Para proporcionar un entorno más seguro, DRA permite limitar los poderes otorgados a los grupos de seguridad integrados de Microsoft Windows. La capacidad de modificar la pertenencia a grupo, las propiedades integradas del grupo de seguridad o las propiedades de los miembros del grupo puede tener importantes implicaciones de seguridad. Por ejemplo, si puede cambiar la contraseña de un usuario del grupo Operadores de servidores, puede entrar a la sesión como ese usuario y disponer de los poderes delegados a este grupo de seguridad integrado.
DRA impide que se produzca este problema de seguridad al proporcionar una directiva que comprueba los poderes que tiene para un grupo de seguridad integrado nativo y sus miembros. Esta validación garantiza que las acciones solicitadas no amplíen estos poderes. Después de habilitar esta directiva, un administrador asistente que sea miembro de un grupo de seguridad integrado, como el grupo Operadores de servidores, solo puede gestionar otros miembros del mismo grupo.
Puede restringir los poderes de los siguientes grupos de seguridad integrados de Microsoft Windows mediante las directivas de DRA:
Operadores de cuentas
Administradores
Operadores de copia de seguridad
Editores de CERT
Administradores de DNS
Administradores de dominio
Administradores de empresa
Propietarios del creador de directivas de grupo
Operadores de impresión
Administradores de esquema
NOTA:DRA hace referencia a los grupos de seguridad integrados por sus identificadores internos. Por lo tanto, DRA admitirá estos grupos, incluso aunque se cambie su nombre. Esta función garantiza que DRA admita grupos de seguridad integrados con nombres diferentes en distintos países. Por ejemplo, DRA hace referencia a los grupos Administradores yAdministratoren con el mismo identificador interno.
DRA utiliza la directiva para limitar los poderes que pueden utilizar los grupos de seguridad integrados nativos y sus miembros. Esta directiva, denominada $SpecialGroupsPolicy , restringe las acciones que un miembro de un grupo de seguridad integrado nativo puede realizar en otros miembros u otros grupos de seguridad integrados nativos. DRA habilita esta directiva por defecto. Si no desea restringir las acciones realizadas en los grupos de seguridad integrados nativos y sus miembros, puede inhabilitar esta directiva.
Si se ha habilitado esta directiva, DRA utiliza las siguientes pruebas de validación para determinar si se permite una acción en un grupo de seguridad integrado nativo o sus miembros:
Si es un administrador de Microsoft Windows, puede realizar acciones en grupos de seguridad integrados nativos y sus miembros que dispongan de los poderes adecuados.
Si es miembro de un grupo de seguridad integrado, puede realizar acciones en el mismo grupo de seguridad integrado y sus miembros, siempre que disponga de los poderes adecuados.
Si no es miembro de un grupo de seguridad integrado, no podrá modificar un grupo de seguridad integrado ni sus miembros.
Por ejemplo, si es miembro de los grupos Operadores de servidores y Operadores de cuentas, y dispone de los poderes adecuados, puede realizar acciones en los miembros de un grupo, otro o ambos. Sin embargo, no puede realizar acciones en una cuenta de usuario que sea miembro de los grupos Operadores de impresión y Operadores de cuentas.
DRA le impide realizar las siguientes acciones en los grupos de seguridad integrados nativos:
Clonación de un grupo.
Creación de un grupo
Supresión de un grupo
Adición de un miembro a un grupo
Eliminación de un miembro de un grupo.
Traslado de un grupo a una unidad administrativa.
Modificación de las propiedades de un grupo
Copia de un buzón.
Eliminación de un buzón.
Clonación de una cuenta de usuario
Creación de una cuenta de usuario
Supresión de una cuenta de usuario
Traslado de una cuenta de usuario a una unidad administrativa.
Modificación de las propiedades de la cuenta de usuario
DRA también restringe las acciones para garantizar que no obtenga poderes para un objeto. Por ejemplo, al añadir una cuenta de usuario a un grupo, DRA comprueba que no obtenga poderes adicionales en la cuenta de usuario porque sea miembro de ese grupo. Esta validación ayuda a la protección frente a una derivación de poderes.