Cualquier sistema operativo multiusuario necesita una forma de controlar quién entra y qué puede hacer una vez dentro. Esa responsabilidad recae en la administración de usuarios y grupos, y aunque suene a tarea burocrática, es una de las bases de la seguridad de cualquier equipo o red.
Qué tareas hace el administrador de usuarios
La gestión de usuarios no es solo “crear una cuenta”. Incluye:
- Añadir, modificar y eliminar usuarios del sistema.
- Añadir, modificar y eliminar grupos, tanto locales como globales.
- Definir la política de cuentas y contraseñas (cada cuánto caduca una contraseña, requisitos de complejidad, bloqueo tras intentos fallidos).
- Establecer un sistema de auditoría, para poder revisar después quién hizo qué y cuándo.
Cómo se identifica un usuario al entrar al sistema
El método más común sigue siendo el login con nombre de usuario y contraseña, aunque existen alternativas como tarjetas inteligentes, huella dactilar o reconocimiento de voz. Lo importante es que, sea cual sea el método, el sistema necesita verificar que quien intenta entrar es realmente quien dice ser.
Qué es un grupo de usuarios y por qué se usa
Cada usuario pertenece a uno o varios grupos, y puede formar parte de tantos como haga falta. Al pertenecer a un grupo, el usuario hereda automáticamente todos los permisos asignados a ese grupo.
Los sistemas operativos traen grupos predeterminados de fábrica, como el grupo Administrador, el grupo estándar o el grupo de invitado. Pero el administrador también puede crear sus propios grupos personalizados, con un perfil de permisos adaptado a las necesidades de la organización.
Por qué gestionar por grupos es mejor que gestionar usuario por usuario
Aquí está la razón práctica de todo este sistema: asignar permisos a un grupo entero es mucho más flexible y manejable que asignarlos usuario por usuario.
Imagina una empresa con 40 empleados en el departamento de contabilidad. Si los permisos se asignaran uno a uno, cada cambio de política implicaría tocar 40 configuraciones distintas. Si en cambio existe un grupo “Contabilidad” con los permisos ya definidos, basta con meter a cada nuevo empleado en ese grupo para que herede automáticamente todo lo necesario — y si cambia la política de acceso, se modifica una sola vez, en el grupo, y afecta a los 40 a la vez.
Tipos de usuario según cómo acceden a la red
Dentro de una estructura de red, no todos los usuarios acceden de la misma forma:
- Usuarios locales al sistema operativo del terminal: acceden directamente desde el login del propio ordenador y usan los recursos de esa máquina en concreto.
- Usuarios que acceden a un servidor desde una estación de trabajo: se identifican en el login gestionado por un servicio de red, y a partir de ahí pueden usar recursos que no están físicamente en su propio equipo, sino en el servidor.
Esta distinción importa porque determina qué base de datos de usuarios consulta el sistema al hacer login: la propia del equipo (cuenta local) o la de un servidor centralizado (cuenta de dominio, que veremos en el tema de administración de dominios).
Pon a prueba lo que has entendido
Un departamento de 40 personas necesita los mismos permisos. ¿Cuál es la forma correcta de gestionarlo?
Grupos locales vs grupos globales
Otra distinción que aparece constantemente en ASIR y que conviene tener clara:
- Grupo local: existe solo en el equipo donde se crea. Sus permisos aplican únicamente a los recursos de esa máquina concreta.
- Grupo global: existe a nivel de dominio (lo veremos con más detalle al hablar de controladores de dominio) y puede usarse en varios equipos de la red a la vez, no solo en uno.
La diferencia importa a la hora de diseñar la estructura de permisos de una organización: un grupo local sirve para algo puntual de un único equipo (por ejemplo, quién puede administrar el servidor de impresión concreto de una sala), mientras que un grupo global sirve para algo que debe aplicarse de forma coherente en toda la red (por ejemplo, “todo el departamento de contabilidad”, sin importar desde qué equipo se conecten).
El principio de mínimo privilegio
Una buena práctica que se aplica siempre al crear grupos y asignar permisos es el principio de mínimo privilegio: dar a cada usuario o grupo exactamente los permisos que necesita para su trabajo, ni uno más. Meter a todo el mundo en el grupo de administradores “por comodidad” es un error de seguridad habitual — cuantas más cuentas tengan privilegios elevados, mayor es el daño potencial si una de ellas se ve comprometida.
Resumen rápido
Administrar usuarios va más allá de crear cuentas: incluye grupos, políticas de contraseñas y auditoría. Los grupos existen porque gestionar permisos en bloque es muchísimo más eficiente que hacerlo usuario por usuario, y entender si un usuario es local a un equipo o depende de un servidor centralizado es la base para todo lo que viene después en administración de sistemas en red.