ESCUELA ESPECIALIZADA EN INGENIERIA ITCA FEPADE SEDE CENTRAL ESCUELA DE CIENCIAS DE LA COMPUTACION

MDULO: GESTION DE REDES I

TEMA: Investigacin sobre Active Directory

Facilitador: Lcda. Lilian Judith Sandoval Serrano PRESENTADO POR: NSTOR MARLON HERNNDEZ RIVERA 510312

13 de marzo de 2012

Active Directory

Contenido
Active Directory .............................................................................................................................. 3 Estructura........................................................................................................................................... 3 Objetos ............................................................................................................................................... 3 Funcionamiento ................................................................................................................................ 4 Intercambio entre dominios............................................................................................................. 4 Confianza transitiva ...................................................................................................................... 4 Confianza explcita ....................................................................................................................... 5 Confianza de Acceso Directo .................................................................................................. 5 Confianza entre bosques ......................................................................................................... 5 Direccionamientos a recursos ........................................................................................................ 5 Diferencias entre Windows NT y Active Directory ....................................................................... 6 Interfaces de programacin ............................................................................................................ 6 Requisitos de instalacin................................................................................................................. 6 PREGUNTAS .................................................................................................................................... 7

Active Directory

Active Directory (AD) es el trmino que usa Microsoft para referirse a su implementacin de servicio de directorio en una red distribuida de computadores. Utiliza distintos protocolos (principalmente LDAP, GLIB, DNS, DHCP, Kerberos...). Su estructura jerrquica permite mantener una serie de objetos relacionados con componentes de una red, como usuarios, grupos de usuarios, permisos y asignacin de recursos y polticas de acceso.1 Active Directory permite a los administradores establecer polticas a nivel de empresa, desplegar programas en muchos ordenadores y aplicar actualizaciones crticas a una organizacin entera. Un Active Directory almacena informacin de una organizacin en una base de datos central, organizada y accesible. Pueden encontrarse desde directorios con cientos de objetos para una red pequea hasta directorios con millones de objetos. Estructura Active Directory est basado en una serie de estndares llamados X.500, aqu se encuentra una definicin lgica a modo jerrquico. Dominios y subdominios se identifican utilizando la misma notacin de las zonas DNS, razn por la cual Active Directory requiere uno o ms servidores DNS que permitan el direccionamiento de los elementos pertenecientes a la red, como por ejemplo el listado de equipos conectados; y los componentes lgicos de la red, como el listado de usuarios. Un ejemplo de la estructura descendente (o herencia), es que si un usuario pertenece a un dominio, ser reconocido en todo el rbol generado a partir de ese dominio, sin necesidad de pertenecer a cada uno de los subdominios. A su vez, los rboles pueden integrarse en un espacio comn denominado bosque (que por lo tanto no comparten el mismo nombre de zona DNS entre ellos) y establecer una relacin de trust o confianza entre ellos. De este modo los usuarios y recursos de los distintos rboles sern visibles entre ellos, manteniendo cada estructura de rbol el propio Active Directory. Objetos Active Directory se basa en una estructura jerrquica de objetos. Los objetos se enmarcan en tres grandes categoras. recursos (p.ej. impresoras), servicios (p.ej. correo electrnico), y usuarios (cuentas, o usuarios y grupos). El AD proporciona informacin sobre los objetos, los organiza, controla el acceso y establece la seguridad. Cada objeto representa una entidad individual ya sea un usuario, un equipo, una impresora, una aplicacin o una fuente compartida de datos y sus atributos. Los objetos pueden contener otros objetos. Un objeto est unvocamente identificado por su nombre y tiene un conjunto de atributoslas caractersticas e informacin que el objeto puede contenerdefinidos por y dependientes del tipo. Los atributos, la estructura bsica del objeto, se definen por un esquema, que tambin determina la clase de objetos que se pueden almacenar en el AD.

