1. LA SEGURIDAD EN WINDOWS XP:
Control de acceso a los usuarios
Windows XP Professional ofrece eficaces características de seguridad que ayudan a las
empresas a proteger sus datos confidenciales y proporcionan soporte para administrar los
usuarios de la red. Una de las características más importantes de Windows XP Professional es
el uso de objetos de directiva de grupo (GPO). Los objetos de directiva de grupo permiten a los
administradores aplicar un único perfil de seguridad a varios equipos o aprovechar la
tecnología de tarjeta inteligente para autenticar usuarios.
Mejoras de seguridad
Windows XP Professional incluye distintas características con las que las empresas pueden
proteger archivos, aplicaciones y otros recursos seleccionados. Estas características incluyen
listas de control de acceso (ACL), grupos de seguridad y directiva de grupo, y también las
herramientas necesarias para que las empresas las configuren y administren. En su conjunto,
ofrecen una infraestructura de control de acceso eficaz y flexible para las redes empresariales.
Windows XP dispone de miles de opciones relacionadas con la seguridad que se pueden
implementar individualmente. El sistema operativo Windows XP también incluye plantillas de
seguridad predefinidas que las empresas pueden implementar sin modificaciones o utilizar
como base para una configuración de seguridad más personalizada. Las empresas pueden
aplicar las plantillas de seguridad en los siguientes casos:
Cuando crean un recurso, como una carpeta o archivo compartido, y aceptan la
configuración predeterminada de la lista de control de acceso o implementan una
configuración predeterminada.
Cuando sitúan usuarios en los grupos de seguridad estándar, como Usuarios, Usuarios
avanzados y Administradores, y aceptan la configuración predeterminada de la ACL
que se aplica a dichos grupos de seguridad.
Cuando utilizan las plantillas de directiva de grupo básica, compatible, segura o de alta
seguridad que se incluyen en el sistema operativo.
Todas las características de seguridad de Windows XP (ACL, grupos de seguridad y directiva
de grupo) tienen configuraciones predeterminadas que pueden modificarse y adaptarse a las
necesidades de cada organización. Las empresas también pueden utilizar herramientas
adecuadas para implementar y modificar el control de acceso. Muchas de ellas, como los
complementos de Microsoft Management Console, son componentes de Windows XP
Professional.

2. Permisos y configuración en Windows XP Profesional:
Protección de Carpetas y archivos con permisos:
1.- Creación de Usuarios:
En principio vamos a crear cuatro usuarios, Adan, Eva, Ping y Pong :
Inicio/Panel de Control/Cuentas de usuario/
Crear una cuenta nueva/Adan/ x Limitada.
Cambiar una cuenta/Cambiar la contraseña/adan
Crear una cuenta nueva/Eva/ x Limitada.
Cambiar una cuenta/Cambiar la contraseña/eva
Crear una cuenta nueva/Ping/ x Limitada.
Cambiar una cuenta/Cambiar la contraseña/ping
Crear una cuenta nueva/Pong/ x Limitada.
Cambiar una cuenta/Cambiar la contraseña/pong
(Ponemos las contraseñas con el mismo nombre de los usuarios, para su fácil recuerdo.)
La forma de crear usuarios es mediante Administración de equipos :
Formas de entrar en Administración de equipos :
a) Inicio/Panel de control/Rendimiento y mantenimiento/Herramientas
administrativas/Administración de equipos
b) Inicio/Ejecutar/compmgmt.msc
c) Botón derecho sobre Mi PC/Administrar.
Vamos a Usuarios locales y grupos/Usuarios/Botón derecho/Usuario nuevo ...

3. 2.- Creación de Grupos:
Ahora vamos a Administración de equipos y vamos a meter a
Adan y Eva en el grupo Biblios y a Ping y Pong en el grupo Pinipones.
Vamos a Usuarios locales y grupos/Grupos/Botón derecho/Grupo nuevo ...
/Nombre del grupo: Biblios/Agregar ... /Seleccionar Usuarios :
Tipos de Objetos (Marcar Todos)
Avanzadas....
Buscar ahora
Elegir Adan
Aceptar
Agregar
Avanzadas ....
Buscar ahora
Elegir Eva
Aceptar
(Se podrían haber agregado los dos a la vez, pulsando, sin soltar, la tecla Ctrl)
Si ahora vuelves a Administración de equipos/Usuarios locales y grupos/Usuarios y pulsas con
el botón derecho sobre Adan y luego Propiedades observarás que es Miembro del Grupo
Biblios
3.- Partición NTFS:
Con XP podemos tener los discos formateados con FAT32 o con NTFS.
Se utiliza NTFS para proteger los archivos y carpetas con permisos, o sea, podemos establecer
quién puede ver, leer, escribir, ejecutar esas carpetas o archivos. También con NTFS podemos
poner cuotas a los discos y cifrar archivos.

