Búsqueda de sitios web

El método de inicio de sesión no está permitido para iniciar sesión en Windows

Si tú ves

The sign-in method is not allowed

error al intentar iniciar sesión en Windows, significa que la configuración de la directiva de grupo resultante impide el inicio de sesión local para una cuenta de usuario actual. La mayoría de las veces, el error aparece si intenta iniciar sesión en una computadora con una cuenta de invitado o en un controlador de dominio con una cuenta de usuario sin privilegios de administrador de dominio. Sin embargo, puede haber otras razones.

The sign-in method you're trying to use isn't allowed. For more info, contact your network administrator.

La lista de usuarios y grupos que pueden iniciar sesión de forma interactiva en una computadora se configura mediante GPO.

  1. Abra el Editor de políticas de grupo local (

    gpedit.msc

    );

  2. Vaya a Configuración del equipo -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Asignación de derechos de usuario;

  3. Busque Permitir inicio de sesión local en la lista de políticas;

  4. La política contiene la lista de grupos y usuarios que pueden iniciar sesión en la computadora localmente.

    Según el sistema operativo y la función de la computadora, la lista de grupos que pueden iniciar sesión localmente puede variar. Por ejemplo, el inicio de sesión local está permitido para los siguientes grupos de usuarios en estaciones de trabajo que ejecutan Windows 10 y servidores que ejecutan Windows Server 2022,2019,2016:

    • Administradores

    • Operadores de respaldo

    • Usuarios

    En los servidores que ejecutan Windows Server con la función de controlador de dominio de Active Directory (ADDS), se permite el inicio de sesión interactivo para los siguientes grupos:

    • Operadores de cuenta

    • Administradores

    • Operadores de respaldo

    • Operadores de impresión

    • Operadores de servidor

  5. Puede permitir el inicio de sesión local para otros usuarios o grupos. Para hacerlo, haga clic en Agregar usuario o grupo y seleccione los usuarios que desea agregar. Por ejemplo, evita que los usuarios que no son administradores inicien sesión en el dispositivo. Para hacerlo, simplemente elimine el grupo Usuarios de la configuración de la política;

  6. Después de realizar los cambios, actualice la configuración de la directiva de grupo mediante el

    gpupdate /force

    comando (no es necesario reiniciar).

Además, tenga en cuenta que existe otra política para evitar el inicio de sesión interactivo local en Windows en la misma sección de GPO. La política se denomina Denegar inicio de sesión local. En mi caso, se niega el inicio de sesión local anónimo en la cuenta de invitado en la computadora.

Puede evitar que un grupo específico (o un usuario) inicie sesión en la computadora localmente agregándolos a esta política. Dado que la directiva Denegar inicio de sesión local tiene una prioridad más alta que Permitir inicio de sesión local, los usuarios no podrán iniciar sesión en una computadora con el siguiente error:

The sign-in method isn’t allowed.

Una de las mejores prácticas para proteger las cuentas de administrador con privilegios en un dominio de Windows es denegar el inicio de sesión local a estaciones de trabajo y servidores bajo cuentas de administrador de dominio. Para hacerlo, asigne la directiva Denegar inicio de sesión local para el grupo Administradores de dominio a todas las unidades organizativas, excepto a los Controladores de dominio. De la misma manera, debe denegar el inicio de sesión en cuentas locales.

En un entorno de dominio, se pueden asignar varios GPO a una computadora. Entonces, para obtener las políticas que permiten el inicio de sesión local, debe verificar la configuración de la política resultante. Puedes usar el

rsop.msc

consola o la herramienta gpresult para obtener la configuración de GPO resultante en su computadora.

Tenga en cuenta que los usuarios pueden usar sesiones RDP interactivas para conectarse a un dispositivo Windows (si RDP está habilitado en ese dispositivo) a pesar de que se les niega el inicio de sesión local. La lista de usuarios que pueden iniciar sesión a través de Escritorio remoto se establece en la misma sección de GPO usando la opción Permitir inicio de sesión a través de Servicios de Escritorio remoto.

Otra razón por la que puedes ver “

The sign-in method you are trying to use isn’t allowed

El error "es cuando una lista de computadoras a las que un usuario puede iniciar sesión está restringida en el atributo de usuario LogonWorkstations en AD (lea más aquí). Con el cmdlet de PowerShell Get-ADUser, puede mostrar una lista de equipos en los que un usuario puede iniciar sesión (de forma predeterminada, la lista está vacía):

(Get-ADUser maxbak -Properties LogonWorkstations).LogonWorkstations

En algunos casos, puede permitir que un usuario inicie sesión en el controlador de dominio/hosts de Windows Server a través de RDP o localmente. Basta con agregar una cuenta de usuario a la política local Permitir iniciar sesión localmente en su servidor. De todos modos, será mejor que agregar un usuario al grupo de Administradores locales. Sin embargo, es aún mejor usar un controlador de dominio RODC por razones de seguridad.

También puede permitir el inicio de sesión local mediante ntrights (la herramienta se incluyó en algunas versiones anteriores del paquete de administración). Por ejemplo, para permitir el inicio de sesión local para un grupo de dominio, ejecute el siguiente comando:

ntrights +r SeInteractiveLogonRight -u "GroupName"

Para denegar el inicio de sesión local:

ntrights -r SeInteractiveLogonRight -u "UserName"

Artículos relacionados