Active Directory

"Cada atributo se puede utilizar en diferentes "schema class objects". Estos objetos se conocen como objetos esquema, o metadato, y existen para poder extender el esquema o modificarlo cuando sea necesario. Sin embargo, como cada objeto del esquema se integra con la definicin de los objetos del ANUNCIO, desactivar o cambiar estos objetos puede tener consecuencias serias porque cambiar la estructura fundamental del ANUNCIO en s mismo. Un objeto del esquema, cuando es alterado, se propagar automticamente a travs de Active Directory y una vez que se cree puede ser desactivado-no solamente suprimido. Cambiar el esquema no es algo que se hace generalmente sin un cierto planeamiento Funcionamiento Su funcionamiento es similar a otras estructuras de LDAP (Lightweight Directory Access Protocol), ya que este protocolo viene implementado de forma similar a una base de datos, la cual almacena en forma centralizada toda la informacin relativa a un dominio de autenticacin. La ventaja que presenta esto es la sincronizacin presente entre los distintos servidores de autenticacin de todo el dominio. A su vez, cada uno de estos objetos tendr atributos que permiten identificarlos en modo unvoco (por ejemplo, los usuarios tendrn campo nombre, campo email, etctera, las impresoras de red tendrn campo nombre, campo fabricante, campo modelo, campo "usuarios que pueden acceder", etc.). Toda esta informacin queda almacenada en Active Directory replicndose de forma automtica entre todos los servidores que controlan el acceso al dominio. De esta forma, es posible crear recursos (como carpetas compartidas, impresoras de red, etc.) y conceder acceso a estos recursos a usuarios, con la ventaja que estando todos estos objetos memorizados en Active Directory, y siendo esta lista de objetos replicada a todo el dominio de administracin, los eventuales cambios sern visibles en todo el mbito. Para decirlo en otras palabras, Active Directory es una implementacin de servicio de directorio centralizado en una red distribuida que facilita el control, la administracin y la consulta de todos los elementos lgicos de una red (como pueden ser usuarios, equipos y recursos). Intercambio entre dominios Para permitir que los usuarios de un dominio accedan a recursos de otro dominio, Active Directory usa un trust (en espaol, relacin de confianza). El trust es creado automticamente cuando se crean nuevos dominios. Los lmites del trust no son marcados por dominio, sino por el bosque al cual pertenece. Existen trust transitivos, donde los trust de Active Directory pueden ser un acceso directo (une dos dominios en rboles diferentes, transitivo, una o dos vas), bosque (transitivo, una o dos vas), reino (transitivo o no transitivo, una o dos vas), o externo (no transitivo, una o dos vas), para conectarse a otros bosques o dominios que no son de Active Directory. Active Directory usa el protocolo V5 de Kerberos, aunque tambin soporta NTLM y usuarios webs mediante autenticacin SSL / TLS Confianza transitiva Las Confianzas transitivas son confianzas automticas de dos vas que existen entre dominios en Active Directory.

Active Directory

Confianza explcita Las Confianzas explcitas son aquellas que establecen las relaciones de forma manual para entregar una ruta de acceso para la autenticacin. Este tipo de relacin puede ser de una o dos vas, dependiendo de la aplicacin. Las Confianzas explcitas se utilizan con frecuencia para acceder a dominios compuestos por ordenadores con Windows NT 4.0. Confianza de Acceso Directo La Confianza de acceso directo es, esencialmente, una confianza explcita que crea accesos directos entre dos dominios en la estructura de dominios. Este tipo de relaciones permite incrementar la conectividad entre dos dominios, reduciendo las consultas y los tiempos de espera para la autenticacin. Confianza entre bosques La Confianza entre bosques permite la interconexin entre bosques de dominios, creando relaciones transitivas de doble va. En Windows 2000, las confianzas entre bosques son de tipo explcito, al contrario de Windows Server 2003. Direccionamientos a recursos Los direccionamientos a recursos de Active Directory son estndares con la Convencin Universal de Nombrado (UNC), Localizador Uniforme de Recursos (URL) y nombrado de LDAP. Cada objeto de la red posee un nombre de distincin (en ingls, Distinguished name (DN)), as una impresora llamada Imprime en una Unidad Organizativa (en ingls, Organizational Units, OU) llamada Ventas y un dominio foo.org, puede escribirse de las siguientes formas para ser direccionado:

en DN sera CN=Imprime,OU=Ventas,DC=foo,DC=org, donde o CN es el nombre comn (en ingls, Common Name) o DC es clase de objeto de dominio (en ingls, Domain object Class). En forma cannica sera foo.org/Ventas/Imprime