4. Vamos a utilizar NTFS, este tipo de formato para las particiones lo podemos realizar mientras
instalamos Windows XP, o instalar XP con FAT32 y una vez instalado convertirlo a NTFS.
Es mejor que la partición se cree NTFS en vez de ser convertida. (Ver convert en Ayuda de
Windows)
Hay programas como Partition Magic que nos permite pasar de un tipo de partición a otra sin
perder datos.
XP no tiene herramienta para la conversión inversa, es decir de NTFS a FAT, el mencionado
Partition Magic si lo puede conseguir, pero es una operación que entraña algún riesgo, por lo
que es conveniente hacer copias de seguidad de nuestros trabajos antes de realizarla.
Suponemos que con Partition Magic u otro programa hemos creado una partición R: con
FAT32 y ahora la vamos a pasar a NTFS. (Habría sido mejor crearla de principio NTFS).
Si hemos instalado R: en FAT32 la podemos convertir a NTFS de esta manera:
Inicio/Ejecutar/cmd
C:> convert R: /fs:ntfs /v
Reiniciamos.
Para ver como queda nuestro disco vamos a :
Botón derecho sobre Mi PC/Administrar/Almacenamiento/Administración de discos.
Suponemos que ya tenemos nuestro disco R: con formato NTFS.
Ahora vamos a Mi PC/Botón derecho sobre el disco R:/Propiedades, vemos varias fichas :
General-Herramientas-Hardware-Compartir-Seguridad.
Si no vemos Seguridad vamos a Herramienta/Opciones de Carpeta ../Ver/Desmarcamos
"Utilizar uso compartido simple de archivos"
La ficha Seguridad y los permisos sólo valen para las particiones NTFS.
4.- Permisos (NTFS):
Nota: Para aplicar Permisos en un Archivo o Carpeta:
Pulsémoslos con el Botón derecho/Propiedades/Seguridad.
Si no vemos la ficha Seguridad:
Herramienta/Opciones de Carpeta.../Ver/Desmarcamos
"Utilizar uso compartido simple de archivos"
(esto lo hacemos como un Administrador)
Una vez que tenemos varios usuarios y grupos configurados y una partición NTFS vamos a
crear una carpeta y un archivo con permisos.
Vamos a entrar como el usuario Adan : Inicio/Cerrar Sesión/Cambiar de usuario : Adan adan
• Vamos a Mi PC y a la partición NTFS R:
• Entramos en R: Creamos una Nueva carpeta R:CarpetadeAdan
• Entramos en R:CarpetadeAdan y Creamos un documento de WordPad, llamado
DocumentodeAdan.doc
• Editamos R:CarpetadeAdanDocumentodeAdan.doc y escribimos dentro "Este texto ha
sido creado por Adán."

5. • Guardamos el documento.
Adan es el propietario de su carpeta y de su archivo, porque lo ha creado, y dispone de todos
los permisos sobre ellos.
Se trata que :
Eva, que pertenece al Grupo Biblios de Adán pueda leer y escribir la carpeta y el archivo.
Ping que pertenece al Grupo Pinipones pueda solo leer el archivo y la carpeta.
Adán va a configurar los permisos :
Adán entra en Mi PC/Disco R: NTFS/Botón derecho/CarpetadeAdan/Propiedades/Seguridad
Agregar
Tipos de objetos ... = Marcar todos
Avanzadas
Buscar ahora
Elegir Biblios
Elegir Pinipones
En caso que en Nombres de grupos o usuarios aparezca algo más : Todos, OWNER, ... lo Quitamos
Si no se puede Quitar vamos a Opciones Avanzadas y desmarcamos : Heredar del objeto principal las
entradas de permisos ....
Ahora en caso que aún siga apareciendo algo más, le quitamos sus permisos.
Ahora Adán pulsa con el botón derecho DocumentodeAdan.doc/Propiedades/Seguridad y
configura los permisos igual que con la carpeta anterior.

6. Adán puede hacer lo que quiera con la carpeta CarpetadeAdan y con el archivo
DocumentodeAdan.
Eva que pertenece al Grupo Biblios puede Leer y Escribir el archivo y la carpeta pero no puede
Eliminarlos ni cambiarle los permisos.
Ping que pertenece al Grupo Pinipones solo puede Leer el archivo y la carpeta pero no puede
Escribir ni Eliminarlos
Para comprobarlo vamos a Inicio/Cerrar Sesión/Cambiar de usuario (o bien Tecla <Win>+L)
Vamos poniendo los distintos usuario : Adan, Eva, Ping y Pong observando que en se cumplen
los permisos especificados por Adán.
NOTAS :
• Heredar permisos significa que la carpeta actual toma los permisos de la carpeta a la
que pertenece.
• Tengo la carpeta Superior y quiero que sus carpetas inferiores no hereden los permisos
de Superior :
En Superior/Propiedades/Seguridad/Opciones avanzadas/Modificar/Aplicar en : Solo
ésta carpeta
• Tengo la carpeta Superior y quiero que sólo la carpeta inferior1 no herede los permisos
de Superior.
En inferior/Propiedades/Seguridad/Opciones avanzadas/Desmarco Heredar del objeto
principal las entradas de permisos...
Cuando desmarcas Heredar del objeto principal ..... sale una ventana, pulsa Copiar.
Si en nombre de usuario o grupo salen más líneas las podemos eliminar quitando antes lo
de Heredar y Copiar.
Principal es la carpeta Padre
Secundaria es la carpeta Hija
La carpeta Hija hereda los permisos de su Padre
Si no queremos que los herede : En Padre : Aplicar en : Solo ésta carpeta.
O bien en Hija : Desmarcar : Heredar del objeto principal las entradas de permisos.
Los Administradores pueden cambiar los permisos de cualquier carpeta pero antes tienen
que hacerse propietario de ella :
1.) Entrar como Administrador.
2.) Propiedades/Seguridad/Opciones avanzadas/Propietario/Cambiar propietario a :
Administrador(Juan)
Opciones avanzadas :
1.) X Heredar del objeto ...... = Las subcarpetas que se creen a partir de ahora heredan los
permisos de su carpeta Padre.
2.) X Reemplazar las entradas ..... = Las subcarpetas que ya estén creadas con otros
permisos, cambian sus permisos a las que tiene su carpeta Padre.
a) Aplicar en ... Si queremos aplicar los permisos sólo a la carpeta actual y/o a sus
subcarpetas y/o archivos
b) Aplicar estos permisos a objetos y/o contenedores sólo dentro de este contenedor.
= Si queremos que sólo se apliquen a la carpeta actual o queremos que sus subcarpetas

