Las cuentas de usuario del dominio se pueden
crear en la OU Users, o se puede crear otra OU para almacenar cuentas de usuario
del dominio. Para añadir una cuenta de usuario del dominio hay que seguir estos
pasos:Cada persona que tenga acceso a la red requerirá una cuenta de usuario. Una cuenta de usuario hace posible:
Windows 2000 solo crea dos cuentas predefinidas: la cuenta Administrador, que otorga al usuario todos los derechos y permisos, y la cuenta Invitado, que tiene derechos limitados. El resto de las cuentas las crea un administrador y son cuentas de dominio (validas a lo largo de todo el dominio de forma predeterminada) o cuentas locales (utilizables sólo en la máquina donde se crean).
En el Active Directory, cada cuenta de usuario tiene un nombre principal. El nombre consta de dos partes, el nombre principal de seguridad y el sufijo de nombre principal. Para las cuentas de usuario de Windows NT existentes, el nombre principal de seguridad es de forma predeterminada el mismo nombre utilizado para iniciar sesión en el dominio Windows NT. Para las nuevas cuentas de usuario de Windows 2000, un administrador asigna el nombre principal de seguridad. El sufijo de nombre principal predeterminado es el nombre DNS del dominio raíz en el árbol de dominios. De esta forma un usuario identificado como EduardoP en un dominio Windows NT tendría un nombre principal tal como EduardoP@dominio.com.
La planificación de las opciones de las cuentas de los usuarios simplificará el proceso de creación de cuentas. Las opciones de las cuentas a considerar incluyen las siguientes:
Las tres opciones que se han enumerado aquí son las que muy posiblemente se apliquen a un gran número de usuarios.
El nombre principal de seguridad debería asignarse utilizando un convenio de denominación consistente, de forma que el administrador y sus usuarios puedan recordar los nombres de los usuarios y encontrarlos en listas. Entre algunas alternativas para nombres de usuario se incluyen las siguientes:
- Nombre de pila más la inicial del apellido Por ejemplo, MiguelG y SusanaM. En el caso de nombres de pila duplicados se pueden añadir números (MiguelG1 y MiguelG2) o letras suficientes para proporcionar identificación (IsabelMat a IsabelMur).
- Nombre de pila más un número: Por ejemplo, David 112 y David 113. Este enfoque puede ser un problema especialmente para personas cuyos nombres de pila aparecen frecuentemente entre la población. Dificulta el recordar el propio nombre de usuario y es incluso más difícil identificar los de los otros.
- Inicial del nombre de pila más el apellido: Por ejemplo, podría ser MSanchez. Si hay tanto una Lidia Sánchez como una Lucia Sánchez, se debería utilizar LiSanchez y LuSanchez o LSanchez1 y LSanchez2.
- Apellido más una inicial: Este convenio es útil en una red grande. Cuando hay múltiples usuarios con el mismo apellido, hay que añadir algunas letras como en SanchezLi o SanchezLu.
Todos los usuarios deberían tener contraseñas bien escogidas y se les debería requerir que las cambiaran periódicamente. Las cuentas deberían establecerse de forma que se bloquearan cuando se introdujeran contraseñas incorrectas. (Se pueden permitir tres intentos, para dejar margen a errores tipográficos.)
Una buena contraseña tiene las siguientes características:
- No es una rotación de los caracteres de un nombre de inicio de sesión.
- Contiene al menos dos caracteres alfabéticos y uno no alfabético.
- Tiene una longitud de al menos seis caracteres.
- No es el nombre o las iniciales del usuario, las iniciales de sus hijos, otro dato significativo o cualquiera de esos elementos combinado con otra información personal comúnmente disponible como la fecha de nacimiento, el número de teléfono o el número de matricula.
Entre las mejores contraseñas se encuentran los acrónimos alfanuméricos de frases que tienen un significado para el usuario pero que no es probable que conozcan otros. Esto hace que la contraseña sea fácil de recordar para el usuario, mientras que al mismo tiempo sea difícil de adivinar por una persona de fuera.
Conviene educar a los usuarios sobre las contraseñas y su privacidad, pero, sobre todo, merece la pena hacer caso de los propios consejos: hay que asegurarse de que la contraseña seleccionada para administración es una buena contraseña y cambiarla frecuentemente. Hacer esto ayudara a evitar las consecuencias de que alguien se introduzca en el sistema y cause estragos. Si los usuarios se conectaran telefónicamente a la red desde casa a otros sitios remotos, debería incluirse más seguridad que la autorización por contraseña de nivel de dominio.
Los administradores deberían tener dos cuentas en el sistema: una cuenta administrativa y una cuenta de usuario normal. Se debería utilizar la cuenta de usuario normal a menos que se estén realizando tareas administrativas. A causa de los privilegios asociados a las cuentas administrativas, son un objetivo primario para los intrusos.
