Administrar Usuarios, Grupos y Directivas con

Windows 10
Grupos en Windows 10
El SO establece unos privilegios de acceso, modificación, seguridad para el acceso a los recursos. A
cada conjunto de privilegios será un tipo de usuario o grupo. En general se pueden establecer los
siguientes grupos:

• Administradores: El administrador controla todo el equipo y decide quién puede jugar

con él y qué puede hacer cada usuario en él. En un equipo que ejecuta Windows, el
propietario suele tener la cuenta de Administrador todopoderoso. A continuación,
establece cuentas para cada miembro de la familia y decide qué pueden y qué no pueden
hacer con el PC.

• Usuarios: Los titulares de cuentas estándar pueden acceder a la mayor parte del equipo,
pero no pueden hacer grandes cambios en él. No pueden ejecutar o instalar nuevos
programas, por ejemplo, pero pueden ejecutar programas existentes.

• Usuarios avanzados: Los titulares de cuentas estándar pueden acceder a la mayor parte
del equipo, pero no pueden hacer grandes cambios en él. Pueden ejecutar o instalar
nuevos programas, por ejemplo, pero pueden ejecutar programas existentes.

• Invitado: Los huéspedes pueden jugar con el ordenador, pero el ordenador no los
reconoce por su nombre. Las cuentas de invitados funcionan de forma muy parecida a las
cuentas estándar, pero sin privacidad: Cualquiera puede iniciar sesión con la cuenta de
Invitado, y el escritorio se verá como lo dejó el último invitado. Es ideal para la
navegación web improvisada, pero no mucho más.

Además según el SO se pueden establecer otros usuarios o grupos:

• un usuario diferente para cada servicio.
• Usuarios de dominio inactivos
Consola Administrador de Equipos
Desde la consola se puede administrar los
usuarios.
Para abrirla:
1. utilizando el cuadro buscador tecleamos
“equ”, se puede anclar a la barra de tareas
o al inicio y abrimos la consola
“Administrador de Equipos”. Luego hay
que situarse en “usuarios y grupos
locales”
• al ejeutar “compmgmt.msc”

• y también en al abrir
C:\Windows\System32\compmgmt

Usuarios:
Propiedades
• Nombre completo: será la idenificación completa del usuario, aunque internamente funciona
con ID único.
• Descripición es un campo para indicar anotaciones sobre el usuarios.

• “Establecer contraseña”: se cambia la contraseña del usuario. Nótese que no se puede leer la
antigua,
• Casillas de verificación:

◦ “El usuario no puede cambiar de contraseña”, al marcarlo se habilita

◦ “La contraseña nunca expira”, al marcarlo se habilita. Si se desmarca expirará a los días
que indique la directiva de seguridad aplicada.
◦ “Cuenta deshabilitida” marcada, lo habilita: no podrá realizar login ni ver su usuario
para acceder en la bienvenida.
◦ “Cuenta bloqueada marcada”, lo habiita: no podrá hacer login pero podrá cer su usuario
en la bienvenida.
• Pestañas:

◦ Miembro de … el usuario puede opcionalmente puede pertenecer a un grupo o varios

grupos de usuarios o a ninguno. Se deberá elegir al menos algún grupo para que pueda
tener algún privilegio en el SO y pueda utilzar el SO.
◦ Perfil: no se puede utilizar en modo local. Se utiliza con los dominios.
Crear
Se utiliza para crear un nuevo usuario, simplemente botón contextual sobre “Usuarios” y “nuevo
usuario” se rellenan al menos los campos obligarios: nombre.

Eliminar
Se utiliza para borrar un usuario, simplemente botón contextual sobre el usuario a borrar y
“eliminar” .

Modificar
Se utiliza para cambiar datos del usuario, simplemente Abrir el usuario en concreto y modificar las
propiedades.

Grupos:
Propiedades
Se utilizan para agrupar usuarios con iguales privilegios (Ejemplo: compartir determinada carpeta
local), no tiene sentido crear un nuevo grupo sin tener miembros.

