Active Directory: Qué es y para qué sirve

Active Directory (también conocido como AD o Directorio Activo) es una herramienta de Microsoft que proporciona servicios de directorio, generalmente en redes LAN.

Este servicio, ubicado en uno o varios servidores, permite crear objetos como usuarios, equipos o grupos para administrar las credenciales durante el inicio de sesión. Además, permite gestionar las políticas de toda la red, incluyendo permisos de acceso, bandejas de correo personalizadas y más.

Está orientado al uso profesional en entornos con importantes recursos informáticos, donde es necesario administrar gran cantidad de equipos, actualizaciones, instalación de programas o la creación de archivos centralizados para acceso remoto.

Estructura de unidad organizativa de Active Directory

En infraestructuras pequeñas (20-50 usuarios), no es necesario crear una estructura compleja; se pueden usar los contenedores raíz predeterminados. En grandes infraestructuras, es recomendable dividir los objetos en contenedores mediante un diseño jerárquico (geográfico, funcional u organizacional).

Por ejemplo, se pueden crear contenedores por país, y dentro de estos, subcontenedores por ciudad, estado, administradores, grupos, computadoras y usuarios.

Cómo funciona Active Directory

Los protocolos de red principales que utiliza son LDAP, DHCP, KERBEROS y DNS. Funciona como una base de datos en tiempo real que sincroniza las credenciales de autenticación de los usuarios.

• Autenticación: Cuando un usuario inicia sesión, el equipo cliente solicita las credenciales al servidor Active Directory. Si son correctas, el servidor autoriza el acceso y aplica los privilegios correspondientes (acceso a impresoras, archivos, etc.).
• Resiliencia: Si un equipo se avería, el usuario puede autenticarse en cualquier otro equipo de la red y acceder a su configuración y recursos, manteniendo la continuidad del trabajo.

Conceptos fundamentales

Dominio

Un dominio es un conjunto de ordenadores conectados a una red que utilizan un servidor para administrar cuentas y credenciales. Se pueden tener varios dominios, y la relación entre ellos se denomina relación de confianza (trust).

Confianza

Es la relación entre dominios, árboles o bosques:

• Confianza transitiva: Automática entre dominios (A <-> B).
• Confianza de acceso directo: Explícita para conectar dos dominios específicos.

Objetos

Nombre genérico para cualquier componente del directorio:

• Usuarios: Credenciales de acceso.
• Recursos: Carpetas compartidas, impresoras, etc.
• Servicios: Funcionalidades como el correo electrónico.

Árbol y Bosque

• Árbol: Conjunto de dominios con una raíz común y jerarquía DNS compartida.
• Bosque: Conjunto de todos los dominios existentes. Contiene al menos un dominio raíz.

Requisitos para implementar Active Directory

Al ser una herramienta orientada a servidores, requiere:

• Windows Server: Versiones compatibles (2000, 2003, 2008, 2016, etc.).
• Protocolo TCP/IP: Con dirección IP fija.
• Servidor DNS: Instalado y configurado.
• Sistema de archivos: NTFS.

Elementos clave en un dominio

Usuarios, Equipos y Grupos

La gestión se basa en:

• Usuarios: Identificados por su nombre completo (usuario@dominio).
• Equipos: Identificados por su nombre completo (FQDN).
• Grupos: Contenedores para gestionar permisos. Se recomienda la estrategia AGDLP (Account, Global, Domain Local, Permission).

Unidades Organizativas (OU)

Contenedores para organizar objetos, delegar tareas administrativas y aplicar Directivas de Grupo (GPO).

Directivas de Grupo (GPO)

Una GPO es un objeto que almacena configuraciones aplicables a usuarios o equipos. Permiten estandarizar entornos, limitar accesos, configurar redes, desplegar software (.msi) y aplicar políticas de seguridad.

Niveles de aplicación

El orden de aplicación es: Local -> Sitio -> Dominio -> Unidad Organizativa (OU).

Gestión y Almacenamiento

• Herramientas: GPMC (Group Policy Management Console) y PowerShell.
• Almacenamiento: Se compone de contenedores en AD DS y plantillas en la carpeta SYSVOL, que se replica en todos los controladores de dominio.