Las cuentas de usuario del dominio se pueden
crear en la OU Users, o se puede crear otra OU para almacenar cuentas de usuario
del dominio. Para añadir una cuenta de usuario del dominio hay que seguir estos
pasos:
Este es el nombre utilizado para iniciar
sesión desde equipos que ejecutan sistemas operativos Windows como Windows
NT. Pulsar Siguiente. Una cuenta local no puede acceder al dominio y, por lo tanto, solo tiene acceso a los recursos del equipo donde se crea y utiliza. Para crear una cuenta de usuario local hay que seguir estos pasos:
Especialmente en una red grande y ocupada, la gestión de las cuentas de usuario es un proceso continuo de adiciones, eliminaciones y cambios. Aunque estas tareas no son difíciles, pueden consumir tiempo y es necesario gestionarlas con cuidado.
Abrir Usuarios y equipos de Active Directory desde el menú Herramientas administrativas. Abrir el contenedor que almacena la cuenta de usuario. Seleccionar el Usuario que queremos administrar y pulsar el menú Acción. Aparecerán las siguientes opciones:
Propiedades: La ventana Propiedades de un usuario
del dominio puede tener hasta una docena de pestañas, dependiendo de la
configuración del dominio. Toda la información introducida en la ventana
Propiedades se puede utilizar como la base de una búsqueda en el Active
Directory. Por ejemplo, se puede buscar el número de teléfono o el
departamento de un usuario buscando por los apellidos del usuario. Si un usuario viola una directiva de grupo, como exceder el limite de intentos de inicio de sesión fallidos, directiva de grupo bloqueará la cuenta. Cuando una cuenta esta bloqueada, no se puede utilizar para iniciar sesión en el sistema. Para desbloquear una cuenta de usuario hay que seguir estos pesos:
De forma predeterminada, directiva de grupo no bloquea cuentas a causa de intentos de inicio de sesión fallidos. Se debería crear esta configuración por razones de seguridad.
Las pestañas de la ventana Propiedades de una cuenta de Usuario del dominio, son:
Los directorios o carpetas principales son almacenes que se pueden proporcionar en un servidor de red para los documentos de los usuarios. Situar los directorios principales en un servidor de archivos de la red tiene varias ventajas:
Los contenidos de los directorios principales no son parte de los perfiles de usuario, por lo que no afectan al trafico de la red durante el inicio de sesión. (Un directorio principal también puede estar en un equipo cliente, pero esto esta bastante en contra de su propósito.)
Para crear un directorio principal en un servidor de archivos de la red, hay que seguir estos pasos:
Los directorios principales se deberían almacenar en una partición con formato NTFS. Los directorios principales en una partición FAT solo se pueden asegurar asignando permisos a la carpeta compartida usuario por usuario.
Para proporcionar un directorio principal a un usuario, se debe añadir la
ruta de acceso de la carpeta a las propiedades de la cuenta de usuario. Hay que
seguir estos pasos para otorgar a un usuario acceso a un directorio
principal:
En el cuadro A hay que especificar el nombre UNC de la conexión; por ejemplo, \\nombre_del_servidor\carpeta_compartida\nombre_de_inicio_de sesion_del_usuario. Si se utiliza la variable %username%, se le dará al directorio principal el nombre de inicio de sesión del usuario.
Enumera números de teléfono adicionales como el teléfono de un localizador, de un móvil o de Internet.
Enumera las pertenencias a grupos del usuario.
Documenta el acceso telefónico del usuario.
Documenta el perfil de Servicios de Terminal Server del usuario.
Para buscar un cuenta de usuario en particular hay que abrir Usuarios y
equipos de Active Directory desde el menú Herramientas
administrativas y, en la barra de herramientas, pulsar el icono
Encontrar.
Esto abre el cuadro de dialogo Buscar Usuarios, contactos y grupos. Sin embargo, no hay que dejarse engañar. Si se abre la lista desplegable del cuadro Buscar se observara que se puede utilizar esta herramienta para buscar equipos, impresoras, carpetas compartidas, departamentos y mucho más.
Para buscar un usuario especifico, hay que seleccionar el ámbito de la búsqueda en el cuadro En. Se puede escribir un nombre, parte de un nombre o algún otro elemento descriptivo que sea parte del perfil del usuario, y pulsar Buscar ahora. Una búsqueda con parte de un nombre devuelve todos los usuarios con ese elemento en sus nombres.
Cuanto más grande sea la red, más especifica tendrá que ser la búsqueda. En un entorno con una gran red, se puede limitar la búsqueda a una unidad organizativa especifica. Hay que abrir Usuarios y equipos de Active Directory desde el menú Herramientas administrativas. Hay que pulsar con el botón derecho del ratón en la OU en la que se este interesado y seleccionar Buscar en el menú contextual.
