Permisos necesarios

Agregar o quitar un grupo de imágenes

Control total sobre C:RemoteInstall\Images\grupoDeImágenes.

Agregar o quitar una imagen

Control total sobre C:RemoteInstall\Images\grupoDeImágenes.

Deshabilitar imágenes

Permiso para leer y escribir los atributos del archivo de imagen asociado. Si se deshabilita la imagen, se ocultará el archivo de imagen de Windows (.wim) asociado con la imagen.

Agregar una imagen de arranque

Acceso de lectura y escritura a:

• C:RemoteInstall\Boot
  
  
• C:RemoteInstall\Admin (esta carpeta sólo se encuentra presente cuando se realiza una actualización desde Windows Server 2003).
  
  
• %TEMP%
  
  

Quitar una imagen de arranque

Acceso de lectura y escritura a C:RemoteInstall\Boot.

Configurar las propiedades de una imagen

Permisos de lectura y escritura del archivo de metadatos .wim que representa la imagen. El archivo se encuentra ubicado dentro del grupo de imágenes en: C:RemoteInstall\Images\grupoDeImágenes.

Preconfigurar equipos

Permisos para crear cuentas en el dominio, así como para escribir en las propiedades de un objeto de equipo.

Aprobar equipos pendientes

Permisos de lectura y escritura para la carpeta que contiene el archivo de base de datos Binlsvcdb.mdb del recurso compartido RemoteInstall (por ejemplo, C:RemoteInstall\MGMT). La cuenta real de un equipo pendiente aprobado se crea con el testigo de autenticación del servidor y no con el del administrador que concede la aprobación. Por lo tanto, en AD DS, es necesario otorgar derechos a la cuenta del servidor de Servicios de implementación de Windows (WDSSERVER$) de creación de objetos de cuenta de equipo para los contenedores y unidades organizativas donde se crearán los equipos pendientes aprobados.

Preconfigurar un equipo para unirlo a un dominio

La cuenta de usuario debe contar con permisos para unirse al dominio. La configuración JoinRights determina el conjunto de privilegios de seguridad y la propiedad de usuario determina qué usuarios tendrán derecho a unirse al dominio.

La configuración JoinRights posee dos valores:

• Sólo unirse. Los usuarios con el tipo de derecho Sólo unirse no pueden unirse al dominio sin la ayuda del administrador (un administrador con los permisos adecuados sobre el objeto de cuenta de equipo debe restablecer la cuenta de equipo para que la instalación de cliente y el dominio puedan unirse).
  
  
• Completo. Los usuarios con el tipo de derecho Completo pueden restablecer la cuenta y unirse al dominio sin la ayuda del administrador.
  
  

En cuanto a la propiedad de usuario, pueden usarse dos modelos de administración.

• (recomendado) Puede asociar un usuario principal a la cuenta en el momento de la aprobación del equipo. Cuando se apruebe el equipo, la cuenta de equipo otorgará al usuario principal los siguientes derechos:
  
  
  • Lectura y escritura de todas las propiedades del objeto de equipo (JoinRights = JoinOnly o JoinRights = Full)
    
    
  • Restablecimiento y modificación de los derechos de contraseña sobre el objeto de equipo (JoinRights = Full)
    
    
• Puede especificar valores predeterminados de servidor para el usuario y la configuración JoinRights que sean aplicables a todos los clientes aprobados de una determinada arquitectura. Los valores predeterminados otorgan a los administradores de dominio el derecho de unión Completo. Si no se asigna un usuario principal a la cuenta de equipo en el momento de la aprobación, se aplicarán estos valores predeterminados.
  
  

  Nota
  Si va a crear cuentas de equipo respecto a un controlador de dominio que no está en inglés y va a usar la propiedad de usuario predeterminada, configure la opción de adición automática para que use otra cuenta que no contenga caracteres extendidos. Por ejemplo, XXXX. Para cambiar este valor, consulte la ayuda del símbolo del sistema para WDSUTIL /set-server /AutoAddSettings.

