Adición de usuarios de dominio al grupo de administradores locales en Windows

Para otorgar permisos de administrador local en las computadoras del dominio al personal de soporte técnico, el equipo de HelpDesk, ciertos usuarios y otras cuentas privilegiadas, debe agregar los usuarios o grupos de Active Directory necesarios al grupo local Administradores en servidores o estaciones de trabajo. En este artículo, le mostraremos cómo administrar los miembros del grupo de administradores locales en las computadoras del dominio de forma manual y a través de GPO.

Agregar un usuario al grupo de administradores locales manualmente

La forma más fácil de otorgar derechos de administrador local en una computadora específica para un usuario o grupo es agregarlo al grupo de administradores locales mediante el complemento gráfico Usuarios y grupos locales (

lusrmgr.msc

).

Cuando une una computadora a un dominio de AD, el grupo Administradores de dominio se agrega automáticamente al grupo local de Administradores de la computadora, y el grupo Usuario de dominio se agrega al grupo local de Usuarios.

Haga clic en el botón Agregar y especifique el nombre del usuario, grupo, computadora o cuenta de servicio (gMSA) a la que desea otorgar derechos de administrador local. Con el botón Ubicación, puede alternar entre buscar principales en el dominio o en la computadora local.

También puede mostrar una lista de usuarios con permisos de administrador de la computadora local con el símbolo del sistema:

net localgroup administrators

Puede usar el siguiente comando de PowerShell para obtener una lista de usuarios en un grupo local (usando el módulo LocalAccounts integrado para administrar usuarios y grupos locales):

Get-LocalGroupMember administrators

Este comando muestra la clase de objeto a la que se le han otorgado permisos de administrador (ObjectClass=Usuario, Grupo o Equipo) y el origen de la cuenta o grupo (ActiveDirectory, Azure AD, Microsoft o Local).

Para agregar un grupo de dominio munWksAdmins (o usuario) a los administradores locales, ejecute el comando:

net localgroup administrators /add munWksAdmins /domain

Con PowerShell, puede agregar un usuario a los administradores de la siguiente manera:

Add-LocalGroupMember -Group Administrators -Member ('a-d\j.smith', 'a-d\munWksAdmins','wks1122\user1') -Verbose

En este ejemplo, agregamos un usuario y grupos del dominio a-d y un usuario local wks1122\user1 a los administradores de la computadora.

Puede agregar usuarios al grupo Administradores en varias computadoras a la vez. En este caso, puede usar el cmdlet Invoke-Command de PowerShell Remoting para acceder a las computadoras remotas a través de una red:

$WKSs = @("PC001","PC002","PC003")
Invoke-Command -ComputerName $WKSs -ScriptBlock {Add-LocalGroupMember -Group Administrators -Member a-d\munWksAdmins'}

En un entorno de dominio de Active Directory, es mejor usar la Política de grupo para otorgar derechos de administrador local en las computadoras del dominio. Esto es mucho más fácil, conveniente y seguro que agregar manualmente usuarios al grupo de administradores locales en cada computadora. Puede usar dos opciones de directiva de grupo para administrar el grupo de administradores en las computadoras del dominio:

• Administre la membresía del grupo local con Preferencias de directiva de grupo;

• Adición de usuarios a grupos locales mediante la función GPO de grupos restringidos.

¿Cómo agregar usuarios de dominio a los administradores locales a través de las preferencias de la política de grupo?

Las preferencias de directiva de grupo (GPP) proporcionan la forma más flexible y conveniente de otorgar privilegios de administrador local en las computadoras del dominio a través de un GPO.

