Módulo 3: Administrar grupos

Presentación del tema: "Módulo 3: Administrar grupos"— Transcripción de la presentación:

1 Módulo 3: Administrar grupos

2 Introducción Crear grupos Administrar la pertenencia a grupos
Estrategias de uso de grupos Modificar grupos Uso de grupos predeterminados Prácticas recomendadas para la administración de grupos

3 Lección: Crear grupos ¿Qué son los grupos?
¿Qué son los niveles funcionales de dominio? ¿Qué son los grupos globales? ¿Qué son los grupos universales? ¿Qué son los grupos locales de dominio? ¿Qué son los grupos locales? ¿Dónde crear grupos? Directrices para la nomenclatura de grupos ¿Cómo crear un grupo?

4 ¿Qué son los grupos? Los grupos simplifican la administración, ya que
permiten asignar permisos para los recursos Grupo Los grupos se distinguen por su ámbito y tipo El ámbito de un grupo determina si el grupo comprende varios dominios o se limita a uno solo Los 3 ámbitos de grupo son: global, local de dominio, universal y local Tipo de grupo Descripción Seguridad Se utiliza para asignar derechos y permisos deusuario Se puede usar como una lista de distribución de correo electrónico Distribución Sólo se puede usar con aplicaciones de correo electrónico No se puede utilizar para asignar permisos

5 ¿Qué son los niveles funcionales de dominio?
Windows 2000 mixto (predeterminado) Windows 2000 nativo Windows Server 2003 Controladores de dominio admitidos Windows NT Server 4.0, Windows 2000, Windows Server 2003 Windows 2000, Windows Server 2003 Windows Server 2003 Ámbitos de grupo admitidos Global y local de dominio Global, local de dominio y universal

6 ¿Qué son los grupos globales?
Reglas de los grupos globales Miembros Modo mixto: Cuentas de usuario del mismo dominio Modo native: Cuentas de usuario, cuentas de equipo y grupos globales del mismo dominio Puede ser miembro de Modo mixto: Grupos locales de dominio Modo nativo: Universal y grupos locales de dominio en todos los grupos de dominio y globales del mismo dominio Ámbito Todos los dominios del bosque y dominios de confianza Permisos

7 ¿Qué son los grupos universales?
Reglas de los grupos universales Miembros Modo mixto: No se puede aplicar Modo nativo: Cuentas de usuario, cuentas de equipo, grupos globales y otros grupos universales de cualquier dominio del bosque Puede ser miembro de Modo nativo: Grupos locales de dominio y universales de cualquier dominio Ámbito Visible en todos los dominios de un bosque Permisos Todos los dominios de un bosque

8 ¿Qué son los grupos locales de dominio?
Reglas de los grupos locales de dominio Miembros Modo mixto: Cuentas de usuario, cuentas de equipo y grupos globales de cualquier dominio Modo nativo: Cuentas de usuario, cuentas de equipo, grupos globales y grupos universales de cualquier dominio del bosque, y grupos locales de dominio del mismo dominio Puede ser miembro de Modo mixto: Ninguno Modo nativo: Grupos locales de dominio del mismo dominio Ámbito Visible sólo en su propio dominio Permisos Dominio al que pertenece el grupo local de dominio

9 ¿Qué son los grupos locales?
Reglas de los grupos locales Miembro Cuentas de usuarios locales del equipo, cuentas de dominio y grupos de dominio Puede ser miembro de Ninguno

10 ¿Dónde crear grupos? Los grupos se pueden crear en el dominio raíz del bosque, en cualquier otro dominio del bosque o en una unidad organizativa Seleccione el dominio o unidad organizativa en que crear un grupo en función de los requisitos de administración del grupo Por ejemplo: Si su directorio tiene varias unidades organizativas, cada una de ellas con un administrador diferente, puede crear grupos globales en dichas unidades

11 Directrices para la nomenclatura de grupos
Para grupos de seguridad: Incorpore el ámbito en la convención de nomenclatura del nombre del grupo El nombre debe reflejar la posesión (nombre de la división o del equipo) Coloque los nombres de dominio o su abreviatura al principio del nombre del grupo Use un descriptor para identificar los permisos máximos que puede tener un grupo, como DL Admins de TI de OU de London Para grupos de distribución: Utilice un nombre de alias corto No incluya un nombre de alias como parte del nombre para mostrar Un único grupo de distribución puede tener un máximo de cinco copropietarios

12 ¿Cómo crear un grupo? El instructor mostrará cómo:
Crear un grupo en un dominio Crear un grupo local en un servidor miembro Crear un grupo con la línea de comandos Eliminar un grupo Eliminar un grupo con la línea de comandos

13 Ejercicio: Creación de grupos
En este ejercicio, se ocupará de: Crear grupos mediante Usuarios y equipos de Active Directory Crear grupos utilizando la herramienta de línea de comandos dsadd

14 Lección: Administrar la pertenencia a grupos
Las propiedades Miembros y Miembro de Demostración: Miembros y Miembro de ¿Cómo determinar los grupos de los que es miembro una cuenta de usuario? ¿Cómo agregar y eliminar miembros de un grupo?