El usuario principal y las propiedades de JoinRights se establecen en el momento de creación de la cuenta de equipo. Por lo tanto, se necesitan los mismos derechos para crear objetos de equipo que para aprobar equipos pendientes. Para poder cambiar los valores predeterminados por servidor (por arquitectura), se necesitan permisos de lectura y escritura para las siguientes claves del Registro:

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\WDSPXE\Providers\BINLSVC\AutoApprove\<arquitectura>
  
  Nombre: JoinRights
  
  Tipo: DWORD
  
  Valor: 0 = JoinOnly; 1 = Full
  
  
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\WDSPXE\Providers\BINLSVC\AutoApprove\<arquitectura>
  
  Nombre: User
  
  Tipo: REG_SZ
  
  Valor: nombre del grupo o del usuario
  
  

Convertir imágenes RIPREP

• Permisos de lectura y escritura del directorio %TEMP% y la ubicación de destino
  
  
• Permisos de lectura de la imagen RIPREP original
  
  

Crear imágenes de captura o de detección

• Permiso de lectura y escritura para el directorio %TEMP% y la ubicación de destino
  
  
• Permisos de lectura de la imagen de arranque original
  
  

Crear transmisiones por multidifusión

• Control total sobre la siguiente clave del Registro: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\Multicast
  
  
• Permisos de lectura para RemoteInstall\Images\grupoDeImágenes.
  
  

Modificar transmisiones por multidifusión (por ejemplo, eliminar, desactivar, iniciar, detener, desconectar, etc.)

Control total sobre la siguiente clave del Registro: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\Multicast

Arranque PXE de equipos cliente

No se requiere ningún permiso para llevar a cabo un arranque PXE de un cliente ni existe ningún mecanismo para proteger el proceso de arranque desde la red. Si la seguridad es su principal preocupación, le recomendamos que use medios físicos (por ejemplo, que contengan una imagen de detección) para arrancar cada equipo.

Seleccionar una imagen de arranque

No se requiere ningún permiso para seleccionar imágenes de arranque ni existe ningún mecanismo para proteger las entradas que se muestran en la lista. El primer mecanismo de autenticación se produce cuando el cliente de Servicios de implementación de Windows se ejecuta en Windows PE.

Seleccionar una imagen de instalación

Las credenciales proporcionadas en la interfaz de usuario del cliente de Servicios de implementación de Windows deben ser las de una cuenta de dominio. Una vez autenticado un cliente en el servidor de Servicios de implementación de Windows, es necesario que el usuario autenticado pueda leer el archivo .wim de instalación y el archivo Res.rwm de la carpeta RemoteInstall. Los usuarios autenticados poseen, de forma predeterminada, permisos para leerlos.

Unirse a un dominio

La cuenta de usuario debe contar con permisos para unirse al dominio. La configuración JoinRights determina el conjunto de privilegios de seguridad y la propiedad de usuario determina qué usuarios tendrán derecho a unirse al dominio.

La configuración JoinRights posee dos valores:

• Sólo unirse. Los usuarios con el tipo de derecho Sólo unirse no pueden unirse al dominio sin la ayuda del administrador (un administrador con los permisos adecuados sobre el objeto de cuenta de equipo debe restablecer la cuenta de equipo para que la instalación de cliente y el dominio puedan unirse).
  
  
• Completo. Los usuarios con el tipo de derecho Completo pueden restablecer la cuenta y unirse al dominio sin la ayuda del administrador.
  
  

En cuanto a la propiedad de usuario, pueden usarse dos modelos de administración.

• (recomendado) Puede asociar un usuario principal a la cuenta en el momento de la aprobación del equipo. Cuando se apruebe el equipo, la cuenta de equipo otorgará al usuario principal los siguientes derechos:
  
  
  • Lectura y escritura de todas las propiedades del objeto de equipo (JoinRights = JoinOnly o JoinRights = Full)
    
    
  • Restablecimiento y modificación de los derechos de contraseña sobre el objeto de equipo (JoinRights = Full)
    
    
• Puede especificar valores predeterminados de servidor para el usuario y la configuración JoinRights que sean aplicables a todos los clientes aprobados de una determinada arquitectura. Los valores predeterminados otorgan a los administradores de dominio el derecho de unión Completo. Si no se asigna un usuario principal a la cuenta de equipo en el momento de la aprobación, se aplicarán estos valores predeterminados.
  
