Active Directory Active Directory (AD) es el trmino que usa Microsoft para referirse a su implementacin de servicio de directorio en una

red distribuida de computadores. Utiliza distintos protocolos (principalmente LDAP, DNS, DHCP, Kerberos...). Su estructura jerrquica permite mantener una serie de objetos relacionados con componentes de una red, como usuarios, grupos de usuarios, permisos y asignacin de recursos y polticas de acceso.1 Active Directory permite a los administradores establecer polticas a nivel de empresa, desplegar programas en muchos ordenadores y aplicar actualizaciones crticas a una organizacin entera. Un Active Directory almacena informacin de una organizacin en una base de datos central, organizada y accesible. Pueden encontrarse desde directorios con cientos de objetos para una red pequea hasta directorios con millones de objetos. Estructura Active Directory est basado en una serie de estndares llamados X.500, aqu se encuentra una definicin lgica a modo jerrquico. Dominios y subdominios se identifican utilizando la misma notacin de las zonas DNS, razn por la cual Active Directory requiere uno o ms servidores DNS que permitan el direccionamiento de los elementos pertenecientes a la red, como por ejemplo el listado de equipos conectados; y los componentes lgicos de la red, como el listado de usuarios. Un ejemplo de la estructura descendente (o herencia), es que si un usuario pertenece a un dominio, ser reconocido en todo el rbol generado a partir de ese dominio, sin necesidad de pertenecer a cada uno de los subdominios. A su vez, los rboles pueden integrarse en un espacio comn denominado bosque (que por lo tanto no comparten el mismo nombre de zona DNS entre ellos) y establecer una relacin de trust o confianza entre ellos. De este modo los usuarios y recursos de los distintos rboles sern visibles entre ellos, manteniendo cada estructura de rbol el propio Active Directory. [editar]Objetos Active Directory se basa en una estructura jerrquica de objetos. Los objetos se enmarcan en tres grandes categoras. recursos (p.ej. impresoras), servicios (p.ej. correo electrnico), y usuarios (cuentas, o usuarios y grupos). El AD proporciona informacin sobre los objetos, los organiza, controla el acceso y establece la seguridad.

Cada objeto representa una entidad individual ya sea un usuario, un equipo, una impresora, una aplicacin o una fuente compartida de datos y sus atributos. Los objetos pueden contener otros objetos. Un objeto est unvocamente identificado por su nombre y tiene un conjunto de atributoslas caractersticas e informacin que el objeto puede contenerdefinidos por y dependientes del tipo. Los atributos, la estructura bsica del objeto, se definen por un esquema, que tambin determina la clase de objetos que se pueden almacenar en el AD. "Cada atributo se puede utilizar en diferentes "schema class objects". Estos objetos se conocen como objetos esquema, o metadata, y existen para poder extender el esquema o modificarlo cuando sea necesario. Sin embargo, como cada objeto del esquema se integra con la definicin de los objetos del ANUNCIO, desactivar o cambiar estos objetos puede tener consecuencias serias porque cambiar la estructura fundamental del ANUNCIO en s mismo. Un objeto del esquema, cuando es alterado, se propagar automticamente a travs de Active Directory y una vez que se cree puede ser desactivado-no solamente suprimido. Cambiar el esquema no es algo que se hace generalmente sin un cierto planeamiento " [editar]Funcionamiento

Su funcionamiento es similar a otras estructuras de LDAP (Lightweight Directory Access Protocol), ya que este protocolo viene implementado de forma similar a una base de datos, la cual almacena en forma centralizada toda la informacin relativa a un dominio de autenticacin. La ventaja que presenta esto es la sincronizacin presente entre los distintos servidores de autenticacin de todo el dominio. A su vez, cada uno de estos objetos tendr atributos que permiten identificarlos en modo unvoco (por ejemplo, los usuarios tendrn campo nombre, campo email, etctera, las impresoras de red tendrn campo nombre, campo fabricante, campo modelo, campo "usuarios que pueden acceder", etc). Toda esta informacin queda almacenada en Active Directory replicndose de forma automtica entre todos los servidores que controlan el acceso al dominio. De esta forma, es posible crear recursos (como carpetas compartidas, impresoras de red, etc) y conceder acceso a estos recursos a usuarios, con la ventaja que estando todos estos objetos memorizados en Active Directory, y siendo esta lista de objetos replicada a todo el dominio de administracin, los eventuales cambios sern visibles en todo el mbito. Para decirlo en otras palabras, Active Directory es una implementacin de servicio de directorio centralizado en una red distribuida que facilita el control, la administracin y la consulta

