MATERIA: SISTEMAS OPERATIVOS ALUMNA: Karen garcía Vázquez CARRERA: ING. EN SISTEMAS COMPUTACIONALES
Investigación DE SISTEMAS OPERATIVOS DNS, ÁRBOL, BOSQUE,
Domain Name System o DNS (sistema de nombres de dominio) es un sistema de nomenclatura jerárquica para computadoras, servicios o cualquier recurso conectado a Internet o a una red privada. Este sistema asocia información variada con nombres de dominios asignado a cada uno de los participantes. Su función más importante, es traducir (resolver) nombres inteligibles para las personas en identificadores binarios asociados con los equipos conectados a la red, esto con el propósito de poder localizar y direccionar estos equipos mundialmente. El servidor DNS utiliza una base de datos distribuida y jerárquica que almacena información asociada a nombres de dominio en redes como Internet. Aunque como base de datos el DNS es capaz de asociar diferentes tipos de información a cada nombre, los usos más comunes son la asignación de nombres de dominio a direcciones IP y la localización de los servidores de correo electrónico de cada dominio. La asignación de nombres a direcciones IP es ciertamente la función más conocida de los protocolos DNS. Por ejemplo, si la dirección IP del sitio FTP de prox.mx es 200.64.128.4, la mayoría de la gente llega a este equipo especificando ftp.prox.mx y no la dirección IP. Además de ser más fácil de recordar, el nombre es más fiable. La dirección numérica podría cambiar por muchas razones, sin que tenga que cambiar el nombre. Inicialmente, el DNS nació de la necesidad de recordar fácilmente los nombres de todos los servidores conectados a Internet. En un inicio, SRI (ahora SRI International) alojaba un archivo llamado HOSTS que contenía todos los nombres de dominio conocidos. El crecimiento explosivo de la red causó que el sistema de nombres centralizado en el archivo hosts no resultara práctico y en 1983, Paul V. Mockapetris publicó los RFC 882 y RFC 883 definiendo lo que hoy en día ha evolucionado hacia el DNS moderno. (Estos RFCs han quedado obsoletos por la publicación en 1987 de los RFCs 1034 y RFC 1035).
Los Clientes DNS:
Un programa cliente DNS que se ejecuta en la computadora del usuario y que genera peticiones DNS de resolución de nombres a un servidor DNS (Por ejemplo: ¿Qué dirección IP corresponde a nombre.dominio?);
Que contestan las peticiones de los clientes. Los servidores recursivos tienen la capacidad Los Servidores DNS: de reenviar la petición a otro servidor si no disponen de la dirección solicitada. Porciones del espacio de nombres raros de dominio (como manu_uqz) que almacenan los datos. Cada zona de autoridad abarca Las Zonas de autoridad, al menos un dominio y posiblemente sus subdominios, si estos últimos no son delegados a otras zonas de autoridad.
Un nombre de dominio usualmente consiste en dos o más partes (técnicamente etiquetas), separadas por puntos cuando se las escribe en forma de texto. Por ejemplo, www.example.com o www.wikipedia.es •
A la etiqueta ubicada más a la derecha se le llama dominio de nivel superior (en inglés top level domain). Como org en www.ejemplo.org o es en www.wikipedia.es
•
•
Cada etiqueta a la izquierda especifica una subdivisión o subdominio. Nótese que "subdominio" expresa dependencia relativa, no dependencia absoluta. En teoría, esta subdivisión puede tener hasta 127 niveles, y cada etiqueta puede contener hasta 63 caracteres, pero restringidos a que la longitud total del nombre del dominio no exceda los 255 caracteres, aunque en la práctica los dominios son casi siempre mucho más cortos. Finalmente, la parte más a la izquierda del dominio suele expresar el nombre de la máquina (en inglés hostname). El resto del nombre de dominio simplemente especifica la manera de crear una ruta lógica a la información requerida. Por ejemplo, el dominio es.wikipedia.org tendría el nombre de la máquina "es", aunque en este caso no se refiere a una máquina física en particular.