15 Las propiedades Miembros y Miembro de
Grupo o equipo Grupo global Grupo local de dominio Tom, Jo, y Kim Administradores de Denver Administradores de Madrid Administradores de UO de Denver Miembros Miembro de N/A Administradores de Denver Miembros Miembro de Tom, Jo y Kim Administradores de UO de Denver Miembros Miembro de Tomás, Juana y Carmen Administradores de UO de Madrid Miembros Miembro de Administradores de Denver, Administradores de Vancouver N/A Sam, Scott y Amy Administradores de Vancouver Miembros Miembro de N/A Administradores de Vancouver Miembros Miembro de Sam, Scott y Amy Administradores de UO de Denver

16 Demostración: Miembros y Miembro de
En esta demostración, el instructor mostrará cómo utilizar las propiedades Miembros y Miembro de

17 ¿Cómo determinar los grupos de los que es miembro una cuenta de usuario?
El instructor mostrará cómo: Determinar los grupos de los que es miembro un usuario Determinar con la línea de comandos los grupos de los que es miembro un usuario

18 ¿Cómo agregar y eliminar miembros de un grupo?
El instructor demostrará cómo agregar miembros a un grupo y quitarlos del mismo

19 Ejercicio: Administrar la pertenencia a grupos
En este ejercicio, se agregarán usuarios a un grupo global

20 Lección: Estrategias de uso de grupos
Presentación multimedia: Estrategia de utilización de los grupos en un único dominio ¿Qué es el anidamiento de grupos? Estrategias de grupo

21 Presentación multimedia: Estrategia de utilización de los grupos en un único dominio
Esta presentación explica la estrategia de AGDLP para el uso de grupos

22 ¿Qué es el anidamiento de grupos?
Significa agregar un grupo como miembro de otro Grupo Grupo Grupo Grupo Grupo Anide grupos para consolidar la administración de grupos Las opciones de anidamiento varían según se haya establecido el nivel funcional del dominio de Windows Server 2003 en Windows 2000 nativo o Windows 2000 mixto

23 Estrategias de grupo A G L P Estrategias de grupo: A G U DL P A G DL P
Grupos locales L G Permisos Grupos globales Cuentas de usuario Cuentas de usuario A Grupos globales G Grupos universales U Grupos locales de dominio DL Estrategias de grupo: A G P A DL P A G DL P A G U DL P A G L P Permisos P Grupos locales L A G U DL P A P Grupos locales de dominio DL G Permisos Grupos globales Cuentas de usuario Grupos universales U A G DL P A P Grupos locales de dominio DL G Permisos Grupos globales Cuentas de usuario A G P A P G Grupos globales Permisos Cuentas de usuario A DL P A P DL Grupos locales de dominio Permisos Cuentas de usuario

24 Debate de clase: Uso de grupos en un único dominio
Northwind Traders desea reaccionar de forma más rápida a las demandas del mercado. Se ha dispuesto que los datos de contabilidad deben estar disponibles para todo el personal de contabilidad. Northwind Traders desea crear la estructura de grupo de toda la división de contabilidad, que incluye los departamentos de Cuentas acreedoras y Cuentas deudoras. ¿Qué puede hacer para garantizar que los administradores tengan el acceso necesario y para asegurar que haya un mínimo de administración? Northwind Traders tiene un único dominio ubicado en París, Francia. Los administradores de Northwind Traders necesitan acceder a la base de datos de inventario para realizar su trabajo. ¿Qué puede hacer para garantizar que los administradores tengan acceso a la base de datos de inventario? Northwind Traders tiene un único dominio ubicado en París, Francia. Los administradores de Northwind Traders necesitan acceder a la base de datos de inventario para realizar su trabajo. ¿Qué puede hacer para garantizar que los administradores tengan acceso a la base de datos de inventario? Coloque a todos los administradores en un grupo global Cree un grupo local de dominio para el acceso a la base de datos de inventario Convierta el grupo global en miembro del grupo local de dominio y conceda permisos al grupo local de dominio para acceder a la base de datos de inventario Asegúrese de que la red está ejecutándose en modo nativo. Cree tres grupos globales llamados: División de contabilidad, Cuentas acreedoras y Cuentas deudoras. Coloque el grupo global División de Contabilidad en el grupo local de dominio para que los usuarios puedan acceder a los datos de contabilidad. Cree un grupo local de dominio denominado Datos de Contabilidad. Conceda a este grupo los permisos adecuados para el archivo de recursos de datos de contabilidad.

25 Recomendaciones A,G,P: Dominio con pocos usuarios, un solo dominio ya que no se requiere tanto anidamiento y se reducen los problemas. A,G,DL,P: Estructura con probabilidad de crecimiento, se reduce el tiempo al momento de establecer permisos. A,G,U,DL,P: Para bosques con más de un dominio, con la finalidad de agrupara a grupos globales que sean agregarlos a locales de dominio.

