Consejo sobre permisos AD.

El administrador de dominio está limitado unicamente al dominio, el que
lalmas de organización o Enterprise Admin tiene permisos adicionales sobre
el Forest entero y podría administrar otros dominios como tambien ciertas
particiones de Active Directory que el domain admin no puede (por ej, un
Enterprise Admin puede crear un nuevo dominio en el forest, cosa que el
Domain Admin no). Los miembros del grupo Schema Admins son aquellos que
tienen la posibilidad de realizar modificaciones sobre el Schema de Active
Directory (por ej. para instalar Exchange, o para migrar de Active Directory
2000 a 2003 debes tener permisos de Schema Admin ya que dichas
implementaciones modifican el Schema extendiendolo para albergar los nuevos
objetos y propiedades que se pueden utilizar con dichas tecnologías)
Cuando instalas el primer controlador de dominio del forest, el usuario
administrador pasa a ser miembro de Domain Admis, Enterprise Admins y Schema
Admins (además de otros grupos) por ende, el administrador del primer
dominio siempre es administrador del forest salvo que realices los cambios
oportunos.

COn respecto a la segunda pregunta, lo que puedes hacer es delegar permisos
sobre las unidades organizacionales (OUs) de esta manera, siempre y cuando
tu diseño de active directory lo permita, puedes darle permisos a un grupo
de usuarios para que (por ej.) den de alta usuarios nuevos, cambien las
membresías de los grupos o bien den de alta equipos (computadoras) para ser
agregados al dominio

Fijate estos documentos
http://www.microsoft.com/technet/pr...rlwiz.mspx
http://support.microsoft.com/kb/235531

Te aconsejo que crees una nueva OU (o en lo posible en un ambiente de testeo
separado y NO PRODUCTIVO) y trabajes con cuentas de Laboratorio para afinar
los permisos y documentar el proceso. Una vez que estas conforme con las
pruebas y te aseguraste de DARLE LOS MINIMOS PERMISOS NECESARIOS a dichos
usuarios, realiza el trabajo en producción

Saludos

Rodrigo de los Santos
rodrigo at dlssolutions dot net
www.dlssolutions.net
"Miguel A." wrote in message
news:u4$%

Que diferencias exiten entre Administradores del Dominio, de esquema y de
organizacion??.-

Actualmente tenemos como amdinistradores del dominio a 3 personas, pero no
me gusta la idea, como puedo delegar las operaciones que deben hacer?',
solamente deben de poder mover e instalar equipos en varias GPOs, cerca de
20. Alguna idea??

Muchas gracias por todo. aclarado.

"Rodrigo de los Santos" <rodrigo at dlssolutions dot net> wrote in message news:

El administrador de dominio está limitado unicamente al dominio, el que lalmas de organización o Enterprise Admin tiene permisos
adicionales sobre el Forest entero y podría administrar otros dominios como tambien ciertas particiones de Active Directory que el
domain admin no puede (por ej, un Enterprise Admin puede crear un nuevo dominio en el forest, cosa que el Domain Admin no). Los
miembros del grupo Schema Admins son aquellos que tienen la posibilidad de realizar modificaciones sobre el Schema de Active
Directory (por ej. para instalar Exchange, o para migrar de Active Directory 2000 a 2003 debes tener permisos de Schema Admin ya
que dichas implementaciones modifican el Schema extendiendolo para albergar los nuevos objetos y propiedades que se pueden
utilizar con dichas tecnologías)
Cuando instalas el primer controlador de dominio del forest, el usuario administrador pasa a ser miembro de Domain Admis,
Enterprise Admins y Schema Admins (además de otros grupos) por ende, el administrador del primer dominio siempre es administrador
del forest salvo que realices los cambios oportunos.

COn respecto a la segunda pregunta, lo que puedes hacer es delegar permisos sobre las unidades organizacionales (OUs) de esta
manera, siempre y cuando tu diseño de active directory lo permita, puedes darle permisos a un grupo de usuarios para que (por ej.)
den de alta usuarios nuevos, cambien las membresías de los grupos o bien den de alta equipos (computadoras) para ser agregados al
dominio

Fijate estos documentos
http://www.microsoft.com/technet/pr...rlwiz.mspx
http://support.microsoft.com/kb/235531

Te aconsejo que crees una nueva OU (o en lo posible en un ambiente de testeo separado y NO PRODUCTIVO) y trabajes con cuentas de
Laboratorio para afinar los permisos y documentar el proceso. Una vez que estas conforme con las pruebas y te aseguraste de DARLE
LOS MINIMOS PERMISOS NECESARIOS a dichos usuarios, realiza el trabajo en producción

Saludos

Rodrigo de los Santos
rodrigo at dlssolutions dot net
www.dlssolutions.net
"Miguel A." wrote in message news:u4$%

Que diferencias exiten entre Administradores del Dominio, de esquema y de organizacion??.-

Actualmente tenemos como amdinistradores del dominio a 3 personas, pero no me gusta la idea, como puedo delegar las operaciones
que deben hacer?', solamente deben de poder mover e instalar equipos en varias GPOs, cerca de 20. Alguna idea??