Alta de un usuario en Active Directory y sus grupos

Qué vas a conseguir

Una cuenta nueva en Active Directory lista para el primer día: en su unidad organizativa (OU), con los grupos que le dan acceso a carpetas y aplicaciones, y con la contraseña inicial que el usuario cambiará en su primer inicio de sesión.

Antes de empezar

• Una cuenta de administración delegada sobre la OU (no uses tu cuenta de usuario diario).
• El ticket con los datos: nombre, departamento, responsable y a quién tiene que parecerse (el "usuario modelo" del mismo equipo).
• Las herramientas RSAT instaladas: Usuarios y equipos de Active Directory y el módulo de PowerShell.

Si tu empresa tiene un proceso de alta automatizado (RRHH → identidad), esta guía te sirve para entender lo que hace por debajo y para corregir lo que el proceso no cubre.

1. Mira cómo está el usuario modelo

Antes de crear nada, copia la referencia. Así evitas inventarte grupos o OUs.

›Get-ADUser modelo.ventas -Properties MemberOf, Department, Title, Manager | Select-Object SamAccountName, DistinguishedName, Department, TitleSamAccountName    : modelo.ventasDistinguishedName : CN=Modelo Ventas,OU=Ventas,OU=Usuarios,DC=contoso,DC=localDepartment        : VentasTitle             : Account Manager›(Get-ADUser modelo.ventas -Properties MemberOf).MemberOf | ForEach-Object { ($_ -split ",")[0] -replace "CN=" }GG-VentasGG-Carpeta-Ventas-RWGG-App-CRM-UsuariosGG-VPN-Usuarios

Apunta la OU (OU=Ventas,OU=Usuarios) y la lista de grupos. Si el modelo tiene un grupo que parece de otra época (una app retirada, un proyecto cerrado), no lo copies: pregúntalo en el ticket.

2. Crea la cuenta

En la consola gráfica: botón derecho sobre la OU → Nuevo → Usuario. Rellena nombre, apellidos, nombre de inicio de sesión y marca El usuario debe cambiar la contraseña en el siguiente inicio de sesión.

Con PowerShell es lo mismo, y queda registrado en el ticket tal cual lo ejecutaste:

›$pwd = Read-Host "Contraseña inicial" -AsSecureString›New-ADUser -Name "Laura Prado" -GivenName Laura -Surname Prado -SamAccountName laura.prado -UserPrincipalName laura.prado@contoso.com -Path "OU=Ventas,OU=Usuarios,DC=contoso,DC=local" -Department Ventas -Title "Account Manager" -AccountPassword $pwd -ChangePasswordAtLogon $true -Enabled $true›Get-ADUser laura.prado | Select-Object Enabled, UserPrincipalName, DistinguishedNameEnabled           : TrueUserPrincipalName : laura.prado@contoso.comDistinguishedName : CN=Laura Prado,OU=Ventas,OU=Usuarios,DC=contoso,DC=local

El UserPrincipalName tiene que coincidir con el correo que tendrá el usuario. Si no, el inicio de sesión en Microsoft 365 y en las aplicaciones con SSO fallará aunque la cuenta de AD esté perfecta.

3. Añade los grupos

›"GG-Ventas","GG-Carpeta-Ventas-RW","GG-App-CRM-Usuarios","GG-VPN-Usuarios" | ForEach-Object { Add-ADGroupMember -Identity $_ -Members laura.prado }›(Get-ADUser laura.prado -Properties MemberOf).MemberOf.Count4

Los grupos de seguridad se aplican en el siguiente inicio de sesión del usuario. Si ya había iniciado sesión, tiene que cerrarla y volver a entrar (o ejecutar klist purge y volver a abrir la carpeta).

4. Comprueba

• La cuenta está habilitada y en la OU correcta.
• Los grupos coinciden con el modelo.
• Si hay sincronización con Entra ID (Azure AD Connect), espera al siguiente ciclo (normalmente 30 minutos) o pide que lo fuercen. El usuario aparecerá en Microsoft 365 y entonces se le podrá asignar la licencia.
• Deja en el ticket el nombre de inicio de sesión, la OU y los grupos. La contraseña inicial se entrega por un canal aparte, nunca en el ticket.

Las incidencias que llegarán después

# ¿Cuenta bloqueada por intentos fallidos?›Get-ADUser laura.prado -Properties LockedOut, BadLogonCount, LastBadPasswordAttempt | Select-Object LockedOut, BadLogonCount, LastBadPasswordAttemptLockedOut              : TrueBadLogonCount          : 5LastBadPasswordAttempt : 21/10/2026 9:02:14›Unlock-ADAccount -Identity laura.prado# Restablecer la contraseña y forzar el cambio›Set-ADAccountPassword -Identity laura.prado -Reset -NewPassword (Read-Host "Nueva" -AsSecureString)›Set-ADUser -Identity laura.prado -ChangePasswordAtLogon $true

Si una cuenta se bloquea una y otra vez, el origen suele ser una contraseña antigua guardada en un móvil, una unidad de red mapeada o una tarea programada. El atributo LastBadPasswordAttempt y el visor de eventos del controlador de dominio (evento 4740) te dicen desde qué equipo viene.

Siguientes pasos

• Haz una plantilla de PowerShell por departamento: OU y grupos fijos, y solo cambian nombre y cargo.
• Aprende a leer Get-ADPrincipalGroupMembership para auditorías de acceso.
• En el Nivel 2 verás cómo Azure AD Connect lleva estas cuentas a Entra ID y qué atributos importan.

¿Quieres practicarlo? Resuelve el ticket «La cuenta que se bloquea cada mañana» en SysAdmin Desks, gratis y en el navegador.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.