Usuarios, equipos y unidades organizativas

Las unidades organizativas agrupan usuarios y equipos por área —operaciones, servidores, estaciones— para aplicarles políticas distintas y delegar su administración sin dar permisos de todo el dominio. Administrar bien es usar esa estructura: a los servidores, una política reforzada; a las estaciones de oficina, otra. En Salitre, el árbol del dominio reparte los objetos en OU, y leerlo dice qué reglas recibe cada máquina.

Una OU no es una carpeta decorativa: es el molde por el que entran las políticas y la delegación. Dónde cuelga un objeto decide qué le llega.

Si un equipo queda colgando en la raíz del dominio, fuera de toda OU, no le llega la política del área ni su delegación. Parece un detalle de orden, pero es un hueco de seguridad: ese equipo no recibe el refuerzo que sí tienen sus compañeros, y nadie lo administra como al resto. En Salitre, un equipo quedó justo así. El trabajo de administración es moverlo a su OU para que reciba las mismas reglas.

Lo que está fuera de la estructura está fuera de las reglas. Un objeto sin OU es un objeto sin política, aunque exista y funcione.

Leer el árbol no es solo ordenar: es ver dónde está el riesgo. Un equipo sin política, una cuenta en la OU equivocada que hereda permisos que no le tocan, una delegación demasiado amplia. Para quien ataca, la estructura dice dónde hay un objeto desprotegido por donde empezar; para quien administra, dice qué mover para cerrarlo. En Salitre, el equipo fuera de OU es el candidato obvio a revisar primero.

Entender la estructura es el mapa que usan los dos oficios: uno busca el hueco, el otro lo tapa. Y los dos lo leen en el mismo árbol.

El objeto fuera de sitio no se deduce: se ve recorriendo el árbol. Abre el laboratorio, revisa la estructura del dominio de Salitre y baja hasta el código de sala al pie.