Después de leer en el artículo de Microsoft Docs Grupos predeterminados, la descripción de estos dos grupos:
Administradores de dominio
Los miembros de este grupo tienen control total del dominio. De manera predeterminada, este grupo es miembro del grupo Administradores en todos los controladores de dominio, todas las estaciones de trabajo de dominio y todos los servidores miembros de dominio en el momento en que se unen al dominio. De forma predeterminada, la cuenta de administrador es miembro de este grupo. Debido a que el grupo tiene control total en el dominio, agregue usuarios con precaución ".
Administradores
Los miembros de este grupo tienen el control total de todos los controladores de dominio en el dominio. De forma predeterminada, los grupos Administradores de dominio y Administradores de empresa son miembros del grupo Administradores. La cuenta de administrador también es un miembro predeterminado. Debido a que este grupo tiene control total en el dominio, agregue usuarios con precaución ".
y que el mismo artículo establece que ambos grupos tienen exactamente la misma descripción de sus derechos de usuario predeterminados :
Acceda a esta computadora desde la red; Ajustar cuotas de memoria para un proceso; Copia de seguridad de archivos y directorios; Omitir la verificación transversal; Cambiar la hora del sistema; Crear un archivo de paginación; Programas de depuración; Permita que las cuentas de computadora y usuario sean confiables para la delegación; Forzar un apagado desde un sistema remoto; Aumentar la prioridad de programación; Cargar y descargar controladores de dispositivo; Permitir iniciar sesión localmente; Gestionar el registro de auditoría y seguridad; Modificar los valores del entorno del firmware; Perfil de proceso único; Perfil de rendimiento del sistema; Retire la computadora de la estación de acoplamiento; Restaurar archivos y directorios; Apaga el sistema; Tomar posesión de archivos u otros objetos.
Además, el artículo de Microsoft Docs Grupos locales predeterminados incluye esta descripción del grupo Administradores :
Los miembros de este grupo tienen control total del servidor y pueden asignar derechos de usuario y permisos de control de acceso a los usuarios según sea necesario. La cuenta de administrador también es un miembro predeterminado. Cuando este servidor se une a un dominio, el grupo Administradores de dominio se agrega automáticamente a este grupo ... "
[énfasis mío]
Dado lo anterior, no entiendo:
- Cuáles son las diferencias entre ellos?
- ¿Cuándo usar cuál en su encarnación predeterminada?
- ¿Cómo especializar su compromiso?
- Si los administradores de dominio son miembros de administradores, ¿no los hace siempre iguales?
Esta pregunta es una subpregunta y se hace en el contexto de la pregunta ¿Es el contexto del usuario local de la máquina unida a AD una cuenta de máquina de dominio o de una cuenta de máquina local?
fuente
Respuestas:
Antes de que un controlador de dominio sea promovido a ese rol, es un servidor de grupo de trabajo simple (independiente) y tiene una cuenta de administrador local y un grupo de administradores local. Cuando crea un dominio, esas cuentas no desaparecen; se incorporan al dominio como la cuenta de administrador de dominio y el grupo integrado de dominio \ Administradores.
El grupo integrado \ Administradores tiene acceso administrativo a los controladores de dominio, pero no se le otorga automáticamente acceso administrativo a todas las computadoras dentro del dominio, mientras que los administradores de dominio sí lo tienen.
fuente
El grupo de administradores de dominio y el grupo integrado de AD \ Adminstrators (no el grupo de administración local en clientes) efectivamente otorgan a los usuarios en ellos los mismos derechos, sin embargo, hay algunas diferencias sutiles:
fuente
Esta es una pregunta con una respuesta simple y complicada.
La respuesta simple es siempre usar el grupo de administradores de dominio.
La respuesta complicada es que los administradores de dominio le dan administrador a todo (DC, servidores y estaciones de trabajo) en el dominio. Inicialmente, los administradores incorporados solo dan acceso a todos los DC (es un grupo local pero se replica) pero no a servidores o estaciones de trabajo. Sin embargo, el acceso de administrador a un DC ofrece la posibilidad de elevarse a administrador de dominio. Entonces, desde un punto de vista de seguridad, son equivalentes.
La razón principal por la que existe \ administradores incorporados es para que los programas que verifican el acceso del administrador puedan verificar el mismo lugar en cualquier máquina.
Los DC son las claves de su castillo, nunca puede dar administrador a uno y no a otro (efectivamente) o al servidor local y no a todo el dominio, por lo que no debe tener programas / archivos que requieren acceso de administrador local solo en ellos.
fuente
El grupo bultin / administradores se crea de manera predeterminada cuando instala Windows. Este grupo tiene acceso completo y sin restricciones a la computadora. De forma predeterminada, la única cuenta de usuario que es miembro de este grupo es Administrador.
El grupo de administradores de dominio solo está presente en un dominio de Windows. Este grupo tiene acceso completo y sin restricciones a todo el dominio, capaz de iniciar sesión en cualquier PC o servidor que sea miembro del dominio.
Cuando se agrega una PC / servidor a un dominio, el grupo de administradores de dominio se convierte automáticamente en un miembro del grupo integrado / administradores, proporcionando así a los administradores de dominio acceso de nivel de administrador a la computadora.
Si movió una cuenta del grupo de administradores de dominio al grupo integrado / administradores, esa cuenta podría administrar esa computadora local, pero nada más, a menos que haya agregado la cuenta a otros grupos integrados / administradores.
fuente