Introducción

Tema 13.
13
Configuración
g
de Active
Directory
Administración de Sistemas Operativos
Mª Pilar González Férez
Tema 13. Configuración de Active Directory
1
Índice
1.
2.
3.
4.
5.
6.
7.
Introducción al Active Directory
Características de Active Directory
Organización de Active Directory
Conceptos de Active Directory
Directivas en Active Directoryy
Instalación de Active Directory
Herramientas de Active Directoryy
1.
2.
3.
4.
Dominios y confianzas de Active Directory
Sitios y servicios de Active Directory
Herramientas de línea de órdenes
Administración de directivas
Tema 13. Configuración de Active Directory
2
Introducción al Active Directory
• Active Directory es un servicio de directorio extensible y
escalable qque ppermite administrar eficientemente los
recursos de red y ayuda a monitorizar y localizar estos
servicios
– U
Un servicio
i i de
d directorio
di t i es un lugar
l
donde
d d se centraliza
t li
información sobre los recursos de una organización
– Un directorio es una base de datos optimizada para lectura,
navegación
ió y búsqueda
bú
d
– Los servicios de directorio son almacenes de información acerca
de entidades de red (aplicaciones, archivos, impresoras y usuarios)
– Los servicios de directorio proporcionan una manera consistente
de nombrar, describir, localizar, acceder, administrar y asegurar
información acerca de los recursos almacenados
Tema 13. Configuración de Active Directory
3
Introducción al AD (ii)
• Active Directory permite un punto único de
administración para todos los recursos públicos (ficheros,
di
dispositivos
iti
periféricos,
ifé i
bases
b
de
d datos,
d t usuarios,
i etc.)
t )
– El administrador da acceso a los recursos definidos
• Un dominio es una unidad lógica que agrupa objetos
(usuarios o equipos) a los que se dará acceso a los recursos
(ficheros, dispositivos, bases de datos)
– Controlador de dominio: equipo con Windows Server 2008 que
mantienen la base de datos del Active Directory
– Servidor miembro: equipo que forma parte del dominio haciendo
uso de los servicios del mismo
mismo. Necesita autenticarse en el
dominio (mediante un controlador de dominio) para poder usar los recursos
Tema 13. Configuración de Active Directory
4
Características de Active Directory
• Escalabilidad
– Puede crecer y soportar un elevado número de objetos
• Integración con el DNS
– Los nombres de dominio son nombres DNS y tienen que estar
registrados en él
– AD usa DNS como servicio de nombres y de localización
– Es necesario instalar DNS antes de poder instalar AD
• Extensible
– Permite personalizar las clases y objetos que están definidas
dentro de AD según las necesidades propias
• Seguridad
– Incorpora las características de seguridad de W2008-Server, p.e.,
se puede controlar el acceso a cada objeto
Tema 13. Configuración de Active Directory
5
Características de AD (ii)
• Multimaestro
– No distingue entre controladores de dominio primarios o
secundarios
d i
– Cualquier controlador de dominio puede procesar cambios del
directorio
– Las actualizaciones
li i
o modificaciones
difi i
realizadas
li d en un controlador
l d
se replican al resto, siendo todos “iguales”
• Flexible
– Permite reflejar la organización lógica y física de la empresa u
organización donde se instala
– Permite que varios dominios se conecten en una estructura de
á b l o de
árbol
d bosque
b
• Sigue el estándar LDAP (Lightweight Directory Access Protocol)
Tema 13. Configuración de Active Directory
6
Organi ación de AD
Organización
• Objetos de Active Directory
– Active Directory almacena información sobre los recursos de red y
proporciona los servicios que permiten que la información se
encuentre disponible y sea útil
– Esta información la pone a disposición de los administradores y
los usuarios de la red
• P.e.,, almacena información sobre las cuentas de usuario ((nombres,,
contraseñas, nº de teléfono, etc.) y permite que otros usuarios autorizados de
la misma red tengan acceso a esa información
– Los recursos almacenados se denominan objetos y pueden ser:
usuarios impresoras,
usuarios,
impresoras servidores,
servidores bases de datos,
datos grupos,
grupos equipos y
directivas o políticas de seguridad
– Un objeto es diferenciado por su nombre y representa un recurso
de red
– Un objeto tiene un conjunto de atributos que lo definen y son sus
características (para un usuario su nombre, apellidos, e-mail, ...)
