Qué pensarías si te dijera que un usuario normal sin ningún permiso administrador puede unir equipos
al dominio en Windows Server.
Sí sí se puede.
En este caso si un usuario ha realizado el inicio de sesión por al menos una sola vez en el dominio
este usuario va a poder unir equipos al dominio hasta 10 equipos al dominio sin ningún problema sin
tener ningún privilegio de administrador de dominio ni nada de esto.
Esto es un tema que puede decirse que es una brecha de seguridad pero en este caso Microsoft da esa
posibilidad para que los usuarios puedan unir sus equipos en el dominio automáticamente o por su propia
cuenta.
Esto es nuestro dominio local puede podemos deshabilitar y podemos especificar que solamente los administradores
tengan el derecho tengan la posibilidad de poder unir equipos al dominio.
Vamos a hacer la prueba tengo este equipo aquí.
Este equipo cliente.
Esta máquina virtual que vamos a intentar unir nuestro equipo al dominio vemos que hace parte de un
grupo de trabajo y en este caso se llama Click con 0 2 vamos a ver que yo tengo una cuenta de usuario
por aquí en Nates Directory.
Vemos aquí nuestra cuenta de usuario en la parte de sistemas que se llama Yair Gómez Jota Gómez y en
este caso esta cuenta solamente hace parte de usuarios del dominio no tiene ningún privilegio de administrador.
Esta cuenta ya ha iniciado sesión en el dominio tiene que hacer una cuenta que haga parte de los usuarios
autenticado en el dominio o que haya iniciado sesión por al menos una sola vez en el dominio.
Vamos a irnos al equipo cliente vamos a irnos activaciones más avanzadas y vamos a tratar de unir nuestro
equipo el dominio con la cuenta Jota Gomís ok vamos a unirlo al dominio que se llama en este caso mi
dominio con toso punto local y vamos a aceptar y vamos a unirlo al dominio con la cuenta Jota comienza
esta cuenta no tiene ningún derecho ningún privilegio de administrador.
Vamos a unirlo vamos a hacer password.
En este caso vamos a darle aceptar y vamos a esperar que una nuestro equipo con esa cuenta.
En ese caso nosotros podemos deshabilitar este tema y podemos indicar por medio de directivas de grupo
que solamente los usuarios administradores de dominio puedan unir equipos al dominio entonces con eso
vamos a quitarnos este tema de que cualquier usuario que esté autenticado en el dominio pueda unir equipos
hasta 10 equipos puede unir.
Vamos a esperar que termine aquí de unir nuestro equipo el dominio y vamos a reiniciarlo y vamos a ver
cómo podemos nosotros a través de políticas de grupo definir vemos que Guala aquí lo tenemos se unió
correctamente al dominio con todo apuntó local.
Al aceptar a reiniciarlo y vamos a ver qué en nuestro equipo usuarios y equipos de directorio vamos
a ver que vamos a actualizar aquí un poco vamos a ver qué nos va a aparecer clik con 02 ya unido al
dominio con la cuenta que no es ni administradora no es ningún usuario administrador de dominio y en
este caso es un usuario estándar un usuario normal.
Cómo podemos evitar este tema.
Esto lo vamos a hacer a través de políticas de grupo nos vamos a ir a la parte de administrador de directivas
de grupo.
Ustedes pueden utilizar las Domain impulso y pueden crear otra directiva de grupo yo utilizar el Domain
Policy y lo que nos vamos a ir es a la configuración de equipo nos vamos a ir a la parte de directivas
Configuración de Windows.
Aquí la parte de configuración de seguridad nos vamos a ir a la parte de directivas locales y vamos
a irnos a la parte de asignación de derechos de usuario aquí la parte de derechos de asignación de usuario.
Nosotros tenemos una directiva que se llama agregar estaciones de trabajo al dominio.
Por defecto vemos que no viene definida y en la explicación me dice que esta configuración de seguridad
determina qué grupos o usuarios pueden agregar estaciones de trabajo al dominio en este caso me dice
que esta configuración de seguridad sólo es válida en controladores de dominio de forma predeterminada
cualquier usuario autenticado aquí lo tenemos.
Vamos a marcarlo aquí bien en este tema me dice cualquier usuario y autenticado tiene este derecho y
puede crear hasta diez cuentas de equipo en el dominio.
Ustedes dirán por qué Microsoft no permite ese tema porque muchas veces los usuarios cuando son empresas
muy grandes en este caso los usuarios pueden unir sus equipos ellos mismos al dominio.
Entonces en este caso no vamos a tener que necesitar un intermediario o un administrador para que el
equipo del dominio sino que automáticamente el usuario puede unir el equipo al dominio y esto lo vamos
a hacer un tema de mejora en el tiempo de nuestros usuarios en este caso nosotros podemos deshabilitar
este tema cómo configurando esta directiva o definiendo esta directiva y agregando el gura el grupo
o usuarios que solamente queremos que unan equipos al dominio entonces aquí nosotros podemos agregar
tanto usuarios de administradores como usuarios no administradores.
Vamos a agregar por ejemplo los usuarios administradores de dominio los que solamente sean administradores
que pertenezcan al grupo de administradores y nosotros vamos a definir que solamente este grupo sean
los permitidos para poder unir equipos clientes a nuestro dominio entonces ya la directiva de quien
nos dice que cualquier usuario que sea autenticado va a quedar abolida y que solamente los administradores
de sistemas o los administradores de nuestro dominio vamos a poder unir equipos al cliente si tenemos
un usuario de soporte un usuario que nos ayuda en el tema de la Unión de equipos al dominio y no queremos
darle a ese usuario que tenga permisos de administrador pues aquí también podemos incluir a ese usuario
normal y corriente para que nos ayude en el tema de unir equipos al dominio entonces vemos que es una
cosa muy importante que debemos definir cuando instalamos o debemos configurar en nuestro dominio para
tener una seguridad por ese lado porque de pronto llega un usuario con cualquier equipo Rhein en su
mochila y lo une el dominio se conecta a la red o el dominio y puede realizar cualquier tema entonces
esto puede ser un tema de seguridad bastante importante y debemos tenerlo y debemos definirlo en esta
directiva que se llama agregar estaciones de trabajo al dominio y definimos el grupo o los usuarios
que solamente van a tener permisos de agregar equipos al dominio.
Entonces vemos que es muy importante este tema de directiva y definirlo una vez nosotros instalemos
nuestros nuestro controlador de dominio donde ya configuramos el tema de directivas vamos a tener esta
parte vamos a tener que configurar esta parte que es muy muy importante.