7. también hereden los permisos. (o sea si marcamos, los permisos se aplican a las
subcarpeta y acaban. Si no lo marcamos se heredan de subcarpetas a subcarpetas)
Ejercicio propuesto :
Adan debe copiar la Calculadora (C:WindowsSystem32calc.exe) en la CarpetadeAdan de
manera que sólo Adan tenga Control total sobre la Calculadora. Eva puede sólo verla y
ejecutarla, pero no puede Cambiar nombre ni Eliminarla. Y los Pinipones pueden verla cuando
entren en la CarpetadeAdan, pero no pueden Ejecutarla ni Cambiar nombre ni Eliminarla ni
nada.
Se supone que la Calculadora se puede copiar, en caso contrario el Administrador le copiaría la
calculadora en su carpeta.
Resultado :
CarpetadeAdan
Adan tiene :
Control total sobre la CarpetadeAdan
Permisos especiales : Desmarcado : Heredar del objeto ....
Opciones avanzadas/Modificar/Aplicar sólo en esta carpeta.
Eva tiene :
Lectura y Escritura, Mostrar el contenido de la carpeta, Leer.
Pinipones tiene :
Lectura y Escritura, Mostrar el contenido de la carpeta, Leer.
Archivo calc.exe
Adan tiene :
Control total
Eva tiene :
Lectura y ejecución, Leer.
Pinipones tiene :
Permisos especiales (Opciones avanzadas) Modificar = Leer Datos
El Administrador puede entrar en todas las carpetas aunque sus propietarios no le hayan dado:
Entra Adan, crea una carpeta: R:Secretos y dentro un archivo misecreto.txt
Quita a todos, salvo a él, de la ventana de permisos, nadie puede ver ni entrar en su carpeta, ni
el Administrador (por el momento).
Entra el Administrador, intenta leer el archivo misecreto.txt. No puede porque no tiene
permisos.
Se hace propietario de la carpeta: Propiedades / Seguridad / Opciones avanzadas / Propietario
/
el Administrador se hace propietarios de la Carpeta.
Ahora puede ponerse los permisos como Control Total.
En estos momentos puede acceder a la carpeta de Adán pues ésta ha cambiado de
propietario.
¿Porqué los Administradores se pueden hacer propietarios?
Porque está configurada en la Directiva de grupo. permiso.

8. Vamos a realizar lo siguiente
Inicio/Ejecutar/gpedit.msc
Directiva Equipo Local/Configuración del equipo/Configuración de Windows/Configuración de
seguridad/Directivas locales/Asignación de derechos de usuarios/ Take owner of files or other
objects
5.- Las directivas de Equipo local:
Las directivas a un equipo se configuran desde el comando “gpedit.msc” que se encuentra en
“Wundows/system32”
Estas directivas se dividen en dos partes fundamentales:
• Configuración del Equipo: Donde se configuran las políticas de todo el equipo.
• Configuración del Usuario: Donde se configuran las políticas del usuario iniciado.
Configuración del Equipo:
En esta sección, podemos Asignarle o denegarle derechos a los distinto usuarios o grupos en
un equipo. Esta configuración se encuentra siguiendo la ruta: Directiva Equipo
Local/Configuración del equipo/Configuración de Windows/Configuración de
seguridad/Directivas locales/Asignación de derechos de usuarios y, por defecto solo puede
ser configurada por los usuarios del Grupo Administradores.
Veamos un ejemplo:
Ping es miembro de Pinipones y el Grupo Pinipones NO tienen derecho a cambiar la hora :
Entra como Ping e intenta cambiar la hora del ordenador = (Reloj/Botón derecho/Ajustar fecha
y hora). NO PUEDE, porque como Usuario normal y corriente tiene restringido este derecho.
Vamos a darles derecho a los Pinipones para que pueda cambiar la hora :
Entramos como un Administrador. Inicio/Ejecutar/gpedit.msc (Directiva de grupo)
Directiva Equipo Local/Configuración del equipo/Configuración de Windows/Configuración de
seguridad/Directivas locales/Asignación de derechos de usuarios/Change the system time :
(Doble clic) :
Agregar usuario o grupo/Tipos de objetos ... (Marcas todos)/Avanzadas ... /Buscar ahora/Elegir
Pinipones.
Ahora entramos como Ping y observamos que podemos cambiar la hora : (Reloj/Botón
derecho/Ajustar fecha y hora)

9. Asignación de otros derechos que le podemos otorgar a los Grupos :
Recordemos que se configura con el comando “gpedit.msc” en la ruta “Directiva Equipo
Local/Configuración del equipo/Configuración de Windows/Configuración de
seguridad/Directivas locales/Asignación de derechos de usuarios/”
• Bypass traverse checking (Saltarse la comprobación de recorrido)
Aunque no le demos permiso de Recorrer carpeta a un usuario, éste podrá hacerlo si está
configurado en esta Directiva.
• Perform volume maintenance tasks (Realizar tareas de mantenimiento de volúmenes) =
Para que pueda Limpiar y Desfragmentar discos.
• Shut Down System (Apagar el Sistema) =
Para que pueda apagar el ordenador.
• Take owner of files or other objects (Tomar posesión de archivos y otros objetos) =
Para que pueda hacerse propietario de cualquier carpeta protegida con permisos.
• Denegar el acceso desde la red a este equipo
Para evitar que algún usuario entre en el equipo a través de la red.
• Inicio de sesión local
Los usuarios aquí configurado pueden acceder en el equipo local.
Configuración del Usuario:
En esta sección, podemos habilitar o denegar la Configuraciones del Sistema al usuario que
está logueado en ese momento (current user) en un equipo, por medio de las Plantillas
Administrativas.
Este último ítem contiene parámetros que sólo se pueden usar para configurar usuarios, y solo
se puede configurar entrando como ese usuario, y no es imprescindible ser Administrador para
hacerlo, por lo que son políticas de seguridad sin restricciones de uso salvo la de poder
loguearse como el usuario local.
Para evitar que los usuarios accedan a la edición de estas políticas se deberá evitar que
cualquiera que no sea del grupo Administradores pudiera ejecutar “gpedit.msc”.
Existirían dos formas para restringir el uso de este comando:

10. • Una forma sencilla y mas casera, pensando que el usuario común no tenga
conocimientos avanzados, sería la de desinstalar el comando luego del uso. Se puede
configurar una política de seguridad para el equipo que solo los usuarios del Grupo
Administrador pueden “agregar o quitar Programas”, por lo que al usuario común le
será imposible utilizar el comando (que estará desinstalado) y tampoco reinstalarlo.
• Otra forma mas avanzada sería colocar el comando en una partición NTFS y configurar
la denegación total a aquellos usuarios que no sean del Grupo Administrador. Como
solo se puede configurar entrando como el usuario local, el Administrador deberá
(previamente a la configuración de la política) darle (o al grupo al que pertenece) el
permiso NTFS para el control total del comando provisoriamente para poder loguearse
como ese usuario, cambiar las políticas y luego, logueado nuevamente como
Administrador, volverle a denegar el acceso al comando en cuestión.
Descripción de las Principales Plantillas Administrativas:
Las Plantillas Administrativas tienen una serie compleja de configuraciones. Tomaremos las
que consideramos de mayor utilidad para la configuración de un puesto de trabajo local con un
acceso a una red workgroup.
• Menú Inicio y barra de tareas
• Escritorio
• Panel de control
• Sistema
• Componentes de Windows
Dentro de cada ítem, existen también una larga serie de sub-ítems. Volveremos a discriminar
todos aquellos que no sirvan específicamente a la configuración de seguridad para un equipo
local con acceso a una red pequeña.
Principales configuraciones para el Menú Inicio y barra de tareas:
Descripción general:
Contiene la configuración que le permite agregar, quitar o deshabilitar elementos del menú
Inicio, barra de tareas y área de notificación.
Componentes Principales:
1 Quitar carpetas del usuario del menú Inicio:
Oculta todas las carpetas de la sección del usuario (sección superior) del menú Inicio. Aunque
otros elementos aparecerán, las carpetas estarán ocultas.
Esta configuración se ha creado para utilizarla con carpetas redirigidas. Las carpetas
redirigidas aparecen en la parte principal (inferior) del menú Inicio. Sin embargo, la versión de
la carpeta original, del usuario sigue apareciendo en la parte superior del menú Inicio. Como la
apariencia de dos carpetas con el mismo nombre puede confundir a los usuarios, puede utilizar
esta configuración para ocultar las carpetas de usuario.
Esta configuración oculta todas las carpetas de usuario, no sólo las asociadas con las carpetas
redirigidas.
Si habilita esta configuración, no aparecerán carpetas en la sección superior del menú Inicio. Si
los usuarios agregan carpetas al directorio Menú Inicio en sus perfiles de usuario, las carpetas
aparecerán en el directorio pero no en el menú Inicio.
Si deshabilita esta configuración o no la configura, Windows 2000 y Windows XP mostrarán
carpetas a ambos lados del menú Inicio.

11. 2 Quitar vínculos a Windows Update:
Impide que los usuarios se conecten al sitio Web Windows Update.
Esta configuración impide que los usuarios puedan acceder al sitio Web Windows Update en
http://windowsupdate.microsoft.com. Esta configuración también quita el hipervínculo hacia
Windows Update desde el menú Inicio y desde el menú Herramientas de Internet Explorer.
Windows Update, la extensión en línea de Windows, ofrece actualizaciones de software para
mantener actualizado el sistema del usuario. El Windows Update Product Catalog determina
qué archivos del sistema, correcciones a seguridad y actualizaciones de Microsoft necesitan los
usuarios y muestra una lista de las versiones más recientes que pueden descargarse.
3 Quitar el icono Mis documentos del Menú Inicio:
Quita el icono Mis documentos del Menú Inicio y sus submenús.
Esta configuración sólo quita el icono. No impide que el usuario utilice otro métodos para tener
acceso al contenido de la carpeta Mis documentos.
4 Quitar el menú Documentos del menú Inicio:
Quita el menú Documentos del menú Inicio.
El menú Documentos contiene vínculos hacia los archivos que no son de programa que los
usuarios han abierto más recientemente. Este menú aparece para que los usuarios puedan
abrir fácilmente los documentos.
Si habilita esta configuración, el sistema guardará accesos directos a documentos pero no los
mostrará en el menú Documentos. Si más tarde la deshabilita o la establece como No
configurada, los accesos directos a documentos que se guardaron mientras la configuración
estaba habilitada aparecerán en el menú Documentos.
5 Quitar programas del menú Configuración:
Impide que Panel de control, Impresoras y Conexiones de red se ejecute.
Esta directiva quita las carpetas Panel de control, Impresoras y Conexiones de red de la
Configuración del menú Inicio, de Mi PC y del Explorador de Windows. También impide que los
programas representados por estas carpetas (como Control.exe) se ejecuten.
Sin embargo, los usuarios pueden iniciar elementos del Panel de control utilizando otros
métodos, como por ejemplo hacer clic con el botón secundario sobre el escritorio para iniciar
Pantalla o hacer clic con el botón secundario sobre Mi PC para iniciar Sistema.
6 Quitar Conexiones de red del menú Inicio:
Impide que los usuarios ejecuten Conexiones de red.
Esta configuración impide que la carpeta Conexiones de red se abra. Esta configuración
también quita la opción Conexiones de red de la Configuración en el menú Inicio.
El elemento Conexiones de red seguirá apareciendo en el Panel de control y en el Explorador
de Windows, pero si los usuarios intentan iniciarlo, aparecerá un mensaje explicando que
existe una configuración que impide dicha acción.
7 Quitar el menú Favoritos del menú Inicio:
Evita que los usuarios agreguen el menú Favoritos al menú Inicio o al menú de inicio clásico.
Si habilita esta configuración el elemento Mostrar Favoritos no aparecerá en el cuadro de
opciones del menú Inicio Opciones Avanzadas.

