Active Directory: Fundamentos, Estructura y Replicación en Redes Empresariales

Introducción a los Servicios de Directorio

Los Sistemas Operativos (SO) modernos están diseñados para poder acceder y compartir recursos con otros ordenadores en una red. Para gestionar estos recursos de forma centralizada, se utilizan los servicios de directorio.

Servicios de Directorio en Diferentes Plataformas

• Windows: Se utiliza el Directorio Activo (Active Directory - AD), que centraliza los recursos y los ofrece a los PCs que forman parte del mismo dominio.
• Linux: Se suele usar OpenLDAP, una solución de código abierto que puede implementarse en diversas plataformas (Windows, macOS, Linux, etc.) para compartir recursos de forma centralizada.

Concepto de Servicios de Directorio

Los servicios de directorio almacenan información sobre los recursos de una red en un directorio, al que se accede de forma similar a una base de datos. Históricamente, se utilizaba el protocolo DAP (Directory Access Protocol), pero actualmente se ha estandarizado LDAP (Lightweight Directory Access Protocol), un protocolo más sencillo y ligero que funciona sobre TCP/IP.

Organización y Conceptos de Active Directory

Objetos de Active Directory

Active Directory almacena información sobre los recursos de la red y proporciona servicios que permiten que esta información sea útil y accesible. Los recursos se almacenan como objetos, que pueden ser usuarios, impresoras, servidores, bases de datos, equipos y políticas de seguridad.

Estructura Lógica de Active Directory

La estructura lógica de Active Directory permite localizar recursos por su nombre, independientemente de su ubicación física.

• Dominio

  Es una colección de equipos que comparten la base de datos de Active Directory (AD) y que se administran de forma conjunta. Es la unidad central de administración. Un dominio puede abarcar varias subredes, y una red puede contener múltiples dominios.

• Unidades Organizativas (OU)

  Son contenedores dentro de un dominio que permiten organizar objetos (usuarios, grupos, equipos, etc.) de forma jerárquica para facilitar la administración y la aplicación de políticas de grupo.

• Consola de Usuarios y Equipos de Active Directory

  Esta consola permite gestionar los objetos del dominio. Algunas de sus carpetas predeterminadas incluyen:

  • Builtin

    : Contiene grupos y usuarios locales del dominio.

  • Users

    : Contiene grupos y usuarios de todo el dominio.

  • Computers

    : Contiene los equipos que se han unido al dominio.

  • Domain Controllers

    : Contiene los controladores de dominio que pertenecen al mismo.

• Árboles de Dominio

  Una agrupación de uno o más dominios que comparten un espacio de nombres continuo. Comparten un esquema común, el catálogo global y los datos de configuración, y están conectados por relaciones de confianza.

• Bosques de Dominio

  Compuesto por uno o más árboles de dominio distintos e independientes entre sí. Estos bosques comparten información del directorio común, un esquema común, el catálogo global y los datos de configuración.

Estructura Física de Active Directory

Componentes Físicos Clave

• Controlador de Dominio (DC)

  Es un equipo con un Sistema Operativo Windows Server (WS) que almacena una copia del directorio del dominio. Puede haber varios controladores de dominio en un mismo dominio, y cada uno de ellos tendrá una copia completa del directorio. Active Directory (AD) implementa un modelo de replicación multimaestro, lo que significa que ningún controlador de dominio es el maestro principal. Establecer varios controladores de dominio dentro de un dominio proporciona tolerancia a fallos y alta disponibilidad.

• Sitio

  Una agrupación de equipos conectados físicamente por conexiones rápidas y de alta fiabilidad (LAN). Los sitios optimizan los mecanismos de comunicación y replicación dentro de la red.

• Almacén de Datos o Directorio Activo

  Contiene información sobre los objetos del dominio, tales como usuarios, grupos, equipos, recursos compartidos, unidades organizativas y directivas de grupo.

• Catálogo Global

  Es un almacén central de información que contiene una copia parcial de todos los objetos del directorio de todos los dominios del bosque. Facilita la búsqueda de objetos en todo el bosque sin necesidad de conocer el dominio específico donde residen.

Replicación en Active Directory

La replicación se lleva a cabo entre los Controladores de Dominio (DCs). Solo se replica la base de datos del dominio, que contiene información sobre los objetos y sus atributos. La replicación puede ocurrir entre DCs del mismo sitio y entre DCs en sitios separados, siempre bajo el modelo multimaestro.

Particiones de la Base de Datos de Active Directory

Dentro del bosque, la base de datos se divide en varias particiones:

1. Esquema: Define los tipos de objetos que se pueden crear en el AD del bosque y sus atributos.
2. Configuración: Contiene la topología física (sitios donde se encuentran los DCs) y la topología lógica (dominios y subdominios existentes en el bosque, así como sus relaciones).
3. Dominio: Contiene la información específica de los objetos del dominio (por ejemplo, usuarios creados a partir del esquema definido).
4. Aplicación: Particiones de directorio de aplicación, que permiten la replicación configurable de datos específicos de aplicaciones.

Mecanismos de Replicación

• Comprobador de Coherencia de Replicación (KCC)

  Es responsable de la generación automática de la topología de replicación entre los Controladores de Dominio (DCs) dentro de un mismo sitio. Optimiza la replicación para que no exceda los 3 saltos. Un cambio en Active Directory en un DC se notifica en aproximadamente 15 segundos al siguiente DC dentro del mismo sitio y 3 segundos después al subsiguiente.

  

          

  Replicación intra-sitio: Notificación en 15 segundos al próximo DC, con una regla de hasta 3 saltos (15+3 segundos para el siguiente).

• Generador de Topologías entre Sitios (ISTG)

  Es el responsable de generar la topología de replicación entre sitios. Designa un Servidor Cabeza de Puente (Bridgehead Server) en cada sitio, que actúa como el único punto de entrada y salida para la replicación entre sitios. Los cambios entre sitios se replican por defecto cada 3 horas.

  

  Replicación inter-sitio: El ISTG selecciona un DC de cada sitio como Servidor Cabeza de Puente para gestionar la replicación entre sitios.