active directory
TRANSCRIPT
Active Directory (AD) es el término que usa Microsoft para referirse a
su implementación de servicio de directorio en una red distribuida de
computadores. Utiliza distintos
protocolos (principalmente LDAP, DNS, DHCP, ...).
De forma sencilla se puede decir que es un servicio establecido en
uno o varios servidores en donde se crean objetos tales como
usuarios, equipos o grupos, con el objetivo de administrar los inicios
de sesión en los equipos conectados a la red, así como también la
administración de políticas en toda la red.
Su estructura jerárquica permite mantener una serie de objetos
relacionados con componentes de una red, como usuarios, grupos
de usuarios, permisos y asignación de recursos y políticas de
acceso.
Active Directory
Estructura Active Directory está basado en una serie de estándares
llamados X.500, aquí se encuentra una definición lógica a modojerárquico.
Dominios y subdominios se identifican utilizando la misma notación de laszonas DNS, razón por la cual Active Directory requiere uno o másservidores DNS que permitan el direccionamiento de los elementospertenecientes a la red, como por ejemplo el listado de equiposconectados; y los componentes lógicos de la red, como el listado deusuarios.
Un ejemplo de la estructura descendente (o herencia), es que si unusuario pertenece a un dominio, será reconocido en todo el árbolgenerado a partir de ese dominio, sin necesidad de pertenecer a cadauno de los subdominios.
A su vez, los árboles pueden integrarse en un espacio comúndenominado bosque (que por lo tanto no comparten el mismo nombre dezona DNS entre ellos) y establecer una relación de «trust» o confianzaentre ellos. De este modo los usuarios y recursos de los distintos árbolesserán visibles entre ellos, manteniendo cada estructura de árbol el propioActive Directory.
FuncionamientoSu funcionamiento es similar a otras estructuras
de LDAP (Lightweight Directory Access Protocol), yaque este protocolo viene implementado de forma similara una base de datos, la cual almacena en formacentralizada toda la información relativa a un dominio deautenticación. Una de sus ventajas es la sincronizaciónpresente entre los distintos servidores de autenticaciónde todo el dominio.
De esta forma, es posible crear recursos (comocarpetas compartidas, impresoras de red, etc) yconceder acceso a estos recursos a usuarios, con laventaja que estando todos estos objetos memorizadosen Active Directory, y siendo esta lista de objetosreplicada a todo el dominio de administración, loseventuales cambios serán visibles en todo el ámbito.
• Las Confianzas transitivas son confianzasautomáticas de dos vías que existen entre dominiosen Active Directory.
Confianzas transitivas.
• Las Confianzas explícitas son aquellas queestablecen las relaciones de forma manual paraentregar una ruta de acceso para la autenticación.Este tipo de relación puede ser de una o dos vías,dependiendo de la aplicación.
• Las Confianzas explícitas se utilizan con frecuenciapara acceder a dominios compuestos porordenadores con Windows NT 4.0.
Confianzas explícitas
• La Confianza de acceso directo es,esencialmente, una confianza explícita que creaaccesos directos entre dos dominios en laestructura de dominios. Este tipo de relacionespermite incrementar la conectividad entre dosdominios, reduciendo las consultas y los tiemposde espera para la autenticación.
Confianza de Acceso Directo
Direccionamientos a recursos Los direccionamientos a recursos de Active Directory son estándares con la
Convención Universal de Nombres (UNC), Localizador Uniforme de Recursos (URL) yNombres de LDAP.
Cada objeto de la red posee un nombre de distinción (en inglés, Distinguished name(DN)), así una impresora llamada Imprime en una Unidad Organizativa (en inglés,Organizational Units, OU) llamada Ventas y un dominio foo.org, puede escribirse delas siguientes formas para ser direccionado:
en DN sería CN = Imprime, OU = Ventas, DC = foo, DC = org, donde
CN es el nombre común (en inglés, Common Name)
DC es clase de objeto de dominio (en inglés, Domain object Class).
En forma canónica sería foo.org/Ventas/Imprime
Los otros métodos de direccionamiento constituyen una forma local de localizar unrecurso
Distinción de Nombre Relativo (en inglés, Relative Distinguised Name (RDN)), quebusca un recurso sólo con el Nombre Común (CN).
Globally Unique Identifier (GUID), que genera una cadena de 128 bits que es usadopor Active Directory para buscar y replicar información
Ciertos tipos de objetos poseen un Nombre de Usuario Principal (en inglés, UserPrincipal Name (UPN)) que permite el ingreso abreviado a un recurso o un directoriode la red. Su forma es objetodered@dominio.
Diferencias entre Windows NT y Active
Directory
A diferencia del anterior sistema de administración de dominios
de Windows NT Server, que proveía únicamente el dominio de
administración, Active Directory permite también crear estructuras
jerárquicas de dominios y subdominios, facilitando la estructuración de
los recursos según su localización o función dentro de la organización a
la que sirven. Otra diferencia importante es el uso de estándares como
X.500 y LDAP para el acceso a la información.
Interfaces de programación
Las interfaces de servicio de Active Directory (ADSI) entregan al
programador una interfaz orientada a objetos, facilitando la creación de
programas de directorios mediante algunas herramientas compatibles
con lenguajes de alto nivel, como Visual Basic, sin tener que lidiar con
los distintos espacios de nombres.
También se puede desarrollar la Interfaz de mensajería (MAPI), que
permite generar programas MAPI.
