Introducción a los grupos

[Jersain]

Introducción a los grupos.     
Un grupo es una colección de cuentas de usuario. Asignando una
membresia a la cuenta de usuario a un grupo da al usuario todos los
derechos y permisos otorgados al grupo.
Los grupos simplifican la administración proveyendo una manera
fácil de otorgar capacidades comunes a múltiples usuarios a la vez.
Por ejemplo, si varios usuarios necesitan leer un archivo, las cuentas
de usuario son agregadas al grupo. La capacidad para leer es
asignada solo una vez al grupo, en vez de a cada usuario.
Hay dos tipos de grupos, locales y globales:
Los grupos locales son utilizados para proveer a los usuarios con
permisos para accesar a un recurso de red.
Los permisos son reglas que regulan que usuarios pueden utilizar un
recurso tales como una carpeta, archivo o impresora.
Los grupos locales son también utilizados para proveer a los
usuarios derechos para ejecutar tareas del sistema, tales como
modificar la hora y la fecha a una computadora o respaldar y
restaurar archivos. Windows NT incluye varios grupos locales
precreados diseñados específicamente para asignar derechos a
usuarios. Este tipo de grupos son llamados “Grupos Locales
Interconstruid os”.
Grupos Goblales son utilizables para organizar cuentas de usuario
de dominio, típicamente por función o por localización geográfica.
Son típicamente utilizados para redes de múltiplos dominios, donde
los usuarios de un dominio necesitan accesar recursos en otro
dominio.
Resumen de grupos locales y grupos globales.
Ambos tipos de grupos deben de residir en la base de datos de
directorio de la computadora local. La siguiente tabla resume las
diferencias entre grupos locales y los grupos globales.
Grupos Locales: Son utilizados para proveer a los usuarios con
permisos para accesar a los recursos de red o derechos para
ejecutar tareas del sistema.
Pueden incluir cuentas de usuarios y grupos globales de cualquier
dominio (con la relación de confianza apropiada), no puede incluir
otros grupos locales, son asignados para otorgar permisos para un
recurso u otorgar derechos en el dominio local.
Si son creados en un Member Server, pueden solamente ser
asignados a recursos u otorgar derechos en la computadora local.
Si son creados en un PDC, pueden ser asignados a recursos o
pueden otorgarse derechos en cualquier controlador de dominio
dentro del dominio.
Grupos Globales: Son utilizados para organizar cuentas de usuario
en el dominio, típicamente por función o localización geográfica.
Puedes solamente incluir cuentas de usuario de su propio dominio.
No puede contener grupos locales u otros grupos globales.
Son agregados a grupos locales en cualquier dominio (con la
apropiada relación de confianza) para dar a sus miembros acceso a
los recursos u otorgar derechos, no son asignados a recursos
locales. Son creados siempre en el PDC en el dominio donde la
cuenta reside.
Ejemplo del uso de Grupos Locales y Grupos Globales.
Discusión.
La Oficina de París de Importadores Mundiales tiene una red de un
solo dominio con un PDC, un BDC y un Member Server. El BDC
tiene una base de datos de cuentas por pagar, y el Member Server
tiene una base de datos. Todos usuarios necesitan accesar a ambas
bases de datos.

Planeando una estrategia de grupos.
Cuando vayas a crear grupos, sigue estos consejos:
Organiza a los usuarios de dominio, lógicamente basándote en
necesidades comunes. Por ejemplo, si todo el personal de ventas
necesita accesar a una impresora de color y todos los gerentes
necesitan accesar a un registro de empleados, organiza a los
usuarios por personal de ventas y gerentes.
En cada dominio donde la cuenta del usuario reside, crea un grupo
global para cada grupo lógico de usuarios. Después, agrega las
cuentas de usuario apropiadas al grupo local apropiado.
Crea grupos locales basados en necesidades de acceso a un
recurso. Por ejemplo, si los gerentes necesitan un control total en los
archivos del directorio “Manual de Trabajo” y el personal de ventas
solo necesitan leer los archivos, crea un grupo local para gerentes y
otro grupo local para personal de ventas.
Si el recurso esta en un Member Server, crea el grupo local donde el
recurso es localizado.
Si el recurso esta en un PDC o en un BDC crea el grupo local en el
PDC.
Asigna los permisos apropiados a los grupos locales.
Agrega los grupos globales a los grupos locales.
Creación de grupos Globales y Locales.
En Windows NT Server los grupos globales y locales son creados
utilizando “El Administrador de Usuarios para Dominios”.
Cuando tu creas un grupo global y local las siguientes reglas son
aplicadas:
Tu debes ser un Miembro del grupo de Administradore s o del Grupo
Operadores de Cuentas.
Un grupo local puede ser creado en cualquier computadora
corriendo Windows NT.
Un grupo global debe ser creado en un PDC, pero puede ser creado
desde cualquier computadora corriendo “El Administrador de
Usuarios para Dominios”, esto incluye:
? Un BDC.
? Un Member Server que es parte del dominio.
Una computadora corriendo Windows NT Workstation o Microsoft
Windows 95 con las Herramientas Administrativa s de Windows NT
Server Instaladas.