  

Si se trata de un equipo preconfigurado (es decir, si ya existe en AD DS una cuenta de equipo que representa al equipo cliente físico), es necesario que el usuario que va a realizar la instalación (o las credenciales del archivo de instalación desatendida para la unión a un dominio) cuente con los derechos de unión a un dominio (JoinDomain) adecuados (tal y como se ha descrito con anterioridad).

Si no es un equipo preconfigurado, lo cual significa que los Servicios de implementación de Windows crearán una cuenta de equipo en AD DS, es necesario que el usuario que va a realizar la instalación (o las credenciales según se especifica en el archivo de instalación desatendida para la unión a un dominio) tenga derecho a agregar equipos preconfigurados y cuente con los derechos de unión a un dominio (JoinRights) adecuados.

Uso de la funcionalidad ResetBootProgram

Si se habilita la funcionalidad ResetBootProgram, el usuario necesita contar con permisos de lectura y escritura para la propiedad netbootMachineFilePath del objeto de equipo preconfigurado. Si no se concede este permiso y el programa de arranque del usuario se establece en pxeboot.n12, Servicios de implementación de Windows no podrá restablecer el programa de arranque de red en pxeboot.com, lo cual forzará al ordenador a entrar en un bucle de reinicio infinito. Para obtener más información, consulte el tema que trata acerca de la Administrar programas de arranque de red (puede estar en inglés).

Deshabilitación del acceso al símbolo del sistema durante las instalaciones

De forma predeterminada, los usuarios pueden obtener acceso a un símbolo del sistema durante los procesos de instalación de Servicios de implementación de Windows del siguiente modo:

• Presionando Mayús+F10 cuando el programa de instalación se esté ejecutando en Windows PE.
  
  
• Presionando Mayús+F10 cuando el Asistente para capturar imágenes se esté ejecutando en Windows PE.
  
  
• Manteniendo presionada la tecla CTRL cuando esté arrancando el Entorno de preinstalación de Microsoft Windows (Windows PE).
  
  
• Presionando Mayús+F10 cuando la configuración rápida (OOBE) se esté ejecutando (OOBE es el asistente que normalmente se ejecuta después del programa de instalación).
  
  

  Importante
  Una ventana de símbolo del sistema abierta durante la configuración rápida estará en ejecución en el contexto de sistema. Si la ventana no se cierra al finalizar el programa de instalación, es posible que el usuario tenga acceso a ella y, por lo tanto, derechos de sistema, aunque no sea el administrador local del equipo cliente.

Puede deshabilitar esta funcionalidad si agrega un archivo DisableCmdRequest.tag a la imagen.

Configuración de respuesta PXE

• Directiva de respuestas PXE . La directiva de respuestas PXE se almacena en el protocolo de control simple (SCP) del servidor. Para configurar estas opciones se requieren permisos de lectura y escritura para el objeto.
  
  
  Para conceder permisos en relación con el objeto SCP:

  ---

  1. Abra Usuarios y equipos de Active Directory.

  2. Haga clic en Ver y, a continuación, en Características avanzadas (si no se encuentra habilitada).

  3. Haga clic con el botón secundario en la cuenta de equipo del servidor de Servicios de implementación de Windows y seleccione Propiedades.

