2.3.3. Administración de cuentas de
usuario y de equipo.
Las cuentas de usuario y las cuentas de equipo de Active
Directory representan una entidad física como una persona o un equipo. Las
cuentas de usuario también se puede utilizar como cuentas de servicio dedicadas
para algunas aplicaciones.
Las cuentas de usuario y de equipo (así como los grupos) se
denominan también principales de seguridad. Los principales de seguridad son
objetos de directorio a los que se asigna automáticamente identificadores de
seguridad (SID), que se utilizan para tener acceso a los recursos del dominio.
Una cuenta de usuario o de equipo se utiliza para:
Autenticar la identidad de un usuario o equipo.
Una cuenta de usuario permite que un usuario inicie una
sesión en equipos y dominios con una identidad que puede ser autenticada por el
dominio. Para obtener información acerca de la autenticación, vea Control de
acceso en Active Directory. Cada usuario que se conecta a la red debe tener su
propia cuenta de usuario y su propia contraseña única. Para aumentar la
seguridad, debe evitar que varios usuarios compartan una misma cuenta.
Autorizar o denegar el acceso a los recursos del dominio.
Después de que el usuario haya sido autenticado, se le
autoriza o deniega el acceso a los recursos del dominio según los permisos
explícitos asignados a dicho usuario en el recurso. Para obtener más
información, vea Información de seguridad para Active Directory.
Administrar otros principales de seguridad.
Active Directory crea un objeto de principal de seguridad externo
en el dominio local para representar cada principal de seguridad de un dominio
de confianza externo. Para obtener más información acerca de los principales de
seguridad externos, vea Cuándo se debe crear una confianza externa.
Auditar las acciones realizadas con la cuenta de usuario o
de equipo.
La auditoría puede ayudarle a supervisar la seguridad de las
cuentas. Para obtener más información acerca de la, vea Introducción a la
auditoría.
Cuentas de usuario
El contenedor Usuarios ubicado en Usuarios y equipos de
Active Directory incluye tres cuentas de usuario integradas: Administrador,
Invitado y Asistente de ayuda. Estas cuentas de usuario integradas se crean
automáticamente al crear el dominio.
Cada cuenta integrada tiene una combinación diferente de
derechos y permisos. La cuenta Administrador tiene los derechos y permisos más
amplios sobre el dominio, mientras que la cuenta Invitado tiene derechos y
permisos limitados. En la siguiente tabla se describe cada una de las cuentas
de usuario predeterminadas en los controladores de dominio que ejecutan Windows
Server 2003.
Cuenta de usuario predeterminada Descripción
Cuenta Administrador
La cuenta Administrador tiene control total sobre el dominio
y puede asignar derechos de usuario y permisos de control de acceso a los
usuarios según sea necesario. Sólo debe utilizar esta cuenta para aquellas
tareas que requieran credenciales administrativas. Se recomienda configurarla
con una contraseña segura. Para obtener más información, consulte Contraseñas
seguras. Para conocer otras consideraciones acerca de la seguridad de las
cuentas con credenciales administrativas, vea Prácticas recomendadas de Active
Directory.
La cuenta Administrador es un miembro predeterminado de los
grupos Administradores, Administradores de dominio, Administradores de
organización, Propietarios del creador de directivas de grupo y Administradores
de esquema en Active Directory. La cuenta Administrador nunca se puede eliminar
ni quitar del grupo Administradores, pero es posible cambiarle el nombre o
deshabilitarla. Como es sabido que la cuenta Administrador existe en muchas
versiones de Windows, si le cambia el nombre o la deshabilita dificultará el
acceso a ella a usuarios malintencionados. Para obtener más información acerca
de cómo cambiar el nombre de una cuenta de usuario o deshabilitarla, vea
Cambiar el nombre de una cuenta de usuario local o Deshabilitar o habilitar una
cuenta de usuario.
La cuenta Administrador es la primera cuenta que se crea
cuando se instala un nuevo dominio con el Asistente para instalación de Active
Directory.
Importante Aunque la cuenta Administrador esté
deshabilitada, puede seguir usándose para obtener acceso a un controlador de
dominio con el modo a prueba de errores.
Cuenta Invitado
La cuenta Invitado sólo la utilizan los usuarios que no
poseen una cuenta real en el dominio. Un usuario con su cuenta deshabilitada
(pero no eliminada) también puede utilizar la cuenta Invitado. La cuenta
Invitado no requiere ninguna contraseña.
Puede asignar derechos y permisos para la cuenta Invitado de
la misma forma que para cualquier cuenta de usuario. De forma predeterminada,
la cuenta Invitado es miembro del grupo integrado Invitados y del grupo global
Invitados del dominio, que permite a un usuario iniciar una sesión en un
dominio. La cuenta Invitado está deshabilitada de forma predeterminada, y se
recomienda que permanezca así.
