Los grupos universales tienen pertenencia abierta. Pueden ser miembros todos los grupos y cuentas de usuario del dominio. Los grupos universales pueden anidarse dentro de otros grupos de dominio. Esta función per mite agregar un grupo universal a grupos locales de dominio o a grupos universales de cualquier dominio. Importante Los grupos de seguridad con ámbito de grupo universal sólo están disponibles cuando el dominio está en modo nativo. En el modo nativo todos los controladores de dominio ejecutan Windows 2000.

9 Creación y administración de grupos de dominio 7 Grupos integrados y predefinidos en un dominio Enumerar los grupos predefinidos e integrados que se crean automáticamente en Windows Los grupos predefinidos e integrados tienen un conjunto de derechos de usuario predeterminados. Los derechos de usuario determinan las tareas del sistema que puede realizar un usuario o un miembro de un grupo integrado. Los grupos locales de dominio integrados dan a los usuarios derechos y permisos predefinidos para realizar tareas: En controladores de dominio En Active Directory Identidades especiales (Grupos especiales) Organizan los usuarios para que los use el sistema La pertenencia es automática y no se puede modificar Los grupos globales predefinidos permiten a los administradores controlar los recursos del dominio Consejo Abra Usuarios y equipos de Active Directory y muestre a los alumnos los grupos integrados y predefinidos de un controlador de dominio. Como ocurre con los equipos cliente y los servidores miembros, los controladores de dominio tienen grupos integrados predeterminados. Además de los grupos integrados, los controladores de dominio tienen grupos predefinidos de forma predeterminada. Cuando un equipo pasa a ser controlador de dominio, Windows 2000 Server, Windows 2000 Advanced Server y Microsoft Windows 2000 Datacenter crean automáticamente estos grupos en Usuarios y equipos de Active Directory. Al igual que los grupos integrados locales, estos grupos tienen derechos predeterminados que determinan las tareas del sistema que pueden realizar los miembros de un grupo integrado o predefinido. Los grupos de domino predeterminados de Windows 2000 incluyen: Grupos locales de dominio integrados. Estos grupos proporcionan a los usuarios derechos y permisos predefinidos para realizar tareas en los controladores de dominios y en Active Directory. Los grupos locales de dominio integrados sólo están en los controladores de dominios. Estos grupos no se pueden borrar. Identidades especiales. Estos grupos, también denominados grupos especiales, organizan automáticamente los usuarios para el sistema. Los administradores no les asignan usuarios. Los usuarios son miembros de forma predeterminada o se convierten en miembros durante la actividad de la red. Los grupos de sistema se encuentran en todos los equipos que ejecuten Windows Por ejemplo, cuando los usuarios se conectan a una carpeta compartida de un equipo remoto, pasan a ser miembros del grupo Sistema de red. Los grupos especiales no se pueden ver en Usuarios y equipos de Active Directory. Grupos globales predefinidos. Estos grupos permiten a los administradores controlar fácilmente todos los usuarios de un dominio. Los grupos globales predefinidos sólo están en los controladores de dominio. Estos grupos residen en la carpeta Usuario, de Usuarios y equipos de Active Directory.

