Active d
- 1. MICROSOFT FSMO El propósito de la siguiente nota es describir la importancia de Active Directory de los servicios de directorio de Windows 2003 (Active Directory Services) detallando algunas de sus características, Autor: Roberto Di'Lello su funcionalidad y los roles FSMO. Microsoft Certified System Engineer S Sin lugar a dudas Windows Server es un sis- usuario y su password, sino tema operativo excelente por sus prestaciones, también permite a otros robustez y confiabilidad, pero generalmente se usuarios autorizados a ma- desconoce el por qué, y qué elementos con- nejar dicha información, tiene. Este es el caso de Active Directory, uno admitiendo la delegación de de los puntos primordiales. la administración a admi- nistradores específicos de ¿Qué es Active Directory? ciertos recursos, y no de Podemos decir como definición pura que toda la red de Windows Ser- Active Directory es el servicio de directorio ver 2003. Windows Server 2003 que almacena informa- ción acerca de los objetos de la red y pone a La estructura Lógica disposición de los usuarios y administradores de Active Directory de la red dicha información. Ahora bien, œqué Como mencionamos ante- es un directorio, objetos y demás característi- riormente la estructura de cas? Debemos definir directorio como una Active Directory es jerár- estructura jerárquica en la cual se almacena quica. La estructura sería información acerca de los objetos que compo- similar a la mostrada en la nen nuestra red, considerando como objetos figura 2. todos aquellos elementos que tengan entidad, Dentro de la estructura po- como ser: un member server, una computado- demos observar los siguien- ra, un usuario, una impresora, etc. Incluso tes elementos: algunos objetos pueden llegar a ser containers •Objetos. Estos son los para otros objetos. componentes básicos de la Es decir (Active Directory) provee una estruc- estructura lógica. tura y las funciones necesarias para organizar, •Clases. Son los modelos o administrar y controlar recursos de forma cen- las plantillas para los tipos Fig. 1 tralizada, por lo cual toda esta información se de objetos que se pueden almacena también en forma centralizada. Por crear en Active Directory. Cada clase de obje- las e incluso asignarles políticas de seguridad ejemplo, se almacenan los datos (atributos) to es definida por un grupo de atributos, los especiales a cada una. acerca de las cuentas de usuarios, recopilando cuales identifican los posibles valores que •Dominios. Son las unidades funcionales toda la información de un usuario en distin- puede tomar cada objeto. Cada objeto tiene „Core‰ de la estructura lógica de AD; se las tas solapas, como se puede ver en la figura 1. una combinación única de los valores de puede considerar como una colección de los En este caso en particular, el Active Directory atributos. objetos administrativos definidos, que com- se encuentra extendido ya que posee las •Unidades Organizativas. Son contene- parten un directorio, políticas de seguridad y propiedades de un servidor de correo dores de objetos y sirven para organizarlos relaciones de confianza con otros Dominios. Microsoft Exchange. (con fines netamente administrativos). Se •Domain tree. Son Dominios agrupados en Asimismo, no solo almacena los datos del puede delegar la autoridad para administrar- estructuras jerárquicas: al agregar un segundo |10| NEX IT SPECIALIST www.nexweb.com.ar
- 2. ¿Qué es el Schema? El Schema de Active Directory contie- ras e impresoras corresponden a una ne las definiciones de todos los obje- definición Object Classes, que descri- tos (usuarios, computadoras, impre- ben los objetos posibles que se pue- soras, etc.) almacenados en Active den crear en el Active Directory. Cada Directory. En una estructura donde se Object Class es una colección de atri- encuentran varios Domain Controller butos. Dichos atributos se definen Windows Server 2003, existe sola- independientemente de los Object mente un Schema para todo el Classes, y tiene una definición única Forest, asegurando así que las reglas y puede ser utilizado en múltiples para todos los objetos creados sean Object Classes. Por ejemplo, el atri- las mismas. buto „descripción‰ se utiliza en mu- El Schema tiene dos tipos de defini- chos Object Classes, pero se define ciones: Object Classes y Atributos. solamente una vez en