Los nombres de Grupos deben de ser únicos en el dominio. No
pueden ser idénticos a otros nombres de usuarios o grupos
Creando Grupos Globales.
La primera parte de la implementacion de la estrategia debería ser
siempre organizar lógicamente tus usuarios y crear las cuentas de
grupos globales para ellos.
Para crear un grupo global.
1) En el Menú Usuario escoge “Nuevo Grupo Global”. Aparece el
cuadro de dialogo.
2) En el cuadro “Nombre de Grupo” teclea el nombre de grupo.
Este nombre puede contener cualquier letra en mayúsculas o
minúsculas excepto los siguientes: “”/ \ [ ] : ; | = , + ? > <. Este
describe la función del grupo y esta limitado a 20 caracteres
nombre.
3) En el cuadro “Descripción” teclea una descripción de grupo.
Aunque la descripción es opcional, puede ser de una gran
ayuda para identificar la función de un grupo.
4) En la lista “No son Miembros”, selecciona a los usuarios que
quieres dentro del grupo.
5) Oprime el botón agregar, los usuarios que seleccionaste
aparecerán en la lista “Miembros”.
6) Oprime OK para crear el grupo global que contenga todos los
usuarios que tu agregaste como miembros.
Creando grupos locales.
Para crear un grupo local.
1) En el menú de “Usuario”, escoge la opción “Nuevo Grupo
Local”. Aparece el cuadro de dialogo.
2) En la caja “Nombre de Grupo”, teclea un único y descriptivo
nombre para el grupo. El nombre debe de escribir la función
de grupo, puede contener cualquier carácter mayúscula o
minúscula, excepto \. Puede ser hasta de 256 caracteres de
longitud, pero solo los primeros 22 caracteres son
desplegados en muchas de las ventanas.
3) En la caja “Descripción”, teclea una descripción de grupo, y
oprime el botón agregar. El cuadro de dialogo de “Agregar
usuarios y grupos” aparece.
4) En la lista de nombres, selecciona a los usuarios o el grupo
global del dominio local que quieras agregar al grupo.
5) Para agregar grupos locales de otros dominios en la caja
“Lista de Nombres”, selecciona el dominio y selecciona los
grupos globales. Él * indica el dominio actual.
6) Oprime el Botón de “Agregar” y oprime el Botón de “OK”.
7) Oprime en el cuadro de dialogo del “Nuevo grupo local”, para
crear el grupo local.
Borrando Grupos.
Borrar un grupo elimina el nombre de un grupo, su descripción, y los
derechos o permisos asociados con él, pero no borra las cuentas de
usuario que contiene.
Para borrar una cuenta de grupo.
1) Inicia “Administrador de usuarios para dominios”.
2) Selecciona el grupo que quieras borrar.
3) Presiona la tecla SUPR.
El siguiente mensaje aparece:
Cada grupo es representado por un identificador único el cual es
independiente del nombre de grupo. Una vez que este grupo es
borrado, aunque se cree un nombre de grupo idéntico en el futuro,
no se restauraran los accesos a los recursos que actualmente tiene
este grupo en la lista de control de acceso.
4) Oprime OK
Implementando grupos Inter-construidos.
Los grupos interconstruid os son grupos predefinidos que tienen una
configuración predeterminada de derechos de usuario. Los derechos
de usuario determinan las tareas del sistema que un usuario o
miembro de un grupo interconstruid o puede ejecutar.
Las computadoras corriendo Windows NT tienen tres tipos de grupos
Inter-construidos:
Grupos locales Interconstruid os: Dan a los usuarios derechos
para ejecutar tareas del sistema tales como el de respaldo y
restauración de archivos, cambiar el tiempo del sistema, y
administrar recursos del sistema. Los grupos locales Interconstruid os
estén todas las computadoras corriendo Windows NT.
Grupos globales interconstruid os. Dan a los administradore s una
manera fácil de controlar a todos los usuarios en un dominio. Los
grupos globales Interconstruid os están solamente en los
controladores de dominio.
Grupos del sistema: Automáticamente organizan usuarios para
utilizar el sistema. Los administradore s no asignan usuarios a ellos.
Entonces, los usuarios son o miembros por default o llegan a ser
miembros durante la actividad de red. Los grupos del sistema están
en todas las computadoras corriendo Windows NT.
Nota: Los grupos Inter-construidos no pueden ser borrados o
renombrados.
Grupos Inter-construidos en todas las computadoras basadas en
Windows NT.
Todas las computadoras corriendo Windows NT tienen grupos
interconstruid os. Un grupo interconstruid o en un controlador de
dominio determina lo que sus miembros pueden hacer en el dominio.
Un grupo interconstruid o en un No-controlador de dominio,
determina lo que sus miembros pueden hacer en la computadora
local.
El siguiente párrafo describe los grupos locales Interconstruid os que
residen en todas las computadoras corriendo Windows NT.
Usuarios: Ejecutan tareas que se les han sido otorgados a través de
sus derechos y accesan los recursos los cuales han sido asignado a
través de permisos.
