Mejores Prácticas para la Gestión de Cuentas de Usuario y Grupos en Windows

Convenciones de Denominación y Requisitos de Contraseñas

Convenciones de Denominación

Al establecer nombres de inicio de sesión de usuario, es fundamental seguir estas directrices:

Los nombres deben ser únicos.
Utilizar un máximo de 20 caracteres.
No se distingue entre mayúsculas y minúsculas.
Evitar el empleo de caracteres no válidos.
Resolver los problemas de usuarios que tengan el mismo nombre.
Identificar el tipo de empleado.
Cambiar el nombre a las cuentas intrínsecas.

Requisitos de Contraseñas

Para garantizar la seguridad, se deben considerar los siguientes puntos al gestionar contraseñas:

Asignar siempre una contraseña al administrador.
Decidir quién controlará las contraseñas: el administrador o los usuarios.
Utilizar contraseñas que sean difíciles de adivinar.
Longitud de la contraseña: hasta 128 caracteres (se recomienda un mínimo de ocho).
Caracteres a utilizar: se recomienda usar contraseñas que contengan letras mayúsculas, minúsculas, números y caracteres alfanuméricos válidos.

Configuración de Propiedades para las Cuentas de Usuario

Ficha General

Esta ficha permite configurar todos los campos que aparecen en el cuadro de diálogo Usuario nuevo, salvo los campos Nombre de usuario, Contraseña y Confirmar contraseña. También dispone de una casilla de verificación adicional: La cuenta está bloqueada. Esta casilla solo estará activa cuando la cuenta haya sido bloqueada por el usuario. El sistema bloqueará a un usuario si este ha excedido el límite definido como número máximo de intentos fallidos para iniciar una sesión.

Ficha Miembro de

En esta ficha se listan el grupo o grupos a los que pertenece el usuario, y permite agregar o eliminar la cuenta a un grupo.

Ficha Perfil

Esta ficha permite definir una ruta de acceso para el perfil del usuario, un archivo de comandos de inicio de sesión y la carpeta inicial o particular.

Definición de Grupos, Derechos y Permisos

Definición de Grupos

Un grupo es un conjunto de cuentas de usuario.

Derechos y Permisos

Permisos: Controlan lo que los usuarios pueden hacer con un recurso (como una carpeta o una impresora). Al asignar permisos, damos al usuario la capacidad de acceder a un recurso, y definimos qué tipo de acceso puede tener. Por ejemplo, podemos decidir que Usuario1 puede leer la carpeta Libros, y Usuario2 puede leer y escribir en ella.
Derechos: Permiten a los usuarios realizar tareas del sistema, tales como modificar la hora del equipo, realizar copias de seguridad o restaurar archivos.

Características de los Grupos

Cada usuario miembro de un grupo recibe los permisos asignados a ese grupo.
Los usuarios pueden ser miembros de más de un grupo.
Los grupos pueden formar parte de otros grupos.

Grupos Intrínsecos del Sistema

Todos: Incluye a todos los usuarios que acceden al equipo. De forma predeterminada, al dar formato a un volumen en NTFS, se asigna el permiso Control total al grupo Todos. En Windows XP Professional, el grupo Todos no incluye Inicio de sesión anónima. Al actualizar un sistema Windows 2000 Professional a Windows XP Professional, los recursos con permisos para el grupo Todos, pero no para Inicio de sesión anónima, no estarán disponibles para este último grupo.
Usuarios Autentificados: Incluye a todos los usuarios que tengan una cuenta de usuario válida en el equipo o, si el PC forma parte de un dominio, a todos los usuarios presentes en los servicios de Active Directory. Se recomienda utilizar este grupo en lugar del grupo Todos para evitar los accesos anónimos a los recursos.
Creator Owner: Incluye la cuenta de usuario correspondiente al usuario que ha creado el recurso o que ha adoptado su propiedad. Si un miembro del grupo Administradores crea un recurso, el grupo Administradores será el propietario del mismo.
Red: Pertenece a este grupo cualquier usuario que tenga una conexión válida desde otro equipo de la red a un recurso compartido en este equipo.
Interactive: Incluye la cuenta del usuario que ha iniciado sesión en el equipo. Los miembros de este grupo podrán acceder a los recursos disponibles en el equipo en el que se encuentran físicamente.
Inicio de sesión anónimo: Incluye cualquier cuenta de usuario que Windows XP Professional no haya autenticado.
Marcado: Incluye cualquier usuario que actualmente cuenta con una conexión de acceso telefónico.

Grupos Locales

Un grupo local es un conjunto de cuentas de usuario almacenadas en un equipo. Se pueden utilizar los grupos locales para asignar permisos a los recursos que residan en el equipo en el que se haya creado el grupo local. Los grupos locales se crean en la base de datos de seguridad local, igual que las cuentas de usuario locales.

Pautas para Utilizar Grupos Locales

Utilizar grupos locales en equipos que no pertenezcan a un dominio. Si se utilizan grupos locales en equipos que formen parte de un dominio, no se podrá centralizar la administración de los grupos.
Asignar permisos a los grupos locales para acceder únicamente a los recursos del equipo donde están creados dichos grupos.

Reglas para los Miembros de los Grupos Locales

Los grupos locales pueden contener cuentas locales de usuario en el equipo donde se han creado los grupos locales.
Los grupos locales no pueden formar parte de cualquier otro grupo.