Cómo instalar y usar Active Directory Users and Computers (ADUC)

ADUC es un complemento de Microsoft Management Console (MMC) que permite a los administradores gestionar objetos de Active Directory y sus atributos. Por ejemplo, pueden:

• Cambie las contraseñas.
• Restablecer cuentas de usuario.
• Agregue usuarios a grupos de seguridad.
• Crear y eliminar unidades organizativas (OUs)
• Asigne roles FSMO como RID Master, PDC Emulator e Infrastructure Master a los controladores de dominio.
• Cree y gestione computadoras, grupos y usuarios y sus atributos
• Delegar el control de objetos.
• Defina seguridad avanzada y auditoría en AD.

You can find more information about Active Directory in our AD tutorial for beginners. Majorly, Active Directory domain controllers will have ADUC installed by default in Windows. However,in some instances it may not be present, which would require you to opt for different ways you may add them in your current version of windows.

A continuación se presentan las formas que le permiten agregar Usuarios y Computadoras de Active Directory en la versión actual de windows.

Agregando ADUC a través de Remote Server Administration Tools (RSAT)

En la versión actual de Windows, las Herramientas de administración remota del servidor incluyen ADUC. Por lo tanto, para habilitar ADUC en la versión actual de Windows, instale las Herramientas de administración remota del servidor (RSAT).

Nota: RSAT solo puede instalarse en computadoras que ejecuten las versiones Professional o Enterprise de Windows.

RSAT permite a los administradores ejecutar complementos y herramientas para controlar características, roles y servicios de roles en un servidor remoto u otro ordenador. RSAT viene incluido con el sistema operativo a partir de Windows Server 2008 R2. Para versiones anteriores de Windows Server, así como para Windows 7 y Windows 8, RSAT está disponible como un paquete para descargar con instrucciones de instalación.

Las herramientas de administración remota incluidas en el paquete RSAT incluyen lo siguiente:

• Active Directory Users and Computers (ADUC) — Ampliamente utilizado por administradores de sistemas para crear y gestionar objetos de Active Directory
• Active Directory Administrative Center — Se utiliza para gestionar la papelera de reciclaje de AD y las password policies y para mostrar tu historial de PowerShell
• Módulo de Active Directory para Windows PowerShell — Ofrece cmdlets de PowerShell para administrar AD
• Dominios de Active Directory y confianzas — Permite administrar el nivel funcional, el nivel funcional del bosque y los nombres principales de usuario (UPNs), así como las confianzas entre bosques y dominios
• Sitios y servicios de Active Directory — Le permite ver y administrar sus sitios y servicios
• ADSI Edit — Ofrece cierta funcionalidad para la gestión de objetos AD, aunque la mayoría de los expertos recomiendan usar ADUC

Cómo solucionar errores de RSAT en Windows 10

RSAT puede fallar por diversas razones, incluyendo una actualización fallida, un archivo de instalación corrupto o incompatibilidad con el sistema operativo. Además, pueden surgir problemas si un administrador de servidor intenta modificar alguna de sus herramientas de administración, especialmente el componente Active Directory Administrative Center (ADAC) de RSAT. Aquí hay algunos consejos para la resolución de problemas:

Primero, asegúrese de tener la versión correcta de RSAT para su sistema operativo. Si no es así, desinstale RSAT e instale la versión adecuada.

Si obtienes un error de instalación de RSAT error 0x800f0954:

1. Haga clic derecho en el botón de Start > Elija Run > Escriba msc > Haga clic en OK.
2. En el editor de group policy local, navegue a Computer Configuration > Administrative Templates > System.
3. Haga clic derecho en la opción Especificar configuraciones para la instalación de componentes opcionales y la reparación de componentes política > Establézcala en Habilitado y marque la casilla Descargar contenido de reparación y características opcionales directamente de Windows Updates en lugar de Windows Server Updates Services (WSUS).
4. Haga clic en Aplicar > Haga clic en OK.
5. Haga clic derecho en el botón de Inicio > Elija Ejecutar > Escriba gpupdate > Haga clic en Aceptar.

La instalación de RSAT error 0x80070003 suele estar relacionada con la instalación desde una ubicación poco común. Copie los archivos de instalación al disco local de la máquina objetivo y continúe.

Cómo instalar ADUC en un servidor miembro de Windows

Para instalar ADUC, utilice el asistente en Server Manager, una herramienta de gestión incluida con Windows Server, de la siguiente manera:

1. Inicie Server Manager de una de las siguientes maneras:

• Haga clic en el ícono de Server Manager en la barra de tareas, como se muestra a continuación:

• Haga clic en el botón de Windows Start y escriba Server Manager en el cuadro de búsqueda. Luego haga clic en el icono de Server Manager.

2. Para abrir el asistente, haga clic en Add roles and features.

3. La primera página describe lo que puede hacer con el asistente y los requisitos previos para utilizarlo. Haga clic en Next para continuar.

4. En la siguiente página, seleccione Role-based or feature-based installation y haga clic en Siguiente.

5. Seleccione un servidor del grupo de servidores o un disco duro virtual. Haga clic en Siguiente.

6. La siguiente página enumera los roles que podrías instalar. Omitiremos esto y simplemente haremos clic en Next.

7. En la siguiente página, seleccione Remote Server Administration Tools y AD DS and AD LDS Tools, lo que automáticamente seleccionará las demás herramientas de gestión de Active Directory. Haga clic en Siguiente.

8. La siguiente página muestra un resumen de las herramientas que se están instalando. Seleccione la casilla Restart the destination server automatically if required porque algunas de las funciones y características requieren un reinicio del servidor. Haga clic en Install para comenzar la instalación.

9. En la siguiente página, puede ver el progreso de la instalación. Haga clic en Close en cualquier momento para cerrar el asistente; la instalación continuará como una tarea en ejecución.