Un perfil es un entorno personalizado específicamente para un usuario. El perfil contiene la configuración del escritorio y de los programas del usuario. Cada usuario tiene un perfil, tanto si el administrador lo configura como si no, porque se crea un perfil automáticamente para cada usuario cuando inicia sesión en un equipo. Los perfiles ofrecen numerosas ventajas:
Desde el punto de vista de un administrador, la información del perfil puede ser una valiosa herramienta para configurar perfiles de usuario predeterminados para todos los usuarios de la red o para personalizar los perfiles predeterminados para diferentes departamentos o clasificaciones del trabajo. También se pueden configurar perfiles obligatorios que permitan a un usuario hacer cambios en el escritorio mientras esta conectado, pero no guardar ninguno de los cambios. Un perfil obligatorio siempre se muestra exactamente igual cada vez que un usuario inicia sesión. Los tipos de perfiles son los siguientes:
Todos los perfiles comienzan como una copia del perfil Default User que esta instalado en cualquier equipo que ejecuta Windows 2000. La información del registro para Default User se encuentra en el archivo Ntuser.dat incluido en el perfil Default User. Dentro de cada perfil se encuentran las siguientes carpetas:
- Configuración local: Datos de programa, Historial y Archivos temporales.
- Cookies: Mensajes enviados a un navegador Web por un servidor Web y almacenados localmente para registrar información y preferencias del usuario.
- Datos de programa: Configuraciones especificas de programa determinadas por el fabricante del programa además de configuración de seguridad especifica del usuario.
- Entorno de red: Accesos directos a Mis sitios de red.
- Escritorio: Archivos, carpetas, accesos directos del escritorio y su apariencia.
- Favoritos: Accesos directos a ubicaciones favoritos, en particular sitios Web.
- Impresoras: Accesos directos a elementos de la carpeta Impresoras.
- Menú Inicio: Elementos del menú Inicio del usuario.
- Mis documentos: Documentos del usuario y Mis imágenes, que contiene los archivos gráficos del usuario.
- Plantillas: Plantillas de programas.
- Reciente: Accesos directos a las carpetas y archivos más recientemente utilizados.
- SendTo: Elementos del menú Enviar a.
De forma predeterminada, solo Cookies, Escritorio, Favoritos, menú Inicio y Mis documentos son visibles en el Explorador de Windows. Las otras carpetas están ocultas; para verlas es necesario seleccionar Opciones de carpeta, pulsar en la pestaña Ver y seleccionar Mostrar todos los archivos y carpetas ocultos.
Los perfiles locales se crean en los equipos cuando los usuarios individuales inician sesión. En un equipo actualizado desde Windows NT 4, el perfil se almacena en la carpeta Perfiles de la partición raíz del sistema. En un equipo con una nueva instalación de Windows 2000, el perfil del usuario esta en la carpeta Documents and Settings.
La primera vez que un usuario inicia sesión en un equipo, se genera una carpeta de perfil para el usuario, y los contenidos de la carpeta Default User se copian en ella. Cualquier cambio realizado por el usuario al escritorio se almacena en ese perfil de usuario cuando cierra la sesión.
Si un usuario tiene una cuenta local en el equipo además de una cuenta de dominio a inicia sesión varias veces utilizando ambas cuentas, el usuario tendrá dos carpetas de perfil en el equipo local: una para cuando el usuario inicie sesión en el dominio utilizando la cuenta de usuario del dominio y otra para cuando el usuario inicie sesión localmente en el equipo. El perfil local se mostrará con el nombre de inicio de sesión. El perfil de dominio también se mostrara con el nombre de inicio de sesión, pero llevara añadido el nombre del dominio.
Los perfiles móviles son una gran ventaja para los usuarios que utilizan frecuentemente más de un equipo. Un perfil móvil se almacena en un servidor y, después de que el inicio de sesión del usuario sea autentificado en el servicio de directorio, se copia al equipo local. Esto permite al usuario tener el mismo escritorio, la configuración de las aplicaciones y la configuración local en cualquier maquina que ejecute Windows 2000 o Windows NT 4.
El funcionamiento es: se asigna una ubicación de un servidor para perfiles de usuario y se crea una carpeta compartida con los usuarios que tengan perfiles móviles. Se introduce una ruta de acceso a esa carpeta en la ventana propiedades de los usuarios. La siguiente vez que el usuario inicie sesión en un equipo, el perfil del servidor se descarga al equipo local. Cuando el usuario cierra la sesión, el perfil se almacena tanto localmente como en la ubicación de la ruta de acceso al perfil del usuario. La especificación de la ruta de acceso al perfil del usuario es todo lo que hace falta para convertir un perfil local en un perfil móvil, disponible en cualquier parte del dominio.
Cuando el usuario inicia sesión de nuevo, el perfil del servidor se compara con la copia en el equipo local y se carga para el usuario la más reciente. Si el servidor no esta disponible, se utiliza la copia local. Si el servidor no esta disponible y es la primera vez que el usuario ha iniciado sesión en el equipo, se crea un perfil de usuario localmente utilizando el perfil Default User. Cuando un perfil no es descargado a un equipo local a causa de problemas con el servidor, el perfil móvil no se actualiza cuando el usuario cierra la sesión.
Hay que colocar los perfiles de usuario en un servidor miembro en lugar de en un controlador de dominio para acelerar el proceso de autentificación y para evitar utilizar la potencia de procesamiento y el ancho de banda de un controlador de dominio para la descarga de perfiles. Además, conviene situar los perfiles en un servidor del que se hagan copias de seguridad regularmente para que las copias de los perfiles móviles sean lo más recientes posible.