Crear
Simplemente botón contextual sobre “Grupo” y “nuevo grupo” se rellena el nombre. aunque
internamente funciona con ID único.

Eliminar
Se utiliza para borrar un grupo, no borrará a los miembros de él. Simplemente botón contextual
sobre el usuario a borrar y “eliminar” .

Modificar
Se utiliza para cambiar datos del grupo, simplemente Abrir el usuario en concreto y modificar las
propiedades.

Consola Administrador de Directivas de grupo local

Una directiva de contraseña obliga a los usuarios a configurar una contraseña complicada. La
contraseña no se puede crear con éxito hasta que cumpla con los requisitos de las directivas. Como
resultado, su SO será más seguro.
Desde la consola se puede administrar las directivas.
Para abrirla:
• utilizando el cuadro buscador tecleamos “secp”, se puede anclar a la barra de tareas o al
inicio y abrimos la consola “Directiva Seguridad”. Luego hay que situarse en “Directivas de
cuenta ” y luego en “directiva de contraseñas”
• al ejeutar “secpol.msc”

• y también en al abrir C:\Windows\System32\ secpol

Directivas de contraseñas:
• Auditoría de longitud mínima de la contraseña: cuanto más larga sea la contraseña, más
segura será. Después de configurar la longitud mínima de la contraseña, el sistema pasará
sólo si la contraseña que estableció alcanza este número. Las contraseñas ya creadas se
quedan así. No obliga a cumplir la nueva condición.
• Vigencia máxima de la contraseña: esta configuración de seguridad determina el período
de tiempo (en días) que puede usarse una contraseña antes de que el sistema requiera que el
usuario la cambie. Por ejemplo, si establece 90 días, su contraseña caducará en 90 días,
entonces el sistema requerirá que la cambie. Pero la contraseña no caducará si la edad
máxima de la contraseña se establece en 0.
• Vigencia mínima de la contraseña: esta configuración de seguridad determina el período
de tiempo (en días) que debe usarse una contraseña antes de cambiarla. Por ejemplo, si
establece 10 días, su contraseña puede cambiarse después de 10 días. Además, la contraseña
se puede cambiar en cualquier momento si la vigencia mínima de la contraseña se establece
en 0.
• Exigir el historial de contraseñas: esta configuración garantiza que las contraseñas
antiguas no se reutilicen continuamente dentro de veces especificadas. Por ejemplo, si
establece el valor a 9, sólo puede reutilizar la contraseña antigua después de cambiar la
contraseña 9 veces.
• Almacenar contraseñas con cifrado reversible: esta configuración de seguridad determina
si el sistema operativo almacena las contraseñas mediante cifrado reversible. Si esta política
 está habilitada, algunos malos pueden descifrar fácilmente la contraseña y acceder a las PC
de los usuarios. Se sugiere deshabilitarlo a menos que los requisitos de la aplicación sean
más importantes que la protección de la información de contraseña. S iincumplira la
LOPDE. Debiera estar siempre deshabilitada
• La contraseña debe cumplir con los requerimientos de complejidad: si activa esta
directiva, la contraseña no se creará correctamente hasta que cumpla con los requisitos de
complejidad.
Requisitos:
1. El nombre de cuenta o más de dos caracteres contiguos del nombre de usuario
no pueden estar contenidos en la contraseña.
2. Tener al menos seis caracteres de longitud y tres de los siguientes cuatro tipos
de caracteres incluídos en la contraseña.
1. Ccaracteres en mayúscula en inglés (de la A a la Z)
2. Caracteres en minúscula en inglés (de la A a la Z)
3. Base de 10 dígitos (0 a 9)
4. Caracteres especiales (por ejemplo,!, $, #,%)