  4. En la ficha Instalación remota, seleccione Configuración avanzada.

  5. En la ficha Seguridad, haga clic en Agregar.

  6. Elija un usuario y seleccione Control total sobre este objeto.

• Retraso en la respuesta PXE . El retraso en la respuesta PXE se almacena en el protocolo de control simple del servidor. Para configurar el retraso en la respuesta PXE de un servidor, es necesario poder leer y escribir en el siguiente objeto:
  
  HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WDSSERVER\Providers\WDSPXE\Providers\BINLSVC
  
  
  • Nombre: netbootAnswerRequests
    
    
  • Tipo: REG_SZ
    
    
  • Valor: False = no responder a ninguna solicitud del cliente; True = responder a las solicitudes del cliente
    
    

Servicios de directorio

• Directiva de nomenclatura de cliente . Esta configuración se almacena en el objeto SCP del servidor. La propiedad se denomina: netbootNewMachineNamingPolicy
  
  
• Ubicación de la cuenta del cliente . Esta configuración se almacena en el objeto SCP del servidor. La propiedad se denomina: netbootNewMachineOU
  
  

Arranque

Programa de arranque predeterminado

• Para todo el servidor: esta opción está controlada por la siguiente clave del Registro:
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\WDSPXE\Providers\BINLSVC\BootPrograms\<arquitectura>
  
  
  • Nombre: valor predeterminado
    
    
  • Tipo: REG_SZ
    
    
  • Valor: ruta al programa de arranque predeterminado de cliente para todo el servidor de esta arquitectura. Por ejemplo: boot\x86\pxeboot.com
    
    
• Por equipo: el atributo de cuenta de equipo es: netbootMachineFilePath
  
  

Imagen de arranque predeterminada

• Para todo el servidor: esta opción está controlada por la siguiente clave del Registro:
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\WDSPXE\Providers\BINLSVC\BootImages\<arquitectura>
  
  
  • Nombre: BootImagePath
    
    
  • Tipo: REG_SZ
    
    
  • Valor: ruta a la imagen de arranque predeterminada de cliente para todo el servidor de esta arquitectura. Por ejemplo: boot\x86\images\boot.wim
    
    
• Por equipo: el atributo de cuenta de equipo es: netbootMirrorDataFile
  
  

Cliente

Archivo de instalación desatendida

• Para todo el servidor: esta opción está controlada por la siguiente clave del Registro:
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\WdsImgSrv\Unattend\x86
  
  
  • Nombre: FilePath
    
    
  • Tipo: REG_SZ
    
    
  • Valor: ruta al archivo de instalación desatendida de cliente para todo el servidor relativa a la carpeta RemoteInstall. Por ejemplo: WdsClientUnattend\WdsUnattend.xml
    
    
• Por equipo: el atributo de cuenta de equipo es netbootMirrorDataFile
  
  

Creación de cuentas de cliente

• esta opción está controlada por la siguiente clave del Registro:
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\WDSPXE\Providers\BINLSVC
  
  
  • Nombre: NewMachineDomainJoin
    
    
  • Tipo: DWORD
    
    
  • Valor: 0 para impedir la unión al dominio por parte de los clientes; 1 para permitirla.
    
    

DHCP

• No escuchar en el puerto 67 . Esta opción está controlada por la siguiente clave del Registro:
  
  HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WDSSERVER\Providers\WDSPXE
  
  
  • Nombre: UseDhcpPorts
    
    
  • Tipo: DWORD
    
    
  • Valor: 0 habilitada; 1 deshabilitada
    
    
• Configure la opción 60 de DHCP como "PXEClient".Esto exige que el usuario pueda configurar el servidor DHCP de Microsoft que se está ejecutando en el equipo local.
  
  

Opciones avanzadas

• DC/GC usado por el servidor de Servicios de implementación de Windows (este servidor). Esta configuración se almacena en la siguiente ubicación del Registro:
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WDSServer\Providers\WDSPXE\Providers\BINLSVC
  
  Las claves de esta configuración son las siguientes:
  
  Controlador de dominio predeterminado
  
  
  • Nombre: DefaultServer
    
    
  • Tipo: REG_SZ
    
    
  • Valor: FQDN de controlador de dominio predeterminado
    
    
  Servidor de catálogo global predeterminado
  
  
  • Nombre: DefaultGCServer
    
    
  • Tipo: REG_SZ
    
    
  • Valor: FQDN de servidor de catálogo global predeterminado
    
    
• Autorización de DHCP. Se realiza con las API de DHCP; es preciso disponer de permisos para autorizar el servidor DHCP de Microsoft.