Administradore s: Pueden ejecutar todas las tareas administrativa s
en la computadora local, si la computadora es un controlador de
dominio, los miembros pueden administrar completamente el
dominio.
Invitado: Ejecutan tareas para las cuales se les ha concedido los
derechos y el acceso a los recursos a los cuales se les han otorgado
los permisos.
Operadores de respaldos: Usar el programa “Windows NT Backup”
para respaldar y restaurar los datos de las computadoras que están
corriendo Windows NT.
Replicadores: Es usado para el servicio de replicación de
directorios. Este grupo no es usado para administración.
Grupos interconstruid os solo en controladores de dominio.
Grupos Locales
Las siguientes líneas describen los grupos locales interconstruid os
solo en controladores de dominio. No hay miembros iniciales en
estos grupos.
Operadores de cuentas: Pueden crear, borrar y modificar usuarios,
grupos globales y grupos locales. No puede modificar el grupo de
administradore s o el grupo de operador de servidores.
Operador de servidores: Puede compartir recursos de discos,
respaldar y restaurar el servidor.
Operador de impresoras: Configura y maneja las impresoras de
red.
Grupos Globales:
Cuando Windows NT Server se instala en un controlador de dominio,
tres grupos globales son creados, en la base de datos de directorio
del dominio, Administradore s de dominio, los Usuarios del Dominio,
y los Invitados del Dominio. Por default los grupos globales interconstruid os
no tienen ningún derecho inherente. Ellos obtienen los
derechos cuando son agregados a grupos locales o cuando se le
asignan a los usuarios derechos o permisos.
Las siguientes líneas describen lo que pasa con los grupos globales
interconstruid os cuando una computadora con Windows NT se
agrega al dominio.
Usuarios del dominio: Es automáticamente agregado al grupo de
usuarios locales. Cuando una cuenta de usuario de dominio es
creada es automáticamente convertido a miembro de este grupo. La
cuenta de administrador es un miembro por default.
Administradore s de dominio: Es automáticamente agregado al
grupo de administradore s locales. Los miembros que pertenecen a
este grupo pueden ejecutar tareas administrativa s en la
computadora local. La cuenta de administrador es un miembro por
default.
Invitados del dominio: Es automáticamente agregado al grupo local
“Guest”. L acuenta de invitado es miembro por default.
Grupos del sistema interconstruid os.
Este grupo reside en todas las computadoras corriendo Windows
NT. Los usuarios llegan a ser miembros por default durante su
actividad en la red La membresia no puede ser modificada.
Las siguientes líneas describen la clave de los grupos del sistema
usados para la administración de red.
Todos: Incluye a todos los usuarios, locales y remotos que accesan
a la computadora. A diferencia del grupo de usuarios de dominio, el
grupo “Todos” contiene otras cuentas de usuario además de las que
fueron creadas por el administrador por el dominio.
Los administradore s pueden asignar permisos y derechos al grupo
“Todos”.
Propietario (Creator Owner): Incluye los usuarios que crearon o
tomaron la propiedad de un recurso. Si un miembro del grupo de
administradore s toma la propiedad de un recurso, el propietario
nuevo es el grupo de administradore s. Este grupo puede ser
utilizado para manejar acceso a archivos y folders solamente en
volúmenes NTFS.
Las siguientes líneas describen a los grupos del sistema que no son
utilizados para la administración de la red.
Red: Incluye cualquier usuario que esta conectado actualmente de
otra computadora en la red a un recurso compartido en tu
computadora.
Interactivo: Automáticamente incluye a los usuarios que entran en
la computadora local. Los miembros interactivos accesan a los
recursos de la computadora en la cual ellos están físicamente
sentados. Ellos accesan a los recursos interactuando con la
computadora.
Consejos Prácticos.
La siguiente lista provee consejos prácticos para la implementacion
de grupos locales y globales:
? Aplica las siguientes estrategias cuando estés utilizando
grupos locales y globales:
? Organiza a los usuarios dentro de grupos globales.
? Asigna permisos a grupos locales.
? Agrega grupo globales a grupos locales.
? Utiliza el grupo global usuarios de dominio en vez de el grupo
“Todos”. El grupo de usuarios de dominio contiene solo las
cuentas que tu has creado, y no todas las cuentas que se han
conectado a la red.
? Para habilitar el grupo de administradore s para ejecutar
tareas administrativa s en otros dominios, agrega el grupo
global administradore s de dominio al grupo local de
administradore s en la computadora del dominio que quieres
que los administradore s administren.
? Si los derechos de un grupo interconstruid o se apega a tus
necesidades, agrega la cuenta de usuarios a ese grupo. De
otra manera, crea un grupo local y asígnale los derechos
apropiados.
? Por ejemplo, si por razones de seguridad tu quieres que un
usuario tenga en derecho de respaldar archivos pero no de
restaurarlos, crea un grupo local llamado “Solo respaldo” y
asígnale el derecho de respaldar archivos y directorios de
usuarios.
? Siempre agrega usuarios a grupos Interconstruid os que están
mas restringidos mientras les permites realizar cualquier
tarea.