Una cuenta de usuario contiene toda la información que define a ese usuario en particular dentro del entorno de Windows. Todo lo que se necesita es asociarle un identificador de seguridad de usuario (SID). La seguridad de las cuentas de usuario puede incluir un nombre único de usuario, una contraseña y los permisos que el usuario tiene para utilizar el sistema y acceder a los recursos. Cada usuario del sistema posee una cuenta de usuario y una contraseña asociada para su uso individual. Estas cuentas de usuario y sus contraseñas asociadas son controles de autentificación de Windows 2008. Además, todos los derechos y permisos que se pueden asignar a los usuarios son controles de seguridad de Windows parar asegurar el sistema.

Las cuentas de usuario pueden definirse en una máquina local o en el dominio. Las cuentas definidas en la máquina local sólo pueden utilizarse en esa máquina, mientras que las cuentas definidas en el dominio pueden utilizarse en cualquier máquina que pertenezca a ese dominio o en algún dominio de confianza.

Cuentas predefinidas

Windows 2008 proporciona dos cuentas de usuario predefinidas: Administración e Invitado. Estas cuentas se crean para determinadas funciones y son, por defecto, miembros de ciertos grupos predefinidos.

Estas cuentas son objetivos frecuente de los piratas informáticos ya que existen por defecto en todos los sistemas. Por tanto, se deben tener fuertes controles de seguridad para protegerlas.

Administrador

La cuenta administrador posee control total sobre las operaciones y la seguridad del sistema completo. Posee control incluso sobre los ficheros propiedad de otros usuarios. Cualquiera que pueda iniciar una sesión como administrador posee control total sobre la administración del sistema completo. Esto es un punto muy importante debido a que la cuenta Administrador y sus equivalentes deben ser totalmente de confianza.

La cuenta Administrador está pensada para el individuo que administra la configuración del sistema. Un mal uso de la cuenta puede ser desastroso debido a los derechos y permisos asociados.

Los administradores sólo deben utilizar sus cuentas para actividades administrativas. Por ejemplo, no se debe utilizar la cuenta Administrador para procesar texto o para acceder a Internet. El administrador debe de tener su cuenta individual para tales actividades. Finalmente, la cuenta Administrador sólo debe estar disponible al administrador y nunca se debe compartir con otros usuarios. Si otros usuarios necesitan algún derecho o permiso en particular, el administrador debe conceder a dichos grupos o usuarios dichos permisos.

Un buen control de seguridad es renombrar la cuenta Administrador a otro nombre para disimular su función. Aunque existen formas de identificar el nombre actual de la cuenta Administrador por medio de su identificador de seguridad (SID), renombrar la cuenta puede frustrar potencialmente a un atacante.

Invitado

Windows proporciona la cuenta Invitado para los usuarios que se conecten una vez u ocasionalmente. Sin embargo, se recomienda que nunca se use la cuenta Invitado, sino que se creen cuentas temporales que proporcionen unos controles de responsabilidad y auditoría mejores. Por defecto, la cuenta está desactivada y configurada como miembro del grupo local Invitados. Posee una contraseña vacía y no se puede cambiar su perfil por el perfil de usuario predeterminado.

La cuenta Invitado puede ser motivo de preocupación. Aunque la cuenta está desactivada por defecto, si se activa accidentalmente, crearía una vulnerabilidad de seguridad. Cuando está activada, la contraseña por defecto está vacía. Un buen control de seguridad es asignar una contraseña compleja a la cuenta de invitado para mitigar la vulnerabilidad. Debido a que es una cuenta del sistema, cada vez que un usuario concede permisos a Todos, el grupo invitado y la cuenta Invitado obtienen permisos de forma implícita.

También se puede cambiar el nombre de la cuenta de invitado a otro nombre para dar mayor seguridad al igual que se hacia con la cuenta de administrador.