Requisitos de instalación
Para crear un dominio hay que cumplir, por lo menos, con los
siguientes requisitos recomendados:
Tener cualquier versión Server de Windows 2000, 2003 (Server,
Advanced Server o Datacenter Server) o Windows 2008. En el
caso de 2003 server, tener instalado el SP1 en la máquina.
Poseer más de 250 MB en una unidad de disco formateada
en NTFS.
Alternativas Samba es un programa de código libre, que tiene disponible un controlador de dominios
compatible con Windows NT 4, Windows 2003 y Windows 2008.
El programa de código libre Mandriva Directory Server ofrece una interfaz web para
manejar el controlador de dominios de Samba y el servicio de directorios de LDAP.
Otra alternativa es Novell eDirectory, que es Multiplataforma: se puede correr sobre
cualquier sistema operativo: Linux, AIX, Solaris, Novell Netware, UNIX e integra LDAP v.3
Nativo. Es el precursor en materia de estructuras de Directorio, ya que fue introducido en
1990 con la versión de Novell Netware 4.0. Aunque AD de Microsoft alcanzó mayor
popularidad, todavía no puede igualar la fiabilidad y calidad de eDirectory y su capacidad
Multiplataforma.
Una alternativa que integra OpenLDAP, Heimdal kerberos, Samba y además certificación
digital y Bind9 (modificado para usar LDAP como backend) es WBSAgnitio
Windows server 2008 configuración de red
Para llevar a cabo la configuración de red, se utilizará “Initial Configuration Tasks” y
en este caso hacemos “click” en “Configure Networking” dentro del primer
apartado: “Provide Computer Information“.
Si no nos sale esta ventana al inicio, podemos abrirla mediante la consola de
comandos y utilizar el comando: oobe.exe.
Seleccionamos “Local Área Connection”
y en la barra de herramientas elegimos
“change settings of this connection“.
Windows server 2008 configuración de red
Permitimos, permitimos…
A continuación vemos la ventana de “Local Área
Connection Propieties“. Vamos, las propiedades
de la configuración de la conexión de red de área
local, para entendernos.
Nos posicionamos en “Internet Protocol Versión 4
(TCP/IPv4)” y volvemos pulsamos el botón de
“propieties“.
Ahora la tenemos sin configurar, como se puede observar en la captura
siguiente:
Como nosotros estamos configurando el servidor para hacer pruebas, no lo
vamos a configurar ni en una red empresarial ni por DHCP ni nada de eso.
La red que estamos montando es privada, solo se verán entre los equipos
que utilizaremos de pruebas.
A continuación podemos ver la configuración manual propuesta, o
utilizar otra que guste más.
Al pulsar en “Ok“, vemos el resultado en
la pantalla de “Initial Configuration
Tasks“, en el apartado de Networking.
Ahora aparecerá configurada.
Como siempre, cuando hacemos un
cambio en la configuración de Windows
que es un poco importante, nos pedirá
que reiniciemos el equipo.
Cuando volvemos a iniciar el servidor y por lo
que sea no tenemos disponible la ventana “Initial
configuration Tasks” (seguramente hayamos
activado “do not show this windows at logon“)
podemos sacarla desde la consola de comandos
utilizando “Oobe.exe”.
Ya tenemos configurada la red.
WINDOWS SERVER 2008 INSTALACION DE ACTIVE DIRECTORY DOMAIN SEVICES
Antes de instalar el rol de Active Directory Domain Server en un servidor
y promoverlo a servidor de dominio, tenemos que planear la
infraestructura de Active Directory.
Tenemos que tener decidido el nombre del dominio y de DNS. Un
dominio solo puede tener un nombre de DNS.
Si el dominio que vamos a crear va a tener controladores de dominio de
versiones anteriores a Windows Server 2008. En ese caso tendremos
que configurar bien el “nivel funcional”. Si el futuro dominio solo va a
tener controladores de dominio con Windows Server 2008, tendremos
que configurar el “nivel funcional” correctamente para beneficiarnos de
todas la nuevas características de esta versión de Windows.
Detallar como se implementara el DNS para soportar Active Directory.
Es una buena practica implementar el DNS para nuestros dominios
Windows utilizando el servicio DNS de Windows.
El nombre y contraseña de una cuenta de administrador. La contraseñadebe existir y cuanto más compleja, mejor. Pero eso sí, que podamosrecordarla.
La configuración IP para el controlador de dominio. Por supuesto una IPestática y los valores de la máscara subred. También deberemosconfigurar los servidores DNS para que lleve a cabo resolución denombres.
Comenzaremos desde el “Server Manager” (podemos hacerlo de másformas). Ya sabremos que Windows 2008 nos facilita la configuraciónbasada en roles, instalando solo los componentes que son indispensablespara los roles que ejecutara el servidor.
El el apartado de “Roles Summary” hacemos click en “Add Roles”.
Este “Add Roles Wizard” es muy
intuitivo.
Pulsamos en “next”.
A continuación tenemos una
lista de los roles que le
podemos añadir al servidor.
Activamos la casilla de “Active
Directory Domain Services”.
Podemos leer lo que nos muestra
para entenderlo un mejor.
Después de pulsar en “Install”,
comienza la instalación de AD
DS.
Al finalizar, nos muestra un
resumen de la instalación que
ha realizado.
Volvemos al “Server Manager” y
ahora podemos ver que hay un
Rol instalado.
En la parte izquierda,
expandimos “Roles” y
seleccionamos “Active
Directory Domain
Services” para que nos
muestre las
características del mismo:
Así, ya tenemos instalados
los Servicios de Dominio del Directorio
Activo.