12. Si deshabilita o no establece esta configuración el elemento Mostrar Favoritos estará
disponible.
Nota: el menú Favoritos no aparece en el menú Inicio de forma predeterminada. Para mostrar
el menú Favoritos, haga clic con el botón secundario del mouse en el menú Inicio, señale
Propiedades, haga clic en Personalizar. Si está usando el menú Inicio, haga clic en la ficha
Opciones avanzadas y en Elementos del menú Inicio, seleccione el menú Favoritos. Si está
usando el menú de Inicio clásico, seleccione Mostrar Favoritos en el cuadro de opciones del
menú Inicio Opciones Avanzadas.
8 Quitar el menú Buscar del menú Inicio:
Quita el elemento Buscar del menú Inicio, y deshabilita algunos elementos de búsqueda del
Explorador de Windows.
Esta configuración quita el elemento Buscar del menú Inicio y del menú contextual que aparece
cuando se hace clic con el botón derecho del mouse en el menú Inicio. Además, el sistema no
responde cuando los usuarios presionan la tecla de la aplicación (la tecla con el logotipo de
Windows)+ F.
En el Explorador de Windows, el elemento Buscar seguirá apareciendo en los botones de la
barra de herramientas estándar, pero el sistema no responderá cuando el usuario presione
Ctrl+F. Además, buscar no aparecerá en el menú contextual cuando se haga clic con el botón
derecho del mouse sobre un icono que represente una unidad o una carpeta.
Esta configuración afecta sólo a los elementos de la interfaz de usuario especificado. No afecta
a Internet Explorer y no impide que el usuario use otros métodos para buscar.
9 Quitar el menú Ayuda del menú Inicio:
Quita el comando Ayuda del menú Inicio.
Esta configuración sólo afecta al menú Inicio. No se quitará el menú Ayuda del Explorador de
Windows y no impide que los usuarios ejecuten la Ayuda.
10 Quitar el menú Ejecutar del menú Inicio:
Le permite quitar el comando Ejecutar del menú Inicio, Internet Explorer, y Administrador de
tareas.
Si habilita esta configuración, ocurrirán los siguientes cambios:
(1) Se quita el comando Ejecutar del menú Inicio.
(2) El comando Nueva tarea (ejecutar) se quita del Administrador de tareas.
(3) Se impedirá al usuario escribir lo siguiente en la Barra de direcciones de Internet Explorer:
--- Una ruta UNC: <servidor><recurso_compartido>
--- Tener acceso a unidades locales: Por ejemplo, C:
--- Tener acceso a carpetas locales: Por ejemplo, temp>
Además, los usuarios con teclados extendidos no podrán seguir mostrando el cuadro de
diálogo Ejecutar presionando la tecla de Aplicación (la tecla con el logotipo de Windows) + R.
Si deshabilita esta configuración o no la establece, los usuarios tendrán acceso al comando
Ejecutar del menú Inicio y podrán usar la barra de direcciones de Internet Explorer en el
Administrador de tareas.
11 Quitar el icono Mis sitios de red del menú Inicio:
Quita el icono Mis sitios de red del menú Inicio.

13. 12 Quitar Cerrar sesión en el menú Inicio:
Quita el elemento "Cerrar sesión de <nombre de usuario>" del menú Inicio e impide que los
usuarios vuelvan a agregarlo.
Si habilita esta configuración, el elemento Cerrar sesión de <nombre de usuario> no aparece
en el menú Inicio. Esta configuración también quita el elemento Mostrar Cierre de sesión de las
opciones del menú Inicio. Como resultado, los usuarios no podrán volver a agregar el elemento
Cerrar sesión <nombre de usuario> en el menú Inicio.
Si deshabilita esta configuración o no la configura, los usuarios pueden utilizar el elemento
Mostrar Cierre de sesión para agregar o quitar el elemento Cierre de sesión de.
Esta configuración sólo afecta al menú Inicio. No afecta al elemento Cerrar la sesión del cuadro
de diálogo Seguridad de Windows que aparece al presionar Ctrl+Alt+Supr, y no impide que los
usuarios utilicen otros métodos para cerrar la sesión.
13 Quitar e impedir el acceso al comando Apagar:
Impide que los usuarios cierren o vuelvan a iniciar Windows.
Esta configuración quita la opción Apagar del menú Inicio y deshabilita el botón Apagar del
cuadro de diálogo Seguridad de Windows, que aparece al presionar CTRL+ALT+SUPR.
Esta configuración impide que los usuarios utilicen la interfaz de usuario de Windows para
apagar el sistema, aunque no les impide que ejecuten programas que cierran Windows.
Si deshabilita esta configuración o no la establece, la opción de menú Apagar aparecerá y el
botón Apagar estará habilitado.
14 Quitar los menús contextuales para arrastrar y colocar del menú Inicio:
Impide que los usuarios utilicen el método de arrastrar y colocar para volver a clasificar o quitar
elementos del menú Inicio.
Si deshabilita esta configuración o no la configura, los usuarios pueden quitar o volver a
clasificar los elementos del menú Inicio con sólo arrastrar y colocar el elemento en cuestión.
Los usuarios podrán abrir menús contextuales haciendo clic con el botón secundario sobre un
elemento del menú Inicio.
Esta configuración no impide que los usuarios utilicen otros métodos para personalizar el menú
Inicio o para llevar a cabo las tareas a las que se puede acceder desde los menús
contextuales.
15 Impedir cambios en la configuración de la barra de tareas y del menú Inicio:
Quita el elemento Barra de tareas y menú Inicio de Configuración del menú Inicio. Esta
configuración también impide que el usuario abra el cuadro de diálogo Propiedades de Barra
de tareas y menú Inicio.
Si el usuario hace clic con el botón secundario sobre la barra de tareas y luego hace clic sobre
Propiedades, aparecerá un mensaje indicándole que existe una configuración que impide dicha
acción.
16 Quitar el accesos a los menús contextuales para la barra de tareas:
Oculta los menús que aparecen cuando hace clic con el botón secundario sobre la barra de
tareas y sobre elementos de la barra de tareas, como por ejemplo el botón Inicio, el reloj y los
botones de la barra de tareas.
Esta directiva no impide que los usuarios utilicen otros métodos para ejecutar los comandos
que aparecen en estos menús.

