Active Directory

ACTIVE DIRECTORY ¿Qué es Active Directory? Active Directory (AD) y como funciona; para esto empezaremos por definir (AD), este es el nombre que se le da al servicio de directorio de Microsoft, pero ¿qué es un servicio de directorio?, pues bien, un servicio de directorio es una aplicación o un conjunto de aplicaciones que gestionan los objetos de la red, tales como usuarios y recursos de red y permite a los administradores de la red, tener un control centralizado sobre quien tiene acceso a qué ; prácticamente un servicio de directorio es una base de datos, pero con la diferencia de que esta es optimizada para lectura y cuenta con alternativas avanzadas de búsqueda.Se basa en una estructura jerárquica de objetos, este se divide en tres categorías: recursos, servicios y usuarios, como ya dijimos lo que hace es proporcionar información sóbrelos objetos, además de organizarlos y establecer políticas de seguridad, conocidas en entornos Microsoft como (GPO). Cada uno de estos objetos que se encuentran en AD tienen uno atributos, los cuales se definen en un esquema, el cual también se encarga de decir que clases de objetos se pueden tener en el AD; estos esquemas ya vienen creados en AD y no es recomendable modificarlos. Básicamente esta es la estructura de Active Directory, antes de implementar un AD, se debe realizar una planificación de como estará estructurado, ya que después de instalado sera un poco complicado modificar dicha estructura; de esta forma se nos facilitara la gestión de los recursos de nuestra red. Active Directory (AD) es el término que usa Microsoft para referirse a su implementación de servicio de directorio en una red distribuida de computadores. Utiliza distintos protocolos. De forma sencilla se puede decir que es un servicio establecido en uno o varios servidores en donde se crean objetos tales como usuarios, equipos o grupos, con el objetivo de administrar los inicios de sesión en los equipos conectados a la red, así como también la administración de políticas en toda la red. Su estructura jerárquica permite mantener una serie de objetos relacionados con componentes de una red, como usuarios, grupos de usuarios, permisos y asignación de recursos y políticas de acceso. Active Directory permite a los administradores establecer políticas a nivel de empresa, desplegar programas en muchas computadoras y aplicar actualizaciones críticas a una organización entera. Un Active Directory almacena información de una organización en una base de datos central, organizada y accesible. Pueden encontrarse desde directorios con cientos de objetos para una red pequeña hasta directorios con millones de objetos. Estructura: Active Directory está basado en una serie de estándares llamados X.500, aquí se encuentra una definición lógica a modo jerárquico. Dominios y subdominios se identifican utilizando la misma notación de las zonas DNS, razón por la cual Active Directory requiere uno o más servidores DNS que permitan el direccionamiento de los elementos pertenecientes a la red, como por ejemplo el listado de equipos conectados; y los componentes lógicos de la red, como el listado de usuarios. Un ejemplo de la estructura descendente (o herencia), es que si un usuario pertenece a un dominio, será reconocido en todo el árbol generado a partir de ese dominio, sin necesidad de pertenecer a cada uno de los subdominios. A su vez, los árboles pueden integrarse en un espacio común denominado bosque (que por lo tanto no comparten el mismo nombre de zona DNS entre ellos) y establecer una relación de «trust» o confianza entre ellos. De este modo los usuarios y recursos de los distintos árboles serán visibles entre ellos, manteniendo cada estructura de árbol el propio Active Directory. Objetos Los objetos se enmarcan en tres grandes categorías. — recursos ( impresoras), servicios ( correo electrónico), y usuarios (cuentas, o usuarios y grupos). El AD proporciona información sobre los objetos, los organiza, controla el acceso y establece la seguridad. Cada objeto representa una entidad individual — ya sea un usuario, un equipo, una impresora, una aplicación o una fuente compartida de datos— y sus atributos. Los objetos pueden contener otros objetos. Un objeto está unívocamente identificado por su nombre y tiene un conjunto de atributos—las características e información que el objeto puede contener—definidos por y dependientes del tipo. Los atributos, la estructura básica del objeto, se definen por un esquema, que también determina la clase de objetos que se pueden almacenar en el AD. Funcionamiento: Su funcionamiento