Directivas de bloqueo:
• Duración de bloqueo de cuenta: estableces, en minutos, cuánto durará el bloqueo de la
cuenta. Un valor de 0 dejará permanentemente bloqueada la cuenta hasta que sea
desbloqueada de forma manual por un administrador.
• Restablecer la cuenta de bloqueos después de: cuando estableces el número de intentos,
esta directiva se encarga de establecer cada cuánto tiempo se reinicia el cuenteo. Si no
existiera esta directiva, imagínate que estableces el número de intentos fallidos en tres, un
usuario se equivoca una vez hoy, otra dentro de un mes y una tercera dentro de 1 año; bien,
pues se le bloquearía la cuenta, lo cual no es deseable. Establece en minutos el tiempo que
debe pasar desde el último intento fallido para que se reinicie la cuenta de intentos fallidos.
• Umbral de bloqueos de la cuenta: el número de intentos fallidos que se deben de producir
para que se bloquee una cuenta; un valor de 0 hace que nunca se bloquee. Destacar que los
intentos fallidos de un equipo bloqueado con Ctrl+Alt+Supr, o por un salvapantallas
protegido por contraseña, no serán tenidos en cuenta.
CMDLET de PowerShell 5.1
Add-LocalGroupMember
Añade miembros al grupo un grupo local
Add-LocalGroupMember -Group "Administrators" -Member "Admin02"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/add-
localgroupmember?view=powershell-5.1

Disable-LocalUser
Deshabilita un usuario local
Ejemplo: Disable-LocalUser -Name "Admin02"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/disable-
localuser?view=powershell-5.1

Enable-LocalUser
Habilita un usuario local
Enable-LocalUser -Name "Admin02"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/enable-
localuser?view=powershell-5.1

Get-LocalGroup
Obtiene los grupos de seguridad locales (sin parámetros) o las propiedades de algún grupo en
concreto
Get-LocalGroup -Name "Administrators"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/get-
localgroup?view=powershell-5.1

Get-LocalGroupMember
Obtiene los miembros de un grupo
Get-LocalGroupMember -Group "Administrators"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/get-
localgroupmember?view=powershell-5.1

Get-LocalUser
Obtiene las propiedadaes de una usuario local
Get-LocalUser -Name "AdminContoso02"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/get-
localuser?view=powershell-5.1
New-LocalGroup
Crea un grupo local
New-LocalGroup -Name "SecurityGroup04"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/new-
localgroup?view=powershell-5.1

New-LocalUser
Crea un usuario local
Sin contraseña:
New-LocalUser -Name "User02" -Description "Description of this
account." -NoPassword

Con contraseña
$Password = Read-Host -AsSecureString
New-LocalUser "User03" -Password $Password -FullName "Third
User" -Description "Description of this account."

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/new-
localuser?view=powershell-5.1

Remove-LocalGroup
Borra un grupo local
Remove-LocalGroup -Name "SecurityGroup04"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/remove-
localgroup?view=powershell-5.1

Remove-LocalGroupMember
Borra un miembro de un grupo
Remove-LocalGroupMember -Group "Administrators" -Member "Admin02"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/remove-
localgroupmember?view=powershell-5.1

Remove-LocalUser
Borra un usuario local
Remove-LocalUser -Name "AdminContoso02"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/remove-
localuser?view=powershell-5.1
Rename-LocalGroup
Cambia nombre de un grupo
Rename-LocalGroup -Name "SecurityGroup" -NewName "SecurityGroup04"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/rename-
localgroup?view=powershell-5.1

Rename-LocalUser
Cambia el nombre a un usuario
Rename-LocalUser -Name "Admin02" -NewName "AdminContoso02"

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/rename-
localuser?view=powershell-5.1

Set-LocalGroup
Cambia propiedades de un grupo local
Set-LocalGroup -Name "SecurityGroup04" -Description "This is a
sample description."

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/set-
localgroup?view=powershell-5.1

Set-LocalUser
Cambia propiedades de un usuario local
Set-LocalUser -Name "Admin07" -Description "Description of this
account."

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/set-
localuser?view=powershell-5.1

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.localaccounts/?
view=powershell-5.1
http://freyes.svetlian.com/tips/bloqueo-cuentas.htm
https://www.reneelab.es/directiva-de-contrasenas-en-windows-10.html
https://docs.microsoft.com/es-es/windows/security/threat-protection/security-policy-
settings/account-lockout-policy