14. 17 Quitar y deshabilitar el botón Apagar equipo
Si habilita esta configuración, el botón "Apagar equipo" se quitará del menú Inicio sencillo y el
usuario no podrá apagar Windows usando la interfaz de usuario estándar para el apagado.
Si deshabilita esta configuración o no la configura, el botón "Apagar equipo" permanecerá en el
menú Inicio sencillo
18 Quitar nombre de usuario del menú Inicio:
Quita nombre de usuario del menú Inicio
Principales configuraciones para el Escritorio:
1 Ocultar y deshabilitar todos los iconos del Escritorio:
Quita del escritorio los iconos, accesos directos y otros elementos predeterminados y definidos
por el usuario, incluidos el Maletín, la Papelera de reciclaje, Mi PC y Mis sitios de red.
Aunque se quiten los iconos y los accesos directos, el usuario puede utilizar otros métodos
para iniciar los programas o para abrir los elementos que representan.
Consulte también: "Elementos mostrados en la Barra de lugares" en Configuración del
usuarioPlantillas administrativasComponentes de WindowsComún. Abra el diálogo de archivo
para quitar el icono Escritorio de la Barra de lugares. Esto ayudará a impedir que los usuarios
guarden datos en el Escritorio.
2 Quitar el icono Mis documentos del escritorio:
Quita la mayoría de los iconos Mis documentos.
Esta configuración quita el icono Mis documentos del escritorio, del Explorador de Windows, de
los programas que utilicen las ventanas del Explorador de Windows y del cuadro de diálogo
estándar Abrir.
Esta configuración no impide que el usuario utilice otros métodos para acceder al contenido de
la carpeta Mis documentos.
Esta configuración no elimina el icono Mis documentos del Menú Inicio.
Nota: Para que los cambios efectuados en esta configuración se apliquen, debe cerrar la
sesión e iniciarla de nuevo en Windows 2000.
3 Quitar icono Mi PC del escritorio:
Esta configuración oculta Mi PC en el escritorio y en el nuevo menú Inicio. También oculta los
vínculos a Mi PC en la vista Web de todas las ventanas del Explorador de Windows y oculta Mi
PC en el panel del árbol de carpetas del Explorador. Si el usuario llega a Mi PC usando el
botón "Arriba" mientras esta configuración está habilitada, verá una carpeta Mi PC vacía. Esta
configuración permite a los administradores impedir que los usuarios vean Mi PC en el nombre
de espacios Shell, permitiéndoles ofrecer a sus usuarios entornos de escritorio más simples.
Si habilita esta configuración, Mi PC no aparecerá en el escritorio, en el nuevo menú Inicio, en
el panel del árbol de carpetas del Explorador ni en las vistas Web del Explorador. Si el usuario
consigue llegar a Mi PC, la carpeta aparecerá vacía.
Si deshabilita esta configuración, Mi PC se mostrará normalmente, apareciendo en el escritorio,
Menú Inicio, panel del árbol de carpetas y vistas Web, a no ser que otra configuración lo
impida.
Si no establece esta configuración, el comportamiento predeterminado es mostrar Mi PC con
normalidad.

