• Active Directory (AD) es el término que usa Microsoft para referirse a suimplementación de servicio de directorio en una red distribuida decomputadores. Utiliza distintosprotocolos (principalmente LDAP, DNS, DHCP, ...).

• De forma sencilla se puede decir que es un servicio establecido en uno ovarios servidores en donde se crean objetos tales como usuarios, equipos ogrupos, con el objetivo de administrar los inicios de sesión en los equiposconectados a la red, así como también la administración de políticas en todala red.

• Su estructura jerárquica permite mantener una serie de objetos relacionadoscon componentes de una red, como usuarios, grupos de usuarios, permisos yasignación de recursos y políticas de acceso.

• Active Directory permite a los administradores establecer políticas a nivel deempresa, desplegar programas en muchos ordenadores y aplicaractualizaciones críticas a una organización entera. Un Active Directoryalmacena información de una organización en una base de datos central,organizada y accesible. Pueden encontrarse desde directorios con cientos deobjetos para una red pequeña hasta directorios con millones de objetos.

• Estructura• Active Directory está basado en una serie de estándares llamados X.500, aquí

se encuentra una definición lógica a modo jerárquico.

• Dominios y subdominios se identifican utilizando la misma notación de laszonas DNS, razón por la cual Active Directory requiere uno o más servidores DNSque permitan el direccionamiento de los elementos pertenecientes a la red, comopor ejemplo el listado de equipos conectados; y los componentes lógicos de lared, como el listado de usuarios.

• Un ejemplo de la estructura descendente (o herencia), es que si un usuariopertenece a un dominio, será reconocido en todo el árbol generado a partir de esedominio, sin necesidad de pertenecer a cada uno de los subdominios.

• A su vez, los árboles pueden integrarse en un espacio común denominado bosque(que por lo tanto no comparten el mismo nombre de zona DNS entre ellos) yestablecer una relación de «trust» o confianza entre ellos. De este modo losusuarios y recursos de los distintos árboles serán visibles entre ellos,manteniendo cada estructura de árbol el propio Active Directory.

• Objetos

• Active Directory se basa en una estructura jerárquica de objetos. Los objetos seenmarcan en tres grandes categorías. — recursos (p.ej. impresoras), servicios(p.ej. correo electrónico), y usuarios (cuentas, o usuarios y grupos). El ADproporciona información sobre los objetos, los organiza, controla el acceso yestablece la seguridad.

• Funcionamiento• Su funcionamiento es similar a otras estructuras de LDAP (Lightweight

Directory Access Protocol), ya que este protocolo viene implementado deforma similar a una base de datos, la cual almacena en forma centralizadatoda la información relativa a un dominio de autenticación. Una de susventajas es la sincronización presente entre los distintos servidores deautenticación de todo el dominio.

• A su vez, cada uno de estos objetos tendrá atributos que permitenidentificarlos en modo unívoco (por ejemplo, los usuarios tendrán campo«nombre», campo «email», etcétera, las impresoras de red tendrán campo«nombre», campo «fabricante», campo «modelo», campo "usuarios quepueden acceder", etc). Toda esta información queda almacenada en ActiveDirectory replicándose de forma automática entre todos los servidores quecontrolan el acceso al dominio.

• De esta forma, es posible crear recursos (como carpetas compartidas,impresoras de red, etc) y conceder acceso a estos recursos a usuarios,con la ventaja que estando todos estos objetos memorizados en ActiveDirectory, y siendo esta lista de objetos replicada a todo el dominio deadministración, los eventuales cambios serán visibles en todo el ámbito.

Confianzas

transitivas.

• Las Confianzastransitivas sonconfianzasautomáticas dedos vías queexisten entredominios enActiveDirectory.

Confianzas explícitas

• Las Confianzasexplícitas son aquellasque establecen lasrelaciones de formamanual para entregaruna ruta de accesopara la autenticación.Este tipo de relaciónpuede ser de una odos vías, dependiendode la aplicación.

• Las Confianzasexplícitas se utilizancon frecuencia paraacceder a dominioscompuestos porordenadorescon Windows NT 4.0.

Confianza de Acceso Directo• La Confianza de acceso

directo es,esencialmente, unaconfianza explícita quecrea accesos directosentre dos dominios enla estructura dedominios. Este tipo derelaciones permiteincrementar laconectividad entre dosdominios, reduciendolas consultas y lostiempos de espera parala autenticación.