10 Creación y administración de grupos de dominio 8 Estrategia para usar grupos en un único dominio Ilustrar la estrategia para usar grupos de un dominio. Se recomienda utilizar la estrategia A G DL P en un dominio. Estrategia A G DL P para grupos de de un dominio A Cuentas de usuario Agregar G Agregar Grupo global P DL Asignar Grupo local de de dominio Punto principal Aunque el administrador puede usar otras estrategias, la A G DL P es la estrategia más eficaz. Consejo Si los alumnos preguntan por qué los grupos universales no forman parte de la estrategia de dominio único, diga que los grupos universales se utilizan en los entornos de varios dominios porque tienen pertenencia abierta y se pueden agregar a grupos locales de dominio de cualquier dominio. Cuando se usan grupos de un único dominio, se emplea la estrategia A G DL P. La estrategia A G DL P consiste en poner cuentas de usuario (A) en grupos globales (G), poner los grupos globales en grupos locales de dominio (DL) y después conceder permisos (P) al grupo local de dominio. Para configurar los grupos, utilice la siguiente estrategia: 1. Identifique los usuarios con responsabilidades comunes y agregue las cuentas de usuario a un grupo global. Por ejemplo, en un departamento de ventas, agregue las cuentas de usuario de todos los comerciales que utilicen los mismos recursos a un grupo global llamado Ventas. 2. Determine si puede utilizar un grupo local de dominio integrado o si necesita crear uno para proporcionar a los usuarios acceso a los recursos del dominio. Por ejemplo, si quiere que los usuarios puedan utilizar una impresora en color compartida del dominio, cree un grupo local de dominio llamado Usuarios de impresora en color. 3. Haga a todos los grupos globales con las mismas necesidades de acceso a los recursos, miembros del grupo local de dominio correspondiente. Por ejemplo, agregue los grupos globales correspondientes, incluido Ventas, al grupo local de dominio Usuarios de impresora en color. 4. Conceda los permisos necesarios al grupo local de dominio en el controlador de dominio. Conceda los permisos en el recurso. Por ejemplo, conceda los permisos necesarios para usar impresoras en color al grupo local de dominio Usuarios de impresora en color. Consejo Destaque que es recomendable utilizar A G DL P para asignar permisos a los recursos.

11 Creación y administración de grupos de dominio 9 Indicaciones para crear grupos de dominio Enumerar los pasos para crear grupos en un dominio. Siga estos pasos cuando cree grupos en un dominio. Determinar el ámbito de grupo que se va a usar Determinar si tiene permisos para crear grupos Determinar el nombre del grupo Puntos principales Siga las indicaciones para crear grupos de dominio antes de hacerlo. Los miembros de los grupos integrados Administradores del dominio y Operadores de cuentas pueden crear grupos en el dominio. Un administrador puede dar a un usuario permiso para crear grupos de domino. Cuando vaya a crear grupos que se van a usar en un dominio, deberá tener en cuenta las siguientes indicaciones: Determine el ámbito de grupo necesario en función de cómo se vaya a usar el grupo. Por ejemplo, utilice grupos globales para agrupar cuentas de usuario. También puede usar grupos locales de dominio para conceder permisos de acceso a un recurso. Determine si tiene los permisos necesarios para crear un grupo en el dominio adecuado: De forma predeterminada, los miembros de los grupos Administradores u Operadores de cuentas de un dominio tienen los permisos necesarios para crear grupos. Un administrador puede dar a un usuario permiso para crear grupos en el domino. Indique el nombre del grupo. El nombre debe ser intuitivo para que refleje la finalidad para la que se creó. Esto es especialmente útil para los administradores de otros dominios que lo busquen en Active Directory. Nota Si hay grupos paralelos en varios dominios, asegúrese de que los nombres también son paralelos y de que reflejan los nombres de los dominios. Por ejemplo, si hay un grupo para directores en cada dominio, estos grupos deberán utilizar un esquema de nomenclatura similar, como Directores EEUU y Directores Australia.

12 Creación y administración de grupos de dominio 10 Crear y eliminar grupos de dominio Enumerar los puntos principales que hay que tener en cuenta al crear y eliminar grupos. Utilice Usuarios y equipos de Active Directory para crear o eliminar grupos. New Object - Group Utilice Usuarios y equipos de Active Directory para crear y eliminar grupos Cuando se elimina un grupo: Se quitan los derechos y permisos No se eliminan los miembros No se vuelve a usar nunca el SID Nombre de grupo Los grupos se crean y se eliminan en Usuarios y equipos de Active Directory. Puede crearlos en la carpeta predeterminada Usuarios o en cualquier otra carpeta que cree. Cuando ya no necesite un grupo, asegúrese de borrarlo para que no le conceda permisos accidentalmente. Consejo Muestre los procedimientos para crear un grupo usando Usuarios y equipos de Active Directory. Asegúrese de que los alumnos saben qué es un objeto de Active Directory. Consejo Muestre cómo eliminar un grupo usando Usuarios y equipos de Active Directory. Crear un grupo Para crear un grupo, abra Usuarios y equipos de Active Directory. Haga clic con el botón secundario del mouse en la carpeta en la que quiera crear el grupo, seleccione Nuevo y después haga clic en Grupo. En la siguiente tabla se describen las opciones del cuadro de diálogo Nuevo objeto Grupo. Opción Nombre del grupo Nombre del grupo (antes de Windows 2000) Ámbito de grupo Tipo de grupo Descripción El nombre del nuevo grupo. El nombre debe ser único en el dominio donde haya creado el grupo. El nombre utilizado para trabajar con clientes y servidores de versiones anteriores de Windows. El ámbito del grupo. Haga clic en Local de dominio, Global o Universal. El tipo de grupo. Haga clic en Seguridad o Distribución.

