Administración de Servidores II
Active Directory
José Moisés Aguilar Torres
TIC RT 5to “A”
Lectura Técnica
Active Directory
Hoy en día, los ordenadores existentes en cualquier organización se encuentran formando
parte de redes de ordenadores, de forma que pueden intercambiar información. Desde el
punto de vista de la administración de sistemas, la mejor forma de aprovechar esta
característica es la creación de un dominio de sistemas, en donde la información
administrativa y de seguridad se encuentra centralizada en uno o varios servidores,
facilitando así la labor del administrador. Windows Server 2008 utiliza el concepto de
directorio para implementar dominios de sistemas Windows, que pueden incluir sistemas
servidores (como Windows 2000, Windows Server 2003 o Windows Server 2008) y
clientes (como Windows XP, Windows Vista o Windows 7).
En el ámbito de las redes de ordenadores, el concepto de directorio (o almacén de datos)
se define como una estructura jerárquica que almacena información sobre objetos
existentes en la red (o más ampliamente, en la organización). Normalmente, un directorio
se implementa mediante una base de datos optimizada para operaciones de lectura, que
soporta búsquedas de grandes volúmenes de información y con capacidades de
exploración. Existen varios estándares de la industria que especifican cómo debe definirse
un servicio de directorio, destacando entre ellos el Directory Access Protocol, así como
una versión simplificada y más utilizada del mismo, denominada Lightweight Directory
Access Protocol, o LDAP.
Active Directory Domain Services (AD DS), o Servicios de Dominio del Directorio Activo,
es el nombre que recibe el conjunto de elementos que globalmente constituyen el servicio
directorio en dominios Windows Server 2008 (por simplificar, en adelante nos referiremos
a este servicio como Directorio Activo, tal como se le denominaba en versiones previas de
Windows Server). En esencia, este servicio almacena información acerca de los
recursos disponibles en el dominio y permite el acceso controlado de los usuarios
y aplicaciones a dichos recursos, de forma que se convierte en un medio de
organizar, controlar y administrar centralizada mente el acceso a los recursos de la red.
instalar el Directorio Activo en sistemas Windows Server 2008 de nuestra red,
convertimos a dichos sistemas en los servidores del dominio, o más correctamente, en
los denominados controladores de Dominio (Domain Controllers, o "DCs"). El resto de
los equipos de la red pueden convertirse entonces en los clientes de dicho servicio de
directorio, también denominados miembros del dominio, con lo que pueden consultar toda
la información almacenada en los DCs. Como veremos, esta información incluye
elementos típicamente centralizados en dominios de muchos tipos de sistemas, como
cuentas de usuario, grupo, ordenador, etc., así como otras características propias de
sistemas Windows Server, como directivas de usuario o equipo, relaciones de
confianza, aspectos sobre la replicación de datos entre servidores, etc. De esta
forma, el Directorio Activo se convierte en una herramienta fundamental de administración
de toda la organización.
Una de las ventajas fundamentales del Directorio Activo a la hora de administrar dominios
es que conceptualmente separa la estructura lógica de la organización (dominios) de
su estructura física (topología de red). Ello permite, por una parte, independizar la
estructuración de dominios de la organización de la topología de la red o redes que
interconectan los sistemas; y, por otra parte, permite administrar la estructura física
explícitamente cuando es necesario, de forma independiente de la administración de los
dominios. Más adelante en este capítulo se exponen ambas estructuras detalladamente.
Estándares Relacionados
A partir de la versión Windows 2000, Windows Server ha basado la implementación del
Directorio Activo, una serie de protocolos y estándares existentes, lo cual ha permitido
obtener un servicio de directorio no sólo robusto y escalable, sino también interoperable
con otros servicios de directorio. Entre estos estándares, podemos destacar los
siguientes:
• DHCP (Dynamic Host Configuration Protocol). Protocolo de configuración dinámica
de ordenadores, que permite la administración desatendida de características de
red.
• DNS (Domain Name System). Servicio de nombres de dominio que permite la
administración de los nombres de ordenadores. Este servicio constituye el
mecanismo de asignación y resolución de nombres (traducción de nombres
simbólicos a direcciones IP) en Internet.
• SNTP (Simple Network Time Protocol). Protocolo simple de tiempo de red, que
permite disponer de un servicio de sincronización de tiempo entre sistemas
conectados por red.