Tema 13. Configuración de Active Directory
7
Definid
dos en el Esq
quema del Acctive Directo
ory
Organización de AD (ii)
Active Directory
Objetos
Impresoras
Usuarios
Atributos
Nombre de
impresora
Ubicación de
la impresora
Atributos
Nombre
Apellidos
Nombre de inicio
de sesión
Impresoras
Impresora1
Impresora2
Impresora3
p
Usuarios
Atributo
Valor
Pilar Gon.
Antonio Ruiz
• Los objetos representan los recursos de red
• Los atributos definen la información relativa a un objeto
j
Tema 13. Configuración de Active Directory
8
O
Organización
i ió de
d AD (iii)
• Estructura lógica
– Active Directory organiza los recursos mediante una estructura
ló i lo
lógica,
l que permite
it localizar
l li un recurso por su nombre
b y no por
su localización física (que se hace transparente a los usuarios)
– Dominio
• Colección de equipos que comparten la base de datos del Active
Directory y que se administran de forma conjunta
– Los controladores de dominio, almacenan una copia de la base de datos
y permiten gestionarla y administrarla.
administrarla También controlan el acceso a la
red, a la BD del directorio y a los recursos compartidos
– Los servidores miembros usan los servicios y recursos
• El dominio es laa unidad
u dad central
ce t a de laa estructura
est uctu a lógica
óg ca de AD
• Un dominio se crea al generar el primer controlador del dominio
Tema 13. Configuración de Active Directory
9
Organización de AD (iv)
• Estructura lógica
– Dominio (continúa...)
(continúa )
• Un dominio representa:
– El límite para la autenticación
– El límite para la replicación de la base de datos
– El límite para las políticas o directivas
• El nombre del dominio debe ser único y ha de estar registrado
en el DNS
– El DNS es la base de la infraestructura del Active Directory ya
que permite que los servidores miembros localicen a los
controladores de dominio
• Un dominio puede estar en varias subredes
• En una red pueden existir varios dominios
Tema 13. Configuración de Active Directory
10
Organización de AD (v)
• Estructura lógica
– Dominio (continúa...)
• Mantiene su ACL (lista de control de acceso) con todos los
permisos para los recursos del dominio,
dominio controlando los
usuarios que pueden acceder al mismo y el tipo de acceso
• Los elementos de la base de datos del directorio (cuentas de
usuarios,
i grupos, equipos
i
y recursos compartidos,
tid como impresoras
i
y
carpetas) los usarán todos los equipos del dominio
• Todos los recursos (u objetos) de la red existen en un dominio
y cada dominio almacena información exclusivamente de los
objetos que contiene
Tema 13. Configuración de Active Directory
11
O
Organización
i ió de
d AD ((vi)
i)
• Estructura lógica
– Unidades organizativas
• Los recursos del dominio se organizan en Unidades Organizativas
(OU, Organizational Units), que son contenedores (como directorios) que
permiten ordenar los recursos u objetos dentro de un dominio
• Contienen agrupaciones lógicas de recursos, como archivos,
impresoras, cuentas, aplicaciones y otros recursos del dominio
• Son como subgrupos
g p dentro del dominio qque reflejan,
j normalmente,
la estructura funcional o de negocios de una organización
• Sólo pueden contener objetos del dominio al que están asociados
• Crean vistas del directorio más pequeñas y manejables
• Se puede delegar la autoridad sobre las mismas, para manejar con
más facilidad el acceso a los recursos administrativos
Tema 13. Configuración de Active Directory
12
Organización de AD (vii)
• Estructura lógica
– Unidades organizativas
– A nivel de Administración permiten
– Agrupar objetos con los mismos requerimientos
– Delegación de tareas de una unidad organizativa
