,
Este tutorial contiene instrucciones paso a paso sobre cómo eliminar a los usuarios de dominio u otras cuentas de usuarios locales (que no sean la cuenta de administrador incorporada), del grupo de administradores locales en computadoras unidas por dominio.
Un riesgo de seguridad importante en un entorno de Active Directory es permitir a los usuarios de dominio o locales administrar una estación de trabajo.
Eliminar usuarios de dominio y usuarios locales del grupo de administradores locales en computadoras de dominio es una mejor práctica para la seguridad del dominio, y explicaremos por qué esto debe hacerse a continuación.
- Cuando un dominio o un usuario local estándar tiene derechos de administrador en una computadora de dominio, cualquier incumplimiento de su cuenta por parte de una persona no autorizada puede conducir al control total de la computadora. Por ejemplo, un atacante puede usar este mayor acceso para instalar malware, robar datos o obtener acceso a otros sistemas en la red.
En esta guía, encontrará instrucciones detalladas para eliminar los usuarios de dominio estándar «, u otros usuarios locales (que no sean la cuenta estándar de» administrador «) del grupo de» administradores «locales en cada computadora de dominio.
Cómo eliminar cuentas no deseadas del grupo de administradores locales en computadoras de dominio de Active Directory.
Información: En este ejemplo, mostraremos cómo eliminar del grupo local «Administradores», el usuario local «Administrador» y el usuario del dominio «User1», mientras mantiene solo en el grupo la cuenta «Administrador»* y el grupo «Administradores de dominio» ** como se muestra en las imágenes a continuación.
* Después de eliminar las cuentas no deseadas, puede usar la solución de contraseña de administrador local de Microsoft (LAPS) para administrar las contraseñas de los administradores locales en las computadoras de su dominio.
** Si desea mantener su red más segura, puede negar que los administradores de dominio inician sesión localmente en PC de dominio, aplicando las instrucciones en este artículo: Cómo negar los administradores de dominio para iniciar sesión localmente en las estaciones de trabajo.
1. Abierto Gerente de servidor y de la Herramientas menú Abra el Gestión de políticas grupales.
2. En la gestión de políticas grupales, edite la política de dominio predeterminada o cree una nueva política grupal para todo el dominio o simplemente para el OU que contiene las computadoras en las que desea especificar las cuentas del administrador local.*
* Nota: En este ejemplo, definiremos las cuentas del administrador local con una nueva política, en un OU específico llamado «estaciones de trabajo» que contiene todas las computadoras de dominio donde queremos que se aplique esta política.
3. Haga clic con el botón derecho y seleccionar Cree un GPO en este dominio y vincule aquí …
4. Nombra el nuevo GPO como «Administradores locales en estaciones de trabajo«Y haga clic DE ACUERDO.
5. Ahora Editar El GPO creado.
6. Ir a Configuración de computadora > Preferencias > Configuración del panel de control > Usuarios y grupos locales.
7. Haga clic con el botón derecho en Usuarios y grupos locales y seleccionar Nuevo> Grupo local.
8. En la ventana «Nuevas propiedades de grupo local», haga lo siguiente:
-
-
En Acciónelegir: Actualizar
-
En Nombre de grupoelegir: Administradores (incorporado)
-
Controlar Eliminar a todos los usuarios de miembros
-
Controlar Eliminar todos los grupos de miembros
-
Haga clic en el Agregar botón.
-
Tipo Administrador y hacer clic DE ACUERDO.
-
Ahora, haga clic Agregar de nuevo.
-
Hacer clic en Tres puntos junto al «nombre» archivado.
-
Finalmente haga clic Aplicar > DE ACUERDO Para guardar el GPO. *
* Nota: Repita (si lo desea) la misma acción, para agregar cualquier otro usuario estándar o de dominio en el grupo de administradores locales.
-
11. Cierre todas las ventanas de administración de políticas grupales.
12. Finalmente, abra el símbolo del sistema como administrador y proporcione el siguiente comando para aplicar los cambios (o reiniciar las estaciones de trabajo):
¡Eso es todo! Avíseme si esta guía lo ha ayudado dejando su comentario sobre su experiencia. Por favor, me guste y comparta esta guía para ayudar a otros.
Si este artículo fue útil para usted, considere apoyarnos haciendo una donación. Incluso $ 1 puede hacer una gran diferencia para nosotros En nuestro esfuerzo por continuar ayudando a otros mientras mantiene este sitio gratis:
Konstantinos es el fundador y administrador de wintips.org. Desde 1995 trabaja y brinda soporte de TI como experto en computadora y red para individuos y grandes empresas. Está especializado para resolver problemas relacionados con Windows u otros productos de Microsoft (Windows Server, Office, Microsoft 365, etc.).