10. Después de que la instalación tenga éxito, abra el Administrador del Servidor y haga clic en el menú Herramientas para ver las herramientas instaladas. La siguiente captura de pantalla muestra Usuarios y Computadoras de Active Directory junto con otras herramientas de gestión:

Cómo encontrar la versión de Windows antes de instalar ADUC

Puede determinar la versión de Windows siguiendo cualquiera de los pasos a continuación.

• En el panel de navegación izquierdo, haga clic en Start > Settings > System > About. Verá la información de la edición, versión y compilación del sistema operativo, como la siguiente:

Haga clic derecho en el menú Start y luego haga clic en System. Verá información de la edición, versión y compilación del sistema operativo como la siguiente:

Instale ADUC en Windows 10 versión 1809 y superiores

A continuación se presentan los pasos para instalar ADUC en Windows 10 versión 1809 y superiores:

1.Click the Start menu and then click Settings > Apps.

2. Haga clic en Optional Features, y luego haga clic en Agregar una característica.

3. Haga clic en RSAT: Active Directory Domain Services and Lightweight Directory Services Tools.

4. Haga clic en Install.

Cuando la instalación se complete, verá un nuevo elemento en el menú Start bajo Herramientas Administrativas de Windows.

Instale ADUC utilizando la línea de comandos

Alternativamente, si estás utilizando la versión 1809 de Windows 10 o posterior, puedes instalar ADUC desde la línea de comandos de la siguiente manera:

1. Haga clic en Inicio (o presione Win+R). Escriba cmd y haga clic en Intro.
2. Ejecute los siguientes comandos:

dism /online /enable-feature /featurename:RSATClient-Roles-AD

dism /online /enable-feature /featurename:RSATClient-Roles-AD-DS

dism /online /enable-feature /featurename:RSATClient-Roles-AD-DS-SnapIn

Instale ADUC en Windows 8 o Windows 10 versión 1803 y anteriores

1. Descargue Remote Server Administrator Tools para Windows 10 versión 1803 y anteriores desde el Microsoft Download Center e instálelo.

2. Haga clic en el botón de Windows Start y luego haga clic en Control Panel > Programs. Bajo Programs and Features, haga clic en Turn Windows features on or off.

3. Desplácese hacia abajo en la lista de características y expanda Role Administration Tools -> AD DS and AD LDS Tools. Marque AD DS Tools. Luego haga clic en OK.

4. Una vez que el sistema haya instalado las herramientas, haga clic en Restart ahora.

Cuando la instalación se complete, la carpeta Windows Administrative Tools aparecerá en el menú Start, y ADUC estará en esta carpeta.

Instale ADUC en versiones anteriores de Windows

Si tienes una versión antigua de Windows, puedes descargar el paquete RSAT adecuado y luego usar Agregar características de Windows en el Panel de Control para agregar los complementos MMC necesarios.

Tenga en cuenta que si instala RSAT en una computadora con Windows 7, debe habilitar las herramientas manualmente después de la instalación de RSAT.

Vaya a Inicio > Panel de Control > Programas y Características y utilice Activar o desactivar las características de Windows.

Componentes de la consola ADUC

La consola de Usuarios y Computadoras de Active Directory tiene algunos componentes clave que facilitan a los administradores de sistemas la gestión de objetos:

• Barra de menú: Contiene los menús Archivo, Acciones, Ver y Ayuda
• Barra de herramientas: Contiene botones para realizar acciones rápidas, como crear un nuevo usuario o grupo y mostrar/ocultar los paneles de Directory y Action
• Panel del Directory (Console Tree): Muestra la jerarquía del dominio al que estás conectado, así como una lista de los contenedores y OUs disponibles
• Panel de Objetos: Muestra los objetos y sus atributos; puedes editar las columnas utilizando el menú Ver
• Panel de Acciones: Muestra los detalles del objeto seleccionado y ofrece una opción de Más Acciones 

Configuración avanzada de ADUC

De forma predeterminada, ADUC muestra algunas UO y otros contenedores. Para trabajar en otros contenedores, haga clic en el menú View y luego haga clic en Advanced Features.

Entonces verá propiedades adicionales. A continuación, puede comparar las pestañas disponibles en la vista normal (a la izquierda) con las de la vista avanzada (a la derecha):

Cómo usar Active Directory Users and Computers (ADUC)

Cree una unidad organizativa (OU)

Siga estos pasos para crear una unidad organizativa:

1. Haga clic con el botón derecho en el dominio o la OU bajo la cual desea crear la OU deseada; luego haga clic en Nuevo > Unidad Organizativa.

2. Escriba un nombre para la nueva OU en el campo Nombre y especifique si desea proteger la OU contra eliminación accidental. Haga clic en OK para crear la unidad organizativa.

Añadir una cuenta de usuario

1. Seleccione el dominio donde desea agregar al usuario y luego expanda su contenido.
2. Haga clic con el botón derecho en el contenedor al que desea agregar un usuario (generalmente Usuarios), seleccione Nuevo y luego haga clic en Usuario.

3. Escriba el nombre, apellido y nombre de usuario del nuevo usuario. Luego haga clic en Next.

4. Escriba y confirme una nueva contraseña para el usuario. Asegúrese de habilitar una de las siguientes opciones para controlar cómo el usuario debe gestionar su contraseña:

• El usuario debe cambiar la contraseña en el próximo inicio de sesión
• El usuario no puede cambiar la contraseña
• La contraseña nunca expira
• La cuenta está deshabilitada
  Haga clic en Siguiente.

5. Asegúrese de que todo lo que ha introducido es correcto y luego haga clic en Finish.

Habilitar y deshabilitar cuentas de usuario

Puede deshabilitar o habilitar fácilmente una cuenta de usuario utilizando el menú contextual en ADUC.