Para configurar un perfil móvil simplemente hay que asignar una ubicación en un servidor y completar los siguientes pasos:
Una vez que se ha creado una carpeta de perfiles compartida en un servidor y se ha suministrado una ruta de acceso al perfil en la cuenta del usuario, se ha habilitado un perfil móvil. La configuración del usuario de su escritorio se copia y almacena en el servidor y estará disponible para el usuario desde cualquier equipo. Sin embargo, la mayor parte del tiempo no se deseará que los usuarios tengan que arreglárselas solos. La vida es más fácil para ellos y para el administrador si se asigna un perfil personalizado a los usuarios que ya este configurado con los accesos directos, conexiones de red y elementos del menú Inicio apropiados. Para esto, será necesario configurar perfiles personalizados.
Si se va a realizar todo el trabajo de asignar perfiles personalizados, indudablemente se deseara hacer que esos perfiles sean obligatorios. Un perfil obligatorio se puede asignar a múltiples usuarios. Cuando se modifica un perfil obligatorio, el cambio se realiza en los entornos de todos los usuarios a los cuales se haya asignado el perfil obligatorio. Para convertir un perfil en un perfil obligatorio, se debe renombrar el archivo oculto Ntuser.dat a Ntuser.man.
Se pueden asignar secuencias de comandos de inicio de sesión por medio del perfil o a través de Directiva de grupo. Para asignar una secuencia de comandos a un perfil, hay que seguir estos pasos:
Windows 2000 siempre busca las secuencia de comandos de inicio de sesión en el mismo lugar: en el controlador de dominio de autentificación en la ruta de acceso %SystemRoot%\SYSVOL\sysvol\nombre_del_ dominio. Las secuencias de comandos de esta carpeta se pueden introducir en la ruta de acceso Archivo de comandos de inicio de sesión solo con el nombre. Si se utilizan carpetas dentro de la carpeta Scripts, se debe mostrar la parte de la ruta de acceso en la ruta de acceso Archivo de comandos de inicio de sesión. Las secuencias de comandos de inicio de sesión también se pueden crear en VBScript y Jscript. La replica de las secuencias de comandos de inicio de sesión a todos los controladores de dominio es automática en volúmenes NTFS en servidores Windows 2000. Otros tipos de archivos, como los archivos FAT, se deben replicar manualmente.
Las variables de secuencias de comando de inicio de sesión son:
Como se ha mencionado antes, el objetivo principal de una red es compartir recursos entre los usuarios. Sin embargo, compartir es también una extensión de las características de seguridad que comienzan con las cuentas de usuario y las contraseñas. El objetivo como administrador del sistema es asegurarse de que todo el mundo pueda utilizar los recursos que necesita sin comprometer la seguridad de los archivos y el resto de los recursos. Se pueden otorgar a los usuarios tres tipos de capacidades:
En el curso de eventos normal, solo habrá que ocuparse de los derechos en raras ocasiones. Sin embargo, los recursos compartidos y los permisos son el corazón de las responsabilidades de un administrador.
En un volumen NTFS, Windows 2000, al igual que Windows NT Server, permite una seguridad tan granular que es prácticamente microscópica. Se pueden establecer permisos de varios tipos, incluyendo permisos en archivos individuales. Esto representa realmente una tentación para el administrador para gestionar al detalle cada recurso. El mejor consejo que se puede dar es no caer en esta tentación. Se debe comenzar con la menor restricción posible y añadir restricciones solo cuando se requieran.
Los recursos compartidos y los permisos, aunque pueden parecer muy similares, no son lo mismo y es importante comprender las diferencias. Los recursos compartidos se aplican a unidades de disco y directorios. Hasta que una unidad de disco o carpeta es compartida en la red, los usuarios no pueden verla u obtener acceso a ella. Una vez que se comparte la carpeta, todo el mundo en la red puede, de forma predeterminada, acceder a todos los archivos de la carpeta y a todas las subcarpetas de esa carpeta, etc.
En un volumen FAT, se puede compartir una unidad de disco o carpeta y añadir después restricciones adicionales en forma de permisos del recurso compartido. Estos permisos solo se aplican a nivel de unidad de disco o carpeta -no a nivel de archivo- y están limitados a permitir o denegar Control total, Leer y Modificar.
En volúmenes NTFS, los directorios tienen los mismos permisos de recurso compartido que los de un volumen FAT, pero hay disponible otra capa de permisos sobre esos. Cada carpeta tiene una ventana Propiedades de Seguridad que permite restricciones más precisas. Cada archivo también tiene una ventana Propiedades de Seguridad que permite que el acceso sea concedido o denegado para archivos individuales. Estos permisos de carpeta y permisos de archivo pueden restringir el acceso tanto a través de la red como localmente. Por ejemplo, se puede dejar el permiso de recurso compartido de una carpeta con la configuración predeterminada, permitiendo Control total a Todos, y utilizar la ventana Propiedades de Seguridad para establecer permisos más restrictivos por grupos o individualmente, tanto a la carpeta como un todo como archivo por archivo dentro de la carpeta.