15. Nota: ocultar Mi PC y sus contenidos no oculta los contenidos de las carpetas secundarias de
Mi PC. Por ejemplo, si los usuarios acceden a uno de sus discos duros, verán todas sus
carpetas y archivos, incluso si está configuración está habilitada.
4 Quitar la Papelera de reciclaje del escritorio:
Quita la mayoría de las ocurrencias del icono de la Papelera de reciclaje.
Esta configuración quita el icono de la papelera de reciclaje del escritorio, del explorador de
Windows, de programas que usen las ventanas del explorador de Windows y del diálogo
estándar Abrir.
Esta configuración no impide que los usuarios usen otros métodos para acceder los contenidos
de la carpeta Papelera de reciclaje.
Nota: para que los cambios de esta configuración tengan efecto, debe cerrar sesión y volver a
iniciar sesión.
5 Quitar el elemento Propiedades del menú contextual de Mis documentos:
Esta configuración oculta Propiedades del menú contextual de Mis documentos.
Si habilita esta configuración, la opción propiedades no estará presente cuando el usuario haga
clic con el botón secundario del mouse en Mis documentos o haga clic en Mis documentos y
vaya al menú Archivo. Así mismo, Alt-Entrar no hará nada cuando esté seleccionado Mis
documentos.
Si deshabilita o no establece esta configuración, la opción Propiedades aparecerá
normalmente.
6 Quitar el elemento Propiedades del menú contextual de Mi PC:
Esta configuración oculta Propiedades en el menú contextual de Mi PC.
Si habilita esta configuración, la opción Propiedades no estará presente cuando el usuario haga
clic con el botón secundario del mouse en Mi PC o haga clic Mi PC y vaya el menú Archivo. Así
mismo, Alt-Entrar no producirá ninguna acción cuando MI PC esté seleccionado.
Si deshabilita o no establece esta configuración, la opción Propiedades se mostrará
normalmente.
7 Quitar Propiedades del menú contextual de la Papelera de reciclaje:
Quita la opción Propiedades del menú contextual de la Papelera de reciclaje.
Si habilita esta configuración, la opción Propiedades no estará presente cuando el usuario haga
clic con el botón secundario del mouse el la Papelera de reciclaje o abra la Papelera de
reciclaje y haga clic en Archivo. Así mismo , Alt-Entrar no hará nada cuando la Papelera de
reciclaje está seleccionada.
Si deshabilita o no establece esta configuración, la opción Propiedades se mostrará con
normalidad.
8 Ocultar el icono Mis sitios de red del escritorio:
Quita el icono Mis sitios de red del escritorio. Esta configuración sólo afecta al icono de
escritorio. No impide que los usuarios se conecten a la red o examinar equipos compartidos en
la red.
9 Ocultar el icono de Internet Explorer en el Escritorio:
Quita el icono de Internet Explorer del escritorio y de la opción Inicio rápido de la barra de
tareas.
Esta configuración no impide que el usuario inicie Internet Explorer utilizando otros métodos.

16. 10 Prohibir al usuario cambiar la ruta de Mis documentos:
Impide que los usuarios cambien la ruta hacia la carpeta Mis documentos.
Como valor predeterminado, un usuario puede modificar la ubicación de la carpeta Mis
documentos con sólo escribir una ruta nueva en la casilla Destino del cuadro de diálogo
Propiedades de Mis documentos. Si habilita esta configuración, los usuarios no podrán escribir
en una nueva ubicación de la casilla Destino.
11 No guardar la configuración al salir:
Impide que los usuarios guarden ciertos cambios en el escritorio.
Si habilita esta directiva, los usuarios pueden modificar el escritorio, pero algunos de los
cambios, como la posición de las ventanas abiertas o el tamaño y posición de la barra de
tareas no se guardarán cuando los usuarios cierren la sesión. Sin embargo, los accesos
directos que se encuentren en el escritorio se guardarán siempre.
Principales configuraciones del Panel de Control:
1 Prohibir el acceso al Panel de control:
Deshabilita los programas del Panel de control.
Esta configuración impide que Control.exe, el archivo de programa de Panel de control, se
inicie. Como resultado, los usuarios no pueden iniciar Panel de control o ejecutar elementos del
Panel de control.
Esta configuración también quita Panel de control del menú Inicio. (Para abrir Panel de control,
haga clic en Inicio, sitúe el puntero sobre Configuración y haga clic en Panel de control a
continuación.) Esta configuración también quita la carpeta Panel de control del Explorador de
Windows.
Si los usuarios intentan seleccionar un elemento del Panel de control en un menú de contexto,
aparecerá un mensaje explicando que existe una configuración que impide esta acción.
2 Ocultar subprogramas especificados del Panel de control:
Oculta elementos y carpetas del Panel de control especificados.
Esta configuración elimina elementos (por ej. Pantalla) del Panel de control, y carpetas (por ej.
Fuentes) de la ventana del Panel de control y del menú Inicio. Puede eliminar elementos del
Panel de control que haya agregado al sistema, así como elementos del Panel de control
incluidos en Windows 2000.
Para ocultar un elemento del Panel de control, escriba el nombre del archivo del elemento,
como por ej. Ncpa.cpl (para Red). Para ocultar una carpeta, escriba el nombre de la carpeta,
por ej. Fuentes.
Esta configuración sólo se aplica al menú Inicio y a la ventana del Panel de control. No impide
que los usuarios ejecuten elementos del Panel de control.
Consulte también la configuración "Quitar Pantalla en Panel de control" de Configuración del
usuarioPlantillas administrativasPanel de controlPantalla.
Si las configuraciones "Ocultar subprogramas especificados del Panel de control" y "Mostrar
sólo los subprogramas especificados del Panel de control" están activadas y aparece el mismo
elemento en ambas listas, la configuración "Mostrar sólo los subprogramas especificados del
Panel de control" se ignora.
Nota: para buscar el nombre de archivo de un elemento del Panel de control, busque archivos
que tengan la extensión .cpl en el directorio %Systemroot%System32. Nota: para crear una
lista de subprogramas no permitidos en el Panel de control, haga clic en Mostrar, luego en
Agregar y escriba el nombre de archivo de panel de control (termina en .cpl), o el nombre

