Dominio Active Directory

1. Definición de un dominio de Active Directory

Active Directory es al mismo tiempo un proveedor de identidades, un servicio de directorio y una solución de gestión de acceso.

Como servicio de directorio, permite referenciar y organizar objetos tales como cuentas de usuario, nombres de recursos compartidos, autorizaciones mediante grupos de dominio, etc. La información puede, así, centralizarse en un directorio de referencia con el objetivo de facilitar la administración del sistema de información.

Desde un punto de vista tecnológico cabe tener en cuenta tres nociones:

Desde un punto de vista físico, cabe tener en cuenta cuatro elementos principales:

1. Detección de enlaces lentos

La detección de enlaces lentos (también llamados, en ocasiones, "vínculos de baja velocidad", por Microsoft) permite limitar la aplicación de algunas directivas de grupo cuando el usuario se encuentra conectado mediante una red con baja tasa de transferencia.

Antes, esta detección se realizaba gracias al protocolo ICMP, con todas las limitaciones que ello conllevaba. Por este motivo, Microsoft ha desarrollado el servicio de reconocimiento de ubicación de red (también llamado NLA por Network Location Awareness) para Windows Vista y Windows Server 2008. Gracias al servicio NLA, el refresco como tarea de fondo de su directiva de grupo será mucho más fiable, puesto que ya no se basa en el protocolo ICMP sino en RPC, conocido por su fiabilidad. Si su equipo intenta refrescar las directivas de grupo (por defecto, esto se produce cada 90 minutos), mientras el controlador de dominio no está accesible en ese preciso instante (si el usuario no está conectado a la red, por ejemplo), el refresco no se realizará en el próximo ciclo (90 minutos más tarde) sino cuando el controlador de dominio vuelva a estar disponible. El servicio NLA permite, en efecto, detectar muy rápidamente la disponibilidad del controlador de dominio en este caso concreto.

Por otro lado, se ha optimizado el servicio Cliente de directiva de grupo, presente en un puesto Windows 8/2012 o versiones posteriores, y estará detenido la mayor parte del tiempo de cara a optimizar recursos de CPU. El servicio se inicia automáticamente durante 5 minutos y siempre respetando un retardo de 90 minutos, aproximadamente. Este inicio se controla, en lo sucesivo, mediante una tarea programada que se ejecuta con la cuenta SYSTEM (no puede, por tanto, visualizarla sino con la cuenta SYSTEM, utilizando el comando psexec, por ejemplo).

Es posible volver al antiguo método de funcionamiento de este servicio habilitando la opción Desactivar...

1. Active Directory Federation Services (o AD FS)

El componente Active Directory Federation Services permite a las empresas ofrecer a los usuarios la capacidad de autenticarse en sus aplicaciones, tanto en su red local como en una empresa asociada o incluso en los servicios en línea.

El uso típico de implantar un AD FS también permite a clientes fuera de su red a acceder a los recursos de su red de una forma simple y sin tener que autenticarse en su base de datos de cuentas de usuario. Por ejemplo, es el caso para una entidad asociada (caso de un B2B) o el caso de una federación entre empresas (multi-bosque).

Se crea en efecto una relación de aprobación entre la red asociada y la suya con el objetivo de proyectar la identidad de los usuarios y sus privilegios de acceso desde su red hacia los socios reconocidos. De este modo el usuario no tendrá que identificarse de nuevo (principio de autenticación único también llamado SSO por Single Sign On).

Desde Windows Server 2012 R2, AD FS soporta el protocolo OAuth 2.0. Este protocolo lo utilizan cada vez con mayor frecuencia los distintos fabricantes y proveedores de servicios en Internet, pues permite publicar e interactuar con datos autenticando al usuario de forma segura. Es, también, el caso de Azure Active Directory Authentication Library (ADAL), cuyo soporte se ha extendido a los directorios AD FS.

También es conveniente saber que esta solución está limitada únicamente al acceso a través de aplicaciones que respetan el estándar Web, aunque como estas últimas son cada vez más potentes las posibilidades abiertas son también enormes. Es el caso por ejemplo con la integración de SharePoint Server, Office 365 o AD RMS, que presentaremos más adelante.

AD FS ofrece una federación de identidades, es decir, proporciona una identificación, una autenticación y una autorización entre diferentes organizaciones.

Para establecer una federación, los socios deben crear una relación de aprobación de federación que se corresponda con un acceso «saliente ». Este es el motivo por el que una relación de aprobación de federación es diferente de una relación de aprobación de dos bosques Active Directory....