Confianza entre bosques

La Confianza entrebosques permite lainterconexión entrebosques de dominios,creando relacionestransitivas de doble vía.En Windows 2000, lasconfianzas entrebosques son de tipoexplícito, al contrariode Windows Server2003.

• Direccionamientos a recursos• Los direccionamientos a recursos de Active Directory son estándares con la

Convención Universal de Nombres (UNC), Localizador Uniforme de Recursos (URL) yNombres de LDAP.

• Cada objeto de la red posee un nombre de distinción (en inglés, Distinguished name(DN)), así una impresora llamada Imprime en una Unidad Organizativa (en inglés,Organizational Units, OU) llamada Ventas y un dominio foo.org, puede escribirse de lassiguientes formas para ser direccionado:

• en DN sería CN = Imprime, OU = Ventas, DC = foo, DC = org, donde

• CN es el nombre común (en inglés, Common Name)

• DC es clase de objeto de dominio (en inglés, Domain object Class).

• En forma canónica sería foo.org/Ventas/Imprime

• Los otros métodos de direccionamiento constituyen una forma local de localizar unrecurso

• Distinción de Nombre Relativo (en inglés, Relative Distinguised Name (RDN)), quebusca un recurso sólo con el Nombre Común (CN).

• Globally Unique Identifier (GUID), que genera una cadena de 128 bits que es usado porActive Directory para buscar y replicar información

• Ciertos tipos de objetos poseen un Nombre de Usuario Principal (en inglés, UserPrincipal Name (UPN)) que permite el ingreso abreviado a un recurso o un directorio dela red. Su forma es objetodered@dominio.

• Diferencias entre Windows NT y Active

Directory• A diferencia del anterior sistema de administración de dominios de Windows NT

Server, que proveía únicamente el dominio de administración, Active Directory permite

también crear estructuras jerárquicas de dominios y subdominios, facilitando la

estructuración de los recursos según su localización o función dentro de la

organización a la que sirven. Otra diferencia importante es el uso de estándares como

X.500 y LDAP para el acceso a la información.

• Interfaces de programación• Las interfaces de servicio de Active Directory (ADSI) entregan al programador una

interfaz orientada a objetos, facilitando la creación de programas de directorios

mediante algunas herramientas compatibles con lenguajes de alto nivel, como Visual

Basic, sin tener que lidiar con los distintos espacios de nombres.

• Mediante las ADSI se permite crear programas que realizan un único acceso a varios

recursos del entorno de red, sin importar si están basados en LDAP u otro protocolo.

Además, permite generar secuencias de comandos para los administradores.

• También se puede desarrollar la Interfaz de mensajería (MAPI), que permite generar

programas MAPI.

• Requisitos de instalación• Para crear un dominio hay que cumplir, por lo menos, con los siguientes

requisitos recomendados:

• Tener cualquier versión Server de Windows 2000, 2003 (Server,

Advanced Server o Datacenter Server) o Windows 2008. En el caso de

2003 server, tener instalado el SP1 en la máquina.

• Protocolo TCP/IP instalado y configurado manualmente, es decir, sin

contar con una dirección asignada por DHCP,

• Tener un servidor de nombre de DNS, para resolver la dirección de los

distintos recursos físicos presentes en la red

• Poseer más de 250 MB en una unidad de disco formateada en NTFS.

• Alternativas• Samba es un programa de código libre, que tiene disponible un controlador de

dominios compatible con Windows NT 4, Windows 2003 y Windows 2008.

• El programa de código libre Mandriva Directory Server ofrece una interfaz web para

manejar el controlador de dominios de Samba y el servicio de directorios de LDAP.

• Otra alternativa es Novell eDirectory, que es Multiplataforma: se puede correr sobre

cualquier sistema operativo: Linux, AIX, Solaris, Novell Netware, UNIX e integra LDAP

v.3 Nativo. Es el precursor en materia de estructuras de Directorio, ya que fue

introducido en 1990 con la versión de Novell Netware 4.0. Aunque AD de Microsoft

alcanzó mayor popularidad, todavía no puede igualar la fiabilidad y calidad de

eDirectory y su capacidad Multiplataforma.

• Sun Java ES Directory Server y OpenDS son otras alternativas, el primero basado

en java y el segundo basado y desarrollado en C. El primero es un producto de Sun

Microsystems y el segundo una alternativa de código abierto.