Para habilitar una cuenta de usuario:

• Haga clic derecho en un usuario deshabilitado y haga clic en Habilitar cuenta.

Para deshabilitar una cuenta de usuario:

• Haga clic derecho en el objeto de usuario que desea deshabilitar y haga clic en Deshabilitar cuenta.

Crear un objeto de grupo

Siga estos pasos para crear un grupo utilizando ADUC:

1. Haga clic derecho en el dominio o la OU bajo la cual desea crear el nuevo grupo.
2. Especifique lo siguiente:

• Un nombre y un nombre pre-Windows 2000 para el grupo
• El tipo de grupo: distribución o seguridad
• El ámbito del grupo: local de dominio, global o universal

3. Haga clic en OK para crear el grupo.

Añadir un usuario a un grupo

1. Haga clic derecho en el dominio en el que desea agregar un usuario a un grupo y luego seleccione Find.
2. Seleccione Users, Contacts, and Groups en la lista desplegable de Find.
3. Introduzca el nombre del grupo al que desea agregar al usuario, haga clic en Find Now, seleccione el grupo deseado en los resultados de búsqueda y haga clic en OK.

4. Vaya a Action > Properties y haga clic en la pestaña Members. Haga clic en Añadir.

5. Escriba el nombre del usuario que desea agregar y haga clic en Comprobar Nombres. (Alternativamente, puede usar el botón Avanzado para buscar a los usuarios uno por uno. Si especifica varios usuarios, separe sus nombres utilizando punto y coma.) Luego haga clic en OK para confirmar la adición.

Eliminar un usuario de un grupo

1. Haga clic derecho en el dominio del que desea eliminar al usuario y seleccione Find.
2. Seleccione Users, Contacts, and Groups en la lista desplegable de Find.
3. Introduzca el nombre del grupo del que desea eliminar al usuario y haga clic en Find Now.
4. Haga clic derecho en el grupo deseado y seleccione Properties.
5. Vaya a la pestaña Members y seleccione al usuario, luego haga clic en Remove.

Restablecer la contraseña de un usuario

1. Navegue hasta la carpeta Users del dominio del usuario.
2. Haga clic derecho en el nombre del usuario, elija All Tasks y seleccione Reset Password.

3. Escriba una nueva contraseña, vuelva a escribirla en el campo Confirm password y luego haga clic en OK.

Mover un usuario a otra OU

1. Haga clic derecho en Active Directory Users and Computers y seleccione Connect to Domain.
2. Introduzca el nombre del dominio del usuario y haga clic en OK.
3. Haga clic derecho en el usuario y seleccione Move.
4. Elija el contenedor al que desea mover el usuario y luego haga clic en OK.

Cambiar los datos de un usuario

1. Haga clic derecho en Active Directory Users and Computers y seleccione Conectar al Dominio.
2. Introduzca el nombre del dominio del usuario y haga clic en OK.
3. Haga clic derecho en el usuario y seleccione Properties.
4. Navegue hasta la pestaña que contiene los datos que desea cambiar, realice sus ediciones y haga clic en OK.

Cambie el tipo y alcance de un grupo

Para cambiar el tipo o alcance de un grupo, siga estos pasos:

1. Haga clic derecho en el grupo deseado y seleccione Properties.

En la pestaña General, especifique el nuevo tipo de grupo y/o alcance. Luego haga clic en OK.

Encuentra objetos en el directorio

ADUC ofrece una potente búsqueda para encontrar objetos en todo el directorio. Puede encontrar usuarios, contactos, grupos y OUs utilizando el cuadro de diálogo Buscar:

1. Haga clic derecho en el dominio o en una OU y haga clic en Find.

2. En el cuadro de diálogo Buscar, especifique lo siguiente:

• En el Find desplegable, seleccione Usuarios, Contactos y Grupos.
• Utilizando el In menú desplegable, seleccione dónde buscar: ya sea un dominio o todo el directorio.
• Para acotar su búsqueda, utilice el botón de Browse para seleccionar una OU específica.
• En el campo Nombre escriba el primer nombre o el nombre completo del usuario o el nombre del grupo que desea encontrar.
  Haga clic en Buscar ahora.

3. Revise los resultados de la búsqueda. Puede hacer doble clic en un objeto para ver sus propiedades.

Delegar control a los usuarios

Mediante el asistente de delegación de Active Directory, puede habilitar a un usuario o grupo para realizar tareas específicas, como crear objetos de usuario o administrar controladores de dominio específicos.

Siga los siguientes pasos para delegar permisos a un usuario específico:

1. Haga clic derecho en el dominio o la OU donde desea asignar permisos a un objeto. Haga clic en Delegate Control para iniciar el asistente de Delegación de Control.

2. La página de bienvenida describe lo que puede hacer con este asistente. Haga clic en Siguiente.

3. En la siguiente página, haga clic en Add para buscar el objeto de usuario o grupo al que desea aplicar permisos.

4. Escriba el nombre del usuario o grupo al que desea delegar y haga clic en Check Names. De la lista de objetos coincidentes, seleccione el usuario deseado y haga clic en OK.

5. Ahora verá el objeto en el campo de Selected users and groups. Haga clic en Next.

7. Seleccione el alcance de la delegación:

• Elegir Esta carpeta, los objetos existentes en esta carpeta y la creación de nuevos objetos en esta carpeta otorgará todos los permisos al objeto en la carpeta o unidad organizativa seleccionada.
• Seleccionar Solo los siguientes objetos en la carpeta le permite delegar permisos solo a los objetos en la carpeta que especifique.
  Haga clic en Siguiente.

