¿Qué cuentas de usuario se muestran en la pantalla de bienvenida de Windows?

Una pregunta que se hacen muchos usuarios de Windows es qué cuentas de usuario se muestran en la pantalla de bienvenida, puesto que no hay una relación de uno a uno entre las cuentas existentes en el sistema y las cuentas que aparecen al iniciar el equipo. Este artículo intentará aclarar esta duda.

Winlogon.exe, el proceso encargado del inicio de sesión en Windows, es quien realiza la enumeración y filtrado de las cuentas de usuario para mostrarlas en la pantalla de bienvenida ejecutando para ello, en Windows Vista y 7, un proceso auxiliar, LogonUI.exe. El hecho de separar esta tarea en dos procesos sirve para garantizar la estabilidad del sistema en caso de que código de autenticación de terceros (por ejemplo, el software de un lector de huellas) hiciera fallar a Winlogon.exe, un proceso que es crítico para el buen funcionamiento del sistema operativo. Al mostrar cuentas en la pantalla de bienvenida se examina antes una lista de cuentas “especiales” que, o bien siempre deben incluirse, o bien siempre deben ocultarse de dicha pantalla. La lista de cuentas “especiales” reside en el registro, concretamente en la clave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList. Allí, un valor de registro de tipo DWORD y con nombre igual al nombre de la cuenta de usuario “especial” decide si la cuenta siempre se incluye en la pantalla de bienvenida (contenido a 1), o bien siempre queda oculta (contenido a 0). Esta lista de cuentas especiales se almacena en una caché en memoria, así que si modificamos el registro es conveniente que reiniciemos el equipo para que los cambios surtan efecto.

Además del listado de cuentas “especiales” que el usuario puede editar desde el registro, Windows automáticamente excluye ciertas cuentas de usuario que no interesa que aparezcan en la pantalla de bienvenida, puesto que causarían bastante confusión al usuario. Se trata de cuentas de usuario que instalan entre otros Microsoft IIS (Internet Information Server) o Visual Studio y que no están pensadas para que el usuario inicie sesión con ellas. Concretamente, nunca aparecerán en la pantalla de bienvenida aquellas cuentas de usuario que empiecen con los prefijos “IWAM_”, “IUSR_”, “VUSR_”, entre otros posibles. Otro tipo de cuentas que obviamente siempre se ocultan son aquellas que están deshabilitadas o bloqueadas. Es importante comentar que en la pantalla de bienvenida solo aparecen las cuentas que pertenezcan a los grupos de usuarios creados durante la instalación de Windows, a saber, “administradores”, “usuarios avanzados”, “usuarios” e “invitados”. Por este motivo, por ejemplo la cuenta de usuario que crea VMWare Workstation dentro del grupo “__vmware__” no se muestra en la pantalla de bienvenida.

Pasamos a analizar en detalle lo que ocurre en la pantalla de bienvenida con un cuenta de usuario que, por recibir un tratamiento especial por parte del sistema, merece un apartado para ella sola: la cuenta “Administrador”.

La cuenta “Administrador”

Esta cuenta es especial en el sentido de que es la primera cuenta que se crea al instalar Windows. Es similar a la cuenta root de GNU/Linux y, como esta, solo debería usarse en casos de emergencia. Microsoft hace patente esto al deshabilitarla por defecto y no asignarle una contraseña. Lo que diferencia a esta cuenta del resto de cuentas con privilegios administrativos es que la cuenta “Administrador” tiene por defecto desactivado Control de cuentas de usuario, lo que quiere decir que si iniciamos sesión con ella gozaremos de verdaderos privilegios administrativos todo el rato. Ahí reside el principal peligro de esta cuenta y por lo cual yo siempre desaconsejo su manipulación, salvo en casos justificados.

El comportamiento de esta cuenta en la pantalla de bienvenida depende del sistema operativo en el que estemos trabajando. En Windows XP, la cuenta “Administrador” no aparece en la pantalla de bienvenida si ya se ha creado con anterioridad otra cuenta con privilegios administrativos. En Windows Vista y Windows 7, a diferencia de sistemas anteriores, la cuenta “Administrador” no se oculta nunca de la pantalla de bienvenida, siempre y cuando esté activada.

¿Qué ocurre con la cuenta “Administrador” en modo seguro?

En Windows XP al iniciar el equipo en modo seguro podremos tener acceso a la cuenta “Administrador”, de hecho tendremos acceso a todas las cuentas del equipo que pertenezcan al grupo de administradores (el resto de cuentas no serán mostradas).

En Windows Vista y Windows 7 el estado habilitado o deshabilitado de la cuenta “Administrador” (y por consiguiente, la capacidad para iniciar sesión con ella o no) puede variar en modo seguro. Esto se debe a que aunque Microsoft no quiere que los usuarios inicien sesión con el usuario “Administrador” sí quiere proporcionar un método de inicio de sesión “de emergencia” para cuando se han deshabilitado o borrado todas las cuentas administrativas del equipo. El hecho de que en modo seguro la cuenta “Administrador” se considere habilitada o deshabilitada depende de si el sistema operativo es cliente o servidor y de si está unido a un dominio. Resumo las posibilidades en esta tabla:

¿Cuándo está habilitada o deshabilitada la cuenta “Administrador” en modo seguro? (Windows Vista/7)

*: El caso de emergencia ocurre cuando no hay ninguna cuenta administrativa habilitada para el inicio de sesión.

En este artículo he descrito a grandes rasgos las cuentas de usuario que aparecen en la pantalla de bienvenida de Windows, aspecto que depende entre otras cosas del sistema operativo, del tipo de cuenta y de si se ha iniciado en modo seguro o no. Si desea ocultar cuentas de la pantalla de bienvenida puede usar mi herramienta HideUserAccounts7, que lo que hace es incluirlas dentro del grupo de cuentas “especiales”, ya comentado al principio, marcándolas como siempre ocultas. Debe tener especial cuidado a la hora de ocultarlas puesto que accidentalmente podría impedirse completamente el inicio de sesión en la máquina.