¿Qué es la seguridad de bases de datos: las 13 mejores prácticas?

Active Directory (AD) fue introducido en 1999, y comprender esta tecnología central es un requisito clave para la mayoría de los administradores de TI hoy en día. En esta parte del tutorial, proporcionamos una visión general de los conceptos básicos de AD, incluyendo qué es un dominio de Active Directory.

Fundamentos de AD

¿Qué es AD?

Active Directory es el servicio de directorio utilizado en redes de Microsoft. Un servicio de directorio (o servicio de nombres) conecta recursos de red (como volúmenes, carpetas, archivos, impresoras, usuarios, grupos y dispositivos) con sus respectivas direcciones de red, y proporciona esa información a entidades en la red. En otras palabras, AD es un conjunto de bases de datos y servicios que se utilizan para organizar, localizar y gestionar recursos de red.

¿Qué hace AD?

La base de datos de Active Directory almacena información sobre usuarios y computadoras, incluyendo sus nombres y derechos de acceso. El esquema de Active Directory schema define los objetos que pueden ser almacenados en el directorio.

Active Directory Domain Services (AD DS) controla muchas de las operaciones de su entorno de TI y ayuda a garantizar la seguridad del directorio mediante la gestión de los siguientes procesos:

• Autenticación — Asegurando que cada principal de seguridad sea quien dice ser, generalmente verificando credenciales como un ID de usuario y contraseña durante un proceso de inicio de sesión.
• Autorización — Garantizando que cada principal de seguridad solo pueda usar los datos y servicios a los que tiene permiso de acceder.
• Resolución de nombres — Permitiendo a los clientes y controladores de dominio localizarse y comunicarse entre sí. AD DS utiliza DNS como su principal método de resolución de nombres.
• Gestión centralizada — Controlando una amplia variedad de configuraciones desde una única ubicación a través de una característica llamada Group Policy.

¿Qué incluye AD?

Una unidad fundamental de Active Directory es el domain. Un dominio de AD es un grupo lógico de objetos que comparten administración, seguridad y configuraciones de replicación comunes. Utilizando los dominios de Active Directory, los equipos de TI pueden definir límites administrativos y gestionar conjuntos de dispositivos, servicios y sistemas de manera centralizada.

Un domain controller (DC) es un servidor que ejecuta Active Directory Domain Services y utiliza los datos almacenados en AD para la autenticación y autorización de usuarios, gestión de grupos, administración de políticas y funciones adicionales. En la práctica, las organizaciones suelen tener múltiples controladores de dominio en centros de datos locales y/o en la nube. Cada DC en un dominio mantiene una copia de la base de datos de AD, y sincronizan los datos entre sí utilizando la replicación de Active Directory. Los DC también pueden almacenar el global catalog — un registro de solo lectura de todos los objetos en el directorio del dominio y una copia parcial de todos los objetos en todos los demás dominios del bosque para facilitar las búsquedas de información sobre objetos. Un DC con esta característica habilitada se llama servidor global catalog. El protocolo principal de acceso para Active Directory es el Protocolo Ligero de Acceso a Directorios (LDAP).

¿Cómo se gestiona AD?

La gestión de Active Directory se puede realizar en controladores de dominio mediante herramientas nativas, tales como:

• Centro Administrativo de Active Directory
• Dominios y confianzas de Active Directory
• Sitios y servicios de Active Directory
• Usuarios y Computadoras de Active Directory
• ADSI Edit
• Módulo de Active Directory para Windows PowerShell

Estas herramientas también pueden instalarse en estaciones de trabajo como parte de Remote Server Administration Tools (RSAT) para permitir a los administradores gestionar AD de forma remota.

