Active Directory (AD) es el término que usa Microsoft para referirse

a su implementación de servicio de directorio en una red

distribuida de computadores. Utiliza distintos

protocolos (principalmente LDAP, DNS, DHCP, ...).

De forma sencilla se puede decir que es un servicio establecido en

uno o varios servidores en donde se crean objetos tales como

usuarios, equipos o grupos, con el objetivo de administrar los inicios

de sesión en los equipos conectados a la red, así como también la

administración de políticas en toda la red.

Su estructura jerárquica permite mantener una serie de objetos

relacionados con componentes de una red, como usuarios, grupos

de usuarios, permisos y asignación de recursos y políticas de

acceso.

Active Directory

Estructura

Active Directory está basado en una serie de estándaresllamados X.500, aquí se encuentra una definición lógica amodo jerárquico.

Dominios y subdominios se identifican utilizando la mismanotación de las zonas DNS, razón por la cual Active Directoryrequiere uno o más servidores DNS que permitan eldireccionamiento de los elementos pertenecientes a la red,como por ejemplo el listado de equipos conectados; y loscomponentes lógicos de la red, como el listado de usuarios.

Un ejemplo de la estructura descendente (o herencia), es quesi un usuario pertenece a un dominio, será reconocido en todoel árbol generado a partir de ese dominio, sin necesidad depertenecer a cada uno de los subdominios.

A su vez, los árboles pueden integrarse en un espacio comúndenominado bosque (que por lo tanto no comparten el mismonombre de zona DNS entre ellos) y establecer una relación de«trust» o confianza entre ellos. De este modo los usuarios yrecursos de los distintos árboles serán visibles entre ellos,manteniendo cada estructura de árbol el propio ActiveDirectory.

Funcionamiento Su funcionamiento es similar a otras estructuras

de LDAP (Lightweight Directory Access Protocol), yaque este protocolo viene implementado de formasimilar a una base de datos, la cual almacena en formacentralizada toda la información relativa a un dominiode autenticación. Una de sus ventajas es lasincronización presente entre los distintos servidoresde autenticación de todo el dominio.

De esta forma, es posible crear recursos (comocarpetas compartidas, impresoras de red, etc) yconceder acceso a estos recursos a usuarios, con laventaja que estando todos estos objetos memorizadosen Active Directory, y siendo esta lista de objetosreplicada a todo el dominio de administración, loseventuales cambios serán visibles en todo el ámbito.

• Las Confianzas transitivas son confianzasautomáticas de dos vías que existen entre dominiosen Active Directory.

Confianzas transitivas.

• Las Confianzas explícitas son aquellas queestablecen las relaciones de forma manual paraentregar una ruta de acceso para la autenticación.Este tipo de relación puede ser de una o dos vías,dependiendo de la aplicación.

• Las Confianzas explícitas se utilizan con frecuenciapara acceder a dominios compuestos porordenadores con Windows NT 4.0.

Confianzas explícitas

• La Confianza de acceso directo es,esencialmente, una confianza explícita que creaaccesos directos entre dos dominios en laestructura de dominios. Este tipo de relacionespermite incrementar la conectividad entre dosdominios, reduciendo las consultas y los tiemposde espera para la autenticación.

Confianza de Acceso Directo

Direccionamientos a recursos

Los direccionamientos a recursos de Active Directory son estándares con laConvención Universal de Nombres (UNC), Localizador Uniforme deRecursos (URL) y Nombres de LDAP.

Cada objeto de la red posee un nombre de distinción (en inglés,Distinguished name (DN)), así una impresora llamada Imprime en unaUnidad Organizativa (en inglés, Organizational Units, OU) llamada Ventas yun dominio foo.org, puede escribirse de las siguientes formas para serdireccionado:

en DN sería CN = Imprime, OU = Ventas, DC = foo, DC = org, donde CN es el nombre común (en inglés, Common Name)

DC es clase de objeto de dominio (en inglés, Domain object Class).

En forma canónica sería foo.org/Ventas/Imprime

Los otros métodos de direccionamiento constituyen una forma local delocalizar un recurso

Distinción de Nombre Relativo (en inglés, Relative Distinguised Name(RDN)), que busca un recurso sólo con el Nombre Común (CN).

Globally Unique Identifier (GUID), que genera una cadena de 128 bits quees usado por Active Directory para buscar y replicar información

Ciertos tipos de objetos poseen un Nombre de Usuario Principal (en inglés,User Principal Name (UPN)) que permite el ingreso abreviado a un recursoo un directorio de la red. Su forma es objetodered@dominio.

Diferencias entre Windows NT y Active Directory

A diferencia del anterior sistema de administración dedominios de Windows NT Server, que proveía únicamente eldominio de administración, Active Directory permite tambiéncrear estructuras jerárquicas de dominios y subdominios,facilitando la estructuración de los recursos según sulocalización o función dentro de la organización a la quesirven. Otra diferencia importante es el uso de estándarescomo X.500 y LDAP para el acceso a la información.

Interfaces de programación

Las interfaces de servicio de Active Directory (ADSI) entreganal programador una interfaz orientada a objetos, facilitando lacreación de programas de directorios mediante algunasherramientas compatibles con lenguajes de alto nivel,como Visual Basic, sin tener que lidiar con los distintosespacios de nombres.

También se puede desarrollar la Interfaz de mensajería (MAPI),que permite generar programas MAPI.

