Qué es un controlador de dominio: historia y evolución

Los administradores de TI han estado trabajando con y alrededor de Active Directory desde la introducción de la tecnología en Windows 2000 Server. Windows 2000 Server se lanzó el 17 de febrero de 2000, pero muchos administradores comenzaron a trabajar con Active Directory a finales de 1999 cuando se lanzó para fabricación (RTM) el 15 de diciembre de 1999.

En esta parte de nuestro tutorial hablaremos sobre el controlador de dominio.

¿Qué es un Controlador de Dominio?

El controlador de dominio es la columna vertebral de Active Directory. Sin un controlador de dominio, ¡no puedes tener un directorio!

Puede usar hasta 1,200 controladores de dominio en un solo dominio. Pero, ¡no juzgue el entorno de otro administrador por el tamaño o la escala de este! Veamos la evolución del controlador de dominio:

• Windows NT 3.1 introdujo el dominio original de Microsoft

Windows NT 3.1 (posteriormente 3.5 y luego 3.51) no debe confundirse con Windows 3.1 que era un sistema operativo cliente de 16 bits. La funcionalidad de dominio incluida en Windows NT no era un modelo multi-maestro como AD DS. Por lo tanto, había un controlador de dominio principal (PDC) y controladores de dominio de respaldo (BDCs). Todos los cambios eran manejados por el PDC. Un BDC podía ser promovido a PDC en una situación de recuperación de desastres. Hoy en día, tenemos el rol FSMO de Emulador de PDC que está directamente relacionado con el PDC original.

• Windows 2000 Server introdujo Active Directory

Con el lanzamiento de Windows 2000 Server, Microsoft renovó gran parte del dominio tradicional y comercializó el servicio como Active Directory. Una característica clave de Active Directory era el modelo multi-master que permitía que la mayoría de las funcionalidades de Active Directory, incluyendo cambios, se realizaran en cualquier DC del dominio.

• Windows Server 2003 introdujo nuevas características

Con Windows Server 2003, Active Directory se actualizó con algunas mejoras administrativas (como la selección múltiple de objetos en ADUC), se añadió la capacidad de crear confianzas de bosque y se añadió la característica de almacenamiento en caché de membresía de grupo universal. Otras características también se añadieron o expandieron, especialmente en torno a la administración por línea de comandos.

• Windows Server 2003 R2 introdujo AD FS y Active Directory Application Mode (ADAM)

AD FS y ADAM fueron grandes mejoras, especialmente si las miramos hoy en 2015. Sin embargo, en aquel entonces no se utilizaban mucho. ADAM más tarde se convirtió en AD LDS mientras que AD FS se actualizaba a lo largo del tiempo para la integración en la nube.

• Windows Server 2008 introdujo controladores de dominio de solo lectura (RODCs) y políticas de contraseñas de granularidad fina

Con Windows Server 2008, los RODCs se convirtieron en una opción que permitió a los administradores desplegar DCs en armarios de computadoras inseguros en oficinas remotas, entre otros usos. Además, se introdujeron políticas de password policies más detalladas, aunque con algunos desafíos administrativos como la falta de una interfaz gráfica de usuario para gestionar las políticas. Windows Server 2008 R2 introdujo la papelera de reciclaje y el módulo de PowerShell. Windows Server 2008 R2 continuó refinando algunas de las características presentadas en Windows Server 2008 y ofreció la Papelera de reciclaje y un módulo de PowerShell que era esencial para que los administradores pudieran gestionar AD DS de manera efectiva desde PowerShell.

• Windows Server 2012 introdujo una gestión simplificada y un soporte mejorado para la virtualización

Las esperadas herramientas de interfaz gráfica de usuario para gestionar la Papelera de reciclaje y las políticas de contraseñas de granularidad fina fueron introducidas. Además, la virtualización fue mejorada y el soporte para virtualizar DCs se convirtió en algo común. Consulte https://technet.microsoft.com/en-us/library/hh831477.aspx para obtener una guía completa sobre los cambios.

• Windows Server 2012 R2 se centró en mejoras de seguridad

Las nuevas características incluyen autenticación multifactor, inicio de sesión único desde dispositivos conectados y control de acceso multifactor. Consulte https://technet.microsoft.com/en-us/library/dn268294.aspx para obtener una guía completa sobre los cambios.

Más información sobre los fundamentos de Active Directory la encontrarás en nuestro AD tutorial for beginners.

Preguntas frecuentes

¿Qué es un controlador de dominio?

Un controlador de dominio es un servidor de Windows que gestiona la autenticación y autorización de usuarios dentro de una red de dominio de Windows. Almacena la información de las cuentas de usuario, aplica las políticas de seguridad y autentica a los usuarios cuando inician sesión en equipos unidos al dominio. Los controladores de dominio ejecutan Active Directory Domain Services (AD DS), que mantiene una base de datos centralizada de los objetos de la red, incluidos usuarios, equipos, grupos y unidades organizativas. Cuando alguien inicia sesión en un equipo del dominio, el controlador de dominio verifica sus credenciales y determina a qué recursos puede acceder en función de su identidad y pertenencia a grupos. Este enfoque de gestión centralizada de identidades permite aplicar políticas de seguridad coherentes en toda la red y proporciona la base para los controles de acceso de privilegios mínimos. La seguridad de datos que comienza con la identidad depende de controladores de dominio configurados correctamente para hacer cumplir las políticas de acceso y supervisar la actividad de los usarios.