Estructura de AD

Ahora que hemos cubierto los conceptos básicos de AD, revisemos la estructura de Active Directory. Active Directory contiene múltiples unidades lógicas, organizadas jerárquicamente. De menor a mayor, son:

• Objetos
• Unidades organizativas (OUs)
• Dominios
• Árboles
• Bosques

Objetos

Un objeto de Active Directory object es la unidad lógica más pequeña. Ejemplos incluyen:

• User account
• Cuenta de computadora
• Grupo
• Impresora
• Compartir

Los objetos tienen uno o más atributos que definen sus propiedades, límites y formato. Los valores de los atributos pueden ser multivalorados, cadenas, enteros, booleanos (verdadero o falso) u otros tipos. Los atributos que cada objeto tiene están especificados en el esquema.

Unidades organizativas (OUs)

Los objetos de AD dentro de un dominio se pueden agrupar en contenedores lógicos llamados organizational units (OUs). Las OUs también son objetos, lo que permite a los administradores crear OUs anidadas. Todos los objetos en una OU dada deben tener nombres únicos, y cada objeto solo puede estar en una OU en cualquier momento dado.

Tenga cuidado de no confundir las OU con los grupos de AD. Un grupo es una colección de objetos de AD, como usuarios, cuya membresía en el grupo les otorga ciertos permisos. Un usuario dado puede ser (y generalmente es) miembro de múltiples grupos. La confusión suele surgir porque los objetos de Directiva de Grupo (GPOs) pueden estar vinculados a las OU (pero no a los grupos), lo que también afecta lo que los usuarios, computadoras y otros objetos pueden y no pueden hacer.

Dominios

Un dominio de Active Directory es un grupo lógico de objetos (usuarios, computadoras, OUs, etc.) que es administrado por el mismo equipo administrativo y generalmente se encuentra en la misma red física.

Árboles

Los dominios están organizados en árboles. Un árbol de AD DS consiste en múltiples dominios conectados por confianzas transitivas bidireccionales. Cada dominio en un árbol de AD DS comparte un esquema común y un catálogo global.

Bosques

El Active Directory forest es el nivel más alto de la jerarquía. Mientras que los dominios representan límites administrativos, los bosques son el principal límite de seguridad para AD DS; se asume que todos los administradores de dominio dentro de un bosque son confiables hasta cierto punto. Los objetos en bosques separados no pueden interactuar entre sí a menos que los administradores de cada uno de esos bosques creen una confianza entre ellos.

Estructura física

Hablemos brevemente sobre la estructura física de Active Directory. Se puede dividir en:

• Hosts — Dispositivos conectados a la red del dominio
• Subnets — Grupos de red con un rango especificado de direcciones IP y una máscara de red
• Sitios — Grupos de una o más subredes utilizados para optimizar el uso de ancho de banda por el servicio de replicación de DC

Servicios de Active Directory

Finalmente, los servicios de Active Directory consisten en múltiples servicios de directorio. Ya hablamos sobre Active Directory Domain Services (AD DS). AD DS utiliza información sobre objetos almacenados en el directorio para autenticar usuarios y autorizarlos a realizar acciones de acuerdo con sus derechos de acceso.

Cuando la gente habla de Active Directory, generalmente se refieren a Active Directory Domain Services. Sin embargo, hay otros servicios de Active Directory, incluyendo:

• Active Directory Lightweight Directory Services (AD LDS) — Proporciona servicios de directorio para aplicaciones
• Active Directory Certificate Services (AD CS) — Crea y mantiene certificados digitales utilizados en sistemas de seguridad que emplean tecnologías de clave pública
• Active Directory Federation Services (AD FS) — Proporciona capacidades de inicio de sesión único (SSO) a sistemas y aplicaciones a través de límites organizacionales
• Active Directory Rights Management Services (AD RMS) — Proporciona un control granular sobre el acceso a documentos al ofrecer herramientas de gestión y desarrollo para trabajar con insider threat prevention y otras tecnologías de seguridad, como cifrado, certificados y autenticación

Para más información

Puede aprender más sobre los conceptos fundamentales de Active Directory leyendo nuestro eBook, What is Active Directory.