Servicios de dominio de Active Directory

1. El bosque

Un bosque es una colección de uno o varios dominios de Active Directory, el primero instalado se denomina dominio raíz. Su nombre DNS (Sistema de Nombre de Dominios, por ejemplo: Formacion.local) se asignará también al bosque. En nuestro ejemplo, el bosque tendrá el nombre Formacion.local.

En un bosque, el conjunto de dominios utiliza la misma partición, configuración y esquema. El sistema de partición se detalla en la sección Las particiones de Active Directory. 

No se replica ningún dato (cuenta de usuario, equipo…) fuera del bosque, esto sirve por tanto como frontera de seguridad.

2. El dominio y la arborescencia de dominios

Una arborescencia de dominios es un conjunto de dominios que comparten un espacio de nombres contiguo. De este modo, en el ejemplo que se muestra a continuación podremos ver la arborescencia de dominios Formacion.local. Este último contiene un dominio hijo llamado Microsoft.Formacion.local. La raíz Formacion.local es idéntica a la raíz del dominio hijo (Microsoft.Formacion.local).

La relación de aprobación entre los dominios de una misma arborescencia es de tipo padre/hijo. Cuando se agrega un dominio hijo, se crea automáticamente una relación de aprobación de tipo bidireccional y transitiva.

Si el espacio de nombres es distinto, hablaremos entonces de una nueva arborescencia. Los dominios Formacion.local y Prod.local son dos arborescencias diferentes dentro del mismo bosque.

El dominio representa un límite de seguridad donde se definen los usuarios.

Un dominio contiene, al menos, un controlador de dominio. Sin embargo, se recomienda tener dos para asegurar la autentificación en caso de mantenimiento o de caída de alguno de los servidores de directorio. Si no queda ningún servidor en línea, la autenticación no se podrá asegurar, lo que implicará una pérdida de producción para el conjunto de usuarios.

Un servidor con el rol de controlador de dominio tiene la responsabilidad de realizar la autentificación de las cuentas...

1. Requisitos previos necesarios para promocionar un servidor

La promoción de un servidor a controlador de dominio tiene algunos requisitos previos. Si estos últimos no se respetan, la operación se detiene.

2. Instalación de un dominio nuevo en un bosque nuevo

Los servicios AD se consideran como roles y se muestran en la lista de roles.

Habiendo realizado la configuración previamente, basta con instalar Active Directory.

1. Detener/iniciar los servicios de Active Directory con la consola MMC Services

Existen dos formas de detener o iniciar el servicio Active Directory: la primera, descrita en este apartado, es la gestión del servicio desde la consola MMC Services.msc. La segunda forma se verá en la siguiente sección.

Al detener este servicio, se puede realizar un mantenimiento (defragmentación...) sobre la base de datos del rol AD DS.

1. Eliminar un controlador de dominio de un dominio

El dominio Formacion.local está formado por un controlador de dominio de lectura/escritura y por un controlador de dominio de solo lectura. La operación consiste en eliminar el rol AD DS del RODC. Hablaremos, por tanto, de degradar el servidor. 

1. Los distintos componentes de la clonación

Se incluyen nuevas instrucciones PowerShell en el módulo Active Directory:

New-ADDCCloneConfigFile: permite ubicar el archivo DCCloneConfig.xml en el lugar correcto, etapa indispensable para iniciar la clonación. Se realizan controles previos para asegurar el correcto funcionamiento de la operación. La ejecución puede ser local sobre un controlador de dominio virtualizado en curso de clonación, o remota utilizando la opción offline.

Las verificaciones previas son las siguientes:

DCCloneConfig.xml: es necesario asegurar la presencia de este archivo...

1. Auditoría del directorio Active Directory

La herramienta Ping Castle se utiliza para auditar el directorio Active Directory. Esta identifica los elementos del directorio que necesitan protegerse, pero también algunas buenas prácticas que no se respetan. Esta herramienta es gratuita, excepto para aquellos que realizan auditorías, que deben adquirir una licencia especial de auditor.

a. Instalación de Ping Castle

Unir la máquina SV1 al dominio Active Directory

La instalación de la herramienta Ping Castle se llevará a cabo en el servidor SV1. El primer paso es descargar la herramienta. Para ello, puede utilizar la siguiente URL: www.pingcastle.com. En el sitio web del editor, haga clic en Free Download.