Digamos que su tarea es otorgar privilegios de administrador local en computadoras en una OU (unidad organizativa) específica de Active Directory a un grupo de equipo de HelpDesk. Cree un nuevo grupo de seguridad en su dominio usando PowerShell y agréguele las cuentas del equipo de Helpdesk:

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=a-d,DC=com' -GroupScope Global -PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

Abra la consola de administración de directivas de grupo del dominio (

GPMC.msc

), cree una nueva política (GPO) AddLocaAdmins y vincúlela a la OU que contiene las computadoras (en mi ejemplo, es 'OU=Computers,OU=Munich,OU=DE,DC=a-d,DC=com').

1. Edite el GPO AddLocaAdmins que creó anteriormente;

2. Vaya a la siguiente sección de GPO: Configuración de la computadora -> Preferencias -> Configuración del panel de control -> Usuarios y grupos locales;

3. Agregar una nueva regla (Nueva -> Grupo local);

   

4. Seleccione Actualizar en el campo Acción (¡es una opción importante!);

5. Seleccione Administradores (integrados) en la lista desplegable Nombre del grupo. Aunque se haya cambiado el nombre de este grupo en la computadora, la configuración se aplicará al grupo de administradores local por su SID (

   S-1-5-32-544

   );

6. Haga clic en el botón Agregar y seleccione los grupos que desea agregar al grupo de administradores locales (en nuestro caso, este es munWKSAdmins);

   Puede eliminar todos los usuarios y grupos agregados manualmente de los administradores locales en todas las computadoras. Marque las opciones "Eliminar todos los usuarios miembros" y "Eliminar todos los grupos de miembros". En la mayoría de los casos, es razonable porque garantiza que solo los grupos de dominio aprobados tendrán permisos de administrador en las computadoras de su dominio. Si agrega un usuario al grupo Administradores manualmente mediante el complemento "Usuarios y grupos locales", se eliminará automáticamente la próxima vez que se aplique la política.

   

7. Guarde la política y espere a que se aplique a las estaciones de trabajo del cliente. Para aplicar la configuración de la directiva de grupo inmediatamente, ejecute este comando

   gpupdate /force

   en la computadora de un usuario;

8. Abre el

   lusrmgr.msc

   complemento en cualquier equipo de dominio y verifique los miembros del grupo de administradores locales. Solo se debe agregar a este grupo el grupo munWKSAdmins, mientras que otros usuarios y grupos se eliminarán (excepto la cuenta de administrador de Windows integrada).

Agregar un solo usuario al grupo de administradores locales en una computadora específica con GPO

A veces, es posible que deba otorgar a un solo usuario los privilegios de administrador en una computadora específica. Por ejemplo, tiene varios desarrolladores que necesitan privilegios elevados de vez en cuando para probar controladores, depurarlos o instalarlos en sus computadoras. No es razonable agregarlos al grupo de administradores de estaciones de trabajo con privilegios en todas las computadoras del dominio.

Puede usar filtros GPO WMI o orientación a nivel de elemento para otorgar permisos de administrador local en una computadora específica.

Cree una nueva entrada en la sección de preferencias de GPO (Configuración del equipo -> Preferencias -> Configuración del panel de control -> Usuarios y grupos locales) de la política AddLocalAdmins creada anteriormente:

1. Acción:

   Update

2. Nombre del grupo:

   Administrators (Built-in)

3. Descripción: “

   Add amuller to the local administrators on the mun-dev-wsk21 computer

   ”

4. Miembros: Añadir ->

   amuller 

   

5. En la pestaña Común -> Orientación, especifique esta regla: "

   the NETBIOS computer name is mun—dev-wks24.

   ” Significa que este elemento de la Política de grupo se aplicará solo a la computadora especificada aquí.

   

Además, tenga en cuenta el orden en que se aplica la pertenencia a un grupo en el equipo (el

Order 

columna GPP). La pertenencia a un grupo local se aplica de arriba a abajo (empezando por el

Order 1

política).