El DNS consiste en un conjunto jerárquico de servidores DNS. Cada dominio o subdominio tiene una o más zonas de autoridad que publican la información acerca del dominio y los nombres de servicios de cualquier dominio incluido. La jerarquía de las zonas de autoridad coincide con la jerarquía de los dominios. Al inicio de esa jerarquía se encuentra los servidores raíz: los servidores que responden cuando se busca resolver un dominio de primer y segundo nivel.
DNS en el mundo real Los usuarios generalmente no se comunican directamente con el servidor DNS: la resolución de nombres se hace de forma transparente por las aplicaciones del cliente (por ejemplo, navegadores, clientes de correo y otras aplicaciones que usan Internet). Al realizar una petición que requiere una búsqueda de DNS, la petición se envía al servidor DNS local del sistema operativo. El sistema operativo, antes de establecer alguna comunicación, comprueba si la respuesta se encuentra en la memoria caché. En el caso de que no se encuentre, la petición se enviará a uno o más servidores DNS. La mayoría de usuarios domésticos utilizan como servidor DNS el proporcionado por el proveedor de servicios de Internet. La dirección de estos servidores puede ser configurada de forma manual o automática mediante DHCP. En otros casos, los administradores de red tienen configurados sus propios servidores DNS.
En cualquier caso, los servidores DNS que reciben la petición, buscan en primer lugar si disponen de la respuesta en la memoria caché. Si es así, sirven la respuesta; en caso contrario, iniciarían la búsqueda de manera recursiva. Una vez encontrada la respuesta, el servidor DNS guardará el resultado en su memoria caché para futuros usos y devuelve el resultado. Jerarquía DNS
El espacio de nombres de dominio tiene una estructura arborescente. Las hojas y los nodos del árbol se utilizan como etiquetas de los medios. Un nombre de dominio completo de un objeto consiste en la concatenación de todas las etiquetas de un camino. Las etiquetas son cadenas alfanuméricas (con '-' como único símbolo permitido), deben contar con al menos un carácter y un máximo de 63 caracteres de longitud, y deberá comenzar con una letra (y no con '-') (ver la RFC 1035, sección "2.3.1. Preferencia nombre de la sintaxis "). Las etiquetas individuales están separadas por puntos. Un nombre de dominio termina con un punto (aunque este último punto generalmente se omite, ya que es puramente formal). Un FQDN correcto (también llamado Fully Qualified Domain Name), es por ejemplo este: www.example.com. (Incluyendo el punto al final) Un nombre de dominio debe incluir todos los puntos y tiene una longitud máxima de 255 caracteres.
Un nombre de dominio se escribe siempre de derecha a izquierda. El punto en el extremo derecho de un nombre de dominio separa la etiqueta de la raíz de la jerarquía (en inglés, root). Este primer nivel es también conocido como dominio de nivel superior (TLD - Top Level Domain). Los objetos de un dominio DNS (por ejemplo, el nombre del equipo) se registran en un archivo de zona, ubicado en uno o más servidores de nombres. Primarios o maestros:
Guardan los datos de un espacio de nombres en sus ficheros
• • •
Secundarios o esclavos:
•
Locales o caché:
Obtienen los datos de los servidores primarios a través de una transferencia de zona.
Funcionan con el mismo software, pero no contienen la base de datos para la resolución de nombres. Cuando se les realiza una consulta, estos a su vez consultan a los servidores DNS correspondientes, almacenando la respuesta en su base de datos para agilizar la repetición de estas peticiones en el futuro continuo o libre.
Existen dos tipos de consultas que un cliente puede hacer a un servidor DNS:
Las resoluciones iterativas consisten en la respuesta completa que el servidor de nombres pueda dar. El servidor de nombres consulta sus datos locales (incluyendo su caché) buscando los datos solicitados. El servidor encargado de hacer la resolución realiza iterativamente preguntas a los diferentes DNS de la jerarquía asociada al nombre que se desea resolver, hasta descender en ella hasta la máquina que contiene la zona autoritativa para el nombre que se desea resolver.
En las resoluciones recursivas, el servidor no tiene la información en sus datos locales, por lo que busca y se pone en contacto con un servidor DNS raíz, y en caso de ser necesario repite el mismo proceso básico (consultar a un servidor remoto y seguir a la siguiente referencia) hasta que obtiene la mejor respuesta a la pregunta. Cuando existe más de un servidor autoritario para una zona, Bind utiliza el menor valor en la métrica RTT (round-trip time) para seleccionar el servidor. El RTT es una medida para determinar cuánto tarda un servidor en responder una consulta.