• Una alternativa que integra OpenLDAP, Heimdal kerberos, Samba y además

certificación digital y Bind9 (modificado para usar LDAP como backend)

es WBSAgnitio

Para llevar a cabo la configuración de red, se utilizará “Initial Configuration

Tasks” y en este caso hacemos “click” en “Configure Networking” dentro del

primer apartado: “Provide Computer Information“.

• Si no nos sale esta ventana al inicio, podemos abrirla mediante la consola de

comandos y utilizar el comando: oobe.exe.

Seleccionamos “Local Área Connection”

y en la barra de herramientas elegimos

“change settings of this connection“.

Permitimos, permitimos…

A continuación vemos la ventana de “Local Área

Connection Propieties“. Vamos, las propiedades

de la configuración de la conexión de red de área

local, para entendernos.

Nos posicionamos en “Internet Protocol Versión 4

(TCP/IPv4)” y volvemos pulsamos el botón de

“propieties“.

Ahora la tenemos sin configurar, como se puede observar en la captura

siguiente:

Como nosotros estamos configurando el servidor para hacer pruebas, no lo

vamos a configurar ni en una red empresarial ni por DHCP ni nada de eso.

La red que estamos montando es privada, solo se verán entre los equipos

que utilizaremos de pruebas.

A continuación podemos ver la configuración manual propuesta, o utilizar otra

que guste más.

Al pulsar en “Ok“, vemos el resultado en

la pantalla de “Initial Configuration

Tasks“, en el apartado de Networking.

Ahora aparecerá configurada.

Como siempre, cuando hacemos un

cambio en la configuración de Windows

que es un poco importante, nos pedirá

que reiniciemos el equipo.

Cuando volvemos a iniciar el servidor y por lo

que sea no tenemos disponible la ventana “Initial

configuration Tasks” (seguramente hayamos

activado “do not show this windows at logon“)

podemos sacarla desde la consola de comandos

utilizando “Oobe.exe”.

Ya tenemos configurada la red.

• Antes de instalar el rol de Active Directory Domain Server en un servidor y

promoverlo a servidor de dominio, tenemos que planear la infraestructura de

Active Directory.

• Tenemos que tener decidido el nombre del dominio y de DNS. Un dominio solo

puede tener un nombre de DNS.

• Si el dominio que vamos a crear va a tener controladores de dominio de

versiones anteriores a Windows Server 2008. En ese caso tendremos que

configurar bien el “nivel funcional”. Si el futuro dominio solo va a tener

controladores de dominio con Windows Server 2008, tendremos que configurar

el “nivel funcional” correctamente para beneficiarnos de todas la nuevas

características de esta versión de Windows.

• Detallar como se implementara el DNS para soportar Active Directory. Es una

buena practica implementar el DNS para nuestros dominios Windows utilizando

el servicio DNS de Windows.

• La configuración IP para el controlador de dominio. Por supuesto una IP estática

y los valores de la máscara subred. También deberemos configurar los

servidores DNS para que lleve a cabo resolución de nombres.

• El nombre y contraseña de una cuenta de administrador. La contraseña debe

existir y cuanto más compleja, mejor. Pero eso sí, que podamos recordarla.

• Comenzaremos desde el “Server Manager” (podemos hacerlo de más formas).

Ya sabremos que Windows 2008 nos facilita la configuración basada en roles,

instalando solo los componentes que son indispensables para los roles que

ejecutara el servidor.

• El el apartado de “Roles Summary” hacemos click en “Add Roles”.

Este “Add Roles Wizard” es muy

intuitivo.

Pulsamos en “next”.

A continuación tenemos una

lista de los roles que le

podemos añadir al servidor.

Activamos la casilla de “Active

Directory Domain Services”.

Podemos leer lo que nos muestra

para entenderlo un mejor.

Después de pulsar en “Install”,

comienza la instalación de AD

DS.

Al finalizar, nos muestra un

resumen de la instalación que

ha realizado.

Volvemos al “Server Manager” y

ahora podemos ver que hay un

Rol instalado.

En la parte izquierda,

expandimos “Roles” y

seleccionamos “Active

Directory Domain

Services” para que nos

muestre las

características del mismo:

Así, ya tenemos instalados

los Servicios de Dominio del Directorio

Activo.