Directorio activo

Active Directory ( AD ) es un servicio de directorio desarrollado por Microsoft para redes de dominio de Windows . Los sistemas operativos Windows Server lo incluyen como un conjunto de procesos y servicios . ^{[ 1 ] [ 2 ]} Originalmente, solo la administración centralizada de dominios utilizaba Active Directory. Sin embargo, con el tiempo se convirtió en un término general para diversos servicios de identidad basados ​​en directorios. ^{[ 3 ]}

Un controlador de dominio es un servidor que ejecuta el rol de Servicios de dominio de Active Directory ( AD DS ). Autentica y autoriza a todos los usuarios y equipos en una red de tipo dominio de Windows , asignando y aplicando políticas de seguridad para todos los equipos e instalando o actualizando software. Por ejemplo, cuando un usuario inicia sesión en un equipo que forma parte de un dominio de Windows, Active Directory verifica el nombre de usuario y la contraseña proporcionados y determina si el usuario es un administrador del sistema o un usuario sin privilegios de administrador. ^{[ 4 ]} Además, permite la administración y el almacenamiento de información, proporciona mecanismos de autenticación y autorización, y establece un marco para implementar otros servicios relacionados: Servicios de certificados, Servicios de federación de Active Directory , Servicios de directorio ligero y Servicios de administración de derechos . ^{[ 5 ]}

Active Directory utiliza las versiones 2 y 3 del Protocolo ligero de acceso a directorios (LDAP), la versión de Kerberos de Microsoft , ^{[ 6 ]} y DNS . ^{[ 7 ]}

Robert R. King lo definió de la siguiente manera: ^{[ 8 ]}

"Un dominio representa una base de datos. Dicha base de datos almacena registros sobre los servicios de red: elementos como ordenadores, usuarios, grupos y demás componentes que utilizan, dan soporte o existen en una red. La base de datos del dominio es, en esencia, Active Directory."

Al igual que muchos esfuerzos en tecnología de la información, Active Directory se originó a partir de una democratización del diseño mediante Solicitudes de Comentarios (RFC). El Grupo de Trabajo de Ingeniería de Internet (IETF) supervisa el proceso de RFC y ha aceptado numerosas RFC iniciadas por participantes de amplio alcance. Por ejemplo, LDAP sustenta Active Directory. Además, los directorios X.500 y la Unidad Organizativa precedieron al concepto de Active Directory que utiliza esos métodos. El concepto de LDAP comenzó a surgir incluso antes de la fundación de Microsoft en abril de 1975, con RFC ya en 1971. Las RFC que contribuyeron a LDAP incluyen RFC 1823 (sobre la API de LDAP, agosto de 1995), ^{[ 9 ]} RFC 2307 , RFC 3062 y RFC 4533 . ^{[ 10 ] [ 11 ] [ 12 ]}

Microsoft presentó una vista previa de Active Directory en 1999, la lanzó por primera vez con la edición Windows 2000 Server y la revisó para ampliar la funcionalidad y mejorar la administración en Windows Server 2003. También se agregó compatibilidad con Active Directory a Windows 95, Windows 98 y Windows NT 4.0 mediante un parche, con algunas características no compatibles. ^{[ 13 ] [ 14 ]} Se introdujeron mejoras adicionales con versiones posteriores de Windows Server . En Windows Server 2008 , Microsoft agregó más servicios a Active Directory, como Active Directory Federation Services . ^{[ 15 ]} La parte del directorio encargada de administrar dominios, que era una parte central del sistema operativo, ^{[ 15 ]} pasó a llamarse Active Directory Domain Services (ADDS) y se convirtió en una función de servidor como las demás. ^{[ 3 ]} "Active Directory" se convirtió en el nombre genérico de una gama más amplia de servicios basados ​​en directorios. ^{[ 16 ]} Según Byron Hynes, todo lo relacionado con la identidad se englobó bajo el paraguas de Active Directory. ^{[ 3 ]}

Los Servicios de Active Directory constan de varios servicios de directorio. El más conocido es Active Directory Domain Services, comúnmente abreviado como AD DS o simplemente AD.