El proceso de resolución normal se da de la siguiente manera:
1. 2. 3. 4. 5. 6. 7. 8. 9.
El servidor A recibe una consulta recursiva desde el cliente DNS. El servidor A envía una consulta recursiva a B. El servidor B refiere a A otro servidor de nombres, incluyendo a C. El servidor A envía una consulta recursiva a C. El servidor C refiere a A otro servidor de nombres, incluyendo a D. El servidor A envía una consulta recursiva a D. El servidor D responde. El servidor A regresa la respuesta al resolver. El resolver entrega la resolución al programa que solicitó la información.
•
A = Address – (Dirección) Este registro se usa para traducir nombres de servidores de alojamiento a direcciones IPv4. AAAA = Address – (Dirección) Este registro se usa en IPv6 para traducir nombres de hosts a direcciones IPv6. CNAME = Canonical Name – (Nombre Canónico) Se usa para crear nombres de servidores de alojamiento adicionales, o alias, para los servidores de alojamiento de un dominio. Es usado cuando se están corriendo múltiples servicios (como ftp y servidor web) en un servidor con una sola dirección ip. Cada servicio tiene su propia entrada de DNS (como ftp.ejemplo.com. y www.ejemplo.com.). esto también es usado cuando corres múltiples servidores http, con diferente nombres, sobre el mismo host. Se escribe primero el alias y luego el nombre real. Ej. Ejemplo1 IN CNAME ejemplo2 NS = Name Server – (Servidor de Nombres) Define la asociación que existe entre un nombre de dominio y los servidores de nombres que almacenan la información de dicho dominio. Cada dominio se puede asociar a una cantidad cualquiera de servidores de nombres. MX (registro) = Mail Exchange – (Registro de Intercambio de Correo) Asocia un nombre de dominio a una lista de servidores de intercambio de correo para ese dominio. Tiene un balanceo de carga y prioridad para el uso de uno o más servicios de correo. PTR = Pointer – (Indicador) También conocido como 'registro inverso', funciona a la inversa del registro A, traduciendo IPs en nombres de dominio. Se usa en el archivo de configuración del Dns reversiva. SOA = Start of authority – (Autoridad de la zona) Proporciona información sobre el servidor DNS primario de la zona. HINFO = Host INFOrmation – (Información del sistema informático) Descripción del host, permite que la gente conozca el tipo de máquina y sistema operativo al que corresponde un dominio. TXT = TeXT - ( Información textual) Permite a los dominios identificarse de modos arbitrarios. LOC = LOCalización - Permite indicar las coordenadas del dominio. WKS - Generalización del registro MX para indicar los servicios que ofrece el dominio. Obsoleto en favor de SRV. SRV = SeRVicios - Permite indicar los servicios que ofrece el dominio. RFC 2782. Excepto Mx y Ns. Hay que incorporar el nombre del servicio,
• •
•
•
•
• •
• • • •
protocolo, dominio completo, prioridad del servicio, peso, puerto y el equipo completo. Esta es la sintaxis correspondiente: Servicio.Protocolo.Dominio-completo IN SRV Prioridad.Peso.Puerto.EquipoCompleto •
SPF = Sender Policy Framework - Ayuda a combatir el Spam. En este registro se especifica cual o cuales hosts están autorizados a enviar correo desde el dominio dado. El servidor que recibe, consulta el SPF para comparar la IP desde la cual le llega con los datos de este registro.