– A nivel de políticas (directivas) de grupo permiten
– Establecer una configuración
g
distinta a una unidad organizativa
g
– Establecer detalles de seguridad distintos a una unidad organizativa
– Ejemplo de unidades organizativas
• Usuarios (unidad organizativa)
• Profesores (unidad organizativa)
• AdministraciónSistemasOperativos (uo)
Pilar, Álvaro, José (usuarios)
• Arquitectura (uo)
( )
Javier, Manolo, Antonio, Gregorio (usuarios)
• Redes (uo)
Juan,, Óscar,, Félix (usuarios)
Tema 13. Configuración de Active Directory
13
Organización de AD (viii)
• Estructura lógica
– Árboles de dominio
• U
Un árbol
á b l de
d dominio
d i i es una agrupación
ió de
d uno o más
á
dominios que comparten un espacio de nombres continuo
– aso.es (ppal), sup.aso.es, sis.aso.es, ges.aso.es (el resto secundarios)
• Ell nombre
b de
d dominio
d i i de
d un dominio
d i i secundario
d i es ell nombre
b
relativo a ese dominio agregado al nombre del dominio ppal
• Los dominios dentro del árbol comparten el esquema común,
el catálogo global y los datos de configuración (topología del
directorio)
• Confianza:
f
los dominios de un árbol están conectados p
por
medio de relaciones de confianza
• Al crear un nuevo dominio ya forma un árbol: es el dominio
principal
p
p de ese árbol
Tema 13. Configuración de Active Directory
14
O
Organización
i ió de
d AD
A (i
(ix))
• Estructura lógica
– Bosques de dominio
• Un bosque de dominio está compuesto por uno o más árboles de
dominio distintos e independientes entre sí, que comparten
información del directorio común
– aso.es, sup.aso.es, sis.aso.es, ges.aso.es
– etc.es, sup.etc.es, sis.etc.es, ges.etc.es
– redes.es, sup.redes.es, sis.redes.es, ges.redes.es
• Todos los árboles de un bosque comparten el esquema común, el
catálogo global y los datos de configuración
• Los dominios en un bosque
q operan
p
independientemente,
p
, ppero el
bosque permite la comunicación a lo largo de toda la organización
Tema 13. Configuración de Active Directory
15
Organización de AD (x)
• Estructura lógica
– Bosques de dominio
• El bosque tiene un único dominio raíz, llamado dominio raíz
del bosque, que es el primer dominio creado en el mismo
• Los nombres de dominio dentro de un bosque pueden ser
discontinuos o continuos en la jerarquía del DNS
– Continuos: están en el mismo árbol de dominio
– Discontinuos: forman varios árboles de dominio
• Por defecto, un único dominio ya forma un árbol y un bosque
– Se puede ampliar el árbol añadiendo un nuevo dominio con un
nombre
b continuo
i
– Se puede ampliar el bosque al añadir un nuevo dominio con un
nombre discontinuo, que formará un nuevo árbol de dominio
Tema 13. Configuración de Active Directory
16
O
Organización
i ió de
d AD ((xi)
i)
• Estructura
Estr ct ra lógica
• Dominios
• Unidades organizativas
• Árboles y bosques
Aso.es
Árbol
Sup.aso.es
Bosque
UO
UO
Domain
UO
Sis aso es
Sis.aso.es
Etc.es
Árbol
Sup.etc.es
Ges.etc.es
Tema 13. Configuración de Active Directory
17
Organización de AD (xii)
• Estructura física
– Controlador de dominio
• Un controlador de dominio es un equipo con W2008Server
que almacena una copia del directorio del dominio (base de
datos local del dominio)
• Puede haber varios controladores de dominio, cada uno de
ellos tendrá una copia completa del directorio
directorio,
• Cada controlador permite realizar cambios en el directorio
administrando los cambios y replicándolos a los otros
controladores de dominio del mismo dominio
• Los controladores de dominio administran todas las facetas de
las interacciones de los usuarios en un dominio (localización
de objetos o validación de un intento de inicio de sesión, ...)