La primera opción de política GPP (con la configuración "Eliminar todos los usuarios miembros" y "Eliminar todos los grupos miembros" como se describe anteriormente) elimina todos los usuarios/grupos del grupo de administradores locales y agrega el grupo de dominio especificado. Luego, se aplican las políticas adicionales específicas de la computadora que agregan el usuario especificado a los administradores locales. Si desea cambiar el orden de membresía en su grupo de Administradores, use los botones en la parte superior de la consola del Editor de GPO.

Administración de administradores locales con GPO de grupos restringidos

La política de Grupos restringidos también permite agregar grupos de dominio/usuarios al grupo de seguridad local en las computadoras. Este es un método más antiguo para otorgar privilegios de administrador local y ahora se usa con menos frecuencia (es menos flexible que el método de preferencias de directiva de grupo descrito anteriormente).

1. Abra su GPO;

2. Expanda la sección Configuración del equipo -> Políticas -> Configuración de seguridad -> Grupos restringidos;

3. Seleccione Agregar grupo en el menú contextual;

   

4. En la siguiente ventana, escriba Administradores y luego haga clic en Aceptar;

   

5. Haga clic en Agregar en la sección Miembros de este grupo y especifique el grupo que desea agregar a los administradores locales;

   

6. Guarde los cambios, aplique la política a las computadoras de los usuarios y verifique el grupo local Administradores. Debe contener solo el grupo que ha especificado en la política.

   Esta configuración de directiva de grupo siempre (!) elimina a todos los miembros existentes del grupo de administradores locales (que se agregan manualmente, mediante otras políticas o secuencias de comandos).

Si necesita mantener la membresía actual del grupo Administradores y agregarle un grupo adicional (usuario) mediante el GPO de Grupos restringidos, debe:

1. Cree una nueva entrada en Grupos restringidos y seleccione el grupo de seguridad de AD (!!!) que desea agregar a los administradores locales;

   

2. Luego agregue los Administradores en la sección Este grupo es miembro de;

   

3. Actualice la configuración de GPO en el cliente y asegúrese de que su grupo de dominio se haya agregado al grupo de administradores locales. En este caso, los principales actuales del grupo local permanecen intactos (no eliminados del grupo).

Al final del artículo, dejaré algunas recomendaciones para administrar los permisos de administrador en las computadoras y servidores de Active Directory.

Las prácticas recomendadas de seguridad clásicas de Microsoft recomiendan usar los siguientes grupos para separar los permisos de administrador en un dominio de AD:

1. Los administradores de dominio se usan solo en controladores de dominio;

   Desde el punto de vista de la seguridad de las cuentas de administrador con privilegios, no se recomienda realizar tareas de administración diarias en estaciones de trabajo y servidores con una cuenta con privilegios de administrador de dominio. Estas cuentas deben usarse solo para tareas de administración de AD (agregar nuevos controladores de dominio, administrar la replicación, modificar el esquema de Active Directory, etc.). La mayoría de las tareas de administración de usuarios, computadoras o GPO deben delegarse a cuentas de administrador normales (sin permisos de administrador de dominio). No use cuentas de administrador de dominio para iniciar sesión en estaciones de trabajo o servidores que no sean controladores de dominio.

2. Administradores del servidor es un grupo que permite administrar los hosts de Windows Server en un dominio de AD. No debe ser miembro del grupo de administradores de dominio o del grupo de administradores locales en las estaciones de trabajo;

3. Administradores de estaciones de trabajo es un grupo para realizar tareas administrativas solo en estaciones de trabajo. No debe ser miembro de los grupos de administradores de dominio y administradores de servidor;

4. Usuarios de dominio son cuentas de usuario comunes para realizar operaciones típicas de oficina. No deben tener privilegios de administrador en servidores o estaciones de trabajo;

5. No se recomienda agregar cuentas de usuario individuales al grupo de administradores locales. Es mejor utilizar los grupos de seguridad del dominio. En este caso, para otorgar privilegios de administrador al próximo empleado de soporte técnico, basta con agregarlo al grupo de dominio (sin necesidad de editar la GPO).