es un conjunto de uno o más dominios que comparten un espacio de nombres contiguo. Si existe más de un dominio, estos se disponen en estructuras de árbol jerárquicas. El primer dominio creado es el dominio raíz del primer árbol. Cuando se agrega un dominio a un árbol existente este pasa a ser un dominio secundario (o hijo). Un dominio inmediatamente por arriba de otro dominio en el mismo árbol de dominio es su padre. Todos los dominios que tengan un dominio raíz común se dice que forman un espacio de nombres contiguo. Los dominios secundarios (hijos) pueden representar entidades geográficas (valencia, madrid, barcelona), entidades administrativas dentro de la organización (departamento de ventas, departamento de desarrollo ...), u otras delimitaciones específicas de una organización, según sus necesidades Los dominios que forman un árbol se enlazan mediante relaciones de confianza bidireccionales y transitivas. La relación padre-hijo entre dominios en un árbol de dominio es simplemente una relación de confianza. Los administradores de un dominio padre no son automáticamente administradores del dominio hijo y el conjunto de políticas de un dominio padre no se aplican automáticamente a los dominios hijo. Por ejemplo, en la Universidad Politécnica de Valencia cuyo dominio actual de Active Directory es upv.es se crean dos nuevos departamentos: DSIC y DISCA. Con el fin de permitir la administración de los dominios por parte de los técnicos de los respectivos departamentos, se decide agregar dos nuevos dominios a su árbol de dominios existente en lugar de crear dos unidades organizativas en el dominio existente. Los dominios resultantes, dsic.upv.es y disca.upv.es forman un espacio de nombres contiguo, cuya raíz es upv.es. El administrador del dominio padre (upv.es) puede conceder permisos para recursos a cuentas de cualquiera de los tres dominios del árbol, pero por defecto no los puede administrar.
BOSQUE Un bosque es un grupo de árboles que no comparten un espacio de nombres contiguo, conectados a través de relaciones de confianza bidireccionales y transitivas. Un dominio único constituye un árbol de un dominio, y un árbol único constituye un bosque de un árbol. Los árboles de un bosque aunque no forman un espacio de nombres común, es decir, están basados en diferentes nombres de dominio raíz de DNS, comparten una configuración, un esquema de directorio común y el denominado catálogo global. Es importante destacar que, aunque los diferentes árboles de un bosque no comparten un espacio de nombres contiguo, el bosque tiene siempre un único dominio raíz, llamado precisamente dominio raíz del bosque; dicho dominio raíz será siempre el primer dominio creado por la organización. Añadir nuevos dominios a un bosque es fácil. Sin embargo, existen ciertas limitaciones que hemos de tener en cuenta al respecto: •
No se pueden mover dominios de Active Directory entre bosques.
•
Solamente se podrán eliminar dominios de un bosque si este no tiene dominios hijo.
•
Después de haber establecido el dominio raíz de un árbol, no se pueden añadir dominios con un nombre de nivel superior al bosque.
•
No se puede crear un dominio padre de un dominio existente.
En general, la implementación de bosques y árboles de dominio permite mantener convenciones de nombres tanto contiguos como discontiguos, lo cual puede ser útil en organizaciones con divisiones independendientes que quieren mantener sus propios nombres DNS. Finalmente, debemos relacionar estos conceptos con el procedimiento para crear un dominio. Esto se hace mediante la ejecución de un asistente denominado dcpromo en el sistema Windows 2003 Server que queramos promocionar a controlador de dominio. En concreto, este asistente nos permite elegir entre las siguientes opciones de instalación:
CREAR UN NUEVO BOSQUE
Al crear el primer controlador de dominio de su organización, crea el primer dominio (denominado también dominio raíz del bosque) y el primer bosque. El contenedor de nivel superior de Active Directory se denomina bosque. Un bosque consiste en uno o más dominios que comparten un esquema común y un catálogo global. Una organización puede disponer de múltiples bosques. Un bosque constituye la barrera de seguridad y administración de todos los objetos que residen en él. Por el contrario, un dominio es el límite administrativo para administrar objetos, como usuarios, grupos y equipos. Además, cada dominio dispone de directivas de seguridad individuales y relaciones de confianza con otros dominios. Múltiples árboles de dominio dentro de un único bosque no forman un espacio de nombre contiguo; es decir, disponen de nombres de dominio DNS no contiguos. Aunque los árboles de un bosque no comparten un espacio de nombres, un bosque dispone de un único dominio raíz, denominado dominio raíz del bosque. El dominio raíz del bosque es, por definición, el primer dominio creado en el bosque. En este dominio se encuentran ubicados los grupos Administradores de organización y Administradores de esquema. De forma predeterminada, los miembros de estos dos grupos disponen de credenciales administrativas en todo el bosque. Cuándo crear un nuevo bosque El primer paso en el