Active Directory

Definicin
El Directorio Activo (Active Directory) es la pieza clave del sistema operativo "Windows 2003 Server"; ) Es el trmino que usa Microsoft para referirse a su implementacin de servicio de directorio en una red distribuida de computadores. Utiliza distintos protocolos (principalmente LDAP, DNS, DHCP, Kerberos). Su estructura jerrquica permite mantener una serie de objetos relacionados con componentes de una red, como usuarios, grupos de usuarios, permisos y asignacin de recursos y polticas de acceso.1 Active Directory permite a los administradores establecer polticas a nivel de empresa, desplegar programas en muchos ordenadores y aplicar actualizaciones crticas a una organizacin entera. Un Active Directory almacena informacin de una organizacin en una base de datos central, organizada y accesible. Pueden encontrarse desde directorios con cientos de objetos para una red pequea hasta directorios con millones de objetos. En el mbito de las redes de ordenadores, el concepto de directorio (o almacn de datos) es una estructura jerrquica que almacena informacin sobre objetos en la red, normalmente implementada como una BD optimizada para operaciones de lectura y que soporta bsquedas de grandes cantidades de informacin y con capacidades de exploracin. Active Directory es el servicio de directorio de una red Windows 2003. Este servicio de directorio es un servicio de red que almacena informacin acerca de los recursos de la red y permite el acceso de los usuarios y las aplicaciones a dichos recursos, de forma que se convierte en un medio de organizar, controlar y administrar centralizadamente el acceso a los recursos de la red. El servicio Active Directory proporciona la capacidad de establecer un nico inicio de sesin y un repositorio central de informacin para toda su infraestructura.

Al instalar Active Directory en Windows server 2003

Active Directory a partir de ahora en uno o varios sistemas Windows 2003 Server (equipos) de nuestra red, convertimos a dichos ordenadores en los servidores del dominio, o ms correctamente, en los denominados CONTROLADORES DE DOMINIO (Domain Controllers) o simplemente DCs. El resto de los equipos de la red pueden convertirse entonces en los clientes de dicho servicio de directorio, con lo que reciben toda la informacin almacenada en los controladores: cuentas de usuario, grupo y equipo, perfiles de usuario y equipo, directivas de seguridad, servicios de red.

Una de las ventajas fundamentales de AD es que separa la estructura lgica de la organizacin (dominios) de la estructura fsica (topologa de la red). Ello permite independizar la estructuracin de dominios de la organizacin, de la topologa de la red que interconecta los sistemas.

Estructura lgica de Active Directory

Active Directory est basado en una serie de estndares llamados X.500, aqu se encuentra una definicin lgica a modo jerrquico. Dominios y subdominios se identifican utilizando la misma notacin de las zonas DNS, razn por la cual Active Directory requiere uno o ms servidores DNS que permitan el direccionamiento de los elementos pertenecientes a la red, como por ejemplo el listado de equipos conectados; y los componentes lgicos de la red, como el listado de usuarios. Un ejemplo de la estructura descendente (o herencia), es que si un usuario pertenece a un dominio, ser reconocido en todo el rbol generado a partir de ese dominio, sin necesidad de pertenecer a cada uno de los subdominios. A su vez, los rboles pueden integrarse en un espacio comn denominado bosque (que por lo tanto no comparten el mismo nombre de zona DNS entre ellos) y establecer una relacin de trust o confianza entre ellos. De este modo los usuarios y recursos de los distintos rboles sern visibles entre ellos, manteniendo cada estructura de rbol el propio Active Directory.

Objetos
Active Directory se basa en una estructura jerrquica de objetos. Los objetos se enmarcan en tres grandes categoras. recursos (p.ej. impresoras), servicios (p.ej. correo electrnico), y usuarios (cuentas, o usuarios y grupos). El DA proporciona informacin sobre los objetos, los organiza, controla el acceso y establece la seguridad. Cada objeto representa una entidad individual ya sea un usuario, un equipo, una impresora, una aplicacin o una fuente compartida de datos y sus atributos. Los objetos pueden contener otros objetos. Un objeto est unvocamente identificado por su nombre y tiene un conjunto de atributoslas caractersticas e informacin que el objeto puede contenerdefinidos por y dependientes del tipo. Los atributos, la estructura bsica del objeto, se definen por un esquema, que tambin determina la clase de objetos que se pueden almacenar en el DA. Estos objetos se conocen como objetos esquema, o metadata, y existen para poder extender el esquema o modificarlo cuando sea necesario. Sin embargo,

como cada objeto del esquema se integra con la definicin de los objetos del ANUNCIO, desactivar o cambiar estos objetos puede tener consecuencias serias porque cambiar la estructura fundamental del ANUNCIO en s mismo. Un objeto del esquema, cuando es alterado, se propagar automticamente a travs de Active Directory y una vez que se cree puede ser desactivado-no solamente suprimido. Cambiar el esquema no es algo que se hace generalmente sin un cierto planeamiento

La estructura lgica de AD se centra en la administracin de los recursos de la red organizativa, independientemente de la ubicacin fsica de dichos recursos, y de la topologa de las redes subyacentes. Esta estructura lgica se basa en el concepto de dominio, o unidad mnima de directorio, que internamente contiene informacin sobre los recursos (usuarios, grupos, directivas,...) disponibles para los ordenadores que forman parte de dicho dominio. Dentro de un dominio, es posible subdividir lgicamente el directorio mediante el uso de unidades organizativas (OU), que permiten una administracin independiente sin la necesidad de crear mltiples dominios. Sin embargo, si la organizacin desea estructurarse en varios dominios, tambin puede hacerlo, mediante los conceptos de rbol y bosque; ambos son jerarquas de dominios a distintos niveles, en funcin de si los dominios comparten o no un espacio de nombres comn.