Tema 13. Configuración de Active Directory
18
Organización de AD (xiii)
• Estructura física
– Controladores
C t l d
d
de d
dominio
i i (continúa…)
• La replicación se hace en intervalos de tiempo, pudiendo
establecer la frecuencia a la que se producen las replicaciones
entre controladores de dominio
• AD usa un modelo replicación multimaestro:
– Ningún
g controlador del dominio es el maestro
– Todos los controladores son “iguales” y contienen una copia de
la BD del directorio. (En realidad todos los controladores son “casi iguales”)
– Los controladores replican
p
los cambios entre ellos
– Cualquier controlador de dominio puede procesar los cambios
del directorio y replicarlos
Tema 13. Configuración de Active Directory
19
Organización de AD (xiv)
• Estructura física
– Controladores de dominio (continúa…)
• Los controladores de dominio replican inmediatamente ciertas
actualizaciones urgentes,
urgentes por ejemplo la eliminación de una
cuenta de usuario
• Establecer varios controladores de dominio dentro de un
dominio permite tener tolerancia a fallos
• Todos tienen asignadas las mismas tareas salvo:
– Servidor de cabeza de puente para replicar información del
directorio con otros sitios
– Las funciones del maestro de operaciones
Tema 13. Configuración de Active Directory
20
Organización de AD (xv)
• Estructura física
– Sitios
• Un sitio es una agrupación de equipos que están conectados
físicamente por conexiones rápidas y de alta fiabilidad.
Habitualmente equipos conectados en una LAN
• La razón básica de crear sitios es aprovechar los mecanismos
de comunicación “eficientes” (rápidos y fiables) entre sistemas bien
com nicados
comunicados
• Un sitio es básicamente una subred TCP/IP
• Son independientes de la estructuras lógica de dominio. No
existe relación entre la estructura física de la red y la lógica
del dominio:
– Un único dominio puede estar en varios sitios
– En un sitio puede haber varios dominios
• Importante no confundir sitio con dominio:
– Dominio: agrupación lógica de usuarios y equipos
– Sitio: agrupación física de equipos
Tema 13. Configuración de Active Directory
21
Organi ación de AD (xvi)
Organización
( i)
• Estructura física
– Sitios (continúa ...)
• Los equipos están asignados a sitios según su localización en la
subred o en un conjunto de subredes
• Si la empresa tiene varias subredes que no tienen buena conexión
entre sí o están en ubicaciones geográficas distintas, (p.e. una sucursal en
Murcia y otra en Cartagena), hay que definir un sitio por cada subred
• Debe tener asociado, al menos, un controlador de dominio en cada
sitio (para facilitar y acelerar el acceso a los datos del AD)
• La información de los sitios se usa para:
– V
Validación
lid ió de
d seguridad
id d en los
l servidores
id
miembros:
i b
ell proceso de
d
autenticación se hace en los controladores del dominio del sitio en el
que está el servidor miembro (si es posible …)
– La replicación de la información de directorio se hace con más
frecuencia dentro de sitios que entre sitios (reduciendo
( d i d ell tráfico
t áfi de
d la
l red)
d)
• Un controlador del dominio será servidor de cabeza de puente:
realiza la réplica de datos hacia y desde un sitio, y envía los datos
recibidos a los otros controladores del sitio
Tema 13. Configuración de Active Directory
22
Conceptos de Active Directory
• Almacén de datos o Directorio Activo
– Contiene información sobre objetos del dominio, como
pueden
d ser cuentas de
d usuarios,
i grupos o equipos,
i
recursos
compartidos, unidades organizativas y directivas o políticas
de grupo
• E
Esta información
i f
ió se publica
bli para que otros usuarios
i y
administradores del dominio la utilicen
– Se conoce como almacén de datos o directorio, es el propio
Directorio Activo (Active
(A ti Di
Directory)
t )
– Se almacena en un fichero llamado ntds.dit que tiene que
estar localizado en una partición de tipo NTFS
– Los
L controladores
l d
de
d dominio
d i i replican
li
los
l cambios
bi del
d l
almacén de datos de forma multimaestro: todos los
controladores de dominio tienen la misma base de datos