Los permisos del recurso compartido determinan el acceso máximo en la red. Esto significa que si se establecen permisos de recurso compartido que permiten Leer pero deniegan Modificar, todos los usuarios se verán restringidos a Leer cuando accedan al recurso compartido desde la red. Sin embargo, se puede conceder a un usuario acceso más amplio que estará disponible cuando el usuario inicie sesión localmente. O se puede bloquear la herencia de permisos en una subcarpeta y otorgar a un usuario Control total de la subcarpeta en la red, mientras que la carpeta primaria permanece con solo Leer.
Los recursos compartidos no tienen efecto en usuarios que inicien sesión localmente. Para los usuarios que iniciaran sesión localmente en una partición NTFS, se puede restringir el acceso utilizando permisos.
Además de los recursos compartidos creados por un usuario o un administrador, el sistema crea varios recursos compartidos especiales que se deberían modificar o eliminar. El recurso compartido especial que más probablemente se verá es el recurso compartido ADMIN$ que aparece como C$, D$, E$, etc. Estos recursos compartidos permiten a los administradores conectarse a unidades que en otro caso no estarían compartidas.
Los recursos compartidos especiales existen como parte de la instalación del sistema operativo. Dependiendo de la configuración del equipo, estarán presentes algunos o todos de los siguientes recursos compartidos especiales. Ninguno de ellos debería modificarse o eliminarse.
Para conectarse a una unidad de disco no compartida en otro equipo, hay que utilizar la barra de direcciones de cualquier ventana a introducir la dirección, utilizando la sintaxis:
\\nombre_equipo\[letraunidad]$
Para conectarse a la carpeta raíz del sistema (la carpeta en la cual esta instalado Windows) en otro equipo hay que utilizar la sintaxis:
\\nombre_equipo\admin$
El resto de recursos compartidos especiales como IPC$ y PRINT$ los crea y utiliza únicamente el sistema. NETLOGON es un recurso compartido especial en servidores Windows 2000 y Windows NT y se utiliza cuando se procesan peticiones de inicio de sesión en el dominio.
En particiones con formato FAT se pueden restringir los archivos solo a nivel de carpeta, sólo desde la red y sólo si la carpeta esta compartida. Para alguien que inicie sesión localmente, los recursos compartidos no tendrán efecto.
En un volumen NTFS, los directorios pueden ser compartidos y también restringidos más profundamente a causa del significado de los permisos. En un volumen NTFS, se deberían utilizar los permisos de carpetas y archivos para el control de la seguridad tanto localmente como desde la red y permitir acceso de Control total a Todos en el recurso compartido.
La forma más sencilla de crear carpetas compartidas es utilizar la herramienta Configurar el servidor del menú Herramientas administrativas. Para hacerlo, hay que seguir estos pasos:
Se pueden definir recursos compartidos directamente pulsando con el botón derecho del ratón en una carpeta, escogiendo Propiedades en el menú contextual y pulsando después en la pestaña Compartir.
Si hay maquinas basadas en MS-DOS en la red (lo que incluye versiones de Windows hasta la 3.11) que accederán a una carpeta compartida, hay que seguir el convenio de denominación 8.3 en el nombre del recurso compartido. Un nombre de recurso compartido que no se ajuste al estándar de denominación 8.3 de MS-DOS no lo podrán ver usuarios con maquinas MS-DOS o Windows 3.x.
Los nombres de los archivos o directorios pueden tener hasta 255 caracteres. Los usuarios de MS-DOS que se conecten al archivo o carpeta desde la red verán el nombre en el formato 8.3. Windows NT truncara los nombres largos a un tamaño que una maquina MS-DOS pueda reconocer, pero no lo hará con los nombres de recursos compartidos. Windows 2000 convierte los nombres largos en nombres cortos utilizando las siguientes reglas:
- Los espacios se eliminan.
- Los caracteres que no se permiten en los nombres MS-DOS son reemplazados por subrayados (_).
- El nombre se reduce a sus primeros seis caracteres restantes y después se añade una tilde y un digito. Para el primer archivo, el digito será 1. Para un segundo archivo que utilice los mismos seis caracteres, el digito será 2. Por ejemplo, un archivo llamado Presupuestos para marzo se reducirá a PRESUP~1. Un segundo archivo, llamado Presupuestos para el segundo trimestre, se reducirá a PRESUP~2.
- Si el nombre largo tiene algún punto seguido de otros caracteres, el ultimo punto y los siguientes tres caracteres se utilizan como extensión del archivo en la versión corta del nombre del archivo. Por lo que un archivo llamado Diciembre.Ventas.Presentacion se reducirá a DICIEM~1.PRE.
Como se puede observar, los nombres largos de archivo pueden ser bastante misteriosos cuando se truncan. Si la red incluye equipos MS-DOS, puede ser útil continuar utilizando convenios de denominación MS-DOS para los primeros seis caracteres. Los archivos de presupuestos utilizados arriba como ejemplos podrían convertirse en MARPRE~Presupuestos para marzo.XLS y 2DOTR~Presupuestos para el segundo trimestre.XLS. Para el equipo MS-DOS, los archivos aparecerán como MARPRE~1.XLS y 2DOTR~1.XLS.