8. Seleccione los permisos que desea delegar y haga clic en Siguiente.

9. Revise sus cambios y haga clic en Finish.

Cree y guarde consultas

Puede construir consultas LDAP complejas utilizando la función de Consultas Guardadas en la consola ADUC. Puede guardar estas consultas y utilizarlas para:

• Encuentre rápidamente objetos de AD.
• Complete rápidamente actividades rutinarias de gestión de objetos de AD, como seleccionar a todos los empleados de una empresa con buzones en un servidor Exchange específico o mostrar una lista de todas las cuentas deshabilitadas en un dominio.
• Realice actividades con objetos de diferentes OUs de Active Directory.
• Realice actividades masivas de bloqueo/desbloqueo, habilitación/deshabilitación, traslado, eliminación y cambio de nombre.
• Omita la jerarquía de OU de Active Directory y reúna todos los objetos requeridos en una vista de tabla plana.

Siga los siguientes pasos para crear una consulta para una operación:

1. Haga clic derecho en el dominio o la OU donde desea realizar la operación de búsqueda y seleccione Nuevo -> Consulta.

2. Proporcione un nombre y una descripción para la consulta. (Si desea seleccionar una OU diferente, haga clic en Browse.) Luego abra otro cuadro de diálogo para definir la consulta haciendo clic en Define Query.

3. Utilice el menú desplegable Find para seleccionar una consulta común, como:

• Usuarios, Contactos y Grupos
• Computadoras
• Impresoras
• Carpetas compartidas
• Unidades Organizativas
• Búsqueda personalizada
• Consultas comunes

4. Utilice la pestaña de Users, Computers o Groups para definir su consulta. Bajo la pestaña de Users, por ejemplo, obtiene opciones para limitar su consulta por:

• Cuentas deshabilitadas
• Contraseñas que no expiran
• Días desde el último inicio de sesión del usuario en el dominio
  Haga clic en OK para crear su consulta.

Realice otras acciones utilizando el menú contextual

El menú contextual en ADUC aparece cuando haces clic en un objeto o clic en el panel central en un espacio vacío. Este menú muestra los comandos y opciones comunes para el tipo de objeto que seleccionaste. Aquí hay ejemplos del menú contextual para diferentes tipos de objetos:

Dominio

OU

Usuario

Grupo

Computadora

Contacto

Cómo Netwrix puede ayudar

Aunque ADUC puede ser una herramienta valiosa para los administradores, puede ser difícil para los técnicos de helpdesk y los usuarios de negocio acceder a ella, y mucho menos utilizarla. Netwrix Directory Manager te permite crear fácilmente portales basados en la web que facilitan la realización de tareas como la creación y edición de grupos y usuarios, sin ninguna asistencia de un administrador.

Puede controlar lo que cada usuario puede ver y cambiar según su rol. Para asegurar la integridad de los datos, puede definir flujos de trabajo para verificar la información proporcionada antes de que se apliquen los cambios.

Los administradores usan la consola para más que esas tres tareas. Su rango completo abarca:

Active Directory Users and Computers (ADUC) es el complemento de Microsoft Management Console (MMC) que se utiliza en la mayoría de las tareas diarias del directorio: restablecer contraseñas, crear y eliminar usuarios y grupos, y delegar el control de objetos del directorio.

• Restablecer contraseñas y desbloquear cuentas.
• Crear, modificar y eliminar usuarios, grupos y objetos de computadora.

Las instrucciones para instalarlo en una estación de trabajo quedaron obsoletas cuando Microsoft cambió la forma en que distribuye Remote Server Administration Tools (RSAT), por lo que una estación configurada con la guía del año pasado a menudo termina sin la consola.

• Agregar y eliminar miembros del grupo de seguridad.
• Crear y eliminar unidades organizativas (OUs).
• Delegue el control de los objetos del directorio.
• Configure opciones de seguridad y auditoría en objetos individuales.

El cuadro de diálogo Operations Masters en ADUC también transfiere tres de los cinco roles Flexible Single Master Operations (FSMO) entre controladores de dominio, a saber, el Relative ID (RID) Master, el emulador del controlador de dominio principal (PDC) y el Infrastructure Master.

Qué incluye Remote Server Administration Tools

Las transferencias de Schema Master y Domain Naming Master ocurren en otro lugar, a través del complemento Active Directory Schema y Active Directory Domains and Trusts. El archivo de consola es dsa.msc, y se incluye dentro de las herramientas RSAT Active Directory Domain Services y Lightweight Directory Services.

Buscar un instalador separado de ADUC no arroja resultados de Microsoft. Los controladores de dominio ya tienen la consola. En cualquier otra máquina, añádelo usando el método que corresponda a tu versión de Windows.

RSAT se instala solo en las ediciones Pro, Enterprise, Education y Pro for Workstations de Windows. Windows 11 Home y Windows 10 Home no lo soportan.

El paquete cubre más de una consola:

• Active Directory Users and Computers (ADUC): Crea y administra objetos de directorio; la mayoría de los administradores usan esta consola a diario.

RSAT permite a los administradores ejecutar complementos y herramientas que gestionan roles, servicios de roles y características en un servidor remoto. Se incluye con el sistema operativo desde Windows Server 2008 R2. A partir de Windows 10 versión 1809, Microsoft lo ofrece en clientes Windows como un conjunto de Features on Demand en lugar de un paquete descargable.

Instalación de ADUC en comparación con la instalación de Active Directory

• Active Directory Sites and Services: Gestiona la topología del sitio, subredes y replicación.
• Active Directory Service Interfaces (ADSI) Edit: Edita objetos y atributos directamente, incluidos atributos que otras consolas no muestran.
• Módulo de Active Directory para Windows PowerShell: Proporciona los cmdlets para la administración de directorios mediante scripts.
• Active Directory Administrative Center (ADAC): Administra la Papelera de reciclaje de AD y las políticas de contraseña, y muestra un historial en tiempo real del PowerShell detrás de cada acción.
• Active Directory Domains and Trusts: Administra los niveles funcionales de dominio y bosque, los nombres principales de usuario (UPN) y las relaciones de confianza entre dominios y bosques.