Tema 13. Configuración de Active Directory
23
Conceptos de AD (ii)
• Catálogo global
– El catálogo global es un almacén central de información de
todos los objetos del directorio de los dominios del bosque
– Tiene una copia
p completa
p
todos los objetos
j
(todos sus atributos) del
directorio de su dominio y una copia parcial de todos los
objetos de los directorios de los otros dominios del bosque
• La copia parcial almacena los atributos usados con más frecuencia en
l operaciones
las
i
de
d búsqueda
bú
d
– De manera predeterminada, el primer controlador de
dominio creado al instalar AD se convierte en catálogo
global
l b l y es conocido
id como servidor
id de
d catálogo
tál
global
l b l
– La información que almacena es generada automáticamente
en cada dominio mediante el proceso de réplica
– Se pueden definir varios CG’s en un dominio, pero esto
incrementará el tráfico de red para hacer las réplicas (para
actualizar los distintos catálogos)
Tema 13. Configuración de Active Directory
24
Conceptos de AD (iii)
• Catálogo global (continúa …)
– Realiza las siguientes funciones clave en el directorio:
• Resuelve las búsquedas de información en un dominio, árbol
o bosque, con independencia de la ubicación de los datos (con
i d
independencia
d i de
d en quéé dominio
d i i estén)
é )
• Resuelve los nombres principales de usuarios (UPN) de otros
dominios del bosque, permitiendo que usuarios esos dominios
se autentiquen en el dominio
• La información sobre los grupos universales se almacena sólo
en el CG. Cuando un usuario inicie una sesión, el CG
proporcionará
p
p
la ppertenencia (o
( no)) a los grupos
g p universales
• Permite validar las referencias a objetos de otros dominios del
bosque, informando si son o no correctas
– Diseñado ppara responder
p
a las ppreguntas
g
sobre objetos
j
de
cualquier dominio del bosque (máxima velocidad y poco tráfico de red)
• Una pregunta sobre un objeto de otro dominio puede ser resuelta por
el catálogo global del dominio donde se realiza la pregunta
Tema 13. Configuración de Active Directory
25
Conceptos de AD (iv)
Subconjunto de
atributos de todos
los objetos
Aso.es
Etc.es
Sup.aso.es
Sup.etc.es
Sup
etc es
Sis.aso.es
Ges.etc.es
Ges
etc es
Catálogo global
Consultas
Servidor de
catálogo global
Pertenencia a g
grupos
p
universales cuando el
usuario inicia sesión
Tema 13. Configuración de Active Directory
26
C
Conceptos
dde AD ((v))
• Esquema
E
de
d Active
A i Directory
Di
– El esquema define todos los objetos y tipos de datos que se
ppueden almacenar en Active Directoryy
• Define los objetos a través de clases, las propiedades de las clases y
los atributos
– Hayy dos tipos
p de definiciones en el esquema:
q
• Clases (o clases de objetos): describen las características de los
objetos de AD. Es una colección de atributos
• Atributos
– Se almacena
l
como un objeto
bj del
d l AD
– Proporciona unas clases y atributos por defecto
– Pero es un elemento ampliable: se pueden definir nuevos
objetos o atributos a un objeto que ya existe
• A user se le puede asociar los nuevos atributos: nota_teoría,
nota_pprácticas y nota_ffinal
Tema 13. Configuración de Active Directory
27
Conceptos de AD (vi)
• Maestro de operaciones flexible
– Las funciones de maestro de operaciones son realizar tareas que
son impracticables en entornos multimaestro
– Pero
P
estas tareas pueden
d ser asignadas
i d a di
distintos
i
controladores
l d
del dominio (no tienen que realizarse en el mismo controlador)
– Hay cargos que se asignan sólo una vez en el bosque de dominio,
otros se deben definir una vez en cada dominio
– Las funciones que realiza son:
• Maestro de esquema: controla las actualizaciones y modificaciones
del esquema del directorio
directorio. Sólo existe uno en el bosque
• Maestro de nombres de dominio: controla la agregación o
eliminación de nombres de dominios en el bosque. Uno en todo el
bosque
• Maestro de Id. relativo: asigna los Id. Relativos a los controladores
de dominio
Tema 13. Configuración de Active Directory
28
Conceptos de AD (vii)
• Maestro
M
dde operaciones
i
– Sus cargos son: (continúa...)