el Schema Por ejemplo los usuarios, computado- para asegurar consistencia. dominio en una estructura, este último se con- nuevo de Active Directory vierte en Child del dominio principal (domain de Windows Server 2003 y tree) y así sucesivamente. Un ejemplo de ellos actúa en escenarios de a- sería ba.laboratorio.com.ar (Child), donde el plicaciones Directory Ena- domain tree sería laboratorio.com.ar. bled. AD/AM funciona •Forests. Es una instancia completa de Acti- como servicio Non-Ope- Fig. 2 ve Directory y consiste en uno o más trees. rating System que, como tal, no requiere instalación sobre un Domain •Group Policy. Existe una consola de ad- La funcionalidad de Active Controller. Este tipo de servicios ejecutan ministración centralizada de políticas que fue Directory Windows Server 2003 múltiples instancias de AD/AM en un mismo lanzada en forma conjunta con Windows Como describimos anteriormente, Active Di- server, a su vez configurando cada una de ellas Server 2003, Group Policy Management Con- rectory es el medio, la herramienta para organi- de forma independiente. sole (GPMC). Por medio de ella se pueden zar, administrar y controlar de forma centrali- •Renombrado de Dominios. Existe la posi- administrar las políticas de múltiples domi- zada nuestra red y los recursos que hay en ella. bilidad de renombrar dominios sin modificar nios, realizar backups y restores de las mismas, Provee al usuario los recursos disponibles, la estructura del AD. Esta característica facili- activar o desactivar políticas, editarlas, gene- independientemente de su ubicación y de la ta mucho las tareas de reestructuración de rar reportes para visualizar y analizar las op- forma en que esté conectada a la red. dominios. ciones que configura cada política. Active Directory proporciona distintas herra- •ADMT versión 2.0. Con esta utilidad se •Relaciones de confianza. Se realizaron mientas para facilitar las tareas de adminis- facilitan las labores a la hora de migrar a mejoras en cuanto a las relaciones de confian- tración, permitiendo controlar escritorios dis- Active Directory. Active Directory Migration za Inter-Forest. tribuidos, servicios de red y aplicaciones desde Tool (ADMT) tiene la opción de migrar pass- •Policies de Restricción de Software. Existe una oficina central, y con consolas centrali- words desde Microsoft Windows NT 4.0 a la posibilidad proteger los entornos de Software zadas, disminuyendo dichas tareas. Windows 2000 y Windows Server 2003, o no autorizados. Dentro de las funcionalidades que presenta desde Windows 2000 a Dominios Windows •Replicación de miembros en los grupos. Active Directory se encuentran: Server 2003. Se eliminaron las restricciones de 5.000 usua- •Posibilidad de funcionar como servicio •Schema. Existe la posibilidad de habilitar o rios por grupo, y se resolvieron los problemas Non-Operating System. Active Directory in deshabilitar atributos y definiciones de clases de replicación, ya que ahora cada miembro de Application Mode (AD/AM) es un feature Active Directory Schema. un grupo es un atributo en sí.
- 3. •Manejo de Sites. El manejo de sites incluye Links y Lectura Adicional ¿Qué es un Domain Controller? un nuevo algoritmo de Inter-Site Topology Generator (ISTG), eliminando la limitación del • Microsoft Windows Server 2003 TechCenter Antiguamente con Windows NT, el controlador número máximo de Sites en 500 a 5.000 Sites – Active Directory: de dominio central se lo llamaba Primary (probado en laboratorios de Microsoft 3000). http://www.microsoft.com/technet Domain Controller (PDC), únicamente un server • Microsoft Windows Server 2003 TechCenter podía tener este rol, el resto de los controlado- ¿Qué son los Operation Masters? – Conceptos de Active Directory: res de dominio se los denominaba Backup Cuando se efectúa un cambio en un servidor http://www.microsoft.com/technet Domain Controllers (BDC). Windows NT mane- de dominio, este cambio es replicado a todos • Windows Server 2003 R2 - Windows Server jaba la idea de dominio para administrar los los Domain Controllers del mismo. Algunos 2003 Active Directory (Inglés): accesos de usuarios a los recursos disponibles cambios, por ejemplo los que se hacen en el http://www.microsoft.com/windowsserver2003 en la red (aplicaciones, impresoras, etc.). schema, son replicados a todos los domains • Windows Server 2003 