Active Directory es un servicio que comprende una base de datos y código ejecutable . Es responsable de gestionar las solicitudes y mantener la base de datos. El Agente del Sistema de Directorio es la parte ejecutable, un conjunto de servicios y procesos de Windows que se ejecutan en Windows 2000 y versiones posteriores. ^{[ 1 ]} El acceso a los objetos en las bases de datos de Active Directory es posible a través de varias interfaces, como LDAP, ADSI, la API de mensajería y los servicios del Administrador de cuentas de seguridad . ^{[ 2 ]}

Objetos utilizados

Las estructuras de Active Directory constan de información sobre objetos clasificados en dos categorías: recursos (como impresoras) y entidades de seguridad (que incluyen cuentas de usuario o de equipo y grupos). A cada entidad de seguridad se le asigna un identificador de seguridad (SID) único. Un objeto representa una entidad individual, como un usuario, un equipo, una impresora o un grupo, junto con sus atributos. Algunos objetos pueden incluso contener otros objetos en su interior. Cada objeto tiene un nombre único y su definición es un conjunto de características e información según un esquema , que determina su almacenamiento en Active Directory.

Los administradores pueden extender o modificar el esquema utilizando el objeto de esquema cuando sea necesario. Sin embargo, dado que cada objeto de esquema es fundamental para la definición de los objetos de Active Directory, desactivarlos o modificarlos puede alterar o interrumpir fundamentalmente una implementación. Modificar el esquema afecta automáticamente a todo el sistema, y ​​los nuevos objetos no se pueden eliminar, solo desactivar. Cambiar el esquema generalmente requiere planificación. ^{[ 26 ]}

Bosques, árboles y dominios

En una red de Active Directory, la estructura que contiene los objetos tiene diferentes niveles: el bosque, el árbol y el dominio. Los dominios dentro de una implementación contienen objetos almacenados en una única base de datos replicable, y la estructura de nombres DNS identifica sus dominios, el espacio de nombres . Un dominio es un grupo lógico de objetos de red, como equipos, usuarios y dispositivos, que comparten la misma base de datos de Active Directory.

Por otro lado, un árbol es una colección de dominios y árboles de dominio en un espacio de nombres contiguo, vinculados mediante una jerarquía de confianza transitiva. El bosque se encuentra en la cúspide de la estructura; es una colección de árboles con un catálogo global estándar, un esquema de directorio, una estructura lógica y una configuración de directorio. El bosque constituye un límite seguro que restringe el acceso a usuarios, equipos, grupos y otros objetos.

Unidades organizativas

Los objetos contenidos en un dominio se pueden agrupar en unidades organizativas (OU). ^{[ 27 ]} Las OU pueden proporcionar jerarquía a un dominio, facilitar su administración y asemejar la estructura de la organización en términos administrativos o geográficos. Las OU pueden contener otras OU; los dominios son contenedores en este sentido. Microsoft recomienda usar OU en lugar de dominios para estructurar y simplificar la implementación de directivas y la administración. La OU es el nivel recomendado para aplicar directivas de grupo , que son objetos de Active Directory denominados formalmente objetos de directiva de grupo (GPO), aunque las directivas también se pueden aplicar a dominios o sitios (véase más abajo). La OU es el nivel en el que se suelen delegar los poderes administrativos, pero la delegación también se puede realizar en objetos o atributos individuales.

Las unidades organizativas no tienen cada una un espacio de nombres separado. En consecuencia, para garantizar la compatibilidad con las implementaciones heredadas de NetBIOS, no se permiten cuentas de usuario con un SamAccountName idéntico dentro del mismo dominio, incluso si los objetos de cuenta están en OU separadas. Esto se debe a que SamAccountName, un atributo del objeto de usuario, debe ser único dentro del dominio. ^{[ 28 ]} Sin embargo, dos usuarios en OU diferentes pueden tener el mismo nombre común (CN), el nombre con el que se almacenan en el propio directorio, como "fred.staff-ou.domain" y "fred.student-ou.domain", donde "staff-ou" y "student-ou" son las OU.

En general, la razón por la que no se permiten nombres duplicados mediante la organización jerárquica del directorio es que Microsoft se basa principalmente en los principios de NetBIOS , un método de gestión de objetos de red con espacio de nombres plano que, en el caso del software de Microsoft, se remonta a Windows NT 3.1 y MS-DOS LAN Manager . Permitir la duplicación de nombres de objetos en el directorio, o eliminar por completo el uso de nombres NetBIOS, impediría la compatibilidad con versiones anteriores de software y equipos. Sin embargo, prohibir los nombres de objetos duplicados de esta manera constituye una violación de los RFC de LDAP en los que supuestamente se basa Active Directory.