proceso de diseño de Active Directory es determinar la cantidad de bosques que necesita su organización. Para la mayoría de las organizaciones, un diseño con un solo bosque es el modelo preferido y el más sencillo de administrar. Sin embargo, probablemente un único bosque no sea práctico para todas las organizaciones. Con un único bosque, no es necesario que los usuarios conozcan la estructura de directorios, ya que verán uno solo a través del catálogo global. Al agregar un nuevo dominio a un bosque, no se necesita ninguna configuración de confianza adicional, ya que todos los dominios de un bosque se conectan con confianzas transitivas bidireccionales. En un bosque con múltiples dominios, únicamente es necesario aplicar cambios de configuración una vez para actualizar todos los dominios. Sin embargo, existen escenarios en los que puede ser necesario crear más de un bosque:
•
Al actualizar un dominio de Windows NT a un bosque de Windows Server 2003. Se puede actualizar un dominio de Windows NT para que se convierta en el primer dominio de un nuevo bosque de
•
Windows Server 2003. Para ello, antes debe actualizar el controlador de dominio principal de ese dominio. Después, puede actualizar los controladores de dominio de copia de seguridad, servidores miembros y equipos cliente en cualquier momento. También puede mantener un dominio de Windows NT y crear un nuevo bosque de Windows Server 2003 si instala Active Directory en un servidor miembro que utilice Windows Server 2003. Para obtener más información, vea Actualizar desde un dominio de Windows NT.
•
Para proporcionar autonomía administrativa. Puede crear un nuevo bosque si necesita segmentar la red por razones de autonomía administrativa. Los administradores que actualmente controlan la infraestructura de IT para divisiones autónomas dentro de la organización pueden desear asumir la función de propietario de bosque y proceder con su propio diseño. Sin embargo, en otras situaciones, los propietarios de bosque potenciales pueden elegir fusionar sus divisiones autónomas en un único bosque para reducir el costo de diseño y operación de su propio Active Directory, o para facilitar el uso compartido de recursos. Otra alternativa es proporcionar delegación de autoridad administrativa que permita las ventajas de ambos enfoques. Para obtener más información, vea "Procedimiento recomendado de diseño de Active Directory para administrar redes de Windows" en el sitio web de Microsoft o "Consideraciones de diseño para la delegación de la administración en Active Directory", también disponible en el sitio web de Microsoft.
Funciones del maestro de operaciones en un bosque nuevo Al crear el primer bosque en su organización, las cinco funciones del maestro de operaciones se asignan automáticamente al primer controlador de dominio de ese bosque. Según se agregan nuevos dominios secundarios al bosque, al primer controlador del dominio de cada uno se le asignan automáticamente las siguientes funciones: •
Maestro de identificadores relativos
•
Emulador del controlador principal de dominio (PDC, Primary Domain Controller)
•
Maestro de infraestructura
Puesto que sólo puede existir en el bosque un maestro de esquema y un maestro de nombres de dominio, estas funciones permanecen en el dominio raíz del bosque. En un bosque de Active Directory en el que sólo hay un dominio y un controlador de dominio, ese controlador de dominio posee todas las funciones del maestro de operaciones. Para obtener más información, vea Funciones del maestro de operaciones. Agregar nuevos dominios al bosque Un dominio sólo almacena información acerca de los objetos ubicados en ese dominio; por lo tanto, al crear varios dominios en un bosque nuevo, se divide o segmenta Active Directory para atender mejor a un conjunto dispar de usuarios. La estructura de dominios más fácil de administrar es un dominio único dentro de un único bosque. Al planearla, debe comenzar con un único dominio y agregar dominios adicionales sólo cuando el modelo de dominio único ya no se ajuste a sus necesidades. Para obtener más información acerca de la creación de dominios, vea Dominios. Antes de crear un nuevo bosque Active Directory requiere el funcionamiento de DNS y que ambos compartan la misma estructura jerárquica de dominios. Por ejemplo, microsoft.com es un dominio DNS y un dominio de Active Directory. Debido a la dependencia de Active Directory de DNS, es necesario conocer a fondo los conceptos de Active Directory y DNS antes de crear un bosque nuevo. Para crear un nuevo bosque 1. Haga clic en Inicio, luego en Ejecutar y escriba dcpromo para iniciar el Asistente para instalación de Active Directory. 2. En la página Compatibilidad de sistema operativo, lea la información y haga clic en Siguiente. Si ésta es la primera vez que instala Active Directory en un servidor que ejecuta Windows Server 2003, haga clic en Ayuda sobre compatibilidad para obtener más información al respecto. 3. En la página Tipo de controlador de dominio, haga clic en Controlador de dominio para un dominio nuevo y, a continuación, en Siguiente. 4. En la página Crear nuevo dominio, haga clic en Dominio en un nuevo bosque y en Siguiente.