de todos los elementos lgicos de una red (como pueden ser usuarios, equipos y recursos). [editar]Intercambio entre dominios2 Para permitir que los usuarios de un dominio accedan a recursos de otro dominio, Active Directory usa una relacin de confianza (en ingles, trust). La relacin de confianza es creada automticamente cuando se crean nuevos dominios. Los lmites de la relacin de confianza no son marcados por dominio, sino por el bosque al cual pertenece. Existen relaciones de confianza transitivas, donde las relaciones de confianza de Active Directory pueden ser un acceso directo (une dos dominios en rboles diferentes, transitivo, una o dos vas), bosque (transitivo, una o dos vas), reino (transitivo o no transitivo, una o dos vas), o externo (no transitivo, una o dos vas), para conectarse a otros bosques o dominios que no son de Active Directory. Active Directory usa el protocolo V5 de Kerberos, aunque tambin soporta NTLM y usuarios webs mediante autenticacin SSL / TLS [editar]Confianza transitiva Las Confianzas transitivas son confianzas automticas de dos vas que existen entre dominios en Active Directory. [editar]Confianza explcita Las Confianzas explcitas son aquellas que establecen las relaciones de forma manual para entregar una ruta de acceso para la autenticacin. Este tipo de relacin puede ser de una o dos vas, dependiendo de la aplicacin. Las Confianzas explcitas se utilizan con frecuencia para acceder a dominios compuestos por ordenadores con Windows NT 4.0. [editar]Confianza de Acceso Directo La Confianza de acceso directo es, esencialmente, una confianza explcita que crea accesos directos entre dos dominios en la estructura de dominios. Este tipo de relaciones permite incrementar la conectividad entre dos dominios, reduciendo las consultas y los tiempos de espera para la autenticacin. [editar]Confianza entre bosques La Confianza entre bosques permite la interconexin entre bosques de dominios, creando relaciones transitivas de doble va. En Windows 2000, las confianzas entre bosques son de tipo explcito, al contrario de Windows Server 2003.

[editar]Direccionamientos a recursos Los direccionamientos a recursos de Active Directory son estndares con la Convencin Universal de Nombrado (UNC), Localizador Uniforme de Recursos (URL) y nombrado de LDAP. Cada objeto de la red posee un nombre de distincin (en ingls, Distinguished name (DN)), as una impresora llamada Imprime en una Unidad Organizativa (en ingls, Organizational Units, OU) llamada Ventas y un dominio foo.org, puede escribirse de las siguientes formas para ser direccionado: en DN sera CN=Imprime,OU=Ventas,DC=foo,DC=org, donde CN es el nombre comn (en ingls, Common Name) DC es clase de objeto de dominio (en ingls, Domain object Class). En forma cannica sera foo.org/Ventas/Imprime Los otros mtodos de direccionamiento constituyen una forma local de localizar un recurso Distincin de Nombre Relativo (en ingls, Relative Distinguised Name (RDN)), que busca un recurso slo con el Nombre Comn (CN). Globally Unique Identifier (GUID), que genera una cadena de 128 bits que es usado por Active Directory para buscar y replicar informacin Ciertos tipos de objetos poseen un Nombre de Usuario Principal (en ingls, User Principal Name (UPN)) que permite el ingreso abreviado a un recurso o un directorio de la red. Su forma es objetodered@dominio [editar]Diferencias entre Windows NT y Active Directory

