Asignatura: Administracin de sistemas operativos. Realizado por: Raquel Esquinas Chaparro. Curso: 2 ASIR.

3. Administracin de dominios Windows 2003

3.1. Introduccin Aqu se explicarn conceptos fundamentales que soportan el Directorio Activo (Active Directory) tales como: La administracin del mismo, incluyendo los principales objetos que pueden definirse en el mismo. La comparticin de recursos entre sistemas. Y la delegacin de tareas administrativas dentro de un dominio. 3.2. El Directorio Activo 3.2.1. Dominios Windows 2003 y el Directorio Activo La mejor forma de aprovechar la caracterstica principal de intercambiar informacin entre ordenadores conectados a una red, es la creacin de un dominio, en donde toda la informacin se encuentra centralizada en uno o varios servidores, facilitando la labor del administrador. Windows 2003 utiliza el concepto de directorio (o almacn de datos optimizada para operaciones de lectura, que soporta bsquedas de grandes datos de informacin, y con capacidades de exploracin.) para implementar dominios. Una de las ventajas fundamentales es que separa la estructura lgica de la organizacin (dominios) de la estructura fsica (topologa de red). 3.2.2. Estndares relacionados Windows 2003 proporciona compatibilidad con muchos protocolos y estndares existentes, algunos de ellos son: DHCP (Dynamic Host Configuration Protocol): Protocolo de configuracin dinmica de ordenadores. DNS (Domain Name System): Servicio de nombres de dominio que permite la administracin de los nombres de ordenadores. SNTP (Simple Network Time Protocol): Protocolo simple de tiempo de red. LDAP (Lightweight Directory Access Protocol): Protocolo ligero de acceso a directorio. Kerberos V5. Protocolo utilizado para la autenticacin de usuarios y mquinas. Certificados X.509: Estndar que permite distribuir informacin a travs de la red de una forma segura. 3.2.3. El Directorio Activo y DNS El Directorio Activo y DNS son espacios de nombres. El Directorio Activo utiliza el DNS, para tres funciones principales: 1

Asignatura: Administracin de sistemas operativos. Realizado por: Raquel Esquinas Chaparro. Curso: 2 ASIR. Resolucin de nombres: DNS permite realizar la resolucin de nombres al convertir los nombres de host a direcciones IP y al revs. Definicin del espacio de nombres: Directorio Activo utiliza las convenciones de nomenclatura de DNS para asignar nombre a los dominios. Bsqueda de los componentes fsicos de Active Directory: para realizar consultas en Directorio Activo, un equipo con Windows 2003 debe encontrar un controlador de dominio y procesar la autenticacin de inicio de sesin o la consulta.

3.2.4. Estructura lgica La estructura lgica del Directorio Activo se centra en la administracin de los recursos de la red organizativa, independientemente de la ubicacin fsica de dichos recursos, y de la topologa de las redes. 3.2.4.1. Dominios La unidad central de la estructura lgica del Directorio Activo es el dominio. El uso de dominios permite conseguir los siguientes objetivos: Delimitar la seguridad: Un dominio Windows 2003 define un lmite de seguridad. Replicar informacin: Un dominio es una particin del directorio, las cuales son unidades de replicacin. Aplicar Polticas (o Directivas) de Grupo:Al aplicar un objeto de poltica de grupo al dominio, este establece como los recursos del dominio se configuran y se usan. Delegar permisos administrativos. En las redes que ejecutan Windows 2003, se puede delegar a medida la autoridad administrativa tanto para unidades organizativas individuales como a dominios individuales, lo cual reduce el nmero de administradores necesarios con amplios permisos administrativos.

3.2.4.2. Mltiples dominios en la misma organizacin Segn los estndares de nombres DNS, los dominios de Active Directory se crean dentro de una estructura de rbol invertida, con la raz en la parte superior. Cuando se instala el primer controlador de dominio en la organizacin se crea lo que se denomina el dominio raz del bosque, el cual contiene la configuracin y el esquema del bosque. Un rbol: es un conjunto de uno o ms dominios que comparten un espacio de nombres contiguo. Si existe ms de un dominio, estos se disponen en estructuras de rbol jerrquicas.

Asignatura: Administracin de sistemas operativos. Realizado por: Raquel Esquinas Chaparro. Curso: 2 ASIR. Un bosque: es un grupo de rboles que no comparten un espacio de nombres contiguo, conectados a travs de relaciones de confianza bidireccionales y transitivas. Aadir nuevos dominios a un bosque es fcil. Sin embargo, existen ciertas limitaciones que hemos de tener en cuenta al respecto: No se pueden mover dominios de Active Directory entre bosques. Solamente se podrn eliminar dominios de un bosque si este no tiene dominios hijo. Despus de haber establecido el dominio raz de un rbol, no se pueden aadir dominios con un nombre de nivel superior al bosque. No se puede crear un dominio padre de un dominio existente. 3.2.4.3. Niveles funcionales La funcionalidad de los dominios de Windows 2003 es diferente de la que tenan sistemas anteriores de la misma familia (Windows NT4 y Windows 2000). Tanto Windows 2000 como Windows 2003 pueden configurarse en diferentes niveles funcionales ("modos de dominio" en Windows 2000) para que puedan ser compatibles con sistemas anteriores. Un dominio Windows 2003 puede estar en cuatro niveles funcionales: Windows 2000 mixto, Windows 2000 nativo, Windows Server 2003 provisional, Windows Server 2003. Por otro lado, un bosque de dominios Windows 2003 puede estar en tres niveles funcionales: Windows 2000, Windows Server 2003 provisional, Windows Server 2003. 3.2.4.4. Relaciones de confianza Una relacin de confianza es una relacin establecida entre dos dominios de forma que permite a los usuarios de un dominio ser reconocidos por los DCs de otro dominio. Tipos de relaciones de confianza vlidos en dominios y bosques Windows Server 2003: Confianza raz de rbol, confianza principal-secundaria, son bidireccionales y transitivas. Confianza de acceso directo, son unidireccional y transitiva. Confianza externa, es unidireccional e intransitiva. Confianza de bosque, es unidireccional y slo es transitiva entre dos bosques. Confianza de territorio, es unidireccional y puede ser transitiva o no. 3.2.4.5. Unidades Organizativas

