Gestión de Cuentas de Usuario y Grupos en Windows 2003 Server

Definición de Usuarios, Equipos y Grupos

La cuenta de un usuario del dominio registra toda la información necesaria para su definición en Windows 2003 Server, incluyendo su nombre de usuario y contraseña (necesarios para iniciar sesión), los grupos a los que pertenece el usuario, los derechos y permisos que tiene el usuario para utilizar el equipo y la red, así como para tener acceso a sus recursos. En los controladores de dominio de Windows 2003 Server, las cuentas de usuario se administran con Usuarios y Equipos de Active Directory.

Integración de Equipos en el Dominio

Los objetos correspondientes a los equipos del dominio quedan incluidos en el dominio Active Directory de nuestro servidor Windows 2003 cuando son registrados en el mismo (proceso visto anteriormente en el capítulo correspondiente al servidor RIS); a partir de su integración en el dominio, pueden ser incluidos en cualquier grupo al igual que haríamos con los usuarios.

Planificación de Grupos

Sin duda alguna, el tema de los grupos en Windows 2003 Server es una de las partes más complejas de dicho S.O., no tanto por alcanzar a comprender su funcionamiento, sino por poder realizar una planificación adecuada de los grupos necesarios y su organización, cara a gestionar eficazmente los recursos existentes en nuestra red y el acceso a los mismos. No podemos dar una configuración común y válida para cualquier entorno de trabajo; debe ser el administrador de la red el que defina los grupos (y las Unidades Organizativas) necesarias para el mejor aprovechamiento y gestión de los recursos de la red del centro. En las siguientes líneas trataremos de explicar de forma simple y somera qué son los grupos y su utilidad.

Creación de Usuarios en el Dominio

En primer lugar, para poder trabajar con los grupos, lo primero que hemos de hacer es crear usuarios en el dominio que puedan autenticarse desde una estación de trabajo registrada en el dominio gestionado por el servidor Windows 2003; cuando un usuario es creado, será incluido como miembro de un determinado grupo del dominio (administradores, usuarios, etc.); además de crearlos, les asociaremos las propiedades y características que deseemos, definiendo por ejemplo su contraseña, las propiedades de cambio de la misma, la posibilidad de acceso remoto al servidor o acceso al mismo por Terminal Server, entre otras muchas posibilidades.

Objetos en Active Directory

Un usuario, al igual que una estación de trabajo registrada en el dominio, no deja de ser un objeto en el árbol de Active Directory de nuestro servidor Windows 2003, de modo que puede ser incluido en una Unidad Organizativa o en los grupos de usuarios o equipos del dominio deseados. La inclusión de un objeto Usuario o Equipo en una Unidad Organizativa permitirá aplicarle directivas o políticas de grupo, como veremos en el siguiente capítulo.

Gestión de Permisos de Acceso

La creación pura e individual de un conjunto de usuarios que tengan acceso identificado al dominio desde las estaciones de trabajo es una labor sencilla, pero la concesión de permisos de acceso a los recursos del sistema se complica enormemente a medida que el número de usuarios crece. Como ejemplo de ello, supongamos que tenemos quince recursos compartidos a los que solo queremos dar acceso a los administradores; si damos acceso individual a cada usuario sobre cada recurso, y definimos un nuevo usuario administrador de nombre "pepe", deberíamos acceder a cada uno de los quince recursos indicados y darle explícitamente permisos de acceso a "pepe", lo cual es una labor tediosa y que además puede implicar olvidos en la asignación de permisos sobre alguno de los recursos a los que deberíamos permitirle el acceso.

Aquí cobran sentido plenamente los grupos de usuarios, pues lo que haremos para lograr una eficaz gestión de nuestro dominio no será dar permisos individuales sobre cada uno de los quince recursos a cada administrador, sino dar permisos sobre dichos recursos al grupo de usuarios "administradores", y luego incluir a cada administrador ("pepe" entre ellos) en el grupo; de este modo, cuando definamos un nuevo administrador, de modo automático tendrá acceso a todos los recursos deseados, al estar incluido en un grupo con derechos de acceso a dichos recursos.