Compartir a través de

Delegación de control en Servicios de dominio de Active Directory

Delegación de control significa que puede asignar una variedad de tareas administrativas a distintos usuarios y grupos. Puede asignar tareas administrativas básicas a usuarios o grupos normales y dejar la administración en todo el dominio y en todo el bosque a los miembros de los grupos Administradores de dominio y Administradores de empresa. Al delegar la administración, puede permitir que los grupos de su organización tomen más control de sus recursos locales. También puede ayudar a proteger el entorno de Active Directory de daños accidentales o malintencionados limitando la pertenencia a grupos de administradores.

Puede delegar el control administrativo a cualquier nivel de un árbol de dominio mediante la creación de unidades organizativas dentro de un dominio y la delegación del control administrativo para unidades organizativas específicas a usuarios o grupos concretos. Para decidir qué unidades organizativas desea crear y qué unidades organizativas deben contener cuentas o recursos compartidos, considere la estructura de la organización.

Active Directory define permisos específicos y derechos de usuario que se pueden usar para delegar o restringir el control administrativo. Con una combinación de unidades organizativas, grupos y permisos, puede definir el ámbito administrativo más adecuado para una persona determinada, que podría ser un dominio completo, todas las unidades organizativas de un dominio o una sola unidad organizativa.

El control administrativo se puede asignar a un usuario o grupo mediante el Asistente para delegación de controles. Puede usar el Asistente para delegación de controles para delegar las siguientes tareas:

  • Crear, eliminar y administrar cuentas de usuario
  • Restablecer contraseñas de usuario y forzar el cambio de contraseña en el siguiente inicio de sesión
  • Leer toda la información del usuario
  • Modificar la pertenencia de un grupo
  • Unir un equipo a un dominio
  • Administrar vínculos de directiva de grupo
  • Generar conjunto resultante de directivas (planeación)
  • Generar conjunto resultante de directivas (registro)
  • Crear, eliminar y administrar cuentas de inetOrgPerson
  • Restablecer las contraseñas de inetOrgPerson y forzar el cambio de contraseña en el siguiente inicio de sesión
  • Leer toda la información de inetOrgPerson

Requisitos previos

Para poder delegar el control, necesitará los siguientes requisitos previos.

  • Debe ser miembro del grupo Administradores de dominio o haber delegado los permisos necesarios para realizar las tareas que desea delegar.

  • En el equipo en el que va a delegar el control, debe tener instaladas las Herramientas de administración remota de servidores (RSAT) de AD DS.

Delegación del control

Cuando se usa el Asistente para delegación de controles, se delega no solo en el nivel de dominio o unidad organizativa, sino en todos los objetos de ese contenedor.

Para usar el Asistente para delegación de controles, siga estos pasos:

  1. En Usuarios y equipos de Active Directory, seleccione el contenedor primario. Por ejemplo, seleccione el dominio o la unidad organizativa sobre el que desea delegar el control.

  2. En el menú Acción, seleccione Delegar control. Esto iniciará el Asistente de delegación de controles.

  3. En la página Usuarios o grupos, seleccione los usuarios o grupos a los que va a delegar privilegios.

  4. En la página Tareas para delegar, seleccione la tarea que desea delegar en una lista de tareas comunes, como se explicó anteriormente en este artículo.

  5. Haga clic en Finalizar para completar el proceso de delegación.

También puede elegir la opción crear una tarea personalizada para delegar si desea crear una tarea personalizada. La creación de una tarea personalizada implica especificar el tipo de objeto al que se relaciona la tarea y los permisos que desea delegar. Las tareas comunes se aplican a todos los objetos dentro del ámbito del contenedor en el que se realiza la delegación.

Contenido relacionado