Asignatura: Administracin de sistemas operativos. Realizado por: Raquel Esquinas Chaparro. Curso: 2 ASIR. El objetivo de las unidades organizativas es estructurar u organizar el conjunto de los objetos del directorio, agrupndolos de foma coherente. En el Directorio Activo, las unidades organizativas permiten: Delegar la administracin. Establecer de forma centralizada comportamientos distintos a usuarios y equipos. 3.2.5. Estructura fsica En Active Directory, la estructura lgica est separada de la estructura fsica. La estructura lgica se utiliza para organizar los recursos de red mientras que la estructura fsica se utiliza para configurar y administrar el trfico de red. En concreto, la estructura fsica de Active Directory se compone de sitios y controladores de dominio. 3.2.5.1. Sitios Un sitio es una combinacin de una o varias subredes IP que estn conectadas por un vnculo de alta velocidad. Normalmente los sitios se crean por dos razones principalmente: Para optimizar el trfico de replicacin. Para permitir que los usuarios se conecten a un controlador de dominio mediante una conexin confiable de alta velocidad. 3.2.5.2. Controladores de dominio Un controlador de dominio (Domain Controller, DC) es un equipo donde se ejecuta Windows 2003 Server y que almacena una replica del directorio. La informacin almacenada en cada controlador de dominio se divide en tres categoras (particiones): dominio, esquema y datos de configuracin. 3.2.5.3. Funciones de los controladores de dominio En Windows 2003, todos los controladores de dominio admiten cambios, y estos cambios se replican a todos los controladores de dominio. Las operaciones de administracin de usuarios, grupos y equipos son operaciones tpicas de mltiples maestros. 3.2.5.4. Servidor de catlogo global El catlogo global cumple dos funciones importantes en el directorio: Permite que un usuario inicie una sesin en la red mediante el suministro de la informacin de pertenencia a grupos universales a un controlador de dominio cuando inicia un proceso de sesin. 4

Asignatura: Administracin de sistemas operativos. Realizado por: Raquel Esquinas Chaparro. Curso: 2 ASIR. Permite que un usuario busque informacin de directorio en todo el bosque, independiente de la ubicacin de los datos.

3.2.5.5. Operaciones de maestro nico Todos los bosques de Active Directory deben tener controladores de dominio que cumplan dos de las cinco funciones de operaciones de maestro nico. Las funciones para todo el bosque son: Maestro de esquema, Maestro de nombres de dominio, Maestro de identificadores relativos (RID), Emulador de controlador de dominio principal (PDC), Maestro de infraestructuras. 3.3. Objetos que administra un dominio Este apartado expone con detalle los principales tipos de objetos que pueden crearse en el Directorio Activo de Windows 2003: 3.3.1. Usuarios globales En la administracin de sistemas Windows 2003 independientes (administracin local), se crean en los sistemas cuentas de usuario y de grupo que sirven para: Identificar y autentificar a las personas (usuarios) que deben poder acceder al sistema Administrar los permisos y derechos que permitirn aplicar el control de acceso adecuado a dichos usuarios en el sistema. 3.3.2. Grupos existen tres clases de grupos de seguridad (o, de forma ms precisa, se pueden definir grupos de tres mbitos distintos): Grupos locales del dominio, Grupos globales, Grupos universales. 3.3.3. Equipos La misma base de datos tanto de grupos como de usuarios de directorio recoge tambin una cuenta de equipo por cada uno de los ordenadores miembro de un dominio. Entre otras informaciones, en cada una de estas cuentas se almacena el nombre del ordenador, as como un identificador nico y privado que lo identifica unvocamente. Windows 2003 utiliza protocolos de comunicaciones seguros entre los ordenadores miembro de un dominio. Entre ellos los ms importantes son NTLM (el protocolo utilizado por versiones anteriores de Windows NT) y Kerberos V5. 3.3.4. Unidades Organizativas 5

Asignatura: Administracin de sistemas operativos. Realizado por: Raquel Esquinas Chaparro. Curso: 2 ASIR. El uso fundamental de las unidades organizativas es delegar la administracin de sus objetos a otros usuarios distintos del administrador del dominio, y personalizar el comportamiento de los usuarios y equipos. 3.4. Comparticin de recursos Cuando un sistema Windows 2003 participa en una red (grupo de trabajo o dominio), puede compartir sus recursos con el resto de ordenadores. Existen tres tipos: Permisos y derechos Comparticin dentro de un dominio Mandatos Windows 2003 para compartir recursos Mandato net share: Crea, elimina o muestra recursos compartidos. Mandato net use: Conecta o desconecta un equipo de un recurso compartido o muestra informacin acerca de las conexiones del equipo. 3.5. Delegacin de la administracin Para delegar, total o parcialmente, la administracin de una unidad organizativa existe un asistente (wizard) que aparece cuando se selecciona la accin Delegar el control... en el men contextual de la unidad organizativa. Este asistente pregunta bsicamente los dos aspectos propios de la delegacin: a quin se delega y qu se delega.