Como administrador asistente, puede utilizar DRA para gestionar grupos y modificar sus propiedades. Los grupos permiten conceder permisos específicos a un conjunto definido de cuentas de usuario. Los grupos permiten controlar a qué datos y recursos puede acceder una cuenta de usuario en cualquier dominio.
Puede gestionar grupos de cualquier tipo y ámbito. Por ejemplo, puede anidar grupos, lo que permite que un grupo pueda heredar permisos de otros grupos. También puede controlar de forma eficaz las pertenencias a grupos en dominios mediante la adición de grupos de dominios de confianza a otros grupos en el dominio gestionado y la administración de asignaciones de grupos temporales.
En esta sección, se le guiará por el proceso de administración de grupos en la consola de gestión de cuentas y recursos. Con los poderes adecuados, puede realizar varias tareas de administración de grupos, como modificar las pertenencias a grupos. Si selecciona varios grupos, puede realizar las tareas seleccionadas en una única operación, como mover o añadir miembros a un grupo, o suprimirlos de este. El menú Tareas indica las tareas que puede llevar a cabo al seleccionar una o varios grupos.
Puede añadir cuentas de usuario, contactos y equipos a un grupo gestionado.
NOTA:Esta tarea añade varias cuentas al grupo seleccionado. Puede añadir una única cuenta a un grupo. Para ello, seleccione la cuenta adecuada y, a continuación, haga clic en Añadir a grupos en el menú Tareas.
Si la adición de una cuenta a otro grupo aumenta sus poderes en la cuenta, DRA no le permitirá añadirla.
Puede anidar grupos mediante la adición de un grupo a otro grupo gestionado. Si un grupo se ha anidado en otro grupo, el grupo secundario puede heredar permisos del grupo principal.
NOTA:Si la adición de un grupo a otro aumenta sus poderes en el grupo de origen, DRA no le permitirá añadirlo.
Puede modificar las propiedades de los grupos locales y globales. Los poderes de los que disponga determinarán las propiedades que puede modificar para un grupo en el dominio o el subárbol gestionados. Si ha instalado Exchange y ha habilitado la compatibilidad con Microsoft Exchange, puede modificar las propiedades de la lista de distribución mientras gestiona grupos.
Puede crear un grupo en el dominio o el subárbol gestionados. También puede modificar las propiedades del nuevo grupo como, por ejemplo, los miembros del grupo.
NOTA:
Es posible que en su empresa se aplique una convención de nomenclatura mediante una directiva que determina el nombre que puede asignar al nuevo grupo.
Por defecto, DRA coloca el nuevo grupo en la unidad administrativa Usuarios del dominio gestionado.
Puede añadir o eliminar cuentas de usuario, contactos, equipos u otros grupos en el grupo gestionado. DRA solo permite eliminar entidades de seguridad externas. También puede ver o modificar las propiedades de los miembros de grupo existentes, excepto las entidades de seguridad externas.
Al eliminar miembros de un grupo, DRA no suprime los objetos. Al añadir miembros a un grupo, debe disponer del poder para modificar los objetos que desea añadir.
NOTA:No puede añadir cuentas de usuario o grupos a ninguno de los grupos especiales de Windows (Administradores, Operadores de cuentas, Operadores de copia de seguridad u Operadores de servidor) a menos que sea un administrador de Windows o un miembro de ese grupo especial específico.
Puede añadir o eliminar un grupo en otros grupos en el dominio o el subárbol gestionados. También puede ver o modificar las propiedades de los grupos existentes a los que pertenece este grupo.
Puede definir permisos de seguridad de Active Directory para las pertenencias a grupos. Estos permisos especifican quién puede ver (leer) y modificar (escribir) las pertenencias a grupos mediante Microsoft Outlook. Esta configuración permite proteger de forma más eficaz listas de distribución y grupos de seguridad en el entorno. No se pueden modificar los permisos de seguridad heredados.
NOTA:Al gestionar la seguridad de la pertenencia a grupo, los permisos inhabilitados pueden indicar permisos heredados.