Funcionamiento
Su funcionamiento es similar a otras estructuras de LDAP (Lightweight Directory Access Protocol), ya que este protocolo viene implementado de forma similar a una base de datos, la cual almacena en forma centralizada toda la informacin relativa a un dominio de autenticacin. La ventaja que presenta esto es la sincronizacin presente entre los distintos servidores de autenticacin de todo el dominio. A su vez, cada uno de estos objetos tendr atributos que permiten identificarlos en modo unvoco (por ejemplo, los usuarios tendrn campo nombre, campo email, etctera, las impresoras de red tendrn campo nombre, campo fabricante, campo modelo, campo "usuarios que pueden acceder", etc). Toda esta informacin queda almacenada en Active Directory replicndose de forma automtica entre todos los servidores que controlan el acceso al dominio. De esta forma, es posible crear recursos (como carpetas compartidas, impresoras de red, etc) y conceder acceso a estos recursos a usuarios, con la ventaja que estando todos estos objetos memorizados en Active Directory, y siendo esta lista de objetos replicada a todo el dominio de administracin, los eventuales cambios sern visibles en todo el mbito. Para decirlo en otras palabras, Active Directory es una implementacin de servicio de directorio

centralizado en una red distribuida que facilita el control, la administracin y la consulta de todos los elementos lgicos de una red (como pueden ser usuarios, equipos y recursos).

Intercambio entre dominios

Para permitir que los usuarios de un dominio accedan a recursos de otro dominio, Active Directory usa un trust (en espaol, relacin de confianza). El trust es creado automticamente cuando se crean nuevos dominios. Los lmites del trust no son marcados por dominio, sino por el bosque al cual pertenece. Existen trust transitivos, donde los trust de Active Directory pueden ser un acceso directo (une dos dominios en rboles diferentes, transitivo, una o dos vas), bosque (transitivo, una o dos vas), reino (transitivo o no transitivo, una o dos vas), o externo (no transitivo, una o dos vas), para conectarse a otros bosques o dominios que no son de Active Directory. Active Directory usa el protocolo V5 de Kerberos, aunque tambin soporta NTLM y usuarios webs mediante autenticacin SSL / TLS

Confianza transitiva
Las Confianzas transitivas son confianzas automticas de dos vas que existen entre dominios en Active Directory.

Confianza explcita
Las Confianzas explcitas son aquellas que establecen las relaciones de forma manual para entregar una ruta de acceso para la autenticacin. Este tipo de relacin puede ser de una o dos vas, dependiendo de la aplicacin. Las Confianzas explcitas se utilizan con frecuencia para acceder a dominios compuestos por ordenadores con Windows NT 4.0.

Confianza de Acceso Directo

La Confianza de acceso directo es, esencialmente, una confianza explcita que crea accesos directos entre dos dominios en la estructura de dominios. Este tipo de relaciones permite incrementar la conectividad entre dos dominios, reduciendo las consultas y los tiempos de espera para la autenticacin.

Confianza entre bosques

La Confianza entre bosques permite la interconexin entre bosques de dominios, creando relaciones transitivas de doble va. En Windows 2000, las confianzas entre bosques son de tipo explcito, al contrario de Windows Server 2003.

Direccionamientos a recursos
Los direccionamientos a recursos de Active Directory son estndares con la Convencin Universal de Nombrado (UNC), Localizador Uniforme de Recursos (URL) y nombrado de LDAP. Cada objeto de la red posee un nombre de distincin (en ingls, Distinguished name (DN)), as una impresora llamada Imprime en una Unidad Organizativa (en ingls, Organizational Units, OU) llamada Ventas y un dominio foo.org, puede escribirse de las siguientes formas para ser direccionado:

en DN sera CN=Imprime,OU=Ventas,DC=foo,DC=org, donde o CN es el nombre comn (en ingls, Common Name) o DC es clase de objeto de dominio (en ingls, Domain object Class). En forma cannica sera foo.org/Ventas/Imprime

Los otros mtodos de direccionamiento constituyen una forma local de localizar un recurso

Distincin de Nombre Relativo (en ingls, Relative Distinguised Name (RDN)), que busca un recurso slo con el Nombre Comn (CN). Globally Unique Identifier (GUID), que genera una cadena de 128 bits que es usado por Active Directory para buscar y replicar informacin

Ciertos tipos de objetos poseen un Nombre de Usuario Principal (en ingls, User Principal Name (UPN)) que permite el ingreso abreviado a un recurso o un directorio de la red. Su forma es objeto de dominio