A medida que aumenta el número de usuarios en un dominio, las convenciones como "inicial del nombre, inicial del segundo nombre, apellido" ( orden occidental ) o el orden inverso (orden oriental) resultan insuficientes para apellidos comunes como Li (李), Smith o García . Algunas soluciones alternativas incluyen añadir un dígito al final del nombre de usuario. Otras alternativas incluyen la creación de un sistema de identificación independiente con números de identificación únicos para empleados o estudiantes, que se utilizarían como nombres de cuenta en lugar de los nombres reales de los usuarios, y permitir que estos últimos elijan su secuencia de palabras preferida dentro de una política de uso aceptable .

Dado que no pueden existir nombres de usuario duplicados dentro de un dominio, la generación de nombres de cuenta supone un reto importante para las grandes organizaciones que no pueden subdividirse fácilmente en dominios separados, como los estudiantes de un sistema escolar público o una universidad que deben poder utilizar cualquier ordenador de la red.

Grupos en la sombra

En Active Directory de Microsoft, las unidades organizativas (OU) no confieren permisos de acceso, y los objetos ubicados dentro de ellas no obtienen automáticamente privilegios de acceso en función de la OU que las contiene. Esto representa una limitación de diseño específica de Active Directory, mientras que otros directorios de la competencia, como Novell NDS , pueden establecer privilegios de acceso mediante la ubicación de objetos dentro de una OU.

Active Directory requiere un paso adicional para que un administrador asigne un objeto de una unidad organizativa (OU) como miembro de un grupo dentro de esa misma OU. Utilizar únicamente la ubicación de la OU para determinar los permisos de acceso no es fiable, ya que es posible que la entidad aún no se haya asignado al grupo de objetos de esa OU.

Una solución alternativa común para un administrador de Active Directory es escribir un script personalizado de PowerShell o Visual Basic para crear y mantener automáticamente un grupo de usuarios para cada unidad organizativa (OU) en su directorio. Los scripts se ejecutan periódicamente para actualizar el grupo y que coincida con la pertenencia de cuentas de la OU. Sin embargo, no pueden actualizar instantáneamente los grupos de seguridad cada vez que cambia el directorio, como ocurre en directorios concurrentes, ya que la seguridad se implementa directamente en el directorio. Estos grupos se conocen como grupos de sombra . Una vez creados, estos grupos de sombra se pueden seleccionar en lugar de la OU en las herramientas administrativas. La documentación de referencia de Microsoft Server 2008 menciona los grupos de sombra, pero no proporciona instrucciones para crearlos. Además, no existen métodos de servidor ni complementos de consola disponibles para administrar estos grupos. ^{[ 29 ]}

Una organización debe determinar la estructura de su infraestructura de información dividiéndola en uno o más dominios y unidades organizativas (OU) de nivel superior. Esta decisión es fundamental y puede basarse en diversos modelos, como unidades de negocio, ubicaciones geográficas, servicios de TI, tipos de objetos o una combinación de estos. El objetivo inmediato de organizar las OU es simplificar la delegación administrativa y, secundariamente, aplicar directivas de grupo. Si bien las OU sirven como límite administrativo, el propio bosque es el único límite de seguridad. Todos los demás dominios deben confiar en cualquier administrador del bosque para mantener la seguridad. ^{[ 30 ]}

Los sitios son agrupaciones físicas (en lugar de lógicas) definidas por una o más subredes IP . ^{[ 32 ]} AD también define conexiones, distinguiendo enlaces de baja velocidad (p. ej., WAN , VPN ) de enlaces de alta velocidad (p. ej., LAN ). Las definiciones de sitio son independientes de la estructura de dominio y OU y se comparten en todo el bosque. Los sitios desempeñan un papel crucial en la gestión del tráfico de red creado por la replicación y en la dirección de los clientes a sus controladores de dominio (DC) más cercanos. Microsoft Exchange Server 2007 utiliza la topología de sitio para el enrutamiento de correo. Los administradores también pueden definir directivas a nivel de sitio.

