Optimización de la Administración: Grupos y Unidades Organizativas en Active Directory

Gestión de Grupos en Active Directory

Los grupos son un tipo de contenedor que permite definir conjuntos de usuarios y establecer permisos basándonos en esa pertenencia al grupo, en lugar de hacerlo de modo individual, usuario por usuario. Esto no solo facilita la administración del dominio, sino que también permite trabajar de un modo menos propenso a errores. Como pauta general, la agrupación de objetos suele simplificar las tareas de administración, reduciendo las posibilidades de error.

Tipos de Grupos en Active Directory

Existen dos grandes tipos de grupos en el Directorio Activo de Windows:

• Grupos de seguridad: Este tipo de grupos permite definir permisos para recursos del dominio. Son los utilizados en las listas de control de accesos (ACLs) que se estudiarán más adelante. Estos grupos son fundamentales en la administración de la red.
• Grupos de distribución: No poseen características de seguridad; únicamente son un listado de usuarios para mensajería.

Ámbitos de los Grupos de Seguridad

Dentro de los grupos de seguridad existen a su vez tres ámbitos:

• Grupo Universal: Es un grupo cuyos permisos se extienden a diversos dominios. Además, este tipo de grupos puede estar formado por usuarios o grupos de usuarios de diferentes dominios.
• Grupo Global: Es muy similar a los grupos universales, es decir, pueden permitir el acceso a recursos de cualquiera de los dominios del árbol del Directorio Activo, pero con la salvedad de que todos los miembros del grupo deben pertenecer al mismo dominio.
• Grupo Local del Dominio: Es un grupo creado en un dominio con miembros que pueden provenir de otros dominios y que únicamente puede tener acceso a recursos dentro de su dominio.

Funciones de Grupos Comunes en Active Directory

Examinemos las funciones de algunos de los grupos más utilizados:

• Usuarios del dominio: Grupo global que contiene todas las cuentas de usuarios del dominio.
• Administradores del dominio: Grupo global que permite a sus miembros realizar tareas de administración del dominio.
• Administradores de empresa: Grupo universal que permite a sus miembros realizar tareas de administración en todos los dominios de la red.
• Administradores de esquema: Grupo universal que permite a sus miembros modificar la estructura de los objetos del Directorio Activo.
• Administradores: Grupo local que permite a sus miembros realizar tareas de administración en el controlador de dominio.
• Operadores de copias de seguridad: Grupo local que permite a sus miembros realizar copias de seguridad o restaurar archivos dentro del dominio.
• Operadores de cuenta: Grupo local que permite a sus miembros crear, editar y eliminar cuentas de usuario y grupos.
• Operadores de impresión: Grupo local que permite a sus miembros configurar y administrar el uso de impresoras de red.
• Operadores de servidor: Grupo local que permite a sus miembros crear carpetas compartidas en el servidor y realizar copias de seguridad o restaurar archivos en el controlador de dominio.
• Usuarios: Grupo local que limita las posibilidades de que un usuario haga un cambio accidental en el sistema, pero sí permite ejecutar la mayoría de las aplicaciones.

Unidades Organizativas (OU) en Active Directory

Una unidad organizativa (OU) es un contenedor de objetos (usuarios, grupos, equipos, otras unidades organizativas, etc.) pertenecientes a un mismo dominio. Son especialmente útiles para reproducir la estructura de la empresa donde se halle el dominio. Es decir, si, por ejemplo, una empresa está dividida en tres departamentos (dirección, ventas y producción), podemos crear tres unidades organizativas correspondientes a estos tres departamentos, donde incluyamos todos los objetos del dominio correspondientes a cada una de las áreas de la empresa.

Utilidad de las Unidades Organizativas

Su utilidad radica en dos aspectos fundamentales:

1. De esta manera es muy sencillo establecer directivas de seguridad (las veremos en el Tema 5) que se apliquen a todos los objetos de cada departamento.
2. Como dentro de la unidad organizativa se pueden introducir otras unidades organizativas, se puede replicar la estructura jerárquica de la empresa sin necesidad de crear más dominios o subdominios.