 Descargue el archivo zip de instalación y descomprímalo en el servidor SV1. La carpeta se almacenará en la partición de datos. La ubicación no importa para la descripción que sigue:

 Haga doble clic en PingCastle. Aparecerá una ventana DOS, deje la opción predefinida y pulse en [Intro].

 Escriba el nombre del dominio de Active Directory y luego presione la tecla [Intro] para validar la entrada.

Se generará un informe, pulse en cualquier tecla para cerrar el programa.

El informe, en formato HTML, se generará en el mismo directorio en el que se haya guardado el programa.

Dicho archivo puede abrirse desde el servidor o desde otra estación de trabajo/servidor. Los indicadores permiten ver para cada componente clave (objeto obsoleto, cuenta privilegiada, enlace entre varios AD, problema de seguridad) el nivel de seguridad actual.

Una puntuación alta indica un gran número de problemas que hay que vigilar/resolver. Se recomienda encarecidamente situar los indicadores en la franja verde/amarilla.

2. Ejemplo de resolución de problema

Tras generar el informe, es necesario resolver los problemas señalados. Al hacer clic en un elemento, aparece...

1. Auditar el estado de salud

La auditoría del estado de salud es uno de los puntos más importantes, pues nos va a permitir validar la actualización de los controladores de dominio. En efecto, no se recomienda realizar este tipo de operación si algún componente de Active Directory o la replicación sufren algún mal funcionamiento.

La primera etapa será validar el funcionamiento de las distintas aplicaciones utilizadas por el directorio con el nuevo sistema operativo.

Tomemos como ejemplo Exchange 2016: es posible acoplarlo a un directorio AD con Windows server 2022.

https://learn.microsoft.com/es-es/exchange/plan-and-deploy/supportability-matrix?view=exchserver-2019

Un inventario de aplicaciones actualizado permite validar rápidamente esta etapa.

Una vez validada la etapa de compatibilidad, es preciso tener en cuenta el estado de salud de los controladores de dominio. Para ello, deben ejecutarse varios comandos:

Repadmin

Mediante este comando, es posible asegurar el buen funcionamiento de las replicaciones AD. Como hemos visto antes en este capítulo, en un dominio AD se operan dos tipos de replicación.

El siguiente comando permite obtener un archivo csv. Este archivo contiene información sobre las réplicas de las particiones de Active Directory. Esto facilita la supervisión del estado del sistema de replicación y la detección de posibles problemas.

Comando: Repadmin /showrepl * /csv > C:\reportReplicaciones.txt

Abra el archivo txt con Excel y, a continuación, seleccione en el asistente una separación utilizando comas. El resultado es el siguiente.

Si existe algún problema con la replicación, es necesario investigarlo y corregirlo. En caso contrario, pueden llevarse a cabo...

1. Funcionalidades ofrecidas por Azure AD

Azure AD se utiliza en servicios en línea tales como Microsoft 365 o Intune para la autorización del acceso al servicio. La funcionalidad de autenticación fuerte permite completar la gestión de las identidades. En efecto, es posible activar para ciertos usuarios la obligación de utilizar una autenticación de dos factores (autenticación fuerte o multifactor).

Además de su combinación usuario/contraseña, una parte o el conjunto de usuarios deberán utilizar un segundo mecanismo de autenticación. Este último puede ser una aplicación instalada en un smartphone que proporciona un código. Este posee un tiempo de vida corto. También es posible recibir un SMS que contenga un código que habrá que introducir. La tercera solución consiste en validar la identidad mediante la recepción de una llamada telefónica y pulsando una tecla del teléfono. Por motivos de seguridad, Microsoft recomienda utilizar la aplicación Microsoft Authentificator en lugar de las soluciones de telecomunicaciones (SMS, llamada telefónica).

La edición Premium ofrece portales web que permiten implementar la delegación. De este modo, es posible permitir a los usuarios realizar cambios en la contraseña o crear grupos de usuarios.

Con Windows 10, una empresa puede integrar puestos directamente en el directorio Azure AD. Esto es así incluso...