Una única carpeta puede ser compartida más de una vez. Por ejemplo, un recurso compartido podría incluir Control total para Administradores y otro recurso compartido para usuarios podría ser más restrictivo. Para añadir un nuevo recurso compartido, hay que seguir estos pasos:
Para que una carpeta deje de estar compartida, hay que abrir Administración de equipos desde el menú Herramientas administrativas. Hay que expandir Herramientas del sistema, después Carpetas compartidas y por ultimo Recursos compartidos. Hay que pulsar con el botón derecho del ratón en la carpeta compartida en el panel de detalles y escoger Dejar de compartir en el menú contextual.
En Windows NT, cuando los usuarios se conectan a un carpeta que va a dejar de estar compartida, se avisa con un cuadro de dialogo. Esto no ocurre en Windows 2000. Si se deja de compartir una carpeta a la que están conectados usuarios, los usuarios son expulsados de la carpeta sin avisos y pueden perder Information.
Los permisos de recursos compartidos establecen el máximo ámbito de acceso disponible. Otras asignaciones de permisos (en un volumen NTFS) pueden ser más restrictivas, pero no pueden expandirse más allá de los limites establecidos por los permisos de recurso compartido.
Para establecer permisos de recursos compartidos, hay que pulsar con el botón derecho del ratón en la carpeta y escoger Compartir en el menú contextual. Hay que pulsar el botón Permisos para abrir el cuadro de dialogo. El tipo de acceso se establece por medio de la lista de la parte inferior. Se pueden utilizar los botones Agregar y Quitar para cambiar quien accede. Los permisos de recursos compartidos se pueden asignar a usuarios individuales, a grupos y a las entidades especiales Todos, SYSTEM, INTERACTIVE, NETWORK y Usuarios autentificados.
Los tipos de permisos de recursos compartidos desde el menos al más restrictivo son:
Después de ir de acá para allá entre varias ventanas de Mis sitios de red para buscar una carpeta compartida, los usuarios pueden simplemente pulsar, dos veces con el ratón en la carpeta para abrirla y acceder a su contenido. Para facilitar el acceso, hay que pulsar con el botón derecho del ratón en la carpeta compartida y arrastrarla al escritorio. Hay que seleccionar Crear iconos de acceso directo aquí después de soltar el botón.
Si se utiliza frecuentemente, es sencillo conectarse a una carpeta o unidad de disco para que aparezca en el Explorador de Windows (o en Mi PC) como otra simple unidad de disco local.
Una conexión a unidad es incluso mejor que un acceso directo a un recurso importante: si se utilizan programas antiguos, no van a reconocer los sitios de red y no serán capaces de abrir o guardar archivos en ninguna otra parte salvo en el propio equipo. Si se crea una conexión a la unidad, el programa coopera porque la unidad del otro equipo parece (para el programa al menos) ser local.
Para configurar estas conexiones para los usuarios:
Para deshacerse de una conexión a una unidad o carpeta se la puede resaltar y pulsar el botón derecho del ratón. Hay que escoger Desconectar en el menú contextual
Se puede ver una lista de recursos compartidos, sesiones actuales y archivos abiertos abriendo Administración de equipos desde el menú Herramientas administrativas y expandiendo después Carpetas compartidas.
Se puede expandir Recursos compartidos para ver una lista de las carpetas compartidas además de la siguiente información sobre cada carpeta:
Se puede expandir Sesiones en el árbol de la consola para ver la siguiente información sobre los usuarios que están actualmente conectados:
Se puede expandir Archivos abiertos en el árbol de la consola para obtener una lista de los archivos abiertos actualmente. En el panel de detalles se puede ver el nombre del archivo, quien lo abrió, el tipo de conexión, el número de bloqueos sobre el archivo (si los hay) y los permisos de recurso compartido que se concedieron cuando se abrió el archivo.
Si se comprueban habitualmente los recursos compartidos, puede ser más eficiente crear una MMC que contenga el complemento Carpetas compartidas. Se puede añadir un complemento Carpetas compartidas para cada servidor y cambiar entre ellos fácilmente.
En un volumen NTFS se pueden establecer permisos a nivel de archivo. Esto significa que cualquier archivo puede otorgar a los usuarios diferentes tipos de acceso. Aunque se pueden establecer esos permisos tan detallados, esto sería una locura.
Siempre hay que tratar de trabajar con los permisos más simples posibles. Hay que definir las menos restricciones posibles. Se deben asignar permisos a grupos, no individualmente. No hay que establecer permisos archivo a archivo a menos que sea inevitable. Gestionar las nimiedades de los permisos puede absorber fácil y rápidamente todo el tiempo.
Existen dos tipos de permisos, explícitos y heredados. Los permisos explícitos son los que se establecen en las carpetas que se crean. Los permisos heredados son aquellos que se derivan de un objeto primario a un objeto hijo. De forma predeterminada, cuando se crea una subcarpeta, hereda los permisos de la carpeta superior.