5. En la página Nuevo nombre de dominio, escriba el nombre DNS completo del nuevo dominio y, después, haga clic en Siguiente. 6. En la página Nombre de dominio NetBIOS, compruebe el nombre NetBIOS y, después, haga clic en Siguiente. 7. En la página Carpetas de la base de datos y del registro, escriba la ubicación en la que desea instalar las carpetas de base de datos y registro, o haga clic en Examinar para elegir una ubicación y, a continuación, haga clic en Siguiente. 8. En la página Volumen del sistema compartido, escriba la ubicación en la que desea instalar la carpeta Sysvol o haga clic en Examinar para elegir una ubicación y, después, haga clic en Siguiente. 9. En la página Diagnósticos de registro de DNS, compruebe si un servidor DNS existente tendrá autoridad en este bosque o, en caso necesario, haga clic en Instalar y configurar este equipo de manera que utilice este servidor DNS como el preferido para instalar y configurar DNS en este equipo y, después, haga clic en Siguiente. 10. En la página Permisos, seleccione una de las siguientes opciones: 1. Permisos compatibles con sistemas operativos anteriores a Windows 2000 Server 2. Permisos compatibles sólo con sistemas operativos Windows 2000 o Windows Server 2003 11. Revise la información de la página Resumen y, a continuación, haga clic en Siguiente para empezar la instalación. 12. Reinicie el equipo.
Funcionalidad de dominios y bosques La funcionalidad de los dominios y los bosques, introducida en Active Directory de Windows Server 2003, proporciona un método para habilitar funciones de Active Directory para todo un dominio o bosque del entorno de red. Tiene a su disposición distintos niveles de funcionalidad de dominios y funcionalidad de bosques según los entornos. Si todos los controladores de dominio de su dominio o bosque ejecutan Windows Server 2003 y el nivel funcional se establece en Windows Server 2003, tendrá a su disposición todas las funciones para dominios y bosques completos. En cambio, cuando un dominio o bosque con controladores de dominio que ejecutan Windows Server 2003 incluye controladores de dominio de Windows NT 4.0 o Windows 2000, las funciones de Active Directory estarán limitadas. Para obtener más información acerca de cómo habilitar las funciones de todo un dominio o bosque, vea Aumentar los niveles funcionales de dominios y bosques.
El concepto de habilitar funcionalidades adicionales en Active Directory es posible en Windows 2000 tanto en modos nativos como mixtos. Los dominios de modo mixto pueden incluir controladores de reserva del dominio de Windows NT 4.0 pero no pueden utilizar grupos de seguridad universales, anidamiento de grupos ni funcionalidad de historial de Id. de seguridad (SID). Cuando el dominio se establece en modo nativo sí que están disponibles los grupos de seguridad universales, el anidamiento de grupos y las capacidades de historial de SID. Los controladores de dominio que ejecutan Windows 2000 Server no admiten la funcionalidad de dominios y bosques. Funcionalidad de bosques La funcionalidad de bosques habilita funciones para todos los dominios de un bosque. Existen tres niveles de funcionalidad de bosques: Windows 2000 (predeterminado), Windows Server 2003 versión provisional y Windows Server 2003. De forma predeterminada, los bosques operan al nivel funcional de Windows 2000. Si lo desea, también puede elevar el nivel funcional del bosque a Windows Server 2003. La siguiente tabla incluye los niveles funcionales de bosques y los controladores de dominio compatibles correspondientes. Nivel funcional del bosque
Controladores de dominio compatibles
Windows 2000 (predeterminado)
Windows NT 4.0 Windows 2000 Familia Windows Server 2003
Windows Server 2003versión preliminar
Windows NT 4.0 Familia Windows Server 2003
Windows Server 2003
Familia Windows Server 2003
Tras aumentar el nivel funcional del bosque, no podrán incluirse en dicho dominio controladores de bosque que ejecuten sistemas operativos anteriores. Por ejemplo, si aumenta el nivel funcional del bosque a Windows Server 2003, no podrán agregarse a dicho bosque los controladores de dominio que ejecuten Windows 2000 Server.