• M
Maestro
t de
d infraestructuras:
i f
t t
actualiza
t li las
l referencias
f
i a objetos
bj t
comparando sus datos de directorio con el catálogo global,
replicando los cambios si es necesario. (Es preferible que no
coincida
i id con ell CD que hace
h
de
d catálogo
ál
global)
l b l)
• Emulador PDC:
– Recibe una replicación preferencial de los cambios realizados
en las
l contraseñas por otros controladores
l d
del
d l dominio
d i i
» Si una autenticación de inicio de sesión produce un error por una
contraseña incorrecta, se reenviará la solicitud de autenticación al
emulador del PDC antes de rechazar el intento de inicio de sesión
– Sincronización horaria en todo el bosque
Tema 13. Configuración de Active Directory
29
Conceptos de AD (viii)
• Espacio de nombres
– Los nombres de AD son nombres registrados en el servidor de
DNS, por lo que se pueden usar formatos de nombre estándar
d l tipo
del
ti aso.es
– Esto permite la estructuración jerárquica de AD
– Nomenclaturas: 4 nomenclaturas ppara identificar objetos
j
• DN (Distinguished Name) (nombre completo)
– Único para cada objeto
– Contiene suficiente información ppara qque un usuario recupere
p el
objeto del directorio, incluyendo el nombre del dominio y la ruta
– Se compone de varios atributos: el nombre del dominio al que
pertenece (DC) y de las unidades organizativas en las que está
(OU) y el nombre relativo del objeto (CN)
Tema 13. Configuración de Active Directory
30
Conceptos de AD (ix)
• Espacio de nombres (continúa...)
– Nomenclaturas:
• RDN (Relative Distinguished Name) (nombre completo relativo)
– Identifica unívocamente al objeto
j dentro su unidad organizativa
g
– Es parte del DN
– Podemos tener dos objetos con el mismo nombre si los objetos
pertenecen a distintas Unidades Organizativas
• GUID (Globally Unique Name) (identificador global único)
– Número de 128 bits, distinto para cada objeto, y que no cambia
nunca
– Es
E único
ú i y está
tá formado
f
d por ell Id de
d seguridad
id d del
d l dominio
d i i (prefijo) y
un Id relativo único, (asignado por el maestro de operaciones)
• UPN (User Principal Name) (nombre principal de usuario)
– Son nombres cortos y descriptivos del objeto
– El nombre común del objeto se combina con el dominio para
formar el UPN
Tema 13. Configuración de Active Directory
31
Conceptos de AD (x)
• Espacio de nombres (continúa...)
– Nomenclaturas:
• Supongamos que tenemos el dominio aso.es y dentro de él la
unidad
id d organizativa
i ti users, dentro
d t la
l unidad
id d organizativa
i ti
Profesores y dentro el usuario Pilar:
– El nombre completo o distinguished name para este usuario:
» CN=Pilar,OU=Profesores,OU=users,DC=aso,DC=es
CN=Pilar OU=Profesores OU=users DC=aso DC=es
– El nombre completo relativo o Relative Distinguished Name:
» Pilar
• Si movemos el usuario Pilar a una nueva unidad organizativa
llamada Investigadores:
– El nombre completo o distinguished name será:
» CN
CN=Pilar,OU=Investigadores,DC=aso,DC=es
Pilar,OU Investigadores,DC aso,DC es
• UPN: pilar@aso.es
Tema 13. Configuración de Active Directory
32
Directivas en AD
•
•
•
En un dominio, se pueden definir directivas de grupo a nivel de
sitio, de dominio o de unidades organizativas
Se aplicarán a todos los servidores miembros del dominio
El orden de aplicación de las directivas es el siguiente:
1)
2)
3)
4)
5)
Directivas de grupo local (las definidas en el equipo local)
Directivas de grupo de sitio
Directivas de grupo de dominio
Directivas de unidad organizativa
Directivas de unidad organizativa secundaria,
secundaria etc.
