Servicios de dominio de Active Directory

1. El bosque Active Directory

Un bosque es una colección de uno o varios dominios de Active Directory, el primero instalado se denomina dominio raíz. Su nombre DNS (por ejemplo: Formacion.local) se asignará también al bosque. En nuestro ejemplo, el bosque tendrá el nombre Formacion.local.

En un bosque, el conjunto de dominios utiliza la misma partición, configuración y esquema. El sistema de partición se detalla en la sección Las particiones de Active Directory. 

No se replica ningún dato (cuenta de usuario, equipo…) fuera del bosque, esto sirve por tanto como frontera de seguridad.

2. El dominio y la arborescencia de dominios

Una arborescencia de dominios es un conjunto de dominios que comparten un espacio de nombres contiguo. De este modo, en el ejemplo que se muestra a continuación podremos ver la arborescencia de dominios Formacion.local. Este último contiene un dominio hijo llamado Microsoft.Formacion.local. El nombre Formacion.local es idéntico a ambos dominios.

La relación de aprobación entre los dominios de una misma arborescencia es de tipo padre/hijo. Cuando se agrega un dominio hijo, se crea automáticamente una relación de aprobación de tipo bidireccional y transitiva.

Si el espacio de nombres es distinto, hablaremos entonces de una nueva arborescencia. Los dominios Formacion.local y Prod.local son dos arborescencias diferentes dentro del mismo bosque.

El dominio representa un límite de seguridad donde se definen los usuarios.

Un dominio contiene, al menos, un controlador de dominio. Sin embargo, se recomienda tener dos para asegurar la autentificación en caso de mantenimiento o de caída de alguno de los servidores de directorio. Si no queda ningún servidor en línea, la autenticación no se podrá asegurar, lo que implicará una pérdida de producción para el conjunto de usuarios.

Un servidor con el rol de controlador de dominio tiene la responsabilidad de realizar la autentificación de las cuentas de usuario y de equipo.

3. La unidad organizativa

Una unidad organizativa (OU, Organizational...

1. Requisitos previos necesarios para promocionar un servidor

La promoción de un servidor a controlador de dominio tiene algunos requisitos previos. Si estos últimos no se respetan, la operación se detiene.

2. Instalación de un dominio nuevo en un bosque nuevo

Los servicios AD se consideran como roles y se muestran en la lista de roles.

Habiendo realizado la configuración previamente, basta con instalar Active Directory.

1. Detener/iniciar los servicios de Active Directory con la consola MMC Services

Existen dos formas de detener o iniciar el servicio Active Directory: la primera, vista en este apartado, es la gestión del servicio desde la consola MMC Services.msc.

La detención de este servicio permite realizar un mantenimiento (defragmentación...) sobre la base de datos del rol AD DS.

1. Los distintos componentes de la clonación

Se incluyen nuevas instrucciones PowerShell en el módulo Active Directory:

New-ADDCCloneConfigFile: permite ubicar el archivo DCCloneConfig.xml en el lugar correcto, etapa indispensable para iniciar la clonación. Se realizan controles previos para asegurar el correcto funcionamiento de la operación. La ejecución puede ser local sobre un controlador de dominio virtualizado en curso de clonación, o remota utilizando la opción offline.

Las verificaciones previas son las siguientes:

DCCloneConfig.xml: es necesario asegurar la presencia...

1. Auditar el estado de salud

La auditoría del estado de salud es uno de los puntos más importantes, pues nos va a permitir validar la actualización de los controladores de dominio. En efecto, no se recomienda realizar este tipo de operación si algún componente de Active Directory o la replicación sufren algún mal funcionamiento.

La primera etapa será validar el funcionamiento de las distintas aplicaciones utilizadas por el directorio con el nuevo sistema operativo.

Tomemos como ejemplo Exchange 2016: es necesario instalar la Rollup Update 5 o superior para obtener un buen funcionamiento en AD Windows Server 2016.

Un inventario de aplicaciones actualizado permite validar rápidamente esta etapa.

Una vez validada la etapa de compatibilidad, es preciso tener en cuenta el estado de salud de los controladores de dominio. Para ello, deben ejecutarse varios comandos:

Repadmin

Mediante este comando, es posible asegurar el buen funcionamiento de las replicaciones AD. Como hemos visto antes en este capítulo, en un dominio AD se operan dos tipos de replicación.

El siguiente comando permite obtener un archivo csv que nos va a permitir ver rápidamente el estado de las replicaciones.

Repadmin /showrepl * /csv > C:\reportReplicaciones.txt

Abra el archivo txt con Excel y, a continuación, seleccione en el asistente una separación utilizando la coma. El resultado...

1. Funcionalidades ofrecidas por Azure AD

Azure AD se utiliza en servicios en línea como Office 365 o Intune para la autorización del acceso al servicio. La funcionalidad de autenticación multifactor permite completar la gestión de las identidades. En efecto, es posible activar para ciertos usuarios la obligación de utilizar una autenticación de dos factores (autenticación multifactor).

Además de su combinación login/contraseña, una parte o el conjunto de usuarios deberán utilizar un segundo mecanismo de autenticación. Este último puede ser una aplicación instalada en un smartphone que proporciona un código. Este posee un tiempo de vida corto. También es posible recibir un SMS que contenga un código que habrá que introducir. La tercera solución consiste en validar la identidad mediante la recepción de una llamada telefónica y pulsando una tecla del teléfono.

La edición Premium ofrece un portal web que permiten implementar la delegación. De este modo, es posible permitir a los usuarios realizar cambios en la contraseña o crear grupos de usuarios.

Con Windows 10, una empresa puede integrar puestos directamente en el directorio Azure AD. En este caso, no es posible integrarlos en el dominio AD de la empresa....