Una máquina con ADUC instalado sigue siendo una máquina miembro. No tiene copia de la base de datos del directorio y aún necesita acceder a un directorio existente.

Cómo comprobar primero la edición y versión de Windows

Instalar ADUC añade una consola de administración a una estación de trabajo o servidor miembro. Implementar Active Directory Domain Services crea un bosque, un dominio y un controlador de dominio. Los administradores llegan a la guía incorrecta porque ambas tareas comparten vocabulario.

RSAT requiere Pro, Enterprise, Education o Pro for Workstations. Una máquina que reporta Home no tiene una ruta compatible hacia la consola. Las versiones desde Windows 10 versión 1809 en adelante usan el método Features on Demand, y las versiones anteriores necesitan el paquete independiente retirado.

Para configurar un nuevo dominio, consulte esta guía para desplegar y configurar un controlador de dominio. Para entender cómo se organiza el directorio, consulte esta introducción a Active Directory basics.

Cómo instalar ADUC en Windows 11

Verifique ambos antes de comenzar, ya que la edición y la versión determinan qué método de instalación funciona. Haga clic en Inicio > Configuración > Sistema > Acerca de, o haga clic derecho en el menú Inicio y seleccione System.

Instale ADUC desde Configuración

1. Abra Configuración > Sistema > Funciones opcionales.

Revisa el panel de funciones opcionales; esta es la ruta más corta en una máquina que configuras manualmente.

Windows 11 ofrece ADUC como una función bajo demanda. No hay descarga que buscar ni paquete que extraer. Confirma que la edición sea Pro, Enterprise, Education o Pro for Workstations, inicia sesión con derechos de administrador local y luego usa uno de los métodos a continuación.

1. Escriba RSAT en el cuadro de búsqueda.
2. Junto a Agregar una función opcional, haga clic en Ver funciones.
3. Seleccione RSAT: Active Directory Domain Services y Lightweight Directory Services Tools.

Ejecutar optionalfeatures.exe desde el cuadro Ejecutar abre el panel antiguo de Windows Features, una ruta más rápida si ya sabes cómo usarlo.

1. Haga clic en Siguiente y luego en Agregar.

Instalar ADUC con PowerShell

Confirme el resultado con:

El nombre de la capacidad usa cuatro caracteres tilde consecutivos, que son fáciles de alterar al copiar. Revísalos primero si el comando indica una capacidad no reconocida.

El comando capability funciona en todas las versiones compatibles y es adecuado para instalaciones automatizadas o repetidas. Abra PowerShell como administrador y ejecute:

Deployment Image Servicing and Management (DISM) instala esa capacidad desde un símbolo del sistema elevado, lo que es adecuado para compilaciones e imágenes automatizadas:

Los dispositivos Arm64 son la excepción

Installed significa que las herramientas están presentes. NotPresent significa que Windows reconoce la capacidad y aún no la ha instalado. La instalación suele indicar RestartNeeded: False, por lo que normalmente no se requiere reiniciar.

La sintaxis antigua dism /online /enable-feature /featurename: RSATClient-Roles-AD-DS-SnapInExpand pertenece al paquete independiente RSAT que Microsoft retiró después de la versión 1803 de Windows 10. No funciona en Windows 11 ni en las versiones actuales de Windows 10.

Cómo instalar ADUC en Windows 10

El hardware ARM sigue una ruta diferente, y los comandos anteriores no son el punto de partida allí. Microsoft agregó soporte Arm64 RSAT a Windows 11 versiones 24H2 y 25H2 en la actualización de vista previa no relacionada con seguridad de febrero de 2026 y la trasladó al canal de servicio estable con la actualización acumulativa de marzo de 2026.

En Windows 10, Configuración está en Aplicaciones en lugar de en Sistema.

Windows 10 versión 1809 y posteriores: use el método Features on Demand descrito arriba. Windows 10 alcanzó fin de soporte el 14 de octubre de 2025, por lo que trate esta sección como una guía para los sistemas que aún lo usan.

2. Seleccione Funciones opcionales, luego haga clic en Agregar una función.

En Arm64, ambas versiones ofrecen las herramientas AD DS y AD LDS como componentes opcionales en lugar de Features on Demand, por lo que la entrada se encuentra en Panel de control > Programas > Programas y características > Activar o desactivar las características de Windows. La versión 26H1 las integra como Features on Demand y las lista en Configuración, igualando el comportamiento de x64. En un dispositivo ARM que aún ejecuta 24H2 o 25H2, esa división es la razón por la que la entrada falta en Configuración en una máquina que cumple con los requisitos previos.

1. Abra Configuración > Aplicaciones.

4. Abra el menú Inicio y busque la consola en Windows Administrative Tools, la carpeta que Windows 10 usa en lugar de Windows Tools.

3. Busque RSAT, seleccione RSAT: Active Directory Domain Services and Lightweight Directory Services Tools y haga clic en Instalar.

Cómo instalar ADUC en un servidor miembro de Windows

Los comandos Add-WindowsCapability y DISM mencionados funcionan de la misma manera en cualquier versión desde la 1809 en adelante.

Server Manager gestiona esto en Windows Server, y el asistente a continuación se aplica a Windows Server 2012 R2 hasta Windows Server 2022 y Windows Server 2025.

2. Haga clic en Add roles and features para abrir el asistente.

1. Inicie Server Manager desde el icono de la barra de tareas o haga clic en Inicio y escriba Server Manager en el cuadro de búsqueda.

4. Elija un servidor del grupo de servidores o un disco duro virtual, luego haga clic en Next.

5. Haga clic en Next en la página Server Roles.

3. Haga clic en Next después de la página de requisitos previos, luego seleccione Role-based or feature-based installation.