Los otros mtodos de direccionamiento constituyen una forma local de localizar un recurso

Distincin de Nombre Relativo (en ingls, Relative Distinguised Name (RDN)), que busca un recurso slo con el Nombre Comn (CN). Globally Unique Identifier (GUID), que genera una cadena de 128 bits que es usado por Active Directory para buscar y replicar informacin

Ciertos tipos de objetos poseen un Nombre de Usuario Principal (en ingls, User Principal Name (UPN)) que permite el ingreso abreviado a un recurso o un directorio de la red. Su forma es objetodered@dominio

Active Directory

Diferencias entre Windows NT y Active Directory A diferencia del anterior sistema de administracin de dominios de Windows NT Server, que prevea nicamente el dominio de administracin, Active Directory permite tambin crear estructuras jerrquicas de dominios y subdominios, facilitando la estructuracin de los recursos segn su localizacin o funcin dentro de la organizacin a la que sirven. Otra diferencia importante es el uso de estndares como X.500 y LDAP para el acceso a la informacin. Interfaces de programacin Las interfaces de servicio de Active Directory (ADSI) entregan al programador una interfaz orientada a objetos, facilitando la creacin de programas de directorios mediante algunas herramientas compatibles con lenguajes de alto nivel, como Visual Basic, sin tener que lidiar con los distintos espacios de nombres. Mediante las ADSI se permite crear programas que realizan un nico acceso a varios recursos del entorno de red, sin importar si estn basados en LDAP u otro protocolo. Adems, permite generar secuencias de comandos para los administradores. Tambin se puede desarrollar la Interfaz de mensajera (MAPI), que permite generar programas MAPI. Requisitos de instalacin Para crear un dominio hay que cumplir, por lo menos, con los siguientes requisitos recomendados:

Tener cualquier versin Server de Windows 2000, 2003 (Server, Advanced Server o Datacenter Server) o Windows 2008, en el caso de 2003 server, tener instalado el service pack 1 en la mquina. Protocolo TCP/IP instalado y configurado manualmente, es decir, sin contar con una direccin asignada por DHCP, Tener un servidor de nombre de DNS, para resolver la direccin de los distintos recursos fsicos presentes en la red Poseer ms de 250 MB en una unidad de disco formateada en NTFS.DE WINDOWS

Active Directory

PREGUNTAS Qu es active directory? Es un sistema parejo al rbol de NetWare que sirve para compartir recursos en un conjunto de dominios. Para ello utiliza un sistema comn de resolucin de nombres (DNS) y un catlogo comn que contiene una rplica completa de todos los objetos de directorio del dominio en que se aloja adems de una rplica parcial de todos los objetos de directorio de cada dominio del bosque El objetivo de un catlogo global es proporcionar autentificacin a los inicios de sesin. Adems contiene informacin sobre todos los objetos de todos los dominios del bosque, la bsqueda de informacin en el directorio no requiere consultas innecesarias a los dominios. Una nica consulta al catlogo produce la informacin sobre donde se puede encontrar el objeto. En definitiva Active Directory es el servicio de directorio incluido con Windows 2000/2003 Qu es un servicio de directorio? Un servicio de directorio es uno de los componentes ms importantes de una red. Los usuarios y administradores con frecuencia no saben el nombre exacto de los objetos en que estn interesados. Quiz conozcan uno o ms atributos de los objetos y puedan consultar el directorio para obtener una lista de objetos que concuerden con los atributos: por ejemplo, "Encontrar todas las impresoras dplex en Edificio B". Un servicio de directorio permite que un usuario encuentre cualquier objeto con slo uno de sus atributos. Qu es un objeto? Es cualquier cosa que tenga entidad en el directorio. Puede ser un programa, un usuario, un ordenador, un router, una impresora, un proxy. Qu es un dominio? Es un conjunto de normas que especifican que administran los recursos y los clientes en una red local. En un dominio hay lo que se llama un servidor principal llamado pdc (primary domain controller) que es quien asigna derechos controla usuarios y recursos. Dado que este servidor puede recibir muchas peticiones de red por parte de los clientes, es posible instalar un servidor de rplica llamado bdc (backup domain controller) que contiene siempre una rplica de la base de datos del pdc y acta como pdc en cuanto a peticiones de clientes. Adems en caso de fallo del pdc, l se sita en el dominio como pdc.