es similar a otras estructuras de LDAP (Lightweight Directory Access Protocol), ya que este protocolo viene implementado de forma similar a una base de datos, la cual almacena en forma centralizada toda la información relativa a un dominio de autenticación. Una de sus ventajas es la sincronización presente entre los distintos servidores de autenticación de todo el dominio. A su vez, cada uno de estos objetos tendrá atributos que permiten identificarlos en modo unívoco (por ejemplo, los usuarios tendrán campo «nombre», campo «email», etcétera, las impresoras de red tendrán campo «nombre», campo «fabricante», campo «modelo», campo "usuarios que pueden acceder", etc). Toda esta información queda almacenada en Active Directory replicándose de forma automática entre todos los servidores que controlan el acceso al dominio. De esta forma, es posible crear recursos (como carpetas compartidas, impresoras de red, etc) y conceder acceso a estos recursos a usuarios, con la ventaja que estando todos estos objetos memorizados en Active Directory, y siendo esta lista de objetos replicada a todo el dominio de administración, los eventuales cambios serán visibles en todo el ámbito. Para decirlo en otras palabras, Active Directory es una implementación de servicio de directorio centralizado en una red distribuida que facilita el control, la administración y la consulta de todos los elementos lógicos de una red (como pueden ser usuarios, equipos y recursos). Intercambio entre dominios: Para permitir que los usuarios de un dominio accedan a recursos de otro dominio, Active Directory usa una relación de confianza .La relación de confianza es creada automáticamente cuando se crean nuevos dominios. Los límites de la relación de confianza no son marcados por dominio, sino por el bosque al cual pertenece. Existen relaciones de confianza transitivas, donde las relaciones de confianza de Active Directory pueden ser un ACCESO DIRECTO (une dos dominios en árboles diferentes, transitivo, una o dos vías), BOSQUE (transitivo, una o dos vías), REINO (transitivo o no transitivo, una o dos vías), O EXTERNO (no transitivo, una o dos vías), para conectarse a otros bosques o dominios que no son de Active Directory. Active Directory usa el protocolo V5 de Kerberos, aunque también soporta NTLM y usuarios webs mediante autentificación SSL/TLS. Confianza transitiva: Las Confianzas transitivas son confianzas automáticas de dos vías que existen entre dominios en Active Directory. Tenemos: Las Confianzas explícitas: Son aquellas que establecen las relaciones de forma manual para entregar una ruta de acceso para la autenticación. Este tipo de relación puede ser de una o dos vías, dependiendo de la aplicación.Las Confianzas explícitas se utilizan con frecuencia para acceder a dominios compuestos por computadoras con Windows NT 4.0. La Confianza de acceso directo: Es, esencialmente, una confianza explícita que crea accesos directos entre dos dominios en la estructura de dominios. Este tipo de relaciones permite incrementar la conectividad entre dos dominios, reduciendo las consultas y los tiempos de espera para la autenticación. La Confianza entre bosques permite la interconexión entre bosques de dominios, creando relaciones transitivas de doble vía. En Windows 2000, las confianzas entre bosques son de tipo explícito, al contrario de Windows Server 2003. Resumen: Servicios de directorio es una base de datos distribuida que permite almacenar información relativa a los recursos de una red con el fin de facilitar su localización y administración. Microsoft Active Directory es la implementación más reciente de Servicios de directorio para Windows 2000. Las cuestiones básicas relacionadas con un centro de servicios de directorio giran alrededor de la información que se puede almacenar en la base de datos, cómo se almacena, cómo se puede consultar información específica y qué se puede hacer con los resultados. Puede consultar el directorio con un nombre de usuario para obtener información como el número de teléfono o la dirección de correo electrónico de ese usuario. Los servicios de directorio también son lo suficientemente flexibles como para permitir la realización de consultas generalizadas. Los servicios de directorio también ofrecen la ventaja de suponer un único punto de entrada para los usuarios a la red de toda la empresa. Los usuarios pueden buscar y usar recursos en la red sin conocer el nombre o la ubicación exactos del recurso. Igualmente, puede administrar toda la red con una vista lógica y unificada de la organización de la red y de sus recursos.