R2 - What's New in El servidor PDC administraba la base de datos en el forest. Este tipo de replicación es llama- Active Directory (Inglés): principal del dominio, y los BDC solamente da Multimaster Replication. http://www.microsoft.com/windowsserver2003 mantenían una copia de ella que se actualiza- • Proceso de transferencia de roles FSMO: ba periódicamente. En el caso de que un PDC OPERACIONES SINGLE MASTER http://support.microsoft.com estuviera fuera de servicio había que promo- Generalmente se utiliza Single Master Repli- • ADAM (Active Directory Aplication Mode): ver un BDC a PDC. cation para evitar errores o conflictos durante http://www.microsoft.com/windowsserver2003 A partir de Windows 2000 este concepto de la réplica. Con este método, solamente un Domain Controller determinado es el que Domain Controller persiste, pero los concep- puede realizar los cambios en el Active Direc- tos de PDC y BDC fueron eliminados para dar actúa como un PDC Windows NT para dar tory, evitando así múltiples cambios simultá- camino a la nueva tecnología: Active Directory soporte a los Backup Domain Controllers neos. y la replicación Multi-Master Replication (BDCs) los cuales se ejecutan en dominios Technology. Windows NT, en modo mixto. Este tipo de OPERATIONS MASTER ROLES (Flexible Igualmente es bueno tener en cuenta este dominios se caracterizan por tener en su Single Master Operation Roles - FSMO) concepto ya que en un futuro se implementará infraestructura un Domain Controller con Son roles específicos del forest (o del domain) nuevamente bajo el nombre de RODC (Read Windows NT 4.0. que son utilizados en las operaciones del Only Domain Controller) con Windows Long- •Relative Identifier Master (RID). Es el rol Single Master Replication. Sólo el Domain horn. Los servidores que tengan dicho rol encargado de vincular el RID a los objetos Controller que tiene asignado el rol es quien serán controladores de dominio adicionales y creados. Esto ocurre de la siguiente manera: puede realizar los cambios en el directorio. mantendrán una copia parcial de la base de cuando un objeto es creado, el Domain Cada Domain Controller responsable de un datos en modo solo lectura, pensado para Controller genera un Security Principal que lo rol específico es denominado Operation implementarse en sucursales donde el ancho representa, y le asigna un Unique Security Master Rol, y este es almacenado en el Active de banda y la cantidad de usuarios es escasa. Principal (SID). Este SID es igual para todos Directory. Los Operations Master Roles exis- los Security Principals del dominio, y un ten a nivel forest o nivel domain, y Active Relative Identifier (RID), que es único para ¿Qué es el LDAP? Directory define cinco de ellos. cada Security Principal de todo el dominio. •Infrastructure Master. Es el encargado de Lightweight Directory Access Protocol (LD- Roles Forest-wide actualizar las referencias de cada objeto dentro AP) es el protocolo responsable de brindar el •Schema Master. Se encarga de controlar las del dominio cuando sufre alguna modificación. acceso al Active Directory para buscar infor- actualizaciones al schema. El schema contiene mación en él. la definición de clases de objetos y atributos Cada dominio en el forest tiene su propio utilizados para crear todos los objetos (usua- PDC Emulator, RID Master e Infraestru- rios, computadoras e impresoras). cture Master. Sobre •Domain Naming el autor Master. Se encarga de controlar las altas o Roberto Di'Lello bajas de dominios del se desempeña forest. Cuando se a- como Consultor gregue un dominio al Senior en Ser- forest, solamente el vicios Profesio- Domain Controller nales en el área que tenga el rol Do- de IT en TPS S.A., trabajando en forma main Naming Master, conjunta con Microsoft en proyectos podrá agregarlo. relacionados con Infraestructura, Active Directory, Seguridad y Mensajería. Existen solamente un Especializado en Tecnologías Micro- Schema Master y un soft, con más de 10 años de experien- Domain Naming Mas- cia en el mercado, poseedor de la cer- ter por cada forest. tificación de Microsoft Certified Sys- tems Engineer (MSCE), actualmente Roles Domain-Wide colabora activamente en comunidades •Primary Domain dedicadas a tecnologías Microsoft, Controller Emula- tales como GLUE. Fig. 3 tor (PDC). Este rol |12| NEX IT SPECIALIST www.nexweb.com.ar