Puede definir la propiedad de cualquier grupo de distribución o seguridad de Microsoft Windows. Puede otorgar el permiso de propiedad del grupo a una cuenta de usuario, un grupo o un contacto. Al otorgar la propiedad del grupo, la cuenta de usuario, el grupo o el contacto especificados modifican la pertenencia a ese grupo.
NOTA:DRA inhabilita la casilla de verificación Manager can update membership list (El gestor puede actualizar la lista de miembros) cuando la pertenencia al grupo está oculta para el servidor de Microsoft Exchange. Para habilitar esta casilla de verificación, haga clic en Expose Group Membership (Mostrar pertenencia a grupo) en la pestaña Exchange de la ventana Group Properties (Propiedades del grupo).
Puede clonar grupos tanto locales como globales en los dominios gestionados. La clonación de grupos crea nuevos grupos del mismo tipo y con los mismos atributos que el grupo original. DRA también intenta añadir todos los miembros del grupo original al nuevo grupo.
Al clonar un grupo, puede crear rápidamente grupos basados en otros con propiedades similares. Al clonar un grupo, DRA incluye los valores del grupo seleccionado en el Asistente para clonar grupos. También puede modificar las propiedades del nuevo grupo.
NOTA:
Es posible que en su empresa se aplique una convención de nomenclatura mediante una directiva que determina el nombre que puede asignar al nuevo grupo.
Por defecto, DRA coloca el nuevo grupo en la unidad administrativa Usuarios del dominio gestionado.
Puede suprimir grupos locales y globales en el dominio o el subárbol gestionados. Si se ha inhabilitado la Papelera para ese dominio, al suprimir un grupo, este se elimina de forma permanente de Active Directory. Si la Papelera se ha habilitado para ese dominio, al suprimir un grupo, este se transfiere a la Papelera y se desactivan las propiedades del grupo.
Para obtener más información sobre la Papelera, consulte Gestionar la Papelera.
ADVERTENCIA:Al crear un grupo, Microsoft Windows asigna un identificador de seguridad (SID) a ese grupo. El SID no se genera a partir del nombre del grupo. Microsoft Windows utiliza los SID para registrar privilegios en listas de control de acceso (ACL) para cada recurso. Si suprime un grupo, no puede devolver las funciones de acceso de ese grupo mediante la creación de un nuevo grupo con el mismo nombre.
Puede mover un grupo a otro contenedor, como una unidad administrativa, en el dominio o el subárbol gestionados.
Puede visualizar las pertenencias a grupos en listas de distribución de los grupos en el dominio o el subárbol gestionados.
Puede ocultar las pertenencias a grupos en listas de distribución de los grupos en el dominio o el subárbol gestionados.
Las asignaciones temporales de grupos permiten gestionar la pertenencia a un grupo para usuarios que solo la necesitan durante un periodo específico. En esta sección, se le guiará por el proceso de administración de asignaciones temporales de grupos en la consola de gestión de cuentas y recursos. Con los poderes adecuados, puede realizar tareas, como crear nuevas asignaciones temporales de grupos o eliminar las asignaciones temporales de grupos caducadas. Solo puede llevar a cabo estas tareas en el servidor de administración principal. El menú Tareas indica las tareas que puede llevar a cabo al seleccionar una o varias asignaciones temporales de grupos.
Solo puede gestionar las propiedades de las asignaciones temporales de grupo o las propiedades temporales de grupos caducadas guardadas en el servidor de administración principal. Los poderes de los que disponga determinarán las propiedades que puede modificar para una asignación temporal de grupos.
Solo puede crear una asignación temporal de grupos en el servidor de administración principal. También puede modificar las propiedades como, por ejemplo, programaciones, para la nueva asignación temporal de grupos.
Puede añadir o eliminar cuentas de usuario de asignaciones temporales de grupos en el servidor de administración principal.
NOTA:Solo puede gestionar cuentas de usuario para asignaciones temporales de grupos que aún no estén activas.
Solo puede reprogramar asignaciones temporales de grupos en el servidor de administración principal. También puede reprogramar una asignación temporal de grupos caducada que se haya guardado.
NOTA:Cuando caduca una asignación temporal de grupos, DRA la elimina automáticamente, a menos que la haya guardado para utilizarla en el futuro.
Puede suprimir cualquier asignación temporal de grupos en el servidor de administración principal.