A diferencia del anterior sistema de administracin de dominios de Windows NT Server, que prevea nicamente el dominio de administracin, Active Directory permite tambin crear estructuras jerrquicas de dominios y subdominios, facilitando la estructuracin de los recursos segn su localizacin o funcin dentro de la organizacin a la que sirven. Otra diferencia importante es el uso de estndares como X.500 y LDAP para el acceso a la informacin. [editar]Interfaces de programacin3

Las interfaces de servicio de Active Directory (ADSI) entregan al programador una interfaz orientada a objetos, facilitando la creacin de programas de directorios mediante algunas herramientas compatibles con lenguajes de alto nivel, como Visual Basic, sin tener que lidiar con los distintos espacios de nombres. Mediante las ADSI se permite crear programas que realizan un nico acceso a varios recursos del entorno de red, sin importar si estn basados en LDAP u otro protocolo. Adems, permite generar secuencias de comandos para los administradores. Tambin se puede desarrollar la Interfaz de mensajera (MAPI), que permite generar programas MAPI. [editar]Requisitos de instalacin4

Para crear un dominio hay que cumplir, por lo menos, con los siguientes requisitos recomendados: Tener cualquier versin Server de Windows 2000, 2003 (Server, Advanced Server o Datacenter Server) o Windows 2008, en el caso de 2003 server, tener instalado el service pack 1 en la mquina. Protocolo TCP/IP instalado y configurado manualmente, es decir, sin contar con una direccin asignada por DHCP, Tener un servidor de nombre de DNS, para resolver la direccin de los distintos recursos fsicos presentes en la red Poseer ms de 250 MB en una unidad de disco formateada en NTFS.DE WINDOWS [editar]Alternativas5

Samba es un programa de cdigo libre, que tiene disponible un controlador de dominios compatible con Windows NT 4. El programa de cdigo libre Mandriva Directory Server ofrece una interfaz web para manejar el controlador de dominios de Samba y el servicio de directorios de LDAP.

Otra alternativa es Novell eDirectory, que es Multiplataforma: se puede correr sobre cualquier sistema operativo: Linux, AIX, Solaris, Novell Netware, UNIX e integra LDAP v.3 Nativo. Es el precursor en materia de estructuras de Directorio, ya que fue introducido en 1990 con la versin de Novell Netware 4.0. Aunque AD de Microsoft alcanz mayor popularidad, todava no puede igualar la fiabilidad y calidad de eDirectory y su capacidad Multiplataforma. Sun Java ES Directory Server[1] y OpenDS [2] son otras alternativas, el primero basado en java y el segundo basado y desarrollado en C. El primero es un producto de Sun Microsystems y el segundo una alternativa de cdigo abierto. Una alternativa que integra OpenLDAP, Heimdal kerberos, Samba y adems certificacin digital y Bind9 (modificado para usar LDAP como backend) es WBSAgnitio ([3]). 1.1 Qu es Samba? Samba es una suite de aplicaciones Unix que habla el protocolo SMB (Server Message Block). Muchos sistemas operativos, includos Windows y OS/2, usan SMB para operaciones de red cliente-servidor. Mediante el soporte de este protocolo, Samba permite a los servidores Unix entrar en accin, comunicando con el mismo protocolo de red que los productos de Microsoft Windows. De este modo, una mquina Unix con Samba puede enmascararse como servidor en tu red Microsoft y ofrecer los siguientes servicios:

Compartir uno o ms sistemas de archivos. Compartir impresoras, instaladas tanto en el servidor como en los clientes. Ayudar a los clientes, con visualizador de Clientes de Red. Autentificar clientes logendose contra un dominio Windows. Proporcionar o asistir con un servidor de resolucin de nombres WINS.