Si actualiza su primer dominio de Windows NT 4.0 para que sea el primer dominio de un nuevo bosque de Windows Server 2003, puede establecer el nivel funcional del dominio en Windows Server 2003 versión preliminar.
Active Directory (AD) es el término que usa Microsoft para referirse a su implementación de servicio de directorio en una red distribuida de computadores. Utiliza distintos protocolos (principalmente LDAP, DNS, DHCP, Kerberos...). Su estructura jerárquica permite mantener una serie de objetos relacionados con componentes de una red, como usuarios, grupos de usuarios, permisos y asignación de recursos y políticas de acceso. Active Directory permite a los administradores establecer políticas a nivel de empresa, desplegar programas en muchos ordenadores y aplicar actualizaciones críticas a una organización entera. Un Active Directory almacena información de una organización en una base de datos central, organizada y accesible. Pueden encontrarse desde directorios con cientos de objetos para una red pequeña hasta directorios con millones de objetos.
Estructura Active Directory está basado en una serie de estándares llamados X.500, aquí se encuentra una definición lógica a modo jerárquico. Dominios y subdominios se identifican utilizando la misma notación de las zonas DNS, razón por la cual Active Directory requiere uno o más servidores DNS que permitan el direccionamiento de los elementos pertenecientes a la red, como por ejemplo el listado de equipos conectados; y los componentes lógicos de la red, como el listado de usuarios. Un ejemplo de la estructura descendente (o herencia), es que si un usuario pertenece a un dominio, será reconocido en todo el árbol generado a partir de ese dominio, sin necesidad de pertenecer a cada uno de los subdominios. A su vez, los árboles pueden integrarse en un espacio común denominado bosque (que por lo tanto no comparten el mismo nombre de zona DNS entre ellos) y establecer una relación de «trust» o confianza entre ellos. De este modo los usuarios y recursos de los distintos árboles serán visibles entre ellos, manteniendo cada estructura de árbol el propio Active Directory.
Objetos Active Directory se basa en una estructura jerárquica de objetos. Los objetos se enmarcan en tres grandes categorías. — recursos (p.ej. impresoras), servicios (p.ej. correo
electrónico), y usuarios (cuentas, o usuarios y grupos). El AD proporciona información sobre los objetos, los organiza, controla el acceso y establece la seguridad. Cada objeto representa una entidad individual — ya sea un usuario, un equipo, una impresora, una aplicación o una fuente compartida de datos— y sus atributos. Los objetos pueden contener otros objetos. Un objeto está unívocamente identificado por su nombre y tiene un conjunto de atributos—las características e información que el objeto puede contener—definidos por y dependientes del tipo. Los atributos, la estructura básica del objeto, se definen por un esquema, que también determina la clase de objetos que se pueden almacenar en el AD. "Cada atributo se puede utilizar en diferentes "schema class objects". Estos objetos se conocen como objetos esquema, o metadata, y existen para poder extender el esquema o modificarlo cuando sea necesario. Sin embargo, como cada objeto del esquema se integra con la definición de los objetos del ANUNCIO, desactivar o cambiar estos objetos puede tener consecuencias serias porque cambiará la estructura fundamental del ANUNCIO en sí mismo. Un objeto del esquema, cuando es alterado, se propagará automáticamente a través de Active Directory y una vez que se cree puede ser desactivado-no solamente suprimido. Cambiar el esquema no es algo que se hace generalmente sin un cierto planeamiento " OLMER
Funcionamiento Su funcionamiento es similar a otras estructuras de LDAP (Lightweight Directory Access Protocol), ya que este protocolo viene implementado de forma similar a una base de datos, la cual almacena en forma centralizada toda la información relativa a un dominio de autenticación. La ventaja que presenta esto es la sincronización presente entre los distintos servidores de autenticación de todo el dominio. A su vez, cada uno de estos objetos tendrá atributos que permiten identificarlos en modo unívoco (por ejemplo, los usuarios tendrán campo «nombre», campo «email», etcétera, las impresoras de red tendrán campo «nombre», campo «fabricante», campo «modelo», campo "usuarios que pueden acceder", etc). Toda esta información queda almacenada en Active Directory replicándose de forma automática entre todos los servidores que controlan el acceso al dominio. De esta forma, es posible crear recursos (como carpetas compartidas, impresoras de red, etc) y conceder acceso a estos recursos a usuarios, con la ventaja que estando todos estos objetos memorizados en Active Directory, y siendo esta lista de objetos replicada a todo el dominio de administración, los eventuales cambios serán visibles en todo el ámbito. Para decirlo en otras palabras, Active Directory es una implementación de servicio de directorio centralizado en una red distribuida que facilita el control, la administración y la consulta de todos los elementos lógicos de una red (como pueden ser usuarios, equipos y recursos).