Requisitos de instalación

Para crear un dominio hay que cumplir, porlo menos, con los siguientes requisitosrecomendados:

Tener cualquier versión Serverde Windows 2000, 2003 (Server, AdvancedServer o Datacenter Server) o Windows2008. En el caso de 2003 server, tenerinstalado el SP1 en la máquina.

Poseer más de 250 MB en una unidad dedisco formateada en NTFS.

Alternativas Samba es un programa de código libre, que tiene disponible un controlador de dominios

compatible con Windows NT 4, Windows 2003 y Windows 2008.

El programa de código libre Mandriva Directory Server ofrece una interfaz web para

manejar el controlador de dominios de Samba y el servicio de directorios de LDAP.

Otra alternativa es Novell eDirectory, que es Multiplataforma: se puede correr sobre

cualquier sistema operativo: Linux, AIX, Solaris, Novell Netware, UNIX e integra LDAP

v.3 Nativo. Es el precursor en materia de estructuras de Directorio, ya que fue

introducido en 1990 con la versión de Novell Netware 4.0. Aunque AD de Microsoft

alcanzó mayor popularidad, todavía no puede igualar la fiabilidad y calidad de eDirectory

y su capacidad Multiplataforma.

Una alternativa que integra OpenLDAP, Heimdal kerberos, Samba y además certificación

digital y Bind9 (modificado para usar LDAP como backend) es WBSAgnitio

Windows server 2008 configuración de red

Para llevar a cabo la configuración de red, se utilizará “Initial Configuration Tasks” y

en este caso hacemos “click” en “Configure Networking” dentro del primer

apartado: “Provide Computer Information“.

Si no nos sale esta ventana al inicio, podemos abrirla mediante la consola de

comandos y utilizar el comando: oobe.exe.

Seleccionamos “Local Área Connection”

y en la barra de herramientas elegimos

“change settings of this connection“.

Windows server 2008 configuración de red

Permitimos, permitimos…

A continuación vemos la ventana de “Local Área

Connection Propieties“. Vamos, las propiedades

de la configuración de la conexión de red de área

local, para entendernos.

Nos posicionamos en “Internet Protocol Versión 4

(TCP/IPv4)” y volvemos pulsamos el botón de

“propieties“.

Ahora la tenemos sin configurar, como se puede observar en la captura

siguiente:

Como nosotros estamos configurando el servidor para hacer pruebas, no lo

vamos a configurar ni en una red empresarial ni por DHCP ni nada de eso.

La red que estamos montando es privada, solo se verán entre los equipos

que utilizaremos de pruebas.

A continuación podemos ver la configuración

manual propuesta, o utilizar otra que guste

más.

Al pulsar en “Ok“, vemos el resultado en

la pantalla de “Initial Configuration

Tasks“, en el apartado de Networking.

Ahora aparecerá configurada.

Como siempre, cuando hacemos un

cambio en la configuración de Windows

que es un poco importante, nos pedirá

que reiniciemos el equipo.

Cuando volvemos a iniciar el servidor y por lo

que sea no tenemos disponible la ventana “Initial

configuration Tasks” (seguramente hayamos

activado “do not show this windows at logon“)

podemos sacarla desde la consola de comandos

utilizando “Oobe.exe”.

Ya tenemos configurada la red.

WINDOWS SERVER 2008 INSTALACION DE ACTIVE DIRECTORY DOMAIN SEVICES

Antes de instalar el rol de Active Directory Domain Server enun servidor y promoverlo a servidor de dominio, tenemos queplanear la infraestructura de Active Directory.

Tenemos que tener decidido el nombre del dominio y de DNS.Un dominio solo puede tener un nombre de DNS.

Si el dominio que vamos a crear va a tener controladores dedominio de versiones anteriores a Windows Server 2008. Enese caso tendremos que configurar bien el “nivel funcional”.Si el futuro dominio solo va a tener controladores de dominiocon Windows Server 2008, tendremos que configurar el “nivelfuncional” correctamente para beneficiarnos de todas lanuevas características de esta versión de Windows.

Detallar como se implementara el DNS para soportar ActiveDirectory. Es una buena practica implementar el DNS paranuestros dominios Windows utilizando el servicio DNS deWindows.

El nombre y contraseña de una cuenta de administrador. Lacontraseña debe existir y cuanto más compleja, mejor. Pero eso sí,que podamos recordarla.

La configuración IP para el controlador de dominio. Por supuestouna IP estática y los valores de la máscara subred. Tambiéndeberemos configurar los servidores DNS para que lleve a caboresolución de nombres.

Comenzaremos desde el “Server Manager” (podemos hacerlo demás formas). Ya sabremos que Windows 2008 nos facilita laconfiguración basada en roles, instalando solo los componentesque son indispensables para los roles que ejecutara el servidor.

El el apartado de “Roles Summary” hacemos click en “Add Roles”.

Este “Add Roles Wizard” es muy

intuitivo.

Pulsamos en “next”.

A continuación tenemos una

lista de los roles que le

podemos añadir al servidor.

Activamos la casilla de “Active

Directory Domain Services”.

Podemos leer lo que nos muestra

para entenderlo un mejor.

Después de pulsar en “Install”,

comienza la instalación de AD

DS.

Al finalizar, nos muestra un

resumen de la instalación que

ha realizado.

Volvemos al “Server Manager” y

ahora podemos ver que hay un

Rol instalado.

En la parte izquierda,

expandimos “Roles” y

seleccionamos “Active

Directory Domain

Services” para que nos

muestre las

características del mismo:

Así, ya tenemos instalados

los Servicios de Dominio del Directorio

Activo.