Si no se desea que los objetos hijo hereden los permisos del primario, se puede bloquear la herencia a nivel primario o a nivel hijo. Donde se bloquea la herencia es importante. Si se bloquea a nivel primario, ninguna subcarpeta heredará permisos. Si se bloquea selectivamente a nivel hijo, algunas carpetas heredarán permisos y otras no.
Para bloquear la herencia a nivel primario, hay que escoger Solo esta carpeta cuando se asignan permisos especiales. Para evitar que un cierto archivo o carpeta herede permisos, hay que pulsar con el botón derecho del ratón en la carpeta, seleccionar Propiedades y pulsar después en la pestaña Seguridad. Hay que desactivar la casilla de verificación hacer posible que los permisos heredables de un objeto primario se propaguen a este objeto.
Si las casillas de verificación de los permisos aparecen sombreadas, significa que los permisos son heredados de un objeto primario. Hay tres formas de cambiar esta situación:
Si ni Permitir ni Denegar esta activo, los usuarios/grupos pueden haber adquirido el permiso por medio de la pertenencia a un grupo. En otro caso, un fallo al configurar explícitamente Permitir o Denegar deniega efectivamente el permiso.
Windows 2000 Server posee un conjunto de permisos estándar que son combinaciones de clases de acceso especificas. Los permisos individuales son Control Total, Modificar, Lectura y ejecución, Listar el contenido de la carpeta, Leer y Escribir.
Los permisos de archivo incluyen Control total, Modificar, Lectura y ejecución, Leer y Escribir. Al igual que con las carpetas, cada uno de estos permisos controla un grupo de permisos especiales.
|
Permisos especiales para las carpetas | ||||||
| Permiso especial | Control total | Modificar | Lectura y ejecución | Listar el contenido de la carpeta | Leer | Escribir |
| Recorrer carpeta/Ejecutar archivo | Sí | Sí | Sí | Sí | Sí | No |
| Listar carpeta/Leer datos | Sí | Sí | Sí | Sí | Sí | No |
| Atributos de lectura | Sí | Sí | Sí | Sí | Sí | No |
| Atributos extendidos de lectura | Sí | Sí | Sí | Sí | Sí | No |
| Crear archivos/Escribir datos | Sí | Sí | No | No | No | Sí |
| Crear carpetas/Anexar datos | Sí | Sí | No | No | No | Sí |
| Atributos de escritura | Sí | Sí | No | No | No | Sí |
| Atributos extendidos de escritura | Sí | Sí | No | No | No | Sí |
| Eliminar subcarpetas y archivos | Sí | No | No | No | No | No |
| Eliminar | Sí | Sí | No | No | No | No |
| Permisos de lectura | Sí | Sí | Sí | Sí | Sí | Sí |
| Cambiar permisos | Sí | No | No | No | No | No |
| Tomar posesión | Sí | No | No | No | No | No |
|
Permisos especiales asociados con los permisos estándar | ||||||
| Permiso Especial | Control Total | Modificar | Lectura y Ejecución | Listar el contenido e la carpeta | Leer | Escribir |
| Recorrer carpeta/Ejecutar archivo | Sí | Sí | Sí | No | No | No |
| Listar carpeta/Leer datos | Sí | Sí | Sí | Sí | No | No |
| Atributos de lectura | Sí | Sí | Sí | Sí | No | No |
| Atributos extendidos de lectura | Sí | Sí | Sí | Sí | No | No |
| Crear archivos/Escribir datos | Sí | Sí | No | No | No | Sí |
| Crear carpetas/Anexar datos | Sí | Sí | No | No | No | Sí |
| Atributos de escritura | Sí | Sí | No | No | No | Sí |
| Atributos extendidos de escritura | Sí | Sí | No | No | No | Sí |
| Eliminar subcarpetas y archivos | Sí | No | No | No | No | No |
| Eliminar | Sí | Sí | No | No | No | |
| Permisos de lectura | Sí | Sí | Sí | Sí | Sí | Sí |
| Cambiar permisos | Sí | No | No | No | No | No |
| Tomar posesión | Sí | No | No | No | No | No |
Cualquier usuario o grupo que tenga asignado Control total en una carpeta puede eliminar archivos y subcarpetas independientemente de los permisos que tengan los archivos o subcarpetas individuales.
Si no se realiza ninguna acción en absoluto, los archivos y carpetas dentro de una carpeta compartida tendrán los mismos permisos que el recurso compartido. Se pueden asignar permisos tanto para directorios como para archivos a:
Las reglas importantes para los permisos se pueden resumir como sigue:
Antes de compartir una carpeta en un volumen NTFS, hay que establecer todos los permisos en la carpeta. Cuando se establecen permisos de carpeta se están estableciendo también permisos en todos los archivos y subcarpetas de la carpeta.
Para asignar permisos a una carpeta, hay que pulsar con el botón derecho del ratón en la carpeta en el Explorador de Windows y escoger Propiedades. Después hay que pulsar en la pestaña Seguridad y seleccionar los Permisos.
Para eliminar un individuo o grupo de la lista, basta con resaltar el nombre y pulsar Quitar.