8. Observe la página de progreso o ciérrela mientras la instalación continúa en segundo plano.

6. Seleccione Remote Server Administration Tools, AD DS and AD LDS Tools; esto selecciona automáticamente las otras consolas de administración de Active Directory. Haga clic en Siguiente.

7. Revise el resumen, seleccione la casilla Restart the destination server automatically if required y haga clic en Instalar.

PowerShell instala esas herramientas en una línea desde una sesión elevada:

Cómo instalar ADUC en versiones antiguas de Windows

9. Abra Server Manager y haga clic en el menú Tools para ver las consolas instaladas.

Para instalar solo el módulo de Active Directory para PowerShell sin las consolas, use Install-WindowsFeature RSAT-AD-PowerShell. Los controladores de dominio ya tienen ADUC, por lo que ninguno de estos pasos aplica allí.

En Windows 8, Windows 10 versión 1803 y anteriores, RSAT es una descarga separada en lugar de una función integrada. Esta es una de las dos únicas situaciones que requieren una descarga real; la otra es la instalación sin conexión desde el ISO de Features on Demand.

Cómo abrir ADUC una vez instalado

Windows 7 usa ese diálogo después de que se instala el paquete.

1. Instale el paquete RSAT para esa versión de Windows, luego haga clic en Inicio > Panel de control > Programas > Activar o desactivar las características de Windows.

Tres rutas abren la consola, y el cuadro Ejecutar es el más rápido desde cualquier teclado.

2. Expanda Role Administration Tools > AD DS and AD LDS Tools, marque AD DS Tools y reinicie.

Solución de problemas de instalación y conexión de ADUC

Si la consola se abre pero no muestra ningún directorio, o la instalación nunca se completó, la sección siguiente cubre ambos casos.

• Menú Inicio: Windows 11 lista ADUC bajo Windows Tools, que reemplazó la antigua carpeta Windows Administrative Tools. Windows 10 aún usa el nombre antiguo de la carpeta.

La instalación de RSAT falla con el error 0x800f0954

• Server Manager: En Windows Server, abra Server Manager y seleccione Active Directory Users and Computers en el menú Tools.

1. Haga clic derecho en el botón Inicio, seleccione Ejecutar, escriba gpedit.msc y haga clic en Aceptar.

Las fallas de instalación y conexión tienen causas diferentes, por lo que las secciones a continuación siguen ese orden. Las primeras tres cubren una instalación que no se completa o una consola que nunca aparece, y las dos últimas cubren una consola que se abre pero no accede a un directorio. Trabaja con los síntomas que coincidan con lo que ves.

Este error significa que Windows no pudo acceder al paquete Features on Demand, generalmente porque la política dirige la máquina a un servicio de actualización interno. Primero confirme que tiene la versión correcta de RSAT para el sistema operativo y luego cambie la política:

• Diálogo Ejecutar: Presione Win+R, escriba dsa.msc, y presione Enter. Esta es también la forma más rápida de confirmar que la instalación fue exitosa.

En dispositivos gestionados y redes aisladas donde no se permite ese cambio de política, instale desde una fuente local. Descargue el ISO de Languages and Optional Features que coincida con la versión exacta de Windows en el equipo destino, móntelo y ejecute:

1. En el Editor de Group Policy, navegue a Configuración del equipo > Plantillas administrativas > Sistema.
2. Haga clic derecho en Especifique la configuración para la instalación de componentes opcionales y la reparación de componentes policy, configúrelo en Enabled y marque la casilla para obtener contenido de reparación y funciones opcionales directamente desde Windows Update en lugar de un servicio de actualización interno.
3. Haga clic en Apply, luego haga clic en OK.

El interruptor -LimitAccess impide que Windows se conecte a Windows Update. La fuente debe coincidir con la versión instalada, la arquitectura y el idioma. Un ISO no coincidente es la falla más común aquí, una vez que se descartan las políticas y el acceso a la red.

1. Haz clic derecho en el botón Start, selecciona Run, escribe gpupdate /force y haz clic en OK.

Este error suele deberse a la instalación desde una ubicación poco común. Copie los archivos de instalación al disco local de la máquina destino y ejecute la instalación nuevamente. Un archivo de instalación corrupto o una incompatibilidad del sistema operativo producen el mismo resultado, así que verifique ambos si la copia local también falla.

Falta ADUC después de que RSAT se instala correctamente

ADUC se abre pero no puede conectarse al dominio

La instalación de RSAT falla con el error 0x80070003

Verifique el estado real de la capacidad antes de asumir que la instalación falló, usando la consulta Get-WindowsCapability de la sección de PowerShell arriba. Si el estado indica Installed, las herramientas están presentes y la consola simplemente no está donde suele listarse. Confirme el archivo en C:\Windows\System32\dsa.msc, o ejecute dsa.msc desde el cuadro Ejecutar. ADUC y el Active Directory Administrative Center son entradas separadas en algunas versiones, por lo que uno puede estar presente sin el otro.

Acceder a un directorio depende de condiciones que la instalación nunca modifica. Verifíquelas en este orden:

1. Alcance del controlador de dominio. Al menos un controlador está en línea y responde.
2. Sistema de Nombres de Dominio (DNS). El DNS de la máquina apunta a un controlador de dominio en lugar de a un resolvedor público. Esta es la causa más común.
3. Cortafuegos. El tráfico de Lightweight Directory Access Protocol (LDAP) y Kerberos hacia el controlador no está bloqueado.
4. Membresía de dominio. La máquina está unida al dominio o conectada por VPN si estás remoto.
5. Permisos. Su cuenta tiene derechos de lectura sobre la OU que está navegando.

