Comprender las cuentas de usuario, de grupo y de computadora incluye comprender cmo crear esas

cuentas y planificar estrategias para esas cuentas, y comprender como trasladar objetos dentro de un
dominio y entre dominios. Estas cuentas y estos grupos son parte integral del funcionamiento de AD,
por lo tanto si las conoce bien tendr las habilidades necesarias para administrar AD ms eficazmente.

Puede crear tres tipos de cuenta en AD: Cuentas de usuario, grupo y computadora. Las cuentas de
usuario y computadora de AD, representan una entidad fsica, como una computadora o una persona.
Tambin puede utilizar cuentas de usuario como cuentas de servicio dedicadas para algunas
aplicaciones.

Hay dos tipos de grupo en AD: Grupos de Distribucin y Grupos de Seguridad. Ambos tienen un
atributo de mbito que determina quin puede ser miembro del grupo y donde se puede utilizar dicho
grupo en la red. Si el nivel funcional de dominio es windows 2000 o superior, puede convertir un grupo
de seguridad en un grupo de distribucin y viceversa.

Un grupo de dominio local es un grupo de seguridad o distribucin que puede contener grupos
universales, grupos globales, otros grupos de dominio de su propio dominio y cuentas de cualquier
dominio del bosque. En los grupos de seguridad local, solamente puede otorgar derechos y permisos
sobre los recursos que residen en el dominio en el que est ubicado el grupo local de dominio.

A la pertenencia, al mbito, y a los permisos de los grupos locales se les aplican varias reglas clave.

Un grupo local es un grupo de seguridad o distribucin que puede contener usuarios, grupos y equipos
como miembros de su propio dominio. Puede contener derechos y permisos a los grupos de seguridad
global para los recursos de cualquier dominio del bosque.

Un grupo universal es un grupo de seguridad o distribucin que puede contener usuarios, grupos y
computadoras como miembros de cualquier dominio del bosque. Pueden conceder derechos y permisos
a los grupos de seguridad universales sobre los recursos de cualquier dominio del bosque

Windows 2003 proporciona varios complementos de Microsoft Management Console y herramientas

para crear varias cuentas de usuario automticamente en AD. Algunas herramientas requieren el uso de
un archivo de texto que contenga informacin sobre las cuentas de usuario que desea crear. Tambin
puede crear secuencias de comandos para agregar objetos o realizar cambios en objetos de AD.

Un nombre principal de usuario, es un nombre de inicio de sesin que slo se utiliza para conectarse a
una red de windows servers 2003. Este nombre tambin se denomina nombre de inicio de sesin de
usuario. Un nombre principal de usuario tiene dos partes separadas por el signo @; por ejemplo:
susanf@contoso.msft.

Para tener acceso a los recursos del dominio adutum.msft, en un bosque independiente debe establecer
una confianza bidireccional entre los bosques. Al crear una confianza de bosque, AD permite el
enrutamiento entre los bosques para todos los sufijos de UPN que no tienen conflicto. Si crea nuevos
nombres de sufijo UPN una vez establecida la confianza, el enrutamiento de sufijos se deshabilita para
el nuevo sufijo de forma predeterminada. Puede habilitar manualmente el enrutamiento para estos
sufijos en Dominios y confianzas de AD.

El asistente para nueva confianza detecta conflictos de sufijos de nombre cuando se produce una de las
situaciones siguientes: Ya se est utilizando el mismo nombre del sistema de nombres de Dominio
(DNS). Ya se est utilizando el mismo nombre de NetBios. Una identificacin de seguridad de Dominio
(SID) tiene conflictos con otro SID de sufijo de nombre.

Cuando el asistente para nueva confianza detecta un conflicto de sufijo de nombre, deshabilita el sufijo
de nombre de dominio de segundo nivel si el mismo nombre ya existe en un segundo bosque. Por
ejemplo, hay un conflicto si uno de los bosques tiene el nombre fabrikam.com y el segundo tiene el
sales.fabrikam.com. Deniega el acceso al Dominio desde afuera del bosque. Sin embargo, el acceso al
Dominio desde dentro del bosque funciona normalmente. Le indica que guarde un archivo de registro
con los conflictos. A continuacin, enumera los conflictos en el cuadro de dilogo de propiedades de
nombre en la ficha de enrutamiento de sufijo de nombre de la columna de enrutamiento.

El historial de identificador de seguridad (SID) es una lista mantenida por Active Directory. Esta lista
tiene varios usos que son importantes al trasladar objetos en Active Directory.

El traslado de objetos provoca varios cambios que dependen del sitio al que se traslada el objeto y
desde dnde se traslada el objeto.

El historial SID puede tener varias implicaciones que afectan a los objetos que se trasladan, pero es
posible proteger a los objetos si se toman precauciones.

Al trasladar objetos, deben tenerse en cuenta dos implicaciones adicionales relacionadas con las
restricciones y los privilegios.