13 Creación y administración de grupos de dominio 11 Punto principal El SID de un grupo no se puede volver a utilizar. Si un administrador elimina un grupo y después crea otro con el mismo nombre, tendrá un SID diferente y Windows 2000 no lo reconocerá como el mismo grupo. Eliminar un grupo Al eliminar un grupo, está quitando los permisos y los derechos que tiene asociados. Cuando se borra un grupo, no se borran las cuentas de usuario ni los grupos miembros de ese grupo. Cada grupo que se crea tiene un identificador único que no se puede volver a utilizar, denominado identificador de seguridad (SID). Windows 2000 utiliza el SID para identificar el grupo y los permisos que le han sido concedidos. Cuando se elimina un grupo, Windows 2000 no vuelve a usar nunca su SID, aunque se cree un nuevo grupo con el mismo nombre que el que ha sido eliminado. Por lo tanto, no es posible restaurar el acceso a los recursos creando un grupo con el mismo nombre. Para eliminar un grupo, abra Usuarios y equipos de Active Directory. En el árbol de consola, amplíe el dominio y después haga clic en la carpeta que contiene el grupo que quiere eliminar. En el panel de detalles, haga clic con el botón secundario en el grupo que quiere eliminar y a continuación haga clic en Eliminar. Nota No es posible eliminar grupos integrados o predefinidos.

14 Creación y administración de grupos de dominio 12 Agregar miembros a grupos de dominio Mostrar la interfaz de usuario para agregar miembros a un grupo. Puede agregar cuentas de usuario, otros grupos y equipos a un grupo usando el cuadro de diálogo Seleccione usuarios, contactos, equipos o grupos. Seleccionar Agregar Consejo Muestre el procedimiento para agregar miembros a un grupo usando Usuarios y equipos de Active Directory. Después de crear un grupo, puede agregarle miembros. Los miembros de los grupos pueden ser cuentas de usuario, otros grupos y equipos. Utilice Usuarios y equipos de Active Directory para agregar miembros a un grupo. Para agregar miembros a un grupo, siga estos pasos: 1. En el cuadro de diálogo Propiedades del grupo correspondiente, haga clic en la pestaña Miembros y después haga clic en Agregar. 2. En la lista Buscar en, seleccione el dominio cuyas cuentas de usuario y grupos quiera ver. También puede seleccionar Todo el directorio para ver cuentas de usuario y grupos de todo Active Directory. Consejo Al agregar miembros, puede ordenarlos por el nombre o por la carpeta en la que residen. En el cuadro de diálogo Seleccione usuarios, contactos, equipos o grupos, haga clic en la columna correspondiente. 3. En la columna Nombre, seleccione la cuenta de usuario o el grupo que quiera agregar y a continuación haga clic en Agregar. También puede escribir el nombre de la cuenta de usuario o grupo que quiera agregar. Repita el mismo procedimiento para agregar otras cuentas de usuario o grupos. 4. Haga clic en Aceptar para agregar los miembros al grupo y después vuelva a hacer clic en Aceptar. Consejo También puede agregar una cuenta de usuario o un grupo a otro grupo usando la pestaña Miembro de del cuadro de diálogo Propiedades de esa cuenta de usuario o ese grupo. Utilice este método para agregar rápidamente el mismo usuario o grupo a varios grupos.