Cómo convertir tu servidor 2019 en un controlador de dominio?

Para promover un Windows Server 2019 a controlador de dominio es necesario instalar el rol de Servicios de Dominio de Active Directory y ejecutar el asistente de promoción de controlador de dominio. Primero, asegúrate de que tu servidor cumpla con los requisitos, incluyendo una dirección IP estática, una configuración DNS adecuada y espacio suficiente en disco. Instala el rol de AD DS utilizando el Administrador del Servidor o PowerShell:

      Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
      

Después de la instalación, ejecute dcpromo a través del área de notificación de Server Manager o utilice PowerShell:

      # For a new forest
Install-ADDSForest

# For an existing domain
Install-ADDSDomainController
      

El asistente le guía a través de la configuración del nombre de dominio, el nivel funcional del bosque, las opciones de DNS y la contraseña del Modo de Restauración de los Servicios de Directorio. Después de la promoción, verifique que el controlador de dominio funcione correctamente revisando los registros del Visor de Eventos y probando la autenticación. Siempre planifique cuidadosamente la estructura de su Active Directory antes de la promoción, ya que los cambios se vuelven más complejos una vez que el controlador de dominio está operativo.

¿Cuántos controladores de dominio necesito para una oficina pequeña?

Las pequeñas oficinas generalmente necesitan al menos dos controladores de dominio para redundancia y tolerancia a fallos, incluso con tan solo 85 usuarios en múltiples ubicaciones. La regla general es un controlador de dominio por sitio más uno adicional para respaldo, pero esto depende de tus requisitos específicos. Para organizaciones con 85 usuarios y 4 oficinas, considera colocar un controlador de dominio en tu sitio principal y controladores de dominio adicionales en sitios remotos con conexiones WAN lentas o muchos usuarios. Una topología de concentradores y radios con dos controladores de dominio en la oficina principal y Controladores de Dominio de Solo Lectura (RODCs) en sitios remotos más pequeños a menudo proporciona el mejor equilibrio entre rendimiento y seguridad. Recuerda que los controladores de dominio manejan las solicitudes de autenticación, por lo que los usuarios experimentan retrasos al iniciar sesión cuando se conectan a controladores de dominio remotos a través de enlaces de red lentos. Planifica para el crecimiento y considera que la ubicación de los controladores de dominio impacta directamente en la experiencia del usuario y la seguridad de la red.

Cómo degradar un controlador de dominio?

Degradar un controlador de dominio requiere una planificación cuidadosa para evitar interrumpir los servicios de autenticación y transferir cualquier rol FSMO que el servidor tenga. Primero, identifique si el controlador de dominio tiene algún rol FSMO:

      netdom query fsmo
      

Transfiéralos a otro controlador de dominio si es necesario. Asegúrese de tener al menos otro controlador de dominio funcionando en el dominio antes de proceder. Utilice el asistente para quitar roles y características de Server Manager o PowerShell:

      Uninstall-ADDSDomainController
      

El proceso elimina los datos de Active Directory, rebaja el servidor a la condición de servidor miembro y actualiza los registros DNS. Durante la degradación, especifique una contraseña de administrador local para el estado posterior a la degradación del servidor. Verifique que la degradación se completó con éxito comprobando que el servidor ya no aparece en Active Directory Sites and Services y que los controladores de dominio restantes pueden autenticar a los usuarios correctamente. Planifique este proceso durante las ventanas de mantenimiento ya que afecta temporalmente a la replicación.

¿Qué hace un controlador de dominio?

Un controlador de dominio actúa como la autoridad central para la autenticación de red, autorización y servicios de directorio en un entorno de dominio Windows. Autentica las credenciales de usuario cuando las personas inician sesión en computadoras unidas al dominio, determina a qué recursos pueden acceder los usuarios basándose en su identidad y membresía de grupo, y aplica políticas de seguridad a través de la red. Los controladores de dominio también replican datos de Active Directory con otros controladores de dominio para asegurar la consistencia y disponibilidad, manejan servicios DNS para la resolución de nombres de dominio y gestionan la distribución de Group Policy para asegurar una configuración consistente en todas las computadoras del dominio. Más allá de la autenticación básica, los controladores de dominio proporcionan registro de auditoría de las actividades de los usuarios, soportan la funcionalidad de inicio de sesión único y permiten la gestión centralizada de cuentas de usuario y objetos de computadora. Esta gestión centralizada de Identity Management crea la base para implementar controles de acceso de privilegio mínimo y monitorear el comportamiento del usuario para detectar posibles amenazas de seguridad antes de que se conviertan en brechas.