La información de Active Directory se almacena físicamente en uno o más controladores de dominio pares , reemplazando el modelo NT PDC / BDC . Cada controlador de dominio tiene una copia de Active Directory. Los servidores miembros unidos a Active Directory que no son controladores de dominio se denominan servidores miembros. ^{[ 33 ]} En la partición del dominio, un grupo de objetos actúa como copias de los controladores de dominio configurados como catálogos globales. Estos servidores de catálogo global ofrecen una lista completa de todos los objetos en el bosque. ^{[ 34 ] [ 35 ]}

Los servidores del Catálogo Global replican todos los objetos de todos los dominios en sí mismos, proporcionando una lista internacional de entidades en el bosque. Sin embargo, para minimizar el tráfico de replicación y mantener pequeña la base de datos del GC, solo se replican atributos seleccionados de cada objeto, denominados conjunto de atributos parciales (PAS). El PAS se puede modificar modificando el esquema y marcando las características para su replicación al GC. ^{[ 36 ]} Las versiones anteriores de Windows utilizaban NetBIOS para comunicarse. Active Directory está totalmente integrado con DNS y requiere TCP/IP —DNS. Para funcionar correctamente, el servidor DNS debe admitir registros de recursos SRV , también conocidos como registros de servicio.

Generalmente, una red que utiliza Active Directory tiene más de un servidor Windows con licencia. Es posible realizar copias de seguridad y restaurar Active Directory en una red con un único controlador de dominio. ^{[ 40 ]} Sin embargo, Microsoft recomienda tener más de un controlador de dominio para proporcionar protección de conmutación por error automática del directorio. ^{[ 41 ]} Idealmente, los controladores de dominio deben dedicarse exclusivamente a las operaciones de directorio y no deben ejecutar ningún otro software ni desempeñar ninguna otra función. ^{[ 42 ]}

Dado que ciertos productos de Microsoft, como SQL Server ^{[ 43 ] [ 44 ]} y Exchange, ^{[ 45 ]} pueden interferir con el funcionamiento de un controlador de dominio, se recomienda aislar estos productos en servidores Windows adicionales. Combinarlos puede complicar la configuración y la resolución de problemas del controlador de dominio o del otro software instalado. ^{[ 46 ]} Si se planea implementar Active Directory, una empresa debería adquirir varias licencias de servidor Windows para tener al menos dos controladores de dominio separados. Los administradores deberían considerar controladores de dominio adicionales para mejorar el rendimiento o la redundancia, y servidores individuales para tareas como el almacenamiento de archivos, Exchange y SQL Server ^{[ 47 ],} ya que esto garantizará que todas las funciones del servidor sean compatibles adecuadamente.

Una forma de reducir los costos del hardware físico es mediante la virtualización . Sin embargo, para una protección adecuada contra fallos, Microsoft recomienda no ejecutar varios controladores de dominio virtualizados en el mismo hardware físico. ^{[ 48 ]}

La base de datos de Active Directory , el almacén de directorios , en Windows 2000 Server utiliza el motor de almacenamiento extensible (ESE98) basado en JET Blue . La base de datos de cada controlador de dominio está limitada a 16 terabytes y 2 mil millones de objetos (pero solo 1 mil millones de entidades de seguridad). Microsoft ha creado bases de datos NTDS con más de 2 mil millones de objetos. ^{[ 49 ]} El Administrador de cuentas de seguridad de NT4 podía admitir hasta 40 000 objetos. Tiene dos tablas principales: la tabla de datos y la tabla de vínculos . Windows Server 2003 añadió una tercera tabla principal para la instanciación única de descriptores de seguridad . ^{[ 49 ]}

Los programas pueden acceder a las características de Active Directory ^{[ 50 ]} a través de las interfaces COM proporcionadas por las Interfaces de Servicio de Active Directory . ^{[ 51 ]}

Para permitir que los usuarios de un dominio accedan a los recursos de otro, Active Directory utiliza relaciones de confianza. ^{[ 52 ]}

Las relaciones de confianza dentro de un bosque se crean automáticamente al crear dominios. El bosque establece los límites predeterminados de la relación de confianza, y la confianza implícita y transitiva es automática para todos los dominios dentro del bosque.

Las herramientas de administración de Microsoft Active Directory incluyen:

• Centro de administración de Active Directory (introducido con Windows Server 2012 y versiones posteriores),
• Usuarios y equipos de Active Directory,
• Dominios y relaciones de confianza de Active Directory,
• Sitios y servicios de Active Directory,
• Edición ADSI,
• Usuarios y grupos locales,
• Complementos de esquema de Active Directory para la consola de administración de Microsoft (MMC),
• SysInternals ADExplorer.