• LDAP (Lightweight Directory Access Protocol). Protocolo ligero (o compacto) de
acceso a directorio. Este es el protocolo mediante el cual las aplicaciones acceden
para leer o modificar la información existente en la base de datos del directorio.
• Kerberos V5. Protocolo utilizado para la autenticación de usuarios y máquinas..
• Certificados X.509. Estándar que permite distribuir información a través de la
red de una forma segura. De entre todos ellos, es imprescindible que el
administrador conozca en detalle la relación entre el Directorio Activo y DNS. A
continuación se exponen los aspectos fundamentales de esta relación.
Active Direcory y DNS
Tanto el Directorio Activo como DNS establecen espacios de nombres. Podemos entender
un espacio de nombres como un área delimitada en la cual un nombre puede ser resuelto.
La resolución de nombres es el proceso de traducción de un nombre en un objeto o
información que lo representa. Por ejemplo, el sistema de ficheros NTFS puede ser
considerado un espacio de nombres en cual un nombre de fichero puede ser resuelto en
el fichero propiamente dicho.
DNS es el sistema de nombres de facto para redes basadas en el protocolo TCP/IP y
además, es el servicio de nombres que se usa para localizar ordenadores en Internet.
Inclusive sin considerar dominios, Windows Server 2008 utiliza principalmente DNS para
localizar a otros ordenadores en la red. A continuación se expone la relación que existe
entre DNS y los dominios Windows Server 2008.
Cada dominio Windows Server 2008 se identifica unívocamente mediante un
nombre de dominio DNS (por ejemplo, miempresa.com). Por otro lado, cada ordenador
basado en Windows Server que forma parte de un dominio tiene un nombre DNS cuyo
sufijo es precisamente el nombre DNS de dicho dominio (siguiendo con el ejemplo, un
ordenador de dicho dominio podría denominarse pc0100.miempresa.com). De esta forma,
los dominios y ordenadores que se representan como objetos en Active Directory, son
también nodos en DNS. Por tanto resulta fácil confundir ambos espacios de nombres,
ya que comparten idénticos nombres de dominio. La diferencia es que aunque
comparten la misma estructura, almacenan información diferente: DNS almacena zonas y
registros de recursos y el Directorio Activo almacena dominios y objetos de dominio.
Como conclusión diremos que Directorio Activo utiliza DNS para tres funciones
principales:
1. Resolución de nombres: DNS es el mecanismo por defecto de resolución
de nombres en dominios Windows Server 2008, permitiendo localizar por nombre
a los ordenadores de la red (al traducir nombres a direcciones IP).
2. Definición del espacio de nombres: el Directorio Activo utiliza las convenciones
de nomenclatura de DNS para asignar nombres a los dominios. Es decir, los
dominios Windows Server 2008 se nombran necesariamente mediante nombres
de dominio DNS.
3. Búsqueda de los componentes físicos de AD: para iniciar una sesión de red o
realizar consultas al Directorio Activo, los sistemas Windows miembros de un
dominio deben encontrar primero a alguno de los DCs del dominio, y para ello
realizan consultas DNS. Por tanto, debe existir un servidor DNS disponible que
incluya la información necesaria para responder estas consultas. En particular,
esta información se almacena en DNS mediante registros de recursos SRV que
especifican el servidor (o servidores) del dominio que proporcionan los servicios de
directorio correspondientes (LDAP, Kerberos, catálogo global, etc.).
Estructura Lógica de Active Directory
La estructura lógica del Directorio Activo se centra en la administración de los recursos de
la organización, independientemente de la ubicación física de dichos recursos, y de la
topología de las redes subyacentes. Como veremos, la estructura lógica de la
organización se basa en el concepto de dominio, o unidad mínima de directorio, que
internamente contiene información sobre los recursos (usuarios, grupos, ordenadores,
directivas, etc.) existentes en dicho dominio. Dentro de un dominio es posible subdividir
lógicamente el directorio mediante el uso de unidades organizativas, que permiten
una administración independiente sin la necesidad de crear múltiples dominios. Sin
embargo, si la organización necesita estructurarse en varios dominios, también
puede hacerlo, mediante los conceptos de árbol y bosque; ambos son jerarquías de
dominios a distintos niveles, en función de si los dominios comparten o no un espacio de
nombres común. A continuación se presentan todos estos conceptos de forma más
detallada.