26 Ejercicio: Adición de grupos globales a grupos locales de dominio
En este ejercicio, agregará grupos globales a grupos locales de dominio

27 Lección: Modificar grupos
¿Qué es la modificación del ámbito o tipo de un grupo? ¿Cómo cambiar el ámbito o tipo de un grupo? ¿Por qué se debe asignar un administrador a un grupo? ¿Cómo asignar un administrador a un grupo?

28 ¿Qué es la modificación del ámbito o tipo de un grupo?
Cambio del ámbito de un grupo De global a universal De local de dominio a universal De universal a global De universal a local de dominio Cambio del tipo de grupo De seguridad a distribución De distribución a seguridad

29 De global a universal. Solamente si ese grupo no es miembro de otro global.
De local de dominio a universal. Si no tiene a otro grupo local de dominio como miembro. De universal a global. Solamente que no tenga otros grupos universales o locales de otro dominio como sus miembros. De universal a local de dominio. No hay restricciones para el cambio. Para poder cambiar el ámbito de un grupo, es necesario estar ejecutando el dominio en modo nativo.

30 ¿Cómo cambiar el ámbito o tipo de un grupo?
El instructor mostrará cómo cambiar el ámbito o tipo de un grupo

31 Ejercicio: Cambio del ámbito y tipo de un grupo
En este ejercicio, se ocupará de: Cambiar el ámbito de grupo de global a local de dominio Convertir un grupo de seguridad en un grupo de distribución

32 ¿Por qué se debe asignar un administrador a un grupo?
Responsable del departamento Grupo Para permitirle: Controlar quién es la persona responsable de los grupos Delegar en el administrador del grupo la autoridad para agregar y eliminar usuarios del grupo Para distribuir la responsabilidad administrativa de agregar usuarios a grupos entre las personas que solicitan el grupo

33 ¿Cómo asignar un administrador a un grupo?
El instructor mostrará cómo asignar un administrador a un grupo

34 Ejercicio: Asignar un administrador a un grupo
En este ejercicio, se ocupará de: Crear un grupo global Asignar un administrador a un grupo Probar las propiedades del administrador del grupo

35 Lección: Uso de grupos predeterminados
Grupos predeterminados en servidores miembros Grupos predeterminados en Active Directory ¿Cuándo utilizar grupos predeterminados? Consideraciones de seguridad para los grupos predeterminados Grupos del sistema

36 Grupos predeterminados en servidores miembros

37 Grupos predeterminados en Active Directory

38 ¿Cuándo utilizar grupos predeterminados?
Los grupos predeterminados son: Los creados durante la instalación del sistema operativo o cuando se agregan servicios como Active Directory o DHCP Los que se les asigna automáticamente un conjunto de derechos de usuario Los grupos predeterminados se usan para: Controlar el acceso a recursos compartidos Delegar determinada administración a todo el dominio

39 Consideraciones de seguridad para los grupos predeterminados
Coloque un usuario en un grupo predeterminado sólo cuando esté seguro de que desea ofrecerle todos los derechos y permisos de usuario asignados a dicho grupo en Active Directory; de lo contrario, cree un nuevo grupo de seguridad Por seguridad, los miembros de los grupos predeterminados deben usar Ejecutar como

40 Grupos del sistema Los grupos del sistema representan a diferentes usuarios en distintas ocasiones Puede conceder derechos y permisos de usuario a los grupos del sistema, pero no puede modificar ni ver los miembros Los ámbitos de grupo no se aplican a los grupos del sistema Los usuarios se asignan automáticamente a los grupos del sistema cada vez que inician una sesión o acceden a un determinado recurso

41 Algunos grupos de sistema
Anonymous logon. Everyone. Network. Interactive. Authenticated users. Creator owner.

42 Debate de clase: Uso de grupos predeterminados frente a creación de nuevos grupos
Northwind Traders tiene más de 100 servidores en todo el mundo. Usted asiste a una reunión para discutir las tareas actuales que deben realizar los administradores y qué nivel mínimo de acceso necesitan los usuarios para realizar tareas específicas. También debe determinar si pueden utilizar grupos predeterminados o si se deben crear grupos y asignar derechos y permisos de usuario específicos a los grupos para realizar estas tareas.

43 Prácticas recomendadas para la administración de grupos
Crear grupos en función de las necesidades administrativas Utilizar grupos locales en un equipo que no sea miembro de ningún dominio Agregar cuentas de usuario al grupo más restrictivo Utilizar el grupo integrado cuando sea posible, en lugar de crear un grupo nuevo Utilice el grupos Usuarios autenticados en lugar del grupo Todos para conceder la mayor parte de los derechos y permisos de usuario Limite el número de usuarios del grupo Administradores Confíe en todos los miembros de los grupos Administradores, Usuarios avanzados, Operadores de impresión, Operadores de copia de seguridad

44 Práctica A: Crear y administrar grupos
En esta práctica, se ocupará de: Crear grupos locales y globales Asignar nombres a los grupos según una convención de nomenclatura Agregar miembros a grupos