etc
• En caso de conflictos, las que se aplican más tarde tienen
preferencia y sobrescriben las directivas aplicadas previamente
• Se pueden aplicar a todos los usuarios (al dominio) o a un único
usuario (en una unidad organizativa concreta)
Tema 13. Configuración de Active Directory
33
I
Instalación
l ió de
d AD
• dcpromo.exe es la orden para abrir el Asistente para instalar AD
• Al ejecutarlo se puede:
–
–
–
–
C ea un
Crear
u nuevo
uevo dominio,
do
o, creando
c ea do un
u nuevo
uevo árbol
á bo y un
u nuevo
uevo bosque
Unirse como nuevo controlador a un dominio que ya existe
Crear un nuevo dominio en un árbol de dominios ya existente
Crear un nuevo árbol,, creando nuevo dominio,, en un bosque
q de dominios
ya existente
– Al unir un nuevo controlador de dominio a un dominio/árbol/bosque que
ya existe, hay que indicar un usuario (y su contraseña) correcto para
autenticarnos en él.
él El usuario a indicar es Administrador
• Si AD ya está instalado, lo que hace es desinstalar AD, esto es
degradar el controlador de dominio a servidor miembro (e.d., a
cliente del dominio)
– Si al degradarlo fuese el último CD existente, elimina también el dominio
Tema 13. Configuración de Active Directory
34
Instalación de AD (ii)
( )
• Instalando AD:
– Nombre del nuevo dominio:
• El nombre asignado al dominio tiene que ser un nombre DNS válido
que debe estar registrado en el mismo
– Si el DNS está configurado correctamente, el nuevo nombre se
registrará de forma automática. Esto es lo conveniente
• Al instalar el primer CD de un nuevo dominio/árbol/bosque, si el
DNS no permite actualizaciones automáticas, ofrece la posibilidad de
instalar un servidor de DNS para controlar todo lo relacionado con el
nombre del dominio, los controladores de dominio, etc.
– Nombre
N b d
de d
dominio
i i N
NetBIOS:
tBIOS para compatibilidad
ibilid d con
versiones anteriores de Windows (nombre corto)
– Nivel funcional del bosque:
q
establece la versión mínima de
sistema operativo de los controladores de dominio:
• Windows Server 2008, Windows Server 2003, Windows 2000 nativo
y Windows 2000 mixto (p
(predeterminado),
)
Tema 13. Configuración de Active Directory
35
Instalación de AD (iii)
( )
• Instalar AD:
– Ubicación de la base de datos y el registro de AD
• Por defecto %SystemRoot%\ntds\ (el valor de %SystemRoot% es c:\windows\)
• La BD de AD contendrá los objetos y sus propiedades
• Los archivos de registro de AD registrarán las actividades del servicio
de directorio
• Tienen que ser en una unidad con formato NTFS
– Ubicación del “Volumen de sistema compartido”
• Por defecto, %SystemRoot%\sysvol
• Sysvol es un recurso compartido que contiene información del
dominio que se replica al resto de controladores de dominio de la red
• Tiene que estar en una unidad NTFS
• Almacena la copia de servidor de las carpetas públicas del dominio
Tema 13. Configuración de Active Directory
36
Instalación de AD (iv)
• Configurando un Servidor miembro
– En la herramienta Propiedades del Sistema en la ficha
Nombre del equipo indicamos el dominio al que
queremos unir ese equipo
• Pedirá un usuario y su clave para autenticarse en el dominio,
habrá q
que indicarle el usuario administrador
– En esa ficha también se ve si el equipo ya pertenece a
un dominio o bien a un grupo de trabajo
Tema 13. Configuración de Active Directory
37
Herramientas de AD
• Asistente de instalación de AD
• Dominios y confianzas
f
de AD
– Cambia el modo de funcionamiento del dominio, gestionando las
relaciones de confianza entre dominios, árboles de dominio y
bosques de dominios
• Usuarios y equipos de AD
– Crear, gestionar y configurar usuarios, grupos, equipos y unidades
g
del AD
organizativas
• Sitios y servicios de AD
– Crear y configurar sitios de dominios, y gestionar el proceso de