Para añadir a la lista de aquellos con permisos, hay que pulsar el botón Agregar. Esto abre el cuadro de dialogo Seleccionar Usuarios, Equipos y Grupos.
Hay que pulsar Aceptar cuando se haya terminado y se abrirá el cuadro Permisos de carpeta con los nuevos nombres.
Los permisos para archivos individuales se asignan de la misma forma que para las carpetas. Sin embargo, existen algunas consideraciones especiales:
En algunas circunstancias, puede ser necesario establecer, cambiar o eliminar permisos especiales bien en un archivo o bien en una carpeta. (Los permisos especiales de una carpeta sólo afectan a la carpeta.) Para acceder a los permisos especiales, hay que seguir estos pasos:
Pulsar Aceptar para cerrar los cuadros de diálogo.
|
Aplicación de los permisos especiales cuando está seleccionado Aplicar estos permisos a objetos y/o contenedores sólo dentro de este contenedor | |||||
| Selección en Aplicar en |
¿Se aplica a la carpeta actual? | ¿Se aplica a subcarpetas de la carpeta actual? | ¿Se aplica a archivos de la carpeta actual? | ¿Se aplica a las carpetas posteriores? | ¿Se aplica a archivos en las carpetas posteriores? |
| sólo esta carpeta | Sí | No | No | No | No |
| Esta carpeta, subcarpeta y archivos | Sí | Sí | Sí | No | No |
| Esta carpeta y subcarpeta | Sí | Sí | No | No | No |
| Esta carpeta y archivos | Sí | No | Sí | No | No |
| sólo subcarpetas y archivos | No | Sí | Sí | No | No |
| sólo subcarpetas | No | Sí | No | No | No |
| sólo archivos | No | No | Sí | No | No |
En el cuadro, de diálogo Entrada de permiso de las carpetas se puede escoger cómo y dónde aplicar los permisos especiales.
|
Aplicación de los permisos especiales cuando está seleccionado Aplicar estos permisos a objetos y/o contenedores sólo dentro de este contenedor | |||||
| Selección en Aplicar en |
¿Se aplica a la carpeta actual? | ¿Se aplica a subcarpetas de la carpeta actual? | ¿Se aplica a archivos de la carpeta actual? | ¿Se aplica a las carpetas posteriores? | ¿Se aplica a archivos en las carpe tas posteriores? |
| Sólo esta carpeta | Sí | No | No | No | No |
| Esta carpeta, subcarpeta y archivos | Sí | Sí | Sí | Sí | Sí |
| Esta carpeta y subcarpeta | Sí | Sí | No | Sí | No |
| Esta carpeta y archivos | Sí | No | Sí | No | Sí |
| sólo subcarpetas y archivos | No | Sí | Sí | Sí | Sí |
| sólo subcarpetas | No | Sí | No | Sí | No |
| Sólo archivos | No | No | Sí | No | Sí |
Como se ha podido observar, los Administradores y los miembros de otros pocos grupos selectos son los únicos que pueden conceder y cambiar permisos. La excepción se produce cuando, un usuario es el propietario de la carpeta o archivo en cuestión. Todo objeto en una partición NTFS tiene un propietario y el propietario es la persona que creó el archivo o la carpeta. El propietario controla el acceso al archivo o carpeta y puede dejar fuera, a quien elija.
Para ver quién tiene permiso para acceder a su nueva carpeta, Maximiliano, pulsa con el botón derecho del ratón en la carpeta y escoge Propiedades y después pulsa en Seguridad.
Para su sorpresa aparece que todo el mundo en la red tiene acceso a su material "privado". Pero dado que Maximiliano, es el propietario de la carpeta, puede cambiar los permisos para tener la carpeta toda para él. Para hacer eso, añade explícitamente su nombre a la lista, de permisos y desactiva la opción Hacer posible que los permisos sean heredables.
Después de hacer esto, incluso el administrador verá un mensaje de Acceso denegado cuando, trate de abrir la carpeta.
Por supuesto, nada en la red puede estar completamente más allá del alcance de los administradores, por lo que el administrador puede pulsar con el botón derecho del ratón en la carpeta, y escoger Propiedades en el menú contextual. Cuando pulse en la pestaña Seguridad, se abre el cuadro informativo.
En la ventana Propiedades de Seguridad no se pueden hacer cambios. Sin embargo, si el administrador pulsa el botón Avanzada y después en la pestaña Propietario, puede cambiar el propietario de la carpeta a un administrador.
No importa cual sea el estado de la carpeta, el administrador puede adquirir su propiedad. Cuando Maximiliano inicie sesión la próxima vez, aún tendrá acceso a Material privado de Max, pero si pulsa Avanzada y después Propietario, verá que no es el propietario de la carpeta. De este modo, aún cuando los administradores pueden entrar en todas las áreas sin invitación, no pueden hacerlo sin dejar evidencias de su presencia.
El propietario de un archivo o carpeta también puede conceder el permiso especial Tomar posesión a otros, permitiendo a esos usuarios adquirir la propiedad en cualquier momento.