Active Directory

En caso de haber varios bdc, uno de ellos se coloca como pdc y los dems se dedican a respaldar a ese. Qu es un rbol? Es un conjunto de dominios con relaciones de confianza entre s que comparten recursos, clientes y un sistema de resolucin de nombres. Qu es un bosque? Es un conjunto de rboles de dominio con relaciones de confianza entre s Por qu es tan importante active directory? Porque es la respuesta a la crtica que siempre se le hizo a Microsoft en Windows NT de que sus sistemas de red no son escalables. Con active directory se agilizan las bsquedas de recursos, se asegura la autentificacin de usuarios y mquinas, se comparten mejor los recursos de la red, se abandona NetBIOS como protocolo para compartir recursos (se resuelven mediante DNS y el catlogo global). Qu hace active directory que no pueda hacer con un dominio? Active directory no controla ordenadores, controla dominios y administra los recursos y clientes de esos dominios. Utiliza DNS como sistema de resolucin de nombres (debe haber obligatoriamente uno). Active directory es accesible desde cualquier servidor de dominio. Es vlido un servidor DNS que no sea de Windows? En principio debe ser vlido cualquiera que cumpla las siguientes condiciones: 1. soportar el registro de recursos Localizacin de servicios (rfc 2052) 2. Actualizacin dinmica (rfc 2136) En la prctica yo lo he intentado con varios y no lo he conseguido salvo con el de Microsoft. Cmo se instala? Al instalar cualquier versin de servidor win2k o Windows 2003 se ejecutar el asistente de active directory. Este asistente lo que hace en realidad es crear un servidor de dominio bien pdc (si no hubiera otro servidor) o bien bdc (si lo hubiera). Despus busca un servidor DNS y si lo encuentra lo anexa al rbol de active directory. Si no lo encuentra instala uno

Active Directory

Este servidor DNS es imprescindible porque en adelante los clientes localizarn un controlador de dominio para la autenticacin mediante el envo de una peticin al servidor DNS identificado en sus configuraciones TCP/IP cliente Adems active directory utilizar DNS para almacenar informacin sobre los controladores de dominio de la red. Si durante el proceso de instalacin no fuera posible encontrar un servidor DNS, Windows instalar uno en la mquina por lo que esta actuar no solo como servidor de dominio sino tambin como servidor DNS. En adelante cada vez que queramos cambiar algo respecto a active directory deberemos acceder a la consola desde el panel de control - herramientas administrativas Configuracin del servidor (tambin se puede ejecutar dcpromo.exe). Hay algo parecido en Linux? No, y no lo habr por bastante tiempo. SAMBA con LDAP es algo que an da muchos problemas y probablemente no funcionar hasta que el equipo de desarrollo de Samba solucione esos problemas. No digo que no se pueda, pero no con el nivel de estabilidad y confiabilidad que en Windows. Al menos yo no he conseguido que funcione y el equipo de desarrollo de Samba desaconseja esta direccin hoy por hoy. Para qu me sirve? Es til en redes grandes que se puedan dividir en dominios ms pequeos, centros de trabajo con varios dominios y redes intranet donde hay sucursales que comparten recursos. Sobre un dominio miempresa.com podr tener subdominios 'comerciales.miempresa.com' por ejemplo para el acceso al dominio 'comerciales'. Las consultas a recursos de la red son mucho ms rpidas porque se resuelven mediante el catlogo global en vez de bsquedas NetBIOS. La autentificacin tambin se resuelve mediante el catlogo lo que resuelve problemas de seguridad variados. Un directorio activo es lo ms seguro que tiene Windows hoy por hoy. Las consultas al servidor o a otros sitios se resuelven por DNS y no por NetBIOS. La administracin del directorio activo puede realizarse desde cualquier servidor de dominio de toda la red. Puede incluir cada objeto individual (impresora, archivo o usuario), cada servidor y cada dominio en una sola red de rea amplia. Tambin puede incluir varias redes de rea amplia combinadas. Por cierto Alguien ha conseguido utilizar samba como bdc en un directorio activo?

Active Directory 10

Fuentes: WIKI PEDA WIKILEARNING EL HACKER.NET