Usar ADUC desde un equipo que no está unido al dominio

Una máquina que no pertenece al dominio puede ejecutar la consola siempre que proporcione credenciales de dominio al iniciar:

Cómo navegar por la consola ADUC

El interruptor /netonly aplica esas credenciales al acceso de red mientras deja la sesión local intacta. La máquina aún necesita resolver el DNS del dominio y alcanzar un controlador de dominio, así que configure el DNS para que apunte al controlador o conéctese primero a través de VPN. Windows no puede validar la contraseña localmente con /netonly, por lo que un error tipográfico se manifiesta como un fallo de conexión en lugar de un aviso.

Componentes de consola

ADUC se conecta al Active Directory domain de la sesión iniciada por defecto. Para seleccionar otro dominio, haga clic derecho en la raíz de Active Directory Users and Computers y elija Change Domain.

La interfaz se divide en estas áreas:

El diseño se mantiene igual en todas las versiones de Windows, aunque una configuración del menú Vista cambia cuánto del directorio aparece.

• Barra de menú: Contiene los menús Archivo, Acción, Vista y Ayuda.
• Barra de herramientas: Contiene botones para acciones rápidas, como crear un usuario o grupo y mostrar u ocultar los otros paneles.
• Panel Directory (console tree): Muestra la jerarquía del dominio conectado, incluidos sus contenedores y OUs.

Mostrar contenedores del sistema y el editor de atributos

• Panel de acciones: Muestra detalles del objeto seleccionado y ofrece una opción Más acciones.
• Panel de objetos: Muestra objetos y sus atributos, con columnas configurables desde el menú Ver.

Por defecto, ADUC oculta varios contenedores y pestañas de propiedades de objetos. Abra el menú Ver y haga clic en Funciones avanzadas para mostrarlos.

Cómo usar Active Directory Users and Computers

Crear una unidad organizativa

2. Escriba un nombre en el campo Nombre, especifique si desea proteger la OU contra eliminación accidental y haga clic en Aceptar.

1. Haga clic derecho en el dominio o en la OU que contendrá la nueva OU, luego haga clic en Nuevo > Unidad Organizativa.

Las tareas a continuación asumen que la consola está conectada a un dominio y que la cuenta iniciada tiene los derechos necesarios para cada acción. Cuando no es así, la opción del menú permanece visible y la operación falla al confirmar el cambio.

Agregar una cuenta de usuario

Para trabajos masivos con OU, consulte esta guía sobre cómo administrar OUs con PowerShell.

La pestaña Attribute Editor y los contenedores del sistema del directorio aparecen una vez que activas esta configuración. La comparación a continuación muestra las pestañas de propiedades disponibles en la vista predeterminada a la izquierda y en la vista ampliada a la derecha.

5. Revise el resumen y haga clic en Finalizar.

3. Escriba el nombre, apellido y nombre de inicio de sesión del usuario, luego haga clic en Siguiente.

1. Haga clic derecho en el contenedor objetivo, generalmente Users, seleccione Nuevo y haga clic en User.

Para más de unas pocas cuentas, consulte esta guía para la creación masiva de usuarios en Active Directory.

4. Escriba y confirme una contraseña, luego establezca una de las cuatro opciones de contraseña en el diálogo. Esas opciones obligan a cambiarla en el próximo inicio de sesión, bloquean al usuario para que no la cambie, la eximen de la expiración o dejan la cuenta deshabilitada. Haga clic en Siguiente.

Habilitar y deshabilitar cuentas de usuario

Haga clic derecho en un usuario activo y seleccione Deshabilitar cuenta para revocarla.

Crear un objeto de grupo

El menú contextual maneja ambas direcciones, así que haz clic derecho en un usuario deshabilitado y selecciona Habilitar cuenta para restaurar el acceso.

1. Seleccione el dominio al que pertenece el usuario y expanda su contenido.

Para la limpieza rutinaria, consulte esta guía para deshabilitar cuentas de usuario inactivas con PowerShell.

1. Haga clic derecho en el dominio o la OU que contendrá el nuevo grupo, luego haga clic en Nuevo > Grupo.

3. Haga clic en Aceptar para crear el grupo.

El tipo y el alcance del grupo se establecen al crearlo, y cambiar el alcance después puede fallar según las membresías ya existentes.

1. Especifique un nombre y un nombre pre-Windows 2000, el tipo de grupo (distribución o seguridad) y el ámbito del grupo (local de dominio, global o universal).

Restablecer la contraseña de un usuario

4. Para eliminar un miembro, resalte al usuario en la pestaña Miembros y haga clic en Eliminar.

2. Haga clic derecho en el grupo en los resultados, seleccione Propiedades y abra la pestaña Miembros.

1. Haga clic derecho en el dominio que contiene el grupo y seleccione Buscar. Seleccione Users, Contacts y Groups en la lista desplegable Buscar, ingrese el nombre del grupo y haga clic en Buscar ahora.
2. Vaya a la carpeta de dominio del usuario.

3. Para agregar un miembro, haga clic en Agregar, escriba el nombre del usuario y haga clic en Comprobar nombres, luego haga clic en Aceptar para confirmar la adición. Los puntos y coma separan varios nombres escritos directamente, y una opción de búsqueda ampliada en el mismo diálogo busca usuarios uno a la vez.

Agregar y eliminar usuarios de un grupo

3. Escriba una nueva contraseña, escríbala nuevamente en el cuadro Confirmar contraseña y haga clic en Aceptar.

1. Haga clic derecho en el nombre del usuario, seleccione Todas las tareas y elija Restablecer contraseña.

Mover un usuario a otra unidad organizativa

1. Haga clic derecho en el usuario y seleccione Mover.

Mover un objeto cambia los permisos delegados y las políticas de grupo que se aplican según las OU, así que confirma el destino antes de confirmar la acción.

1. Haga clic derecho en el usuario y seleccione Propiedades.
2. Navegue a la pestaña que contiene el atributo que desea cambiar, realice la edición y haga clic en Aceptar.
3. Elija el contenedor de destino y haga clic en Aceptar.