Samba es la idea de Andrew Tridgell, quien actualmente lidera el equipo de desarrollo de Samba development desde su casa de Canberra, Australia. El proyecto naci en 1991 cuando Andrew cre un programa servidor de ficheros para su red local, que soportaba un raro protocolo DEC de Digital Pathworks. Aunque l no lo supo en ese momento, aquel protocolo ms tarde se convertira en SMB. Unos cuantos aos despus, l lo expandi como su servidor SMB particular y comenz a distribuirlo como producto por Internet bajo el nombre de servidor SMB. Sin embargo, Andrew no pudo mantener ese nombre -ya perteneca como nombre de producto de otra compaa-, as que intent lo siguiente para buscarle un nuevo nombre desde Unix: grep -i 's.*m.*b' /usr/dict/words y la respuesta fue:

salmonberry samba sawtimber scramble De sta manera naci el nombre de Samba. Hoy, la suite Samba implica a un par de demonios que proporcionan recursos compartidos a clientes SMB sobre la red (las comparticiones son denominadas a veces tambin como servicios). Estos demonios son: smbd Un demonio que permite comparticin de archivos e impresoras sobre una red SMB y proporciona autentificacin y autorizacin de acceso para clientes SMB. nmbd Un demonio que busca a travs del Windows Internet Name Service (WINS), y ayuda mediante un visualizador. Samba se encuentra actualmente mantenido y es ampliado por un grupo de voluntarios bajo la supervisin activa de Andrew Tridgell. Al igual que el sistema operativo Linux, Samba es considerado por sus autores Open Source software (OSS), y es distribuido bajo la the GNU General Public License (GPL). Desde su concepcin, el desarrollo de Samba ha sido patrocinado en parte por la Australian National University, donde Andrew Tridgell hizo su doctorado. En adicin, algunas partes del desarrollo han sido patrocinadas por distribuidores independientes como Whistle and SGI. Es algo verdaderamente testimonial el que entidades tanto comerciales como no comerciales estn dispuestas a gastar dinero para dar soporte a un esfuerzo Open Source. En el momento de la impresin de este libro, Andrew ha completado su trabajo de doctorado y ha pasado a formar parte de una compaa desarrolladora de Linux de San Francisco. Microsoft tambin ha contribuido materialmente poniendo a disposicin su definicin de SMB y del Internet-savvy Common Internet File System (CIFS), como Public Request for Comments (RFC), y otros documentos estandar. El protocolo CIFS es el nuevo nombre de las futuras versiones del protocolo SMB que sern usadas en los productos Windows -los dos trminos pueden ser usados aleatoriamente en ste libro-. De hecho, vers el protocolo escrito como "SMB/CIFS". 1.2 Qu puede hacer Samba por m? Como explicamos antes, Samba puede ayudar a las mquinas Windows y Unix a coexistir en la misma red. Sin embargo, existen algunas razones especficas por las cuales podras desear instalar un servidor Samba en tu red:

No quieres pagar un servidor Windows NT para obtener las funcionalidades que este proporciona. Puedes querer proporcionar un rea comn para datos o directorios de usuarios en orden a realizar una transicin desde un servidor NT hacia un Unix, o viceversa. Puede que desees compartir impresoras a entre clientes Windows y Unix.

Puede que quieras acceder a ficheros NT desde un servidor Unix.

Veamos ahora a Samba en accin. Asumiremos que tenemos la siguiente configuracin bsica de red: un servidor Samba sobre una mquina Unix, al cual le asignaremos el nombre hydra, y un par de clientes Windows, a los cuales les asignaremos los nombres phoenix y chimaera, todos conectados va red de rea local (LAN). Asumamos tambin que hydra tambin tiene una impresora de inyeccin conectada a ella, lp, y una comparticin de disco denominada network -ambos recursos podemos ofrecerlos a las otras dos mquinas-. Un grfico de esta red se muestra en la Figura 1.

Figure: Una configuracin de red simple con un servidor Samba.

En esta red, cada una de las computadoras comparten el mismo grupo de trabajo. Un Grupo de Trabajdo es simplemente una etiqueta de nombre de grupo que identifica a una determinada coleccin de ordenadores y sus recursos sobre una red SBM. Pueden existir varios grupos de trabajo sobre la red al mismo tiempo, pero para nuestro ejemplo slo tendremos uno: el grupo de trabajo SIMPLE.