17. mostrado para el elemento en el Panel de control (por ejemplo, desk.cpl, powercfg.cpl,
Impresoras y Faxes)
Nota: esta configuración no afecta a las categorías que se muestran en la nueva vista por
categorías del Panel de control en Windows XP. Si desea controlar qué elementos se muestran
en el Panel de control, habilite la configuración "Forzar estilo clásico del Panel de control" para
quitar la vista por categorías y usar esta configuración para controlar qué .cpls no se van a
mostrar
3 Mostrar sólo los subprogramas especificados del Panel de control:
Oculta todos los elementos y carpetas del Panel de control, excepto los especificados en esta
configuración.
Esta configuración elimina todos los elementos del Panel de control (como Red) y carpetas
(como Fuentes) de la ventana del Panel de control y del menú Inicio. Elimina elementos del
Panel de control que haya agregado al sistema y los elementos del Panel de control incluidos
en Windows 2000. Los únicos elementos que aparecerán en el Panel de control son los que
especifique en esta configuración.
Para mostrar un elemento del Panel de control, escriba el nombre del archivo del elemento,
como por ejemplo Ncpa.cpl (para Red). Para mostrar una carpeta, escriba el nombre de la
carpeta, como por ejemplo Fuentes. Si no especifica ningún elemento o carpeta, la ventana del
Panel de control aparecerá vacía.
Esta configuración sólo afecta al menú Inicio y a la ventana del Panel de control. No impide que
los usuarios ejecuten los elementos del Panel de control.
Consulte también la configuración "Quitar Pantalla en Panel de control" en Configuración del
usuarioPlantillas administrativasPanel de controlPantalla.
Si las configuraciones "Ocultar subprogramas especificados del Panel de control" y "Mostrar
sólo los subprogramas especificados del Panel de control" están activadas, la configuración
"Mostrar sólo los subprogramas especificados del Panel de control" se ignora.
Sugerencia: Para buscar el nombre de archivo de un elemento del Panel de control, busque
archivos que tengan la extensión .cpl en el directorio %Systemroot%System32.
4 Agregar o quitar programas:
Contiene la configuración para controlar el comportamiento del complemento Agregar o quitar
programas.
• Quitar Agregar o quitar programas
• Ocultar la página Cambiar o quitar programas
• Ocultar la página Agregar nuevos programas
• Ocultar la página Agregar o quitar componentes de Windows
• Ocultar la opción "Agregar un programa desde un CD-ROM o disquete"
• Ocultar la opción "Agregar programas de Microsoft"
• Ocultar la opción "Agregar programas desde la red"
• Ir directamente al Asistente para componentes
• Quitar la información de compatibilidad
• Especificar categoría predeterminada para Agregar nuevos programas
5 Pantalla:
Configuración de controles disponible en Pantalla del Panel de control o haciendo clic con el
botón secundario del mouse en el escritorio de un usuario. Esto incluye las propiedades del
fondo de pantalla, configuración de apariencia y propiedades del protector de pantalla.
Los principales subtemas que contiene esta carpeta son:
• Quitar Pantalla en Panel de control

18. • Ocultar la ficha Escritorio
• Impedir cambios en el papel tapiz
• Ocultar la ficha Apariencia y Temas
• Ocultar la ficha Configuración
• Ocultar la ficha Protector de pantalla
• Protector de pantalla
• Nombre ejecutable del protector de pantalla
• Proteger el protector de pantalla con una contraseña
• Tiempo de espera del protector de pantalla
• Temas del Escritorio
6 Impresoras:
Administra impresoras de red y opciones de publicación.
Los principales subtemas que contiene esta carpeta son:
• Buscar impresoras en un sitio Web común
• Buscar impresoras en la red
• Ruta predeterminada de Active Directory al buscar impresoras
• Impedir la agregación de impresoras
• Impedir la eliminación de impresoras
Principales configuraciones de Sistema:
1 Impedir el acceso a herramientas de edición del Registro:
Deshabilita las herramientas de edición del registro de Windows, Regedt.exe y Regedit.exe.
Si esta configuración se habilita y el usuario intenta ejecutar un editor del registro, aparecerá un
mensaje explicando que hay una configuración que impide dicha acción.
2 Quitar el administrador de tareas:
Ubicación: Configuración de usuarioSistemaOpciones de Ctrl+Alt+Sup
Impide que los usuarios inicien el Administrador de tareas (Taskmgr.exe).
Si esta configuración está habilitada y los usuarios intentan iniciar el Administrador de tareas,
aparecerá un mensaje explicando que hay una directiva que impide dicha acción.
El Administrador de tareas permite a los usuarios iniciar y detener programas, controlar el
rendimiento de sus equipos, ver y controlar todos los programas que se ejecutan en sus
equipos, incluidos los servicios del sistema, buscar los nombres de programas ejecutables y
modificar la prioridad del proceso en el que se ejecutan los programas.
Principales configuraciones de Componentes de Windows:
En éste punto se configuran los principales componentes de Windows, entre los que
podemos detallar:

19. • Explorador de Windows
• Programador de tareas
• Windows Update
• Internet Explorer.
• Netmeeting
• Reproductor de Windows Media.
8.- Cuotas de discos (NTFS):
Esto consiste en asignar a un usuario o a un grupo una cierta cantidad de disco duro. Es decir,
si el disco ( o partición) R: tiene 8 G, podemos hacer que el usuario Juan sólo pueda disponer
de 1 G.
Se utiliza sólo con NTFS.
Para asignarlo vamos a Mi PC/disco R:/Propiedades debe salir la ficha Cuota.
Podemos poner un valor de cuota de disco mediante : Limitar espacio de disco Ejemplo : 100
MB
Podemos poner una advertencia cuando se acerque a esa cantidad : Establecer nivel de
advertencia Ejemplo : 90 MB
Podemos particularizar la cuota de disco a cada usuario mediante el botón : Valores de cuotas /
Cuota / Nueva entrada de cuota ... / Ponemos o buscamos un usuario y le asignamos la
cantidad de disco R: que puede utilizar.
Para habilitar la utilización de cuotas de disco vamos a :
Inicio/Ejecutar/gpedit.msc
Configuración de equipos/Plantillas administrativas/Sistema/Cuotas de disco/Habilitar cuotas de
disco