Cuenta Asistente de ayuda (se instala con una sesión de
Asistencia remota)
Se trata de la cuenta principal que se utiliza para
establecer una sesión de Asistencia remota. La cuenta se crea automáticamente
al solicitar una sesión de Asistencia remota, y tiene limitado el acceso al
equipo. El servicio Administrador de sesión de Ayuda de escritorio remoto
administra la cuenta Asistente de ayuda, que se eliminará automáticamente si no
hay solicitudes de Asistencia remota pendientes. Para obtener más información
acerca de Asistencia remota, vea Administrar Asistencia remota.
Proteger cuentas de usuarios
Si un administrador de red no modifica ni deshabilita los
derechos y permisos de las cuentas integradas, cualquier usuario o servicio
malintencionado podría usarlos para iniciar una sesión, de manera ilegal, en un
dominio mediante la identidad Administrador o Invitado. Una práctica
recomendable de seguridad para proteger estas cuentas consiste en cambiar sus
nombres o deshabilitarlas. Dado que una cuenta de usuario con el nombre cambiado
conserva su identificador de seguridad (SID), conserva también todas las demás
propiedades, como su descripción, la contraseña, la pertenencia al grupo, el
perfil de usuario, la información de cuenta y todos los permisos y derechos de
usuario asignados.
Para obtener la seguridad que proporciona la autenticación y
autorización de usuarios, cree una cuenta de usuario individual para cada
usuario que participe en la red, mediante Usuarios y equipos de Active
Directory. Cada cuenta de usuario, incluidas las cuentas Administrador y
Invitado, puede agregarse a un grupo para controlar los derechos y permisos
asignados a la cuenta. Al usar las cuentas y grupos apropiados para la red se
garantiza que los usuarios que se conectan a una red se puedan identificar y sólo
puedan tener acceso a los recursos permitidos.
Puede contribuir a defender su dominio contra posibles
intrusos exigiendo contraseñas seguras e implementando una directiva de bloqueo
de cuentas. Las contraseñas seguras reducen el riesgo de suposiciones
inteligentes y ataques de diccionario contra las contraseñas. Para obtener más
información, vea Contraseñas seguras y Practicas recomendadas de contraseñas
para contraseñas.
Una directiva de bloqueo de cuentas reduce la posibilidad de
que un intruso ponga en peligro el dominio mediante repetidos intentos de
inicio de sesión. Para ello, la directiva de bloqueo de cuentas determina
cuántos intentos de inicio de sesión incorrectos puede tener una cuenta de
usuario antes de ser deshabilitada. Para obtener más información, vea Aplicar o
modificar la directiva de bloqueo de cuentas.
Para obtener más información acerca de cómo proteger las
cuentas de usuario, vea Proteger Active Directory.
Opciones de cuentas
Cada cuenta de usuario de Active Directory tiene varias
opciones de cuenta que determinan cómo se autentica en la red a un usuario que
ha iniciado una sesión con esa cuenta de usuario en particular. Puede usar las
siguientes opciones para configurar los valores de contraseña e información
específica de la seguridad para cuentas de usuario:
Opción de cuenta Descripción
El usuario debe cambiar la contraseña en el siguiente inicio
de sesión
Obliga a un usuario a modificar su contraseña la próxima vez
que inicie una sesión en la red. Utilice esta opción cuando desee asegurarse de
que el usuario va a ser la única persona que va a saber su contraseña.
El usuario no puede cambiar la contraseña
Impide al usuario cambiar su contraseña. Utilice esta opción
cuando desee controlar una cuenta de usuario, como una cuenta temporal o una
cuenta de invitado.
La contraseña nunca caduca
Impide que caduque una contraseña de usuario. Se recomienda
que las cuentas de servicio tengan habilitada esta opción y que se utilicen contraseñas
seguras. Para obtener más información acerca de contraseñas seguras, vea
Contraseñas seguras.
Almacenar contraseñas utilizando cifrado reversible
Permite al usuario iniciar una sesión en una red de Windows
desde equipos Apple. Si un usuario no va a iniciar una sesión desde un equipo
Apple, no debe utilizar esta opción. Para obtener más información, vea
Almacenar contraseñas usando cifrado reversible.
Cuenta deshabilitada
Impide que los usuarios inicien una sesión con la cuenta
seleccionada. Muchos administradores usan cuentas deshabilitadas como
plantillas para cuentas de usuario comunes. Para obtener más información, vea
Deshabilitar o habilitar una cuenta de usuario.