Intercambio entre dominios2 Para permitir que los usuarios de un dominio accedan a recursos de otro dominio, Active Directory usa una relación de confianza (en ingles, trust). La relación de confianza es creada automáticamente cuando se crean nuevos dominios. Los límites de la relación de confianza no son marcados por dominio, sino por el bosque al cual pertenece. Existen relaciones de confianza transitivas, donde las relaciones de confianza de Active Directory pueden ser un acceso directo (une dos dominios en árboles diferentes, transitivo, una o dos vías), bosque (transitivo, una o dos vías), reino (transitivo o no transitivo, una o dos vías), o externo (no transitivo, una o dos vías), para conectarse a otros bosques o dominios que no
son de Active Directory. Active Directory usa el protocolo V5 de Kerberos, aunque también soporta NTLM y usuarios webs mediante autentificación SSL / TLS
Confianza transitiva Las Confianzas transitivas son confianzas automáticas de dos vías que existen entre dominios en Active Directory.
Confianza explícita Las Confianzas explícitas son aquellas que establecen las relaciones de forma manual para entregar una ruta de acceso para la autenticación. Este tipo de relación puede ser de una o dos vías, dependiendo de la aplicación. Las Confianzas explícitas se utilizan con frecuencia para acceder a dominios compuestos por ordenadores con Windows NT 4.0.
Confianza de Acceso Directo La Confianza de acceso directo es, esencialmente, una confianza explícita que crea accesos directos entre dos dominios en la estructura de dominios. Este tipo de relaciones permite incrementar la conectividad entre dos dominios, reduciendo las consultas y los tiempos de espera para la autenticación.
Confianza entre bosques La Confianza entre bosques permite la interconexión entre bosques de dominios, creando relaciones transitivas de doble vía. En Windows 2000, las confianzas entre bosques son de tipo explícito, al contrario de Windows Server 2003.
Direccionamientos a recursos Los direccionamientos a recursos de Active Directory son estándares con la Convención Universal de Nombrado (UNC), Localizador Uniforme de Recursos (URL) y nombrado de LDAP. Cada objeto de la red posee un nombre de distinción (en inglés, Distinguished name (DN)), así una impresora llamada Imprime en una Unidad Organizativa (en inglés, Organizational Units, OU) llamada Ventas y un dominio foo.org, puede escribirse de las siguientes formas para ser direccionado: •
•
en DN sería CN=Imprime,OU=Ventas,DC=foo,DC=org, donde o CN es el nombre común (en inglés, Common Name) o DC es clase de objeto de dominio (en inglés, Domain object Class). En forma canónica sería foo.org/Ventas/Imprime
Los otros métodos de direccionamiento constituyen una forma local de localizar un recurso • •
Distinción de Nombre Relativo (en inglés, Relative Distinguised Name (RDN)), que busca un recurso sólo con el Nombre Común (CN). Globally Unique Identifier (GUID), que genera una cadena de 128 bits que es usado por Active Directory para buscar y replicar información
Ciertos tipos de objetos poseen un Nombre de Usuario Principal (en inglés, User Principal Name (UPN)) que permite el ingreso abreviado a un recurso o un directorio de la red. Su forma es objetodered@dominio