Estas herramientas de gestión pueden no ofrecer la funcionalidad suficiente para un flujo de trabajo eficiente en entornos de gran tamaño. Algunas herramientas de terceros amplían las capacidades de administración y gestión. Proporcionan características esenciales para un proceso administrativo más práctico, como automatización, informes, integración con otros servicios, etc.

En la mayoría de los sistemas operativos tipo Unix (incluidos Unix , Linux , Mac OS X o programas basados ​​en Java y Unix) se pueden lograr distintos niveles de interoperabilidad con Active Directory mediante clientes LDAP que cumplen con los estándares, pero estos sistemas generalmente no interpretan muchos atributos asociados con los componentes de Windows, como la Directiva de grupo y la compatibilidad con relaciones de confianza unidireccionales.

Existen proveedores externos que ofrecen integración con Active Directory para plataformas tipo Unix, entre los que se incluyen:

• PowerBroker Identity Services , anteriormente Likewise ( BeyondTrust , anteriormente Likewise Software): permite que un cliente que no sea Windows se una a Active Directory ^{[ 56 ].}
• ADmitMac ( Thursby Software Systems ) ^{[ 56 ]}
• Samba ( software libre bajo GPLv3 ) – Puede actuar como un Active Directory completamente funcional ^{[ 57 ] [ 58 ]}

Las adiciones de esquema incluidas en Windows Server 2003 R2 incluyen atributos que se corresponden lo suficientemente bien con RFC 2307 como para ser de uso general. La implementación de referencia de RFC 2307, nss_ldap y pam_ldap proporcionadas por PADL.com, admiten directamente estos atributos. El esquema predeterminado para la pertenencia a grupos cumple con RFC 2307bis (propuesto). ^{[ 59 ]} Windows Server 2003 R2 incluye un complemento de la Consola de administración de Microsoft que crea y edita los atributos.

Una opción alternativa es usar otro servicio de directorio, ya que los clientes que no son de Windows se autentican en este, mientras que los clientes de Windows se autentican en Active Directory. Entre los clientes que no son de Windows se incluyen 389 Directory Server (anteriormente Fedora Directory Server, FDS), ViewDS v7.2 XML Enabled Directory y Sun Microsystems Sun Java System Directory Server . Los dos últimos pueden realizar una sincronización bidireccional con Active Directory y, por lo tanto, proporcionan una integración indirecta.

Otra opción es usar OpenLDAP con su superposición translúcida , que puede ampliar las entradas de cualquier servidor LDAP remoto con atributos adicionales almacenados en una base de datos local. Los clientes conectados a la base de datos local ven entradas que contienen tanto los atributos remotos como los locales, mientras que la base de datos remota permanece completamente intacta.

La administración (consulta, modificación y supervisión) de Active Directory se puede realizar mediante muchos lenguajes de scripting, incluidos PowerShell , VBScript , JScript/JavaScript , Perl , Python y Ruby . ^{[ 60 ] [ 61 ] [ 62 ] [ 63 ]} Las herramientas de administración de Active Directory gratuitas y de pago pueden ayudar a simplificar y posiblemente automatizar las tareas de administración de Active Directory.

Desde octubre de 2017, Amazon AWS ofrece integración con Microsoft Active Directory. ^{[ 64 ]}

• AGDLP (implementación de controles de acceso basados ​​en roles mediante grupos anidados)
• Directorio abierto de Apple
• Operación maestra única flexible
• FreeIPA
• Lista de software LDAP
• Demonio de servicios de seguridad del sistema (SSSD)
• Servidor corporativo de Univention

• Microsoft Technet: Libro blanco: Arquitectura de Active Directory (Documento técnico único que ofrece una visión general de Active Directory).
• Microsoft Technet: Descripción detallada de Active Directory en Windows Server 2003
• Biblioteca MSDN de Microsoft: [MS-ADTS]: Especificación técnica de Active Directory (parte de la Promesa de Especificación Abierta de Microsoft )
• Modo de aplicación de Active Directory (ADAM)
• Microsoft MSDN: [AD-LDS]: Servicios de directorio ligero de Active Directory
• Microsoft TechNet: [AD-LDS]: Servicios de directorio ligero de Active Directory
• Microsoft MSDN: Esquema de Active Directory
• Microsoft TechNet: Comprensión del esquema
• Revista Microsoft TechNet: Ampliación del esquema de Active Directory
• Microsoft MSDN: Servicios de certificados de Active Directory
• Microsoft TechNet: Servicios de certificados de Active Directory