Cambiar los atributos de un usuario

Cambiar el tipo y alcance de un grupo

Ambas configuraciones están en la pestaña General, y Windows desactiva las conversiones que las membresías actuales no permiten.

Buscar objetos en el directorio

1. Haga clic derecho en el grupo y seleccione Propiedades.

El cuadro de diálogo Buscar busca en un solo dominio o en todo el directorio usuarios, contactos, grupos y OUs.

2. En la pestaña General, especifique el nuevo tipo o ámbito de grupo y luego haga clic en Aceptar.

1. Haga clic derecho en un dominio o OU y seleccione Buscar.

Delegar control a los usuarios

El asistente de Delegación de Control permite a un usuario o grupo realizar tareas específicas, como crear objetos de usuario o administrar controladores de dominio particulares, sin ser miembro de un grupo administrativo más amplio.

2. Configure el menú desplegable Buscar en el tipo de objeto, use el menú desplegable En para elegir un dominio o todo el directorio, y use Examinar para limitar la búsqueda a una OU específica. Escriba el nombre o apellido del usuario, o el nombre del grupo, en el campo Nombre, luego haga clic en Buscar ahora.

1. Haga clic en Siguiente después de la página de bienvenida, luego haga clic en Agregar para buscar al usuario o grupo que recibirá los permisos.

3. Escriba el nombre del usuario o grupo, luego haga clic en Comprobar nombres. Seleccione el objeto de la lista de coincidencias, haga clic en Aceptar, confirme que aparece en el campo Usuarios y grupos seleccionados, y haga clic en Siguiente.

1. Haga clic derecho en el dominio o la OU donde se aplican los permisos, luego haga clic en Delegate Control para iniciar el asistente.

3. Revise los resultados. Haga doble clic en un objeto para abrir sus propiedades.

Crear y guardar consultas

5. Seleccione los permisos a delegar y haga clic en Siguiente, luego revise el resumen y haga clic en Finalizar.

4. Seleccione el alcance. Esta carpeta, los objetos existentes en ella y los nuevos objetos creados en esta carpeta otorgan permisos en la OU seleccionada. Solo los siguientes objetos en la carpeta los restringen a los tipos de objetos que especifique. Haga clic en Siguiente.

1. Haga clic derecho en el dominio u OU que desea buscar y seleccione Nuevo > Consulta.

El asistente escribe permisos en la OU sin mostrar lo que ya se ha delegado en otra parte del directorio. Audite el estado existente antes de agregar más. Vea esta guía sobre detectar permisos delegados en Active Directory.

Las consultas guardadas contienen filtros LDAP que persisten entre sesiones y son adecuadas para trabajos que abarcan OUs. Los administradores las usan para extraer objetos de diferentes partes de la jerarquía en una lista plana para operaciones masivas de bloqueo, habilitación, movimiento y cambio de nombre, o para mantener búsquedas recurrentes como todas las cuentas deshabilitadas en un dominio.

2. Proporcione un nombre y una descripción. El botón Examinar cambia la OU que cubre la consulta, y Definir consulta abre el diálogo para el filtro.

3. Use el menú desplegable Find para seleccionar un tipo de consulta, como usuarios, contactos y grupos; computadoras; impresoras; carpetas compartidas; unidades organizativas; una consulta común; o una búsqueda personalizada.

Cómo ADUC se compara con el Active Directory Administrative Center y PowerShell

4. Use la pestaña Users, Computers o Groups para configurar el filtro. La pestaña Users filtra cuentas deshabilitadas, contraseñas que no expiran y días desde el último inicio de sesión en el dominio. Haga clic en OK para crear la consulta.

RSAT instala ADUC, el Active Directory Administrative Center y el módulo de PowerShell para un directorio, y la elección entre ellos depende de cuántos objetos estés gestionando.

Cómo Netwrix ayuda con la gestión delegada de directory management

ADUC sigue siendo la forma más rápida de gestionar un usuario o un grupo, por eso permanece abierto en la mayoría de los escritorios de administradores. Todo lo que afecte a más de unos pocos objetos debe hacerse en PowerShell, donde puedes revisar un script antes de ejecutarlo.

Registre lo que delega ADUC

ADUC asume que la persona en el teclado es un administrador capacitado con derechos en todo el directorio. Esa suposición es lo que hace que la delegación sea incómoda. Entregar los restablecimientos de contraseña del helpdesk para una OU significa ejecutar el asistente de Delegación de Control, que escribe permisos en la OU sin registrar quién pidió o por qué. Negarse a delegar es cómo los restablecimientos rutinarios se acumulan detrás de un puñado de administradores.

Netwrix Directory Manager elimina las dos tareas de mayor volumen de ese proceso. Los usuarios finales restablecen sus propias contraseñas mediante autoservicio en lugar de abrir un ticket, y la membresía de grupos sigue reglas basadas en atributos en lugar de que un técnico edite manualmente la pestaña Miembros. Ambos cubren Active Directory y Microsoft Entra ID.

Netwrix Auditor proporciona el registro que la consola nunca escribe, capturando cambios en el directorio con valores antes y después en un historial buscable, que es cómo AppRiver mantiene bajo control los privilegios de acceso de los empleados en 250 usuarios y seis dominios.

Solicite una demostración para ver cómo Netwrix Directory Manager y Netwrix Auditor convierten la delegación de ADUC en un proceso gobernado y auditable.

Conseguir que la consola esté en una estación de trabajo ya es un problema resuelto, lo que traslada el trabajo real a etapas posteriores. Revise lo que el asistente de Delegación de Control ya ha concedido en sus OUs. Luego decida cuáles de esas concesiones deberían haber sido una solicitud en lugar de un permiso permanente. Los permisos de directorio se acumulan porque nada en ADUC los limita, por lo que la revisión debe venir de otro lugar.