Cómo configurar una cuenta de servicio informático para unirse a un dominio

De forma predeterminada, los usuarios estándar pueden unir una computadora al dominio. Eso es algo que no quieres. Además, los administradores usan su cuenta de administrador de dominio para unir una computadora al dominio. Si bien esto es lo más fácil de hacer porque tiene todos los permisos, no es recomendable. En su lugar, debe crear una nueva cuenta con permisos limitados y usarla para unir una computadora a un dominio. En este artículo, aprenderá cómo configurar una cuenta de computadora para unirse a un dominio.

Unir la computadora al dominio

Unir una computadora a un dominio es genial para que formen parte de él. Sin embargo, no sólo los administradores de dominio pueden unir una computadora a un dominio. Una cuenta de usuario estándar también puede agregar la computadora al dominio y, una vez que lo haga, automáticamente se convertirá en el propietario de la computadora. Esto les da la posibilidad de tomar el control de la computadora y convertirse en administradores locales en tan solo unos sencillos pasos.

De forma predeterminada, cualquier usuario autenticado puede agregar hasta 10 computadoras al dominio. El objeto de política de grupo (GPO) Agregar estación de trabajo al dominio determina quién puede unirse a las computadoras. De forma predeterminada, esto está configurado en Usuarios autenticados. La cantidad máxima de computadoras que cada usuario puede agregar está controlada por la configuración ms-DS-MachineAccountQuota, cuyo valor predeterminado es 10.

Cuando un usuario une una computadora al dominio, automáticamente obtiene ciertos privilegios sobre el objeto de la computadora, como GenericAll. Para evitar otorgar estos privilegios a usuarios habituales, se recomienda editar esta configuración y utilizar una cuenta dedicada específicamente para unir computadoras al dominio.

Lectura recomendada:

Nota:Los usuarios pueden agregar hasta 10 escritorios al dominio con su nombre de inicio de sesión siempre que tengan una cuenta de usuario en el dominio. Esto está configurado de forma predeterminada y se recomienda cambiarlo siguiendo este artículo.

Paso 1. Eliminar usuarios autenticados de la Política de grupo

Elimine todos los usuarios y grupos de la política de grupo:

Inicie sesión en elControlador de dominio
ComenzarGestión de políticas de grupo
Haga clic derecho enPolítica de controladores de dominio predeterminada
SeleccionarEditar

ir al caminoConfiguración del equipo > Políticas > Configuración de Windows > Configuración de seguridad > Asignación de derechos de usuario
Haga doble clic en la políticaAgregar estaciones de trabajo al dominio

Eliminar todos los usuarios y grupos.
Hacer clicDE ACUERDO

Verifique que elAgregar estaciones de trabajo al dominioel establecimiento de políticas esvacío

Establezca el valor del atributo de cuota de la cuenta de la máquina en0en AD siguiendo los pasos a continuación:

ComenzarUsuarios y computadoras de Active Directory
Hacer clic enVista
PermitirFunciones avanzadas

Haga clic derecho enDominio
Hacer clicPropiedades

Seleccione el atributoms-DS-MachineAccountQuota
Hacer clicEditar

Establezca el valor en0
Hacer clicDE ACUERDO

Verifique que elms-DS-MachineAccountQuotaatributo muestra el valor0

Suponga que quiere hacer lo mismo con PowerShell.

Obtenga el valor del atributo ms-DS-MachineAccountQuota.

Get-ADDomain | Get-ADObject -Properties ms-DS-MachineAccountQuota

Establezca ms-DS-MachineAccountQuota en0.

Set-ADdomain -Identity contoso.com -Replace @{"ms-DS-MachineAccountQuota"="0"}

Paso 3. Crea una cuenta dedicada

Cree una cuenta de servicio dedicada que utilizará para unir computadoras al dominio:

ComenzarUsuarios y computadoras de Active Directory
Cree una cuenta de servicio dedicada con una contraseña segura

Asegúrese de que ella contraseña nunca caducaLa opción de cuenta está seleccionada.

Paso 4. Conceder permisos a la cuenta

Otorgue los permisos necesarios a la cuenta de servicio para agregar, eliminar y volver a unir la computadora al dominio:

ComenzarUsuarios y computadoras de Active Directory
Haga clic derecho en el valor predeterminadoComputadorasrecipiente
SeleccionarDelegar el control...

Hacer clicPróximo

Seleccione la cuenta de serviciosvc-domainjoin
Hacer clicPróximo

SeleccionarCrea una tarea personalizada para delegar
Hacer clicPróximo

SeleccionarSólo los siguientes objetos en la carpeta
PermitirObjetos de computadorade la lista
PermitirCrear objetos seleccionados en esta carpeta
PermitirEliminar objetos seleccionados en esta carpeta
Hacer clicPróximo

SeleccionarControl total(una vez que hagas clic en él, todo quedará seleccionado)

Nota:seleccionaremosControl totalporque queremos usar la cuenta de servicio no solo para unir la computadora al dominio sino también para volver a unirla, eliminarla y cambiarle el nombre.

verificar quetodoes seleccionado
Hacer clicPróximo

Hacer clicFinalizar

Paso 5. Verificar la cuenta de computadora para unirse al dominio

Es fundamental probar los cambios una vez que todo esté configurado.

Nota:Los administradores pueden unir una computadora al dominio porque tienen todos los privilegios. Sin embargo, no se recomienda utilizar estas cuentas y debe utilizar la cuenta de servicio que creó porque tiene privilegios mínimos.

Inicie sesión en la computadora y una la computadora al dominio usando una cuenta de usuario estándar. Aparece el error.

Utilice la cuenta de servicio para unir la computadora al dominio y funcionará correctamente.

¡Eso es todo!

Conclusión

Aprendió a configurar una cuenta de computadora para unirse a un dominio. Primero, restrinja a los usuarios para que no puedan unir una computadora a un dominio. Después de eso, configure una cuenta de servicio dedicada y use esta cuenta para unir las computadoras a un dominio. Asegúrese de que todo el equipo sea consciente de esto y de que ya no utilicen sus cuentas de administrador.

¿Disfrutaste este artículo? También te puede gustar restablecer la contraseña de la cuenta KRBTGT. No olvides seguirnos y compartir este artículo.