La tarjeta inteligente es necesaria para un inicio de sesión
interactivo
Es necesario que un usuario posea una tarjeta inteligente
para iniciar una sesión en la red de manera interactiva. El usuario también
debe tener un lector de tarjetas inteligentes conectada al equipo y un número
de identificación personal (PIN) para la tarjeta inteligente. Si esta opción
está seleccionada, la contraseña de la cuenta de usuario se establece
automáticamente en un valor aleatorio y complejo, y se establece la opción de
cuenta La contraseña nunca caduca. Para obtener más información sobre tarjetas
inteligentes, vea Iniciar una sesión en un equipo con una tarjeta inteligente y
Proceso de autenticación.
Se confía en la cuenta para su delegación
Esta opción permite a un servicio que se ejecute con esta
cuenta realizar operaciones en nombre de otras cuentas de usuario de la red. Un
servicio que se ejecute con una cuenta de usuario (denominada también cuenta de
servicio) que sea de confianza para la delegación puede suplantar a un cliente
para tener acceso a los recursos del equipo donde se ejecuta el servicio o de
otros equipos. En un bosque establecido en el nivel funcional de Windows Server
2003, esta opción se encuentra en la ficha Delegación y sólo está disponible
para cuentas a las que se han asignado nombres principales de servicio (SPN), establecidos
mediante el comando setspn de las herramientas de soporte de Windows. Se trata
de un función importante para la seguridad y debe asignarse con precaución.
Para obtener más información, vea Permitir que se considere a un usuario de
confianza para la delegación y Delegar la autenticación.
Esta opción sólo está disponible en controladores de dominio
que ejecuten Windows Server 2003 en los que las funciones de dominio están
establecidas en modo mixto o nativo de Windows 2000. En los controladores de
dominio que ejecuten Windows Server 2003 donde el nivel funcional de dominio
está establecido en Windows Server 2003, se utiliza la ficha Delegación para
configurar los valores de delegación. La ficha Delegación sólo aparece para las
cuentas que tienen un SPN asignado. Para obtener más información acerca de las
funciones de dominios, vea Funcionalidad de dominios y bosques. Para obtener
más información sobre cómo se configura la delegación en un dominio de Windows
Server 2003, vea Permitir que se considere a un usuario de confianza para la
delegación.
La cuenta es importante y no se puede delegar
Permite el control sobre una cuenta de usuario, como una
cuenta Invitado o temporal. Esta opción se puede utilizar si esta cuenta no
puede ser asignada para delegación por otra cuenta.
Usar tipos de cifrado DES para esta cuenta
Proporciona compatibilidad con el Estándar de cifrado de
datos (DES, Data Encryption Standard). DES admite varios niveles de cifrado,
entre los que se incluyen MPPE estándar (40 bits), MPPE estándar (56 bits),
MPPE de alto nivel (128 bits), IPSec DES (40 bits), IPSec DES de 56 bits e
IPSec DES Triple (3DES). Para obtener más información acerca del cifrado DES,
vea Cifrado de datos.
No pedir la autenticación Kerberos previa
Proporciona compatibilidad con implementaciones alternativas
del protocolo Kerberos. Los controladores de dominio que ejecuten Windows 2000
o Windows Server 2003 pueden utilizar otros mecanismos para sincronizar la
hora. Puesto que la autenticación previa proporciona seguridad adicional, tenga
precaución al habilitar esta opción. Para obtener más información acerca de
Kerberos, vea Autenticación Kerberos V5.
Cuentas de equipo
Todos los equipos que ejecutan Windows NT, Windows 2000,
Windows XP o un servidor que ejecute Windows Server 2003 que se unen a un
dominio tienen una cuenta de equipo. Las cuentas de equipo son similares a las
cuentas de usuario y ofrecen un medio para autenticar y auditar el acceso a la
red de los equipos y el acceso a los recursos del dominio. Cada cuenta de
equipo debe ser única.
Nota Los equipos que ejecutan Windows 95 y Windows 98 no tienen
características de seguridad avanzadas y no tienen cuentas de equipo asignadas.
Las cuentas de usuario y de equipo se pueden agregar,
deshabilitar, restablecer y eliminar con Usuarios y equipos de Active
Directory. También se puede crear una cuenta de equipo cuando se une un equipo
y un dominio. Para obtener más información acerca de las cuentas de equipo y
usuario, vea Uso de nombres en Active Directory y Nombres de objeto.
Cuando el nivel funcional del dominio se ha establecido en
Windows Server 2003, se utiliza un nuevo atributo lastLogonTimestamp para
realizar un seguimiento del último inicio de sesión de una cuenta de usuario o
equipo. Este atributo se replica en el dominio y puede proporcionar información
importante sobre el historial de un usuario o equipo.