15 Creación y administración de grupos de dominio 13 Derechos asignados a los grupos integrados Identificar los derechos de los grupos integrados. Los grupos integrados tienen algunos derechos predeterminados. Derechos de administradores Derechos de usuarios Derechos de de usuarios avanzados Derechos de operadores de copia de seguridad De forma predeterminada, Windows 2000 concede determinados derechos a grupos integrados como Administradores, Usuarios, Usuarios avanzados y Operadores de copia de seguridad. Administradores Administradores es un grupo integrado que está presente tanto en los equipos que son controladores de dominio como en los que no lo son. Los miembros del grupo Administradores tienen control absoluto sobre el equipo o el dominio. El grupo Administradores es el único grupo integrado al que se le conceden automáticamente todos los derechos integrados del sistema. Usuarios Usuarios es un grupo integrado que está presente tanto en los equipos que son controladores de dominio como en los que no lo son. Los miembros del grupo Usuarios sólo pueden realizar las tareas para las que se les ha concedido derechos específicos, como ejecutar aplicaciones, usar impresoras locales y de red, o apagar y bloquear estaciones de trabajo. Los miembros del grupo Usuarios pueden crear grupos locales y modificarlos, pero no pueden compartir carpetas ni crear impresoras locales. Usuarios avanzados Usuarios avanzados es un grupo integrado que se encuentra en los equipos que no son controladores de dominio. Los miembros del grupo Usuarios avanzados pueden realizar funciones administrativas específicas, pero no tienen derechos que les permitan tener el control absoluto del sistema. Los derechos del grupo Usuarios avanzados incluyen: Crear cuentas de usuario y grupos en el equipo local Modificar y eliminar las cuentas que crean Compartir recursos

16 Creación y administración de grupos de dominio 14 Sin embargo, los miembros del grupo Usuarios avanzados no pueden: Modificar los grupos Administradores u Operadores de copia de seguridad Hacer copias de seguridad ni restaurar carpetas Operadores de copia de seguridad Operadores de copia de seguridad es un grupo integrado que está presente tanto en los equipos que son controladores de dominio como en los que no lo son. Los miembros del grupo Operadores de copia de seguridad pueden hacer copias de seguridad y restaurar archivos en el equipo, independientemente de los permisos que los protejan. Los miembros del grupo Operadores de copia de seguridad también pueden iniciar una sesión en el equipo y apagarlo, pero no pueden modificar la configuración de seguridad.

17 Creación y administración de grupos de dominio 15 Prácticas recomendadas Enumerar las mejores prácticas para crear grupos. Revise esta lista antes de crear grupos. Crear grupos globales basados en funciones de trabajo Utilizar grupos locales en un equipo que no esté en un dominio Agregar cuentas de usuarios a los grupos más restrictivos Utilizar grupos integrados cuando sea posible Utilizar la la estrategia A G DL P cuando sea posible En la siguiente lista se especifican las mejores prácticas para implementar grupos: Cree grupos globales basados en funciones del trabajo. Cuando cree un grupo basado en una función del trabajo y otra persona pase a encargarse de esa tarea, sólo tendrá que cambiar la pertenencia al grupo. No es necesario que cambie todos los permisos concedidos a la cuenta de usuario. Por este motivo, a veces merece la pena crear un grupo que sólo tenga un miembro. Utilice sólo los grupos locales en equipos que no estén en un dominio, puesto que los grupos locales no pueden administrarse centralmente. Cuando haya varios grupos posibles, agregue siempre las cuentas de usuario al grupo más restrictivo que proporcione los derechos y permisos adecuados para que los usuarios puedan realizar las tareas necesarias. Si hay un grupo integrado que permite a los usuarios realizar una tarea, utilícelo en lugar de crear uno nuevo. Únicamente cree grupos cuando no haya ninguno integrado que proporcione los derechos y permisos necesarios. A la hora de implementar grupos, es recomendable utilizar la estrategia A G DL P. Consiste en poner cuentas de usuario (A) en grupos globales (G), poner los grupos globales en grupos locales de dominio (DL) y después conceder permisos (P) al grupo local de dominio.