duplicación de controladores de dominio
• Esquema de AD
– Modificar el esquema que definen los objetos y propiedades de AD
Tema 13. Configuración de Active Directory
38
Dominios y confianzas de AD
• Herramientas administrativas/Dominios y confianzas de AD
• Permite:
– Administrar relaciones de confianza entre dominios:
• Los usuarios de un dominio pueden acceder a recursos ubicados en
otro dominio en que se confíe
– Establecer sufijos de nombre principal de usuario (UPN) y
nodos
d dde ddominio:
i i
• Como sufijo del nombre principal de usuario, se utiliza el nombre de
dominio (pilar@aso.es), pero se pueden establecer alternativos
– Cambiar el nivel de funcionalidad del dominio
– Cambiar el CD que hace de maestro de operaciones
– Cambiar el usuario
s ario que
q e es el administrador designado para el
dominio
Tema 13. Configuración de Active Directory
39
Siti y servicios
Sitios
i i de
d AD
•
Para ejecutarlo: Herramientas administrativas /Sitios y servicios de AD
• Default-First-Site-Name: sitio por defecto creado al crear el
pprimer controlador de dominio
• Cada sitio tiene varios contenedores:
– Servers (Servidores) con los diferentes controladores de dominio del
j
entre ellos:
sitio,, así como varios objetos
• Licensing Site Settings
• NTDS Setings, que permite deshabilitar la generación automática de
replicación en todas sus posibilidades
• Las propiedades del sitio permiten especificar una descripción y
su ubicación, y temas relacionados con la seguridad
• Con subnet se ppueden establecer los “límites” de un sitio:
dirección de red y máscara de red
– Si hay más de un sitio es necesario definir subredes para que AD sepa
ubicar los controladores de dominio en las subredes y sitios apropiados
Tema 13. Configuración de Active Directory
40
Siti y servicios
Sitios
i i de
d AD (ii)
• Permite, entre otras tareas:
– Crear nuevos sitios
– Habilitar/deshabilitar un dominio como catálogo global
– Designar un servidor de cabeza de puente, que maneja la
transferencia de réplica de datos hacia y desde un sitio, y envía los
datos recibidos a los otros controladores del sitio
– Reparar controladores de dominio
– Configurar el transporte entre sitios, definiendo posibles
conexiones
i
lógicas
ló i
entre dos
d o más
á sitios,
i i para optimizar
i i los
l
procesos de replicación entre sitios, su velocidad, etc.
Tema 13. Configuración de Active Directory
41
H
Herramientas
i t en línea
lí
de
d órdenes
ód
• Dsadd → añade equipos, contactos, grupos, unidades
organizativas y usuarios
• Dsget → muestra propiedades de equipos, contactos, grupos,
unidades organizativas, usuarios, sitios, subredes y servidores
• Dsmod → modifica las propiedades de equipos, contactos,
grupos, unidades
id d organizativas,
i ti
usuarios
i y servidores
id
• Dsmove→ mueve un objeto a una nueva ubicación en el
dominio, o lo renombra
• Dsquery→ localiza equipos, contactos, grupos, unidades
organizativas, usuarios, sitios, subredes y servidores dentro de
AD utilizando criterios de búsqueda
• Dsrm→ elimina objetos del AD
Tema 13. Configuración de Active Directory
42
Administración de directivas en AD
• Con la herramienta Administración de directivas de grupo
– Por defecto no se instala, hay que instalarla mediante la
herramienta Programas
g
y características,, y aparecerá
p
como una
nueva opción de menú dentro de Herramientas Administrativas
– Para el dominio, los sitios, o las unidades organizativas se pueden
asignar directivas de grupo,
grupo y editar los valores correspondientes
– Dependiendo del nivel de aplicación afectarán a los
equipos/usuarios correspondientes:
• Dominio → todos
• Sitio → equipos de ese sitio
• Unidad organizativa → equipos/usuarios de esa u.o.
Tema 13. Configuración de Active Directory
43